System lokalizacji rejestrujący położenie znaczników noszonych przez pracowników przetwarza dane osobowe, nawet jeśli w bazie widnieją wyłącznie numery seryjne. Wystarczy, że istnieje możliwość powiązania znacznika z konkretną osobą — a taka możliwość istnieje zawsze, gdy znaczniki są wydawane imiennie. Uznanie tego faktu na początku projektu jest znacznie prostsze niż porządkowanie sytuacji po wdrożeniu.

Cel i podstawa prawna

Punktem wyjścia jest określenie celu i podstawy prawnej. W przypadku systemów bezpieczeństwa najczęściej powołujemy się na obowiązek zapewnienia bezpiecznych warunków pracy oraz na uzasadniony interes pracodawcy.

Kluczowe jest, aby zakres przetwarzania odpowiadał deklarowanemu celowi. Jeżeli system ma zapobiegać kolizjom, nie powinien służyć do rozliczania czasu pracy — chyba że zostało to odrębnie zaplanowane, opisane i zakomunikowane. Rozjazd między deklaracją a praktyką jest najczęstszym źródłem sporów.

Minimalizacja

Minimalizacja dotyczy zarówno dokładności, jak i okresu przechowywania. Do większości zastosowań bezpieczeństwa wystarczy informacja o strefie, a nie o dokładnej pozycji, a dane szczegółowe można agregować po kilkunastu dniach. Ograniczenie retencji zmniejsza ryzyko i upraszcza późniejsze realizowanie żądań osób, których dane dotyczą.

Praktyczna lista kontrolna

Przed uruchomieniem systemu warto przejść przez następujące punkty:

• spisany cel przetwarzania i podstawa prawna, odrębnie dla każdej funkcji systemu;
• informacja dla pracowników — co jest rejestrowane, przez kogo i jak długo;
• rozdzielenie warstw: identyfikatory znaczników osobno, powiązanie z osobami osobno i z węższym dostępem;
• określone okresy retencji i moment agregacji danych szczegółowych;
• uzgodnienie zasad z przedstawicielami załogi przed startem, nie po nim.

Rola przedstawicieli załogi

Wdrożenie systemu rejestrującego ruch osób jest zmianą organizacyjną, nie tylko techniczną. Wcześniejsza rozmowa z przedstawicielami załogi pozwala wychwycić obawy, których projekt nie przewidział, i uzgodnić granice — na przykład wyłączenie rejestracji w pomieszczeniach socjalnych albo rezygnację z danych indywidualnych w raportach kierowniczych.

Ustalenia te warto zapisać i udostępnić. Dokument, do którego można wrócić za rok, jest wart więcej niż najlepsze intencje wyrażone na spotkaniu, o którym po zmianie kadry nikt już nie pamięta.

Co zrobić przed audytem

Jeżeli system działa już od jakiegoś czasu, a dokumentacja powstawała po drodze, warto przejść przez kilka pytań kontrolnych. Odpowiedź „nie wiem” na którekolwiek z nich wskazuje obszar do uporządkowania:

• czy potrafimy wskazać, kto ma dostęp do danych pozwalających zidentyfikować osobę;
• czy dane starsze niż zadeklarowany okres retencji faktycznie są usuwane lub agregowane;
• czy zakres przetwarzania nie rozszerzył się po cichu wraz z nowymi funkcjami;
• czy potrafimy zrealizować żądanie dostępu do danych w rozsądnym czasie;
• czy informacja przekazana pracownikom nadal odpowiada temu, co system faktycznie robi.

Praktyka pokazuje, że systemy wprowadzane bez konsultacji spotykają się z oporem, który przekłada się na jakość danych — znaczniki bywają zostawiane w szatni, a wtedy system przestaje pełnić swoją funkcję ochronną. Przejrzystość nie jest wyłącznie wymogiem formalnym; jest warunkiem tego, żeby wdrożenie w ogóle działało.