Za zakonito izvajanje GPS sledenja službenih vozil in obdelavo osebnih podatkov zaposlenih mora podjetje, ki v tem primeru nastopa kot upravljavec osebnih podatkov, izpeljati naslednje korake:

1.       Popis stanja in ciljev, ki se z uvedbo sledenja zasledujejo, ter izvedba ocene učinkov

Pred uvedbo GPS sledenja službenih vozil mora podjetje, ki v tem primeru nastopa kot upravljavec osebnih podatkov, natančno opredeliti in določiti, zakaj je uvedba GPS nujna in sorazmerna in zakaj težav ni mogoče rešiti z drugimi milejšimi ukrepi.

Popisati je treba naslednje informacije:

• o tem, kako konkretno bodo z GPS sledenjem rešeni zasledovani cilji,
• predviden način delovanja GPS naprav,
• namen GPS sledenja in obdelave podatkov,
• obseg podatkov, ki se obdelujejo,
• osebe, katerih podatki se obdelujejo (kateri vozniki in zaposleni),
• o načinu in lokaciji namestitev naprav (vrste vozil, skupine uporabnikov),
• podlage za obdelavo osebnih podatkov,
• kdo pri upravljavcu bo osebne podatke obdeloval in do njih dostopal.

Ker gre pri uvedbi GPS sledenja za sistematičen nadzor zlasti nad zaposlenimi, ki se temu ne morejo izogniti, in s tem za občutno nesorazmerje moči med upravljavcem in posameznikom, na katerega se osebni podatki nanašajo, je glede na Seznam dejanj obdelav osebnih podatkov, za katere velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov po 4. odstavku člena 35 Uredbe (EU) 2016/679^[1], objavljen s strani Informacijskega pooblaščenca, za predvideno obdelavo potrebna izvedba ocene učinka v skladu s 35. členom Uredbe GDPR. Ravno z izvedeno oceno učinka se poskrbi za analizo tveganj ter oceno potrebnosti in sorazmernosti predvidene obdelave glede na namen, ki ga zasleduje delodajalec kot upravljavec. Oceno učinka je treba izvesti pred predvideno obdelavo osebnih podatkov. 

2.       Sprejem aktov in drugih potrebnih dokumentov

Način delovanja naprav, nameni uporabe, dostop do zbirk podatkov, kdo so pooblaščene osebe za dostop in obdelavo podatkov, ki nastanejo z GPS sledenjem, obdobje hrambe in določene druge informacije se opredelijo z internim aktom, npr. s pravilnikom o GPS sledenju. V pravilniku se opredeli tudi pravna podlaga za obdelavo osebnih podatkov in postopki ter ukrepi za varnost podatkov (možno je tudi sklicevanje na Pravilnik o varovanju osebnih podatkov, kjer so tehnični in organizacijski ukrepi natančneje opredeljeni).

V primeru, če GPS sledenje izvaja zunanji izvajalec, je treba z njim podpisati pogodbo o obdelavi osebnih podatkov v skladu z 28. členom Uredbe GDPR.

Za obdelavo osebnih podatkov v zvezi s sistemom GPS sledenja se vzpostavi evidenca dejavnosti obdelave v skladu s 30. členom Uredbe GDPR.

3.       Seznanitev uporabnikov – zaposlenih

Delodajalec je dolžan, preden uvede GPS sledenje službenim vozilom, delavce:

• seznaniti z internim aktom, ki ureja GPS sledenje na službenih vozilih,
• seznaniti z napravo, načinom delovanja naprave in namenom namestitve ter s primeri, v katerih bodo podatki uporabljeni.

V ta namen se pripravi obvestilo za zaposlene in izjava o seznanitvi z uvedbo GPS sledenja za delavce, ki bodo v sistem sledenja kakorkoli vključeni. Podpisane izjave delodajalec hrani v kadrovskih mapah zaposlenih.

Pripravila:

Vesna Ložak Polanec