Poczucie bezpieczeństwa jest tym, czym się staje.
Wykorzystywanie nowych technologii w celu kontrolowania aktywności pracowników nie jest zjawiskiem nowym. Dzisiaj wielu pracodawców korzysta z narzędzi służących do obserwacji, takich jak kamery, programy śledzące aktywność pracowników w sieci, czy lokalizatory. Te ostatnie umożliwiają pracodawcom, w dowolnym miejscu i czasie na świecie, na dostęp do informacji dotyczącej tego, co dzieje się w miejscu pracy, jakie prace są tam prowadzone, kto zlecił daną pracę, jaki zespół pracowników znajduje się w danym momencie w miejscu pracy i przy jakiej operacji (zadaniu), a także zweryfikować informacje dotyczące konkretnego pracownika. Inaczej mówiąc, wdrażają rozwiązanie dające możliwość geolokalizacji swoich pracowników. Czy taki sposób postępowania jest zgodny z RODO i akceptowany z punktu widzenia prawa pracy?
Ramy prawne
Zgodnie z art. 4 pkt. 1 RODO „dane osobowe” oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”), przy czym możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Zatem należy przyjąć, iż dane dotyczące lokalizacji danej osoby fizycznej są „daną osobową” w rozumieniu RODO. Z kolei zgodnie z art. 4 pkt. 2) RODO „przetwarzaniem danych osobowych” jest operacja lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taka jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Jeśli tak, to zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie informacji dotyczących danych o lokalizacji osoby fizycznej (pracownika), stanowi to przykład przetwarzania danych osobowych. Oczywistą konsekwencją tego jest zatem obowiązek ochrony danych osobowych osób, których dane dotyczą w ramach w/w przetwarzania jej danych, w tym konieczność wywiązania się przez użytkownika aplikacji dającej taką możliwość z obowiązków określonych w RODO oraz innych regulacjach dotyczących ochrony danych osobowych.
Z kolei ramy prawne w ramach szeroko rozumianego monitoringu pracowników wyznaczają znowelizowane przepisy Kodeksu pracy tj. art. 222 oraz art. 223. Aby tak rozumiany monitoring był wykorzystywany przez pracodawcę zgodnie z prawem, powinien on zrealizować szereg obowiązków wynikających nie tylko z Kodeksu pracy, ale również i RODO. Do najważniejszych z nich zaliczymy:
Podobnie jak w przypadku monitoringu wizyjnego, podstawowym celem wdrożenia geoloklizacji jest zapewnienie pełnego wykorzystania czasu pracy, właściwego użytkowania udostępnionych pracownikowi narzędzi pracy, kontrola produkcji lub zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę, monitorowanie położenia pracownika oraz jego aktywności, a także ochrona mienia pracodawcy oraz zapewnienie bezpieczeństwa pracowników oraz (co w wielu przypadkach posiada walor jeszcze ważniejszy) podniesienie skuteczności zarządzania „ruchem pracowników” i ich przemieszczaniem się. Ten ostatni element staje się szczególnie ważny dla tych pracodawców, którzy w ramach swojej produkcji zobowiązani są do pozostawania przez swoich pracowników w oznaczonych strefach produkcji. Zgodnie z art. 223 Kodeksu pracy § 4 przepisy §1-3 (monitoring wizyjny) stosuje się odpowiednio do innych form monitoringu niż określone w § 1, jeśli ich zastosowanie jest konieczne do realizacji celów określonych w § 1. Powyższe cele mieszczą się w katalogu celów stosowania monitoringu, który można wywieść z dyspozycji art. 222 §1K.p. i art. 223 §1K.p. Należy zatem założyć, iż przy zrealizowaniu wszystkich wskazanych powyżej reguł dotyczących monitoringu, rozwiązanie takie będzie zgodne z przepisami prawa pracy, w szczególności z zapisami Kodeksu Pracy dotyczącymi monitoringu pracowników.
Istota geolokalizacji
Dzięki zastosowaniu odpowiednich urządzeń oraz specjalnie dedykowanego oprogramowania, pracodawcy mają dzisiaj możliwość lokalizowania w czasie rzeczywistym wszelkich narzędzi oraz osób (pracowników i współpracowników). Geolokalizacja pracowników daje jego użytkownikowi setki, a nawet tysiące strumieni danych w postaci wartości liczbowych oraz tekstowych. W przypadku monitoringu zbierane dane przekształca się na informacje poprzez oglądanie nagrań i wyciąganie wniosków z obserwacji. Można to robić osobiście, czy też za pomocą zaawansowanego programu, który analizuje obraz. Dzięki geolokalizacji dane przetwarzane są automatycznie już na etapie ich zbierania, co pozwala w czasie rzeczywistym mieć dostęp do ogromnej ilości informacji takich jak:
We wszystkich tych aspektach mamy do czynienia z czynnością związaną z lokalizowaniem w danym miejscu lub lokalizowaniem w ruchu pracownika lub grupy wybranych osób. W tym miejscu należy przypomnieć, iż Kodeks Pracy określa m.in. granice dopuszczalności stosowania monitorowania, prawa pracowników w tym zakresie oraz obowiązki pracodawcy związane z uruchomieniem oraz utrzymaniem różnych form monitorowania. Pracodawca nie ma prawa do naruszania prywatności pracownika w miejscu pracy (na przykład poprzez śledzenie korespondencji e-mail czy sprawdzanie lokalizacji samochodu kierowanego przez pracownika) bez poważnego powodu związanego z charakterem jego pracy. Prowadzony nadzór nie może naruszać tajemnicy korespondencji oraz innych dóbr osobistych pracownika. Kontrola może być wprowadzona jedynie w celach wskazanych w art. 222 §1 K.P (monitoring wizyjny), tj. jeżeli jest to niezbędne do:
Zgodnie art. 223 § 4 K.P. jeżeli jest to niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego użytkowania udostępnionych pracownikowi narzędzi pracy, przepisy § 1–3 stosuje się odpowiednio do innych form monitoringu niż określone w § 1. Generalnie rzecz ujmując oznacza to, że zasadniczym celem, dla którego pracodawca wprowadza jakąkolwiek formę monitoringu aktywności pracownika powinna być taka organizacja pracy, która umożliwia pełne wykorzystywanie czasu pracy oraz wykorzystanie powierzone pracownikowi narzędzia do celów zawodowych.
Jakie dane i jaka przesłanka przetwarzania?
Należy przyjąć, iż w ramach szeroko rozumianej geolokalizacji pracowników pracodawca będzie przetwarzał następujące dane osobowe:
Przepisy RODO wskazują, że każda czynność przetwarzania danych powinna być oparta na którejś ze wskazanych w rozporządzeniu podstaw prawnych. Oznacza to, że musi wystąpić określona, przewidziana przepisami prawa sytuacja, aby możliwe było przetwarzanie danych. Najczęściej wykorzystywanymi przez przedsiębiorców podstawami przetwarzania danych w odniesieniu do danych lokalizacyjnych są:
Niezależnie od posiadania ważnej podstawy prawnej do przetwarzania danych osobowych, administratorzy muszą pamiętać o przestrzeganiu zasady celowości, która stanowi, że dane osobowe powinny być przetwarzane wyłącznie w zakresie, w jakim jest to niezbędne do osiągnięcia celu przetwarzania. Oznaczałoby to, że co do zasady przetwarzanie danych o lokalizacji powinno być ściśle powiązane z zamierzonym celem. Przykładowo, firma stosująca weryfikację lokalizacji pracowników nie powinna wykorzystywać danych w celach marketingowych. Należy przy tym pamiętać, iż zgodnie z zasadą privacy by default administrator powinien zbierać tylko te dane, które są niezbędne do realizacji określonego celu przetwarzania w jak najwęższym zakresie. Jeżeli więc podstawowe funkcjonalności aplikacji mobilnej nie wymagają stosowania geolokalizacji, to należałoby ją domyślnie wyłączyć. W takim przypadku ewentualna decyzja o włączeniu geolokalizacji powinna zostać pozostawiona samemu użytkownikowi. Przykładem realizacji zasady privacy by design jest domyślne wyłączanie usług i systemów badających lokalizację oraz umożliwienie użytkownikowi prostego sposobu na włączenie zbierania tychże danych.
Geolokalizacja a transfer danych osobowych
Sytuacje, w których pracodawca samodzielnie przetwarza dane osobowe w ramach geolokalizacji nie jest regułą. Najczęściej konkretny pracodawca zleca prowadzenie takiego monitoringu innemu podmiotowi zewnętrznemu, a to dlatego, iż nie jest w stanie lub nie chce samodzielnie wdrażać rozwiązań technicznych pozwalających mu na korzystanie z takiej możliwości. Jeśli tak, to będziemy mieli do czynienia z transferem danych osobowych do podmiotu trzeciego, który pełnił będzie w takim układzie funkcję Procesora (podmiotu przetwarzającego). Procesor jest podmiotem, który przetwarza dane osobowe w imieniu administratora, robi to wyłącznie w zakresie i celu, jakie zostały określone przez administratora danych, a jego prawa i obowiązki w zakresie przetwarzanych danych zasadniczo określa umowa powierzenia przetwarzania danych osobowych; nie interesuje go katalog przesłanek legalizujących, bo to właśnie umowa powierzenia stanowi podstawę prawną przetwarzania przez niego danych osobowych;. Podstawę prawną powierzenia danych stanowi art. 28 ust. 1 RODO. Brzmi on w następujący sposób: Jeżeli przetwarzanie ma być dokonywane w imieniu administratora, korzysta on wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi niniejszego rozporządzenia i chroniło prawa osób, których dane dotyczą. Dodatkowo art. 28 ust. 2 wyjaśnia, iż w ramach Umowy Powierzenia Administrator szczegółowo określa Procesorowi w sposób wiążący między innymi „przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora”. Istotą powyższej konstrukcji jest fakt zlecenia przez podmiot zewnętrzny, będący Administratorem Danych Osobowych, innemu podmiotowi (występującym tutaj w roli Procesora), wykonania jakiegoś przetwarzania danych przez Procesora przekazanych mu przez Administratora w ramach konkretnego celu przetwarzania. Może się zdarzyć, iż podpisanie prostej umowy powierzenia nie wystarczy. Trzeba bowiem pamiętać, iż przetwarzanie danych przez podmiot zewnętrzny w związku z wdrożeniem przez nich usługi „geolokalizacji pracowników” często odbywa się w ramach „chmury” udostępnionej przez inny podmiot. Zatem dochodzić tutaj będzie do podpowiedzenia przez Procesora innemu podmiotowi danych osobowych przetwarzanych przez niego na zlecenie innego administratora. W ramach „chmury” cała infrastruktura systemu uruchomiona jest najczęściej w dedykowanym VPC (Virtual Private Cloud), w obrębie którego w ramach konkretnego regionu ruch sieciowy jest szyfrowany. Dzięki temu, pomimo wykorzystywania infrastruktury współdzielonej, poziom bezpieczeństwa jest wysoki. Dane przechowywane są w obrębie regionów, które podzielone są na strefy. Regiony odpowiadają określonym obszarom w różnych obszarach świata, a strefy to kilka wydzielonych serwerowni w ramach jednego regionu. Dane mogą być swobodnie i bezpiecznie kopiowane między regionami, co zasadniczo zapewnia wysoki poziom bezpieczeństwa i dostępności. Ważne jest tutaj, aby podmiot korzystający z dostawcy zewnętrznego takiej usługi upewnił się, czy Procesor będzie podpowierzał przetwarzanie danych innemu podmiotowi, oraz czy będzie to podmiot działający w ramach EOG.
Przepisy dotyczące ochrony danych osobowych wiele wymagań opisuje ogólnikowo i to od nas zależy, jak bardzo dane te zabezpieczymy. Nadrzędnym celem jest ochrona danych. Co do zasady można przyjąć, iż dane w chmurze będą bezpieczniejsze niż na zwykłych serwerach czy VPSach. Przypomnijmy, iż polskie prawo nie zabrania przetwarzania danych na terenie EOG (Europejski Obszar Gospodarczy). Nie ma zatem formalnych przeszkód, aby dane osobowe umieścić w chmurze, np. Amazona, w regionie zlokalizowanym na terenie Irlandii, czy Niemiec. Nie powinno być także problemu ze spełnieniem innego warunku, tj. posiadania wiedzy, gdzie dokładnie znajdują się dane osobowe – podpisując umowę z danym Hosterem możemy sobie zapewnić obowiązek przetwarzania danych przez Hostera na terenie EOG. Hosting baz danych zawierających dane osobowe nie jest regulowany odrębnymi przepisami i przekazywanie danych do Europejskiego Obszaru Gospodarczego obejmują te same przepisy. W myśl polskiego prawa, państwa obszaru EOG nie są traktowane jako państwa trzecie, więc przepływ danych w ich obrębie jest traktowany tak samo. jak transfer danych na terytorium Polski. Przy czym EOG to Państwa Unii Europejskiej oraz dodatkowo Islandia, Lichtenstein i Norwegia. Zważywszy jednak na położenie serwerowni głównych usługodawców chmurowych czy usług dedykowanych. w dużej mierze mieć będziemy do czynienia a krajami EU – Irlandia, Niemcy, Francja, Holandia
– w tych krajach znajdują się największe skupiska usługodawców, do jakich mogą powędrować nasze dane. Takie działanie wynika z wymogów członkostwa Polski w Unii, a celem Dyrektywy było zapewnienie odpowiednio wysokiego poziomu ochrony danych osobowych i swobodny przepływ danych wewnątrz terytorium Unii Europejskiej. Dzięki temu przekazywanie danych osobowych do państwa należącego do EOG podlega zasadom przetwarzania danych opisanych w ustawie o ochronie danych osobowych. Najważniejsze zasady potwierdzające zgodność przetwarzania danych z RODO to:
Część druga artykułu zostanie przedstawiona w ramach kolejnego wpisu.
Przygotował
Arkadiusz Kraus
A2KP KANCELARIA Sp. z o.o.
Aktualności / BLOG
Zapewniamy zgodność z przepisami ochrony danych osobowych.
Jesteśmy też ekspertami w dziedzinie prawa pracy.
Aenean sagittis mattis purus ut hendrerit. Mauris felis magna, cursus in venenatis ac, vehicula eu massa. Quisque nunc velit, pulvinar nec iaculis id, scelerisque in diam. Sed ut turpis velit. Integer dictum urna iaculis vestibulum finibus. Etiam tempus dictum rhoncus. Nam vel semper eros. Ut molestie sit amet sapien vitae semper. Pellentesque habitant morbi tristique senectus et netus et malesuada fames ac turpis egestas.
Aktualności
Jesteśmy najlepsi
A2KP KANCELARIA Sp. z o.o.
43-300 Bielsko Biała,
ul Ulica Grażyńskiego 71