Številka: 0611-375/2020/18
Datum: 27. 10. 2022
Informacijski pooblaščenec (v nadaljevanju IP) izdaja po državnem nadzorniku za varstvo osebnih podatkov Blažu Pavšiču na podlagi 2. in 8. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZustS-A, v nadaljevanju: ZInfP), 37. in 54. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1 in 177/20, v nadaljevanju: ZVOP-1), petega odstavka 29. in prvega odstavka 32. člena Zakona o inšpekcijskem nadzoru (Uradni list RS, št. 43/07 – UPB1 in 40/14, v nadaljevanju: ZIN) ter členov 57(1) in 58(2) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju: Splošna uredba), v postopku inšpekcijskega nadzora pri zavezancu ________________________ (v nadaljevanju: zavezanec), ki ga v postopku kot pooblaščenec zastopa __________________, po uradni dolžnosti naslednjo
ODLOČBO
• Zavezanec mora v roku 10 dni od vročitve te odločbe prenehati s pridobivanjem in shranjevanjem lokacijskih osebnih podatkov zaposlenih, ki jih pri izvajanju sistematičnega, avtomatiziranega in kontinuiranega GPS sledenja službenih vozil pridobiva in zbira na način, da s pomočjo GPS sledilnih naprav, nameščenih v službenih vozilih, sledi gibanju teh vozil in na ta način pridobljene lokacijske podatke tudi shranjuje.
• Zavezanec mora o izvršenih ukrepih iz 1. točke izreka te odločbe v roku 5 dni po izvršitvi pisno obvestiti IP in predložiti dokaze o tem.
• Organu posebni stroški niso nastali, zavezanec pa sam trpi svoje stroške postopka.
Obrazložitev:
I. Ugotovitve IP ter pojasnila in stališča zavezanca
IP je prejel prijavo, v kateri je prijavitelj navajal, da zavezanec že dlje časa izvaja konstantno GPS sledenje službenih vozil svojih zaposlenih, ne da bi imel za tako sledenje upravičen razlog in ustrezno pravno podlago.
Zavezanec je v svojem odgovoru na poziv IP, ki ga je podal po pooblaščencu, navedel, da je GPS sledenje službenih vozil uvedel zaradi naslednjih namenov:
- varovanja premoženja zavezanca (preprečevanje protipravnega odvzema vozila),
- varnost in zaščita opreme ter dokumentov zavezanca, ki se nahajajo v službenih vozilih,
- varnost delavcev,
- določitev lokacije v primeru prometne nesreče,
- za potrebe izvrševanja pravic in obveznosti iz delovnega razmerja (ugotavljanje obiskov strank, zdravstvenih ustanov, udeležbe na sestankih in izobraževanjih, dokazovanje opravljenih storitev strankam, itd…),
- boljša organiziranost in ekonomičnost poslovanja.
Zavezanec naj bi se za uvedbo GPS sledenja službenih vozil odločil v marcu 2018, ko naj bi tudi sprejel prvi pravilnik v zvezi s tem. V nadaljevanju naj bi nato zavezanec dne 1. 1. 2020 sprejel nov Pravilnik o GPS sledenju (v nadaljevanju Pravilnik), kjer naj bi še podrobneje uredil to področje in opredelil zakonske razloge za tovrstno sledenje, pri čemer naj bi nameni za njegovo uvedbo izhajali tudi iz drugega odstavka 8. člena Pravilnika. Prednosti obravnavanega sledenja naj bi bile razvidne že iz opredelitve namenov za uvedbo, zlasti pa naj bi uvedba bistveno izboljšala organiziranost in ekonomičnost poslovanja pri zavezancu (zmanjšanje nadurnega dela, zmanjšanje stroškov vzdrževanja vozil, omejitev uporabe vozil v lastni režiji, ipd). Zavezanec je kot pravno podlago za izvajanje GPS sledenja navajal točko a) in točko b) prvega odstavka 6. člena Splošne uredbe. V zvezi s pogojem iz točke a) je navedel, da so delavci podpisali posebno Izjavo o seznanitvi z namenom in načinom uporabe GPS sledenja v službenem vozilu (v nadaljevanju Izjava), ki naj bi predstavljala sestavni del Pravilnika, v zvezi s pogojem iz točke b) pa, da je tako sledenje potrebno zaradi učinkovitega izvajanja nadzora s strani zavezanca nad opravljanjem del in nalog po sklenjenih pogodbah o zaposlitvi, tj. za dosledno izpolnjevanje delovnih obveznosti s strani delavcev. V času podaje odgovora naj bi zavezanec izvajal GPS sledenje praktično vseh službenih vozil, razen dveh vozil, ki jih vozita prokuristka in direktor zavezanca. Sledenje naj bi potekalo tako, da se spremlja lokacijo službenega vozila ob njegovi uporabi, in sicer preko posebne programske opreme »______«, ki jo zagotavlja izvajalec družba __________- in ki naj bi bila nameščena samo na računalniku zavezanca, do katerega ima dostop zgolj njegova prokuristka. V službena vozila, ki jih lahko zaposleni uporabljajo tudi v privatne namene, naj bi zavezanec vgradil posebna stikala, ki omogočajo izklop takega sledenja. Zavezanec naj bi zaposlene z GPS sledenjem službenih vozil seznanil preko sprejema Pravilnika, vsak zaposleni, ki uporablja taka vozila, pa naj bi tudi podpisal Izjavo (s podpisom te naj bi potrdil seznanjenost z določbami Pravilnika, ki naj bi bil stalno dostopen zaposlenim), ki naj bi predstavljala sestavni del Pravilnika. Izjava naj bi vsebovala vse elemente, ki jih zahteva 14. člen Splošne uredbe, zlasti podatke o upravljavcu, namenih obdelave osebnih podatkov in pravni podlagi, vrstah osebnih podatkov in obdobju njihove hrambe.
Zavezanec naj bi pred uvedbo GPS sledenja ugotovil, da je s strani zaposlenih prihajalo zlasti do kršitve obveznosti iz delovnega razmerja, ko posamezni uporabniki službenih vozil niso obiskovali strank, se udeleževali sestankov in izobraževanj oziroma je prihajalo do nedopustne uporabe službenih vozil v zasebne namene, kar naj bi bilo posredno ugotovljeno preko neusklajenega stanja števca kilometrov. Prihajalo pa naj bi tudi do zavračanja računov s strani končnih strank zavezanca, ker naj storitve s strani zaposlenih ne bi bile opravljene (ni prišlo do obiskov). Zlasti iz teh razlogov naj bi se nato zavezanec, za dosego opredeljenih namenov odločil za uvedbo obravnavanega GPS sledenja, saj naj bi le tako lahko preverjal izpolnjevanje obveznosti zaposlenih iz delovnega razmerja, na drugi strani pa naj bi končnim strankam laže dokazoval opravljene storitve v primeru prerekanja izdanih računov. Z milejšimi ukrepi naj zavezanec zasledovanih ciljev ne bi mogel doseči, saj naj opozorila zaposlenim ne bi zalegla. Z GPS sledenjem naj bi zmanjšali obseg nadurnega dela, stroške vzdrževanja vozil in omejili njihovo nepooblaščeno uporabo, s čimer naj bi se tudi bistveno izboljšali organiziranost in ekonomičnost poslovanja. Prokuristka zavezanca, ki naj bi imela edina možnost vpogleda v podatke o GPS lokaciji službenih vozil, naj bi občasno pregledovala, ali je bila dejansko opravljena posamezna službena pot, ki jo je posamezni zaposleni navajal v planu poti. Pred tem naj bi se dogajalo, da se plan službene poti ni ujemal z dejansko potjo in naj bi zaposleni tudi neupravičeno in nedopustno popravljali število opravljenih kilometrov za nazaj. V praksi naj bi uresničevanje namena nadzora izvrševanja pravic in obveznosti iz delovnega razmerja potekalo tako, da se v primeru suma kršitve s strani zaposlenega preveri, ali je dejansko izpolnil svoje obveznosti. Od uvedbe GPS sledenja naj na tem področju ne bi prišlo do kršitev delovnih obveznosti s strani zaposlenih, zato naj tudi zavezanec ne bi ukrepal v nobenem postopku. GPS sledenje službenih vozil naj bi se izvajalo na način, da se podatki o tem hranijo zgolj na enem računalniku na sedežu zavezanca, do katerega ima dostop samo njegova prokuristka, vodili pa naj bi se samo ustrezni, relevantni in omejeni podatki o lokaciji službenih vozil v času njihove uporabe za službene namene, ki naj bi bili depersonalizirani in naj bi se nanašali na lokacijo posameznega službenega vozila in ne zaposlenega, ki ga uporablja (zavezanec naj bi podatke o lokacijah in podatke o osebah ločeval). Zavezanec naj bi le tehnično izvedbo GPS sledenja službenih vozil predal izvajalcu _________, medtem ko naj bi se podatki o sledenju nahajali pri zavezancu in naj bi imela vanje vpogled le njegova prokuristka. Poleg nje naj bi imel pravico dostopa do podatkov še direktor zavezanca. Poleg pojasnil je zavezanec IP posredoval tudi naslednje dokumente: Pravilnik o uporabi službenih vozil in uporabi lastnih vozil za službene potrebe in takratno izjavo o seznanitvi (poslan je bil osnutek dokumenta, nepodpisan in z manjkajočimi podatki), Pravilnik in Izjavo in Pravilnik o varstvu osebnih podatkov.
V svojem drugem odgovoru na poziv IP je zavezanec navedel, da je pri njem zaposlenih manj kot 50 oseb in da zato zanj vodenje evidence dejavnosti obdelav osebnih podatkov ni obvezno. Ob sprejemu GPS sledenja naj bi zavezanec ocenil, da to ne predstavlja velikega tveganja za pravice in svoboščine zaposlenih, ker ne vključuje nobenih posebnih vrst osebnih podatkov oziroma naj bi se zbirali samo podatki o lokaciji posameznih službenih vozil (brez osebnih podatkov o njihovih voznikih), zato naj bi smatral, da posebne evidence dejavnosti obdelav osebnih podatkov ni dolžan voditi. GPS sledenje naj bi namreč vgradili le v nekatera službena vozila, dostop do zbranih podatkov pa naj bi imela samo prokuristka zavezanca, zato naj obravnavano sledenje ne bi predstavljalo nobenega tveganja za pravice in svoboščine zaposlenih. IP je zavezanec posredoval pogodbo med njim in družbo _______ iz februarja 2018, ki se nanaša na izvajanje GPS sledenja službenih vozil in domnevni izpis obdelave osebnih podatkov (revizijsko sled) o vpogledih v podatke o GPS sledenju službenih vozil za obdobje od 1. 3. 2021 do 4. 6. 2021 iz katerega naj bi izhajalo, da je do podatkov dostopala le prokuristka zavezanca in sicer zgolj sedemkrat, zaradi česar naj ne bi šlo za obširno spremljanje, ki bi pomenili velik poseg v varstvo osebnih podatkov.
Zavezanec je navedel, da lahko štirje uporabniki GPS sledenih službenih vozil, ta vozila uporabljajo tudi v zasebne namene. Za službene namene naj bi taka vozila uporabljali zlasti zaposleni na delovnih mestih v komerciali in servisu, pri čemer naj bi določena vozila lahko uporabljali vsi zaposleni. Na službenih vozilih, ki jih lahko uporabljajo vsi zaposleni, naj ne bi bile nameščene GPS naprave. Vsi zaposleni, ki lahko uporabljajo službena vozila, naj bi podali soglasje za GPS sledenje lokaciji takih vozil, in sicer na obrazcu, ki je bil IP že predložen. S podpisom tega obrazca naj bi zaposleni nedvomno podal soglasje za obdelavo njegovih osebnih podatkov v zvezi z GPS sledenjem službenih vozil in naj ne bi zgolj podpisal seznanitve s tem, saj naj bi iz obrazca izjave izhajalo, da se z uporabo tako pridobljenih podatkov strinjajo (»in se z uporabo tako pridobljenih podatkov strinjam«). S podpisom predmetne izjave naj bi zaposleni, v skladu z enajstim odstavkom 4. člena Splošne uredbe podali prostovoljno, izrecno, informirano in nedvoumno izjavo o tem, da se strinjajo z uporabo sistema GPS za sledenje službenih vozil, ki so jim dana v uporabo, tj. izrecno soglasje za obdelavo osebnih podatkov o GPS lokacijah službenih vozil, ki se nanašajo nanje. Zavezanec je navedel, da zaposlenega, ki ne bi podal privolitve v obravnavano sledenje, ne bi doletele nobene posledice na delovnopravnem področju in da se takemu delavcu s tem sistemom potem ne bi sledilo. Po navedbah zavezanca naj od zaposlenih ne bi bilo upravičeno pričakovati take stopnje skrbnosti, da bi ob vsaki zapustitvi službenega vozila vklopili GPS sledenje, saj naj bi bila narava njihovega dela takšna, da tega v praksi ne bi mogli izvajati, saj naj bi bilo njihovo delo na terenu precej dinamično in obširno. Prav tako naj zaradi šoka ob nesreči ne bi bilo realno pričakovati, da bi v primeru nesreče delavci naknadno vklapljali GPS slednje. V primeru nesreče s telesnimi poškodbami naj od delavca tudi fizično ne bi bilo mogoče pričakovati, da bodo po prometni nesreči vklopili GPS sledenje. Od pričetka spremljanja službenih vozil z GPS sledenjem (od leta 2018) naj pri njem ne bi prišlo do odtujitve vozila, do prometne nesreče z vozilom pa naj bi v tem času prišlo enkrat. V službenih vozilih naj bi se nahajala oprema in izdelki večje vrednosti, vendar naj bi bilo to vrednost težko pavšalno oceniti, saj naj bi se dnevno spreminjala, glede na založenost posameznih službenih vozil. Poleg tega naj bi se v službenih vozilih nahajalo tudi veliko poslovne dokumentacije v zvezi s strankami zavezanca, ki naj bi predstavljala poslovno skrivnost, razkritje katere naj bi za zavezanca pomenilo ogromno poslovno škodo. V primeru vloma v vozilo naj bi prišlo do odtujitve take opreme in dokumentacije, kar naj bi za zavezanca predstavljalo nastanek težko nadomestljive škode. Preko GPS sledenja naj bi se izognili potencialni nevarnosti prirejanja podatkov s strani zaposlenih o lokaciji vloma ali odtujitve vozila, hkrati pa naj bi se olajšalo delo preiskovalnim organom za potrebe iskanja storilcev tovrstnih kaznivih dejanj.
S pomočjo GPS sledenja naj bi zavezanec lahko bolje načrtoval službene poti oziroma naj bi imel, zaradi natančnejšega izrisa na zemljevidu, boljši pregled nad tem in bi posledično lahko racionaliziral delovne procese, ne da bi prihajalo do nepotrebnega podvajanja službenih voženj in podobno. Z drugimi ukrepi naj takega cilja ne bi bilo mogoče zasledovati oziroma naj bi s tem še dodatno obremenjevali zaposlene, če bi morali vsako službeno pot natančno opisovati. To naj bi predstavljalo še hujši poseg v varstvo osebnih podatkov zaposlenih, saj naj sledenje zgolj lokaciji službenih vozil, ne bi predstavljalo hujšega posega v informacijsko zasebnost zaposlenih. Zavezanec naj ugotavljanja izvrševanja pravic in obveznosti iz delovnega razmerja ne bi mogel učinkovito dosegati brez obdelave lokacijskih podatkov, saj naj bi le tako lahko ugotovil, da je posamezni zaposleni iz začetne lokacije dejansko odšel zgolj na končno lokacijo in ni vmes opravljal nepooblaščenih službenih voženj. Zgolj zbiranje podatkov o začetni in končni lokaciji oziroma lokacijah relevantnih dogodkov naj ne bi zadoščalo. Pred uvedbo obravnavanega sistema naj bi namreč zavezanec pri posameznih službenih vozilih opažal previsoko število opravljenih kilometrov, ki naj ne bi bili v skladu z dejanskim stanjem opravljenih storitev s strani zaposlenih, kar naj se po uvedbi sistema ne bi pojavljalo več. Dejstvo, da se je posamezno službeno vozilo v določenem času nahajalo na določeni lokaciji, naj sicer ne bi neizpodbitno dokazovalo, da je bila delovna naloga tudi dejansko opravljena, vendar pa naj bi predstavljalo močan posreden dokaz za to. Če posamezna stranka zatrjuje nasprotno, naj lokacija službenega vozila ne bi bila edini dokaz za opravo storitev, vendar pa naj bi predstavljala enega izmed bistvenih dokazov za utemeljitev opravljenih storitev, saj naj se posamezno vozilo ne bi nahajalo na lokaciji stranke, če storitev pri njej ne bi bila dejansko opravljena oziroma se tam ne bi opravljala. Zavezanec je navedel, da je lastnik službenih vozil in da ima zato nedvomno izkazan zakoniti interes, da lahko spremlja njihovo pravilno uporabo s strani zaposlenih, saj naj bi le tako lahko optimalno zaščitil svojo ustavno pravico do lastnine. Sledenje službenim vozilom naj ne bi imelo velikega vpliva na zasebnost zaposlenih, saj naj bi šlo za opravljanje del in nalog v okviru delovnega razmerja, kjer naj bi se že po naravi stvari pričakoval določen nadzor s strani delodajalca oziroma naj bi bilo to povsem v skladu z definicijo delovnega razmerja po 4. členu ZDR-1. Podatek o lokaciji službenega vozila naj bi predstavljal povsem sorazmeren ukrep in poseg v varstvo osebnih podatkov, saj naj bi šlo za anonimizirane podatke, kjer naj bi se zbirali le podatki o lokaciji vozila, brez dodatnih osebnih podatkov o uporabniku. Po navedbah zavezanca naj bi bila v službenih vozilih vgrajena stikala, s katerimi naj bi uporabniki lahko kjerkoli in kadarkoli izklopili sledilno napravo, kot naj bi to izhajalo tudi iz priloženega dopisa družbe ______ z dne 4. 6. 2021. Zavezanec naj bi zaposlenim, ki lahko uporabljajo službena vozila tudi v zasebne namene, dal navodila, da lahko GPS sledenje izklopijo, ko vozilo uporabljajo za zasebne namene. Oglasna deska zavezanca naj bi se nahajala v poslovnih prostorih na njegovem sedežu, do nje pa naj bi imeli možnost dostopa vsi zaposleni. Pravilnik naj bi bil na tej oglasni deski objavljen dne 6. 1. 2020, in sicer stalno. Maksimalni rok hrambe podatkov enega leta, ki je določen v tretjem odstavku 9. člena Pravilnika, naj se v praksi ne bi uporabljal, ampak naj bi se ti podatki brisali praktično mesečno, po vsakem vpogledu vanje s strani prokuristke zavezanca.
Zavezanec je v svojem odgovoru navedel tudi, da pri njem ni prišlo do nadzora in pregledovanja uporabe interneta in prometnih podatkov službene elektronske pošte katerega od zaposlenih, v smislu tretjega odstavka 30. člena in tretjega in četrtega odstavka 31. člena Pravilnika o varstvu osebnih podatkov. V zvezi s tem je dodatno pojasnil, da naj bi do tega lahko prišlo zgolj na podlagi predhodnega soglasja s strani zaposlenega, na predpisanem obrazcu iz Priloge 2 k navedenemu pravilniku.
V svojem dodatnem odgovoru na poziv IP je zavezanec ponovno navedel službena vozila, ki se lahko uporabljajo samo za službene namene in za vsakega od teh pojasnil, ali ga GPS sledi ali ne. V zvezi s predhodno navedbo, da na službenih vozilih, ki jih uporabljajo vsi zaposleni niso nameščene GPS sledilne naprave, je zavezanec pojasnil, da je pomotoma izostala navedba, da take naprave niso nameščene na novih službenih vozilih, saj naj bi zavezanec opustil GPS sledenje službenim vozilom. V zvezi s stikali za izklop GPS sledenja je zavezanec navedel, da so ta nameščena v vseh službenih vozilih in da v praksi zaposleni sedaj dejansko tudi za službene poti izklopijo GPS sledenje, ker naj bi se tako sami odločili in naj bi se GPS sledenje pri zavezancu praktično ne bi več izvajalo. V zvezi s hrambo podatkov GPS sledenja službenim vozilom je zavezanec navajal, da se ti hranijo le na računalniku, ki se nahaja na njegovem sedežu in do katerega ima dostop le prokuristka zavezanca, kar naj bi določal tudi tretji odstavek 9. člena Pravilnika. Čeprav je bil k temu pozvan pa zavezanec pri tem ni pojasnil, kako je ta navedba v skladu z določbo 6. člena pogodbe med njim in družbo __________, ki določa, da se podatki, pridobljeni s pomočjo rešitve ______ hranijo na ponudnikovem strežniku. Zavezanec je navajal, da v internem aktu za posebno določbo o tem, da lahko posamezni zaposleni brez posledic zavrne GPS sledenje službenega vozila, ki ga uporablja, ni nobene pravne podlage, saj naj interni akt ne bi zavezoval zaposlenih, da morajo privoliti v GPS sledenje službenim vozilom oziroma naj ne bi določal nobene sankcije, če takšne privolitve ne dajo. Neobičajno naj bi bilo, da bi se v internih aktih posebej določalo, da v primeru zavrnitve neke obveznosti, ki naj dejansko sploh ne bi bila določena, delavca ne zadenejo nobene posledice. Ob tem je zavezanec poudaril oziroma ponovil, da zaposlenih ne zadenejo nobene posledice, če odklonijo GPS sledenje službenega vozila. Zavezanec naj ne bi imel z zaposlenimi sklenjenih posebnih pogodb o uporabi službenega vozila tudi v privatne namene, ampak naj bi bilo to urejeno z veljavnim Pravilnikom.
IP je zavezanca z dopisom z dne 2. 9. 2022 pisno seznanil s svojimi ugotovitvami v predmetnem inšpekcijskem postopku in ukrepi, ki jih bo moral glede na te ugotovitve v postopku sprejeti ter mu dal možnost, da se opredeli do vseh ugotovljenih dejstev in okoliščin v postopku. Zavezanec je v svojem odgovoru na seznanitev in poziv navedel, da vztraja pri navedbah in dokazih, da se GPS podatki o sledenju službenih vozil nahajajo izključno na računalniku na sedežu zavezanca, do katerega ima dostop le njegova prokuristka in da se ti podatki hranijo zgolj pri zavezancu, ne glede na določbo 6. člena pogodbe med zavezancem in družbo _________ To naj bi izhajalo tudi iz 9. člena Pravilnika. Zavezanec je navedel, da se ne strinja z očitkom, da izjava o seznanitvi z namenom in načinom uporabe GPS sledenja v službenem vozilu ni ustrezna oziroma zadostna za posameznikovo privolitev v obdelavo njegovih osebnih podatkov. V zvezi z ugotovitvijo IP, da izjava predstavlja združitev dveh izjav (o seznanjenosti in privolitvi), kar naj ne bi bilo dopustno je zavezanec navedel, da vztraja, da je predmetna izjava povsem ustrezna, saj naj delavcem nikakor ne bi preprečevala, da se ne bi prostovoljno odločali o tem ali jo bodo podpisali ali ne. Pri seznanitvi z načinom GPS sledenja in privolitvi delavca v to naj namreč ne bi šlo za druge zadeve, ampak neločljivo povezano identično materijo in naj zato ne bi šlo za dve različni izjavi v smislu drugega odstavka 7. člena Splošne uredbe. Tudi, če bi zavezanec v obravnavanem primeru imel dve izjavi, naj bi za zakonito GPS sledenje službenim vozilom delavec moral podpisati obe izjavi, zato naj očitek, da v primeru ene izjave delavec ne more podati ene izjave, ne da bi podal tudi drugo, ni utemeljen. Delavec naj pri zavezancu ne bi mogel podati le izjave o seznanjenosti z GPS sledenjem, ampak naj bi moral podpisati tudi izjavo o privolitvi v obdelavo osebnih podatkov iz tega naslova, saj naj v nasprotnem primeru zavezanec GPS sledenja za takega delavca ne bi mogel izvajati. Predmetna izjava naj bi se namreč izrecno nanašala le na GPS sledenje službenim vozilom, kjer naj bi bila seznanitev s tem in privolitev v to neločljivo povezana, zato naj bi bila predmetna izjava povsem ustrezna in naj ne bi bila v nasprotju z drugim odstavkom 7. člena Splošne uredbe.
V zvezi z ugotovitvijo IP, da je v obravnavanem primeru za GPS sledenje sicer podana podlaga iz točke b) prvega odstavka 6. člena Splošne uredbe, vendar pa obravnavano sledenje vseeno predstavlja nesorazmeren poseg in ni v skladu z načelom najmanjšega obsega podatkov je zavezanec navedel, da se ne strinja, da bi zadoščali zgolj podatki o začetni in končni lokaciji službene vožnje, saj naj bi lahko posamezni delavci na poti od začetne do ciljne lokacije izvajali aktivnosti oziroma postanke, ki so v nasprotju z njihovimi delovnimi obveznostmi. Za zavezanca naj bi bilo bistvenega pomena, da pri službeni poti lahko ugotovi, ali je delavec dejansko potoval le od začetne do ciljne lokacije, ali pa je v vmesnem času kršil svoje pogodbene obveznosti z izvajanjem voženj v nedovoljene privatne namene. Trenuten obseg GPS sledenja naj tako nikakor ne bi predstavljal nesorazmernega posega oziroma naj bi bil v skladu z načelom najmanjšega obsega podatkov iz Splošne uredbe. V zvezi z ugotovitvijo IP, da je pri zakonitem interesu varstva premoženja zavezanca GPS sledenje mogoče izvajati na način, da ga bo voznik vklopil le ob parkiranju vozila, je zavezanec navedel, da v praksi tega ni realno pričakovati. Delavci naj bi bili namreč pri izvajanju delovnih obveznosti v časovni stiski, zato naj od njih ne bi bilo utemeljeno pričakovati, da bodo vsakič ob parkiranju vozila še posebej vklapljali GPS sledenje, saj naj bi v praksi na to najverjetneje pozabili, zato naj bi bil bolj smiseln obstoječi način, ko je tako sledenje vklopljeno vse čas službene vožnje. V zvezi z ugotovitvijo IP, da bi lahko delavec v primeru prometne nesreče voznik njeno lokacijo sporočil preko mobilnega telefona ali pa takrat vklopil GPS napravo v vozilu je zavezanec navedel, da tega v primeru hujše prometne nesreče s hujšimi posledicami oziroma poškodbami nikakor ni mogoče pričakovati od delavcev, zato naj bi bil podan zakoniti interes za GPS sledenje iz naslova zagotavljanja varnosti delavcev. Zavezanec je navedel, da vztraja, da ima obravnavano obdelavo lokacijskih osebnih podatkov posameznikov zadostno pravno podlago iz prvega odstavka 6. člena Splošne uredbe oziroma da se ta obdelava izvaja v skladu z načelom sorazmernosti. Ob tem naj bi bilo potrebno tehtati tudi škodo, ki zavezancu nastaja in mu je nastala zaradi nezakonite uporabe službenih vozil njegovih delavcev. Prav s kontrolo sledenja naj bi zavezanec v zelo kratkem obdobju ugotovil več kršitev delovnih obveznosti.
II. Navedba določb predpisov, na katere se opira odločba
Varstvo osebnih podatkov je ustavna pravica posameznika, saj Ustava Republike Slovenije (Uradni list RS, št. 33/91-I, 42/97 – UZS68, 66/00 – UZ80, 24/03 – UZ3a, 47, 68, 69/04 – UZ14, 69/04 – UZ43, 69/04 – UZ50, 68/06 – UZ121,140,143, 47/13 – UZ148, 47/13 – UZ90,97,99 in 75/16 – UZ70a, v nadaljevanju Ustava) v 38. členu določa, da je zagotovljeno varstvo osebnih podatkov in da je prepovedana uporaba osebnih podatkov v nasprotju z namenom njihovega zbiranja. Zbiranje, obdelovanje, namen uporabe, nadzor in varstvo tajnosti osebnih podatkov določa zakon.
V skladu s 1. točko 4. člena Splošne uredbe pomeni osebni podatek katero koli informacijo v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika. V 2. točki 4. člena Splošne uredbe je obdelava osebnih podatkov opredeljena kot vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje.
Obdelava osebnih podatkov je na podlagi prvega odstavka člena 6 Splošne uredbe zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:
(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
(d) obdelava je potrebna za zaščito posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
(e) obdelava je potrebna za opravljanje nalog v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov.
V prvem odstavku člena 5 Splošne uredbe, ki ureja temeljna načela v zvezi z obdelavo osebnih podatkov je najprej določena zahteva, da so osebni podatki obdelani zakonito, pošteno in na pregleden način v zvezi s posameznikom, na katerega se ti podatki nanašajo. Osebni podatki morajo biti zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni (omejitev namena). Poleg tega morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (najmanjši obseg podatkov). Osebni podatki so lahko hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je to potrebno za namene, za katere se obdelujejo (omejitev shranjevanja). V skladu z drugim odstavkom člena 5 Splošne uredbe je upravljavec odgovoren za skladnost z načeli iz prvega odstavka tega člena in mora biti to skladnost tudi zmožen dokazati.
Splošna uredba po opredelitvi pravnih temeljev za obdelavo osebnih podatkov v členih 13 in 14 določa pravice posameznika do informacij, ki mu jih mora podati upravljavec osebnih podatkov pred ali ob začetku obdelave njegovih osebnih podatkov. Člen 13 Splošne uredbe tako določa nabor informacij, ki jih mora upravljavec osebnih podatkov zagotoviti posamezniku, kadar se osebni podatki pridobijo od posameznika, na katerega se nanašajo osebni podatki, med drugim identiteto in kontaktne podatke upravljavca, namene in pravno podlago za obdelavo, uporabnike ali kategorije uporabnikov osebnih podatkov ter nadalje tudi obdobje hrambe osebnih podatkov, obstoj pravic posameznika, obstoj pravice do preklica privolitve, pravico do vložitve pritožbe pri nadzornem organu.
V skladu z 11. točko člena 4 Splošne uredbe privolitev posameznika, na katerega se nanašajo osebni podatki pomeni vsako prostovoljno, izrecno, informirano in nedvoumno izjavo volje posameznika, na katerega se nanašajo osebni podatki, s katero z izjavo ali jasnim pritrdilnim dejanjem izrazi soglasje z obdelavo osebnih podatkov, ki se nanašajo nanj. V prvem odstavku člena 7. Splošne uredbe, ki ureja pogoje za privolitev, je določeno, da kadar obdelava temelji na privolitvi, mora biti upravljavec zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo svojih osebnih podatkov. Če je privolitev posameznika, na katerega se nanašajo osebni podatki, dana v pisni izjavi, ki se nanaša tudi na druge zadeve, se zahteva za privolitev predloži na način, ki se jasno razlikuje od drugih zadev, v razumljivi in lahko dostopni obliki ter v jasnem in preprostem jeziku. Deli take izjave, ki predstavljajo kršitev te uredbe, niso zavezujoči.
Zakon o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 – ZIUPOPDVE, 119/21 – ZČmIS-A, 202/21 – odl. US, 15/22 in 54/22 – ZUPŠ-1; v nadaljevanju ZDR-1) v 48. členu določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.
III. Razlogi, ki glede na ugotovljeno dejansko stanje narekujejo odločitev glede izvajanja GPS sledenja službenih vozil
IP je na podlagi odgovorov in pojasnil zavezanca in družbe________ ter s strani zavezanca posredovane dokumentacije ugotovil, da zavezanec izvaja GPS sledenje večih službenih vozil, tj. vozil, ki jih njegovi zaposleni uporabljajo za opravljanje svojih službenih del in nalog. Tako sledenje zavezanec izvaja s pomočjo posebnega oddajnika v vozilu in posebne aplikacije, v kateri sistem kontinuirano beleži opravljeno pot vozila in te podatke tudi shranjuje. Ugotovljeno je bilo tudi, da zavezanec pri izvajanju GPS sledenja sodeluje z zunanjim izvajalcem družbo _______, na katero je prenesel določena opravila v zvezi z izvajanjem obravnavanega sledenja. Zavezanec je v svojem odgovoru navedel, da je zaposlene o izvajanju GPS sledenja vozil ustrezno obvestil in za to svojo trditev IP predložil tudi nekatere dokumente (primer obrazca, ki ga podpiše zaposleni). Ugotovljeno je bilo, da je zavezanec sledenje službenih vozil uredil v svojem Pravilniku.
IP je v postopku preučil navedbe zavezanca, s katerimi je ta utemeljeval uvedbo in izvajanje GPS sledenja službenih vozil, pravne podlage za izvajanje takega sledenja, namene, ki jih zavezanec pri tem zasleduje, in druge okoliščine obravnavane obdelave osebnih podatkov zaposlenih.
V zvezi s tem je IP najprej ugotovil, da gre pri izvajanju GPS sledenja vozil, ki jih uporabljajo zaposleni pri zavezancu, nedvomno za obdelavo osebnih podatkov posameznikov, ki vozila, ki se jih sledi upravljajo, saj je posameznik, ki je v določenem trenutku upravljal vozilo, na podlagi podatkov, s katerimi razpolaga zavezanec, vedno določen ali vsaj določljiv. Z izvajanjem obravnavanega GPS sledenja pri zavezancu tako nastaja posebna zbirka osebnih podatkov, ki vsebuje veliko količino lokacijskih podatkov zaposlenih posameznikov, tj. podatkov kje točno (mikrolokacija) se je v določenem trenutku določen zaposleni s službenim vozilom nahajal. Zavezanec GPS sledenje zaposlenih izvaja na način, da podatke o njihovih lokacijah beleži in zbira kontinuirano, sistematično in avtomatizirano, tako da lahko za vsakega od njih in za ves čas uporabe vozila v službene namene, v vsakem trenutku preverja, kje se posameznik z vozilom nahaja, zbrani podatki pa mu omogočajo tako ugotavljanje tudi za nazaj.
Po ugotovitvi, na kakšen način zavezanec izvaja GPS sledenje službenih vozil je moral IP v postopku ugotoviti, ali obstaja ustrezna pravna podlaga za izvajanje GPS sledenja službenih vozil in zaposlenih, ko taka vozila uporabljajo, na način in v obsegu, kot ga izvaja zavezanec, tj. ali za tako sledenje obstaja katero od pravnih podlag iz prvega odstavka člena 6 Splošne uredbe. IP je moral pri obravnavanem GPS sledenju službenih vozil med službenim časom preučiti dejansko stanje, kot izhaja iz navedb zavezanca in določb njegovih notranjih aktov ter glede na to ugotavljati, ali je za tako sledenje, v konkretnem primeru podana katera od pravnih podlag iz Splošne uredbe.
Zavezanec se je v zvezi s pravno podlago za obdelavo osebnih podatkov zaposlenih, do katere prihaja v okviru obravnavanega GPS sledenja, skliceval na izpolnjevanje pogojev iz točk a) in b) prvega odstavka člena 6 Splošne uredbe, tj. da so zaposleni, katerih osebni podatki se pri tem obdelujejo, privolili v obdelavo njihovih osebnih podatkov in da je obravnavana obdelava osebnih podatkov potrebna za izvajanje pogodbe o zaposlitvi oziroma za izvrševanje pravic in obveznosti iz delovnega razmerja.
Da se predmetna obdelava osebnih podatkov izvaja na podlagi privolitev zaposlenih, katerih osebni podatki se obdelujejo, je zavezanec izkazoval in dokazoval s posebno izjavo, ki naj bi jo podpisali zaposleni in obrazec katere je tudi posredoval IP. Slednji je po vpogledu v tako izjavo ugotovil, da je ta poimenovana »Izjava o seznanitvi z namenom in načinom uporabe GPS sledenja v službenem vozilu« in da se njena vsebina v pretežnem delu nanaša na potrjevanje seznanjenosti z okoliščinami GPS sledenja, na privolitev pa le v kratkem dostavku »in se z uporabo tako pridobljenih podatkov strinjam«. Tako oblikovana izjava, s katero je zavezanec izkazoval obstoj privolite zaposlenih, je neposredno v nasprotju z drugim odstavkom člena 7 Splošne uredbe, ki izrecno zahteva, da se v primeru, če je privolitev posameznika dana v pisni izjavi, ki se nanaša tudi na druge zadeve, zahteva za privolitev predloži na način, ki se jasno razlikuje od drugih zadev. Izjava, s katero je zavezanec dokazoval privolitev zaposlenih, pa je sestavni del in v ničemer ločena od izjave o seznanjenosti. Zavezanec je izjavo o seznanjenosti z informacijami v zvezi s konkretno obdelavo osebnih podatkov in izjavo o privolitvi v obdelavo teh podatkov združil v eno samo izjavo na način, da posameznik ne more podati ene izjave, ne da bi podal tudi drugo. Zaposleni, ki želi potrditi, da je bil seznanjen z informacijami o obravnavani obdelavi, mora nujno tudi privoliti v tako obdelavo, kar je, glede na navedeno določbo, povsem neustrezno. Poleg tega je v obravnavanem primeru potrebno upoštevati tudi 42. in 32. uvodni recital Splošne uredbe. Prvi določa, da se za privolitev domneva, da ni dana prostovoljno, če ne dovoljuje ločene privolitve za različna dejanja obdelave osebnih podatkov, čeprav bi taka ločena privolitev bila v posameznem primeru ustrezna, v 32. uvodnem recitalu Splošne uredbe pa je določeno, da bi morala privolitev zajemati vse dejavnosti obdelave, izvedene v isti namen ali namene in da bi bilo treba, kadar je obdelava večnamenska, privolitev dati za vse namene obdelave. Zavezanec je z lokacijskimi podatki, ki jih zbere z GPS sledenjem službenih vozil predvidel več dejanj njihove obdelave za večje število namenov, kot to izhaja iz pojasnil v tem postopku in določb Pravilnika, zato bi morala biti zaposlenim dana možnost, da se prostovoljno odločijo, s katerimi od namenov obdelave njihovih osebnih podatkov soglašajo in s katerimi ne. Če se osebni podatki obdelujejo za več namenov je rešitev za skladnost s pogoji za veljavno privolitev v razdrobljenosti, tj. ločitvi teh namenov in pridobitvi privolitve v vsak namen, česar pa zavezanec v postopku ni izkazal. IP je zato v postopku ugotovil, da zavezanec ni izkazal, da bi od zaposlenih pridobival osebne privolitve za izvajanje GPS sledenja vozil, ki jih uporabljajo oz. da bi se zaposleni lahko sami, prostovoljno odločali o tem, ali bo zavezanec kot delodajalec zbiral njihove lokacijske podatke z izvajanjem GPS sledenja ali ne. Glede na navedeno je IP ugotovil, da zavezanec v postopku ni dokazal, da so zaposleni privolili v obdelavo njihovih osebnih podatkov, ki jih obdeluje pri izvajanju GPS sledenja službenih vozil, kot to zahteva prvi odstavek člena 7 Splošne uredbe pa tudi drugi odstavek člena 5 Splošne uredbe, ki ureja načelo odgovornosti in v skladu s katerim je upravljavec odgovoren za skladnost s prvim odstavkom istega člena (torej tudi z načelom zakonitosti) in je to skladnost tudi zmožen dokazati. Pri tem je bilo potrebno upoštevati tudi dejstvo, da gre za sklicevanje na privolitev kot podlago za obdelavo osebnih podatkov v razmerju, kjer med zavezancem kot delodajalcem in posameznikov, kot njegovim zaposlenim obstaja očitno neravnotežje moči, saj je zavezanec napram zaposlenim močnejša stranka in da gre torej za primer, za katerega že 43. uvodni recital Splošne uredbe izključuje privolitev, kot pravno podlago za obdelavo osebnih podatkov. Tudi po mnenju Evropskega odbora za varstvo osebnih podatkov je sporno, če delodajalci obdelujejo osebne podatke zaposlenih na podlagi privolitve, saj je malo verjetno, da bi bila ta dana prostovoljno. IP v zvezi s tem kot neutemeljene zavrača tudi navedbe zavezanca glede ustreznosti izjave, ki jih je navedel v svoji zadnji vlogi in poudarja, da je neustreznost take izjave (med drugim tudi) v tem, da je zavezanec v izjavo, s katero posamezni zaposleni potrdi, da so mu bile v zvezi z določeno obdelavo osebnih podatkov zagotovljene informacije iz člena 14 Splošne uredbe, pristavi še dostavek »in se z uporabo tako pridobljenih podatkov strinjam«. Zaposleni, ki želi z izjavo potrditi dejstvo, da mu je zavezanec zagotovil informacije iz člena 14 Splošne uredbe, mora ob tem nujno in neizbežno podpisati tudi, da se strinja z obdelavo svojih osebnih podatkov, kar predstavlja prav situacijo, ki jo drugi odstavek člena 7 Splošne uredbe želi preprečiti. Navedba zavezanca, da zaposleni ne bi mogel podati le izjave o seznanjenosti z GPS sledenjem in da bi moral v vsakem primeru podpisati dve izjavi, je v nasprotju z njegovimi navedbami v postopku, v katerih se sklicuje na točko b) prvega odstavka člena 6 Splošne uredbe, kot pravno podlago za obdelavo predmetnih osebnih podatkov. Zakaj bi moral zaposleni podajati privolitev, ko zavezanec njegove osebne podatke obdeluje na podlagi točke b) prvega odstavka člena 6 Splošne uredbe zavezanec ne pojasni.
IP je v nadaljevanju ugotavljal, ali je za GPS sledenje službenim vozilom zaposlenih podana pravna podlaga iz točke b) prvega odstavka člena 6 Splošne uredbe, tj. da je obravnavana obdelava osebnih podatkov potrebna za izvajanje pogodbe med zavezancem, kot upravljavcem in zaposlenimi, katerih podatki se obdelujejo. Ker med zavezancem in njegovimi zaposlenimi obstaja specifično pogodbeno razmerje, tj. delovno razmerje, ki je zakonsko posebej, specialno urejeno v ZDR-1 in ker se osebni podatki v obravnavanem primeru obdelujejo znotraj tega razmerja, s strani ene od strank razmerja, je bilo pri presoji pravne podlage po tej določbi Splošne uredbe potrebno kot specialno upoštevati določbo 48. člena ZDR-1, ki določa, da se osebni podatki delavcev lahko zbirajo in nadalje obdelujejo samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. GPS sledenja zaposlenih (posrednega ali neposrednega) ne določa niti ZDR-1 niti kakšen drug zakon, zato je bilo potrebno presoditi ali je sledenje kot ga izvaja zavezanec mogoče opredeliti kot potrebnega zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem zaposlenih, ki so takemu sledenju podvrženi. Pri tem je bilo potrebno ugotoviti katere so tiste pravice in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, zaradi uresničevanja katerih zavezanec izvaja GPS sledenje zaposlenih, ali tako sledenje sploh predstavlja primerno sredstvo za dosego namena, za katerega ga zavezanec izvaja in ali je izvajanje GPS sledenja res potrebno za uresničevanje pravic in obveznosti zaposlenih.
Iz navedb zavezanca izhaja, da GPS sledenje zaposlenih, ki ga izvaja preko sledenja službenim vozilom, ko jih zaposleni upravljajo med drugim utemeljuje tudi z namenom izvrševanja pravic in obveznosti iz delovnega razmerja (ugotavljanje obiskov strank, udeležbe na sestankih in izobraževanjih, dokazovanje opravljenih storitev strankam, preprečevanje uporabe službenih vozil v zasebne namene, itd.). Iz navedb zavezanca torej izhaja, da pri tem ne gre za pridobivanje in uporabo podatkov, ki bi bili neposredno potrebni za uresničevanje obveznosti zaposlenega, ampak za podatke, ki jih zavezanec kot delodajalec zbira z namenom naknadnega nadzora nad uresničevanjem njegovih obveznosti. Iz zavezančevih navedb izhaja, da bi v zvezi s tem želel nadzirati opravljanje službenih del in nalog zaposlenih. IP v zvezi z navedenim poudarja, da delodajalcu ni mogoče odreči pravice, da nadzira svoje zaposlene in po potrebi tudi naknadno ugotavlja izvajanje njihovih službenih del in nalog, izrabljanje njihovega delovnega časa in uporabo delovnih sredstev, da pa pri izvrševanju tega svojega upravičenja ni neomejen in da ne sme neomejeno posegati v ustavno pravico posameznega zaposlenega do varstva njegovih osebnih podatkov. Zavezanec kot delodajalec mora pri poseganju v pravico do informacijske zasebnosti zaposlenih ravnati odmerjeno in upoštevati načelo sorazmernosti, kot izhaja že iz navedene določbe 48. člena ZDR-1, posebej pa je določeno tudi v točki c) prvega odstavka člena 5 Splošne uredbe, po kateri morajo biti osebni podatki, ki se obdelujejo ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (najmanjši obseg podatkov).
IP je moral v postopku ugotoviti, ali lahko zavezanec, kot delodajalec svoje upravičenje nadzora nad delovno učinkovitostjo in izrabo delovnega časa ter delovnih sredstev, izvršuje tudi na način, da s pomočjo GPS sledenja pridobiva podatke o lokacijah službenih vozil in v kakšnem obsegu lahko take podatke za ta namen zbira in nadalje obdeluje. V zvezi s tem je bilo ugotovljeno, da je obravnavano zbiranje in nadaljnjo obdelavo lokacijskih podatkov službenih vozil mogoče opredeliti kot potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, vendar pa je pri tem nujno upoštevati tudi načelo sorazmernosti oziroma načelo najmanjšega obsega podatkov iz Splošne uredbe. Zavezanec torej za namene iz 48. člena ZDR-1 lahko zbira tudi podatke o lokacijah službenih vozil in take podatke lahko zbira tudi s pomočjo GPS naprav, ki so vgrajene v taka vozila, vendar pa se mora pri tem omejiti na najmanjši obseg lokacijskih podatkov, z obdelavo katerih bo lahko dosegal zakonsko dopusten namen in ne bo nesorazmerno posegel v informacijsko zasebnost zaposlenih. Iz navedb zavezanca izhaja, da za doseganje specifičnih namenov, ki jih v zvezi z uresničevanjem obveznosti zaposlenih iz delovnega razmerja želi zasledovati, zadostuje podatek o ciljni lokaciji, tj. podatek o tem, ali se je službeno vozilo oziroma zaposleni, ki ga uporablja, v določenem času res nahajal na določeni lokaciji, na kateri se je bil v tem času dolžan nahajati in tam opraviti določeno svojo delovno obveznost. Poleg tega je za doseganje nekaterih od naštetih namenov potrebno pridobiti tudi podatek o začetni lokaciji in času začetka službene poti s službenim vozilom zavezanca. IP je, po preučitvi vseh okoliščin primera, ugotovil, da zavezanec podatke o začetni in ciljni lokaciji (ali več ciljnih lokacijah, če je zaposleni dolžan dela in naloge opraviti na več lokacijah) lahko zbira tudi s pomočjo GPS naprav, saj je podatke, ki se ob tem zbirajo mogoče opredeliti kot ustrezne, relevantne in omejene na to, kar je potrebno za doseganje namenov iz 48. člena ZDR-1, kot jih je v postopku opredelil zavezanec. S pomočjo teh podatkov lahko zavezanec kot delodajalec ugotavlja izpolnjevanje delovnih obveznosti svojih zaposlenih, ki dela in naloge opravljajo na terenu, na način, kot je to navajal zavezanec v svojih vlogah, hkrati pa se s takim pridobivanjem in obdelavo lokacijskih podatkov v omejenem obsegu, nesorazmerno ne posega v informacijsko zasebnost zaposlenih. Nasprotno pa sistematično in kontinuirano GPS sledenje službenih vozil, kot ga izvaja zavezanec, predstavlja nesorazmeren poseg v to ustavno pravico zaposlenih in ni v skladu z načelom najmanjšega obsega podatkov iz Splošne uredbe. Ugotovljeno je namreč bilo, da lahko zavezanec namene iz točke b) prvega odstavka člena 6 Splošne uredbe in 48. člena ZDR-1, kot jih je opredelil v svojih vlogah povsem zadovoljivo dosega z zbiranjem lokacijskih podatkov službenih vozil v neprimerljivo manjšem obsegu, kot ga trenutno izvaja, tj. da mu za preverjanje uresničevanje obveznosti zaposlenih iz delovnega razmerja in v zvezi z delovnim razmerjem, ki jih je navajal v postopku zadostujejo že podatki o začetni in ciljni (ali več ciljnih) lokaciji, ki mu skupaj z drugimi podatki, ki se pri opravljanju službenih voženj zbirajo (npr. podatek o začetnih in končnih kilometrih) omogočajo doseganje navedenih namenov. Delodajalec, ki s pomočjo GPS naprave zbere podatek o lokaciji in času začetka službene poti in podatek o ciljni lokaciji in času, ko je službeno vozilo tja prispelo, pri tem pa se v vsakem primeru beležijo tudi kilometri, ki so bili s službenim vozilom ob tem prevoženi (delodajalec tako poleg podatka o začetni lokaciji in o tem, da je službeno vozilo prispelo na ciljno lokaciji pridobi tudi podatek o trajanju poti in podatek o tem, koliko kilometrov je vozilo pri tem prevozilo), bo lahko na relativno hiter in enostaven način ugotovil, ali je zaposleni ustrezno uporabljal službeno vozilo in ali je morda vmes z vozilom izvajal tudi neslužbene poti. V zvezi s tem je potrebno zavrniti tudi navedbe zavezanca v njegovi zadnji vlogi, da je sistematično in kontinuirano GPS sledenje potrebno, ker naj bi zaposleni na poti od začetne do ciljne lokacije lahko izvajali tudi aktivnosti oziroma postanke, ki so v nasprotju z njihovimi delovnimi obveznostmi in da je zanj bistvenega pomena, da lahko ugotovi, ali je zaposleni potoval zgolj od začetne do ciljne lokacije ali pa vmes izvajal tudi vožnje v privatne namene. Kot je bilo že navedeno, ima zavezanec kot delodajalec vsekakor pravico, da nadzira opravljanje delovnih nalog in uporabo delovnih sredstev s strani zaposlenih, kar pa še ne pomeni, da lahko za doseganje tega namena uporabi vsa sredstva in obdeluje osebne podatke v neomejenem obsegu, ampak mora njihovo obdelavo izvajati v skladu z načelom sorazmernosti. Delodajalec lahko na podlagi znatno manjšega obsega podatkov, že na podlagi podatka kdaj je zaposleni začel službeno pot z vozilom, kdaj je z njim prišel na cilj, koliko znaša razdalja med začetno in ciljno lokacijo in koliko kilometrov je zaposleni s službenim vozilom do te lokacije prevozil in drugih podatkov s katerimi razpolaga ali jih lahko pridobi, brez kontinuiranega in sistematičnega sledenja, kot ga izvaja, na relativno enostaven način ugotovi morebitna odstopanja in od zaposlenega v zvezi s tem zahteva pojasnila. Glede na vse navedeno je IP v postopku torej ugotovil, da za sistematično in kontinuirano GPS sledenje službenim vozilom ni podna pravna podlaga iz točke b) prvega odstavka člena 6 Splošne uredbe in 48. člena ZDR-1, saj obdelava osebnih podatkov na tak način in v takem obsegu ni potrebna, saj lahko zavezanec te namene v celoti doseže z zbiranjem in obdelavo neprimerljivo manjšega nabora lokacijskih podatkov (zgolj podatek na začetni in ciljni lokaciji), zaradi česar je obravnavana obdelava osebnih podatkov tudi v neskladju z načelom najmanjšega obsega podatkov iz točke c) prvega odstavka člena 5 Splošne uredbe.
Zavezanec je v postopku navajal tudi nekatere druge namene, za dosego katerih naj bi bilo potrebno izvajati GPS sledenje službenim vozilom na ugotovljeni način. Čeprav zavezanec v zvezi z obdelavo z GPS sledenjem zbranih lokacijskih podatkov za take namene ni navajal nobene od pravnih podlag iz Splošne uredbe pa je IP v postopku ugotovil, da je te primere potrebno presojati po določbi točke f) prvega odstavka člena 6 Splošne uredbe, ki dovoljuje obdelavo osebnih podatkov, če je ta potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki.
Kot tak zakoniti interes, ki ga z izvajanjem GPS sledenja želi uresničevati, je zavezanec najprej navedel varstvo njegovega premoženja, pri čemer naj bi varoval sama službena vozila pa tudi opremo in dokumentacijo, ki naj bi se v vozilih nahajala. IP poudarja, da varstvo premoženja vsekakor predstavlja zakoniti interes, ki ga je mogoče zasledovati tudi s pomočjo GPS sledenja službenih vozil, vendar pa zavezanec v konkretnem primeru ni izkazal, da je izvajanje GPS sledenja zaposlenih, na način, kot ga izvaja, za varstvo tega interesa primeren in potreben ukrep. IP v zvezi s tem poudarja, da zavezanec GPS sledenje izvaja med vožnjo oziroma v času, ko zaposleni upravlja službeno vozilo to pa je čas, v katerem sta tako vozilo kot tudi oprema, ki se v njem prevaža in se želijo varovati, pod neposrednim in stalnim nadzorom zaposlenega, saj je ta med vožnjo v vozilu nujno prisoten, zaradi česar sta tako vozilo kot oprema v tem času najmanj ogrožena pred morebitno odtujitvijo. Zato iz navedb zavezanca ni jasno na kakšen način zavezanec s stalnim GPS sledenjem službenih vozil, v času, ko jih vozijo oziroma upravljajo zaposleni in so vozila pod njihovim neposrednim nadzorom, zagotavlja varstvo premoženja, ki ga je navajal v svojih vlogah. IP je, glede na okoliščine, ki jih je navajal zavezanec prepričan, da bi bilo kot primeren ukrep (tj. ukrep, s katerim je mogoče učinkovito doseči zasledovani namen) v danem primeru mogoče opredeliti le izvajanje GPS sledenja na način, da bi ga voznik vklopil, ko bi vozilo parkiral, na lokaciji, kjer bi bilo to vozilo lahko ogroženo in ga zapustil ter ga ob vrnitvi v vozilo ponovno izklopil. Ob tem pa velja poudariti, da tudi takšno izvajanje GPS sledenja zavezancu ne bi prav v ničemer koristilo, če bi storilec zgolj vlomil v vozilo in iz njega odtujil varovano opremo in dokumentacijo. Tudi zavezanec je varovanje opreme in dokumentacije, ki se nahajata v vozilu zgolj navedel kot varovani dobrini, ni pa z ničemer pojasnil, na kakšen način bi se ju z GPS sledenjem službenih vozil sploh dalo zavarovati. V zvezi z uporabo GPS sledenja za preprečevanje odtujitev službenih vozil IP opozarja tudi na dejstvo, da je zavezanec pri zavarovanju svojih vozil na ta način ravnal selektivno, saj s tem sistemom sledi zgolj službena vozila zaposlenih, ne pa tudi službenih vozil vodstvenih delavcev, čeprav slednji uporabljajo boljša in vrednejša službena vozila in bi zavezancu z njihovo odtujitvijo nastala večja škoda, kot pri odtujitvi drugih službenih vozil. IP je glede na navedeno, v zvezi z varstvom premoženja, kot zatrjevanim zakonitim interesom zavezanca ugotovil, da je zavezanec obstoj takega zakonitega interesa sicer vsaj delno izkazal, ni pa izkazal, da je GPS sledenje, na način, kot ga izvaja zavezanec, primeren in potreben ukrep za njegovo uresničevanje. Hkrati pa je ugotovil tudi, da je GPS oddajnik v službenem vozilu lahko primeren ukrep, ki omogoča izsleditev takega vozila v primeru njegove odtujitve, vendar pa se mora ta uporabljati tako, da zaposleni GPS napravo vklopi, ko vozilo parkira, na lokaciji, kjer bi bilo to vozilo lahko ogroženo ter ga ob vrnitvi v vozilo in pred nadaljevanjem službene vožnje, ponovno izklopi. Zbiranje podatkov o lokaciji službenega vozila, ko je to parkirano na določenem mestu, kjer bi zaradi objektivnih okoliščin lahko bilo ogroženo tako, po ugotovitvah IP, predstavlja primeren ukrep za varovanje zakonitega interesa zavezanca (izsleditev nezakonito odtujenega vozila), ki je hkrati sorazmeren, saj ne predstavlja tako velikega posega v informacijsko zasebnost zaposlenih, da bi interesi ali temeljne pravice in svoboščine zaposlenih prevladale nad tem njegovim interesom. Ob tem je nujno poudariti, da se vklapljanje GPS oddajnika v službenem vozilu ne sme izvajati na način, da bi moral zaposleni tak oddajnik vklopiti ob vsakem parkiranju vozila, ampak mora za zbiranje lokacijskih podatkov in poseg v informacijsko zasebnost zaposlenih, obstajati takšna stopnja nevarnosti ogrožanja premoženja zavezanca (njegovega vozila), da odtehta poseg v ustavno pravico zaposlenih. Samo v primeru zadostno izkazane objektivne nevarnosti ogrožanja vozila na določeni lokaciji parkiranja bo namreč mogoče trditi, da interesi ali temeljne pravice in svoboščine posameznega zaposlenega ne prevladajo nad zakonitim interesom zavezanca po varovanju njegovega premoženja in izkazati izpolnjevaje pogoja iz točke f) prvega odstavka člena 6 Splošne uredbe. Okoliščine, v katerih je službeno vozilo ob parkiranju ogroženo do te mere, da je za njegovo varovanje dopustno tudi zbiranje lokacijskih podatkov, mora jasno in objektivno opredeliti zavezanec in z njimi seznaniti zaposlene, ki GPS sledenja službena vozila uporabljajo ter jim v zvezi s tem dati ustrezna navodila. V zvezi s tem je potrebno zavrniti tudi navedbo zavezanca, da tak način uporabe sistema GPS sledenja predstavlja preveliko breme za zaposlene, ker naj od njih ne bi bilo mogoče pričakovati, da bodo ob parkiranju vozila vsakič vklapljali ta sistem, saj zaposleni takega sistema ne bodo vklapljali ob vsakem parkiranju vozila, ampak samo izbranih v primerih, ko bodo obstajale objektivne okoliščine ogrožanja vozila, ki jih bo določil zavezanec kot delodajalec. Glede na navedeno je IP ugotovil, da zavezanec ni izkazal, da bi bilo stalno in kontinuirano GPS sledenje službenih vozil in obdelava osebnih podatkov, ki jo tak ukrep obsega, potrebna za doseganje namena varstva njegovega premoženja, kot ga je predstavil zavezanec (varovanje pred odtujitvijo tako službenih vozil kakor tudi opreme in dokumentacije, ki se nahaja v vozilih) in s tem v skladu z določbo točke f) prvega odstavka člena 6 Splošne uredbe, saj lahko zavezanec ta namen v celoti doseže z zbiranjem in obdelavo neprimerljivo manjšega nabora lokacijskih podatkov (zgolj podatka o nevarni lokaciji, na kateri je parkirano vozilo). GPS sledenje, kot ga izvaja zavezanec, je pri tem tudi v neskladju z načelom najmanjšega obsega podatkov iz točke c) prvega odstavka člena 5 Splošne uredbe, saj predstavlja zbiranje veliko večjega obsega podatkov, kot bi bilo potrebno za doseganje zgoraj navedenega namena, ki ga je v postopku navajal zavezanec.
Nadalje je zavezanec kot zakoniti interes, ki naj bi ga uresničeval z GPS sledenjem zaposlenih navedel varnost delavcev, ki naj bi bila v tem, da bi se v primeru prometne nesreče, če bi bilo to potrebno, ugotovilo kje se vozilo nahaja. IP je v zvezi s tem ugotovil, da je stalno in sistematično GPS sledenje službenih vozil z namenom, da bi se ob nekem izjemnem in malo verjetnem dogodku lahko ugotovilo, kje se vozilo nahaja očitno nesorazmerno, saj relativno intenzivnega poseganja v ustavno pravico zaposlenih, do katerega z opisanim ukrepom vsakodnevno prihaja, ne more odtehtati morebitna potrebnost enega lokacijskega podatka, v primeru nepredvidenega a malo verjetnega dogodka v nedoločeni prihodnosti. Ob tem je nujno upoštevati tudi dejstvo, da tudi, če bi do nesreče službenega vozila prišlo, obstaja zelo majhna verjetnost, da bi bilo potrebno lociranje vozila s pomočjo sistema GPS, saj je kraj nesreče v veliki večini primerov znan in ga ni potrebno ugotavljati s pomočjo GPS lociranja vozila. Tudi, če bi se nesreča zgodila na odročnejšem kraju pa bi obvestilo o nesreči in lokacijo, kjer se je zgodila, preko mobilnega telefona lahko sporočil voznik takega vozila. Ob tem je nujno pojasniti, da bi bilo v primeru prometne nesreče dopustno in zakonito tudi GPS lociranje službenega vozila na način, da bi zaposleni ob nesreči vklopil GPS napravo v vozilu, zavezanec pa bi za namene ukrepanja in zaščite zaposlenih potem prejel podatek o lokaciji, na kateri se nahaja ponesrečeno vozilo. V zvezi z navedbo zavezanca, da tako sporočanje ali vklapljanje GPS naprave ne bi bilo mogoče v primeru hujše prometne nesreče s hujšimi posledicami oziroma poškodbami pa IP poudarja, da v takem primeru tudi GPS sledenje, kot ga izvaja, ne bi k navedenemu namenu v ničemer pripomoglo, saj informacija o nesreči sploh ne bi prišla do zavezanca. IP je glede na navedeno v zvezi z varstvom zaposlenih, kot zatrjevanim zakonitim interesom zavezanca ugotovil, da je zavezanec tudi obstoj takega zakonitega interesa sicer izkazal, vendar pa je bilo v zvezi s tem ugotovljeno, da bi bilo izvajanje GPS sledenja na način, kot ga izvaja zavezanec lahko pripomoglo k varovanju zaposlenih na zatrjevani način le v resnično izjemnih, hipotetičnih primerih, verjetnost nastanka katerih je minimalna poleg tega pa bi tudi v takih primerih zavezanec za dosego tega namena lahko uporabil tudi druga, v informacijsko zasebnost manj posegajoča sredstva pa tudi podatek o lokaciji službenega vozila, ki bi ga pridobil tako, da bi zaposleni ob nesreči vklopil sledenje GPS v vozilu in zavezancu poslal podatek o svoji lokaciji. Glede na navedeno je IP ugotovil, da zavezanec ni izkazal, da bi bila stalno in kontinuirano GPS sledenje službenim vozilom in obdelava osebnih podatkov, ki jo tak ukrep obsega, potrebna za doseganje namena varnosti zaposlenih v primeru prometnih nesreč, kot ga je predstavil zavezanec in s tem v skladu z določbo točke f) prvega odstavka člena 6 Splošne uredbe, saj lahko zavezanec ta namen v celoti doseže z zbiranjem in obdelavo neprimerljivo manjšega nabora lokacijskih podatkov (zgolj podatka o lokaciji prometne nesreče). GPS sledenje, kot ga izvaja zavezanec, je tudi v neskladju z načelom najmanjšega obsega podatkov iz točke c) prvega odstavka člena 5 Splošne uredbe, saj predstavlja zbiranje veliko večjega obsega podatkov, kot bi bilo potrebno za doseganje zgoraj navedenega namena, ki ga je v postopku navajal zavezanec.
Glede zakonitega interesa boljše organiziranosti in ekonomičnosti poslovanja, na katerega se je v zvezi z izvajanjem GPS sledenja službenih vozil skliceval zavezanec, pa je IP ugotovil, da navedeni cilj vsekakor lahko predstavlja zakoniti interes zavezanca v smislu točke f) prvega odstavka člena 6 Splošne uredbe, vendar pa zavezanec v postopku ni izkazal na kakšen način in zakaj naj bi bilo za doseganje tega namena potrebno sistematično in kontinuirano GPS sledenje službenih vozil, kot ga izvaja. Zavezanec ni podal nobenih konkretnih pojasnil, kako obdeluje lokacijske podatke, ki jih zbere s takim GPS sledenjem, da s tem izboljšuje organiziranost in ekonomičnost poslovanja in zlasti zakaj tega namena ne more doseči na druge načine in z drugimi sredstvi, ki bodisi sploh ne posegajo v informacijsko zasebnost zaposlenih, ali pa vanjo posegajo v manjši meri (npr. z uporabo spletnih orodij, s katerimi je mogoče konkretno službeno pot optimizirati v realnem času – npr. Google maps in ne zahtevajo obdelave nobenih osebnih podatkov zaposlenih). Zavezanec je torej izkazal zgolj obstoj zakonitega interesa boljše organiziranosti in ekonomičnosti poslovanja, z ničemer pa ni izkazal, da in na kakšen način naj bi bila obdelava lokacijskih podatkov, do katere prihaja pri sistematičnem in kontinuiranem GPS sledenju službenih vozil, potrebna za doseganje tega zakonitega interesa. Glede na navedeno zavezanec tudi glede navedenega interesa ni izkazal obstoja pogoja potrebnosti iz točke f) prvega odstavka člena 6 Splošne uredbe, na katerega se je v postopku skliceval.
V zvezi z navedbami zavezanca v njegovem zadnji vlogi, da je potrebno upoštevati tudi škodo, ki zavezancu nastane zaradi nezakonite uporabe službenih vozil s strani njegovih zaposlenih IP poudarja, da je zavezanec tako uporabo in škodo, ki mu s tem nastaja vsekakor upravičen preprečevati in ugotavljati odgovornost za nezakonito uporabo, vendar pa mora pri tem ravnati sorazmerno in za to uporabiti sredstva, s katerimi nesorazmerno ne posega v ustavno pravico do varstva osebnih podatkov vseh zaposlenih, ki pri svojem delu uporabljajo službena vozila. Tudi vse tri primere nezakonitega ravnanja, ki jih je navajal v svoji zadnji vlogi bi zavezanec lahko odkril in sankcioniral tudi brez kontinuiranega in sistematičnega GPS sledenja, kot ga izvaja, zgolj s podatki, katerih obdelava ni sporna, na način, kot je bil pojasnjen zgoraj. Zavezanec v vlogi tudi ni navedel, zakaj naj obdelava osebnih podatkov, ki ni sporna, ne bi zadoščala za odkrivanje nepravilnosti, ki jih je navajal. Če zaposleni v delovnem času, tj. v času, ko bi moral na terenu opravljati svoje delovne naloge, s službenim vozilom opravlja neslužbene poti, zlasti, če so te daljše, lahko delodajalec z obdelavo osebnih podatkov, s katerimi razpolaga ali jih lahko zakonito pridobi, na relativno enostaven način ugotovi zlorabo, tudi brez sistematičnega in kontinuiranega sledenja službenih vozil. Enako velja tudi za primer zaposlenega, ki se je namesto opravljanja službenih nalog v službenem času zadrževal v lokalu.
Iz vsega zgoraj navedenega izhaja, da zavezanec z izvajanjem kontinuiranega, sistematičnega in avtomatiziranega GPS sledenja službenih vozil zbira in nadalje obdeluje lokacijske podatke vozil in voznikov (zaposlenih pri zavezancu), ki taka vozila upravljajo oziroma uporabljajo. Ker je vsak voznik določljiv posameznik tako zbrani lokacijski podatki predstavljajo tudi njegove osebne podatke, v smislu določb Splošne uredbe, za obdelavo katerih bi moral imeti zavezanec katero od pravnih podlag iz prvega odstavka člena 6 Splošne uredbe, obdelavo pa bi moral izvajati v skladu z načeli iz člena 5 Splošne uredbe. IP je v postopku inšpekcijskega nadzora, v skladu z zgoraj navedenim ugotovil, da zavezanec za obdelavo lokacijskih osebnih podatkov posameznikov, na v tem postopku ugotovljeni način ni izkazal obstoja katere od pravnih podlag iz prvega odstavka člena 6 Splošne uredbe (čeprav bi moral biti v skladu z drugim odstavkom člena 5 Splošne uredbe zmožen dokazati, da podatke obdeluje zakonito) in da obdelava lokacijskih podatkov na ugotovljeni način in v ugotovljenem obsegu tudi ni v skladu z načelom najmanjšega obsega podatkov iz točke c) prvega odstavka člena 5 Splošne uredbe. V zvezi s tem je bilo ugotovljeno, da določenih namenov, ki jih je navajal zavezanec, z uporabo GPS sledilnih naprav v službenih vozilih sploh ni mogoče doseči in zato obdelava lokacijskih podatkov za njihovo doseganje sploh ne more biti primerna in potrebna (GPS sledilne naprave v ničemer ne varujejo pred vlomom v službeno vozilo in odtujitvijo opreme in dokumentacije, ki se v vozilu nahaja), medtem ko bi take naprave za doseganje nekaterih drugih navedenih namenov lahko bile primerne in potrebne, če bi zavezanec lokacijske podatke z njimi zbiral in obdeloval v skladu z načelom najmanjšega obsega podatkov (GPS naprave lahko pripomorejo k izsleditvi ukradenega vozila, vendar za dosego tega namena zadošča vklop naprave ob parkiranju službenega vozila na določenem izpostavljenem, nevarnem mestu; GPS naprave bi v izjemnih, hipotetičnih primerih lahko bile potrebne za lociranje vozila ob prometni nesreči, vendar za dosego tega namena zadošča vklop naprave ob prometni nesreči). IP je v zvezi s tem ugotovil, da ugotovljena nepravilnost v času izdaje te odločbe še traja, saj zavezanec GPS sledenje na ugotovljen način še vedno izvaja in s tem še naprej ravna v nasprotju z omenjenimi določbami Splošne uredbe, zaradi česar je bilo potrebno odločiti, kot je razvidno iz 1. točke izreka te odločbe. Kot izhaja iz zgornjih pojasnil, bo zavezanec kljub tej prepovedi lahko lokacijske podatke službenih vozil zbiral tudi s pomočjo GPS naprav v teh vozilih, vendar ne sistematično in kontinuirano, ampak zgolj v omejenem obsegu, in sicer tako, da bo lahko s temi napravami zbral podatek o začetni in ciljni lokaciji oziroma ciljnih lokacijah (ko mora zaposleni npr. obiskati več strank) določene poti, ki mu ga bodo s pomočjo GPS oddajnika v vozilu sporočili zaposleni, podatek o lokacijah službenih vozil, ko bodo ta parkirana na mestih, kjer bo podana nevarnost njihove odtujitve, in sicer na način, da zaposleni, ki vozilo uporablja, ob njegovem parkiranju tako GPS slednje vklopi, ko pa se v vozilo vrne pa ga izklopi. Prav tako bo v skladu z določbami Splošne uredbe dopustno GPS zbiranje lokacijskih podatkov v primeru prometne nesreče, in sicer na način, da zaposleni ob nesreči vklopi GPS napravo in tako zavezancu omogoči ugotavljanje lokacije prometne nesreče.
V zvezi z nadzorom in pregledovanjem uporabe interneta in prometnih podatkov službene elektronske pošte zaposlenih pri zavezancu IP v predmetnem postopku inšpekcijskega nadzora ni ugotovil nepravilnosti.
IV. Sklepno
Na podlagi vsega zgoraj navedenega je IP zaključil, da zavezanec s kontinuiranim in sistematičnim GPS sledenjem službenih vozil, kot je bilo ugotovljeno v tem postopku, ravna v nasprotju z načelom zakonitosti, saj tako sledenje izvaja, ne da bi bil za njegovo izvajanje izpolnjen kateri od pogojev iz prvega odstavka 6. člena Splošne uredbe in v nasprotju z načelom najmanjšega obsega podatkov iz točke c) prvega odstavka člena 5 Splošne uredbe, da zavezanec s tem ravna v nasprotju z navedenima določbama Splošne uredbe in da taka nepravilnost v času izdaje te odločbe še traja, zaradi česar je moral IP izdati predmetno odločbo in odločiti, kot izhaja iz 1. točke izreka te odločbe,
Zaradi ugotovljene nepravilnosti je bilo treba zavezancu na podlagi 2. in 8. člena ZInfP, 3. točke prvega odstavka 54. člena ZVOP-1, 57(1) in točke (f) člena 58(2) Splošne uredbe ter prvega odstavka 32. člena ZIN, odrediti, da preneha z obdelavo osebnih podatkov, do katere prihaja pri izvajanju GPS sledenja službenih vozil na ugotovljeni način in s tem preneha z obdelavo osebnih podatkov, ki je v neskladju z določbami Splošne uredbe, in sicer na način, kot je določen v 1. točki izreka te odločbe.
Odredba v 2. točki, da je zavezanec po izvršitvi ukrepov iz 1. točke izreka te odločbe dolžan v roku 5 dni po njihovi izvršitvi pisno obvestiti IP, temelji na določbi petega odstavka 29. člena ZIN, ki določa, da mora zavezanec o odpravljenih nepravilnostih takoj obvestiti inšpektorja.
Na podlagi 118. člena ZUP se v odločbi odloči o stroških postopka. Ker organu v tem postopku posebni stroški niso nastali, zavezanec pa po določbi 1. odstavka 31. člena ZIN sam trpi stroške, ki so bili nujni za ugotovitev dejstev, ki dokazujejo kršitev zakona ali drugega predpisa, je bilo treba o stroških postopka odločiti, kot izhaja iz 3. točke izreka te odločbe.
Ta odločba je izdana po uradni dolžnosti in je na podlagi 22. člena Zakona o upravnih taksah (Uradni list RS, št. 106/10 – UPB5, 14/15 – ZUUJFO, 84/15 – ZZelP-J in 32/16) takse prosta.
Pouk o pravnem sredstvu: Ta odločba je v upravnem postopku dokončna. Zoper njo v skladu z določbo 55. člena ZVOP-1 ni dovoljena pritožba, mogoč pa je upravni spor z vložitvijo tožbe na Upravno sodišče Republike Slovenije, Fajfarjeva 33, 1000 Ljubljana, v roku 30 dni od prejema te odločbe. Tožbo se vloži pri pristojnem sodišču neposredno pisno ali pa se mu pošlje po pošti. Tožbi v najmanj dveh izvodih je potrebno priložiti to odločbo v izvirniku ali prepisu.
