Czy możliwy jest montaż urządzeń GPS do geolokalizacji i w pojazdach podwykonawców?

Montaż GPS w pojazdach podwykonawców jest dopuszczalny, ale tylko na jasno określonych zasadach. Do poprawnej implementacji wspomnianego rozwiązania, potrzebna jest:

1. Podstawa prawna: Podstawą przetwarzania danych osobowych kierowców jest w tym przypadku art. 6 ust. 1 lit. c ROZPORZĄDZENIA PARLAMENTU EUROPEJSKIEGO I RADY (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (dalej jako RODO) w zw. z art. 22² ustawy z dnia 26.06.1974 r. – Kodeks pracy – dalej jako k.p. oraz art. 6 ust. 1 lit. f RODO, a nie zgoda pracownika. Montaż urządzeń geolokalizacyjnych w pojazdach wykorzystywanych przez pracowników podwykonawcy przewozowego nie wymaga uzyskania ich zgody, ponieważ zgoda pracownika nie stanowi właściwej podstawy prawnej przetwarzania danych w stosunkach pracy. Na podstawie art. 22² § 1 Kodeksu pracy pracodawca jest uprawniony do stosowania monitoringu, w tym systemów umożliwiających śledzenie lokalizacji pojazdów służbowych, o ile jest to konieczne dla zapewnienia właściwej organizacji pracy pozwalającej na efektywne wykorzystanie czasu pracy, weryfikacji prawidłowości realizacji obowiązków pracowniczych lub zabezpieczenia mienia. Dopuszczalność takiego monitorowania uzależniona jest od wcześniejszego przekazania pracownikom informacji o jego wprowadzeniu, zakresie oraz celach, co znajduje podstawę w art. 22² § 6 i 7 Kodeksu pracy oraz w obowiązku informacyjnym wynikającym z art. 13 RODO.
2. Umowa udostępnienie danych ( nie mylić z umową powierzenia przetwarzania danych osobowych w rozumieniu art. 28RODO),
3. Przygotowanie po stronie przewoźnika i spedytora klauzul informacyjnych, zawierających transparentne informacje dla kierowców o celu i zakresie monitoringu, jak również spełnienie po stronie przewoźnika wymogów Kodeksu pracy w zakresie wcześniejszego poinformowania o wprowadzeniu monitoringu.

Wprowadzenie: GPS a podwykonawcy

Coraz więcej firm spedycyjnych wymaga dziś stałego wglądu w lokalizację flot aut przewoźników– również tej obsługiwanej przez podwykonawców. Systemy GPS / geolokalizacja pojazdów to powszechnie akceptowany sposób ochrony mienia, optymalizacji tras i poprawy bezpieczeństwa. Problem zaczyna się tam, gdzie lokalizacja staje się de facto narzędziem „ukrytej” kontroli kierowcy, bez spełnienia wymogów RODO i prawa pracy.

Kiedy GPS u podwykonawcy jest dopuszczalny?

Montaż lub wymaganie GPS w pojazdach podwykonawców jest co do zasady możliwe, jeśli:

• Jest jasno uzasadniony biznesowo np. ochrona ładunków wysokiego ryzyka, monitorowanie terminowo-ści dostaw, optymalizacja tras czy rozliczanie czasu pracy kierowców w transporcie.
• Zostanie uregulowany w umowie regulującej udostępnienie danych osobowych zawartej z podwykonawcą (możliwe też jest wprowadzenie odpowiednich postanowień do umów ramowych zawieranych między spedytorami a przewoźnikami). W umowie takiej, warto wskazać: koszty montażu GPS, zakres danych który będzie podlegał udostępniany, dostęp stron do systemu, zasady archiwizacji oraz odpowiedzialność za naruszenia, zakres i środki zabezpieczeń.
• W przypadku montażu urządzeń geolokalizacyjnych w aucie podwykonawcy przedsiębiorstwo spedycyjne uzyskuje dostęp do danych dotyczących lokalizacji pojazdów należących do firm transportowych w celu nadzorowania prawidłowego wykonania zleconych usług przewozowych. Jednocześnie przewoźnik występujący w roli podwykonawcy przetwarza te same informacje w ramach własnej działalności operacyjnej, w szczególności na potrzeby planowania i koordynowania pracy kierowców, ochrony przewożonego mienia oraz prawidłowego rozliczania realizowanych transportów. Oznacza to, że każda ze stron samodzielnie decyduje o celach przetwarzania danych osobowych, co wyklucza kwalifikację tej relacji jako powierzenia przetwarzania w rozumieniu art. 28 RODO. W konsekwencji mamy do czynienia z przekazywaniem danych osobowych pomiędzy odrębnymi administratorami danych w rozumieniu art. 4 pkt 7 RODO, a w przypadku wspólnego ustalania celów i sposobów przetwarzania — z relacją współadministrowania, o której mowa w art. 26 RODO.

Najważniejsze wymogi prawne (RODO i prawo pracy)

Monitoring GPS w pojazdach, także podwykonawców, to co do zasady przetwarzanie danych osobowych kierowców (lokalizacja, dane kierowcy kierującego pojazdem).

Kluczowe obowiązki:

• Obowiązek informacyjny wobec kierowców którzy muszą zostać stosownie poinformowani, że pojazd jest monitorowany, w jakim celu, w jakim zakresie, jak długo przechowuje się dane oraz kto ma do nich
• Dostęp (pełna treść klauzul informacyjnych powinna być zgodna z art. 12-13 RODO). Pojazdy powinny być odpowiednio oznaczone (ikonka/komunikat o monitoringu GPS); ukrywa-nie lokalizatora jest kategorycznie niezgodne z prawem.
• Zasada minimalizacji:. Zbieramy tylko te dane, które są niezbędne (np. trasa i czas). Dane przechowujemy tak krótko, jak to możliwe – najwłaściwszy będzie termin maksymalny 3 miesięcy od dnia nagrania, o którym mowa w art. Art.  22² 3 Kodeksu Pracy oczywiście z dopuszczalnymi wyjątkami gdy nagrania te są niezbędne np. do prowadzonego postępowania w zakresie dochodzenia roszczeń lub obrony przed roszczeniami).
• Ograniczony dostęp do danych. Dostęp powinny mieć wyłącznie osoby, którym znajomość lokalizacji pojazdu jest faktycznie po-trzebny do pracy (logistyka, bezpieczeństwo, planowanie tras), zgodnie z zasadą „need-to-know”.

Różnica: własne pojazdy vs. flota podwykonawcy

• Kto jest administratorem danych?

Podwykonawca jest administratorem danych osobowych swoich kierowców, a zleceniodawca spedytor może otrzymywać w przypadku zawarcia stosownego porozumienia, jedynie dane o przebiegu zlecenia (np. statusy, eta, pozycja pojazdu względem trasy). Jeśli zlece-niodawca ma dostęp „na żywo” do identyfikowanych kierowców, trzeba się liczyć z koniecznością uregu-lowania współadministrowania lub udostępnienia danych, o czym pisałem powyżej.

• Wymóg GPS jako warunek współpracy. W praktyce firmy logistyczne i spedycyjne często wpisują w warunkach zleceń lub odrębnych porozumieniach obowiązek wyposażenia pojazdu w GPS monitorowany przez system nad-zorujący. Takie postanowienia są dopuszczalne, pod warunkiem że podwykonawca jest świadomy wy-mogów RODO i wypełnia obowiązki informacyjne wobec swoich kierowców.
• Zakres danych udostępnianych zleceniodawcy: Nie zawsze zleceniodawca-spedytor musi widzieć „wszystko”. Można w miarę możliwości ograniczyć udostępniane dane, np. do bieżącej pozycji trasy danego zlecenia, bez pełnej historii czy danych o wykorzystaniu pojazdu poza realizacją konkretnego kontraktu.

Praktyczne rekomendacje dla firm

Jeżeli chcesz wymagać montażu GPS w pojazdach podwykonawców lub już to robisz, warto:

• Opisać monitoring w dokumentach. Ureguluj kwestię GPS w: ogólnych warunkach współpracy, umo-wach ramowych, ewentualnie umowach udostępnienia danych osobowych (nie mylić z umową powierzenia przetwarzania danych osobowych, o której mowa w art. 28 RODO).
• Zdefiniować cele i zakres. Wskaż: po co jest celem montażu urządzeń globalizacyjnych GPS (np. bezpieczeństwo ładunku, wymagania klientów zleceniodawcy, optymalizacja), jakie dane są gromadzone i jak długo je przechowujesz; unikaj formuły „do wszystkich uzasadnionych celów”.
• Zadbać o zgodność z przepisami RODO po obu stronach, tj. po stronie spedytora i przewoźnika. Poproś podwykonawców o umowne/pisemne potwierdzenie, że informują kierowców o monitoringu, prowadzą rejestr czynności przetwarzania i stosują odpowiednie zabezpiecze-nia techniczne oraz organizacyjne oraz przeprowadź audyt zgodności (jeśli chcesz napisz a wskażę CI jak to zrobić) z przepisami RODO u podwykonawców przewozowych.
• Nie stosować „tajnego” monitoringu. Takie działanie narażałoby podmiot montujący tego rodzaju urządzenia, na kary administracyjne o których mowa w RODO, a być może nawet konsekwencje natury karno-prawnej.

Można nawet udostępniać dane geolokalizacyjne klientom Zleceniodawcy-spedytora: Przekazywanie przez przedsiębiorstwo spedycyjne swoim kontrahentom informacji o bieżącej lokalizacji pojazdów wykorzystywanych przez podwykonawców transportowych może być uznane za zgodne z prawem, o ile zakres udostępnianych danych jest ograniczony do minimum koniecznego dla wykonania umowy spedycji i służy wyłącznie kontroli aktualnego przebiegu realizowanego przewozu. Podstawą prawną takiego przetwarzania jest art. 6 ust. 1 lit. b RODO, jako działanie niezbędne do realizacji zobowiązań umownych, przy jednoczesnym obowiązku respektowania zasady minimalizacji danych, wyrażonej w art. 5 ust. 1 lit. c RODO. W praktyce oznacza to, że przekazywane informacje nie powinny umożliwiać bezpośredniego ustalenia tożsamości kierowcy, jeżeli nie jest to niezbędne do osiągnięcia celu przetwarzania, a fakt udostępniania danych określonym odbiorcom powinien zostać odpowiednio uwzględniony w ramach obowiązku informacyjnego wobec osób, których dane dotyczą.