Ostatnie miesiące przyniosły ze sobą zestaw decyzji dotyczących przetwarzania danych osobowych w kontekście ruchu samochodowego. Chociaż w każdym wypadku dotyczył one konkretnego stanu faktycznego, to mogą służyć jako dobre wytyczne dla szerokiego zestawu postępowań w branży samochodowej.
System zbierający informacje o ruchu drogowym
W lipcu organ ochrony danych Dolnej Saksonii nałożył karę na Volkswagen A.G. w związku z funkcjonowaniem systemu zbierającego informacje o ruchu drogowym. Naruszenie związane było z testami nowego systemu wspomagającego pracę kierowcy. Na potrzeby analizy jego funkcjonowania, spółka wypuściła specjalnie przygotowany samochód, wyposażony w system czujników monitorujących drogę. Badając zgodność takiego postępowania z RODO, Organ Ochrony Danych Dolnej Saksonii uznał, że sam cel – poprawienie bezpieczeństwa ruchu drogowego, usprawiedliwiał zbieranie danych o innych uczestnikach drogi. Natomiast naruszenie dotyczyło zestawu innych obowiązków, które powinny zostać wykonane w związku z funkcjonowaniem takiego systemu. Volkswagen nie podpisał stosowanej umowy powierzenia (art. 28 RODO) z firmą, która faktycznie prowadziła samochód, nie umieścił na samochodzie żadnej informacji o tym, że dane o ruchu są zbierane (art. 13-14 RODO), nie przeprowadził wreszcie analizy ryzyka w związku z funkcjonowaniem takiego systemu (art. 35-36 RODO) i nie wdrożył odpowiednich zabezpieczeń systemu (art. 32 RODO). Ostateczna kara wynosiła 1 100 000 Euro.
Warto tutaj zwrócić uwagę, że nie budziło wątpliwości to, że nagrywanie uczestników ruchu związane jest z przetwarzaniem danych osobowych. Kamery i czujniki na samochodzie mogły z łatwością zebrać szeroki zakres danych, które umożliwiłyby identyfikację samochodu. Ale należy pamiętać, że nawet w sytuacji, w której dozwolone jest samo monitorowanie i nagrywanie innych uczestników ruchu, odpowiednia informacja powinna znaleźć się na samochodzie.
Szereg decyzji dotyczył kwestii lokalizacji pojazdu. Zasadność pozyskiwania takich zakwestionował natomiast francuski organ ochrony danych – CNIL. Badał on funkcjonowanie spółki Ubeeqo International, która oferowała samochody do najmu w kilku krajach Unii Europejskiej (min Francji, Belgii, Hiszpanii). Spółka zbierała między innymi dane geolokalizacyjne dotyczące wypożyczonych samochodów, identyfikując ich położenie co 500 m, a także w momentach włączenia i wyłączenia silnika oraz otworzenia i zamknięcia drzwi. Spółka twierdziła, że takie działania prowadzone były w trojakim celu:
- dla zapewnienia właściwego wykorzystywania samochodów (ich odpowiedniego parkowania, zwrotu, oraz informacji o wjechaniu do strefy miejskiej w Madrycie w związku z lokalnymi przepisami)
- dla odzyskania pojazdu w przypadku kradzieży
- dla dostarczenia kierowcy pomocy w przypadku wypadku.
Organ uznał, że powyższe cele nie uzasadniają ciągłego i regularnego zbierania danych o ruchu pojazdu. Zapewnienie, że samochód jest odpowiednio zaparkowany/zwrócony wymaga jedynie zbierania danych w chwili jego zatrzymania, a nie śledzenia pojazdu przez cały czas jego ruchu. Sprawdzenie czy samochód wjechał do strefy miejskiej w Madrycie z kolei nie mogło być podstawą dla śledzenia wszystkich pojazdów – w tym tych wynajmowanych w innych państwach w których działała spółka. Podobnie CNIL odrzucił twierdzenia o niezbędności śledzenia na potrzeby przeciwdziałania kradzieżom. Cel w tym zakresie mógł być osiągnięty poprzez aktywację urządzeń śledzących w przypadku zawiadomienia spółki o kradzieży i nie wymagał śledzenia pojazdów przez cały czas. Nie zostały przy tym wdrożone inne środku służące zabezpieczeniu przez kradzieżą, a samo śledzenie w ocenie organu nie dawało korzyści, które uzasadniałyby jego stosowanie w tym celu. Podobnie, organ uznał, że ustalanie położenia samochodu co 500m nie było niezbędne w celu udzielenia pomocy drogowej. W tym zatem przypadkach dane geolokalizacyjne nie były niezbędne do osiągnięcia zamierzonego przez spółkę celu i jako takie nie powinny być zbierane.
Warto przy tym zwrócić uwagę na fakt, ze sformułowania analizy organu wynikać może wniosek, że w niektórych przypadkach geolokalizacja byłaby dozwolona w przypadku działalności spółki, jeżeli byłaby odpowiednio ograniczona co do częstotliwości i zakresu samochodów których dotyczyła. Jednolita polityka spółki stała się tutaj także źródłem naruszenia – nawet jeżeli w pewnych sytuacjach geolokalizacja teoretycznie mogła być potrzebna, to taka potrzeba nie uzasadniała zbierania danych od wszystkich samochodów przez cały czas.
Wykorzystanie GPS do śledzenia pracowników
Zestaw decyzji dotyczył także wykorzystania GPS do śledzenia pracowników. Najdonioślejszą z nich był wyrok Europejskiego Trybunału Praw Człowieka z dnia 13 grudnia 2022 r w sprawie Florino De Almeida Vasconcelos Gramaxo p. Portugalii. Wskazano w nim, że śledzenie pojazdu służbowego w celu oceny jego wykorzystania, nawet jeżeli jest on także dopuszczony do użytku prywatnego, nie jest naruszeniem prawa do poszanowania życia prywatnego z art. 8 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności, o ile istnieją odpowiednie ograniczenia dotyczące wykorzystania takich danych.
W podobny sposób do kwestii geolokalizacji samochodów odniósł się Słoweński organ ochrony danych. W decyzji wskazał, że wprawdzie takie śledzenie samochodów służbowych jest dozwolone, jeżeli jest prowadzone w celu ochrony mienia administratora. Natomiast w każdej sytuacji trzeba wykazać, że jest to środek niezbędny i odpowiedni. W tym przypadku, gdy celem było zabezpieczenie dokumentów przewożonych samochodami służbowymi, uzasadnionym było śledzenie pojazdów w sytuacji, w której zagrożenie było zwiększone (np. dokumenty te nie znajdowały się pod bezpośrednim nadzorem pracownika). Z kolei takim uzasadnionym celem nie byłaby geolokalizacja w celu ustalenia miejsca wypadku – taki cel można osiągnąć za pomocą innych, mniej inwazyjnych środków.
Belgijski organ ochrony danych APD wskazał, że stosowanie geolokalizacji w samochodach jest dopuszczalne pod warunkiem, że nie ma innego środka pozwalającego na osiągnięcie zamierzonego celu. Jako odpowiednią podstawę dla stosowania geolokalizacji w samochodach wskazano efektywne zarządzanie ograniczonymi środkami (państwowymi) – w związku z wykonywaniem zadań publicznych. Decyzja dotyczyła organu publicznego, ale można odnieść ją również do funkcjonowania przedsiębiorstwa prywatnego. Jest to kolejna decyzja organu nadzorczego, która dopuszcza stosowanie geolokalizacji w samochodach.
Inaczej do tego tematu podszedł włoski organ ochrony danych Garante Privacy. Spółka dostarczająca urządzenia geolokalizacyjne została pozwana za przetwarzanie danych. Firma twierdziła, że RODO nie zawiera ścisłego wymogu zawarcia umowy powierzenia w formie pisemnej. GP odrzucił te twierdzenia, wskazując że taki wymóg wynika z treści RODO, wytycznych EROD oraz orzecznictwa włoskiego. Kara została nałożona za brak podstawy prawnej do zbierania danych o geolokalizacji oraz za naruszenie art. 5(1). GP zwraca uwagę na konieczność zawarcia umowy powierzenia w przypadku instalacji systemu GPS w samochodach. Spółka dostarczająca takie urządzenie odpowiada niezależnie od samego pracodawcy.
Historia samochodu
Na koniec dwie decyzje dotyczyły kwestii historii samochodu. W dwóch bardzo podobnych sprawach Fiński i Islandzki organ ochrony danych uznał, że historia samochodu może stanowić dane osobowe – i osoba, która jest właścicielem może domagać się dostępu do takich danych zgodnie z art. 15 RODO. Natomiast dotyczy to wyłącznie historii samochodu pod danym właścicielem. Dane dotyczące napraw i historii pod poprzednim właścicielem z kolei są danymi tego poprzedniego właściciela – i nie powinny być udostępniane na żądanie z art. 15 RODO.
