Unijne Ogólne Rozpo­rzą­dzenie o Ochronie Danych a firma Webfleet

Podstawowym założeniem rozpo­rzą­dzenia RODO jest zapewnienie ludziom większych możliwości w odniesieniu do ich danych. W końcu dane dotyczące danej osoby stanowią odzwier­cie­dlenie jej tożsamości, zachowań i preferencji — czyli tworzą jej obraz. Zgodnie z posta­no­wie­niami RODO osoby fizyczne muszą zostać z wyprze­dzeniem w pełni poinfor­mowane o tym, co stanie się z ich danymi: które dane zostaną wykorzy­stane, a także przez kogo, dlaczego i jak długo będą wykorzy­stywane. Osoby te muszą też mieć wpływ na wspomniane aspekty, np. poprzez wyrażenie zgody, aktywny kontakt, a także poprzez możliwość zażądania zaprze­stania wykorzy­sty­wania ich danych, choć w tym kontekście obowiązują pewne ograni­czenia.

Firma podejmująca decyzje o tym, co spotka dane pozyskane od osób fizycznych, musi wziąć na siebie tę odpowie­dzialność i móc udowodnić, że odpowiednie procedury są realizowane w sposób prawidłowy oraz z posza­no­waniem praw osób fizycznych i postanowień RODO. Bez względu na to, jakie działania względem tych danych wykonujesz, zawsze musisz brać pod uwagę zagrożenia, na jakie mogą być narażone osoby fizyczne, których te dane dotyczą. Z naszej perspektywy rodzi to potrzebę prowadzenia dokumen­tacji dotyczącej działań wykony­wanych względem danych oraz przyczyn, dla których ich przetwa­rzanie było konieczne. Zgodnie z rozpo­rzą­dzeniem RODO zostanie wyznaczony (wykonujący czynności w niepełnym wymiarze czasu) Inspektor Ochrony Danych, którego obowiązkiem będzie nadzo­ro­wanie spełnienia tego wymogu, jeśli zostanie osiągnięty określony w rozpo­rzą­dzeniu RODO próg (np. jeśli główna działalność firmy zakłada monito­ro­wanie osób na dużą skalę).

W naszej opinii celem rozpo­rzą­dzania RODO jest ujedno­li­cenie poprzednich i rozbieżnych przepisów prawa dotyczących ochrony prywatności obowią­zu­jących na terenie Unii Europej­skiej. Z punktu widzenia firm wielo­na­ro­dowych korzy­sta­jących z naszych usług, zwłaszcza tych, których pojazdy przekra­czają granice, można to uznać za korzyść. Może to także oznaczać, że firmy wielo­na­rodowe wykonujące działalność na terenie Unii Europej­skiej będą musiały mieć do czynienia wyłącznie z jednym organem regula­cyjnym — działającym na terenie kraju, w którym mieści się siedziba główna firmy. Także osoby fizyczne mogą współ­pra­cować z organami regula­cyjnymi w swoim kraju.

Pojęcie danych osobowych ma kluczowe znaczenie dla całej treści rozpo­rzą­dzenia RODO. Zasadniczo pod pojęciem tym kryją się wszelkie dane, które mogą lub mogłyby zostać powiązane z osobą, której tożsamość można ziden­ty­fi­kować. Kategoria ta obejmuje dane, które można uzyskać w oparciu o unikalne identy­fi­katory, takie jak numery rejestra­cyjne pojazdu, numer VIN i/lub inne identy­fi­katory urządzeń. Naszym zdaniem warto zauważyć, że w kontekście rozpo­rzą­dzenia RODO nie ma znaczenia to, kto byłby w stanie ziden­ty­fi­kować tożsamość osoby. Jeśli istnieje możliwość ziden­ty­fi­ko­wania danej osoby w oparciu o określone dane, to dane te uznaje się za dane osobowe, nawet jeśli identy­fi­kacja w istocie nigdy nie ma miejsca. Naszym zdaniem znajomość czyjegoś imienia i nazwiska nie jest wymagana, by dane dotyczące danej osoby można było uznać za dane osobowe. Należy zauważyć, że posiadanie danych osobowych nie wyklucza ich użycia — narzuca jedynie konieczność zachowania zgodności z rozpo­rzą­dzeniem RODO i spełnienia określonych warunków.

Rozpo­rzą­dzenie RODO umożliwia wykorzy­sty­wanie danych osobowych w co najmniej jednym ze wstępnie zdefi­nio­wanych celów. Cele te muszą być konkretne i jasno określone. Osoba fizyczna musi być w stanie zrozumieć, do czego sprowadza się dany cel. Osoba fizyczna powinna być w stanie odpowie­dzieć na pytanie: czy ten przypadek użycia w istocie odpowiada celowi użycia?.

Rozpo­rzą­dzenie RODO określa dla danych osobowych „normy” odnoszące się do ich rodzaju, ilości oraz czasu przecho­wy­wania dostosowane do określonego celu. Oznacza to, że można przetwarzać tylko te dane, w przypadku których jest to niezbędne, i tylko w dozwolonym stopniu i przez dozwolony czas.

Naszym zdaniem przetwa­rzanie danych osobowych wymaga sporzą­dzenia jasnego, konkretnego i zrozu­miałego wyjaśnienia. Powinno ono przypominać podręcznik, a nie umowę. Wyjaśnienie należy, rzecz jasna, przedstawić osobom fizycznym przed rozpo­częciem korzystania z danych, które ich dotyczą, oraz zapewnić możliwość wglądu w nie w późniejszym czasie.

Firma Webfleet zawsze działa według instrukcji otrzymanych od klienta Webfleet. Dane odnoszą się wyłącznie do klienta i to klient ma pełną kontrolę. Oznacza to, że klient otrzymuje rozwiązanie z możliwością zaawan­so­wanej konfi­gu­racji. Proponujemy różne cele, do jakich można wykorzystać nasze rozwiązania, jednak to klient firmy Webfleet podejmuje ostateczną decyzję co do ich zastosowań oraz dokładnej konfi­gu­racji i obsługi systemu.

Nasz system można skonfi­gu­rować, tak aby rozpoznawał wielu różnych partnerów o różnych rolach, obowiązkach i możli­wo­ściach. Klienci firmy Webfleet mogą na przykład zezwalać kierowcom na rozgra­ni­czanie podróży służbowych i prywatnych, a osoby nadzorujące kierowców mogą zostać objęte ograni­cze­niami w zakresie widocznych dla nich danych. Wspieramy klientów firmy Webfleet także w zakresie posza­no­wania praw osób fizycznych, np. w kontekście dostępu do danych oraz ich usuwania przez osoby, których one dotyczą.

Klienci firmy Webfleet mogą na różne sposoby konfi­gu­rować ilość groma­dzonych danych oraz czas, przez jaki dane te są przecho­wywane. Aby ułatwić działanie klientom firmy Webfleet, wprowa­dzi­liśmy rozsądne wartości domyślne odnoszące się do różnych przypadków użycia, które mają zwykle zasto­so­wanie w ramach działal­ności naszych klientów flotowych, jednakże klienci firmy Webfleet mogą w dowolny sposób odejść od tych ustawień domyślnych.