In een beslissing van 21 februari 2023 beoordeelt de Geschillenkamer van de Gegevensbeschermingsautoriteit (GBA) de rechtmatigheid van een geolokalisatiesysteem (ook gekend als “track & trace-systeem”). De beslissing kwam naar aanleiding van een klacht die een werknemer van een gemeente had neergelegd nadat bleek dat er een geolokalisatiesysteem in zijn dienstwagen was geïnstalleerd waarmee de gemeente prikfraude had vastgesteld. De GBA oordeelt dat het verwerken van geolokalisatiegegevens rechtmatig kan zijn indien de passende rechtsgrond correct bepaald wordt en de transparantieverplichtingen nageleefd worden. Dit was bij de gemeente niet het geval, waardoor zij een berisping kreeg.
Feiten
De beslissing kadert in een geschil tussen een werknemer en de gemeente waar hij in dienst was. Meer bepaald had de gemeente vastgesteld dat de betrokken werknemer tijdens zijn werktijd zijn privéadres, het adres van zijn moeder, een bepaald café en enkele willekeurige straten had bezocht, waardoor er sprake zou zijn van prikfraude.
De werknemer ontving een overzicht waarin de geregistreerde priktijden werden vergeleken met de geolocalisatiegegevens van het voertuig. Hierop stelde de werknemer dat hij niet op de hoogte was van het track & trace-systeem en dat het systeem ook niet in het arbeidsreglement vermeld staat. De werknemer legde daarom klacht neer bij de GBA.
Uit het onderzoek bleek dat het geolokalisatiebeleid reeds sinds 2009 in werking was en er destijds een informatieve nota over de werking van het systeem aan het personeel van de gemeente werd gecommuniceerd. Deze interne dienstnota vermeldde de doeleinden waarvoor het geolokalisatiesysteem werd gebruikt alsook welke gegevens er werden verwerkt via het systeem en wie er toegang had tot de gegevens.
Beoordeling van de GBA: rechtmatigheid en transparantie
Vermits de dienstnota dateerde van vóór de inwerkingtreding van de Algemene Verordening Gegevensbescherming (AVG) in 2018, werd in de dienstnota niet vermeld op welke rechtsgrond de gemeente zich baseerde voor de verwerking van de track & trace-gegevens. De GBA oordeelde dan ook dat er sinds de inwerkingtreding van de AVG een schending van het principe van rechtmatigheid bestond doordat er geen enkele rechtsgrond was bepaald.
Lopende de procedure voor de GBA heeft de gemeente haar beleid aangepast en voorzien dat de verwerking van geolokalisatiegegevens gesteund wordt op de rechtsgrond van het gerechtvaardigd belang. De GBA is het niet eens met deze rechtsgrond en herinnert eraan dat overheidsinstanties slechts in zeer beperkte gevallen een beroep kunnen doen op de rechtsgrond van het gerechtvaardigd belang. Meer bepaald oordeelt de GBA dat de gepaste rechtsgrond voor het geolokalisatiesysteem van de gemeente de noodzaak voor de vervulling van een taak van algemeen belang is (waarbij de GBA benadrukt dat de taak van algemeen belang niet hoeft te zijn voorgeschreven in een concrete wettelijke norm maar kan voortvloeien uit een meer algemene machtiging om te handelen).
In haar beoordeling verwijst de GBA bovendien bij analogie naar het recent arrest van 13 december 2022 van het Europees Hof voor de Rechten van de Mens (EHRM) waarin werd vastgesteld dat het gebruik van een track & trace-systeem beperkt was tot wat noodzakelijk was vermits enkel de geolokalisatiegegevens verwerkt werden die betrekking hadden op de professionele verplaatsingen met de bedrijfswagen (die zowel voor privé- als professionele verplaatsingen gebruikt mocht worden). Aangezien de gemeente inderdaad enkel gegevens met betrekking tot professionele verplaatsingen binnen de werktijd met een dienstwagen verwerkt en de gegevens beperkt zijn tot wat noodzakelijk is, besluit de GBA dat het geolokalisatiesysteem van de gemeente een minder invasieve inmenging uitmaakt dan andere methodes van surveillance.
Wat de transparantieplicht betreft, bevestigt de GBA de noodzaak van een afzonderlijk geolokalisatiebeleid en oordeelt het dat het door de gemeente geüpdatete beleid alle nodige vermeldingen bevat (nl. de rechtsgrond, de doeleinden, de verwerkte gegevens, wie er toegang heeft op welke wijze en de bewaartermijn). Bovendien is de GBA van oordeel dat het loutere feit dat de gemeente in het verleden niet de juiste rechtsgrond heeft gehanteerd, de verwerking in de toekomst niet per definitie onrechtmatig maakt. De GBA voegt hier wel aan toe dat het aan de gemeente als verwerkingsverantwoordelijke was om op het moment van inwerkingtreding van de AVG na te gaan of het geolokalisatiebeleid geactualiseerd diende te worden. Vermits de gemeente de update slechts doorvoerde in de loop van de procedure, besluit de GBA dat de gemeente niet kon aantonen dat zij de nodige maatregelen had genomen om te voldoen aan het rechtmatigheids- en transparantiebeginsel.
De gemeente kreeg enkel een berisping voor deze inbreuken, vermits de GBA niet bevoegd is om een administratieve geldboete op te leggen aan overheidsinstanties.
Gebruik van illegaal geolokalisatiesysteem als bewijs voor arbeidsgerechten?
Hoewel ondernemingen er in het licht van eventuele sancties door de GBA dienen op toe te zien dat track & trace-systemen in overeenstemming zijn met de AVG, is het niet uitgesloten om geolokalisatiegegevens te gebruiken als bewijs voor de arbeidsgerechten zelfs indien deze bekomen werden in strijd met de AVG. De arbeidsgerechten passen daartoe de principes van de zogenaamde Antigoonrechtspraak toe.
Zo oordeelde de Nederlandstalige arbeidsrechtbank te Brussel in een vonnis van 10 mei 2021 in een zaak over een ontslag om dringende reden van een werknemer wegens valse rapportering in het CRM-systeem. De werkgever ontdekte de fraude op basis van GPS-gegevens, die verwerkt werden in strijd met de AVG (vermits het track & trace-systeem permanent actief was en er onvoldoende transparantie was over het systeem). De arbeidsrechtbank oordeelde dat de GPS-gegevens onrechtmatig verkregen bewijs uitmaakten, maar toch toelaatbaar waren gezien onder meer de betrouwbaarheid van het bewijs niet was aangetast en het recht op een eerlijk proces niet in het gedrang kwam.
De arbeidsrechtbank van Luik kwam in een zeer recent vonnis van 4 november 2022 tot dezelfde conclusie in een andere zaak rond een ontslag om dringende reden van een werknemer die beweerde klanten te hebben bezocht, maar op basis van de GPS-gegevens nooit ter plaatse bleek te zijn geweest. De betrokken werkgever had onvoldoende informatie over de werking van het geolokalisatiesysteem meegedeeld aan het personeel, maar desalniettemin werd het bewijs toelaatbaar geacht.
Actiepunt
De invoering van een geolokalisatiesysteem is rechtmatig indien u dit baseert op de correcte rechtsgrond (nl. het gerechtvaardigd belang in de privésector en het algemeen belang in de publieke sector) en er voldaan wordt aan de transparantievoorwaarden alsook de nodige technische en organisatorische beveiligingsmaatregelen werden genomen en het systeem in het register der verwerkingsactiviteiten wordt opgenomen. Wanneer het systeem al vóór de AVG bestond, moeten de nodige maatregelen genomen zijn om het in overeenstemming te brengen met de AVG.
In de mate een geolokalisatiesysteem het monitoren van werknemersgegevens inhoudt, is het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA) bovendien ten zeerste aanbevolen.
Het Claeys & Engels Data Protection team staat klaar om te helpen bij het invoeren of updaten van het track & trace-beleid in uw onderneming.
Indien track & trace-gegevens reeds verzameld werden onder schending van de AVG, bestaat ten slotte nog steeds de mogelijkheid dat deze gegevens als bewijs worden aanvaard door de arbeidsgerechten.