Kako lahko delodajalec uvede GPS sledilne naprave za nadzor delavcev?
Globalni sistem pozicioniranja (angleško: Global Positioning System) ali GPS je satelitski navigacijski sistem za pozicioniranje, sledenje in nadzor oseb, predmetov in vozil. Medtem ko GPS naprave brez omejitev uporabljamo v vsakdanjem življenju (postavimo si jih le sami), pa so sledilne naprave v delovnih razmerjih lahko hitro sporne, predvsem zaradi posega v delavčevo zasebnost, predvsem pravico do varstva osebnih podatkov in možnosti neupravičenega in nesorazmernega sledenja delavcem s strani delodajalca.
Kakšna je torej možnost uvedbe GPS naprav za namene sledenja delavcem v delovnem razmerju?
Uporabe GPS sledilnih naprav zakonodaja v Republiki Sloveniji z vidika obdelave osebnih podatkov ne ureja, kar pomeni, da mora delodajalec slediti temeljnim načelom varstva osebnih podatkov. Preveriti mora, pod kakšnimi pogoji bi bila uporaba omenjenih naprav sorazmerna in zakonita, upoštevati pa je potrebno tudi ostala načela varstva osebnostih podatkov (poštenost, transparentnost, zavarovanje, namenskost, pravice posameznika itd).
SORAZMERNOST
Prvi korak delodajalca pri uvedbi sledilnih naprav je preverjanje, ali je določena obdelava osebnih podatkov skladna z načelom sorazmernosti oz. načelom minimizacije.
Pri sami presoji sorazmernosti morajo biti na voljo naslednje informacije:
- predviden način delovanja naprave,
- kdo bo obdeloval podatke,
- kakšni so zasledovani nameni uporabe naprave,
- obseg in vrste zbranih podatkov,
- posamezniki, katerih podatki bodo obdelovani,
- kje bodo naprave nameščene,
- kako (konkretno) naj bi bili s pomočjo uporabe doseženi zasledovani cilji,
- ali obstajajo milejši ukrepi, ki bi omogočili doseganje ciljev,
- druge pomembne okoliščine, ki imajo lahko vpliv na oceno sorazmernosti (npr. varovanje posebno vrednega premoženja, predvidene varovalke za zmanjšanje posega v zasebnost posameznika).
Če je delodajalčev namen za uvedbo GPS naprav le ugotavljanje oziroma dokazovanje, ali je bilo delo delavca opravljeno ali ne, kako je delo opravil ter v kakšnem obsegu, bo GPS naprava absolutno neprimerno sredstvo, saj cilj z njeno uvedbo ne bo dosežen. Vedno se je zato potrebno vprašati, ali bomo z uporabo GPS naprav res dosegli zasledovane cilje.
Test sorazmernosti določenega posega tako obsega presojo, ali je poseg nujen (potreben), ali je poseg primeren za doseganje zasledovanega cilja, ter ali je sam poseg v človekovo pravico sorazmeren z vrednostjo zasledovanega cilja oziroma s koristmi, ki bodo zaradi posega nastale (sorazmernost v ožjem pomenu). Če poseg prestane vse tri vidika testa, bo ustavno dopusten.
Če na voljo ni dovolj informacij za oceno sorazmernosti, če z izvajanjem ukrepa oziroma z zbranimi podatki zasledovanega cilja ni mogoče doseči, če uporaba naprav ni nujna (obstajajo milejši ukrepi za dosego enakih ciljev), ali če nujna in sorazmerna uporaba naprave pomeni prevelik poseg v informacijsko zasebnost posameznika, potem uporaba GPS naprave ne bo sorazmerna.
ZAKONITOST
Naslednji korak delodajalca pri oceni učinkov na varstvo osebnih podatkov je preverjanje, ali je uvedba GPS sledilnih naprav zakonita.
Ob odsotnosti nacionalne zakonodaje o uporabi GPS naprav, se je potrebno opreti na Splošno uredbo o varstvu podatkov (v nadaljevanju: GDPR). Slednja v svojem 6. členu določa pravne podlage. Obdelava podatkov bo torej zakonita, če je izpolnjen vsaj eden od naslednjih pogojev:
- posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
- obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
- obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
- obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
- obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
- obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.[1]
Poleg tega je pomembna tudi informiranost posameznika, urejena v 13. členu GDPR. Posamezniku mora biti predstavljena sama uporaba GPS naprave, kako bo delovala, katere podatke bo zbirala in za katere namene se bodo podatki obdelovali, pravna podlaga, kdaj se bodo podatki brisali in podobno. Informiranost posameznika je tako predpogoj za veljavnost njegove privolitve.
Vendar za zakonitost uporabe GPS naprav ni zadostna samo seznanitev zaposlenih. To je zgolj dodatna dolžnost delodajalca, ki jo izpolni, potem ko je predhodno že zagotovil, da je uporaba GPS sistema zakonita in sorazmerna.
Obdelava osebnih podatkov je dopustna samo za vnaprej določene namene, kar pomeni, da mora biti namen uporabe GPS naprav vnaprej jasno opredeljen, konkretiziran in legitimen. V nasprotnem primeru bo onemogočena ocena sorazmernosti ukrepa s posegom v temeljne človekove pravice. Gre za načelo namenskosti oziroma načelo predhodne določitve namena, ki – poleg ostalih treh načel (zakonitosti, seznanjenosti in sodnega varstva) – izhaja že iz Ustave Republike Slovenije.[2]
Tudi na podlagi mnenj Informacijskega pooblaščenca lahko zaključimo, da sta ocena sorazmernosti in zakonitosti dva najpomembnejša dejavnika, ki vplivata na dopustnost uporabe GPS sledilnih naprav na delovnem mestu.
SODNA PRAKSA
Sodna praksa na področju GPS sledilnih naprav ni bogata. Do sedaj so bile omenjene naprave v Sloveniji predmet le enega postopka, in sicer na Upravnem sodišču Republike Slovenije.[3] Predmet postopka je bilo pridobivanje in shranjevanje osebnih podatkov zaposlenih, ki jih z izvajanjem sistematičnega, avtomatiziranega in kontinuiranega GPS sledenja službenih poti zaposlenih zbira delodajalec na način, da s pomočjo GPS sledilnih naprav, nameščenih v službenih vozilih, sledi gibanju teh vozil in shranjuje lokacijske podatke. V predmetni zadevi je bilo sporno le, ali je za to podana pravna podlaga v 10. členu Zakona o varstvu osebnih podatkov (v nadaljevanju: ZVOP-1) oziroma 48. členu Zakona o delovnih razmerjih (v nadaljevanju: ZDR-1).
ZVOP-1 v svojem 10. členu določa, da je obdelava osebnih podatkov v zasebnem sektorju dopustna, če je zanjo podana osebna privolitev posameznika ali če je določena z zakonom ali če je potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe ali če je to nujno zaradi uresničevanja zakonitih interesov zasebnega sektorja in ti interesi očitno prevladujejo nad interesi posameznika, na katerega se nanašajo osebni podatki. Informacijska pooblaščenka kot tožena stranka je v izpodbijani odločbi odločila, da ni podana nobena od navedenih pravnih podlag za obdelavo lokacijskih osebnih podatkov zaposlenih pri tožniku (delodajalcu), saj osebne privolitve zaposlenega ni mogoče šteti kot pravno podlago.
Upravno sodišče je odločilo, da iz zakona ne izhaja, da bi lahko osebno privolitev posameznika[4] v zasebnem sektorju obravnavali drugače. Tožena stranka (Informacijski pooblaščenec) pa v postopku sploh ni ugotavljala, ali je šlo za prostovoljne izjave volje zaposlenih, teh tudi ni zaslišala, zato je bil njen zaključek, da izjave zaposlenih niso bile dane prostovoljno in da zato ni pravne podlage, napačen.
Informacijski pooblaščenec ima kljub tej sodbi še vedno zelo strogo stališče:
Glede potrditve zaposlenih o prejemu obvestila o namestitvi sledilnih naprav in njihove dopustitve oziroma privolitve sledenju prevozov, kar navajate v vašem zaprosilu za mnenje, IP posebej poudarja, da je obdelava delavčevih osebnih podatkov na podlagi njegove osebne privolitve dopustna le izjemoma pod pogojem, da njena zavrnitev nima nikakršnih posledic na delovno razmerje oziroma na delavčev pravni položaj. Osebna privolitev v delovnih razmerjih torej je oziroma naj bo bolj izjema kot pravilo, saj je delodajalec v razmerju do delavca močnejša stranka in so možnosti za zlorabo tega instituta v delovnih razmerjih toliko večje. Tudi smernice Evropskega odbora za varstvo podatkov (EDPB) glede privolitve kot pravne podlage za obdelavo osebnih podatkov v delovnih razmerjih poudarjajo neprostovoljno naravo razmerja delavec – delodajalec, kar ovira veljavnost privolitve. Temeljni kriterij za dopustnost privolitve v delovnih razmerjih je po mnenju EDPB, da podaja ali zavrnitev privolitve za zaposlene nima nikakršnih negativnih posledic. Pri tem je treba upoštevati podrobnejša določila glede pogojev, po katerih se šteje, da je privolitev veljavna, ki so določeni v 7. členu Splošne uredbe o varstvu podatkov. Privolitev posameznika mora biti konkretna, razumljiva izjava ali drugo nedvoumno pritrdilno dejanje in dokazljiva. Molk ali kakršnakoli nedejavnost tako ne pomeni privolitve. Posameznik mora torej jasno podati privolitev za zbiranje in obdelavo svojih osebnih podatkov za konkreten namen. Namen mora biti jasno in nedvoumno opredeljen, saj je konkreten, ekspliciten in legitimen namen obdelave predpogoj za pridobitev veljavne privolitve. Upravljavec mora biti zmožen dokazati, da je posameznik privolil v obdelavo svojih osebnih podatkov. Posameznik ima tudi pravico, da svojo privolitev kadarkoli prekliče.[5]
Pripravila: Ivana Gajić (študentka na praksi)
[1] Splošna uredba o varstvu podatkov, 6. člen.
[2] Ustava Republike Slovenije, 38. člen:
Zagotovljeno je varstvo osebnih podatkov. Prepovedana je uporaba osebnih podatkov v nasprotju z namenom njihovega zbiranja.
Zbiranje, obdelovanje, namen uporabe, nadzor, in varstvo tajnosti osebnih podatkov določa zakon.
Vsakdo ima pravico seznaniti se z zbranimi osebnimi podatki, ki se nanašajo nanj, in pravico do sodnega varstva ob njihovi zlorabi.
[3] Upravno sodišče Republike Slovenije, UPRS Sodba I U 112/2018-23 z dne 17. 4. 2019.
[4] Zakon o varstvu osebnih podatkov, 14. točka 6. člena: Osebna privolitev posameznika je prostovoljna izjava volje posameznika, da se lahko njegovi osebni podatki obdelujejo za določen namen, in je dana na podlagi informacij, ki mu jih mora zagotoviti upravljavec po tem zakonu; osebna privolitev posameznika je lahko pisna, ustna ali druga ustrezna privolitev posameznika.
[5] Mnenje z dne 16.11.2021, dostopno na https://www.ip-rs.si/mnenja-gdpr/uvedba-sledenja-slu%C5%BEbenih-vozil-1637910216.