Відстеження геолокації працівників і волонтерів: захист персональних даних в Україні на практиці

Закон визначає персональні дані як будь-які відомості про фізичну особу, яку ідентифіковано або можна конкретно ідентифікувати (стаття 2). Поточна позиція конкретного члена команди і трек того, де він був протягом зміни, під це визначення підпадають. Уповноважений Верховної Ради України з прав людини, який здійснює контроль у цій сфері, прямо відносить обробку даних про місцеперебування та шляхи пересування особи до обробки, що становить особливий ризик для прав і свобод людини. З часом треки розповідають набагато більше, ніж про роботу: де людина живе, коли відпочиває, до якого лікаря ходить.

Організація, яка визначає мету й порядок збирання позицій, є володільцем персональних даних: роботодавець, громада, рятувальна організація чи ГО, що проводить операцію. Постачальник, який обробляє дані від вашого імені, є розпорядником, і доручити йому обробку можна лише письмовим договором; обробляти дані він може тільки з метою і в обсязі, визначених у договорі (стаття 4). Для органів влади є важливе обмеження: якщо володільцем є орган державної влади чи місцевого самоврядування, розпорядником, крім самих цих органів, може бути лише підприємство державної або комунальної форми власності.

GDPR в Україні безпосередньо не діє. Він застосовується до української організації, якщо вона має підрозділ у ЄС, пропонує товари чи послуги людям в ЄС або відстежує їхню поведінку там (стаття 3 GDPR). Настанови Європейської ради із захисту даних (EDPB) однаково корисні як орієнтир, бо питання, які вони розбирають, у нас ті самі.

Закон визначає згоду як добровільне волевиявлення поінформованої особи (стаття 2), а людина може будь-коли її відкликати (стаття 8). Коли від відповіді залежить робота, добровільність сумнівна. Європейські настанови EDPB щодо згоди кажуть те саме прямо: через нерівність сил працівники лише зрідка можуть дати вільну згоду, тож роботодавцю варто спиратися на іншу підставу.

Волонтери не є працівниками, але схожий тиск виникає, коли відстеження є умовою участі у виїзді. Згода підходить для справді необов’язкових функцій, наприклад щоб ділитися позицією з родиною під час довгої поїздки. Для основної частини операції законні інтереси, підкріплені записаною оцінкою, чесніші й стабільніші: згоду, яку відкликали посеред пошуку, нічим замінити.

Володілець повідомляє Уповноваженого про обробку, що становить особливий ризик, упродовж тридцяти робочих днів з її початку, а про зміни в повідомлених відомостях упродовж десяти робочих днів (стаття 9). Порядок повідомлення, затверджений наказом Уповноваженого № 1/02-14, відносить до такої обробки дані про місцеперебування й шляхи пересування і водночас передбачає винятки: наприклад, обробку громадськими об’єднаннями даних лише своїх членів або обробку, необхідну для виконання обов’язків роботодавця у трудових відносинах відповідно до закону. Чи підпадає під виняток саме ваш випадок, вирішіть і запишіть заздалегідь.

Окремого обов’язку проводити оцінку впливу на захист даних (DPIA), як у статті 35 GDPR, український закон не містить. Проте перед тим, як відстежувати людей, її варто провести хоча б коротко. Критерії високого ризику з настанов WP248, схвалених EDPB, добре лягають на відстеження команд:

• Систематичний моніторинг позицій людей.
• Вразливі суб’єкти даних: настанови називають працівників через нерівність сил.
• Інноваційне використання технологій, як-от поєднання треків з датчиками, камерами чи автоматичними сповіщеннями.
• Зіставлення наборів даних, наприклад треків із графіками чергувань і записами про інциденти.
• Великий масштаб, коли багатьох людей відстежують довго.

Якщо дані збирають у самої людини, її в момент збирання повідомляють про володільця, склад і зміст даних, мету, її права та осіб, яким дані передаються (частина друга статті 12). Обробка має бути відкритою й прозорою (стаття 6). На практиці це означає сказати простою мовою і до того, як людина ввімкне застосунок: хто бачить позицію, коли відстеження працює і коли припиняється, як довго зберігаються треки та як заперечити проти обробки чи звернутися до Уповноваженого.

Європейський висновок WP29 щодо обробки даних на роботі додає практичну пораду: якщо телефон чи автомобіль використовують і приватно, люди мають змогу вимкнути відстеження поза роботою. Помітний індикатор того, що позиція передається, і чітке завершення передавання дають довіри більше, ніж довга політика, якої ніхто не читає.

Склад даних має бути адекватним і ненадмірним щодо мети (частина третя статті 6), а зберігати їх у формі, що дає змогу ідентифікувати людину, можна не довше, ніж потрібно (частина восьма статті 6). Фіксованої кількості днів закон не встановлює, тож строк визначаєте й обґрунтовуєте ви. Рішення, які себе виправдовують:

• Показуйте поточні позиції лише під час активної операції і лише тим ролям, яким вони потрібні.
• Зберігайте детальні треки до завершення розбору, а потім видаляйте або агрегуйте їх.
• Довше тримайте лише те, для чого є конкретна причина, як-от інцидент, що розслідується.
• Не використовуйте треки для контролю продуктивності: для нової, несумісної мети закон вимагає згоди людини (частина перша статті 6), якщо інше не передбачено законом.
• Видаляйте геодані з фотографій, перш ніж вони залишать операцію, якщо вони не потрібні.

У Sinkaos учасник завжди бачить, коли його позиція передається і кому. Передавання можна обмежити тривалістю операції або певними ролями, строки зберігання задаються для кожного типу даних, метадані фото видаляються або зберігаються відповідно до політики, а експорти й дії адміністраторів потрапляють до журналу аудиту. Ці налаштування підтримують вашу роботу із захисту даних; рішення, описані вище, лишаються за вами. Див. сторінку про безпеку і обмін геолокацією в команді.