Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Mnenja - VOP

+ -
Datum: 23.03.2010
Naslov: Sledenje službenih vozil z GPS
Številka: 0712-2/2010/462
Vsebina: Moderne tehnologije
Pravni akt: Mnenje

Spoštovani,

Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne 15. 3. 2010 prejel vaše elektronsko sporočilo, v katerem ste zapisali, da se v vašem podjetju ukvarjate z ravnanjem z odpadki in vzdrževanjem cest, kjer ste se odločili, da si za izboljšanje nadzora nad potekom delovnega procesa pomagate s sledenjem vozi. Zanima vas ali lahko sledenje vozil vpliva na zasebnost delavcev, ki so udeleženi v delovnem procesu.

Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. tč. 1. odst. 49. čl. Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. čl. Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Uvedba GPS tehnologije za sledenje službenih vozil je po mnenju Pooblaščenca dopustna le, kadar istega namena, zaradi katerega se uvede sledenje, ni mogoče doseči z milejšimi ukrepi, ki ne posegajo v zasebnost, svobodo gibanja in dostojanstvo delavcev. Kolikor bi delodajalec ukrep uvedel zaradi varovanja premoženja (avtomobilom), bi bilo seveda razumno pričakovati, da bo varovano premoženje delodajalca takšne vrednosti, ki bo odtehtala relativno invazivni poseg v sfero (tudi zasebno) delavcev.

Pred uvedbo GPS tehnologije je delodajalec dolžan s sprejetjem notranjega akta delavca seznaniti s tem, da se v službenih vozilih za določen namen (ki ga opredeli delodajalec) uporablja GPS tehnologija. Delodajalec je dolžan delavca, ki uporablja službeno vozilo, seznaniti z napravo, načinom delovanja naprave, namenom namestitve s strani delodajalca ter s primeri, v katerih bodo podatki uporabljeni.

Pri uvedbi GPS tehnologije za sledenje službenih vozil, mora delodajalec poskrbeti tudi za tehnični vidik zavarovanja zbirke osebnih podatkov, ki nastane na podlagi sledenja službenih vozil s pomočjo GPS naprave. Tako pravno kot tehnično pa je treba urediti tudi vprašanja; kdo ima dostop do tako zbranih osebnih podatkov, kdaj (kdaj je izkazan zasledovani namen), v kakšni obliki in koliko časa se podatki shranjujejo, itd

Osebni podatek je v skladu s 1. točko 6. člena ZVOP-1 katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen. Posameznik pa je na podlagi 2. točke 6. člena ZVOP-1 določena ali določljiva fizična oseba, na katero se nanaša osebni podatek, pri čemer je določljiva, če se jo lahko neposredno ali posredno identificira s pomočjo njenih identifikacijskih številk (npr. EMŠO, davčna številka, številka zdravstvenega zavarovanja, telefonska številka), ali s sklicevanjem na dejavnike, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto (npr. zaposlitev, naslov, funkcijo, položaj ali status v določenem subjektu, ipd.), pri čemer način identifikacije ne povzroča velikih stroškov, nesorazmerno velikega napora ali ne zahteva veliko časa. Obdelava osebnih podatkov na podlagi 3. točke 6. člena ZVOP-1 pomeni kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje; obdelava je lahko ročna ali avtomatizirana (sredstva obdelave).
Pooblaščenec pojasnjuje, da gre pri GPS (Global Positioning System) za satelitski navigacijski sistem, ki se uporablja za določanje natančnega položaja in časa, kjerkoli na Zemlji.
Vsaka tehnologija je sama po sebi nevtralna, lahko pa je njena aplikacija, torej način uporabe, sporen z vidika varstva osebnih podatkov. Pooblaščenec meni, da lahko delodajalec uvede sledenje vozil iz svojega voznega parka le, kadar ima za to legitimne razloge. Pri tem pa je potrebno poudariti, da je uvedbo sledenja službenih vozil potrebno presojati z vidika varstva osebnih podatkov zaposlenih (ne le z vidika interesov delodajalca), saj ima vsak zaposleni tudi pravico do zasebnosti na delovnem mestu.

Pooblaščenec svetuje, da delodajalec (v primeru, če se odloči za uvedbo nadzora s pomočjo GPS naprav) v svojih notranjih aktih vnaprej opredeli uporabo GPS naprav v službenih vozilih, saj pri izvajanju nadzora s pomočjo GPS naprav velja, da morajo biti delavci vnaprej opozorjeni kdaj in v katerih primerih delodajalec lahko opravlja takšen nadzor. Z vsebino takšnega akta morajo biti seznanjeni vsi delavci. Še posebno skrb je treba nameniti obveščanju tistih delavcev, ki imajo pravico do uporabe službenih vozil. Pred uvedbo takšnega nadzora morajo biti delavci seznanjeni tudi z načinom uporabe takšne naprave, načinom delovanja, namenom namestitve s strani delodajalca ter s primeri, v katerih bodo podatki uporabljeni. Pri tem pa poudarjamo, da se podatki, zbrani s pomočjo GPS naprave lahko uporabljajo le, za vnaprej določene namene.

Pooblaščenec pojasnjuje, da je pri obdelavi osebnih podatkov kot temeljno načelo potrebno upoštevati načelo sorazmernosti, ki je določeno s 3. členom ZVOP-1 in po katerem morajo biti osebni podatki, ki se obdelujejo, ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo. Ta določba je predvsem opozorilo vsem upravljavcem osebnih podatkov kako naj (ne prekomerno) zbirajo osebne podatke, torej zgolj tiste podatke, ki so potrebni za zagotovitev namena, zaradi katerega so se podatki začeli zbirati in obdelovati.
Pooblaščenec meni, da je namestitev naprav za sledenje na službena vozila delavcev dopustna le, kadar je to upravičeno zaradi zaščite premoženja delodajalca. Pooblaščenec meni, da je obdelava osebnih podatkov s pomočjo sledilnih naprav prekomerna, kadar delodajalec lahko delo in delovni proces organizira na način, ki omogoča uporabo drugih sredstev in načinov za preverjanje učinkovitosti dela in delavcev. Seveda je razumno pričakovati, da bo varovano premoženje delodajalca takšne vrednosti, ki bo odtehtala relativno invazivni poseg v sfero (tudi zasebno) delavcev. Ukrep mora biti tako sorazmeren tudi s tega vidika.

Z uporabo sledilne naprave nastane zbirka osebnih podatkov, katere obdelavo pa je potrebno presojati z vidika ZVOP-1. Pravna podlaga za obdelavo osebnih podatkov v zasebnem sektorju je določena z 10. členom ZVOP-1, ki v prvem odstavku določa, da se osebni podatki v zasebnem sektorju praviloma lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika.
Obdelava osebnih podatkov je na delovnopravnem področju omejena in urejena z Zakonom o evidencah na področju dela in socialne varnosti (Uradni list RS, št. 40/2006; v nadaljevanju ZEPDSV) ter Zakonom o delovnih razmerjih (Uradni list RS, št. 42/2002 in 103/2007; v nadaljevanju ZDR).
ZEPDSV določa vrste in vsebino evidenc s področja dela in socialne varnosti, način zbiranja podatkov, vodenja in povezovanja evidenc, način posredovanja podatkov za potrebe državnih organov, lokalnih skupnosti in nosilcev javnih pooblastil ter ostalih uporabnikov, ki podatke potrebujejo za opravljanje zakonsko določenih nalog. Evidence, ki jih morajo delodajalci voditi, so določene v 12. členu ZEPDSV. Med evidencami pa ni predvidene evidence, ki bi nastala na podlagi uporabe GSP naprave, zato je obdelavo podatkov v primeru uporabe GPS naprave potrebno presojati z vidika ZDR.

ZDR v 46. členu določa, da se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in dostavljajo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Osebne podatke delavcev lahko zbira, obdeluje, uporablja in dostavlja tretjim osebam samo delodajalec ali delavec, ki ga delodajalec za to posebej pooblasti. Osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, se morajo takoj izbrisati in prenehati uporabljati. Iz te določbe torej izhaja, da delodajalec lahko od delavca zahteva tudi druge osebne podatke, vendar le, če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Delodajalec mora torej natančno opredeliti katere podatke potrebuje in za katere namen. Če ne izkaže, da so deklarirani nameni potrebni zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, jih od delavca ali drugih posameznikov ne sme pridobivati.

Pooblaščenec pojasnjuje, da mora delodajalec pred uvedbo GPS tehnologije presoditi dopustnost namena, zaradi katerega želi uvesti takšno tehnologijo. Poleg tega mora delodajalec presoditi tudi njegovo primernost in sorazmernost; ali bi isti namen lahko zadovoljivo dosegel tudi z uvedbo ukrepov, ki manj posegajo v zasebnost, svobodo gibanja in dostojanstvo delavcev.
Pri uvedbi GPS tehnologije mora delodajalec upoštevati tudi tehnični vidik uvedbe, predvsem z vidika varstva osebnih podatkov. Delodajalec mora z vidika ZVOP-1 zagotoviti zavarovanje osebnih podatkov, ki obsega organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov tako, da se:
1.    varujejo prostori, oprema in sistemsko programska oprema, vključno z vhodno-izhodnimi enotami;
2.    varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki;
3.    preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih;
4.    zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov;
5.    omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov.

Pooblaščenec torej pojasnjuje, da je uvedbo GPS tehnologije potrebno presojati glede na namen zaradi katerega želi delodajalec uvesti takšno vrsto sledenja službenih vozil. Namen mora biti dopusten in utemeljen. Pred uvedbo GPS tehnologije mora delodajalec ugotoviti, če je mogoče isti namen doseči z uvedbo ukrepov, ki manj posegajo v zasebnost, svobodo gibanja in dostojanstvo delavcev. Pri uvedbi GPS tehnologije mora biti delodajalec pozoren tudi na tehnični vidik in na zavarovanje zbirke osebnih podatkov, ki nastane na podlagi sledenja s pomočjo GPS naprave. Urediti je med drugim treba vprašanja, kdo ima dostop do takšnih podatkov, ali so ti podatki ustrezno zavarovani, v kakšni obliki se shranjujejo, itd.
Uvedba GPS tehnologije za sledenje službenih vozil je po mnenju Pooblaščenca primerna le, kadar delodajalec dokaže, da je to potrebno zaradi zaščite premoženja in lastnine delodajalca in, kadar takšnega zavarovanja ni mogoče doseči z milejšimi ukrepi. Pri tem pa mora delodajalec natančno obrazložiti  zakaj, potrebuje osebne podatke, ki so uvrščeni v evidenco, ki nastane na podlagi uporabe GPS naprave – kdaj oziroma za katere namene jih bo uporabil ali drugače obdeloval.
Delodajalec pa mora predvsem izkazati, da osebne podatke delavcev, ki jih pridobi na podlagi GPS naprave, potrebuje zaradi uresničevanja pravic in obveznosti, ki izhajajo iz delovnega razmerja ali v zvezi z delovnim razmerjem. Pojasnjujemo vam tudi, da je delodajalec, pred uvedbo sledenja službenih vozil s pomočjo GPS naprav dolžan delavca vnaprej opozoriti na sledenje in ga seznaniti z delovanjem in načinom uporabe GPS naprave, namenom namestitve s strani delodajalca ter s primeri, v katerih bodo podatki uporabljeni, in sicer na način, da v ustreznem notranjem organizacijskem aktu predpiše ustrezna opozorila, navodila in ukrepe.
 

S spoštovanjem,

Informacijski pooblaščenec:
Nataša Pirc Musar, univ.dipl.prav.,      
pooblaščenka