Technologie umożliwiające pracodawcom monitorowanie lokalizacyjne należących do nich pojazdów są dziś standardem, w szczególności w firmach zarządzających dużymi flotami pojazdów. Urządzenia GPS umożliwiają zwiększenie efektywności realizowanych zadań i optymalizację kosztów. Ich wykorzystywanie musi odbywać się jednak w określonych ramach prawnych, co stanowi dla pracodawcy źródło dodatkowych obowiązków. Znajomość i przestrzeganie tych ram jest niezbędne aby uniknąć przykrych konsekwencji jakimi mogą skutkować naruszenia norm kodeksu pracy czy regulacji dotyczących danych osobowych. Pracodawca prowadzący monitoring GPS swojej floty powinien zatem zadać sobie pytanie – czy jego działania są zgodnie z wymogami prawnymi i co zrobić, aby spać spokojnie.
GPS jako inna forma monitorowania pracownika
Monitoring wizyjny nie jest jedyną formą monitoringu, jaką może stosować pracodawca wobec pracowników. Zgodnie z Kodeksem pracy pracodawca może stosować również inne formy monitoringu jak na przykład monitoring poczty elektronicznej czy tytułowy monitoring pojazdów służbowych. Pracodawca może stosować zatem dowolną formę monitoringu pracowników pod warunkiem, że jest to niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego użytkowania udostępnionych pracownikowi narzędzi pracy. Co ważne – oba te warunki muszą być spełnione łącznie.
Tym samym pracodawca powinien w pierwszej kolejności ocenić, czy powyższe warunki są spełnione w przypadku zamiaru zamontowania urządzeń GPS w pojazdach służbowych powierzonych pracownikom. Ocena powinna uwzględniać zakres obowiązków służbowych pracownika, charakter wykonywanej przez niego pracy i niezbędność zastosowania urządzeń o określonych funkcjach. Zasadność stosowanej formy monitoringu pracownika może być przedmiotem kontroli – zaleca się zatem, aby ocena była udokumentowana.
Wypełnienie powyższych warunków może rodzić problemy praktyczne – jako przykład można wskazać tutaj wymóg wyposażenia pojazdów w GPS nałożony przez ubezpieczyciela (w celu zabezpieczenia przed kradzieżą). Takie dodatkowe zabezpieczenie mienia, o ile nie będzie jednocześnie wypełniać opisanych powyżej wymogów art. 223 § 1 Kodeksu pracy, nie będzie stanowić formy monitoringu pracownika dopuszczalnej przez przepisy Kodeksu pracy.
Wykorzystanie pojazdów w celach prywatnych
Pracodawcy czasami dopuszczają korzystanie przez pracowników z pojazdów służbowych poza godzinami pracy oraz w czasie przerw. W sytuacji kiedy pojazdy te są wyposażone w urządzenia GPS pracodawca de facto ma możliwość monitorowania prywatnego wykorzystania pojazdu przez pracownika – co zgodnie z art. 223 § 2 Kodeksu pracy stanowi działanie niedozwolone. Stosowany monitoring nie może naruszać dóbr osobistych pracownika – tutaj prawa do prywatności. Podejście takie potwierdził Europejski Trybunał Praw Człowieka w sprawie Bărbulescu przeciwko Rumunii (skarga 61496/08, wyrok z dn. 7 września 2017 r.) stwierdzając, że prywatność pracownika powinna być odpowiednio zabezpieczona przed monitoringiem stosowanym przez pracodawcę.
Rozwiązaniem praktycznym tego problemu może być stosowanie monitoringu z opcją przełączenia trybu służbowego i prywatnego lub opcją wyłączenia. W ten sposób pracownik może z własnej inicjatywy chronić dane dotyczące lokalizacji traktując je jako prywatne.
Monitoring GPS a dane osobowe
Urządzenia monitorowania pojazdów nie są urządzeniami monitorowania pracowników. To stwierdzenie najlepiej oddaje czym pracodawca powinien się kierować ustalając zasady monitorowania lokalizacyjnego pojazdów służbowych zgodnie z RODO. Dane GPS przyporządkowane są do pojazdu i do określonego pracownika, tym samym dochodzi do przetwarzania danych osobowych pracownika już w kontekście samej lokalizacji bieżącej, a to nie wszystko co może być monitorowane. Dane z urządzeń mogą zapisywać również informacje o stylu jazdy, zużyciu paliwa i wiele innych. Wszystkie te informacje w powiązaniu z osobą kierowcy – pracownika stanowią jego dane osobowe, a co za tym idzie ich przetwarzanie przez pracodawcę musi być zgodne z regulacjami RODO.
Podstawowym problemem, z którym może zetknąć się pracodawca jest zapewnienie, że w wyniku monitoringu pracodawca nie będzie uzyskiwać więcej informacji niż faktycznie potrzebuje do realizacji przyjętych celów (nierejestrowanie informacji, które nie są niezbędne). Pracodawca powinien ponadto zapewnić m.in. aby dane pracownika były przetwarzane w sposób rzetelny i przejrzysty dla pracownika oraz żeby nie były przechowywane przez okres dłuższy, niż jest to niezbędne dla realizacji celów. Wypełnienie wymogów sposobu przetwarzania danych osobowych powinno być zbadane przez pracodawcę w odniesieniu do określonej sytuacji.
Problem praktyczny może stwarzać prawidłowe określenie podstawy przetwarzania danych pracownika zgodnie z RODO. Przyjmuje się, że przetwarzanie danych w celu polepszenia dysponowania zasobami dla świadczenia usług w rozproszonych lokalizacjach czy zapewnieniu bezpieczeństwa pracownikom, towarom bądź pojazdom może być uzasadnione ze względu na jego niezbędność dla celów wynikających z prawnie uzasadnionych interesów pracodawcy. (Art. 6 ust. 1 lit. f) RODO) (nie ma wówczas potrzeby wyrażania przez pracownika zgody na takie przetwarzanie). Podstawa ta nie znajdzie jednak zastosowania wówczas, gdy monitorowanie GPS będzie służyć wyłącznie monitorowaniu pracy pracownika. Problem prawidłowego określenia podstawy prawnej przetwarzania danych przy wykorzystaniu monitoringu GPS pojazdów był przedmiotem decyzji austriackiego organu ds. ochrony danych osobowych (DSB). Organ uznał, że zgoda pracownika na taką formę monitoringu w rozpatrywanej sprawie nie może być uznana jako wyrażona dobrowolnie i nie może być podstawą przetwarzania (decyzja z dnia 8 sierpnia 2018 r., DSB-D213.658/0002-DSB/2018, decyzja nie jest ostateczna). Tym samym podstawa prawna przetwarzania powinna być zawsze badana przez pracodawcę w odniesieniu do indywidualnej sytuacji.
Obowiązek informacyjny
Pracodawca powinien wypełnić wobec pracownika obowiązek informacyjny zgodnie z art. 13 RODO poprzez przekazanie szczegółowej informacji o celach i sposobach przetwarzania danych osobowych pracownika. W określonych sytuacjach pracodawca powinien ponadto, przed wprowadzeniem monitoringu GPS pojazdów flotowych, dokonać oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych. Taka ocena poprzedzająca rozpoczęcie przetwarzania musi być wykonana zgodnie z art. 35 ust. 1 RODO wówczas, gdy dany rodzaj przetwarzania może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych. Przeprowadzenie i udokumentowanie powyższej oceny ryzyka (nazywanej DPIA – Data Protection Impact Analysis) może być obowiązkowe u pracodawcy prowadzącego monitoring lokalizacyjny pojazdów flotowych, na co wskazuje Prezes Urzędu Ochrony Danych Osobowych w komunikacie z dn. 17 czerwca 2019 r. – przetwarzanie danych lokalizacyjnych pracowników zostało wskazane przez Prezesa UODO jako rodzaj operacji wymagający potencjalnie oceny skutków dla ochrony danych.