Προσωπικά δεδομένα: Παρακολούθηση οχημάτων μέσω GPS και έννομο συμφέρον (Εποπτική Αρχή Σλοβενίας)

Με απόφασή της η Εποπτική Αρχή της Σλοβενίας για την προστασία δεδομένων προσωπικού χαρακτήρα έκρινε ότι η προστασία της περιουσίας μπορεί να συνιστά έννομο συμφέρον για την παρακολούθηση οχημάτων μέσω GPS, ωστόσο τα μέτρα που υιοθετούνται πρέπει να είναι κατάλληλα και αναγκαία.

Ιστορικό

Ο υπεύθυνος επεξεργασίας εισήγαγε την παρακολούθηση επτά εταιρικών οχημάτων μέσω GPS το 2009, μετά από περιστατικό κλοπής στις εγκαταστάσεις του. Τα οχήματα χρησιμοποιούνταν για τη μεταφορά και τοποθέτηση εξοπλισμού στις εγκαταστάσεις πελατών. Σκοπός της παρακολούθησης των οχημάτων μέσω GPS ήταν η προστασία από κλοπή των οχημάτων, καθώς και του εξοπλισμού και των εγγράφων, που βρίσκονταν μέσα στα οχήματα αυτά.

Ο υπεύθυνος επεξεργασίας δήλωσε ότι η παρακολούθηση με GPS δεν συνιστούσε επεξεργασία προσωπικών δεδομένων και ότι τα υποκείμενα των δεδομένων μπορούσαν να ταυτοποιηθούν μόνο σε εξαιρετικές περιπτώσεις (ποινικά αδικήματα, προστασία προσώπων και αγαθών, τροχαία ατυχήματα, αστικές αξιώσεις, κοκ.). Σύμφωνα με τους ισχυρισμούς του, η εφαρμογή GPS δεν μπορούσε να έχει πρόσβαση στα προσωπικά δεδομένα των υπαλλήλων, οι οποίοι χρησιμοποιούσαν το όχημα, καθώς αυτά τηρούνταν σε ξεχωριστό αρχείο. Η επεξεργασία των δεδομένων γινόταν μέσω εφαρμογής, η υποστήριξη της οποίας είχε ανατεθεί σε εξωτερικό συνεργάτη – εκτελούντα την επεξεργασία.

Βασικές διαπιστώσεις

Η Εποπτική Αρχή της Σλοβενίας διαπίστωσε ότι ο υπεύθυνος επεξεργασίας πραγματοποίησε παρακολούθηση μέσω GPS οκτώ εταιρικών οχημάτων. Τα οχήματα χρησιμοποιούνταν από υπαλλήλους, ως οχήματα παράδοσης αγαθών και μεταφοράς επιβατών. Ο εντοπισμός γινόταν με ειδικό πομπό στο όχημα και πραγματοποιείτο μέσω εφαρμογής, η οποία κατέγραφε διαρκώς τη διαδρομή που είχε ακολουθηθεί. Τα φυσικά πρόσωπα ήταν ταυτοποιήσιμα.

Ο υπεύθυνος επεξεργασίας τηρούσε ειδικό αρχείο, το οποίο περιείχε μεγάλο αριθμό δεδομένων τοποθεσίας των υπαλλήλων. Τα δεδομένα τύγχαναν επεξεργασίας αδιαλείπτως, συστηματικά και αυτόματα, έτσι ώστε ο εργοδότης να μπορεί να πληροφορηθεί ανά πάσα στιγμή, ακόμη και αναδρομικά, την τοποθεσία του προσώπου που κινείτο με ένα από τα οχήματα αυτά. Επίσης, ο εργοδότης μπορούσε με ευκολία να προσδιορίσει τον υπάλληλο που χρησιμοποιούσε το εταιρικό όχημα, ο οποίος ως εκ τούτου αποτελούσε το υποκείμενο των δεδομένων ως προς τα δεδομένα τοποθεσίας.

Η σλοβενική εποπτική αρχή διερεύνησε εάν υπήρχε νομική βάση για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα σύμφωνα με το άρθρο 6 ΓΚΠΔ.

Απόφαση

Το πρώτο ζήτημα που αξιολογήθηκε ήταν το κατά πόσον η επεξεργασία δεδομένων ήταν νόμιμη, σύμφωνα με το άρθρο 6 παράγραφος 1 στοιχείο στ’ του ΓΚΠΔ, ήτοι το έννομο συμφέρον του υπευθύνου επεξεργασίας.

Η σλοβενική εποπτική αρχή δέχθηκε ότι η προστασία των περιουσιακών στοιχείων μπορεί να συνιστά έννομο συμφέρον του υπευθύνου επεξεργασίας, ωστόσο στη συγκεκριμένη περίπτωση ο εργοδότης δεν απέδειξε ότι ο τρόπος με τον οποίο το μέτρο εφαρμόστηκε ήταν κατάλληλος και αναγκαίος. Αυτό που διαπιστώθηκε ήταν ότι ο εντοπισμός μέσω GPS πραγματοποιείτο ακόμη και όταν το όχημα και τα εντός αυτού αγαθά βρίσκονταν υπό τη συνεχή και άμεση επίβλεψη υπαλλήλου.

Η σλοβενική εποπτική αρχή αποφάσισε ότι στη συγκεκριμένη περίπτωση ο εντοπισμός μέσω GPS θα μπορούσε να χρησιμοποιείται μόνο υπό την προϋπόθεση ότι αυτός θα ενεργοποιείτο από τον οδηγό στο σημείο όπου το όχημα και τα αγαθά θα βρίσκονταν σε κίνδυνο και θα απενεργοποιείτο από τη στιγμή που αυτά θα ήταν και πάλι υπό την επίβλεψή του.

Όσον αφορά τον σκοπό της ασφάλειας προσώπων σε περίπτωση τροχαίων ατυχημάτων, η σλοβενική αρχή έκρινε ότι η συνεχής παρακολούθηση με GPS ήταν δυσανάλογη. Ο τόπος ενός δυστυχήματος είναι συνήθως γνωστός, ενώ θα μπορούσε να δηλώνεται και από τον ίδιο τον οδηγό. Ως εκ τούτου, ο υπεύθυνος επεξεργασίας θα έπρεπε να χρησιμοποιεί μέσα λιγότερο παρεμβατικά επί της ιδιωτικότητας των προσώπων.

Η σλοβενική εποπτική έκρινε ότι ο υπεύθυνος επεξεργασίας δεν τεκμηρίωσε έννομο συμφέρον, σύμφωνα με το άρθρο 6 παράγραφος 1 στοιχείο στ΄ ΓΚΠΔ, καθώς και ότι ο εντοπισμός μέσω GPS δεν ήταν σύμφωνος με την αρχή της ελαχιστοποίησης των δεδομένων (άρθρο 5 παράγραφος 1 στοιχείο γ΄ ΓΚΠΔ).

Για τους λόγους αυτούς, διέταξε τον υπεύθυνο επεξεργασίας να διακόψει την επεξεργασία προσωπικών δεδομένων των εργαζομένων που συλλέγονταν με συνεχή, συστηματική και αυτόματη παρακολούθηση με GPS.

Σύνοψη της απόφασης έχει αναρτηθεί στον ιστότοπο του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων.