GPS nyomkövetés és adatvédelem (GDPR): meddig mehet el a munkáltató?

Összefoglaló:

A céges gépjárművek GPS-követése jogszerű lehet, de csak szigorú adatvédelmi és munkajogi szabályok betartásával. A munkáltató kizárólag meghatározott, jogszerű célból alkalmazhat GPS-megfigyelést, és nem követheti korlátlanul a munkavállaló mozgását, különösen munkaidőn kívül vagy engedélyezett magánhasználat során. A cikk bemutatja, milyen GDPR-követelményeknek kell megfelelni a GPS-adatok kezelésénél, mikor szükséges érdekmérlegelés vagy adatvédelmi hatásvizsgálat (DPIA), valamint milyen tájékoztatási kötelezettségei vannak a munkáltatónak.

Napjainkban egyre több munkáltató alkalmaz GPS-alapú nyomkövető rendszereket a céges gépjárművekben. Ezek a rendszerek hasznosak lehetnek a járművek védelme, a fuvarok szervezése vagy a munkavégzés hatékonyságának növelése érdekében. Ugyanakkor sok munkavállalóban felmerül a kérdés: vajon a munkáltató bármikor megnézheti, hogy éppen hol tartózkodom? Nyomon követheti a mozgásomat munkaidőn kívül is? Hol húzódik a határ az ellenőrzés és a magánszféra tiszteletben tartása között? A válasz nem egyszerű, hiszen a munkáltató jogos gazdasági érdekei és a munkavállaló személyes adatainak védelme között kell egyensúlyt teremteni. A GPS által rögzített helyadat ugyanis személyes adatnak minősül, ezért annak kezelése során a munkáltatónak a GDPR és a magyar adatvédelmi szabályok előírásait is maradéktalanul be kell tartania.

A GDPR szerint személyes adat minden olyan információ, amely alapján egy természetes személy közvetlenül vagy közvetve azonosítható. Egy GPS-rendszer által rögzített helyadat tipikusan ilyen adatnak minősül, hiszen megmutatja, hogy egy adott időpontban a munkavállaló hol tartózkodott, milyen útvonalon közlekedett, mennyi időt töltött egy-egy helyszínen, vagy éppen mikor fejezte be a munkáját. Már önmagában ezért is adatkezelésnek minősül a GPS-rendszer használata.

Fontos hangsúlyozni, hogy a munkáltató nem alkalmazhat GPS-megfigyelést kizárólag azért, mert a technológia erre lehetőséget biztosít. Az adatkezelésnek minden esetben rendelkeznie kell megfelelő jogalappal. A munkaviszonyban ez jellemzően nem a munkavállaló hozzájárulása, hiszen a felek között fennálló alá-fölérendeltségi viszony miatt a hozzájárulás rendszerint nem tekinthető valóban önkéntesnek. Sokkal inkább a munkáltató jogos érdeke vagy valamely jogi kötelezettség teljesítése szolgálhat jogalapként, de ehhez minden esetben érdekmérlegelést kell végezni.

A GDPR egyik legfontosabb alapelve a célhoz kötött adatkezelés. Ez azt jelenti, hogy a GPS kizárólag olyan célból alkalmazható, amely előre meghatározott, jogszerű és egyértelmű. Ilyen lehet például a szállítmányok követése, a céges járművek vagyonvédelme, a menetlevelek kiváltása vagy a szolgáltatás teljesítésének ellenőrzése. Ugyanakkor a munkáltató nem figyelheti folyamatosan a munkavállaló minden mozdulatát pusztán kíváncsiságból vagy általános ellenőrzési céllal. Az adatkezelésnek szükségesnek és arányosnak kell lennie, vagyis mindig a legkisebb beavatkozással kell elérni a kívánt célt.

A gyakorlatban ez azt is jelenti, hogy ha a munkavállaló a céges gépjárművet magáncélra is használhatja, a munkáltatónak lehetőséget kell biztosítania arra, hogy a magánhasználat idején a GPS-követés kikapcsolható legyen, vagy legalább a helyadatok ne legyenek megismerhetők. A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) több állásfoglalásában is hangsúlyozta, hogy a munkavállalók magánéletének indokolatlan megfigyelése sérti az adatvédelmi követelményeket.

A munkáltató tájékoztatási kötelezettsége szintén kiemelt jelentőségű. A munkavállalónak még az adatkezelés megkezdése előtt tudnia kell többek között, hogy milyen adatokat rögzítenek, milyen célból történik a GPS-követés, meddig tárolják az adatokat, kik férhetnek hozzájuk, valamint milyen jogok illetik meg őt az adatkezeléssel kapcsolatban. Ezeket az információkat világosan, közérthetően és írásban kell rendelkezésre bocsátani.

Bizonyos esetekben a GPS-megfigyelés olyan magas kockázatot jelenthet a munkavállalók jogaira és szabadságaira, hogy a munkáltatónak adatvédelmi hatásvizsgálatot (DPIA) is le kell folytatnia még az adatkezelés megkezdése előtt. Ez különösen akkor merülhet fel, ha a megfigyelés rendszeres, nagymértékű vagy folyamatos helymeghatározással jár. A GDPR elszámoltathatósági elve alapján ugyanis nem elegendő a szabályok betartása, hanem azt szükség esetén bizonyítani is kell.

A GPS-alapú nyomkövetés ma már a modern vállalkozások mindennapi működésének része, azonban alkalmazása nem jelent korlátlan ellenőrzési lehetőséget a munkáltató számára. A munkáltató jogos érdeke nem írhatja felül automatikusan a munkavállaló magánszférához és személyes adatainak védelméhez fűződő jogát. A jogszerű adatkezelés alapfeltétele a megfelelő jogalap, az előzetes tájékoztatás, a célhoz kötöttség, az arányosság és az adattakarékosság elvének betartása.

Gondoljunk például egy szerviztechnikusra, aki céges autóval jár ügyfelekhez. Teljesen indokolt, hogy a munkáltató munkaidőben nyomon kövesse a járművet a feladatok szervezése érdekében. Az azonban már jogsértő lehet, ha ugyanazt a munkavállalót este vagy hétvégén is folyamatosan figyelik, amikor a gépjárművet engedéllyel magáncélra használja. A technológia tehát önmagában nem tiltott, de alkalmazásának mindig tiszteletben kell tartania az emberi méltóságot és az adatvédelem alapelveit. Éppen ezért nemcsak a munkáltatóknak, hanem a munkavállalóknak is érdemes tisztában lenniük azzal, hogy a GPS nem korlátlan megfigyelési eszköz, hanem kizárólag jogszerű és arányos keretek között alkalmazható.

Szerző: dr. Berta Bendegúz

Forrás: https://www.legitimo.hu/