Monitoring GPS a prywatność pracowników: co powinien wiedzieć pracodawca

Monitoring pojazdów pomaga przydzielać zlecenia, odzyskiwać skradzione pojazdy, planować serwis i odpowiadać na pytania klientów. Tworzy jednak także szczegółowy zapis tego, gdzie przebywali Państwa pracownicy. W świetle ogólnego rozporządzenia o ochronie danych (RODO) taki zapis to dane osobowe, a zasady ich zbierania są surowsze, niż zakłada wiele firm. Ten poradnik omawia pytania, na które pracodawca powinien odpowiedzieć przed instalacją lokalizatorów GPS w pojazdach, którymi jeżdżą pracownicy, i po niej.

Dlaczego pozycja pojazdu jest daną osobową

RODO obejmuje wszelkie informacje o osobie, którą można zidentyfikować, i wymienia dane o lokalizacji jako jeden ze sposobów identyfikacji (art. 4 pkt 1). Sama pozycja może opisywać wyłącznie pojazd. Gdy jednak wiadomo, kto prowadził – dzięki przypisaniu kierowcy, karcie do tachografu albo grafikowi dyżurów – opisuje ona tego kierowcę.

To samo stwierdziła w opinii na temat przetwarzania danych w miejscu pracy Grupa Robocza Art. 29 – zespół europejskich organów ochrony danych, którego miejsce zajęła później Europejska Rada Ochrony Danych (EROD): pracodawca korzystający z telematyki pojazdów gromadzi dane zarówno o pojeździe, jak i o pracowniku, który z niego korzysta. W zależności od urządzenia mogą to być nie tylko dane o lokalizacji, lecz także o stylu jazdy.

Na początek: jasny cel i podstawa prawna

Zanim cokolwiek zostanie zainstalowane, należy zapisać, w jakim celu prowadzony jest monitoring. Typowe cele to przydzielanie i planowanie pracy, ochrona pojazdów i towarów przed kradzieżą, bezpieczeństwo kierowców, wypełnianie obowiązków prawnych i rejestrowanie kilometrów przejechanych służbowo. Zasada ograniczenia celu (art. 5 ust. 1 lit. b) oznacza, że nie można później wykorzystać danych do czegoś niezwiązanego, np. do oceny wyników poszczególnych osób, bez sprawdzenia, czy nowy cel jest zgodny z pierwotnym.

Następnie dla każdego celu należy wybrać odpowiednią podstawę prawną z art. 6:

• Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) to zwykła podstawa monitorowania floty w firmach prywatnych. Wymaga testu równowagi: prawa pracownika nie mogą przeważać nad Państwa interesem, a monitoring musi być niezbędny do osiągnięcia celu.
• Obowiązek prawny (art. 6 ust. 1 lit. c) obejmuje zapisy wymagane przez prawo, np. zapisy tachografu zawodowych kierowców. Nie obejmuje wszystkich innych zastosowań tego samego lokalizatora.
• Zadanie realizowane w interesie publicznym (art. 6 ust. 1 lit. e) to podstawa dla organów publicznych, które przy wykonywaniu swoich zadań nie mogą powoływać się na prawnie uzasadniony interes.
• Zgoda (art. 6 ust. 1 lit. a) rzadko sprawdza się w pracy. EROD uważa za mało prawdopodobne, by pracownicy mogli swobodnie odmówić pracodawcy, dlatego zgoda zasadniczo nie jest właściwą podstawą ich monitorowania.

Informowanie kierowców przed rozpoczęciem monitoringu

Zgodnie z art. 13 pracownicy muszą zostać jasno poinformowani – i to przed rozpoczęciem monitoringu – kto ich monitoruje, w jakim celu, na jakiej podstawie prawnej, kto będzie widział dane, jak długo są one przechowywane i jakie prawa im przysługują. Grupa Robocza zaleca też widoczną informację w każdym monitorowanym pojeździe, w zasięgu wzroku kierowcy, a brytyjski organ ochrony danych, Information Commissioner's Office (ICO), oczekuje, że pracodawcy poinformują o monitorowaniu pojazdów zarówno pracowników, jak i pasażerów.

• Pisemna polityka monitorowania pojazdów przekazana każdemu kierowcy
• Krótka informacja w każdym monitorowanym pojeździe
• Aktualizacja polityki za każdym razem, gdy dochodzi nowy cel lub nowy rodzaj odczytu, np. poziom paliwa albo gwałtowne hamowanie
• Zaangażowanie przedstawicieli pracowników lub rady pracowników przed uruchomieniem systemu, jeśli wymaga tego prawo krajowe

Zbieranie tylko niezbędnych danych

Zasada minimalizacji danych (art. 5 ust. 1 lit. c) dotyczy każdego odczytu wysyłanego przez lokalizator. Nowoczesne lokalizatory mogą przesyłać prędkość, gwałtowne hamowania, poziom paliwa, dane silnika i wiele więcej. Należy zdecydować, które z tych danych służą zapisanym celom, a pozostałych nie wykorzystywać. Grupa Robocza ujęła tę zasadę wprost:

„Urządzenia monitorowania pojazdów nie są urządzeniami monitorowania pracowników. Ich funkcją jest śledzenie lub monitorowanie lokalizacji pojazdów, w których są zainstalowane. Pracodawcy nie powinni postrzegać ich jako urządzeń do śledzenia lub monitorowania zachowania lub miejsca pobytu kierowców lub innych pracowników, na przykład poprzez wysyłanie powiadomień o prędkości, z jaką porusza się pojazd”.
Grupa Robocza Art. 29, opinia 2/2017 na temat przetwarzania danych w miejscu pracy, z przytoczeniem opinii 13/2011

Monitorowanie sposobu jazdy trudniej uzasadnić niż wiedzę o tym, gdzie jest pojazd. Według ICO pracodawcy muszą przeprowadzić ocenę skutków dla ochrony danych, zanim zaczną monitorować zachowanie lub styl jazdy kierowców, a francuski organ ochrony danych, CNIL, wskazuje, że geolokalizacji nie wolno używać do sprawdzania, czy kierowcy przestrzegają ograniczeń prędkości. Jeśli chcą Państwo korzystać z alertów o prędkości lub agresywnej jeździe, należy ocenić je osobno i wyjaśnić kierowcom.

Samochody służbowe używane prywatnie

Najwięcej problemów z monitoringiem pojazdów pojawia się przy użytku prywatnym. Jeśli pracownicy mogą jeździć samochodem służbowym po pracy, w weekendy lub na urlopie, monitorowanie ich w tym czasie bardzo trudno uzasadnić. Grupa Robocza uznała za mało prawdopodobne, aby istniała podstawa prawna monitorowania lokalizacji pojazdów poza uzgodnionymi godzinami pracy. Stwierdziła też, że jeśli dozwolony jest użytek prywatny, pracownik powinien co do zasady mieć możliwość czasowego wyłączenia śledzenia lokalizacji, gdy uzasadniają to okoliczności, np. wizyta u lekarza.

Krajowe organy idą w tym samym kierunku:

• We Francji CNIL wskazuje, że pracownicy muszą mieć możliwość wyłączenia zbierania lub przesyłania swojej lokalizacji poza czasem pracy, w tym podczas przerw i dojazdów między domem a pracą.
• W Zjednoczonym Królestwie ICO wskazuje, że pracodawcy rzadko będą w stanie uzasadnić monitorowanie podczas użytku prywatnego, i podaje przykład systemu, który kierowca może wyłączyć poza godzinami pracy.

Jeśli potrzebna jest pewna ochrona poza godzinami pracy, np. przed kradzieżą, Grupa Robocza proponuje proporcjonalne rozwiązanie: poza godzinami pracy lokalizacja nie jest rejestrowana, chyba że pojazd opuści szeroko wyznaczony obszar – i dopiero wtedy jest pokazywana. Stanowisko CNIL jest surowsze: we Francji lokalizacji nie wolno zbierać poza czasem pracy nawet w celu zapobiegania kradzieżom.

Niezależnie od wybranego rozwiązania kilometry służbowe i prywatne należy rozdzielać, a sposób zgłaszania użytku prywatnego ustalić na piśmie.

Ograniczanie dostępu do danych

RODO wymaga odpowiedniego bezpieczeństwa i poufności (art. 5 ust. 1 lit. f i art. 32), dlatego dane o lokalizacji powinny być widoczne tylko dla osób, które ich potrzebują. Dyspozytor potrzebuje dzisiejszych pozycji, księgowy zwykle żadnych. Każdej roli należy nadać możliwie najwęższy dostęp, który pozwala na pracę, prowadzić ewidencję tego, kto ma dostęp, i weryfikować ją przy zmianie stanowisk.

Równie ostrożnie trzeba podchodzić do linków do lokalizacji na żywo dla klientów. Pozycję pojazdu należy udostępniać tylko tak długo, jak wymaga tego dostawa lub wizyta, a potem zatrzymać udostępnianie. CNIL dodaje, że nazwiska kierowcy nie należy przekazywać klientom, chyba że jest to niezbędne.

Przechowywanie historii lokalizacji tylko tak długo, jak to konieczne

Zasada ograniczenia przechowywania (art. 5 ust. 1 lit. e) wymaga określenia okresu przechowywania dla każdego celu. RODO nie podaje konkretnej liczby, ale krajowe wytyczne pokazują skalę. CNIL wskazuje na przykład, że dane geolokalizacyjne powinny być co do zasady przechowywane nie dłużej niż dwa miesiące, do roku – gdy służą optymalizacji tras lub udowodnieniu wykonanej pracy, jeśli nie ma innego dowodu – i do pięciu lat, gdy służą ewidencji czasu pracy.

Okresy przechowywania należy wpisać do polityki monitorowania i do rejestru czynności przetwarzania (art. 30), a historię, która nie jest już potrzebna, usunąć lub zanonimizować.

Sprawdzenie, czy potrzebna jest ocena skutków (DPIA)

Ocena skutków dla ochrony danych (DPIA) jest wymagana, gdy przetwarzanie może powodować wysokie ryzyko naruszenia praw osób (art. 35). Wytyczne Grupy Roboczej dotyczące oceny skutków wymieniają kryteria wskazujące na wysokie ryzyko, m.in. systematyczne monitorowanie i dane osób wymagających szczególnej opieki – grupy, do której wprost zaliczono pracowników. Wytyczne traktują też dane o lokalizacji jako dane o wysoce osobistym charakterze. W większości przypadków przetwarzanie spełniające dwa kryteria wymaga oceny skutków, a systematyczne monitorowanie pojazdów pracowników zwykle spełnia co najmniej dwa.

Ocena skutków opisuje cel, uzasadnia, dlaczego monitoring jest niezbędny i proporcjonalny, oraz przedstawia ryzyka dla kierowców i środki, które je ograniczają, np. tryb prywatności, ograniczenia dostępu i krótki okres przechowywania. Jeśli w firmie jest inspektor ochrony danych, należy od początku zasięgać jego opinii.

Odpowiadanie na żądania kierowców

Kierowcy zachowują prawa wynikające z RODO w odniesieniu do danych z monitoringu. Mogą zażądać kopii swoich danych (art. 15), sprostowania nieprawidłowych danych (art. 16), a jeśli podstawą jest prawnie uzasadniony interes – wnieść sprzeciw wobec przetwarzania (art. 21). Należy z góry ustalić, kto odpowiada na takie żądania i jak wyeksportować przejazdy i pozycje jednego kierowcy za dany okres.

Przepisy krajowe obok RODO

Artykuł 88 pozwala każdemu państwu ustanowić bardziej szczegółowe przepisy dotyczące przetwarzania danych w kontekście zatrudnienia, a prawo pracy często dodaje własne wymogi. Kilka przykładów:

• Niemcy: zgodnie z § 87 ust. 1 pkt 6 ustawy o ustroju zakładów pracy (BetrVG) rada zakładowa ma prawo współdecydowania w sprawie urządzeń technicznych przeznaczonych do monitorowania zachowania lub wydajności pracowników, co zwykle obejmuje monitoring pojazdów.
• Francja: przed instalacją systemu geolokalizacji należy poinformować przedstawicieli pracowników lub przeprowadzić z nimi konsultacje, a zastosowanie mają opisane wyżej wytyczne CNIL.
• Włochy: art. 4 Statutu pracowników (ustawa nr 300/1970) dopuszcza urządzenia, które umożliwiają także zdalną kontrolę pracowników, wyłącznie ze względu na potrzeby organizacyjne i produkcyjne, bezpieczeństwo pracy lub ochronę mienia firmy. Zwykle wymaga to porozumienia z zakładowymi przedstawicielami związków zawodowych albo zezwolenia Krajowego Inspektoratu Pracy, a pracownicy muszą zostać poinformowani, jak urządzenia są używane i jak przeprowadzane są kontrole.
• Zjednoczone Królestwo: obowiązuje brytyjskie RODO (UK GDPR), a wytyczne ICO dotyczące monitorowania pracowników szczegółowo omawiają monitoring pojazdów.
• Macedonia Północna: ustawa o ochronie danych osobowych (Dziennik Urzędowy nr 42/2020, zmieniona nr 294/2021 i nr 101/2025) jest dostosowana do RODO, a nadzór nad jej stosowaniem sprawuje Agencja Ochrony Danych Osobowych.

Jeśli kierowcy są zatrudnieni w kilku państwach, należy sprawdzić przepisy każdego z nich.

Lista kontrolna przed włączeniem monitoringu

1. Zapisać każdy cel i jego podstawę prawną.
2. Zdecydować, które odczyty będą wykorzystywane, a pozostałe pominąć.
3. Ustalić zasady użytku prywatnego i wstrzymywania monitoringu.
4. Określić, kto może widzieć pozycje, historię i dane kierowców.
5. Ustalić okres przechowywania dla każdego celu.
6. Przeprowadzić ocenę skutków (DPIA) albo zapisać, dlaczego nie jest potrzebna.
7. Zaangażować przedstawicieli pracowników, jeśli wymaga tego prawo.
8. Poinformować każdego kierowcę i umieścić informację w każdym pojeździe.
9. Dodać monitoring do rejestru czynności przetwarzania.
10. Zapytać dostawcę, gdzie przechowywane są dane, i zawrzeć z nim umowę powierzenia przetwarzania danych.
11. Przeglądać konfigurację raz w roku i za każdym razem, gdy dochodzi nowy cel.

Jak Office Hero wspiera te kroki

Fleet Hero, aplikacja Office Hero do zarządzania flotą, sama nie sprawi, że monitoring będzie zgodny z prawem, ale daje do dyspozycji mechanizmy opisane w wytycznych:

• Pauza prywatności: gdy pauza jest włączona, pozycje pojazdu są odrzucane w chwili odbioru i nigdy nie są zapisywane. Dystans prywatny jest nadal liczony – ze stanu licznika albo na podstawie prędkości i czasu – a mapa na żywo i udostępnione linki pokazują pojazd jako wstrzymany.
• Zaplanowane okresy prywatne: okres prywatny można zaplanować z wyprzedzeniem – trwający do 31 dni i do roku naprzód – a rejestrowanie samo się zatrzymuje i wznawia.
• Pauzy w dzienniku audytu: każda pauza jest rejestrowana, a osoby bez uprawnienia do włączania pauzy w ogóle nie widzą tej funkcji.
• Role i reguły dostępu do rekordów: każdą osobę można ograniczyć do potrzebnych jej pojazdów, kierowców i geostref. Kierowcy domyślnie widzą tylko własne pojazdy.
• Alerty tylko tam, gdzie Państwo zdecydują: Fleet Hero generuje alerty wyłącznie na podstawie reguł utworzonych przez kogoś w Państwa firmie albo gdy ktoś zgłosi alert ręcznie.
• Wygasające linki: link do lokalizacji na żywo jest ważny 15 minut, 1 godzinę, 24 godziny lub 7 dni, można go w każdej chwili zatrzymać i pokazuje pojazd, a nie nazwisko kierowcy.

Do włączenia pauzy potrzebne jest uprawnienie, które nadają Państwo personelowi, a Office Hero Connect, w którym logują się kierowcy, nie ma przycisku pauzy. W polityce należy określić, kto wstrzymuje monitoring w imieniu kierowców i w jaki sposób kierowcy o to proszą.

Szacunkową trasę drogową przez zakończony okres prywatny mogą na żądanie narysować osoby z osobnym uprawnieniem. Mają je administratorzy firmy, a także osoby z wbudowaną rolą „Fleet Manager”, ponieważ wchodzi ono w skład ich pełnego dostępu do Fleet Hero. Oszacowanie jest zawsze oznaczone jako takie i nie trafia do przejazdów, raportów ani eksportów. Ponieważ pokazuje prawdopodobną trasę prywatnej podróży, w polityce należy określić, kiedy wolno z niego korzystać, a kierownikom floty, którzy nie powinni mieć tego uprawnienia, nadać rolę niestandardową bez niego.

Fleet Hero nie ma jeszcze ustawienia, które automatycznie usuwa historię lokalizacji po wybranym okresie. Okres przechowywania prosimy omówić z nami przed rozpoczęciem monitoringu.