GPS σε εταιρικό όχημα και προσωπικά δεδομένα: Πρόστιμο 2.000 ευρώ για τον εντοπισμό αδειούχου εργαζόμενου (ΑΠΔΠΧ 6/2024)

Η Αρχή δέχθηκε την καταγγελία πρώην εργαζομένου σε θέση υπαλλήλου – πωλητή, σύμφωνα με την οποία τα προσωπικά δεδομένα του είχαν τύχει παράνομης επεξεργασίας μέσω του συστήματος γεωεντοπισμού που λειτουργούσε σε όχημα το οποίο του είχε παραχωρηθεί από την καταγγελλόμενη πρώην εργοδότρια εταιρεία.

Όπως ειδικότερα ισχυρίστηκε ο καταγγέλλων, «κατά τη διάρκεια της κανονικής του άδειας τον κάλεσαν στο τηλέφωνο από την καταγγελλόμενη και εκείνος δεν ανταποκρίθηκε στις κλήσεις. Ο διευθυντής πωλήσεων της καταγγελλόμενης έκανε χρήση των δεδομένων του εγκατεστημένου συστήματος γεωεντοπισμού στο εταιρικό αυτοκίνητο και εμφανίστηκε στο σούπερ μάρκετ όπου ο καταγγέλλων είχε πάει για ψώνια.» Επί του ζητήματος της εγκατάστασης του συστήματος και της ενημέρωσής του για τη λειτουργία του, ο καταγγέλλων ισχυρίστηκε πως αυτές είχαν πραγματοποιηθεί δύο εβδομάδες πριν το περιστατικό.

Η Αρχή κοινοποίησε την καταγγελία στην καταγγελλόμενη, ζητώντας τις έγγραφες απόψεις της επί των διαλαμβανομένων. Η εταιρεία απάντησε πως «είχε προβεί σε προσήκουσα ενημέρωση του καταγγέλλοντος σχετικά με το σύστημα γεωεντοπισμού και ότι δεν επιτρεπόταν χρήση του οχήματος εκτός ωραρίου. Η καταγγελλόμενη χρήση του συστήματος γεωεντοπισμού πραγματοποιήθηκε διότι ο καταγγέλλων δεν ανταποκρίθηκε στις τηλεφωνικές τους κλήσεις επί τρεις μέρες, και υπήρξε ανησυχία για την υγεία του εργαζόμενου λόγω του ότι στο παρελθόν υπήρξε ένα περιστατικό υγείας».

Ακολούθως και μετά την ακρόαση των μερών ενώπιον της Αρχής, η καταγγελλόμενη υποστήριξε πως η χρήση του αυτοκινήτου που είχε παραχωρηθεί στον καταγγέλλοντα αφορούσε στην κάλυψη υπηρεσιακών και μόνο αναγκών εντός ωραρίου εργασίας, ενώ δεν είχε προβλεφθεί τεχνική δυνατότητα απενεργοποίησης του συστήματος γεωεντοπισμού στο εν λόγω αυτοκίνητο, αναφέροντας παράλληλα πως ο καταγγέλλων είχε ενημερωθεί σχετικά με την τοποθέτηση του συστήματος με επιστολή.

Περαιτέρω, η εταιρεία έθεσε υπόψιν της Αρχής τις ενέργειες στις οποίες προέβη μετά την καταγγελία για το συμβάν, προκειμένου να αποκλειστεί κάθε τυχόν μελλοντική κακή χρήση των εν λόγω συστημάτων εντοπισμού. Στις ενέργειες αυτές περιλαμβάνονταν η τοποθέτηση νέων συστημάτων γεωεντοπισμού, με δυνατότητα απενεργοποίησης από τους χρήστες, ο ορισμός υπευθύνου χειριστή, η επικαιροποίηση των οδηγιών χρήσης και η σύνταξη νέων εγγράφων γνωστοποίησης της εγκατάστασης και λειτουργίας.

Η απόφαση της Αρχής

Αφού εισαγωγικώς έκρινε τον ρόλο της καταγγελλόμενης ως υπευθύνου επεξεργασίας, ζήτημα που ήταν κρίσιμο καθώς η επίμαχη επεξεργασία – αναζήτηση είχε γίνει από υπάλληλο της εταιρείας, η Αρχή υπενθύμισε τη Γνώμη 2/2017 της Ομάδας Εργασίας του Άρθρου 29, σύμφωνα με την οποία «δεν είναι πιθανό να υπάρχει νομική βάση για την παρακολούθηση της θέσης των οχημάτων των εργαζομένων εκτός του συμφωνημένου ωραρίου εργασίας. Ωστόσο, εάν υπάρχει τέτοια ανάγκη, θα πρέπει να εξετάζεται χρήση που θα είναι ανάλογη των κινδύνων. Για παράδειγμα, αυτό θα μπορούσε να σημαίνει ότι, για την πρόληψη της κλοπής οχημάτων, η θέση του οχήματος δεν καταγράφεται εκτός του ωραρίου εργασίας, εκτός εάν το όχημα εγκαταλείψει μια ευρύτερη τοποθεσία (περιφέρεια ή ακόμα και χώρα). Επιπλέον, η τοποθεσία θα εμφανίζεται μόνο σε περιπτώσεις έκτακτης ανάγκης – ο εργοδότης ενεργοποιεί την ορατότητα της θέσης, προσπελάζοντας δεδομένα που έχουν ήδη αποθηκευτεί από το σύστημα, όταν το όχημα βγαίνει από μια προκαθορισμένη περιοχή».

Ακολούθως και διευκρινίζοντας πως δεν ελέγχει την τεκμηρίωση της νομιμότητας για τη λειτουργία του συστήματος, αλλά περιορίζεται στην εξέταση της καταγγελίας και του συγκεκριμένου περιστατικού, η Αρχή διαπίστωσε πως «υπάλληλος της καταγγελλομένης προέβη σε χρήση των δεδομένων γεωεντοπισμού του οχήματος καταφανώς εκτός ωρών εργασίας, αφού ο καταγγέλλων βρισκόταν σε νόμιμη άδεια με σκοπό να εντοπίσει τη θέση που βρισκόταν ο καταγγέλλοντας, όπως αποδεικνύεται από το γεγονός ότι εμφανίστηκε ο εν λόγω υπάλληλος στη θέση αυτή».

Με βάση τα ανωτέρω, η Αρχή διαπίστωσε δύο παραβάσεις εκ μέρους της καταγγελλόμενης:

α. παράνομη επεξεργασία των προσωπικών δεδομένων του καταγγέλλοντος, λόγω της χρήσης των δεδομένων εντοπισμού του οχήματός του εκτός ωρών εργασίας και για τον σκοπό του εντοπισμού του καταγγέλλοντος, και

β. ελλιπή ενημέρωση του καταγγέλλοντος, κατά παράβαση των άρθρων 5 παρ. 1 εδ. α και των άρθρων 12 και 13 και 5 παρ. 2 εδ. β του ΓΚΠΔ, σχετικά με τη λειτουργία του συστήματος που είχε εγκατασταθεί στο όχημα που του παραχωρήθηκε, ανεξαρτήτως του ότι δεν είχε το δικαίωμα να το χρησιμοποιεί εκτός ωρών εργασίας, γεγονός που παραδέχτηκε η καταγγελλόμενη και προέβη σε διορθωτικές ενέργειες εφεξής.

Για την πρώτη παράβαση επιβλήθηκε διοικητικό πρόστιμο 2.000 ευρώ, ενώ για τη δεύτερη η Αρχή απηύθυνε επίπληξη.

Η απόφαση είναι διαθέσιμη στον ιστότοπο της Αρχής