Γεωγραφικός Εντοπισμός (GPS) Εργαζομένου & Προσωπικά Δεδομένα

Επίκαιρο και ιδιαίτερα ενδιαφέρον ερώτημα αναφορικά με τα προσωπικά δεδομένα των εργαζομένων στο πλαίσιο της εργασίας τους είναι εάν και κατά πόσο επιτρέπεται σε έναν εργοδότη να εγκαταστήσει σύστημα γεωγραφικού προσδιορισμού (GPS) προκειμένου να μπορεί να εντοπίζει και να παρακολουθεί τον εργαζόμενο κατά την διάρκεια του ωραρίου εργασίας με εγκατεστημένο σύστημα επιτήρησης στο αυτοκίνητο ή σε κάποια άλλη συσκευή που χρησιμοποιεί κατά την διάρκεια του εργασιακού ωραρίου του.

Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) έχει καταστήσει σαφή την θέση της αναφορικά με οποιοδήποτε σύστημα παρακολούθησης εργαζομένων εντός των χώρων εργασίας. Η βιντεοεπιτήρηση των εργαζομένων πρέπει μόνο κατ’ εξαίρεση να επιτρέπεται εντός των χώρων εργασίας, όπου αυτό δικαιολογείται από τη φύση και τις συνθήκες εργασίας και είναι απαραίτητο για την προστασία της υγείας και της ασφάλειας προσώπων ή/και αγαθών ή την προστασία χώρων κρίσιμων υποδομών.[1] Η αυστηρότητα της ΑΠΔΧ αμβλύνεται σε κάποιο βαθμό αναφορικά με τους όρους και τις προϋποθέσεις εγκατάστασης και λειτουργίας συστημάτων γεωγραφικού μόνο εντοπισμού στον τομέα των εργασιακών σχέσεων.

Εφαρμόζοντας το προϊσχύσαν νομικό καθεστώς για την προστασία των προσωπικών δεδομένων, η ΑΠΔΠΧ εξέδωσε την Οδηγία 115/2001 με σκοπό να καθορισθούν τα ακραία όρια εντός των οποίων ο εργοδότης ή ο προϊστάμενος, ασκώντας το διευθυντικό δικαίωμα και το δικαίωμα οργάνωσης της επιχείρησης, δικαιούται να επεξεργάζεται τα προσωπικά δεδομένα των εργαζόμενων.  Αναφορικά με τη χρήση σύγχρονων μεθόδων παρακολούθησης των εργαζομένων στο χώρο εργασίας, η ΑΠΔΠΧ επισημαίνει ότι, όπως προκύπτει από την αρχή του σκοπού, την οποία ο Έλληνας νομοθέτης καθιέρωσε ως κεντρική αρχή για την προστασία των προσωπικών δεδομένων, η συλλογή και επεξεργασία δεδομένων προσωπικού χαρακτήρα των εργαζομένων επιτρέπεται αποκλειστικά για σκοπούς που συνδέονται άμεσα με τη σχέση απασχόλησης και εφόσον είναι αναγκαία για την εκπλήρωση των εκατέρωθεν υποχρεώσεων που θεμελιώνονται σε αυτή τη σχέση, είτε αυτές πηγάζουν από το νόμο είτε από σύμβαση.[2]

Σε συνέχεια της άποψης αυτής, και χωρίς κάποια ουσιαστική διαφοροποίηση παρά την αλλαγή του νομικού πλαισίου με την θέση σε ισχύ του Γενικού Κανονισμού Προστασίας Προσωπικών Δεδομένων (GDPR) και της νέας νομοθεσίας για τα προσωπικά δεδομένα, στο ερώτημα εάν δικαιούται ο εργοδότης να εγκαταστήσει σύστημα γεωγραφικού προσδιορισμού (GPS) στο αυτοκίνητό, στο κινητό τηλέφωνο[3] ή σε κάποια άλλη συσκευή που χρησιμοποιεί ο εργαζόμενος, η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα απαντά ότι η εγκατάσταση του συστήματος γεωγραφικού προσδιορισμού δεν παραβιάζει την ιδιωτική σφαίρα του εργαζομένου, εφόσον δεν αποσκοπεί στην παρακολούθηση του εργαζομένου, αλλά στην αποδοτικότερη λειτουργία της επιχείρησης (π.χ. μέσω της βελτιστοποίησης της ακολουθούμενης διαδρομής) και στην ενίσχυση της ασφάλειας των εργαζομένων.[4] Στην περίπτωση που η εγκατάσταση έχει γίνει προς διευκόλυνση των εργαζομένων για την ταχεία εύρεση του τόπου προορισμού, τότε η διαδρομή πρέπει να είναι προκαθορισμένη, το σύστημα να τοποθετείται αποκλειστικά και μόνο για αυτό το σκοπό, και ο εργαζόμενος να διατηρεί το δικαίωμα να το απενεργοποιήσει, όταν το επιθυμεί. Η αξιολόγηση της επαγγελματικής αποδοτικότητας του εργαζομένου μέσω της εγκατάστασης συστήματος γεωγραφικού προσδιορισμού, που βασίζεται για παράδειγμα στην παρακολούθηση της συμπεριφοράς του εν ώρα εργασίας ή στον υπολογισμό του χρόνου που καταναλώνει σε διαλείμματα ημερησίως,  συνιστά, καταρχήν, υπέρμετρη επεξεργασία και παραβιάζει την αρχή της αναλογικότητας.

Η ΑΠΔΠΧ έχει εκδώσει σχετικά τις αποφάσεις 162/2014, 163/2014, 165/2014, τα βασικά σημεία των οποίων περιγράφονται στην Ετήσια Έκθεση 2014[5] ως εξής:

• Για να είναι σύμφωνη η λειτουργία συστήματος γεωεντοπισμού με τις διατάξεις για την προστασία δεδομένων προσωπικού χαρακτήρα, πρέπει ο εργαζόμενος να ακολουθεί μια προκαθορισμένη διαδρομή εντός συγκεκριμένων ωρών εργασίας, ο γεωεντοπισμός να λαμβάνει χώρα εντός των ορίων της συγκεκριμένης προκαθορισμένης διαδρομής και ο εργαζόμενος να μη χρησιμοποιεί το όχημα εκτός των ωρών εργασίας.
• Ο χρόνος τήρησης των δεδομένων δεν θα πρέπει να είναι μεγαλύτερος από αυτόν που απαιτείται για την πραγματοποίηση του σκοπού επεξεργασίας και σε κάθε περίπτωση να μην ξεπερνά τον ένα μήνα.
• Ο υπεύθυνος επεξεργασίας οφείλει να λαμβάνει τα απαραίτητα μέτρα ασφάλειας για την προστασία των δεδομένων και να εξασφαλίζει ότι η πρόσβαση στα τηρούμενα δεδομένα θα γίνεται από εξουσιοδοτημένα προς τούτο πρόσωπα.
• Πρέπει να εφαρμόζονται οι κατάλληλες τεχνικές ψευδωνυμοποίησης/κωδικοποίησης ή κρυπτογράφησης.
• Ο εργοδότης οφείλει να ενημερώνει εκ των προτέρων τους εργαζομένους για το σκοπό επεξεργασίας, το είδος των καταγραφόμενων δεδομένων, το χρόνο τήρησής τους και τη διαδικασία άσκησης εκ μέρους του εργαζόμενου του δικαιώματος πρόσβασης.

Με βάση τα ανωτέρω, η ΑΠΔΠΧ παρείχε άδεια λειτουργίας GPS σε εταιρικά οχήματα του ΟΠΑΠ[6] και απορριμματοφόρα του Δήμου Πειραιά[7], υπό την προϋπόθεση ότι τα οχήματα τηρούν προκαθορισμένη διαδρομή και η εγκατάσταση του συστήματος λαμβάνει χώρα για τη βελτιστοποίηση της ακολουθούμενης διαδρομής και όχι την παρακολούθηση των εργαζομένων. Αντιθέτως, η Αρχή επέβαλε αυστηρή προειδοποίηση σε φαρμακευτική εταιρεία για τη λειτουργία GPS σε οχήματα ιατρικών επισκεπτών με την αιτιολογία ότι η διαδρομή η οποία ακολουθείται από τους ιατρικούς επισκέπτες δεν είναι προκαθορισμένη και δεν υπάρχει λόγος να είναι, αφού το ζητούμενο είναι η διεκπεραίωση του προγράμματος επισκέψεων μέσα στην ημέρα. Θα πρέπει, συνεπώς, ο υπεύθυνος επεξεργασίας να προσφύγει σε άλλα μέσα, περισσότερο αποτελεσματικά, αλλά λιγότερο επαχθή που δεν παραβιάζουν την ιδιωτικότητα του εργαζομένου (π.χ. έλεγχος παραδοτέων, αριθμός παραγγελιών, υπολογισμός μέσου χρόνου εκτέλεσης συγκεκριμένων διαδρομών και επισκέψεων). Τέλος, η Αρχή τόνισε ότι η οικειοθελής παροχή εκ μέρους του εργοδότη του οχήματος δεν μπορεί να αποτελέσει νόμιμο λόγο υποχρεωτικής εγκατάστασης συστήματος γεωεντοπισμού, καθώς αυτή συνιστά μέρος του συνόλου των παροχών του εργοδότη προς τον εργαζόμενο, οι οποίες αποτελούν μέρος των απολαβών του[8].

Στην πιο πρόσφατη σχετική της απόφαση, η ΑΠΔΠΧ, αναπαράγοντας τα συμπεράσματα των προαναφερθεισών αποφάσεων, απηύθυνε σύσταση σε εταιρία μελετών και κατασκευών για την προσαρμογή του συστήματος γεωεντοπισµού που χρησιμοποιούσε, στις νόµιµες απαιτήσεις, διότι κρίθηκε ότι η εταιρία δεν περιόριζε την λειτουργία του συστήματος γεωεντοπισµού των εταιρικών οχημάτων εντός του ωραρίου εργασίας και δεν κατόρθωσε να  αποδείξει ενώπιον της Αρχής, την προηγούμενη ενημέρωση του καταγέλλοντος εργαζομένου. [9]

Με βάση τα ανωτέρω, καταλήγει κανείς πως, για να είναι επιτρεπτή, από το νομικό πλαίσιο για την προστασία των προσωπικών δεδομένων, η χρήση συστήματος γεωγραφικού προσδιορισμού (GPS) στο χώρο εργασίας, πρέπει να συντρέχουν οι ακόλουθες προϋποθέσεις:

1. Η συλλογή και επεξεργασία των προσωπικών δεδομένων εργαζομένων πρέπει να διενεργείται μόνο για σκοπούς που συνδέονται άμεσα με τη σχέση απασχόλησης και να είναι αναγκαία για την εκπλήρωση των υποχρεώσεων των εργαζομένων που πηγάζουν από την εν λόγω σχέση και για την διευκόλυνση των εργαζομένων κατά την διάρκεια των καθηκόντων τους (π.χ. βελτιστοποίηση των διαδρομών ειδικά όταν πρόκειται για την μεταφορά ατόμων ή αγαθών σε διασκορπισμένες περιοχές).
2. Η συλλογή και επεξεργασία πρέπει να αποσκοπεί στην ενίσχυση της ασφάλειας των εργαζομένων και των μεταφερόμενων εμπορευμάτων και όχι στην αξιολόγηση της επαγγελματικής αποδοτικότητας των εργαζομένων.
3. Η συλλογή και επεξεργασία πρέπει να πραγματοποιείται αυστηρά εντός του ωραρίου απασχόλησης, εντός των ορίων συγκεκριμένης προκαθορισμένης διαδρομής και ο εργαζόμενος να μη χρησιμοποιεί το όχημα εκτός των ωρών εργασίας.
4. Ο χρόνος τήρησης των δεδομένων δεν θα πρέπει να είναι μεγαλύτερος από αυτόν που απαιτείται για την πραγματοποίηση του σκοπού επεξεργασίας και σε κάθε περίπτωση να μην ξεπερνά τον ένα μήνα.
5. Ο υπεύθυνος επεξεργασίας πρέπει να λαμβάνει τα απαραίτητα μέτρα ασφάλειας για την προστασία των δεδομένων και να εξασφαλίζει ότι η πρόσβαση στα τηρούμενα δεδομένα θα γίνεται από εξουσιοδοτημένα προς τούτο πρόσωπα.
6. Ο υπεύθυνος επεξεργασίας πρέπει να προβεί σε προηγούμενη ενημέρωση του εργαζομένου ότι πρόκειται να συλλέξει και να επεξεργαστεί προσωπικά δεδομένα του µέσω της λειτουργίας συστήματος γεωεντοπισµού και να είναι σε θέση να αποδείξει και να προσκομίσει αυτή την ενημέρωση ενώπιον της Αρχής, με βάση την υποχρέωση λογοδοσίας που τον βαρύνει.

Επομένως, η νομιμότητα της επεξεργασίας των προσωπικών δεδομένων που προκύπτουν από τη εφαρμογή του συστήματος γεωγραφικού εντοπισμού κρίνεται ad hoc βάσει της αρχής της αναλογικότητας, όταν δηλαδή διαπιστωθεί η αναγκαιότητα και προσφορότητα της επεξεργασίας αυτής και καταφαθεί ότι δεν υπάρχουν εξίσου αποτελεσματικά και ηπιότερα μέτρα. Πρέπει, δηλαδή, η εν λόγω γεωγραφική παρακολούθηση να αποσκοπεί στην καλύτερη δυνατή λειτουργία της επιχείρησης μέσω της διευκόλυνσης του εργαζομένου, να είναι αναγκαία για την εκπλήρωση των υποχρεώσεων που πηγάζουν από την εργασιακή σχέση και να έχει σκοπό την ασφάλεια των εργαζομένων και των μεταφερόμενων εμπορευμάτων, η οποία δεν μπορεί να επιτευχθεί διαφορετικά. Στις ανωτέρω περιπτώσεις, νομιμοποιητική βάση της επεξεργασίας θα μπορούσε να αποτελέσει, κατά περίπτωση, η έννομη υποχρέωση ή/και το έννομο συμφέρον του υπεύθυνου επεξεργασίας και η διαφύλαξη ζωτικού συμφέροντος του υποκειμένου (άρθρο 6 παρ.1 γ,δ,στ GDPR).

H συγκατάθεση του εργαζομένου δεν μπορεί να αποτελέσει την νομιμοποιητική βάση για την επεξεργασία που διενεργείται με την εφαρμογή του συστήματος γεωγραφικού εντοπισμού. Σύμφωνα µε τη Γνώμη 2/2017 της Ομάδας Εργασίας του άρθρου 29[10] σπανίως ο εργαζόμενος δύναται να παρέχει έγκυρη συγκατάθεση στον εργοδότη για την επεξεργασία των δεδομένων προσωπικού του χαρακτήρα, εκτός εάν οι εργαζόμενοι μπορούν να αρνηθούν την επεξεργασία χωρίς αρνητικές συνέπειες. Ως εκ τούτου, σε τέτοιες επεξεργασίες ως νομική βάση δεν θα πρέπει να εφαρμόζεται η συγκατάθεση εξαιτίας της φύσης της εργασιακής σχέσης. Μία τέτοια υποχρέωση για παροχή συγκατάθεσης θα κλόνιζε την ίδια την φύση της συγκατάθεσης ως αποτέλεσμα ελεύθερης βούλησης του εργαζομένου, αφού το βάρος της απόφασης για το αν θα πρέπει να τοποθετηθεί σύστημα γεωγραφικής παρακολούθησης ή όχι θα μετατοπιζόταν αποκλειστικά στον ίδιο τον εργαζόμενο, ο οποίος πιθανόν να ερχόταν σε σύγκρουση με τον εργοδότη του ή να καταπιεζόταν να πάρει μία απόφαση που καταρχήν δεν επιθυμούσε. Για να είναι σύννομη η εν λόγω συλλογή και επεξεργασία προσωπικών δεδομένων, οι εργοδότες, αντί να επιζητούν τη συγκατάθεση, θα πρέπει να διερευνούν αν μπορούν να αποδείξουν ότι η εποπτεία της ακριβούς θέσης των εργαζομένων τους είναι αναγκαία και εξυπηρετεί θεμιτό σκοπό, καθώς επίσης και να εξετάζουν αν αυτή η αναγκαιότητα παραβιάζει τα θεμελιώδη δικαιώματα και τις ελευθερίες των εργαζομένων.

Όταν, κατά τα ανωτέρω, συντρέχουν οι νομιμοποιητικές βάσεις που δικαιολογούν την συλλογή και επεξεργασία προσωπικών δεδομένων του εργαζομένου μέσω του συστήματος γεωγραφικής παρακολούθησης (GPS), απαιτείται σε κάθε περίπτωση η προηγούμενη ενημέρωση του. Η ενημέρωση, πρέπει να είναι ατομική, να πιστοποιείται με εύλογο τρόπο και να είναι αναλυτική ώστε να περιλαμβάνει τουλάχιστον τον σκοπό για τον οποίο γίνεται η επεξεργασία, το είδος των καταγραφόµενων δεδομένων, το χρονικό διάστημα τήρησης των δεδομένων, τις κατηγορίες/ιδιότητες προσώπων που χειρίζονται το σύστημα γεωεντοπισμού, τυχόν νόμιμους αποδέκτες και τη διαδικασία άσκησης των δικαιωμάτων του εργαζόμενου, ειδικά του δικαιώματος πρόσβασης.

Περαιτέρω, υποστηρίζεται ότι για την εφαρμογή συστήματος γεωγραφικού εντοπισμού, απαιτείται Εκτίμηση Αντικτύπου, για την καλύτερη δυνατή προστασία των δεδομένων, καθώς το συγκεκριμένο είδος επεξεργασίας, που βασίζεται σε νέες τεχνολογικές μεθόδους, η φύση και οι σκοποί της επεξεργασίας, ενδέχεται να επιφέρουν υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των εργαζομένων (π.χ. εάν τα δεδομένα γεωγραφικού εντοπισμού χρησιμοποιούνται για συστηματική παρακολούθηση)[11].

Ζωή Αθανασιάδου (LL.M., Ph.D. c. ) 

Δικηγόρος-Νομικός σύμβουλος

 Συνεργάτης GDPRteam 

 

 

[1] ΑΠΔΠΧ Οδηγία 1/2011 σχετικά με τη χρήση συστημάτων βιντεοεπιτήρησης για την προστασία προσώπων και αγαθών.

[2] ΑΠΔΠΧ Οδηγία 115/2001 για την επεξεργασία δεδομένων των εργαζομένων.

[3] Η ΑΠΔΠΧ δεν διακρίνει την περίπτωση του κινητού τηλεφώνου ως ξεχωριστού μέσου γεωγραφικού εντοπισμού του εργαζομένου και φαίνεται να εξισώνει από άποψη προστασίας προσωπικών δεδομένων την περίπτωση της εγκατάστασης συστήματος γεωγραφικού εντοπισμού στο αυτοκίνητο με αυτήν που το σύστημα εγκαθίσταται στο κινητό τηλέφωνο του εργαζομένου.  Δεν χωράει αμφιβολία ότι στην τελευταία περίπτωση, ο σκοπός, ως αντίβαρο για την συλλογή και επεξεργασία των προσωπικών δεδομένων του εργαζομένου, πρέπει να είναι πολύ ισχυρότερος λόγω της υπέρμετρης επεξεργασίας που παραβιάζει την αρχή της αναλογικότητας. Στην περίπτωση του κινητού τηλεφώνου, η αναγκαιότητα και η προσφορότητα της επεξεργασίας αυτής είναι πολύ δυσκολότερο να αποδειχθεί διότι υπάρχουν εξίσου αποτελεσματικά και ηπιότερα μέτρα που επιτυγχάνουν τον ίδιο σκοπό. Ως εκ τούτου, η εγκατάσταση συστήματος γεωγραφικού εντοπισμού στο κινητό τηλέφωνο του εργαζομένου θα μπορούσε να είναι σύννομη ως επεξεργασία μόνο στην περίπτωση που ως αντίβαρο θεμελιώνεται η ασφάλεια του ίδιου του εργαζομένου σε επαγγέλματα αυξημένης επικινδυνότητας.

[4] https://www.dpa.gr/portal/page?_pageid=33,125890&_dad=portal&_schema=PORTAL.

[5] ΑΠΔΠΧ ΕΤΗΣΙΑ ΕΚΘΕΣΗ ΑΠΟΦΑΣΕΩΝ 2014 (σελ.97-98).

[6] ΑΠΔΠΧ Απόφαση 162/2014.

[7] ΑΠΔΠΧ Απόφαση 163/2014.

[8] ΑΠΔΠΧ Απόφαση 165/2014.

[9] ΑΠΔΠΧ Απόφαση 37/2019.

[10] Γνώμη 2/2017 Ομάδας Εργασίας Άρθρου 29 σχετικά με την επεξεργασία δεδομένων στην εργασία.

[11] Με ημερομηνία 15.09.2020 Απόφαση του Ανώτατου Δικαστηρίου της Ισπανίας που επισημαίνει την σημασία της ενημέρωσης του υποκειμένου και την διενέργεια εκτίμησης αντικτύπου στην περίπτωση εφαρμογής συστήματος γεωεντοπισμού εταιρικού οχήματος (STS 3017/2020 – ECLI: ES:TS:2020:3017 http://www.poderjudicial.es/search/openDocument/8adba1406c95ebc3 ).

 

ΠΗΓΕΣ:

• Γενικός Κανονισμός Προστασίας Προσωπικών Δεδομένων ΕΕ 2016/679 (GDPR)
• Νόμος 4624/2019 : Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, μέτρα εφαρμογής του Κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 27ης Απριλίου 2016 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων
• ΑΠΔΠΧ Οδηγία 1/2011 σχετικά με τη χρήση συστημάτων βιντεοεπιτήρησης για την προστασία προσώπων και αγαθών
• ΑΠΔΠΧ Οδηγία 115/2001 για την επεξεργασία δεδομένων των εργαζομένων
• ΑΠΔΠΧ Απόφαση 162/2014
• ΑΠΔΠΧ Απόφαση 163/2014
• ΑΠΔΠΧ Απόφαση 165/2014
• ΑΠΔΠΧ Απόφαση 37/2019
• ΕΤΗΣΙΑ ΕΚΘΕΣΗ ΑΠΟΦΑΣΕΩΝ ΑΠΔΠΧ 2014
• Με ημερομηνία 15.09.2020 Απόφαση του Ανώτατου Δικαστηρίου της Ισπανίας (STS 3017/2020 – ECLI: ES:TS:2020:3017 http://www.poderjudicial.es/search/openDocument/8adba1406c95ebc3 )