Czy pracodawca może gromadzić i przetwarzać dane o lokalizacji pojazdów służbowych? Czy monitoring GPS należy traktować jako przetwarzanie danych osobowych w rozumieniu RODO? Czy dane uzyskane z monitoringu GPS mogą być traktowane jako dowód przed sądem pracy, jeśli wynika z nich, że pracownik dopuścił się karygodnych uchybień? (nieprawomocny wyrok WSA w Warszawie z 22 lutego 2022 r. , II SA/Wa 643/21).
Spór dotyczył dyscyplinarnego zwolnienia pracownika w oparciu o dane o jego lokalizacji w czasie pracy, a uzyskane na podstawie monitoringu urządzenia GPS w pojeździe (dla jasności: poszło o jakieś rozbieżności w wykazie podróży służbowych pracownika terenowego, zaś dane o lokalizacji zostały przedstawione jako dowód w sprawie zawisłej przed sądem pracy).
Sprawa trafiła do Prezesa Urzędu Ochrony Danych Osobowych, który w wydanej stwierdził, że pracodawca jest uprawniony do monitoringu GPS, o ile zasady jego wprowadzenia odpowiadają przepisom o monitoringu wizyjnego czy monitoringu poczty elektronicznej pracownika. Pracodawca uchybił jednak tym wymogom, a zwłaszcza nie poinformował pracowników w prawidłowy sposób, iż dane lokalizacyjne będą zbierane i przetwarzane, zatem nie był uprawniony do przetwarzania danych lokalizacyjnych. Bezprawnie pozyskane dane nie mogą być przetwarzane i wykorzystywane ani w celu weryfikacji sposobu wykonywania obowiązków pracowniczych, ani jako dowód przed sądem. Przetwarzanie danych było sprzeczne z RODO, toteż żądanie ich usunięcia w oparciu o prawo do bycia zapomnianym było zasadne.
art. 22(2) par. 6-9 kodeksu pracy
§ 6. Cele, zakres oraz sposób zastosowania monitoringu ustala się w układzie zbiorowym pracy lub w regulaminie pracy albo w obwieszczeniu, jeżeli pracodawca nie jest objęty układem zbiorowym pracy lub nie jest obowiązany do ustalenia regulaminu pracy.
§ 7. Pracodawca informuje pracowników o wprowadzeniu monitoringu, w sposób przyjęty u danego pracodawcy, nie później niż 2 tygodnie przed jego uruchomieniem.
§ 8. Pracodawca przed dopuszczeniem pracownika do pracy przekazuje mu na piśmie informacje, o których mowa w § 6.
§ 9. W przypadku wprowadzenia monitoringu pracodawca oznacza pomieszczenia i teren monitorowany w sposób widoczny i czytelny, za pomocą odpowiednich znaków lub ogłoszeń dźwiękowych, nie później niż jeden dzień przed jego uruchomieniem.
art. 22(3) par. 4 kodeksu pracy
Przepisy [o monitoringu poczty elektronicznej pracownika] stosuje się odpowiednio do innych form monitoringu niż określone w § 1, jeśli ich zastosowanie jest konieczne do realizacji celów [umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego użytkowania udostępnionych pracownikowi narzędzi pracy].
W skardze na tę decyzję firma podkreśliła, że prewencyjny monitoring we flotach pojazdów nie jest niczym nadzwyczajnym, a pracownicy doskonale o tym wiedzą (zwłaszcza skarżący, który miał przeszło 4-letni staż w tej firmie) . Żądanie usunięcia danych ma na celu wyłącznie pozbycie się dowodu potwierdzającego, że pracownik oszukiwał, zatem postawa PUODO prowadzi do tego, że „ochrona dobra może z racjonalnej przerodzić się w swoje przeciwieństwo poprzez ochronę nieuczciwego postępowania”.
Odnosząc się do tych argumentów Wojewódzki Sąd Administracyjny stwierdził, że „każda forma monitoringu pracownika (w tym monitoring GPS) jest zgodna z prawem, o ile została wprowadzona zgodnie z zachowaniem procedury przewidzianej w [kodeksie pracy] której elementem jest obowiązek poinformowania o wprowadzeniu monitoringu, celach, zakresie i sposobie monitorowania”. Oznacza to, że pracodawca może przetwarzać dane lokalizacyjne, jeśli jest to niezbędne dla kontroli wykorzystania czasu pracy — zaś pozyskane w ten sposób dane z monitoringu GPS pracownika mogą być wykorzystane jako dowód sądem pracy — o ile pracodawca dopełni obowiązku informacyjnego. W sprawie nie ma wątpliwości, że firma nie zastosowała się do brzmienia przepisów, zatem dane osobowe pracownika są przetwarzane w sposób nieprawidłowy, przez co powinny zostać usunięte.
Nie można jednakowoż tracić z pola widzenia jeszcze jednego aspektu sprawy: usunięcie danych z powołaniem się na prawo do bycia zapomnianym może być wykluczone, jeśli przetwarzanie jest niezbędne do „ustalenia, dochodzenia lub obrony roszczeń” (art. 17 ust. 3 lit. e) RODO). Niezależnie zatem od tego, że dane z monitoringu GPS zostały pozyskane z uchybieniem prawa, służą jako dowód przed sądem pracy — przeto toczący się spór sądowy uzasadnia odmowę usunięcia danych lokalizacyjnych. Oznacza to, że PUODO nie uwzględnił wszystkich okoliczności istotnych dla postępowania, zaś przedstawiona ocena pozwoliła na uchylenie zaskarżonej decyzji.
Zamiast komentarza: myślę, że taka wykładnia RODO — niewątpliwie odpowiadająca jego brzmieniu — dowodzi, że akt ten nie jest szczególnie kompatybilny ze zdrowym rozsądkiem. Ten podpowiada wszakże, iż dane zbierane w bezprawny sposób powinny być usunięte, zaś bezprawia nie może legalizować inny, choćby i zgodny z prawem cel (mnie się to kojarzy z tymi nieszczęsnymi owocami zatrutego drzewa, które w Polsce rzecz jasna dawno temu zgniły).