Δεν υπάρχει ένα γενικό «ναι» για όλες τις περιπτώσεις
Η ιδιοκτησία του οχήματος από την επιχείρηση δεν αρκεί από μόνη της για απεριόριστη παρακολούθηση. Πρέπει να υπάρχει συγκεκριμένος επιχειρησιακός σκοπός, όπως οργάνωση δρομολογίων, ασφάλεια στόλου, κατανομή εργασιών ή προστασία περιουσίας.
Η επιχείρηση οφείλει να εξετάσει αν ο ίδιος σκοπός μπορεί να επιτευχθεί με λιγότερο παρεμβατικό τρόπο. Η συνεχής και λεπτομερής παρακολούθηση κάθε κίνησης δεν δικαιολογείται απλώς επειδή η τεχνολογία το επιτρέπει.
Νομική βάση: όχι αυτόματα συγκατάθεση
Στην εργασιακή σχέση η συγκατάθεση συχνά δεν θεωρείται ελεύθερη, επειδή ο εργαζόμενος μπορεί να αισθάνεται ότι δεν έχει πραγματική δυνατότητα άρνησης. Για αυτό δεν πρέπει να χρησιμοποιείται μηχανικά ως νομική βάση.
Σε πολλές περιπτώσεις εξετάζεται το έννομο συμφέρον του εργοδότη. Αυτό απαιτεί γραπτή στάθμιση: ποιο είναι το συμφέρον, γιατί η επεξεργασία είναι αναγκαία, ποια επίπτωση έχει στον εργαζόμενο και ποια μέτρα μειώνουν τον κίνδυνο. Αν υπάρχει ειδική νομική υποχρέωση ή διαφορετική βάση, αυτή αξιολογείται ξεχωριστά.
| Ερώτημα | Τι πρέπει να τεκμηριωθεί |
|---|---|
| Σκοπός | Γιατί χρειάζεται η θέση και ποια επιχειρησιακή ανάγκη καλύπτει |
| Αναγκαιότητα | Γιατί δεν αρκεί ένα λιγότερο παρεμβατικό μέτρο |
| Αναλογικότητα | Ποια δεδομένα, με ποια συχνότητα και για πόσο χρόνο |
| Δικαιώματα | Πώς ενημερώνεται και πώς ασκεί δικαιώματα ο εργαζόμενος |
| Μέτρα | Ποιος έχει πρόσβαση, πώς καταγράφεται και πώς προστατεύεται |
Τι αλλάζει όταν επιτρέπεται ιδιωτική χρήση
Όταν το εταιρικό όχημα χρησιμοποιείται νόμιμα και εκτός εργασίας, η παρακολούθηση μπορεί να αποκαλύψει κατοικία, οικογενειακές συνήθειες, υγεία, θρησκευτικούς χώρους ή άλλες ευαίσθητες πτυχές της ζωής. Η παρακολούθηση εκτός ωραρίου δεν πρέπει να θεωρείται αυτόματη προέκταση της εταιρικής χρήσης.
Χρειάζεται σαφής πολιτική και, όπου είναι τεχνικά εφικτό και κατάλληλο, μέτρο ιδιωτικότητας ή διαφορετικός τρόπος περιορισμού της επεξεργασίας. Η συγκεκριμένη λύση εξαρτάται από τη συσκευή, την πλατφόρμα, τον κίνδυνο και τη χρήση του οχήματος.
Τι πρέπει να γνωρίζει ο εργαζόμενος πριν ξεκινήσει η παρακολούθηση
Η ενημέρωση πρέπει να δίνεται πριν από την έναρξη και να είναι συγκεκριμένη. Δεν αρκεί μια γενική φράση ότι «το όχημα έχει GPS». Ο εργαζόμενος πρέπει να καταλαβαίνει τι καταγράφεται, για ποιον σκοπό, με ποια νομική βάση, ποιος βλέπει τα δεδομένα, για πόσο διατηρούνται και ποια δικαιώματα διαθέτει.
- Ταυτότητα και στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και, όπου υπάρχει, του DPO.
- Κατηγορίες δεδομένων: θέση, διαδρομή, στάσεις, χρόνος, συμβάντα ή πρόσθετα δεδομένα συσκευής.
- Σκοποί και νομική βάση για κάθε σκοπό.
- Αποδέκτες, πάροχοι και τυχόν διαβιβάσεις.
- Χρόνος διατήρησης ή κριτήρια καθορισμού του.
- Δικαιώματα πρόσβασης, διόρθωσης, περιορισμού, εναντίωσης και καταγγελίας.
Πρακτικός έλεγχος πριν από την εγκατάσταση
Πριν ενεργοποιηθεί το σύστημα, η επιχείρηση πρέπει να ολοκληρώσει τεχνικό και οργανωτικό έλεγχο. Σε περιπτώσεις συστηματικής παρακολούθησης ή υψηλού κινδύνου μπορεί να απαιτείται Εκτίμηση Αντικτύπου (DPIA). Η ανάγκη δεν κρίνεται μόνο από τον αριθμό οχημάτων, αλλά από την ένταση, τη διάρκεια, τον συνδυασμό δεδομένων και την επίπτωση στους εργαζομένους.
- Καταγράψτε σκοπούς και νομική βάση.
- Ορίστε ελάχιστα αναγκαία δεδομένα και κατάλληλη συχνότητα ενημέρωσης.
- Περιορίστε πρόσβαση ανά ρόλο και ενεργοποιήστε καταγραφή ενεργειών όπου διατίθεται.
- Ορίστε τεκμηριωμένο χρόνο διατήρησης αντί για απεριόριστη αποθήκευση.
- Εξετάστε DPIA και ζητήστε νομικό έλεγχο για τη συγκεκριμένη λειτουργία.
Συχνές ερωτήσεις
Η υπογραφή συγκατάθεσης δεν είναι ασφαλής γενική λύση στην εργασιακή σχέση. Η επιχείρηση πρέπει να επιλέξει και να τεκμηριώσει την κατάλληλη νομική βάση. Η υπογραφή μπορεί να αποδεικνύει παραλαβή της ενημέρωσης, όχι απαραίτητα ελεύθερη συγκατάθεση.
Πηγές και τεχνική τεκμηρίωση
Οι βασικές νομικές, κανονιστικές ή τεχνικές πληροφορίες του άρθρου ελέγχθηκαν από τις παρακάτω επίσημες πηγές.
- Κανονισμός (ΕΕ) 2016/679 — Γενικός Κανονισμός Προστασίας Δεδομένων (GDPR) — Άρθρα 5, 6, 13, 25, 32 και 35 για αρχές επεξεργασίας, νομική βάση, ενημέρωση, προστασία εξ αρχής, ασφάλεια και DPIA.
- Ομάδα Εργασίας του Άρθρου 29 — Γνώμη 2/2017 για την επεξεργασία δεδομένων στην εργασία — Επίσημη ευρωπαϊκή καθοδήγηση για παρακολούθηση εργαζομένων, οχήματα, αναλογικότητα και ιδιωτική χρήση.
- Ομάδα Εργασίας του Άρθρου 29 — Κατευθυντήριες γραμμές για την Εκτίμηση Αντικτύπου (DPIA) — Κριτήρια για επεξεργασίες που ενδέχεται να δημιουργούν υψηλό κίνδυνο, όπως συστηματική παρακολούθηση.
