GPS pe mașinile firmei: când ai voie să urmărești angajații

În noiembrie 2024, ANSPDCP a anunțat amendarea unei firme cu 19.898,4 lei pentru GPS-ul de pe mașinile de serviciu. Firma vedea pe unde umblă angajații și după program, inclusiv în concedii, iar datele stăteau în sistem mai mult de 30 de zile. Pe lângă amendă, i s-a cerut să reevalueze dacă mai are nevoie de monitorizare și să șteargă ce păstrase în plus.

Dacă ai mașini de serviciu, dube sau camioane, aici afli ce lege se aplică, când se oprește urmărirea, ce le spui angajaților, cât păstrezi datele, ce schimbă tahograful și când ai nevoie de o evaluare de impact.

Important: articolul are caracter informativ și nu constituie consultanță juridică. Pentru situația ta concretă, mai ales înainte să folosești datele GPS într-o cercetare disciplinară, discută cu un specialist în protecția datelor.

Pe scurt

• Ai voie să pui GPS pe mașinile firmei pentru un scop concret: planificarea curselor, protecția mașinii și a mărfii, siguranța șoferului. Nu ca să vezi cât lucrează omul.

• În România se aplică art. 5 din Legea 190/2018, cu aceleași cinci condiții ca la camerele video: motiv temeinic, informare prealabilă, consultarea angajaților, măsuri mai blânde încercate înainte și cel mult 30 de zile de păstrare.

• După program, GPS-ul nu mai urmărește omul. Dacă mașina poate fi folosită și personal, șoferul trebuie să poată opri localizarea.

• La camioane, tahograful e obligație legală, cu regulile lui: poziția se înregistrează doar în anumite momente, iar înregistrările se păstrează cel puțin un an.

• Firma de monitorizare e persoană împuternicită: ai nevoie de contract cu ea. Iar urmărirea sistematică a angajaților cere, de regulă, o evaluare de impact.

Ai voie să urmărești mașinile firmei?

Da, dacă ai un motiv concret. Temeiul obișnuit e „interesul legitim” din articolul 6 alineatul (1) litera f) din GDPR: un interes real al firmei, care cântărește mai mult decât dreptul angajatului de a nu fi urmărit. Mașina e a ta, dar din datele de localizare afli unde a fost omul care o conduce.

Autoritățile europene au explicat ce înseamnă un motiv concret în Avizul 2/2017 al Grupului de lucru Articolul 29 privind prelucrarea datelor la locul de muncă. Avizul citează o regulă mai veche a grupului: localizarea e justificată când monitorizezi transportul de persoane sau de mărfuri, când planifici în timp real intervenții în locuri diferite sau când protejezi șoferul, marfa ori vehiculul. E excesivă când angajații își organizează singuri drumurile sau când singurul scop e să le controlezi munca, deși ai și alte mijloace.

O firmă de curierat care trimite cea mai apropiată dubă la o ridicare nouă are un motiv bun. Un patron care vrea să vadă cât a stat agentul de vânzări la fiecare client are un motiv slab: pentru asta există rapoartele de vizită.

Ce lege se aplică în România

Articolul 5 din Legea 190/2018 se aplică atunci când angajatorul folosește „sisteme de monitorizare prin mijloace de comunicații electronice și/sau prin mijloace de supraveghere video la locul de muncă”. Legea nu pomenește GPS-ul pe nume. Un dispozitiv GPS de flotă trimite însă poziția mașinii prin rețeaua de telefonie mobilă, iar ANSPDCP l-a tratat ca atare: în toate cele trei sancțiuni pentru GPS din tabelul de mai jos, autoritatea a raportat încălcările la Legea 190/2018 și la termenul ei de 30 de zile.

Concret, monitorizarea e permisă numai dacă îndeplinești toate cele cinci condiții: interesul tău e temeinic justificat, i-ai informat pe angajați înainte, complet și explicit, ai consultat sindicatul sau reprezentanții angajaților, măsurile mai puțin intruzive nu au funcționat, iar datele se păstrează cel mult 30 de zile, cu excepțiile prevăzute de lege. Sunt aceleași condiții ca la camerele care filmează angajați; le-am explicat pe larg în ghidul despre camerele video în magazin sau cabinet.

1. GPS-ul se oprește când se termină programul

Aici greșesc cele mai multe firme sancționate. Avizul 2/2017 spune că, dată fiind sensibilitatea datelor de localizare, e puțin probabil să existe un temei legal pentru urmărirea mașinilor angajaților în afara programului convenit. Avizul citează și o frază pe care merită s-o ții minte: dispozitivele de urmărire a vehiculelor nu sunt dispozitive de urmărire a personalului.

Cum arată, în practică, recomandările din Avizul 2/2017 (punctul 5.7) pentru o mașină de serviciu folosită și personal. Orele sunt un exemplu; contează programul convenit cu angajatul.

Mașina folosită și în weekend

Dacă angajatul are voie să ia mașina acasă sau s-o folosească în scop personal, avizul propune două măsuri:

• un buton de oprire: șoferul poate opri temporar localizarea când are un motiv, de exemplu o vizită la medic, ca să-și protejeze singur viața privată;

• protecție antifurt fără urmărire: în afara programului, poziția nu se înregistrează decât dacă mașina iese dintr-o zonă largă stabilită dinainte (județul, regiunea sau țara). Abia atunci vezi unde e.

2. Ce le spui angajaților și când

Legea 190/2018 cere informarea înainte de montare, completă și explicită, și consultarea reprezentanților angajaților. Nota de informare spune:

• în ce mașini e montat GPS-ul și ce înregistrează: poziția, viteza, stilul de condus, dacă e cazul;

• de ce, cu scopurile concrete, și temeiul legal;

• când e activ și cum se oprește în timpul liber;

• cine vede datele, inclusiv furnizorul platformei, și cât timp se păstrează;

• drepturile omului: acces la propriile date, opoziție, plângere la ANSPDCP.

Avizul 2/2017 recomandă, în plus, ca informarea să fie afișată vizibil în fiecare mașină, în câmpul vizual al șoferului. Păstrează nota semnată de fiecare angajat: în sancțiunile ANSPDCP, firma pierde de obicei pentru că „nu a făcut dovada” informării.

3. Cât păstrezi datele GPS

Cel mult 30 de zile, după art. 5 lit. e) din Legea 190/2018. Excepțiile sunt situațiile prevăzute de lege și cazurile temeinic justificate, de exemplu un furt sau un accident în curs de lămurire: atunci păstrezi doar datele acelui caz.

Verifică setarea din platformă. Multe păstrează istoricul traseelor un an sau mai mult, implicit. În octombrie 2024, ANSPDCP a amendat o firmă care ținuse datele GPS ale unui angajat 6 luni și continuase să le prelucreze și după plecarea lui din firmă.

4. Pentru ce nu folosești datele

Datele strânse pentru planificarea curselor nu devin, peste noapte, probă pentru o cercetare disciplinară sau notă pentru prima de performanță. Folosirea lor „în alt scop decât cel pentru care le colectase inițial” a fost una dintre încălcările găsite de ANSPDCP într-o sancțiune comunicată în martie 2023.

Dacă vrei să folosești datele și pentru verificarea kilometrilor decontați sau a foilor de parcurs, spune asta în nota de informare de la început. Ca reper, nu ca regulă aplicabilă direct în România: în cauza Florindo de Almeida Vasconcelos Gramaxo c. Portugaliei (13 decembrie 2022), Curtea Europeană a Drepturilor Omului a acceptat concedierea unui reprezentant medical pe baza kilometrilor înregistrați de GPS. Angajatul fusese informat despre GPS și scopul lui, iar instanța de apel ținuse cont doar de kilometri, nu și de orele de lucru.

5. Camioanele și autocarele: tahograful e altă poveste

Tahograful nu e o alegere a firmei, ci o obligație legală. Regulamentul (CE) 561/2006 se aplică transportului de mărfuri cu vehicule de peste 3,5 tone, transportului de persoane cu vehicule de peste 9 locuri, inclusiv șoferul, și, de la 1 iulie 2026, transportului internațional și cabotajului cu vehicule de peste 2,5 tone. Temeiul e deci „obligația legală” din art. 6 alin. (1) lit. c) din GDPR, nu interesul legitim.

Regulamentul (UE) 165/2014 privind tahografele stabilește și limitele:

• tahograful inteligent înregistrează poziția doar în anumite puncte (art. 8): începutul și sfârșitul zilei de lucru, la fiecare trei ore de condus cumulat, la trecerea unei frontiere și la încărcare sau descărcare, cu condiții pe data primei înmatriculări;

• datele personale din tahograf se folosesc doar pentru verificarea regulilor de condus și odihnă (art. 7);

• firma de transport păstrează foile de înregistrare și documentele imprimate cel puțin un an și dă șoferilor copii, la cerere (art. 33 alin. (2)).

Atenție la diferență: tahograful nu acoperă GPS-ul de flotă montat în plus pe același camion. Acela urmărește permanent și intră sub art. 5 din Legea 190/2018, cu toate cele cinci condiții.

GPS-ul de flotă și tahograful, pe scurt. Surse: Legea 190/2018, art. 5; Regulamentul (CE) 561/2006, art. 2; Regulamentul (UE) 165/2014, art. 7, 8 și 33.

6. Firma care îți dă platforma de monitorizare

Furnizorul care îți montează dispozitivele și îți ține traseele pe serverele lui prelucrează date în numele tău. În limbajul GDPR e o „persoană împuternicită”, iar articolul 28 cere un contract scris cu el: ce date prelucrează, cât le ține, ce măsuri de securitate are, ce face cu ele la final. Detaliile sunt în ghidul despre contractul cu persoana împuternicită.

Înainte să semnezi, întreabă furnizorul trei lucruri: unde sunt serverele (în Uniunea Europeană sau în afara ei), dacă poți seta ștergerea automată la 30 de zile și dacă platforma are program orar sau mod privat.

7. Ai nevoie de o evaluare de impact?

Evaluarea de impact (DPIA) e o analiză scrisă a riscurilor pentru oamenii urmăriți. Decizia ANSPDCP 174/2018 o face obligatorie, printre altele, la „prelucrarea pe scară largă și/sau sistematică a datelor de trafic și/sau de localizare” când prelucrarea nu e necesară pentru un serviciu cerut de persoana vizată (art. 1 lit. g), și la monitorizarea pe scară largă a angajaților (lit. d).

Un GPS care urmărește mașinile în fiecare zi e o prelucrare sistematică. Și Ghidul WP29 privind evaluarea de impact (WP248) numără, printre criteriile de risc, monitorizarea sistematică, datele foarte personale, cu localizarea dată ca exemplu, și persoanele vulnerabile, cu angajații dați ca exemplu; de regulă, două criterii îndeplinite înseamnă evaluare. Pentru GPS pe mașinile angajaților sunt trei. Concluzia prudentă: fă evaluarea. Cum arată una pentru o firmă mică găsești în articolul despre evaluarea de impact pentru firmele mici; pentru o firmă cu o singură mașină, discută cu un specialist dacă e obligatorie.

Amenzile ANSPDCP pentru GPS pe mașinile de serviciu

În toate trei cazurile, ANSPDCP a cerut și reevaluarea nevoii de monitorizare și scurtarea termenului de păstrare.

Checklist pentru GPS-ul de pe mașinile firmei

• Scrie de ce ai nevoie de GPS: scopurile concrete și de ce nu ajunge o măsură mai blândă.

• Consultă reprezentanții angajaților și dă fiecărui șofer nota de informare, semnată, înainte de montare.

• Pune un autocolant cu informarea în fiecare mașină.

• Setează urmărirea doar în program; pentru mașinile folosite și personal, mod privat sau alertă doar la ieșirea dintr-o zonă largă.

• Setează ștergerea automată la cel mult 30 de zile.

• Limitează conturile din platformă la cine are nevoie.

• Semnează contractul de prelucrare cu furnizorul platformei.

• Fă evaluarea de impact și trece GPS-ul în registrul prelucrărilor, separat de tahograf.

Întrebări frecvente

GPS-ul în registru, cu SmartDPO

În SmartDPO răspunzi la întrebări simple despre firmă, iar fiecare „Da” devine o activitate în registrul prelucrărilor, cu scopul, temeiul legal, categoriile de date și termenul de păstrare deja completate. Firma de monitorizare apare în lista furnizorilor, unde vezi dacă ai contract de prelucrare, iar contractul care lipsește îl generezi din aplicație. Planul Firmă include evaluarea de impact, cu lista ANSPDCP a operațiunilor care o cer, și testul interesului legitim. Vezi ce face aplicația sau încearcă planul gratuit, pentru o singură firmă.