GPS sledenje službenih vozil je lahko zakonito, vendar le ob jasno določenem namenu, ustrezni pravni podlagi, izvedenem testu sorazmernosti in spoštovanju načel GDPR in Zakon o varstvu osebnih podatkov. Sistematično spremljanje vseh premikov zaposlenih brez jasnega namena ni dopustno.
GPS sledenje je postalo eno najbolj razširjenih orodij za nadzor nad službenimi vozili. Napravo, ki jo je mogoče kupiti za nekaj evrov in namestiti v nekaj minutah, danes uporablja vse več podjetij, ki želijo zavarovati svoje premoženje, racionalizirati poslovanje ali imeti boljši pregled nad vozili na terenu. Prav zaradi cenovne dostopnosti in enostavnosti uvedbe se marsikatero podjetje odloči za namestitev GPS sledilnih naprav v službena vozila. Če nam tehnologija nekaj omogoča, še ne pomeni, da se jo lahko prosto uporabi. Podjetja morate vselej preveriti, ali je uporaba tehnologije, v našem primeru GPS sledenja, tudi pravno dopustna.
V spodnjem članku bomo predstavili, katere zakonske omejitve veljajo za namestitev GPS sledenja v službena vozila ter na kaj morate biti podjetja pozorna, da se izognete, da bi z uporabo GPS sledenja kršili Splošno uredbo o varstvu podatkov (GDPR) in Zakon o varstvu osebnih podatkov (ZVOP-2).
Za razliko od videonadzora, ki ga ZVOP-2 ureja posebej od 76. do 80. člena, GPS sledenje v slovenski zakonodaji nima samostojnega oziroma posebnega poglavja, ki bi nam podrobno opredelilo ključne obveznosti, ki jih moramo pred vpeljavo GPS sledenja pripraviti. Pri vpeljavi GPS sledenja v službena vozila se moramo zato nasloniti na splošne določbe ZVOP-2 in GDPR. Pri presoji dopustnosti GPS sledenja je ključnega pomena tudi praksa Informacijskega pooblaščenca (IP) in posebne smernice o uporabi GPS sledilnih naprav, ki jih je IP, kot nadzorni organ pripravil.
V komunikaciji s številnimi podjetji, pri katerih smo pomagali vpeljati zakonito GPS-sledenje, smo velikokrat dobili podobno vprašanje: »Zakaj pa moramo vse pravno urediti saj GPS-sledenje ne pomeni obdelave osebnih podatkov, če sistem ne beleži imena in priimka voznika, ampak zgolj lokacijo vozila.« Tako stališče strank je napačno. V skladu s 4. členom Splošne uredbe je osebni podatek katera koli informacija v zvezi z določenim ali določljivim posameznikom, določljiv posameznik pa je tisti, ki ga je mogoče neposredno ali posredno določiti, med drugim tudi s podatkom o lokaciji. Bolj plastično prikazano, če vemo lokacijo točno določenega službenega vozila lahko v povezavi s potnim nalogom ali navodilom delodajalca, brez težav določimo tudi voznika vozila, ki službeno vozilo vozi. Številne GPS aplikacije že v začetku zahtevajo, da se oseba s svojimi osebnimi podatki, v aplikacijo prijavi in tako že s prijavo povežemo, lokacijo vozila in uporabnika oziroma posameznika ki vozilo vozi.
Upravno sodišče Republike Slovenije je glede določljivosti posameznika šlo še dlje. Sodišče je v nedavni sodbi opr. št. IV U 20/2024-49 z dne 19. 5. 2026 pojasnilo, da je posameznik določljiv že takrat, ko lahko upravljavec podatke o vozniku pridobi, na primer prek potnih nalogov ali razporeda dela, ne glede na to, ali te podatke dejansko poveže z lokacijskimi podatki. Že samo zbiranje takih podatkov namreč v skladu z 2. točko 4. člena GDPR pomeni obdelavo osebnih podatkov, zato se GDPR in ZVOP-2 uporabljata ne glede na to, kako podjetje GPS-sledenje dejansko uporablja.
Preden v podjetju uvedete GPS-sledenje, morate ugotoviti ustrezno pravno podlago za obdelavo osebnih podatkov. V praksi bo najpogostejša pravna podlaga zakoniti interes upravljavca (točka (f) prvega odstavka 6. člena GDPR), na primer zaradi zaščite premoženja podjetja. Če bomo GPS-sledenje izvajali na podlagi zakonitega interesa, je smiselno opraviti test zakonitega interesa (Legitimate Interest Assessment – LIA), s katerim upravljavec preveri, ali lahko osebne podatke z določeno rešitvijo zakonito obdeluje na tej pravni podlagi.
V primeru uvedbe GPS-sledenja v službenih vozilih pa lahko pride v poštev tudi pogodbena pravna podlaga iz točke (b) prvega odstavka 6. člena GDPR v povezavi z 48. členom ZDR-1.
Veliko vprašanj smo prejeli na to temo in marsikateri delodajalec poskuša GPS sledenje utemeljiti s privolitvijo zaposlenega, na primer s podpisom izjave ob nastopu dela ali pa izjave pred vpeljavo GPS sledenja. Tak pristop ni ustrezen oziroma vsaj tvegan. Med delodajalcem in delavcem namreč obstaja očitno neravnotežje moči.
V skladu z 43. uvodno izjava Splošne uredbe, ki določa da, za zagotovitev, da je privolitev dana prostovoljno, privolitev ne bi smela biti veljavna pravna podlaga za obdelavo osebnih podatkov v posebnem primeru, ko obstaja očitno neravnotežje med posameznikom na katerega se nanašajo osebni podatki in upravljavcem… privolitev kot pravno podlago v delovnih razmerjih praviloma izključuje.
Upravno sodišče je v sodbi IV U 20/2024-49 pojasnilo, da ni vprašanje, ali se je posamezni delavec počutil svobodnega pri odločanju ali bi privolitev dal ali ne, temveč ali so bili izpolnjeni objektivni pogoji za veljavno privolitev, kar potrjujejo tudi Smernice Evropskega odbora za varstvo podatkov (EDPB) št. 05/2020.
V obravnavani zadevi je sodišče presodilo tudi, da je bila izjava o privolitvi neustrezna že zato, ker je bila združena z obvestilom o obdelavi osebnih podatkov v en sam dokument, s čimer delavec ni mogel ločeno privoliti v obdelavo, kar je v nasprotju z drugim odstavkom 7. člena GDPR.
Prav tako opozarjamo na možnost, da delavec kadarkoli prekliče dano privolitev brez kakršnih koli pravnih ali dejanskih posledic, kar bi v praksi pomenilo, da lahko zaposleni po uvedbi GPS sledenja svojo privolitev kadarkoli prekliče in bi tako delodajalec moral nemudoma prenehati z izvajanjem GPS sledenja vozila konkretnega zaposlenega, ki je privolitev preklical.
Zgoraj smo ugotovili, da morate podjetja razpolagati z ustrezno pravno podlago, ki je najpogosteje zakoniti interes ali pa pogodbena zakonita podlaga. Vendar pa sam obstoj zakonite podlage še ne pomeni, da je GPS sledenje avtomatično dopustno. Pred uvedbo GPS sledenja je potrebno izvesti test sorazmernosti, ki ga je IP določil v svojih smernicah, potrdilo pa ga je tudi Upravno sodišče.
Pri izvedbi testa sorazmernosti je potrebno presoditi:
Iz prakse IP in navedene sodne prakse jasno izhaja, da sistematično, avtomatizirano in kontinuirano sledenje vseh službenih vozil, ki v realnem času beleži vsak premik, postanek in hitrost vozila, ni sorazmerno in zato ni dopustno. Podjetje mora GPS tehnologijo omejiti na ozko, konkretno opredeljene namene, ki jih z milejšimi ukrepi ni mogoče doseči. Taki primeri so na primer:
Splošno, neselektivno sledenje vsem vozilom brez omejitve namena ali časa po ustaljeni praksi IP ni sorazmerno.
Ena izmed najpogostejših napak podjetij je prepričanje, da lahko z GPS sledenjem dokazujejo dejansko opravljeno delo zaposlenih, na primer trajanje obiska pri stranki ali upravičenost zaračunanih ur. Tako stališče Informacijski pooblaščenec v svojih mnenjih izrecno zavrača: z lokacijskimi in časovnimi podatki namreč ni mogoče meriti kakovosti in količine opravljenega dela, temveč zgolj lokacijsko in časovno prisotnost. Iz GPS podatkov je razvidno le, kdaj je zaposleni z vozilom prispel na določeno lokacijo in kdaj jo je zapustil, ne pa tudi, kaj je na tej lokaciji dejansko počel.
Upravno sodišče je v sodbi IV U 20/2024-49 pritrdilo, da za obračunavanje dejansko opravljenega dela in preverjanje utemeljenosti reklamacij obstajajo milejša sredstva, na primer delovni nalog, ki ga podpišeta delavec in stranka, ali pravočasno obveščanje stranke o predvidenem prihodu. Kadar je cilj mogoče doseči z milejšim ukrepom, GPS sledenje ni dopustno, tudi če bi bilo tehnično enostavnejše ali cenejše.
Uvedba GPS sledenja mora biti zaposlenim, katerih podatke bo podjetje zbiralo, transparentno in nedvoumno predstavljena. Delodajalec naj vse potrebne podatke delavcem sporoči, še preden se GPS sledenje dejansko začne izvajati. Obvestilo mora vsebovati vse informacije iz 13. člena GDPR, torej med drugim namen obdelave, pravno podlago, obdobje hrambe in kontaktne podatke za uveljavljanje pravic posameznika. Priporočljivo je, da podjetje po pravilih, ki jih določa ZDR-1 sprejme interni akt (pravilnik o uporabi službenih vozil ali pravilnik o GPS sledenju), v katerem določi natančne razloge, pogoje in postopke izvajanja GPS sledenja, ter da so z vsebino pravilnika seznanjeni vsi zaposleni, ki jih GPS sledenje zadeva.
Skrivno sledenje zaposlenim ali osebam, ki se z zaposlenimi vozijo v službenem vozilu, v nobenem primeru ni dopustno in predstavlja kršitev.
Kadar zaposleni službeno vozilo uporablja tudi za zasebne namene, mora imeti med zasebnimi vožnjami možnost GPS sledenje izklopiti, praviloma s posebnim stikalom v vozilu ali preko aplikacije.
Podjetje se ne more sklicevati na to, da tehnična izvedba GPS sistema (na primer stikalo, ki je med vožnjo nedostopno) izklopa ne omogoča. Upravljavec ne sme uvesti tehnologije, s katero izvaja obdelavo osebnih podatkov v nasprotju z veljavnimi predpisi – tehnologijo je treba prilagoditi zahtevam GDPR, ne obratno.
In ponovno smo pri prvi trditvi: »Tudi, če nam tehnologija nekaj omogoča, še ne pomeni, da se jo lahko prosto uporabi.«
Pred uvedbo GPS sledenja je priporočljivo, v določenih primerih pa v skladu s 35. členom GDPR tudi obvezno, izvesti oceno učinka v zvezi z varstvom osebnih podatkov (DPIA analizo). Z njo podjetje vnaprej presodi, ali je nameravana obdelava sorazmerna, ali obstajajo milejši ukrepi za dosego istega cilja in kako bo obdelavo ustrezno zavarovalo in nasploh preveri, ali bi bila uvedba GPS sledenja zakonita, preden gre v nakup opreme. Zato predlagamo, da podjetje DPIA analizo izvede že v zgodnji fazi uvedbe GPS sledenja saj bo z njeno pomočjo lažje uvedlo tehnologijo, ki bo tudi zakonsko skladna.
Pri hrambi lokacijskih podatkov je potrebno upoštevati načelo najkrajše hrambe podatkov. GPS lokacijski podatki se lahko hranijo le toliko časa, kolikor je to nujno potrebno za dosego namena, zaradi katerega so bili zbrani. Po izpolnitvi namena jih je treba izbrisati, uničiti ali anonimizirati. Priporočljivo je določiti kratke roke hrambe in ločevati podatke o lokacijah od podatkov, ki omogočajo identifikacijo posameznika.
Kako resno slovenski nadzorni organi in sodišča jemljejo omejitve GPS sledenja, nazorno kaže nedavna sodba Upravnega sodišča Republike Slovenije, Oddelka v Celju, opr. št. IV U 20/2024-49 z dne 19. 5. 2026. Informacijski pooblaščenec je z odločbo št. 06110-334/2022/17 z dne 28. 12. 2023 podjetju naložil, da preneha s pridobivanjem in shranjevanjem lokacijskih podatkov zaposlenih, ki jih je pridobival s sistematičnim, avtomatiziranim in kontinuiranim GPS sledenjem službenih vozil, dopustil pa je zgolj ciljano sledenje za natančno opredeljene namene (varovanje premoženja ob parkiranju, izredni dogodki med vožnjo in evidentiranje začetne ter ciljne lokacije poti).
Podjetje je zoper odločbo vložilo tožbo, v kateri je med drugim zatrjevalo, da GPS podatki niso osebni podatki, da je za sledenje pridobilo privolitev zaposlenih in da GPS sledenje predstavlja nujen ukrep za obračunavanje dejansko opravljenih storitev strankam.
Sodišče je tožbo v celoti zavrnilo in pritrdilo Informacijskemu pooblaščencu, da je šlo pri izvajanju GPS sledenja za obdelavo osebnih podatkov, da privolitev zaposlenih ni bila veljavna pravna podlaga in da kontinuirano sledenje ni bilo niti potrebno niti sorazmerno, saj je podjetje isti cilj lahko doseglo z milejšimi ukrepi.
Zanimivo je, da se je podjetje v omenjenem slovenskem sporu sklicevalo tudi na sodbo Evropskega sodišča za človekove pravice (ESČP) v zadevi Florindo de Almeida Vasconcelos Gramaxo proti Portugalski, z dne 13. 12. 2022. V tej zadevi je delodajalec z GPS napravo, nameščeno v službenem vozilu farmacevtskega trgovskega predstavnika, spremljal prevoženo razdaljo zaradi obračunavanja stroškov, delavca pa je zaradi ugotovljenih nepravilnosti odpustil. ESČP je s štirimi glasovi proti trem odločilo, da Portugalska ni kršila 8. člena Evropske konvencije o človekovih pravicah (pravica do spoštovanja zasebnega življenja), saj je bil delavec o namestitvi GPS naprave in namenu spremljanja vnaprej jasno seznanjen, portugalsko sodišče pa je poseg omejilo zgolj na podatke o prevoženi razdalji, kar je predstavljalo ozko, sorazmerno omejitev, potrebno za nadzor nad stroški podjetja.
Upravno sodišče RS je v sodbi IV U 20/2024-49 to sodbo izrecno razmejilo od obravnavanega primera in poudarilo pomembno načelno stališče: ESČP je presojalo zgolj, ali je država izpolnila minimalno pozitivno obveznost varstva zasebnosti po EKČP, ni pa presojalo zakonitosti obdelave osebnih podatkov po Splošni uredbi torej veljavnosti pravne podlage, nujnosti obdelave, minimizacije podatkov, veljavnosti soglasja, obveščanja po 13. členu GDPR ali obveznosti izvedbe ocene učinka po 35. členu GDPR. Splošna uredba namreč postavlja bistveno strožje zahteve kot EKČP, zato ugotovitev, da ni šlo za kršitev EKČP, še ne pomeni, da je bila obdelava osebnih podatkov zakonita tudi po pravu EU. Poleg tega je šlo v zadevi Florindo za enega, vnaprej določenega in o sledenju obveščenega delavca ter ozko, konkretno opredeljen namen, medtem ko je slovensko podjetje izvajalo kontinuirano sledenje vsem svojim službenim vozilom brez take omejitve.
Iz lastnih izkušenj pri svetovanju podjetjem opažam, da marsikatero podjetje pri odločitvi ali bo uvedlo GPS sledenje vodi predvsem razmišljanje, kaj je tehnično mogoče in kaj je ekonomsko upravičeno, pravnemu vidiku pa nameni premalo pozornosti ali bolje rečeno prepozno pozornost.
Velikokrat nas podjetja pokličejo šele, ko so v postopku nadzora ali pa že izvedejo tehnično implementacijo GPS sledenja.
Praviloma bomo imeli zelo težko, včasih tudi nemogoče delo, če bomo poskušali pravne utemeljitve pripraviti že na implementiran GPS sistem.
V vsakem primeru je boljša rešitev, da pri odločitvi ali boste GPS sistem uvedli ali ne, že v prvem koraku vključite osebo z ustreznim pravnim znanjem na tem področju, ki vam bo v tem delu svetovala.
Dejstvo, da je GPS napravo mogoče kupiti za nekaj deset evrov, jo namestiti v nekaj minutah in z njo pridobiti vpogled v vsak premik zaposlenega, še ne pomeni, da je taka uporaba tudi zakonita.
Kot jasno izhaja iz predstavljene prakse Informacijskega pooblaščenca ter slovenske in evropske sodne prakse, zakonodaja s področja varstva osebnih podatkov od podjetij zahteva, da pred uvedbo GPS sledenja najprej opredelijo konkreten in resničen namen, preverijo, ali tega namena ni mogoče doseči z milejšimi ukrepi, ter GPS tehnologijo prilagodijo tem zahtevam – ne obratno.
Podjetjem zato svetujem, da GPS sledenje uvedejo šele po tem, ko so vsa navedena vprašanja celovito pravno preverjena, saj se v nasprotnem primeru izpostavljajo tveganju inšpekcijskega postopka, glob ter dolgotrajnih upravnih in sodnih postopkov.
Podjetje naj pred in ob uvedbi GPS sledenja službenih vozil postopa na spodaj opisan način:
Avtor: Jaka Uršič, Odvetniški kandidat, ISO 27001 Lead auditor
Povezane teme: Delovno pravo, Varstvo osebnih podatkov