Dane z ogranicznika prędkości a RODO: Prywatność kierowców, ochrona danych i zgodność

Ograniczniki prędkości i systemy śledzenia floty zbierają dane osobowe dotyczące kierowców, w tym lokalizację, prędkość, zachowanie podczas jazdy i wzorce podróży. Na mocy UK GDPR i Ustawy o ochronie danych z 2018 roku, dane te stanowią dane osobowe, gdy można je powiązać z możliwą do zidentyfikowania osobą — co prawie zawsze jest możliwe w kontekście floty. Operatorzy flot są administratorami danych i muszą przestrzegać prawa ochrony danych, w tym posiadać podstawę prawną przetwarzania, dostarczać kierowcom informacje o prywatności, ograniczać przechowywanie danych i odpowiadać na żądania dostępu do danych osobowych.

Niniejszy artykuł wyjaśnia, jakie dane zbierają ograniczniki prędkości i systemy śledzenia, Państwa obowiązki prawne jako operatora floty, prawa kierowców i praktyczne kroki zapewniające zgodność.

Jakie dane zbierają ograniczniki prędkości?

Zbierane dane zależą od zainstalowanego typu ogranicznika prędkości.

Podstawowe ograniczniki prędkości

Autonomiczny ogranicznik prędkości bez możliwości telematycznych zbiera minimalne dane. Sama jednostka może rejestrować:

• Zdarzenia aktywacji ogranicznika prędkości (kiedy ogranicznik się włącza)
• Alerty manipulacji
• Historię kalibracji
• Kody usterek

Dane te są zazwyczaj przechowywane lokalnie na urządzeniu i dostępne tylko podczas serwisowania lub dochodzenia. W większości przypadków nie są powiązane z konkretnym kierowcą i mogą nie stanowić danych osobowych, chyba że operator może zidentyfikować, kto prowadził pojazd w określonym czasie.

Ograniczniki prędkości z rejestrowaniem danych

Bardziej zaawansowane ograniczniki prędkości z możliwością rejestrowania danych rejestrują dodatkowe informacje:

• Prędkość pojazdu (ciągłe lub zdarzeniowe)
• Zdarzenia przekroczenia limitu prędkości
• Znaczniki daty i czasu
• Identyfikacja pojazdu

W połączeniu z dokumentacją przydziału kierowców (harmonogramy, dane tachografu lub systemy logowania kierowców), dane te stają się danymi osobowymi, ponieważ ujawniają zachowanie podczas jazdy możliwej do zidentyfikowania osoby.

Systemy zintegrowane (TrackSpeed)

TrackSpeed łączy ogranicznik prędkości ze śledzeniem GPS ScorpionTrack Fleet, zapewniając najbardziej kompleksowy zestaw danych:

• Lokalizacja pojazdu w czasie rzeczywistym (współrzędne GPS)
• Prędkość pojazdu (ciągła)
• Punkty startowe i końcowe podróży, pokonane trasy
• Zdarzenia zachowania podczas jazdy (gwałtowne hamowanie, przyspieszanie, skręcanie)
• Wjazdy i wyjazdy ze stref prędkości (GeoKontrol)
• Czas jałowego biegu i godziny pracy silnika
• Identyfikacja kierowcy (gdzie stosowane są systemy ID kierowcy)

Dane te wyraźnie stanowią dane osobowe na mocy UK GDPR. Ujawniają nie tylko, gdzie kierowca był i jak szybko jechał, ale także jego wzorce jazdy, nawyki i zachowanie.

Obowiązki prawne na mocy UK GDPR

Jako operator floty jest Pan/Pani administratorem danych. Dostawca ogranicznika prędkości lub systemu śledzenia (taki jak AutoKontrol) jest zazwyczaj podmiotem przetwarzającym dane, przetwarzającym dane w Państwa imieniu. Obie strony mają obowiązki, ale główna odpowiedzialność za zgodne z prawem przetwarzanie spoczywa na Państwu.

1. Podstawa prawna przetwarzania

Muszą Państwo zidentyfikować podstawę prawną do zbierania i przetwarzania danych kierowców. Najczęściej mające zastosowanie podstawy dla śledzenia floty to:

• Uzasadniony interes (art. 6(1)(f)) — mają Państwo uzasadniony interes w zarządzaniu bezpieczeństwem floty, zapewnieniu zgodności prawnej, redukcji kosztów i ochronie aktywów. Jest to najczęstsza podstawa dla danych śledzenia floty.
• Obowiązek prawny (art. 6(1)(c)) — tam gdzie ograniczniki prędkości są wymagane prawnie (pojazdy ciężkie, PSV), rejestrowanie danych w związku z tym wymogiem ma podstawę prawną.
• Wykonanie umowy (art. 6(1)(b)) — gdzie monitorowanie jest warunkiem umowy o pracę.

Zgoda zazwyczaj nie jest odpowiednia jako podstawa prawna dla monitorowania pracowników ze względu na nierównowagę sił w stosunku pracy. ICO stwierdziło, że zgoda pracowników prawdopodobnie nie jest swobodnie udzielana, a zatem może nie być ważna.

Należy udokumentować wybraną podstawę prawną i uzasadnienie. Jeśli polega się na uzasadnionym interesie, należy przeprowadzić Ocenę Uzasadnionych Interesów (LIA), która wyważa Państwa interesy z prawami prywatności kierowcy.

2. Informacja o prywatności

Kierowcy muszą zostać poinformowani o zbieraniu danych przed jego rozpoczęciem. Informacja o prywatności powinna wyjaśniać:

• Jakie dane są zbierane i z jakich systemów
• Dlaczego są zbierane (cele)
• Podstawa prawna przetwarzania
• Kto ma dostęp do danych (menedżerowie flot, zespół ds. zgodności, ubezpieczyciele, organy egzekwowania)
• Jak długo dane są przechowywane
• Prawa kierowców (dostęp, sprostowanie, usunięcie, sprzeciw)
• Jak złożyć skargę

Informacja o prywatności powinna być dostarczona wszystkim kierowcom przed aktywacją ogranicznika prędkości lub systemów śledzenia. Dla istniejących pracowników może to stanowić część procesu konsultacji. Dla nowych pracowników powinna być uwzględniona w dokumentacji wdrożeniowej.

3. Minimalizacja danych

Należy zbierać tylko dane niezbędne do wskazanych celów. Jeśli celem jest zgodność z ogranicznikiem prędkości i bezpieczeństwo floty, może nie być potrzebne ciągłe śledzenie lokalizacji co sekundę. Należy rozważyć, czy rejestrowanie zdarzeniowe (rejestrowanie tylko gdy zbliżany jest limit prędkości lub jest przekraczany) spełnia potrzeby przy mniejszym wpływie na prywatność.

Systemy AutoKontrol są konfigurowalne. Mogą Państwo wybrać poziom zbierania danych, który odpowiada wymaganiom operacyjnym i obowiązkom dotyczącym prywatności.

4. Przechowywanie danych

Nie należy przechowywać danych dłużej niż to konieczne. Należy zdefiniować okresy przechowywania dla każdego typu danych:

Typ danych	Sugerowane przechowywanie	Uzasadnienie
Dzienniki zdarzeń prędkości	12 miesięcy	Dowód zgodności i coaching
Dane podróży GPS	6-12 miesięcy	Przegląd operacyjny i rozwiązywanie sporów
Zdarzenia zachowania podczas jazdy	12 miesięcy	Rozwój kierowcy i ubezpieczenie
Dokumentacja kalibracji	Żywotność pojazdu + 2 lata	Zgodność regulacyjna
Dane dotyczące incydentów	6 lat	Okres przedawnienia roszczeń za uszkodzenia ciała

Zasady automatycznego usuwania powinny być skonfigurowane na platformie śledzenia w celu egzekwowania tych okresów. ScorpionTrack Fleet obsługuje konfigurowalne zasady przechowywania danych.

5. Bezpieczeństwo danych

Dane osobowe muszą być chronione przed nieautoryzowanym dostępem, utratą lub ujawnieniem. Praktyczne środki obejmują:

• Kontrola dostępu oparta na rolach — tylko upoważniony personel może przeglądać dane śledzenia
• Silne hasła i uwierzytelnianie dwuskładnikowe na portalu śledzenia
• Szyfrowana transmisja danych między jednostką pojazdu a platformą
• Bezpieczne centra danych z odpowiednimi certyfikatami (ISO 27001)
• Regularne przeglądy dostępu w celu usunięcia odchodzących pracowników i aktualizacji uprawnień

6. Żądania dostępu do danych osobowych (DSARs)

Kierowcy mają prawo zażądać kopii wszystkich danych osobowych dotyczących ich osoby. Obejmuje to dane z ogranicznika prędkości, dane śledzenia oraz wszelkie raporty lub analizy wywodzone z tych danych. Muszą Państwo odpowiedzieć w ciągu jednego miesiąca kalendarzowego.

Należy przygotować się na DSARs poprzez zapewnienie możliwości sprawnego wyodrębniania danych indywidualnych kierowców z platformy śledzenia. ScorpionTrack Fleet umożliwia eksport danych filtrowanych według pojazdu, kierowcy i zakresu dat.

Prawa kierowców i typowe obawy

Kierowcy często podnoszą obawy dotyczące śledzenia i monitorowania. Najczęściej zadawane pytania i odpowiednie odpowiedzi:

“Czy możecie mnie śledzić poza godzinami pracy?” Jeśli pojazd jest używany do podróży prywatnych, śledzenie poza godzinami pracy rodzi znaczące kwestie prywatności. Należy rozważyć wdrożenie “trybu prywatnego” wyłączającego śledzenie, lub jasno określić w informacji o prywatności, że pojazd może być śledzony przez cały czas i prywatne użytkowanie podlega monitorowaniu.

“Czy mogę zobaczyć swoje dane?” Tak — jest to prawo prawne na mocy przepisów DSAR. Należy zapewnić dostęp niezwłocznie i w przejrzystym formacie.

“Czy mogę sprzeciwić się śledzeniu?” Kierowcy mają prawo sprzeciwić się przetwarzaniu opartemu na uzasadnionym interesie. Należy rozpatrzyć sprzeciw i można kontynuować przetwarzanie tylko wtedy, gdy Państwa uzasadnione interesy przewyższają prawa kierowcy. Należy udokumentować decyzję.

“Kto widzi moje dane prędkości?” Należy być przejrzystym w kwestii dostępu. Zazwyczaj menedżerowie flot, oficerowie ds. zgodności, a potencjalnie ubezpieczyciele lub organy egzekwowania (w przypadku incydentu) mogą mieć dostęp do danych.

Praktyczne kroki w zakresie zgodności

1. Przeprowadzić Ocenę Skutków dla Ochrony Danych (DPIA) przy wdrażaniu śledzenia po raz pierwszy lub gdy następuje istotna zmiana w zbieraniu danych.
2. Napisać informację o prywatności dla śledzenia floty i dostarczyć ją wszystkim kierowcom.
3. Przeprowadzić Ocenę Uzasadnionych Interesów jeśli polega się na uzasadnionym interesie jako podstawie prawnej.
4. Skonfigurować zasady przechowywania danych na platformie śledzenia.
5. Przejrzeć kontrole dostępu — ograniczyć dostęp do danych do osób z rzeczywistą potrzebą operacyjną.
6. Szkolić menedżerów uzyskujących dostęp do danych śledzenia w zakresie ich obowiązków dotyczących ochrony danych.
7. Zaktualizować umowę o przetwarzanie danych z dostawcą systemu śledzenia.

Jak zacząć

AutoKontrol poważnie traktuje ochronę danych. Nasze systemy są zaprojektowane z myślą o prywatności, oferując konfigurowalne poziomy zbierania danych, kontrolę dostępu opartą na rolach, automatyczne zasady przechowywania i łatwy eksport danych do DSARs. Możemy wesprzeć Państwa proces DPIA dokumentacją techniczną dotyczącą tego, jakie dane zbierają nasze systemy i jak są przetwarzane.

Poproś o bezpłatną wycenę, aby omówić rozwiązania ogranicznika prędkości i śledzenia spełniające Państwa potrzeby operacyjne i obowiązki dotyczące ochrony danych.