Vastus selgitustaotlusele

Tere!

Andmekaitse Inspektsioon (AKI) sai Teie pöördumise seoses tööautodel GPS‑seadmete kasutamise kohta. GPS-seadet kasutatakse selleks et vajadusel kontrollida kas vara kasutatakse sihipäraselt, töökorralduse tagamiseks, vara kaitseks. Kui tekib kahtlus, et auto asukoha informatsioon ja töötundide informatsioon süsteemis ei klapi omavahel, siis sooviksite vestelda selles osas töötajaga. Töötajad on koos töölepinguga allkirjastanud ka varalepingu, kus on kirjas punkt, et tööandjal on õigus kontrollida sihipärast vara kasutamist. Töötajad on teadlikud GPS-seadmetest tööautodel. Küsite, et kuidas oleks GPS-seadmeid õigesti kasutada, samuti küsite, kas on vajalik antud situatsioon kirjalikult fikseerida.

Sisuliselt soovite AKI-lt nõu andmetöötleja ehk ettevõtte õiguste ja kohustuste kohta seoses tööautode GPS-jälgimisega.

Esmalt märgin, et isikuandmeteks on igasugune teave tuvastatud või tuvastatava füüsilise isiku kohta. Seega olukorras, kus GPS-seadmega varustatud sõiduvahendi kasutaja (nt töötaja) on tuvastatav, on isikuandmeteks ka GPS-seadmete alusel kogutud andmed. Igasuguseks isikuandmete töötlemiseks peab olema õiguslik alus. Õiguslik alus isikuandmete töötlemiseks saab tuleneda isikuandmete kaitse üldmääruse^[1] (IKÜM) artiklist 6 (nt õigustatud huvi, nõusolek, juriidiline kohustus, huvide kaitsmine jm). Teatud juhtudel tuleb GPS-süsteemil põhinevate seadmete kasutamise kohustus seadustest, näiteks kaugsõiduveokite puhul. Olukorras, kus andmetöötluseks konkreetne õiguslik alus puudub, ei tohi ka andmeid sellisel viisil töödelda.

Selgitan, et andmetöötleja saab tugineda isikuandmete töötlemisel õigustatud huvile. Tulenevalt IKÜM artikli 6 lg 1 punktist f isikuandmete töötlemine on seaduslik juhul kui isikuandmete töötlemine on vajalik vastutava töötleja või kolmanda isiku õigustatud huvi korral, välja arvatud juhul, kui sellise huvi kaaluvad üles andmesubjekti huvid või põhiõigused ja -vabadused, mille nimel tuleb kaitsta isikuandmeid.

Õigustatud huvi alus võimaldab konkreetsete tingimuste täitmisel kasutada GPS-jälgimist. Õigustatud huvi isikuandmete töötlemise alusena saab kasutada üksnes siis, kui andmetöötleja on teostanud töötaja ja tööandja huvide kaalumise ning jõudnud järelduseni, et seadme kasutamine ei riiva ülemääraselt töötajate huvisid. Õigustatud huvi alusele tuginemine eeldab seega õigustatud huvi analüüsi läbiviimist ja dokumenteerimist^[2], mis tuleb tööandjal ka töötajatele kättesaadavaks teha. Õigustatud huvi kohta leiab rohkem informatsiooni siit: Õigustatud huvi: millal ja kuidas sellele andmetöötluses tugineda? | Andmekaitse Inspektsioon.

Lisaks toon välja, et isikuandmete töötlemise õiguslikuks aluseks saab olla ka andmesubjekti nõusolek. Kuid AKI hinnangul on töösuhetes isikuandmete töötlemisel töötaja nõusolekule tuginemine problemaatiline. Nõusolekut ei saa lugeda vabatahtlikult antuks olukorras, kus inimene ning andmetöötleja on ebavõrdses olukorras, sh olukorras, kus on vähetõenäoline, et isik andis nõusoleku vabatahtlikult. Töölepingu seaduse §-i 1 järgi on töölepinguline suhe alluvussuhe, kus tööandjal on teatud võim töötaja üle, seal hulgas õigus töötajat juhtida ja kontrollida. See paneb aga tööandjale andmete töötlemisel kohustuseks nõusoleku puhul tõendada, et nõusolek on antud vabatahtlikult, vastasel juhul ei ole nõusolek kehtiv. Nõusoleku kohta leiab rohkem informatsiooni siit: 9. peatükk. Nõusoleku küsimine | Andmekaitse Inspektsioon.

Nõusolek on IKÜM tähenduses andmesubjekti vabatahtlik, konkreetne, teadlik ja ühemõtteline tahteavaldus, millega ta kas avalduse vormis või selget nõusolekut väljendava tegevusega nõustub enda kohta käivate isikuandmete töötlemisega. Seega olukorras, kus tööandja lihtsalt annab töötajale teada, et edaspidi kasutatakse GPS-seadmeid, ei saa seda pidada tingimustele vastavaks nõusolekuks. Seega tuleb nõusolekule, kui õiguslikule alusele tuginedes tööandjal tagada olukord, kus töötajatel on reaalne võimalus oma nõusolekut andmete töötlemiseks mitte anda või hiljem tagasi võtta. Seda on kõige parem teostada läbi alternatiivi loomise ehk et säilib võimalus, et jälgimisseadmeid ei kasutata. Väga oluline on silmas pidada, et töötaja ei tohi tunda, et teda survestatakse jälgimisseadet kasutama.

Sõltumata õiguslikust alusest, on andmetöötlejal kohustus järgida muuhulgas ka IKÜM artiklis 5 sätestatud põhimõtteid, sh lg 1 punktis a, b ja c sätestatut:

• * töötlemine on seaduslik, õiglane ja isikule läbipaistev;

• * eesmärgi piirang – isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel;

• * võimalikult väheste andmete kogumine – isikuandmed on asjakohased, olulised ja piiratud sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt.

Isikuandmeid võib koguda vaid ulatuses, mis on vajalik määratletud eesmärkide (näiteks tööaja arvestus, veose turvalisus või vara kaitse) saavutamiseks. Isikuandmete töötleja peab andmete töötlemisel alati eelnevalt ka hindama, kas andmetöötlus on ikka tõesti eesmärgi täitmiseks vajalik ning kas just sellises ulatuses. Lisaks peaks olema piiratud nende isikute ring, kes GPS andmetele juurde pääsevad, näiteks ei tohiks teostada töötajate reaalajas jälgimist, kuna GPS-iga autode jälgimine on üpris riivav isikuandmete töötlemine. Lisaks on GPS-seadme puhul hindamisel oluline, kas tööautoga on lubatud teha erasõite või mitte. Kui tööauto on või vähemasti peaks olema kasutuses üksnes tööülesannete täitmiseks, on tõenäoline, et riive töötajate eraelule on väiksem, sest tööajal täidavad töötajad tööandja suuniseid.

Läbipaistvuse põhimõte eeldab, et kogu isikuandmete töötlemisega (sh GPS-seadmete kasutamisega) seotud teave ja sõnumid on lihtsalt kättesaadavad, arusaadavad ning selgelt sõnastatud. Inimeste teavitamist reguleerivad täpsemalt IKÜM artiklid 12–13, mis kohustavad andmetöötlejat (ettevõte või GPS-jälgimise teenusepakkuja) koostama konkreetsed andmekaitsetingimused.

Märgin veel ära, et tulenevalt IKÜM artikli 5 lg 1 punktist f isikuandmete töötlemisel tagatakse isikuandmete asjakohase turvalisuse, kasutades asjakohaseid tehnilisi või korralduslikke meetmeid. Kõik organisatsioonid, kes oma tegevuse käigus isikuandmetega kokku puutuvad, on kohustatud tagama, et nende juures töödeldakse isikuandmeid turvaliselt. See tähendab muu hulgas, et infosüsteemides olevaid isikuandmeid kasutatakse ainult sel eesmärgil, mille jaoks nad kogutud on, ning keegi ei pääse andmetele ligi omakasupüüdlikel või pahatahtlikel eesmärkidel ega pelgast uudishimust. Selleks, et ära hoida isikuandmete väärkasutamist ning tagada, et tagantjärele oleks võimalik kindlaks teha, kes, millal ja miks infosüsteemis andmeid vaadanud või kasutanud on, peab elektroonilise andmetöötluse puhul pidama logikirjeid isikuandmete töötlemise kohta.

GPS-andmete töötlemine läheb vastuollu IKÜM põhimõtetega olukorras kus näiteks andmeid kogutakse ilma selge eesmärgita, jälgimine toimub varjatult, kogutakse rohkem andmeid kui vaja, andmeid säilitatakse põhjendamatult kaua või kasutatakse esialgsest eesmärgist muul otstarbel.

Ettevõte peab määrama konkreetse(d) inimese(d), kes pääseb ligi töötajate liikumisajaloole. Ligipääs peab olema piiratud ja seotud konkreetse tööalase vajadusega, mis on kooskõlas töötlemise eesmärgiga. Töötajal on IKÜM alusel õigus saada teavet enda kohta kogutud andmete kohta, taotleda andmete parandamist, kustutamist või töötlemise piiramist, esitada vastuväiteid, kui töötlemine ei ole õiguspärane, pöörduda vajadusel Andmekaitse Inspektsiooni poole, kui ta tunneb, et tema õigusi on isikuandmete töötlemisel rikutud.

Kokkuvõtteks ning vastuseks Teie küsimustele on et tööandja võib tööautode liikumist GPS‑i abil jälgida juhul, kui selleks on olemas õiguslik alus ning selge ja õigustatud eesmärk. Jälgimine peab olema eesmärgipärane, proportsionaalne ja vajalik. Töötajaid tuleb eelnevalt teavitada GPS seadmete kasutamisest ning teavitus peab sisaldama vähemalt jälgimise eesmärki, kogutavaid andmeid (nt asukoht, aeg), säilitamisaega, ligipääsuõigusi ja töötaja andmekaitseõigusi. Kõik asjaolud, sh miks GPS‑i kasutatakse, millisel alusel ning milliseid andmeid töödeldakse ja kas töötajat on teavitatud, peab suutma tõendada iga andmetöötleja ise, mistõttu tuleb need asjaolud dokumenteerida viisil, mis võimaldab neid hiljem taasesitada. Seda, kuidas töötajaga suhelda, saab reguleerida eelduslikult ning vajadusel ettevõtte sisekorraeeskirjades.

Kuna AKI saab anda selgitusi õigusaktide kohta, mille üle teostab järelevalvet, ning ei osuta õigusabiteenust, soovitame igapäevaste andmekaitseküsimuste lahendamisel pöörduda kindlasti ka õigusnõustaja (juristid, advokaadid) poole. Nemad saavad hinnata just konkreetselt ettevõtte olukorda ning aidata välja töötada isikuandmete töötlemiseks korrektne dokumentatsioon. Kui ettevõttele on määratud andmekaitsespetsialist, siis tasub kindlasti esmalt tema poole pöörduda. Asutuse andmekaitsespetsialistil on olemas pädevus ning konkreetne teave, kuidas ettevõttes isikuandmeid töödeldakse.

Rohkem informatsiooni isikuandmete töötlemise kohta leiab AKI veebilehel www.aki.ee (isikuandmed-andmetöötlejale). Andmetöötlejale on kindlasti abiks ka infovoldikud, mis on leitavad siit: Vastavus isikuandmete kaitse üldmäärusega | Andmekaitse Inspektsioon ja Andmekaitsetingimused ja nõusolek | Andmekaitse Inspektsioon.

Loodan, et vastusest on abi.

Lugupidamisega

Andmekaitse Inspektsioon

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Tatari 39 | 10134 Tallinn | Eesti
LinkedIn | YouTube 

Tere

Soovin uurida, kuidas tööandjana õigesti toimida.

Tööautodel on peal GPS-seade, selleks et vajadusel kontrollida kas vara kasutatakse sihipäraselt; töökorralduse tagamiseks; vara kaitseks.

Kui on tekkinud kahtlus, et auto asukoha informatsioon ja töötundide informatsioon süsteemis ei klapi omavahel, kas on lubatud siduda need kaks aspekti ning vestelda selles osas töötajaga?

Töötajad on tööle tulles allkirjastanud ka varalepingu, kus on kirjas punkt, et tööandjal on õigus kontrollida sihipärast vara kasutamist. Lisaks on töötajad teadlikud GPSi olemasolust tööautodel.

Kuidas sellises olukorras õigesti käituda ja kas on vajalik antud situatsioon kirjalikult fikseerida?

Heade soovidega

Meriliis Tõnisson

personalispetsialist

AS Connecto Infra/AS Connecto Eesti

Tuisu 19

11314 Tallinn

[email protected]

+372 5377 2302

https://karjaar.connecto.ee/