Jedro

Z izvajanjem obravnavanega GPS sledenja pri zavezancu nastaja posebna zbirka osebnih podatkov, ki vsebuje veliko količino lokacijskih podatkov zaposlenih posameznikov, podatkov, kje točno (mikrolokacija), se je v določenem trenutku določen zaposleni s službenim vozilom nahajal. Tožnik se ne more z uspehom sklicevati na to, da lahko kdorkoli od delavcev vozi vozilo in da se ti menjavajo. Bistveno v zadevi je, da je tožnik mogel pridobiti podatke o vozniku vozila, ne pa kolikokrat je do teh podatkov dejansko dostopal.

Sklicevanje na zakonit interes za obdelavo, in sicer varovanje premoženja in preprečevanja premoženjske in nepremoženjske škode, boljše organiziranosti in ekonomičnosti podjetja in obračunavanje stroškov poti ne izkazuje, da je za dosego tega zakonitega interesa potrebno tudi sistematično in kontinuirano GPS sledenje vseh poti vseh navedenih službenih vozil, tj. da tega cilja ne bi mogel doseči z nobenim drugim ukrepom, ki bi v manjši meri posegal v informacijsko zasebnost zaposlenih. Tudi v teh primerih namreč prevladajo interesi oz. pravice posameznika, na katerega se nanašajo osebni podatki.

Izrek

I.Tožba se zavrne.

II.Tožeča stranka sama nosi svoje stroške postopka.

Obrazložitev

Potek upravnega postopka

1.Informacijski pooblaščenec (v nadaljevanju IP) je v izpodbijani odločbi odločil, da mora zavezanec v roku 10 dni od vročitve te odločbe prenehati s pridobivanjem in shranjevanjem lokacijskih osebnih podatkov zaposlenih, ki jih pri izvajanju sistematičnega, avtomatiziranega in kontinuiranega GPS sledenja službenih vozil pridobiva in zbira na način, da s pomočjo GPS sledilnih naprav, nameščenih v službenih vozilih, sledi gibanju teh vozil in na ta način pridobljene lokacijske podatke tudi shranjuje (1. točka izreka).

2.Nadalje pa je ne glede na 1. točko izreka te odločbe odločil, da lahko zavezanec GPS naprave v svojih vozilih uporablja in z njimi izvaja GPS sledenje tako, da s temi napravami zbira podatek o posameznih lokacijah službenih vozil, ko so ta parkirana na mestih, kjer je podana nevarnost njihove odtujitve, in sicer na način, da zaposleni, ki vozilo uporablja, ob njegovem parkiranju tako GPS sledenje vklopi, ko pa se v vozilo vrne, pa ga izklopi; da s temi napravami zbira lokacijske podatke v primeru, ko med vožnjo pride do okoliščin, zaradi katerih obstaja nevarnost zamude pri dostavi oziroma prihodu vozila k naročniku, o katerih je zavezanec dolžan naročnika obvestiti, in sicer na način, da voznik ob nastanku oziroma zaznavi takih okoliščin vklopi GPS napravo in tako zavezancu omogoči ugotavljanje lokacije vozila; da s temi napravami zbira podatke o začetni in ciljni lokaciji službenih vozil na posamezni službeni poti zaposlenih in sicer na način, da zaposleni, ki vozilo uporablja, ob začetku službene poti in ob prihodu na ciljno lokacijo s pomočjo GPS naprave v sistem sporoči oziroma zabeleži podatek o lokaciji in času začetka poti in prihoda na ciljno lokacijo (2. točka izreka).

3.Odločil je še, da mora zavezanec v roku 10 dni od vročitve te odločbe izbrisati lokacijske osebne podatke, ki jih je zbral z GPS sledenjem, ki ga mora v skladu s 1. točko izreka te odločbe prenehati izvajati in jih v času izvršitve 1. točke izreka te odločbe še hrani (3. točka izreka) in da mora o izvršenih ukrepih iz 1. in 3. točke izreka te odločbe v roku 5 dni po izvršitvi pisno obvestiti IP in predložiti dokaze o tem (4. točka izreka).

4.Iz obrazložitve izhaja, da je IP začel inšpekcijski postopek pri zavezancu (sedaj tožniku) zaradi sumov nepravilnosti pri obdelavi osebnih podatkov zaposlenih. IP je na podlagi odgovorov in pojasnil zavezanca ter z njegove strani posredovane dokumentacije ugotovil, da zavezanec izvaja GPS sledenje treh službenih vozil (kombijem), ki jih njegovi zaposleni uporabljajo za opravljanje svojih službenih del in nalog, ne pa tudi za zasebno uporabo. GPS sledenje službenih vozil zavezanec izvaja s pomočjo posebnega oddajnika v vozilu in posebne aplikacije, v kateri sistem kontinuirano beleži opravljeno pot vozila in te podatke tudi shranjuje. GPS sledenje se izvaja na način, da v celoti sledi vsem trem službenim vozilom, ne glede na to, kdo od zaposlenih posamezno službeno vozilo uporablja, uporabnik vozila pa GPS sledenja ne more izklopiti. Zavezanec je zaposlene o izvajanju GPS sledenja vozil obvestil. Sledenje službenih vozil pa je uredil v Pravilniku o uporabi službenih vozil.

5.IP je tudi ugotovil, da tožnik s kontinuiranim in sistematičnim GPS sledenjem službenih vozil ravna v nasprotju z načelom zakonitosti, saj tako sledenje izvaja, ne da bi bil za njegovo izvajanje izpolnjen kateri od pogojev iz prvega odstavka 6. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošne uredbe o varstvu podatkov, tudi Splošna uredba) in v nasprotju z načelom najmanjšega obsega podatkov iz točke c) prvega odstavka člena 5 Splošne uredbe, da zavezanec s tem ravna v nasprotju z navedenima določbama Splošne uredbe in da taka nepravilnost v času izdaje te odločbe še traja.

6.V 2. točki izreka odločbe pa je IP tožniku kljub prepovedi GPS sledenja na ugotovljeni način dopustil, da lahko lokacijske podatke službenih vozil zbira tudi s pomočjo GPS naprav v teh vozilih, vendar ne sistematično in kontinuirano, ampak zgolj v omejenem obsegu in selektivno, in sicer tako, da bo lahko s temi napravami zbiral podatek o posameznih lokacijah službenih vozil, ko so ta parkirana na mestih, kjer je podana nevarnost njihove odtujitve, in sicer na način, da zaposleni, ki vozilo uporablja, ob njegovem parkiranju tako GPS sledenje vklopi, ko pa se v vozilo vrne, pa ga izklopi. Prav tako bo v skladu z določbami Splošne uredbe z GPS napravami lahko zbiral lokacijske podatke v primeru, ko med vožnjo pride do okoliščin, zaradi katerih obstaja nevarnost zamude pri dostavi oziroma prihodu vozila k naročniku, o kateri je (npr. v skladu s pogodbo z naročnikom), zavezanec dolžan naročnika obvestiti, in sicer na način, da voznik ob nastanku oziroma zaznavi takih okoliščin vklopi GPS napravo in tako zavezancu omogoči ugotavljanje lokacije vozila, ter tudi tako, da bo s temi napravami zbiral podatke o začetni in ciljni lokaciji službenih vozil na posamezni službeni poti zaposlenih in sicer na način, da zaposleni, ki vozilo uporablja, ob začetku službene poti in ob prihodu na ciljno lokacijo s pomočjo GPS naprave v sistem sporoči oziroma zabeleži podatek o lokaciji in času začetka poti in prihoda na ciljno lokacijo.

IP še poudarja, da sistematično sledenje v realnem času, ki beleži vsak premik, postanek in hitrost vozila, pomeni prekomeren poseg v zasebnost delavca. Tak nadzor ustvarja pritisk na zaposlene in omogoča vpogled v njihove delovne navade, ki niso nujne za izvajanje delovnega procesa. IP ne prepoveduje GPS tehnologije v celoti, temveč zahteva njeno uporabo le za točno določene namene, in sicer varovanje premoženja. Zato se sme naprava vklopiti le, ko je vozilo parkirano na nevarnih mestih, kjer obstaja tveganje kraje. IP poudarja, da med vožnjo voznik sam varuje vozilo, zato sledenje takrat ni potrebno. Sledenje je dopustno le ob nastanku izrednih dogodkov (npr. zastoji, okvare), ki bi povzročili zamudo. Takrat mora voznik ročno aktivirati napravo.

Povzetek bistvenih navedb strank v upravnem sporu

1.Tožnik v tožbi izpostavlja, da je izpodbijana odločitev toženke "neživljenjska" in škodljiva za poslovanje. Pojasnjuje, da se ukvarja z več dejavnostmi, med njimi tudi s selitveno dejavnostjo, prevozi v cestnem prometu, z izdelavo oken, vrat in stavbnega pohištva, montiranjem oken, vrat in stavbnega pohištva ter izvajanjem servisov. Navedeno pomeni, da mora tožnik pri obračunavanju svojih dobav oz. storitev obračunati tudi strošek dejanske poti, ki je bila opravljena za stranko in čas (trajanje odsotnosti), ki je bil porabljen za posamezno pot, kar lahko natančno dokazuje s podatki pridobljenimi z GPS napravo.

2.Tožnik izpostavlja, da so GPS izpisi ključni dokazni material v primeru reklamacij strank glede časa prihoda ali trajanja montaže. Brez teh podatkov podjetje ne more dokazati, zakaj je bila storitev opravljena dlje (npr. zaradi zastojev na cesti ali nesreč). Z GPS sledenjem se obračunava dejansko opravljeno delo stranki pri izvajanju storitev. Vztraja pri stališču, da bi tožniku lahko nastala škoda, če GPS sledenja ne bi smel uporabljati v službene namene, to namreč vpliva na kvaliteto storitev, ugled, ki ga ima pri dobaviteljih in strankah in nenazadnje na njegov obstoj.

3.Dodaja, da s podatki, ki jih lahko pridobi s pomočjo tehnologije GPS, pridobiva zgolj podatke o vozilu in ne o posameznih voznikih. Zatrjuje, da identifikacija ni mogoča v smislu, da potni nalog ne vključuje imena in priimkov konkretne osebe, ki je vozilo opravljala v točno določenem trenutku, ampak se delavci med vožnjo tudi večkrat zamenjajo. GPS sledi vozilu in ne konkretni osebi. Ker se ekipe monterjev in vozniki na vozilih dnevno menjajo, ne gre za osebne podatke, saj se sistem ne povezuje neposredno z imenom zaposlenega (čemur IP v odgovoru oporeka, češ da je identifikacija mogoča preko potnih nalogov).

4.Nasprotuje zaključku toženke, da zaradi varstva premoženja (službenega vozila in opreme) z izvajanjem GPS sledenja zaposlenim, na način, kot ga izvaja, za varstvo tega interes to ni primeren in potreben ukrep in da ni konkretizirala, kdaj bi po njenem mnenju šlo za primeren in potreben ukrep.

5.Opozarja, da toženka v postopku ni ugotavljala, kje se GPS naprava nahaja, kot tudi ne, kako in kdo sploh lahko vklopi GPS napravo, zaradi česar je dejansko stanje zmotno oziroma nepopolno ugotovljeno. Navedeno je sicer za izdajo takšne odločbe, kot je bila izdana v predmetni zadevi bistveno, saj se v izreku določa pogoje za vklop in izklop takšne naprave. Vklop in izklop GPS naprave bi namreč v konkretnem primeru pomenil, da bi delavec moral odviti armaturno ploščo, vklopiti GPS ter pritrditi armaturno ploščo nazaj, kar je ob običajnem postanku praktično nemogoče, pa tudi neživljenjsko.

6.Pripominja, da so natančni podatki za zaračunavanje ključni za zaračunavanje storitev (še zlasti za pravilno in natančno zaračunavanje storitev stranki), kar nedvomno predstavlja zakonit interes v smislu 6. člena Splošne uredbe, glede na javno znane zastoje na cestah, še zlasti v mednarodnih vožnjah (montaža v ... v Avstriji). Tako se navedeno ne more šteti kot nesorazmerno zbiranje podatkov o porabljenem času vožnje od začetne in končne lokacije, delovnih urah monterja na gradbišču. Da bi tožnik lahko dokazal pot in porabljen čas, pa je uporaba moderne tehnologije, kot je GPS, nujna, pa tudi razumna. Meni, da je toženka podatke v zadevi prepisala iz drugih odločb in se do bistvenih dejstev in okoliščin zadeve ni opredelila in ni konkretizirala, kdaj bi po njenem mnenju šlo za primeren in potreben ukrep zbiranja podatkov v podobnih primerih, zaradi česar se odločbe v tem delu sploh ne da preizkusiti. Natančni podatki so nujni za obračun kilometrine, cestnin (vinjet) in drugih stroškov, ki se neposredno prevalijo na stranko. Ročno beleženje v teh primerih ni dovolj natančno in je podvrženo človeškim napakam.

7.Izpostavlja primere hudih prometnih nesreč, kjer je voznik lahko nezavesten ali ujet v vozilu in ne more sporočiti lokacije, s čemer utemeljuje nujnost sledenja s GPS napravo. Brez stalnega GPS sledenja podjetje ne bi vedelo, kje se nahaja ekipa, ki se ne odziva na klice.

8.Tožnik še navaja, da ima za obdelovanje podatkov tudi soglasje vseh delavcev, kar je bilo toženki tudi predstavljeno v pozivu. Soglasja so po mnenju tožnika v skladu z zahtevo Zakona o varstvu osebnih podatkov (v nadaljevanju ZVOP-2) in Splošno uredbo.

9.Nasprotuje zaključku toženke, da privolitev delavcev ni bila jasna in nedvoumna. Dejstvo je, da so delavci prostovoljno izpolnili izjavo ter je iz izjave povsem jasno in nedvoumno, kaj so obkrožili. Opozarja na sodno prakso ter meni, da če je toženka dvomila v navedbe tožnika tekom postopka s tem v zvezi, bi morala zaposlene v postopku zaslišati in njihovo pravo voljo v postopku tudi ugotoviti. Dokazno breme s tem v zvezi je namreč na njej.

10.Opozarja še na neizvršljivost 2. točke izreka. Meni, da se vklapljanje GPS oddajnika v službenem vozilu ne sme izvajati na način, da bi moral zaposleni tak oddajnik vklopiti ob vsakem parkiranju vozila, ampak mora za zbiranje lokacijskih podatkov in poseg v informacijsko zasebnost zaposlenih obstajati takšna stopnja nevarnosti ogrožanja premoženja zavezanca, da odtehta poseg v ustavno pravico zaposlenih. Gre za popolnoma absurdno obrazložitev, ki je sploh ni mogoče preizkusiti. Tožnik se upravičeno sprašuje kdo je tista oseba, ki presoja, ali je v nevarnosti, ali ne.

11.Uveljavlja tudi kršitev pravice do zaslišanja, češ, da tožniku ni bila dana možnost zaslišanja. Predlaga odpravo odločbe ter priglaša stroške.

12.Toženka v odgovoru na tožbo vztraja pri obrazložitvi iz izdane odločbe ter v zvezi z navedbo, da toženka ni preverjala, kje se GPS naprava nahaja, in da bi bilo vklapljanje in izklapljanje sledilnih naprav neizvedljivo ali vsaj težko izvedljivo, poudarja, da ne gre za ustrezen argument nasprotne stranke. Upravljavec ne more uvesti tehnologije, s katero izvaja obdelavo osebnih podatkov v nasprotju z veljavnimi predpisi in se pri tem sklicevati na to, da uvedena tehnologija tehnično ne omogoča obdelave osebnih podatkov, ki bi bila s takim predpisi skladna. Obdelava osebnih podatkov, ki ni skladna z določbami Splošne uredbe, ne more postati zakonita zato, ker tehnične rešitve upravljavca osebnih podatkov ne omogočajo prilagoditve obdelave na način, ki bi bil skladen s Splošno uredbo.

13.Meni, da lahko tožnik na podlagi podatkov, s katerimi že razpolaga (in ki ne obsegajo podatkov GPS sledenja) vedno ugotovi, na katerem območju se določenega dne nahaja katero od njegovih službenih vozil in s tem kateri od zaposlenih. Zasledovani cilj lahko torej na povsem učinkovit način doseže tudi brez GPS sledenja službenih vozil na ugotovljen način in s tem brez poseganja v informacijsko zasebnost zaposlenih.

14.Tožnik lahko v vsakem primeru, na podlagi podatkov, s katerimi razpolaga, ugotovi, kateri od zaposlenih v določenem času uporablja ali je uporabljal določeno službeno vozilo, kar pomeni, da je posameznik, na katerega se nanašajo lokacijski podatki iz sistema GPS sledenja, vsekakor določljiv in da so podatki iz tega sistema, ki se nanašajo nanj, brez dvoma osebni podatki.

15.Glede podanega soglasja zaposlenih zatrjuje, da je dokazno breme za izkazovanje skladnosti s Splošno uredbo na tožniku in da je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo svojih osebnih podatkov. Delodajalec je namreč močnejša stranka in mora biti skladnost tudi zmožen dokazati.

V zvezi z možnostjo vklapljanja GPS naprave opozarja, da upravljavec ne more uvesti tehnologije, s katero izvaja obdelavo osebnih podatkov v nasprotju z veljavnimi predpisi. Ta ravnanja ne morejo postati zakonita zato, ker tehnične rešitve upravljavca osebnih podatkov ne omogočajo prilagoditev obdelave na način, ki bi bil skladen s Splošno uredbo. S tem odgovarja na očitke o neizvršljivosti 2. točke izreka. Glede pravice do zaslišanja pa opozarja na 9. člen Zakona o splošnem upravnem postopku (v nadaljevanju ZUP), ki daje stranki pravico, da se izjavi o dejstvih in okoliščinah, pomembnih za izdajo odločbe. Pri tem izpostavlja, da je bila stranki dana možnost, da se izjavi o okoliščinah primera.

V prvi pripravljalni vlogi z dne 29. 3. 2024 tožnik vztraja pri podanih navedbah ter opozarja, da je uporaba modernih tehnologij, kot je GPS sledenje manj obremenjujoča za delavce kot pa na primer vsakodnevno spraševanje delavcev katero pot so opravili, kar po nepotrebnem podaljša delovni proces in nalaga delavcem dodatne obveznosti. Vztraja, da so stališča toženke bistveno prestroga, pa tudi napačna. Meni, da je bila kršena pravica do zaslišanja, ker je tožnik dvakrat predlagal, da se ga zasliši ter opozarja na kršitev 9. in 146. člena ZUP. Meni, da je bilo soglasje delavcev podano ustrezno.

Toženka v pripravljalni vlogi z dne 30. 1. 2024 navaja določbe Listine Evropske unije o temeljnih pravicah (v nadaljevanju Listina), se sklicuje na Evropsko konvencijo o varstvu človekovih pravic in temeljnih svoboščin (v nadaljevanju EKČP), na določbe Ustave in določbe ZVOP-2. Nadalje navaja temeljne dokumente Evropskega odbora za varstvo podatkov, in sicer mnenje 2/2017, po katerem mora delodajalec zagotoviti, da se zbrani podatki ne uporabljajo za nezakonito nadaljnjo obdelavo, kot sta sledenje in vrednotenje zaposlenih, na smernice 01/2020 o obdelavi osebnih podatkov v okviru povezanih vozil in aplikacij povezanih z mobilnostjo, iz katerih izhaja, da bi proizvajalci vozil in opreme, ponudniki storitev in drugi upravljavci podatkov morali pri zbiranju osebnih podatkov upoštevati, da podatki o lokaciji še posebno razkrivajo življenjske navade posameznikov, na katere se nanašajo osebni podatki. Omenja tudi smernice IP, po katerem mora upravljavec pred uvedbo GPS tehnologije presoditi dopustnost in utemeljenost namena, zaradi katerega želi uvesti takšno tehnologijo in presoditi njegovo primernost in sorazmernost. Navaja, da obstajajo milejši ukrepi za izpolnitev namena, ki jih zasleduje tožnik, s katerim zavezanec v zasebnost delavcev ne bi prekomerno posegel. Ne zadostuje navedba, da je temeljni namen GPS naprave ta, da lahko natančno obračunava stroške poti, ki jo opravijo za stranke. Zatrjuje, da GPS sledenje naprave namreč v ničemer ne varujejo pred vlomom v službeno vozilo in odtujitvijo opreme ter dokumentacije, ki se v vozilu nahaja.

Tožnik v drugi pripravljalni vlogi z dne 27. 2. 2026 opozarja, da je gre za legitimen cilj delodajalca, kar je potrdilo tudi Evropsko sodišče za človekove pravice (v nadaljevanju ESČP v sodbi Florindo de Alilmeida Vasconcelos Gramaxo proti Portugalski, opr. št. 26968/16, dne 13. 12. 2022), ki je zaradi pritožbe delavcev presojalo vprašanje legitimnosti obdelave oziroma uporabe GPS podatkov s strani delodajalca. Meni, da se toženka postavlja v položaj zakonodajalca ter opozarja na razmere na trgu dela.

Prav tako se ne strinja z zaključki toženke in meni, da je imel posameznik možnost prostovoljno podati ali odkloniti soglasje o obdelavi podatkov, pridobljenih na podlagi GPS sistema. Glede na razmere na trgu dela, ko je možno hitro zamenjati službo, zaključuje, da potem delavec nikoli ne bi mogel podati nobenega soglasja, pa temu očitno ni tako. Izpostavlja določbe Zakona o delovnih razmerjih (v nadaljevanju ZDR-1) o soglasju. Meni, da gre za pavšalno stališče toženke, ki je v očitnem nasprotju z veljavno zakonodajo in nima nobene teže. Tu opozarja tudi na stališče v sodbi I U 112/2018-23. Zavrača stališče, da so bili obrazci glede privolitve in seznanjenosti delavcev z obdelavo osebnih podatkov nejasni in da tožnik ni izkazal, da so delavci privolili v obdelavo z GPS.

Vztraja, da toženka zagovarja napačna stališča, ki so v nasprotju s stališčem v citirani sodbi ESČP. Meni, da toženka napačno interpretira načelo sorazmernosti ter opozarja na pomen zaračunavanja stroškov dejanske poti. Toženka niti ne pojasni, kaj naj bi dokazovali ključi vozila in domnevni seznami, evidence,... Vsekakor so zaključki toženke, ki ni ustrezno raziskala dejanskega stanja, napačni in preuranjeni in bi posledično zahtevali obdelavo celo več podatkov, kot jih obdeluje sedaj. Pripominja, da toženka smiselno priznava, da ni ustrezno preučila dejanskega stanja in da izvršitev odločbe v dani situaciji več kot očitno ni mogoča.

Toženka v vlogi z dne 13. 3. 2026 opozarja na neprimerljivost zaključkov v zadevi ESČP Florindo, kjer se je presojala le kršitev 8. člena EKČP, ne pa kršitev določb Splošne uredbe. Odločitev v zadevi Portugalske pomeni, da so bili izpolnjeni minimalni mednarodnopravni standardi, ne da je bila obdelava zakonita po pravu Evropske unije. Splošna uredba namreč postavlja bistveno strožje zahteve kot EKČP. Izpostavlja test oziroma oceno zakonitega interesa.

Sodba Florindo odgovarja na vprašanje, ki v obravnavanem primeru sploh ni postavljeno - ali je država kršila EKČP, v konkretnem primeru pa je odločilno, ali je upravljavec ravnal v skladu s Splošno uredbo. V konkretnem primeru obstaja kumulacija štirih samostojnih kršitev Splošne uredbe, ki v zadevi Florindo sploh niso bile presojanje: odsotnost testa oziroma ocene zakonitega interesa, neustrezno obveščanje posameznikov po členu 13. Splošne uredbe, odsotnost ocene učinka (35. člen Splošne uredbe) in neveljavno soglasje. Te kršitve obstajajo neodvisno in samostojno utemeljujejo zakonitost odločbe toženke.

V preostalem se sklicuje na dosedanje navedbe ter opozarja, da odločba ne prepoveduje zavezancu GPS sledenja, ampak le kontinuirano in sistematično sledenje, ki ni nujno potrebno za doseganje njegovih zakonitih ciljev. Dejstvo, da GPS sledenje upravljavcu tehnično olajša poslovanje, ne more nadomestiti pravne zahteve po nujnosti. Dodaja, da izvršitev zahteva tehnično prilagoditev sistema, kar pa ne pomeni nezakonitosti. Splošna uredba od upravljavcev zahteva vzpostavitev zakonite obdelave tudi kadar to zahteva organizacijske in tehnične prilagoditve.

Tožnik v tretji pripravljalni vlogi z dne 28. 4. 2026 v nadaljevanju oporeka zaključkom toženke in meni, da je zadeva Florindo neposredno uporabljiva v konkretnem primeru ter da kaže na to, da tožnik ni izvedel nobene kršitve. Nadalje opozarja, da je tožnik imel soglasje zaposlenih za uporabo osebnih podatkov in da tako posledično izpolni pogoje po testu zakonitosti, poslovanje tožnika tudi zadosti testu nujnosti in sorazmernosti. Opozarja še, da zbrani podatki niso določljivi ter se sklicuje na dosedanje navedbe.

Toženka v vlogi z dne 15. 5. 2026 podrobneje navaja, da obstajajo v konkretnem primeru razlike od sodbe v zadevi Florindo ter ponavlja, da so standardi Splošne uredbe o varstvu osebnih podatkov strožji kot v zadevi EKČP. Opozarja, da na podlagi tega testa sorazmernosti sploh ni mogoče zakonito izvesti, saj manjka eden izmed osnovnih elementov tehtanja - poseg v zasebnost konkretne osebe. Takšna obdelava podatkov je v nasprotju z načelom najmanjšega obsega podatkov (člen 5(1)(c) Splošne uredbe) in načelom omejitve namena. Opozarja na nedoslednost v zapisih tožnika. Ponavlja, da soglasje ne more biti veljavna pravna podlaga za obdelavo osebnih podatkov z GPS sistemom in da upravljavec zakonitosti obdelave ni izkazal. Meni, da je tožnik v navedbah glede ocene zakonitega interesa prekludiran, saj jih ni podal tekom inšpekcijskega postopka pred IP. Opozarja na zakonske zahteve, da delodajalec vodi določene evidence o razporeditvi delovnega časa, o izrabi delovnega časa, prav tako potne naloge. Meni, da je standard zadeve Breyer izpolnjen, identifikacija ni praktično neizvedljiva, sredstva zanje so dostopna brez pretiranega truda in tožnik jih uporablja v okviru svojih obstoječih evidenc in s tem ne izkazuje neizvedljivosti. V nadaljevanju ponavlja dosedanje navedbe.

Glavna obravnava

Sodišče je v zadevi opravilo narok za glavno obravnavo, ki sta se ga udeležili obe stranki. Tožnik je na naroku najprej prosil za dodelitev roka za podajo odgovora na zadnjo vlogo toženke.

Sodišče ga je seznanilo s stališčem, da meni, da toženka v zadnji vlogi ne navaja ničesar novega, ampak gre za bolj ali manj sistematično ponavljanje že obstoječih navedb o spornih vprašanjih, o katerih se je tožnik že izjasnil ter ga pozvalo, da poda morebitne navedbe, če meni, da je to potrebno, na zapisnik.

Pooblaščenec tožnika je zaradi takšne odločitve sodišča opozoril, da se v tako kratkem času ne more izjaviti o vlogi in da jih v tej fazi ni v stanju podati. Opozoril je, da je vloga bila vložena prepozno in se v tako kratkem času na 18 strani vloge ne more opredeliti in bi bilo, v kolikor bi sodišče to zahtevalo od tožnika v tako kratkem času, v nasprotju z načelom enakopravnosti (14. člen Ustave RS in 14. člen EKČP) pa tudi v nasprotju s pravico do poštenega sojenja (6. člen EKČP ter 22. in 23. člen Ustave RS). Prav tako se je skliceval na bistveno kršitev določb postopka ter na pravico do poštenega postopka.

Sodišče ga je ponovno pozvalo, da poda morebitne navedbe na zapisnik in ponovilo stališče, da ne gre za nove navedbe.

Tožnik je v nadaljevanju vztrajal pri tožbi in podanih vlogah ter izpostavil, da je prišlo do spremembe Uredbe ES 561/2006 iz leta 2016 in Uredbe EU 165/2014 iz leta 2014, katera je bila sprejeta že v letu 2020 tako, da od 1. 7. 2026 velja sprememba zakonodaje, po kateri bo obvezno zbiranje podatkov, katere je doslej toženka uveljavljala, da se ne bi smeli zbirati in katere je tožnik v bistveno manjšem obsegu kot bo to sedaj veljalo, obdeloval. Sedaj bodo vozila, ki so težja od 2, 5 tone, morala zbirati številne podatke, vključno s tem, kdo je voznik vozila ter o odmorih, poteh, času trajanja vožnje, začetku, koncu itd. Očitno, torej ni nezakonito, da bi se ti podatki obdelovali, prišlo je samo do tega, da je sedaj obvezno potrebno to zbirati pri vozilih kot jih uporablja tožnik, zaradi česar so naziranja toženke tudi iz tega razloga zmotna.

Pooblaščenka toženke je vztrajala pri odgovoru na tožbo in pripravljalnih vlogah ter poudarila, da je imel tožnik velikokrat možnost podaje odgovora in da ni v načelu z ekonomičnosti postopka, da se pred začetkom uporabe GPS sledenja ni seznanil s prakso IP, ne z mnenji ter ni opravil testa zakonitega interesa, prav tako ni upošteval določbe drugega odstavka 5. člena Splošne uredbe ter 6. člena. V zvezi s tahografom opozarja, da tega splošna Uredba ne ureja in se tožnik sklicuje na drugo pravno podlago. GPS sledenje je za zasledovanje poslovnih namenov delodajalca oziroma zavezanca in to brez zakonske podlage, saj tega Splošna uredba ne predvideva in niti ZVOP-2, medtem ko je tahograf določen z zakonodajo in gre za povsem drugo zadevo.

Pooblaščenec tožnika je nasprotoval zgornjim navedbam toženke, češ da so pavšalne in so same sebi namen. V predmetni zadevi je težava v tem, da je toženka vodila postopek tako, da je aktivno onemogočila uveljavljanje pravic tožnika in tudi ugotavljanje pravilnega dejanskega stanja, čemur pa sodišče v predmetni zadevi ne bi smelo podati sodnega varstva. Opozoril je, da je predlagal več dokazov, ki jih toženka ni upoštevala, niti jih ni želela izvesti, kar je seveda privedlo do tega, da je bila izdana nezakonita odločba. Prav tako je menil, da se s strani toženke problematizira zbiranje podatkov, za katere je tožnik sedaj ugotovil, da sploh niso problematični oziroma, da njihovo zbiranje ni bilo prepovedano, temveč je celo sedaj postalo obvezno na podlagi sprememb zakonodaje, kot so navedene zgoraj. Način na katerega se zbirajo (to je GPS ali tahograf) pa je seveda odvisen od vozila v katerem se opravljajo prevozi, pri čemer je sedaj postalo to obvezno zbirati tudi za vozila, ki presegajo maso 2,5 tone (torej vozila, ki jih uporablja tožnik). Toženka tudi zmotno navaja, da je tožnik te podatke na podlagi tahografa zbiral že pred tem, saj v teh vozilih doslej ni bilo nameščenega tahografa. Tahograf je bil nameščen samo v vozilih, kjer je to določala zakonodaja in je tožnik temu sledil. V konkretnem primeru bi vsaj sodišče moralo presoditi vse navedbe in dokaze tožnika in v zadevi odločiti šele po njihovi izvedbi oziroma presoji.

Pooblaščenka toženke je opozorila, da je drugačen namen in obseg GPS-a kot tahografa, ker tahograf zbira podatke o času vožnje in počitka voznika za namen varnosti v cestnem prometu in to je regulatorni namen, določen z evropsko zakonodajo. Medtem ko je GPS sledenje samo za poslovne namene delodajalca brez zakonske podlage. Tako, da so namen, pravna podlaga in regulacija popolnoma različni. Dejstvo je, da že 25. člen Splošne uredbe določa vgrajeno in privzeto zaščito podatkov, ki govori o tem, da upravljalec mora že ob vzpostavitvi sistema tehnično zagotoviti minimalizacijo podatkov, ne šele potem, ko ga nadzornik ustavi in sistem mora privzeto obdelovati samo podatke, ki so nujno potrebni za posamezni namen.

Pooblaščenec tožnika je prerekal zgornje navedbe in opozoril, da se toženka sklicuje na obrazec, kjer je med GPS in tahografom beseda "ali" oziroma besedi "in/ali", kar omogoča uporabo obrazca za vozila, ki imajo nameščen eden ali drugi sistem ali oba. V konkretnem primeru so sporna vozila, ki nimajo nameščenega tahografa, pri čemer bo seveda od 1. 7. 2026 dalje tudi v teh vozilih potrebno namestiti tahograf. Kar se tiče samega zbiranja oziroma obdelave podatkov pa je potrebno opozoriti, da toženka zmotno trdi, da se da vse te podatke tako individualizirati, da bi se moglo kršiti določbe Uredbe. V zvezi z navedenim je toženka podala več napačnih navedb in se je do navedenega tožnik opredelil že v vlogah. Toženka gre predaleč s tem, ko želi vsiliti njena naziranja v delovni proces manjšega delodajalca, ki dejansko ima željo in voljo, da dela skladno s predpisi.

Pooblaščenka toženke v nadaljevanju pove, da ne držijo navedbe o tahografu, ki jih je izpostavil tožnik, saj 3. člen Pravilnika o uporabi službenih vozil, ki ga je tožnik predložil tekom nadzornega postopka določa, da so tožnikova službena vozila opremljena s tahografom in satelitskim sistemom za sledenje vozil, torej vsa vozila. Opozorila je še na drugi in tretji odstavek 3. člena, ki govori o namestitvi in uporabi tahografov pri tožniku. Navedeno pomeni, da jih je tožnik že imel. Izpostavila je še, da odločba toženke ni absolutna prepoved GPS sledenja, je instrument, ki dovoljuje tri oblike sledenja, kar je razvidno iz izreka.

Pooblaščenec tožnika je prerekal zgornje navedbe in opozoril, da so tudi te navedbe dokaz, da toženka ni pravilno in popolno ugotovila dejanskega stanja. Tožnik je namreč včasih razpolagal tudi z vozili, ki so bila večja in so imela tudi tahograf, vendar v predmetni zadevi ta vozila niso prišla v poštev in tudi niso sporna. Dejstvo je, da se vozila, ki jih uporablja tožnik spreminjajo glede na potrebe, zastarelost, okvare itd. in da toženka na pamet sklepa, da imajo vsa vozila implementiran tudi sistem tahografa in GPS hkrati, kot bi se lahko ugotovilo, če bi toženka izvedla kakšen dokaz, kot ga je predlagal tožnik, da v konkretnem primeru vozila nimajo nameščenih tahografov. Glede na navedeno tožnik predlaga odpravo izpodbijane odločbe.

Pooblaščenka toženke je prerekala navedbe iz razlogov kot doslej ter opozorila, da je bilo v vlogi z dne 17. 2. 2024 navedeno katera vozila so podvržena GPS sledenju in je bilo to v nazornem postopku natančno ugotovljeno, dokument št. 06110-334/2022/18.

Sodišče je v dokaznem postopku v dokazne namene vpogledalo in prebralo upravni spis ter priloge tožnika na A2, listine od A3 - A4 ter A8 ter od B4 - B7 je sodišče prebralo kot stališče sodne prakse, v dokazne namen pa je še prebralo priloge toženke od B8 - B12. Zavrnilo je druge dokazne predloge (zaslišanje direktorja A. A. in direktorice B. B.), ker je ocenilo, da za odločitev niso relevantni, saj je toženka že na podlagi listinskih dokazov pridobila relevantne podatke za odločitev, tožnik pa se v bistvenem ne strinja s pravno presojo toženke. Tako zaslišanje strank, prav tako pa tudi zaslišanje zaposlenih v zvezi s podanimi soglasji, sicer ob dejstvu, da izjave ne ustrezajo zahtevam Splošne uredbe, kot bo podrobneje obrazloženo v nadaljevanju, tudi dodatno zaslišanje ne bi v tem delu okvalificiralo podana soglasja kot zakonita v smislu določbe Splošne uredbe.

K I. točki izreka

Tožba ni utemeljena.

V obravnavani zadevi sodišče presoja pravilnost in zakonitost odločbe, s katero je toženka tožniku naložila prenehanje pridobivanja in shranjevanja lokacijskih osebnih podatkov zaposlenih, ki jih pri izvajanju sistematičnega, avtomatiziranega in kontinuiranega GPS sledenja službenih vozil pridobiva in zbira na način, da s pomočjo GPS sledilnih naprav, nameščenih v službenih vozilih, sledi gibanju teh vozil in na ta način pridobljene lokacijske podatke tudi shranjuje (1. točka izreka). Nadalje pa je določila pogoje, pod katerimi pa lahko zbira te podatke (2. točka izreka).

Med strankama ni sporno, da je tožnik za potrebe izvajanja svoje dejavnosti v treh službenih vozilih namestil GPS sledilnike.

Sporno pa je, ali gre pri izvajanju GPS sledenja za obdelavo osebnih podatkov zaposlenih oziroma ali so le-ti določljivi, glede na to, da sam sistem ne beleži podatkov o zaposlenih, potni nalogi namreč ne vključujejo imena in priimkov konkretne osebe, ki je vozilo opravljala v določenem trenutku, ampak se delavci med vožnjo večkrat zamenjajo. Sporno je, ali je obdelava potrebna zaradi zakonitih interesov, ki jih je z izvajanjem GPS sledenja vozil želel uresničevati tožnik, in sicer zlasti za pravilno in natančno zaračunavanje storitev strank za organizacijo in racionalizacijo delovnih procesov prevozov in v okviru tega tudi obveščanje strank o času prihoda zaposlenih, varstvo premoženja v primeru odtujitve vozila in lociranje vozila ob morebitni prometni nesreči.

Sodišče soglaša z razlogi, ki jih je v izpodbijani odločbi navedla toženka, zato se, skladno z drugim odstavkom 71. člena Zakona o upravnem sporu (v nadaljevanju ZUS-1), v celoti sklicuje na utemeljitev v izpodbijani odločbi, k temu pa še dodaja sledeče:

V skladu z 38. členom Ustave RS je zagotovljeno varstvo osebnih podatkov in prepovedana uporaba osebnih podatkov v nasprotju z namenom njihovega zbiranja. Zbiranje, obdelovanje, namen uporabe, nadzor in varstvo tajnosti določa zakon.

Listina v prvem odstavku 8. člena določa, da ima vsakdo pravico do varstva osebnih podatkov, ki se nanašajo nanj. Po drugem odstavku 8. člena Listine se morajo osebni podatki obdelovati pošteno, za določene namene in na podlagi privolitve prizadete osebe ali na drugi legitimni podlagi, določeni z zakonom. Vsakdo ima pravico dostopa do podatkov, zbranih o njem, in pravico zahtevati, da se ti podatki popravijo. Po tretjem odstavku 8. člena Listine spoštovanje teh pravil nadzira neodvisen organ. Ob upoštevanju tretjega odstavka 52. člena Listine sta vsebina in obseg varstva osebnih podatkov iz 8. člena Listine začrtana z vsebino in obsegom te pravice, ki jo zagotavlja EKČP v 8. členu v okviru pravice do spoštovanja zasebnega in družinskega življenja. V okviru prava EU varstvo osebnih podatkov zagotavlja zlasti še Splošna uredba.

Splošna uredba o varstvu podatkov opredeljuje pojem osebnega podatka v prvem odstavku 4. člena, ki določa, da "osebni podatek" pomeni katerokoli informacijo v zvezi z določenim ali določljivim posameznikom, na katerega se nanašajo osebni podatki. Določljiv posameznik pa je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika.

Obdelava osebnih podatkov pomeni vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje (2. točka 4. člena Splošne uredbe o varstvu podatkov).

Poleg temeljnega zakona s področja varstva osebnih podatkov, v konkretnem primeru torej ZVOP-2, varstvo osebnih podatkov ureja še ZDR-1, ki v prvem odstavku 48. člena določa, da se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.

Glede uporabe prava

Tožnik se je na naroku skliceval, da je prišlo do spremembe Uredbe ES 561/2006 iz leta 2016 in Uredbe EU 165/2014 iz leta 2014, katera je bila sprejeta že v letu 2020 tako, da od 1. 7. 2026 velja sprememba zakonodaje, po kateri bo obvezno zbiranje podatkov, katere je doslej toženka uveljavljala, da se ne bi smeli zbirati in katere je tožnik obdeloval v bistveno manjšem obsegu kot bo to sedaj veljalo. Sedaj bodo vozila, ki so težja od 2, 5 tone morala zbirati številne podatke, vključno s tem, kdo je voznik vozila ter o odmorih, poteh, času trajanja vožnje, začetku, koncu itd. Očitno torej ni nezakonito, da bi se ti podatki obdelovali, prišlo je samo do tega, da je sedaj obvezno potrebno to zbirati pri vozilih kot jih uporablja tožnik, zaradi česar so naziranja toženke tudi iz tega razloga zmotna.

V zvezi s temi navedbami je glede uporabe prava opomniti, da se odločba izda na podlagi materialnega predpisa, ki velja v času izdaje predpisa.

1.Namen določitev tega trenutka je predvsem v zagotovitvi enakosti pred zakonom oziroma zadostiti zahtevi, ki izvira iz pravice do enakega varstva pravic iz 22. člena Ustave. S tem, ko sta določena rok za izdajo prvostopenjske odločbe in uporaba materialnega predpisa, ki velja ob izdaji odločbe, je stranki zagotovljena tudi pravna varnost. Ob navedenem je tako bistveno, da tožnik navaja, da bo spremenjena zakonodaja stopila v veljavo šele s 1. 7. 2026, iz česar izhaja, da ne more biti relevantna za odločanje v konkretni zadevi, saj je bila konkretna odločba izdana 28. 12. 2023, ko predpisi, na katere se sklicuje tožnik že po njegovih navedbah niso pravno relevantni za odločitev v konkretni zadevi. Ker že iz navedb tožnika izhaja, da predpis, na katerega se sklicuje tožnik, v času izdaje izpodbijanega akta ni veljal, tako ni pravno relevanten za odločanje v zadevi, zato se sodišče v nadaljevanju tudi ni podrobneje spuščalo v samo vsebino, saj na odločitev v zadevi ne vpliva.

Tožnik v zadevi zmotno meni, da podatki, ki jih je pridobil z GPS sledenjem službenih vozil, ne predstavljajo osebnih podatkov. Po opredelitvah iz 4. člena Splošne uredbe "osebni podatki" pomenijo katero koli informacijo v zvezi z določenim ali določljivim posameznikom; določljiv posameznik pa je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika. Pojem informacije iz te določbe je treba razlagati v pomenu podatka oziroma dejstva, ki o določeni stvari kaj pove ali se nanjo nanaša; v skladu s 26. uvodno izjavo Splošne uredbe pa je treba za namen identifikacije upoštevati vsa sredstva, za katera se razumno pričakuje, da jih bo upravljavec ali druga oseba uporabila za neposredno ali posredno identifikacijo posameznika. Te dejavnike je treba presojati restriktivno, tako da manjši stroški ali krajši čas ne more utemeljevati izjeme.

Kot dalje izhaja iz določb 4. člena Splošne uredbe, "obdelava" pomeni vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje. Upoštevajoč povedano je obdelava de facto kakršnokoli ravnanje z osebnimi podatki, primeri pa so našteti eksemplifikativno.

Toženka je v postopku ugotovila, da zavezanec izvaja GPS sledenje treh službenih vozil, ki jih njegovi zaposleni uporabljajo za opravljanje svojih službenih del in nalog. Pri tem gre za kombije, ki jih njegovi zaposleni uporabljajo za opravljanje različnih delovnih nalog (izvajanje montaž, druge delovne naloge). GPS sledenje službenih vozil zavezanec izvaja s pomočjo posebnega oddajnika v vozilu in posebne aplikacije, v kateri sistem kontinuirano beleži opravljeno pot vozila in te podatke tudi shranjuje. GPS sledenje zavezanec izvaja na način, da v celoti sledi vsem trem službenim vozilom, ne glede na to, kdo od zaposlenih posamezno službeno vozilo uporablja. Uporabnik vozila GPS sledenja ne more izklopiti, zavezanec namreč ni pojasnil, ali ta možnost za delavca obstaja. Zaposleni pri zavezancu lahko službena vozila uporabljajo zgolj za opravljanje službenih nalog, ne pa tudi za zasebno uporabo.

Glede na navedeno sodišče zavrača tožnikove trditve, da z GPS sledenjem službenih vozil ni obdelovala osebnih podatkov. Okoliščina, da njen sistem sledenja ne beleži in ne hrani podatka o vozniku, še ne pomeni, da z GPS sledenjem ni zbirala osebnih podatkov. Da gre pri izvajanju GPS sledenja vozil, ki jih uporabljajo zaposleni pri zavezancu, nedvomno za obdelavo osebnih podatkov posameznikov, ki taka vozila upravljajo, saj je posameznik, ki v določenem trenutku upravlja ali je upravljal vozilo, na podlagi podatkov, s katerimi razpolaga zavezanec, vedno določen ali vsaj določljiv. Zavezanec kot delodajalec lahko v vsakem primeru, na podlagi podatkov, s katerimi razpolaga, ugotovi, kateri od zaposlenih v določenem času uporablja ali je uporabljal določeno službeno vozilo, kar pomeni, da je posameznik, na katerega se nanašajo lokacijski podatki iz sistema GPS sledenja, vsekakor določljiv in da so podatki iz tega sistema, ki se nanašajo nanj, brez dvoma osebni podatki. Z izvajanjem obravnavanega GPS sledenja pri zavezancu tako nastaja posebna zbirka osebnih podatkov, ki vsebuje veliko količino lokacijskih podatkov zaposlenih posameznikov, podatkov, kje točno (mikrolokacija), se je v določenem trenutku določen zaposleni s službenim vozilom nahajal.

Tožnik se ne more z uspehom sklicevati na to, da lahko kdorkoli od delavcev vozi vozilo in da se ti menjavajo. Bistveno v zadevi je, da je tožnik mogel pridobiti podatke o vozniku vozila, ne pa kolikokrat je do teh podatkov dejansko dostopal. Kot pravilno poudarja toženka, 2. točka 4. člena Splošne uredbe zbiranje osebnih podatkov izrecno uvršča med primere njihove obdelave, zato obdelavo podatkov, ki se nanašajo na določljivega posameznika, predstavlja že zbiranje takih podatkov in ne šele njihova nadaljnja obdelava. Posledično tožnik toženki neutemeljeno očita, da se do tega ključnega dejstva ni ustrezno opredelila. Sodišče torej sprejema zaključke toženke, da gre pri izvajanju GPS sledenja službenih vozil za obdelavo osebnih podatkov posameznikov, ki vozila upravljajo, in da s tem nastaja posebna zbirka osebnih podatkov, ki vsebuje veliko količino lokacijskih podatkov zaposlenih, to je podatkov o tem, kje točno (mikrolokacija) se v določenem trenutku določeni zaposleni s službenim vozilom nahaja in koliko časa.

Tožnik se v nadaljevanju sklicuje na zakonit interes za obdelavo, in sicer varovanje premoženja in preprečevanja premoženjske in nepremoženjske škode, boljše organiziranosti in ekonomičnosti podjetja in obračunavanje stroškov poti. Navedenega pa tožnik ni izkazal, da je za dosego tega zakonitega interesa potrebno tudi sistematično in kontinuirano GPS sledenje vseh poti vseh navedenih službenih vozil, tj. da tega cilja ne bi mogel doseči z nobenim drugim ukrepom, ki bi v manjši meri posegal v informacijsko zasebnost zaposlenih. Tudi v teh primerih namreč prevladajo interesi oz. pravice posameznika, na katerega se nanašajo osebni podatki. Tožnik za opravljanje prevozov uporablja relativno majhno število službenih vozil, zaradi narave dejavnosti in prevozov pa se slednji pri nasprotni stranki vnaprej načrtujejo. Zasledovani cilj lahko tožnik doseže na podlagi podatkov, s katerimi že razpolaga (in ki ne obsegajo podatkov GPS sledenja), s tem lahko vedno ugotovi, na katerem območju se določenega dne nahaja katero od njegovih službenih vozil in s tem kateri od zaposlenih.

Navedeno pomeni, da je tožnik kot delodajalec vsakodnevno seznanjen s tem, katere poti opravljajo njegovi zaposleni s službenimi vozili na določen dan oziroma se s takim podatkom lahko na enostaven način seznani. Navedeno pomeni, da je že na podlagi podatkov, s katerimi razpolaga, seznanjen s tem, kateri zaposleni oziroma katero službeno vozilo se določenega dne nahaja na službeni poti, npr. v Avstriji.

Sodišče pritrjuje ugotovitvam toženke, da je iz navedb tožnika in narave njegove dejavnosti razvidno, da gre pri pretežnem delu delovnih nalog, ki se opravljajo s službenimi vozili, za delovne naloge, ki so mu vnaprej znane in jih je mogoče načrtovati v naprej.

Za zakonitost obdelave osebnih podatkov po f) točki prvega odstavka 6. člena Splošne uredbe o varstvu podatkov morajo biti torej kumulativno izpolnjeni trije pogoji, in sicer: 1.) pogoj zakonitega interesa (da si upravljavec ali tretja oseba ali stranke, ki so jim posredovani osebni podatki, prizadeva za zakoniti interes), 2.) pogoj potrebnosti/nujnosti obdelave (da je obdelava osebnih podatkov potrebna za uresničitev zakonitega interesa, ki se mu sledi), in 3.) pogoj prevlade/pretehtanja zakonitega interesa upravljavca oziroma tretje osebe nad pravicami in svoboščinami posameznikov (da ne prevladajo temeljne pravice in svoboščine posameznika, na katerega se nanaša varstvo podatkov).

Tu je najprej omeniti, da je tožnik navedbe, da je prestal test zakonitega interesa podal šele v tretji pripravljalni vlogi, na kar je opozorila tudi toženka. V inšpekcijskem postopku pred IP tožnik navedenega testa zakonitega interesa ni izkazal. Sodišče v delu, ko tožnik navaja, da je prestal test zakonitega interesa ugotavlja, da so te navedbe tožnika, ob dejstvu, da je s temi podatki razpolagal že v času poteka postopka pred IP, prepozne (20. in 52. členom ZUS-1) in jih je tožnik podal štele v tretji pripravljalni vlogi, zato gre za nedopustno tožbeno novoto, ki se skladno z 52. členom ZUS-1 pri odločanju ne upošteva.

Toženka pa je že v izpodbijani odločbi pojasnila, da GPS sledenje službenim vozilom v času, ko se v njih nahaja voznik, ni primeren in potreben ukrep za varstvo samih službenih vozil ter opreme in dokumentacije, ki se v njih nahaja, prav tako ni primeren ukrep za varstvo pred vlomom. Tudi sicer z GPS sledenjem ni mogoče preprečiti vlomov v službena vozila, niti ni z njim mogoče izslediti storilca, ki v vozilo vlomi in iz njega odtuji premoženje. Kot izhaja iz obrazložitve izpodbijane odločbe, bi lahko tožnik svoje premoženje zavaroval z milejšimi ukrepi, tudi s predlaganim omejenim GPS sledenjem le v času parkiranja vozila, kar potrjuje, da sistematično, avtomatizirano in kontinuirano GPS sledenje službenim vozilom za zagotovitev varovanja tožnikovega premoženja ni potrebno. Za to presojo ni bistveno, ali izvajanje takšnih milejših ukrepov omogoča že vgrajena tehnologija, kot tudi ne, ali je njihovo izvajanje "primerno" za posamezna delovna mesta.

Sodišče sprejema tudi presojo toženke, da zakonitega interesa za tovrstno obdelavo osebnih podatkov zaposlenih tožnik ni utemeljil niti s trditvami o zagotavljanju varnosti delavcev v primeru nesreče. Obstaja namreč zelo majhna verjetnost, da bi bilo potrebno lociranje vozila in voznika prav s pomočjo sistema GPS. V ta namen bi bilo dopustno in zakonito GPS sledenje za lociranje službenega vozila že na način, da bi se šele ob nesreči vklopila GPS naprava v vozilu. Sodišče zato sprejema zaključek, da obravnavano GPS sledenje predstavlja nepotreben in očitno nesorazmeren poseg v ustavno pravico zaposlenih.

Glede morebitne prometne nesreče in izsleditev vozila in voznika sodišče pritrjuje tožniku, da je prometna nesreča nenaden in nepričakovan dogodek, za katerega ni mogoče v naprej predvideti, vendar pa mora biti zakoniti interes izkazan, kar pomeni, da mora biti v času obdelave osebnih podatkov obstoječ in dejanski, ne pa zgolj hipotetičen. Tudi navedeni zakoniti interes tožnika zato po presoji sodišča ne more pretehtati nad ustavno zagotovljeno pravico zaposlenih do varstva osebnih podatkov.

Tudi glede nadaljevanja, ko je tožnik kot zakoniti interes, ki naj bi ga z njim zasledoval, navajal še obračunavanje dejansko opravljenega dela strankam pri izvajanju storitev, preverjanje utemeljenosti reklamacij strank, se sodišče pridružuje argumentaciji toženke. Tudi pri tem namenu gre za zakoniti interes zavezanca, vendar pa slednji v svojih odgovorih ni izkazal, da je izvajanje GPS sledenja na ugotovljeni način primerno in potrebno za doseganje navedenega zakonitega interesa. Službene poti so razvidne iz potnih nalogov. Za preverjanje ure začetka in ure konca opravljanja dela pri določeni stranki obstajajo milejša sredstva kot slednje GPS, recimo z vpisom časa dela v obrazec, npr. delovni nalog, ki ga podpiše delavec in stranka. Obrazec lahko vsebuje vse potrebne podatke za doseganje namena oziroma zakonitega interesa zaračunavanja dejansko opravljenega dela. Zato ni utemeljena navedba zavezanca, da bi mu zaradi neupravičenega zaračunavanja opravljenih ur pri stranki lahko nastala ogromna škoda, obstaja namreč milejše sredstvo. V primeru preverjanja utemeljenosti reklamacij pa je ustreznejši in hitrejši način, da zavezanec ali zaposleni, ki prevoz izvaja, stranko že ob začetku poti k njej obvesti o tem dejstvu in o predvidenem času prihoda k njej. Zavezanec lahko ob tem zaposlenemu, ki izvaja prevoz, naloži, da mora stranko v primeru zamude o tem pravočasno obvestiti in ji sporočiti novo uro predvidenega prihoda.

Na drugi strani pa podatki o poti, ki jo je s službenim vozilom opravil posamezni delavec in jih zavezanec pridobi z GPS sledenjem, lahko zgolj posredno in nezanesljivo kažejo na to, da je bilo delo pri posamezni stranki resnično opravljeno in koliko časa je trajalo (iz GPS podatkov je v zvezi s tem razvidno, da je in kdaj je zaposleni delavec z vozilom prispel na določeno lokacijo in kdaj jo je zapustil, ne pa tudi, kaj je v vmesenem času na tej lokacijo počel — npr. ali je obiskal stranko, ali in kako je pri njej opravil delo, kdaj je z delom začel in kdaj ga je zaključil). Gleda na navedeno je tako na mestu zaključek, da tožnik ni izkazal, da je za obračunavanje dejansko opravljenega dela strankam pri izvajanju storitev potrebno in primerno GPS sledenje službenih vozil, kot ga izvaja zavezanec.

Toženka je glede na vse navedeno pravilno zaključila, da tožnik ni izkazal, da bi bilo stalno in kontinuirano sledenje službenim vozilom ter obdelava osebnih podatkov, ki jo tak ukrep obsega, v skladu z določbo točke (f) prvega odstavka 6. člena Splošne uredbe ali v skladu s katero drugo pravno podlago iz prvega odstavka 6. člena Splošne uredbe. Prav tako tožnik ni izkazal, da je obravnavana obdelava lokacijskih podatkov v skladu z načelom najmanjšega obsega podatkov iz točke (c) prvega odstavka 5. člena Splošne uredbe, saj predstavlja zbiranje veliko večjega obsega podatkov, kot bi bilo potrebno za doseganje (nekaterih od) namenov, ki jih navaja tožnik.

Tožnik torej odločbo toženke neutemeljeno izpodbija v delu, v katerem ji ta nalaga prenehanje pridobivanja lokacijskih osebnih podatkov zaposlenih z izvajanjem sistematičnega, avtomatiziranega in kontinuiranega GPS sledenja službenih vozil, posledično pa tudi v delu, v katerem ji tako pridobljene podatke prepoveduje shranjevati.

V zadevi je še opozoriti, da izpodbijanja odločba tožniku ne prepoveduje GPS sledenja — prepoveduje le kontinuirano in sistematično sledenje, ki ni nujno potrebno, sicer pa v 2. točki izreka izrecno dovoljuje tri konkretne oblike GPS sledenja. Te oblike sledenja pokrivajo natanko tiste poslovne potrebe, ki jih tožnik navaja kot utemeljitev — dokazovanje opravljenih poti, trajanja in lokacije za obračun stroškov.

Kontinuirano sledenje med vožnjo zbira bistveno več podatkov, kot je za te namene potrebno. Podatek o tem, kdaj je delavec zapustil eno lokacijo in kdaj je prispel na drugo, tudi po mnenju sodišča v celoti zadostuje za obračun poti in dokazovanje izpolnitve obveznosti. Zvezno beleženje celotne poti, vseh postankov, hitrosti in gibanja — vključno z zasebnimi postanki — je klasična kršitev načela minimizacije podatkov iz člena 5(1 )(c) Splošne uredbe. Dejstvo, da je kontinuirano sledenje za tožnika tehnično enostavnejše, ne pomeni, da je pravno dopustno.

Glede soglasij

Skladno s prvim odstavkom 6. člena Splošne uredbe o varstvu podatkov je obdelava osebnih podatkov zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev, pri čemer je v f) točki opredeljeno, da je obdelava potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi ne prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov (zlasti kadar je posameznik, na katerega se podatki nanašajo, otrok).

V zvezi s podanimi soglasji delavcev za obdelavo osebnih podatkov pa sodišče sledi ugotovitvam toženke, ki je izpostavila, da so bili obrazci glede privolite in seznanjenosti delavcev s takim načinom obdelave osebnih podatkov delavcev nejasni in tako tožnik ni izkazal, da so delavci privolili v takšne vrste obdelavo z GPS. Tega ni izkazal tudi naknadno s popravljenim obrazcem. Dokazno breme za izkazovanje skladnosti s Splošno uredbo je na tožniku. Kadar obdelava temelji na privolitvi, mora biti upravljavec zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo svojih osebnih podatkov.

Da se ta obdelava osebnih podatkov izvaja na podlagi privolitev zaposlenih, katerih osebni podatki se obdelujejo, je zavezanec izkazoval in dokazoval s posebno izjavo, ki naj bi jo podpisali zaposleni, obrazec z izjavo je posredoval IP. Slednji je po vpogledu v tako izjavo ugotovil, da je ta poimenovana Obvestilo o uporabi tahografa in izvajanju GPS spremljanja vozil, ki je priloga Pravilnika o uporabi službenih vozil z dne 1. 4. 2022. V tretji alineji obrazca je le v kratkem odstavku zapisana izjava, da delavec soglaša z uporabo teh naprav in da bo spoštoval predpise. V zadnji alineji je napisana izjava, da je delavec seznanjen z informacijami po 13. členu Splošne uredbe. V 4. členu tega Pravilnika je določena seznanitev delavcev z GPS sistemom. Tako oblikovana izjava, s katero je zavezanec izkazoval obstoj privolitve zaposlenih, je v nasprotju z drugim odstavkom člena 7 Splošne uredbe, ki izrecno zahteva, da se v primeru, če je privolitev posameznika dana v pisni izjavi, ki se nanaša tudi na druge zadeve, zahteva za privolitev predloži na način, ki se jasno razlikuje od drugih zadev, saj je izjava sestavni del in v ničemer ločena od izjave o seznanjenosti. Zavezanec je izjavo o seznanjenosti z informacijami v zvezi s konkretno obdelavo osebnih podatkov in izjavo o privolitvi v obdelavo teh podatkov združil v eno samo izjavo na način, da posameznik ne more podati ene izjave, ne da bi podal tudi drugo. Zaposleni, ki želi potrditi, da je bil seznanjen z informacijami o obravnavani obdelavi, mora nujno tudi privoliti v tako obdelavo, kar je, glede na navedeno določbo Splošne uredbe, neustrezno.

Delodajalec je močnejša stranka, kot upravljavec pa je tudi glede na drugo točko 5. člena Splošne uredbe odgovoren za skladnost z odstavkom 1 in mora biti to skladnost tudi zmožen dokazati.

Poleg tega je v obravnavanem primeru potrebno upoštevati tudi 42. in 32. uvodni recital Splošne uredbe. Prvi določa, da se za privolitev domneva, da ni dana prostovoljno, če ne dovoljuje ločene privolitve za različna dejanja obdelave osebnih podatkov, čeprav bi bila taka ločena privolitev v posameznem primeru ustrezna, v 32. uvodnem recitalu Splošne uredbe pa je določeno, da bi morala privolitev zajemati vse dejavnosti obdelave, izvedene v isti namen ali namene in da bi bilo treba, kadar je obdelava večnamenska, privolitev dati za vse namene obdelave. Zavezanec je z lokacijskimi podatki, ki jih zbere z GPS sledenjem službenih vozil, predvidel več dejanj njihove obdelave za večje število namenov, kot to izhaja iz pojasnil v tem postopku in določb Pravilnika, zato bi morala biti zaposlenim dana možnost, da se prostovoljno odločijo, s katerimi od namenov obdelave njihovih osebnih podatkov soglašajo in s katerimi ne. Če se osebni podatki obdelujejo za več namenov, je rešitev za skladnost s pogoji za veljavno privolitev v razdrobljenosti, tj. ločitvi teh namenov in pridobitvi privolitve v vsak namen, česar pa zavezanec v postopku ni izkazal. IP je zato po mnenju sodišča v postopku pravilno ugotovil, da zavezanec ni izkazal, da bi od zaposlenih pridobival osebne privolitve za izvajanje GPS sledenja vozil, ki jih uporabljajo oz. da bi se zaposleni lahko sami, prostovoljno odločali o tem, ali bo zavezanec kot delodajalec zbiral njihove lokacijske podatke z izvajanjem GPS sledenja, ali ne. Tako je zaključil, da tožnik v postopku ni dokazal, da so zaposleni privolili v obdelavo njihovih osebnih podatkov, ki jih obdeluje pri izvajanju GPS sledenja službenih vozil, kot to zahteva prvi odstavek člena 7 Splošne uredbe, pa tudi drugi odstavek člena 5 Splošne uredbe, ki ureja načelo odgovornosti in v skladu s katerim je upravljavec odgovoren za skladnost s prvim odstavkom istega člena (torej tudi z načelom zakonitosti), in je to skladnost tudi zmožen dokazati. Pri tem je bilo potrebno upoštevati tudi dejstvo, da gre za sklicevanje na privolitev kot podlago za obdelavo osebnih podatkov v razmerju, kjer med zavezancem kot delodajalcem in posameznikom, kot njegovim zaposlenim obstaja očitno neravnotežje moči, saj je zavezanec proti zaposlenim močnejša stranka in da gre torej za primer, za katerega že 43. uvodni recital Splošne uredbe izključuje privolitev, kot pravno podlago za obdelavo osebnih podatkov.

Zaradi navedenega zaključka, da že sama vsebina izjave ni ustrezna, je toženka po mnenju sodišča upravičeno zavrnila zaslišanje delavcev, ker to glede na predhoden zaključek ne bi vplivalo na razjasnitvi dejanskega stanja, ker je že iz do sedaj zbranih dokazov razvidno, da privolitev delavcev ni jasna, nedvoumna.

Tožnik je, sklicujoč se na odločitev Upravnega sodišča v sodbi I U 112/2018-23 z dne 17. 4. 2019, menil, da bi morala toženka zaslišati delavce v kolikor je dvomila v njihovo verodostojnost glede podanega soglasja ter je dokazno breme na toženki in ne tožniku. IP je v navedeni odločbi zaključil, da ni podana nobena od pravnih podlag za obdelavo lokacijskih osebnih podatkov posameznikov (zaposlenih pri tožniku). Sodišče je ugotovilo, da IP ni ugotavljal, ali je šlo za prostovoljno izjavo volje zaposlenih ter zaključilo, da je IP v izpodbijani odločbi zavzel stališče, da osebne privolitve posameznega zaposlenega ni mogoče šteti kot pravne podlage za obdelavo osebnih podatkov ter da bi bilo sklicevanje delodajalca na osebne privolitve njegovih zaposlenih, kot pravno podlago za obdelavo njihovih osebnih podatkov, lahko uspešno zgolj, če bi pri tem izkazal, da take privolitve ustrezajo definiciji osebne privolitve. IP izjav zaposlenih, ki so jih s tem v zvezi dali delodajalcu, ni presojal po vsebini. Po mnenju sodišča je navedeno stališče IP napačno. Če je IP dvomil v zvezi s tem, bi moral zaposlene v postopku zaslišati.

Tu je slediti opozorilu toženke, da navedena sodba I U 112/2018-23 ni upošteven precedens v obravnavanem postopku, saj je bila izdana v postopku, ki se je vodil in zaključil v času veljavnosti Zakona o varstvu osebnih podatkov iz leta 2004 (ZVOP-1). Pravna podlaga za presojo je v zadevi I U 112/2018-23 izhajala izključno iz ZVOP-1, zlasti na 10. členu tega zakona in 14. točki 6. člena ZVOP-1 glede definicije osebne privolitve. Splošna uredba v členu 7(4) in uvodni izjavi 43 vzpostavlja kvalitativno strožji standard: privolitev načeloma ne more biti veljavna v razmerju strukturne neenakosti med delodajalcem in delavcem, razen ob izpolnjevanju izjemnih pogojev. Ta standard ne temelji na ugotavljanju subjektivnega doživljanja posameznega delavca, temveč na objektivni presoji pogojev, pod katerimi je bila privolitev pridobljena. EDPB je v Smernicah 05/2020 to izrecno potrdil: strukturno neravnovesje moči v delovnem razmerju je sistemska pravna kategorija, ne individualna okoliščina. Pod standardom Splošne uredbe torej vprašanje ni, ali se je ta ali oni delavec počutil svobodnega — vprašanje je, ali so bili izpolnjeni objektivni pogoji za veljavno privolitev. To je pravno vprašanje, ki se presoja na podlagi objektivnih okoliščin, ne na podlagi individualnih izpovedb delavcev, zato tudi zaslišanje ni bilo potrebno. Sodba I U 112/2018-23 se je ukvarjala s primerom, kjer je toženka dvomila v prostovoljnost izjav, a tega dvoma ni utemeljila z objektivnimi okoliščinami zadostne teže. Sodišče je ugotovilo, da zgolj sklicevanje na Pravilnik o uporabi službenih vozil ni zadostna podlaga za zaključek o neprostovoljnosti. Obravnavani primer je glede na dejstva bistveno drugačen. Neveljavnost privolitve pa toženka v konkretni zadevi utemeljuje ne le s strukturnim neravnovesjem moči, temveč primarno z objektivno ugotovljivo vsebinsko pomanjkljivostjo obrazca po členu 13 Splošne uredbe. Obrazec, ki ga je tožnik predložil v nadzornem postopku, objektivno ne vsebuje nobene od informacij, ki jih člen 13 Splošne uredbe zahteva kot obvezne. To je listinska ugotovitev, ki ne zahteva zaslišanja delavcev, poleg tega je dokazno breme po Splošni uredbi na upravljavcu — ne na nadzornem organu. Sodba I U 112/2018-23 je v kontekstu ZVOP-1 ugotovila, da mora toženka pri dvomu v prostovoljnost izjav opozoriti tožnika in ugotoviti pravico delavcev do zaslišanja. Ta procesna logika izhaja iz takratnega normativnega okvira, kjer dokazno breme ni bilo tako izrecno porazdeljeno. Splošna uredba v členu 7(1) in 5(2) izrecno in nedvoumno določa, da dokazno breme glede veljavnosti privolitve in zakonitosti obdelave v celoti nosi upravljavec. Nadzorni organ ni dolžan dokazovati nezakonitosti — dolžan je ugotoviti, ali je upravljavec izpolnil materialnopravno dokazno breme.

Glede vklopa in izklopa GPS sledilnika ter neizvršljivosti odločbe

Tožnik je navajal, da je 2. točka izreka neizvršljiva, ker se GPS naprava nahaja pod armaturno ploščo ter dejstvo, da jo je po zatrjevanju tožnika mogoče izključiti le z odvijanjem armaturne plošče. Prav tako meni, da ni jasno navedeno, kdaj lahko vklopi GPS in zbira osebne podatke na ta način, ko so vozila parkirana.

Toženka je v odločbi navedla, v katerih primerih je dovoljeno zbiranje osebnih podatkov z GPS, in sicer v primeru uporabe GPS naprave na način, ki je po Splošni uredbi dopusten, t. j. na način, da bo z vklopom GPS naprave s strani zaposlenega zbiral zgolj podatke o začetni in ciljni lokaciji določene poti, lokacije službenih vozil v času, ko bodo ta parkirana na mestih, kjer bo podana nevarnost njihove odtujitve ter lokacijske podatke v primeru prometne nesreče.

Glede navedb tožnika, da je gumb za vklop GPS pod armaturo in da jo delavec med vožnjo ne more vklopiti, pa je dodati, da mora biti tehnologija, ki jo zavezanec uporabi pri obdelavi osebnih podatkov, skladna s Splošno uredbo. Upravljavec ne more uvesti tehnologije, s katero izvaja obdelavo osebnih podatkov v nasprotju z veljavnimi predpisi in se pri tem veljavno sklicevati na to, da uvedena tehnologija tehnično ne omogoča obdelave osebnih podatkov, ki bi bila s takimi predpisi skladna. Obdelava osebnih podatkov, ki ni skladna z določbami Splošne uredbe, ne more postati zakonita zato, ker tehnične rešitve upravljavca osebnih podatkov ne omogočajo prilagoditve obdelave na način, ki bi bil skladen s Splošno uredbo. Odločba ni nezakonita zato, ker toženka v zadevi ni preverjala, kje se sistem v avtu nahaja, ker je izjavo o tem podal tožnik tekom postopka.

Sicer pa neizvršljivost upravnega akta po ustaljeni sodni praksi Upravnega sodišča in Vrhovnega sodišča RS nastopi le, kadar je izrek notranje protisloven, kadar je zahtevano ravnanje fizično nemogoče, ali kadar ga naslovnik ne more razumeti niti ob skrbni razlagi. Nobeden od teh pogojev ni izpolnjen. Tožnik ne more uspešno zatrjevati, da je odločba neizvršljiva zato, ker zahteva odpravo sistema, ki ga je sam vzpostavil, v nasprotju s pravom. Vsak korektivni ukrep po členu 58(2) Splošne uredbe po naravi stvari zahteva spremembo obstoječe prakse pri upravljavcu. To je namen odločbe — ne razlog za njeno razveljavitev.

Odločba ne določa, kako naj tožnik organizira svoje poslovanje, ampak prepušča popolno svobodo organizacije poslovanja znotraj okvirov, ki jih določa Splošna uredba. Prepoveduje zgolj tisto, kar Splošna uredba prepoveduje: zbiranje osebnih podatkov delavcev v obsegu, ki presega tisto, kar je nujno potrebno za zatrjevani namen.

Glede procesnih kršitev

Sodišč zavrača stališče tožnika, da mu je bila kršena pravica do izjave. Tekom postopka je namreč toženka tožnika večkrat pozvala, da se izjavi o dejstvih in okoliščinah, relevantnih za izdajo odločbe, s čimer je po presoji sodišča sledila določbi 9. člena ZUP, da je treba stranki, preden se izda odločba, dati možnost, da se izjavi o vseh dejstvih in okoliščinah, ki so pomembne za odločbo (zaslišanje stranke). Stranke lahko za posamezna dejanja v postopku opravijo izven ustne obravnave pisno ali ustno na zapisnik, na obravnavi pa ustno. Zaslišanje se torej lahko opravi v okviru ustne obravnave, prav tako pa se načelo zaslišanja stranke izraža skozi cel postopek z dajanjem možnosti stranki, da sodeluje pri dejanjih postopka. V kolikor stranki ali stranskemu udeležencu ni bila dana možnost, da se izjavi o dejstvih ali okoliščinah, pomembnih za izdajo odločbe, bodisi na ustni obravnavi, lahko pa tudi izven nje, je to bistvena kršitev pravil upravnega postopka. Vendar ta kršitev v konkretnem primeru ni podana.

Tožnik tako na podlagi navedenega zmotno meni, da ker toženka ni zaslišala zakonitega zastopnika strank, da mu je s tem kršena pravica do izjave. Vsebina pravice do izjave je pojasnjena že zgoraj, če pa tožnik meni, da toženka ni izvedla dokaza s pridobitvijo izjave stranke, pa ne gre za kršitev načela zaslišanja stranke. Toženka je v okviru proste presoje dokazov (8. člen ZUP) ocenila, da pridobitev izjave stranke in zaslišanje delavcev ni potrebno, ker je vse podatke, pomembne za ugotavljanje dejanskega stanja, prejela v pisni obliki po pošti. Tekom inšpekcijskega postopka je toženka tožniku omogočila možnost, da poda izjave kot odgovore na vprašanja toženke ter ji omogočila, da se izjasni do ugotovitev toženke pred izdajo inšpekcijske odločbe, kot to določa ZUP (9. in 146. člen ZUP). Toženka je tudi po oceni sodišča skrbno pretehtala navedbe tožnika v postopku in dejansko stanje ugotovila natančno in določno ter da izvajanje dodatnega zaslišanja ni potrebno. Tako je zavrniti navedbe tožnika o procesnih kršitvah načela zaslišanja strank, prav tako, da toženka tožniku ni omogočila uveljavljanje njegovih pravic. Zavrniti gre tudi navedbe, da je podana absurdna obrazložitev in da je ni mogoče preizkusiti, saj je obrazložitev jasna, logična, argumentirana in se jo da preizkusiti. Toženka je upoštevala vse za odločitev pomembne navedbe tožnika in predložene dokaze, prav tako se je opredelila do navedb tožnika. Iz obrazložitve izpodbijane odločbe izhaja, s čim oziroma na kakšen način je po presoji toženke tožnik posegel v pravice zaposlenih, zato nasprotnim tožnikovim trditvam sodišče ne sledi. Tožnik toženki tudi neutemeljeno očita, da ni ugotovila, ali in kako bi enak namen poslovanja in organizacije dela ter varstvo premoženja zagotovila z drugimi, milejšimi ukrepi, saj izpodbijana odločba vsebuje razloge tudi o tem. Dodati je, da je tožnik tisti, ki mora dokazati skladnost obdelovanja osebnih podatkov z načelom zakonitosti. Po drugem odstavku 5. člena Splošne uredbe je za skladnost s prvim odstavkom 5. člena Splošne uredbe odgovoren upravljavec, ki je to skladnost tudi zmožen dokazati ("odgovornost"). Tudi po prvem odstavku 24. člena Splošne uredbe upravljavec ob upoštevanju narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti, izvede ustrezne tehnične in organizacijske ukrepe, da zagotovi in je zmožen dokazati, da obdelava poteka v skladu s to uredbo.

Tožnik se sklicuje še na stališče ESČP v zadevi Florindo de Lormindo de Almeida Vasconcelos Gramaxo proti Portugalski opr. št. 26968/16 z dne 13. 12. 2022, ki je zaradi pritožbe delavca presojalo vprašanje legitimnosti obdelave oz. uporabe GPS podatkov s strani delodajalca, ki je bila opravljena za stranko in čas (trajanje odsotnosti), ki je bil porabljen za posamezno pot, kar lahko natančno dokazuje s podatki pridobljenimi z GPS napravo. Pripominja, da je bilo tam ugotovljeno, da gre za legitimen cilj delodajalca, presojala pa se je pravilnost odločitve Comissao Nacional de Proteccao de Dados

(v nadaljevanju CNPD), ki je potrdil, da ni prišlo do kršitve pravice do zasebnega življenja zaradi zbiranja osebnih podatkov.

Sodišče meni, da je bistveno v zadevi, da se je primer Florindo presojal po kriterijih EKČP in se je presojala le kršitev 8. člena EKČP. Ni se presojalo po določilih Splošne uredbe o varstvu osebnih podatkov, ki pa določa strožje kriterije. ESČP je v zadevi Florindo presojalo izključno, ali je Portugalska kot država izpolnila svojo pozitivno obveznost varstva zasebnosti pritožnika. ESČP ni presojalo zakonitosti obdelave osebnih podatkov po Splošni uredbi o varstvu osebnih podatkov - veljavnosti pravne podlage, nujnosti obdelave, minimizacije podatkov, veljavnosti soglasja, obveščanja posameznikov po členu 13 Splošne uredbe o varstvu osebnih podatkov, niti obveznosti ocene učinka (DPIA). Ugotovitev ESČP, da Portugalska ni kršila 8. člena EKČP, pomeni le, da je bil izpolnjen minimalni mednarodnopravni standard - ne pa, da je bila obdelava zakonita po pravu EU.

Splošna uredba o varstvu osebnih podatkov postavlja bistveno strožje zahteve kot EKČP: upravljavec mora pred začetkom obdelave identificirati veljavno pravno podlago, opraviti in dokumentirati test oz. oceno zakonitega interesa, zagotoviti minimizacijo podatkov, podati vsebinsko obvestilo po členu 13 ter opraviti oceno učinka po členu 35 Splošne uredbe. Nobena od teh zahtev v zadevi Florindo ni bila presojana. Tako je ugotoviti, da ta sodba ni primerljiva z obravnavanim primerom, ker se v zadevi Florindo GPS sledenje ni nanašalo na skupino neidentificiranih voznikov, temveč na enega, vnaprej določenega in o sledenju obveščenega delavca, namen sledenja je bil ozko in konkretno opredeljen ter neposredno vezan na obstoječi sistem poročanja o stroških, in delavec je bil v celoti obveščen o obsegu obdelave. Nobena od teh okoliščin v obravnavanem primeru ni podana, zato naveden primer ni relevanten za odločitev v konkretni zadevi.

Upoštevajoč vse navedeno sodišče zaključuje, da so bile pri izdaji izpodbijane odločbe spoštovane relevantne določbe Splošne uredbe o varstvu podatkov, prav tako pa je dejanska in materialnopravna podlaga odločitve ustrezno obrazložena. Na podlagi prvega odstavka 63. člena ZUS-1 je zato sodišče tožbo kot neutemeljeno zavrnilo.

K II. točki izreka sodbe:

Odločitev o stroških temelji na četrtem odstavku 25. člena ZUS-1, po katerem v primeru, če sodišče tožbo zavrne, trpi vsaka stranka svoje stroške postopka, kar pomeni, da tožnik nosi svoje stroške postopka, medtem ko toženka stroškov ni priglasila.

-------------------------------

1Čebulj J. v Komentar Zakona o splošnem upravnem postopku, 1. knjiga, GV Založba, Ljubljana 2020, str. 101 in 102.

2Komentar Splošne uredbe o varstvu podatkov, ur. dr. Nataša Pirc Musar, Uradni list Republike Slovenije, Ljubljana, 2020, v nadaljevanju Komentar Splošne uredbe, str. 105 in 106.

3Tako Komentar Splošne Uredbe, str. 107.

4Komentar Splošne uredbe o varstvu podatkov, ur. dr. Nataša Pirc Musar, Uradni list RS, Ljubljana, 2020, str. 181.

5Po tretjem odstavku 20. člena ZUS-1 stranke v upravnem sporu ne smejo navajati dejstev in predlagati dokazov, če so imele možnost navajati ta dejstva in predlagati dokaze v postopku pred izdajo akta. Po 52. členu ZUS-1 lahko tožnik v tožbi navaja nova dejstva in dokaze, vendar mora obrazložiti, zakaj jih ni navedel že v postopku izdaje izpodbijanega akta. Nova dejstva in dokazi se lahko upoštevajo le, če so obstajali v času odločanja na prvi stopnji postopka izdaje upravnega akta in če jih stranka upravičeno ni mogla predložiti oz. navesti v postopku izdaje upravnega akta.

6Komentar Splošne uredbe o varstvu podatkov, ur. dr. Nataša Pirc Musar, Uradni list RS, Ljubljana, 2020, str. 181. Tako tudi sodba Sodišča EU C708/18 z dne 11. 12. 2019, Asociatia de Proprietari bloc M5A-ScaraA, 44. točka.

7Slo.: Nacionalna komisija za varstvo podatkov. Organ deluje na Portugalskem.