Γνώµη 5/2005 της Οµάδας Εργασίας του άρθρου 29 για τη χρήση δεδοµένων θέσης µε σκοπό την παροχή υπηρεσιών προστιθέµενης αξίας

Οµάδα Εργασίας του άρθρου 29 για την προστασία των δεδοµένων 2130/05/EL WP 115 Γνώµη 5/2005 της Οµάδας Εργασίας του άρθρου 29 για τη χρήση δεδοµένων θέσης µε σκοπό την παροχή υπηρεσιών προστιθέµενης αξίας Εκδόθηκε στις 25 Νοεµβρίου 2005 Η παρούσα Οµάδα Εργασίας συστάθηκε δυνάµει του άρθρου 29 της Οδηγίας 95/46/EΚ. Είναι ανεξάρτητο ευρωπαϊκό συµβουλευτικό όργανο για θέµατα που αφορούν την προστασία δεδοµένων και την ιδιωτική ζωή. Τα καθήκοντά της περιγράφονται στο άρθρο 30 της Οδηγίας 95/46/EΚ και στο άρθρο 15 της Οδηγίας 2002/58/EΚ. Γραµµατειακή υποστήριξη παρέχει η ιεύθυνση C (Αστική ικαιοσύνη, ικαιώµατα και Ιθαγένεια) της Ευρωπαϊκής Επιτροπής, Γενική ιεύθυνση ικαιοσύνης, Ελευθερίας και Ασφάλειας, B-1049 Bρυξέλλες, Βέλγιο, γραφείο LX-46 01/43 ικτυακός τόπος: www.europa.eu.int/comm/privacy

Οµάδα Εργασίας του άρθρου 29 για την προστασία των δεδοµένων Η ΟΜΑ Α ΕΡΓΑΣΙΑΣ ΓΙΑ ΤΗΝ ΠΡΟΣΤΑΣΙΑ ΤΩΝ ΦΥΣΙΚΩΝ ΠΡΟΣΩΠΩΝ ΕΝΑΝΤΙ ΤΗΣ ΕΠΕΞΕΡΓΑΣΙΑΣ Ε ΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ, η οποία συστάθηκε δυνάµει της Οδηγίας 95/46/EΚ του Ευρωπαϊκού Κοινοβουλίου και του Συµβουλίου της 24 ης Οκτωβρίου 1995, Έχοντας υπόψη: το άρθρο 29, το άρθρο 30 παράγραφος 1 στοιχείο γ) και το άρθρο 30 παράγραφος 3 της ανωτέρω Οδηγίας, καθώς και το άρθρο 15 παράγραφος 3 της Οδηγίας 2002/58/EΚ του Ευρωπαϊκού Κοινοβουλίου και του Συµβουλίου, της 12 ης Ιουλίου 2002, τον κανονισµό λειτουργίας της, ιδίως δε τα άρθρα 12 και 14, Εξέδωσε την ακόλουθη γνώµη: Η Οµάδα Εργασίας επισηµαίνει ότι τα θέµατα που αφορούν τη χρήση δεδοµένων θέσης είναι πολύ επίκαιρα. Τα δεδοµένα αυτά ορίζονται ως «τα δεδοµένα που υποβάλλονται σε επεξεργασία σε δίκτυο ηλεκτρονικών επικοινωνιών και που υποδεικνύουν την γεωγραφική θέση του τερµατικού εξοπλισµού του χρήστη µιας διαθέσιµης στο κοινό υπηρεσίας ηλεκτρονικών επικοινωνιών» (άρθρο 2 της Οδηγίας 2002/58/EΚ σχετικά µε την επεξεργασία των δεδοµένων προσωπικού χαρακτήρα και την προστασία της ιδιωτικής ζωής στον τοµέα των ηλεκτρονικών επικοινωνιών). Ιστορικό και σκοπός: Κατά την τελευταία εικοσαετία σηµειώθηκε εντυπωσιακή αύξηση της χρήσης δεδοµένων θέσης σ αυτό συνέβαλαν δύο βασικοί παράγοντες. Ο πρώτος είναι η έκρηξη που σηµειώθηκε στη χρήση δορυφορικών δεδοµένων θέσης, τα οποία µπορούν σήµερα να είναι εξαιρετικά ακριβή και συχνά λίαν πολύτιµα, ιδίως για την αρωγή ατόµων που βρίσκονται σε κατάσταση έκτακτης ανάγκης. 1 Τα συστήµατα αυτά είναι, ωστόσο, διαθέσιµα µόνο σε όσους είναι εξοπλισµένοι µε τα κατάλληλα τερµατικά. Ο δεύτερος παράγοντας είναι η άνευ προηγουµένου εξάπλωση της κινητής τηλεφωνίας, στο πλαίσιο της οποίας κάθε χρήστης µεταφέρει συνεχώς µαζί του µια συσκευή µέσω της οποίας µπορεί δυνητικά να εντοπισθεί. Σε γενικές γραµµές, υπάρχουν πολλοί τρόποι εντοπισµού της θέσης των ατόµων, καταρχήν µε τα "ίχνη» που αφήνουν όταν χρησιµοποιούν νέες τεχνολογίες: αυτόµατες µηχανές 1 Η δορυφορική γεωγραφική θέση παρέχεται επί του παρόντος µόνο από το σύστηµα GPS (Global Positioning System-Παγκόσµιο Σύστηµα Εντοπισµού Θέσης) το οποίο ανέπτυξε ο στρατός των ΗΠΑ, και τα αποτελέσµατα του οποίου έχουν διατεθεί και για µη στρατιωτικές χρήσεις, και ιδίως για θαλάσσια πλοήγηση. Τα δεδοµένα θέσης υπολογίζονται µέσω ενός τριγωνοµετρικού σηµείου και παρέχονται απευθείας στο άτοµο που διαθέτει δέκτη GPS. Εν συνεχεία µπορούν να αποσταλούν σε τρίτο µέρος µέσω δικτύου ηλεκτρονικής επικοινωνίας (συνδυασµός GPS/GSM).

εισιτηρίων στον τοµέα των µεταφορών, GPS, τραπεζικές κάρτες ή ηλεκτρονικά πορτοφόλια, ή, στην υπό αναφορά περίπτωση, κινητά τηλέφωνα. Αρχικά, τα δεδοµένα θέσης εκλαµβάνονταν ως καθαρά τεχνικά δεδοµένα απαραίτητα για την πραγµατοποίηση ή τη λήψη κλήσης από κινητό τηλέφωνο και διαθέσιµα µόνο σε φορείς εκµετάλλευσης ηλεκτρονικών επικοινωνιών. Ο όρος "δεδοµένα κίνησης" χρησιµοποιείται γι αυτή την περίπτωση. Τα εν λόγω δεδοµένα προκύπτουν απλώς από τη χρήση µιας δεδοµένης τεχνολογίας και δεν διαφέρουν από άλλα "ίχνη" που δηµιουργούνται κάθε µέρα. Παρά ταύτα, τα δεδοµένα θέσης άρχισαν γρήγορα να θεωρούνται δυνητική πηγή εσόδων, στο µέτρο που παρέχουν βασικές πληροφορίες για ένα άτοµο (εν συντοµία, ποιος είναι πού). Με βάση τα δεδοµένα αυτά, οι επιχειρήσεις έχουν αναπτύξει ένα ευρύ φάσµα υπηρεσιών. Οι πρώτες συναφείς υπηρεσίες παρείχαν πληροφορίες σε ιδιώτες, για παράδειγµα σχετικά µε το πλησιέστερο, στη θέση που βρίσκονταν, φαρµακείο ή εστιατόριο. Εν συνεχεία, οι υπηρεσίες που βασίζονταν στην εφάπαξ χρήση των δεδοµένων θέσης (που παρέχουν δηλ. πληροφορίες σε µια δεδοµένη χρονική στιγµή) συµπληρώθηκαν µε υπηρεσίες που βασίζονται στη συνεχή χρήση των δεδοµένων (αρωγή πλοήγησης). Η πρώτη αυτή φάση έχει πλέον οδηγήσει σε µια δεύτερη, µε την ανάπτυξη υπηρεσιών που δεν βασίζονται πλέον στον εντοπισµό ατόµων κατόπιν δικού τους αιτήµατος (χρήστες που επιθυµούν να κάνουν χρήση µιας υπηρεσίας), αλλά στον εντοπισµό τους κατόπιν αιτήµατος κάποιου τρίτου. Οι υπηρεσίες εντοπισµού και αναζήτησης έχουν εξελιχθεί, όπου τα άτοµα µπορούν να εντοπισθούν µέσω των κινητών τους τηλεφώνων ακόµη και αν δεν τα χρησιµοποιούν, µε την προϋπόθεση ότι είναι ανοικτά. Συνεπώς το κύριο ζήτηµα όσον αφορά την επεξεργασία δεδοµένων θέσης δεν είναι πλέον η αποθήκευση (κυρίως: µε ποιους όρους θα πρέπει να αποθηκεύονται τα δεδοµένα θέσης από τους φορείς εκµετάλλευσης ηλεκτρονικών επικοινωνιών), αλλά η χρήση (δηλ. πώς µπορούµε να εξασφαλίσουµε ότι τα δεδοµένα χρησιµοποιούνται για την παροχή υπηρεσιών προστιθέµενης αξίας σύµφωνα µε τις αρχές που εφαρµόζονται στην επεξεργασία δεδοµένων προσωπικού χαρακτήρα). Νοµικό πλαίσιο: Εφόσον τα δεδοµένα θέσης σχετίζονται πάντοτε µε ένα ήδη εντοπισθέν ή υπό εντοπισµό φυσικό πρόσωπο, υπόκεινται στις διατάξεις που διέπουν την προστασία των δεδοµένων προσωπικού χαρακτήρα σύµφωνα µε την Οδηγία 95/46/EΚ της 24 ης Οκτωβρίου 1995. εδοµένου ότι η επεξεργασία των δεδοµένων αυτών αποτελεί ιδιαίτερα ευαίσθητο θέµα που άπτεται του θεµελιώδους ζητήµατος της ελευθερίας της ανώνυµης µετακίνησης, ο Ευρωπαίος νοµοθέτης, λαµβάνοντας υπόψη τις εκτιµήσεις των ευρωπαϊκών αρχών προστασίας δεδοµένων, υιοθέτησε ειδικούς κανόνες οι οποίοι απαιτούν να λαµβάνεται η συγκατάθεση των χρηστών ή των συνδροµητών πριν από την επεξεργασία των δεδοµένων θέσης που απαιτούνται για την παροχή υπηρεσίας προστιθέµενης αξίας, καθώς και να ενηµερώνονται οι χρήστες ή οι συνδροµητές σχετικά µε τους όρους επεξεργασίας (άρθρο 9 της Οδηγίας 2002/58/EΚ, της 12 ης Ιουλίου 2002). Το άρθρο 2 της Οδηγίας 2002/58/EΚ ορίζει τα δεδοµένα κίνησης ως «τα δεδοµένα που υποβάλλονται σε επεξεργασία για τους σκοπούς της διαβίβασης µιας επικοινωνίας σε δίκτυο ηλεκτρονικών επικοινωνιών ή της χρέωσής της» και τα δεδοµένα θέσης ως «τα δεδοµένα που υποβάλλονται σε επεξεργασία σε δίκτυο ηλεκτρονικών επικοινωνιών και που υποδεικνύουν τη 3

γεωγραφική θέση του τερµατικού εξοπλισµού του χρήστη µιας διαθέσιµης στο κοινό υπηρεσίας ηλεκτρονικών επικοινωνιών». Παρά το γεγονός ότι οι δύο ανωτέρω Οδηγίες θεσπίζουν ένα ικανοποιητικό πλαίσιο επεξεργασίας των δεδοµένων θέσης, η Οµάδα Εργασίας επιθυµεί να αποσαφηνίσει τον τρόπο µε τον οποίο θα πρέπει να εφαρµόζονται ορισµένες από τις διατάξεις τους και να τονίσει συγκεκριµένες πτυχές ορισµένων από τις παρεχόµενες υπηρεσίες. Η παρούσα γνωµοδότηση δεν αναφέρεται στους όρους που διέπουν την επεξεργασία δεδοµένων θέσης σύµφωνα µε το άρθρο 13 της Οδηγίας 95/46/EΚ και το άρθρο 15 της Οδηγίας 2002/58/EΚ, ήτοι την περίπτωση κατά την οποία η υποβολή των δεδοµένων θέσης σε επεξεργασία γίνεται, κατά παρέκκλιση των αρχών που θεσπίζουν οι ανωτέρω Οδηγίες, ως αναγκαίο, κατάλληλο και ανάλογο µέτρο εντός µιας δηµοκρατικής κοινωνίας για λόγους ασφάλειας του κράτους, εθνικής άµυνας, δηµόσιας ασφάλειας και για την πρόληψη, τη διερεύνηση, τη διαπίστωση και τη δίωξη ποινικών αδικηµάτων. Επειδή πρόκειται για πολύ σηµαντικό θέµα, η Οµάδα Εργασίας έχει ήδη επανειληµµένα διατυπώσει επ αυτού τις απόψεις της. 2 1. Γενικοί όροι που διέπουν τη χρήση δεδοµένων θέσης µε σκοπό την παροχή υπηρεσιών προστιθέµενης αξίας Η Οµάδα Εργασίας τονίζει ότι, κατά την επεξεργασία δεδοµένων προσωπικού χαρακτήρα, τα µέρη τα οποία εµπλέκονται στην παροχή υπηρεσίας προστιθέµενης αξίας βασιζόµενης στη χρήση δεδοµένων θέσης, είτε πρόκειται για φορείς εκµετάλλευσης ηλεκτρονικών επικοινωνιών οι οποίοι επεξεργάζονται δεδοµένα θέσης είτε για τρίτα µέρη τα οποία παρέχουν την υπηρεσία προστιθέµενης αξίας βασιζόµενα σε δεδοµένα θέσης που τους αποστέλλουν οι φορείς εκµετάλλευσης, πρέπει να τηρούν τις υποχρεώσεις τους βάσει της νοµοθεσίας για την προστασία των δεδοµένων προσωπικού χαρακτήρα. 1.1 Η εφαρµοστέα εθνική νοµοθεσία Η Οµάδα Εργασίας διαπιστώνει την ανάπτυξη υπηρεσιών προστιθέµενης αξίας οι οποίες βασίζονται στην επεξεργασία δεδοµένων θέσης από υπηρεσίες ηλεκτρονικών επικοινωνιών, αλλά παρέχονται από εταιρείες (για παράδειγµα µέσω ενός δικτυακού τόπου) που δεν είναι εγκατεστηµένες στο έδαφος του προσώπου τα δεδοµένα του οποίου χρησιµοποιούνται. 2 Βλ. Σύσταση 2/99 σχετικά µε το σεβασµό της ιδιωτικής ζωής στα πλαίσια της παρακολούθησης των τηλεπικοινωνιών Γνώµη 7/2000 σχετικά µε την πρόταση της Ευρωπαϊκής Επιτροπής για µια οδηγία του Ευρωπαϊκού Κοινοβουλίου και του Συµβουλίου αναφορικά µε την επεξεργασία δεδοµένων προσωπικού χαρακτήρα και την προστασία της ιδιωτικής ζωής στον τοµέα των ηλεκτρονικών επικοινωνιών, της 12 ης Ιουλίου 2000 COM(2000) 385 Γνώµη 4/2001 σχετικά µε το σχέδιο Σύµβασης του Συµβουλίου της Ευρώπης για το κυβερνοέγκληµα Γνώµη 10/2001 σχετικά µε την ανάγκη υιοθέτησης µιας ισορροπηµένης προσέγγισης για την καταπολέµηση της τροµοκρατίας Γνώµη 5/2002 σχετικά µε τη δήλωση των Ευρωπαίων Επιτρόπων Προστασίας εδοµένων κατά τη διεθνή διάσκεψη του Κάρντιφ (9-11 Σεπτεµβρίου 2002) για την υποχρεωτική συστηµατική τήρηση των δεδοµένων κίνησης στον τοµέα των τηλεπικοινωνιών Γνώµη 1/2003 σχετικά µε την αποθήκευση των δεδοµένων κίνησης για σκοπούς χρέωσης των συνδροµητών και Γνώµη 9/2004 σχετικά µε σχέδιο απόφασης-πλαισίου για την αποθήκευση δεδοµένων που έχουν υποβληθεί σε επεξεργασία και έχουν διατηρηθεί µε σκοπό την παροχή υπηρεσιών ηλεκτρονικών δηµόσιων επικοινωνιών ή δεδοµένων διαθέσιµων σε δηµόσια δίκτυα επικοινωνιών, µε στόχο την πρόληψη, τη διερεύνηση, τη διαπίστωση και τη δίωξη ποινικών αδικηµάτων, περιλαµβανοµένης της τροµοκρατίας. [Πρόταση που υπέβαλαν η Γαλλία, η Ιρλανδία, η Σουηδία και η Μεγάλη Βρετανία (έγγραφο του Συµβουλίου 8958/04 της 28 ης Απριλίου 2004)]. 4

Σύµφωνα µε το άρθρο 3 της Οδηγίας 2002/58/EΚ, η Οδηγία αυτή εφαρµόζεται στην επεξεργασία δεδοµένων προσωπικού χαρακτήρα στα πλαίσια της παροχής διαθέσιµων στο κοινό υπηρεσιών επικοινωνιών σε δηµόσια δίκτυα ηλεκτρονικής επικοινωνίας στην Κοινότητα. Βάσει του άρθρου 4 της Οδηγίας 95/46/EΚ, το εφαρµοστέο εθνικό δίκαιο είναι εκείνο του κράτους µέλους στο οποίο είναι εγκατεστηµένος ο υπεύθυνος επεξεργασίας. Η τελευταία αυτή διάταξη σηµαίνει ότι, εντός της Κοινότητας, η επεξεργασία των δεδοµένων θέσης υπόκειται στο εθνικό δίκαιο του κράτους µέλους στο οποίο είναι εγκατεστηµένος ο υπεύθυνος επεξεργασίας των δεδοµένων και όχι του κράτους µέλους την υπηκοότητα του οποίου έχει το πρόσωπο στο οποίο αναφέρονται τα δεδοµένα. Όταν ο υπεύθυνος επεξεργασίας δεδοµένων (ο πάροχος της υπηρεσίας προστιθέµενης αξίας) δεν είναι εγκατεστηµένος σε κράτος µέλος, τα δεδοµένα θέσης είναι δυνατό να διαβιβασθούν στον υπεύθυνο επεξεργασίας από το φορέα εκµετάλλευσης ηλεκτρονικών επικοινωνιών µόνο βάσει των όρων που θεσπίζονται στο κεφάλαιο IV της Οδηγίας 95/46/EΚ σχετικά µε τη διαβίβαση δεδοµένων προσωπικού χαρακτήρα σε τρίτες χώρες. Στους όρους αυτούς περιλαµβάνεται η απαίτηση να κρίνει η Ευρωπαϊκή Επιτροπή επαρκή τη νοµοθεσία προστασίας δεδοµένων της τρίτης χώρας ή άλλως η διαβίβαση να βασίζεται σε άλλους λόγους που να τη δικαιολογούν ειδικότερα, τη συγκατάθεση του προσώπου στο οποίο αναφέρονται τα δεδοµένα, την ύπαρξη σύµβασης συναφθείσας προς το συµφέρον του ατόµου αυτού, την ύπαρξη ανώτερου δηµόσιου συµφέροντος, τη διατύπωση ή υπεράσπιση αξίωσης κατόπιν δικαστικής εντολής, ή την ανάγκη διασφάλισης των ζωτικών συµφερόντων του προσώπου στο οποίο αναφέρονται τα δεδοµένα. 1.2 Ενηµέρωση των προσώπων στα οποία αναφέρονται τα δεδοµένα Η Οµάδα Εργασίας τονίζει ότι οι Οδηγίες 95/46/EΚ (άρθρο10) και 2002/58/EΚ(άρθρα 6 και 9) απαιτούν να ενηµερώνονται τα πρόσωπα στα οποία αναφέρονται τα υπό επεξεργασία δεδοµένα θέσης σχετικά µε: - την ταυτότητα του υπεύθυνου επεξεργασίας και, κατά περίπτωση, του αντιπροσώπου του - τους σκοπούς της επεξεργασίας, - το είδος των δεδοµένων θέσης τα οποία θα υποβληθούν σε επεξεργασία - τη διάρκεια της επεξεργασίας - εάν τα δεδοµένα θα διαβιβαστούν σε τρίτο µέρος µε σκοπό την παροχή υπηρεσίας προστιθέµενης αξίας - το δικαίωµα πρόσβασης στα δεδοµένα και το δικαίωµα διόρθωσης των δεδοµένων - το δικαίωµα των χρηστών να αποσύρουν ανά πάσα στιγµή της συγκατάθεσή τους ή να αρνηθούν προσωρινά την επεξεργασία των δεδοµένων, καθώς και τους όρους βάσει των οποίων µπορεί να ασκηθεί το δικαίωµα αυτό - το δικαίωµα απάλειψης των δεδοµένων. Η Οµάδα Εργασίας εκτιµά ότι οι πληροφορίες αυτές θα πρέπει να παρέχονται από το µέρος το οποίο συλλέγει τα προς επεξεργασία δεδοµένα θέσης, δηλαδή από τον πάροχο της υπηρεσίας προστιθέµενης αξίας ή, όταν ο πάροχος δεν έχει άµεση επαφή µε το πρόσωπο στο οποίο αναφέρονται τα δεδοµένα, από το φορέα εκµετάλλευσης των ηλεκτρονικών επικοινωνιών. 5

Οι πληροφορίες µπορούν να παρέχονται είτε στους γενικούς όρους για την παροχή της υπηρεσίας προστιθέµενης αξίας ή απευθείας κάθε φορά που χρησιµοποιείται η υπηρεσία. Λόγω του λίαν ευαίσθητου χαρακτήρα της επεξεργασίας δεδοµένων θέσης, η οµάδα εργασίας εφιστά την προσοχή των παρόχων υπηρεσιών στην ανάγκη να παρέχουν σαφείς, πλήρεις και περιεκτικές πληροφορίες όσον αφορά τα χαρακτηριστικά της παρεχόµενης υπηρεσίας. Σε περίπτωση που οι πληροφορίες περιλαµβάνονται στους γενικούς όρους για παροχή της υπηρεσίας, η οµάδα εργασίας συνιστά να δίνει ο πάροχος της υπηρεσίας στα ενδιαφερόµενα άτοµα την ευκαιρία να συµβουλεύονται ανά πάσα στιγµή εκ νέου τις πληροφορίες µέσω µιας απλής µεθόδου, όπως π.χ. µέσω ενός δικτυακού τόπου ή κατά τη χρήση της υπηρεσίας (π.χ. καλώντας έναν ειδικό αριθµό). 1.3 Συγκατάθεση Λήψη συγκατάθεσης Σύµφωνα µε την πάγια πρακτική που ακολουθείται για την προστασία των δεδοµένων προσωπικού χαρακτήρα όσον αφορά την επεξεργασία ευαίσθητων δεδοµένων, η ευρωπαϊκή νοµοθεσία απαιτεί την προηγούµενη συγκατάθεση του ενδιαφερόµενου για την επεξεργασία δεδοµένων θέσης πλην των δεδοµένων κίνησης. Ως εκ τούτου, η Οµάδα Εργασίας επιθυµεί να αποσαφηνίσει τους όρους που διέπουν τη λήψη της συγκατάθεσης. Το άρθρο 2 στοιχείο η) της Οδηγίας 95/46/EΚ ορίζει ως συγκατάθεση του προσώπου στο οποίο αναφέρονται τα δεδοµένα «κάθε δήλωση βουλήσεως, ελευθέρας, ρητής και εν πλήρη επιγνώσει, µε την οποία το πρόσωπο στο οποίο αναφέρονται τα δεδοµένα δέχεται να αποτελέσουν αντικείµενο επεξεργασίας τα δεδοµένα προσωπικού χαρακτήρα που το αφορούν». Ο ανωτέρω ορισµός αποκλείει ρητά την παροχή συγκατάθεσης ως µέρος της αποδοχής των γενικών αρχών παροχής της προσφερόµενης υπηρεσίας ηλεκτρονικών επικοινωνιών. Στο πλαίσιο αυτό, µπορεί να γίνει µνεία στη διευκρίνιση που έδωσε η Οµάδα Εργασίας του άρθρου 29 στη γνώµη της αριθ. 5/2004 για τις αυτόκλητες κλήσεις µε σκοπό την εµπορική προώθηση που έχει ιδιαίτερη συνάφεια µε το θέµα. Εντούτοις, ανάλογα µε το είδος της παρεχόµενης υπηρεσίας, η συγκατάθεση µπορεί να σχετίζεται µε συγκεκριµένη πράξη ή να συνιστά συµφωνία για εντοπισµό σε συνεχή βάση. Η παροχή υπηρεσίας που απαιτεί τον αυτόµατο εντοπισµό της θέσης ενός προσώπου (π.χ. η δυνατότητα κλήσης ειδικού αριθµού για τη λήψη πληροφοριών σχετικά µε τις µετεωρολογικές συνθήκες που επικρατούν στο σηµείο που βρίσκεται το άτοµο) είναι αποδεκτή µε την προϋπόθεση ότι οι χρήστες έχουν εκ των προτέρων ενηµερωθεί πλήρως σχετικά µε την επεξεργασία των δεδοµένων θέσης τους. Στην περίπτωση αυτή, η κλήση του σχετικού αριθµού ισοδυναµεί µε συγκατάθεση εντοπισµού θέσης. Οργανισµοί οι οποίοι υποχρεούνται να λαµβάνουν τη συγκατάθεση των προσώπων στα οποία αναφέρονται τα δεδοµένα 6

Η υπηρεσία προστιθέµενης αξίας που βασίζεται σε δεδοµένα θέσης µπορεί να παρέχεται είτε απευθείας µέσω του φορέα εκµετάλλευσης ηλεκτρονικών επικοινωνιών (το ενδιαφερόµενο άτοµο επικοινωνεί µε το φορέα, ο οποίος εν συνεχεία παρέχει την υπηρεσία βάσει των δεδοµένων θέσης που λαµβάνει από το σύστηµά του) ή µέσω τρίτου µέρους (το ενδιαφερόµενο άτοµο επικοινωνεί µε τρίτο µέρος, το οποίο εν συνεχεία παρέχει την υπηρεσία βάσει των δεδοµένων θέσης που λαµβάνει από το φορέα εκµετάλλευσης). Στη δεύτερη περίπτωση, ο πάροχος της υπηρεσίας είναι εκείνος ο οποίος πρέπει να λάβει τη συγκατάθεση του προσώπου στο οποίο αναφέρονται τα δεδοµένα. Αυτό, εκτός από τις περιπτώσεις κατά τις οποίες τα δεδοµένα θέσης παράγονται από τον ίδιο τον τερµατικό εξοπλισµό, απαιτεί τη συστηµατική αποστολή δεδοµένων θέσης εκ µέρους των φορέων εκµετάλλευσης σχετικά µε το πρόσωπο του οποίου έχει εξακριβωθεί η ταυτότητα (το πρόσωπο το οποίο επικοινώνησε µε το τρίτο µέρος για να χρησιµοποιήσει την υπηρεσία) σε τρίτο µέρος κατόπιν αιτήµατος του τελευταίου. Λόγω της αύξησης του αριθµού των παρόχων υπηρεσιών, η Οµάδα Εργασίας επισηµαίνει ότι θα µπορούσε να επιτευχθεί υψηλός βαθµός προστασίας κατά την επεξεργασία προσωπικών δεδοµένων θέσης εάν οι φορείς εκµετάλλευσης συγκέντρωναν τις αιτήσεις για τη χρήση µιας υπηρεσίας προστιθέµενης αξίας που βασίζεται σε δεδοµένα θέσης (πελάτες οι οποίοι καλούν έναν αριθµό τον οποίο διαχειρίζεται ο φορέας εκµετάλλευσης) και τις µετέφεραν στους τρίτους που είναι υπεύθυνοι για την παροχή της υπηρεσίας αυτής, έτσι ώστε ο πάροχος της υπηρεσίας να µην µπορεί να εξακριβώσει την ταυτότητα του πελάτη (π.χ. µε τη χρήση ετερωνυµίας 3 ). Με τη ρύθµιση αυτή, ο πάροχος της υπηρεσίας δύναται να παρέχει τη ζητούµενη υπηρεσία (π.χ. το όνοµα του πλησιέστερου εστιατορίου) µέσω του φορέα εκµετάλλευσης χωρίς να µπορεί να εξακριβώσει την ταυτότητα του προσώπου το οποίο ζητεί την υπηρεσία. Η Οµάδα Εργασίας τονίζει ότι και το τερµατικό του τελικού χρήστη θα µπορούσε να παρέχει υψηλό βαθµό προστασίας λόγω της ενσωµατωµένης ικανότητάς του για εντοπισµό θέσης. Τα δεδοµένα θέσης µπορούν εν συνεχεία να υποβάλλονται σε επεξεργασία από ένα σύστηµα διαχείρισης ταυτότητας (Identity management System) που θα παρέχει ψευδώνυµα σε πολλούς παρόχους υπηρεσιών. Ως εναλλακτική λύση και λόγω του σταθερά αυξανόµενου κινητού εύρους ζώνης και των αποθηκευτικών ικανοτήτων, η συσκευή του τελικού χρήστη θα µπορούσε, για παράδειγµα, να φορτώνει ολόκληρο τον κατάλογο των εστιατορίων µιας πόλης και να προβαίνει σε τοπική αναζήτηση στον κατάλογο αυτόν χρησιµοποιώντας όχι µόνο τα δεδοµένα θέσης, αλλά και τις προτιµήσεις του χρήστη (γαλλική κουζίνα, χορτοφαγικό µενού κλπ). Με τα παραδείγµατα αυτά, η Οµάδα Εργασίας υπογραµµίζει την ανάγκη να εκλαµβάνονται οι τεχνολογίες για τη βελτίωση της προστασίας της ιδιωτικής ζωής (Privacy Enhancing Technologies) ως αποτελεσµατικά και συµπληρωµατικά στοιχεία στην παροχή υψηλού και ικανοποιητικού επιπέδου προστασίας προς τους χρήστες των υπηρεσιών γεωγραφικού εντοπισµού θέσης. Σε κάθε περίπτωση, η Οµάδα Εργασίας εφιστά την προσοχή των φορέων εκµετάλλευσης στην ανάγκη θέσπισης αποτελεσµατικών µέτρων για την επαλήθευση και επικύρωση των αιτηµάτων για πρόσβαση σε δεδοµένα θέσης που υποβάλλονται από τρίτους οι οποίοι παρέχουν υπηρεσίες προστιθέµενης αξίας. 3 Με τον όρο «ετερωνυµία» εννοούµε τα τεχνικά δεδοµένα τα οποία επιτρέπουν στον πάροχο υπηρεσίας να παρέχει την υπηρεσία που αντιστοιχεί στα δεδοµένα θέσης ενός ατόµου χωρίς να είναι σε θέση να εξακριβώσει την ταυτότητα του προσώπου ο φορέας εκµετάλλευσης είναι ο µόνος που µπορεί να συνδέσει το ψευδώνυµο µε το άτοµο. 7

Μέτρα που εξασφαλίζουν την εγκυρότητα της συγκατάθεσης Η Οµάδα Εργασίας εκτιµά ότι οι πάροχοι υπηρεσιών προστιθέµενης αξίας πρέπει, κατά τη λήψη της συγκατάθεσης, να λαµβάνουν τα κατάλληλα µέτρα ώστε να διασφαλίζουν ότι το πρόσωπο στο οποίο αναφέρονται τα δεδοµένα θέσης είναι το ίδιο µε εκείνο που παρέχει τη συγκατάθεση. Κατά το χρόνο που λαµβάνει χώρα η επεξεργασία των δεδοµένων θέσης (π.χ. υπηρεσίες του είδους Βρες ένα φίλο), ο πάροχος της υπηρεσίας πρέπει: - να επικυρώνει την εγγραφή στην υπηρεσία µετά τη λήψη της συγκατάθεσης µέσω της αποστολής µηνύµατος στον τερµατικό εξοπλισµό του χρήστη, και - να ζητεί, εν ανάγκη, επικύρωση της εγγραφής. Τα παραπάνω είναι αναγκαία για να αποφεύγονται περιπτώσεις δόλιας εγγραφής εν αγνοία του ενδιαφερόµενου (λ.χ. προσωρινή αφαίρεση του τερµατικού εξοπλισµού ενός προσώπου µε σκοπό την εγγραφή του στην υπηρεσία). Το πρόσωπο από το οποίο ζητείται συγκατάθεση Το άρθρο 6 και το άρθρο 9 της Οδηγίας 2002/58/EΚ αναφέρεται στη συγκατάθεση του χρήστη ή του συνδροµητή. Η Οµάδα Εργασίας θεωρεί ότι, όταν µια υπηρεσία παρέχεται σε ιδιώτες, η συγκατάθεση πρέπει να λαµβάνεται από το πρόσωπο στο οποίο αναφέρονται τα δεδοµένα, ήτοι το χρήστη του τερµατικού εξοπλισµού. 1.4 Άσκηση του δικαιώµατος ανάκλησης Σύµφωνα µε το άρθρο 9 της Οδηγίας 2002/58/EΚ, τα άτοµα που έχουν δώσει τη συγκατάθεσή τους για την επεξεργασία δεδοµένων θέσης, πλην των δεδοµένων κίνησης, µπορούν να ανακαλούν οποτεδήποτε τη συγκατάθεσή τους και πρέπει να έχουν τη δυνατότητα, µε απλά µέσα και ατελώς, να αρνούνται προσωρινά την επεξεργασία των εν λόγω δεδοµένων. Λόγω του ευαίσθητου χαρακτήρα των δεδοµένων θέσης, η Οµάδα Εργασίας θεωρεί ουσιώδη τα δικαιώµατα αυτά, τα οποία θα µπορούσαν να εκληφθούν ως υλοποίηση του δικαιώµατος αντίταξης στην επεξεργασία δεδοµένων θέσης. Η Οµάδα Εργασίας θεωρεί την ενηµέρωση των ατόµων αναγκαία προϋπόθεση για την άσκηση των δικαιωµάτων αυτών, όχι µόνον όταν εγγράφονται σε µια υπηρεσία αλλά και όταν τη χρησιµοποιούν. Όταν η υπηρεσία απαιτεί διαρκή επεξεργασία των δεδοµένων θέσης, η Οµάδα Εργασίας θεωρεί ότι ο πάροχος της υπηρεσίας θα πρέπει να υπενθυµίζει τακτικά στον ενδιαφερόµενο ότι ο τερµατικός εξοπλισµός του πρόκειται να, µπορεί να ή έχει ήδη εντοπισθεί. Τούτο θα επιτρέψει στο πρόσωπο αυτό να ασκήσει, εφόσον το επιθυµεί, το δικαίωµα ανάκλησης σύµφωνα µε το άρθρο 9 της Οδηγίας 2002/58/EΚ. 1.5 Χρόνος αποθήκευσης δεδοµένων Τα δεδοµένα θέσης µπορούν να υποβάλλονται σε επεξεργασία µόνο «για την απαιτούµενη διάρκεια για την παροχή µας υπηρεσίας προστιθέµενης αξίας» (άρθρο 9 παράγραφος 1 της Οδηγίας 2002/58/EΚ). 8

Τούτο σηµαίνει ότι, µετά την παροχή της υπηρεσίας, ο πάροχος δεν δύναται καταρχήν να αποθηκεύει τα δεδοµένα θέσης των χρηστών, εκτός εάν αυτά θεωρούνται αναγκαία για τη χρέωση και την πληρωµή της διασύνδεσης. 4 Σε περίπτωση που οι πάροχοι των υπηρεσιών επιθυµούν να τηρούν αρχείο των θέσεων των χρηστών της υπηρεσίας τους, πρέπει πρώτα να καθιστούν τα δεδοµένα ανώνυµα. 1.6 Μέτρα ασφάλειας και διαβίβαση σε τρίτους Η Οµάδα Εργασίας εφιστά την προσοχή των φορέων ηλεκτρονικών επικοινωνιών και των παρόχων υπηρεσιών προστιθέµενης αξίας που βασίζονται στην επεξεργασία δεδοµένων θέσης στην ανάγκη θέσπισης µέτρων ασφάλειας που θα διασφαλίζουν το απόρρητο και την αρτιότητα των δεδοµένων θέσης τα οποία υποβάλλονται σε επεξεργασία. Σύµφωνα µε το άρθρο 9 παράγραφος 3 της Οδηγίας 2002/58/EΚ, τα δεδοµένα θέσης τα οποία υποβάλλονται σε επεξεργασία για την παροχή υπηρεσίας προστιθέµενης αξίας δεν µπορούν να διαβιβάζονται σε τρίτους πέραν εκείνων που παρέχουν την υπηρεσία προστιθέµενης αξίας. Μόνο πρόσωπα τα οποία ενεργούν υπό την εποπτεία του τρίτου µέρους το οποίο παρέχει την υπηρεσία προστιθέµενης αξίας µπορούν να επεξεργάζονται τα δεδοµένα στο βαθµό και για τη διάρκεια που απαιτείται για την παροχή της υπηρεσίας. Κάθε πρόσβαση των ατόµων αυτών στα δεδοµένα θέσης θα πρέπει επίσης να καταγράφεται. 2. Προϋποθέσεις εκτέλεσης ορισµένων υπηρεσιών εντοπισµού θέσης µε γνώµονα το σκοπό τους Οι υπηρεσίες εντοπισµού θέσης πρέπει να συνάδουν µε τις ειδικές διατάξεις της Οδηγίας 2002/58/EΚ επειδή χρησιµοποιούν δεδοµένα προσωπικού χαρακτήρα πρέπει επίσης να πληρούν τις απαιτήσεις του άρθρου 6 της Οδηγίας 95/46/EΚ, το οποίο ορίζει ότι τα δεδοµένα προσωπικού χαρακτήρα πρέπει να χρησιµοποιούνται µόνο «για καθορισµένους, σαφείς και νόµιµους σκοπούς». Η Οµάδα Εργασίας θα ήθελε συνεπώς να εξετάσει τους όρους βάσει των οποίων µπορούν να εκτελούνται ορισµένες υπηρεσίες εντοπισµού θέσης, µε γνώµονα ιδίως το σκοπό τους. 2.1 Εντοπισµός θέσης ανηλίκων Η Οµάδα Εργασίας διαπιστώνει την ανάπτυξη υπηρεσιών εντοπισµού θέσης που είναι ειδικά σχεδιασµένες για γονείς και τους επιτρέπουν να συνδέονται, για παράδειγµα, µε ένα δικτυακό τόπο ώστε να εξακριβώνουν τη θέση στην οποία βρίσκονται τα παιδιά τους, στα οποία έχουν δώσει ένα κινητό τηλέφωνο. Αυτό το είδος υπηρεσίας εγείρει ορισµένα προβλήµατα, που σχετίζονται κυρίως µε την ανάγκη επίτευξης ισορροπίας µεταξύ των διαφόρων συµφερόντων και δικαιωµάτων τα οποία διακυβεύονται. Μια υπηρεσία µε την οποία µπορούν να εντοπίζονται τα παιδιά µέσω κινητού τηλεφώνου ενδέχεται να ανταποκρίνεται ικανοποιητικά στις επιθυµίες ορισµένων γονέων. Ορισµένοι γονείς «καθησυχάζουν» όταν έχουν ανά πάσα στιγµή τη δυνατότητα να εντοπίζουν τη θέση των παιδιών τους χωρίς να πρέπει να τα καλούν απευθείας. Οι αιτίες που 4 Η Οµάδα Εργασίας παραπέµπει σχετικά στις συστάσεις της για την αποθήκευση των δεδοµένων κίνησης για σκοπούς χρέωσης των συνδροµητών (γνώµη 1/2003 της 29ης Ιανουαρίου 2003). 9

τους οδηγούν στην επιλογή αυτή είναι, µεταξύ άλλων: η παρουσίαση στα ΜΜΕ εγκληµατικών υποθέσεων στις οποίες εµπλέκονται παιδιά, η ανάγκη παρακολούθησης παιδιών προσβεβληµένων από σοβαρές ασθένειες ή η εµφάνιση ενός όλο και πιο «νοµαδικού» τρόπου ζωής. Αυτή η νέα χρήση του κινητού τηλεφώνου προς όφελος και, δαπάναις, των γονέων µπορεί να θεωρηθεί ένα είδος οικογενειακού «συµβολαίου» βάσει του οποίου παρέχεται µεγαλύτερη ανεξαρτησία επικοινωνίας στο παιδί µε αντάλλαγµα τη δυνατότητα του γονέα να µπορεί να εντοπίζει πού βρίσκεται. Από την άποψη αυτή, οι εν λόγω υπηρεσίες ανταποκρίνονται ενδεχοµένως σε µια αναγνωρισµένη σύγχρονη «ανάγκη» και απηχούν την επιθυµία των παρόχων υπηρεσιών να εγκατασταθούν σε µια αγορά η οποία ενδέχεται να επεκταθεί και η οποία αποτελεί ένα καινούργιο παράδειγµα του τρόπου εµπορικής προώθησης των δυνατοτήτων που παρέχουν τα δεδοµένα θέσης. Θα µπορούσαµε, ωστόσο, να εξετάσουµε την υπηρεσία αυτή και από την άλλη πλευρά: όχι από τη πλευρά του γονέα, όσο κι αν είναι κατανοητή, αλλά από την πλευρά του παιδιού. Η Οµάδα Εργασίας υπενθυµίζει ότι τα άρθρα 3 και 18 της ιεθνούς Σύµβασης των ικαιωµάτων του Παιδιού αναφέρουν ότι «το βέλτιστο συµφέρον του παιδιού είναι η πρωταρχική µέριµνα» σε κάθε απόφαση που αφορά τα παιδιά. Στην υπό αναφορά περίπτωση, πρέπει επίσης να ληφθεί υπόψη, ότι το άρθρο 16 της Σύµβασης προβλέπει ότι «κανένα παιδί δεν µπορεί να αποτελέσει αντικείµενο αυθαίρετης παράνοµης επέµβασης στην ιδιωτική του ζωή, στην οικογένειά του, στην κατοικία του ή την αλληλογραφία του». Εγείρονται συνεπώς ερωτήµατα σχετικά µε τη χρήση µιας υπηρεσίας αυτού του είδους, η οποία ενδέχεται να διαταράξει τις οµαλές σχέσεις αµοιβαίας εµπιστοσύνης µεταξύ γονέων και παιδιών και να παρεµποδίσει τα παιδιά να αποκτήσουν την απαιτούµενη απόσταση από τους γονείς τους καθώς γίνονται πιο ανεξάρτητα. Εξάλλου, ένα τέτοιο σύστηµα, παρεκκλίνοντας από το σκοπό του, θα µπορούσε να έχει ως συνέπεια να αποποιηθούν ορισµένοι γονείς τις ευθύνες τους διατηρώντας την ψευδαίσθηση ότι ελέγχουν, ή τουλάχιστον παρακολουθούν, τις δραστηριότητες των παιδιών τους; Από κοινωνική άποψη, η ανάπτυξη ενός τέτοιου συστήµατος ενδεχοµένως θα συνέβαλε επίσης στην εξοικείωση των ατόµων από πολύ νεαρή ηλικία µε ένα ηµιµόνιµο τρόπο παρακολούθησης τον οποίο στο εξής δεν θα θεωρούν ούτε καν αδιάκριτο. Τέλος, υπάρχει ο κίνδυνος να δηµιουργηθεί στους γονείς η σύγχυση ότι γνωρίζοντας πού βρίσκεται το κινητό τηλέφωνο του παιδιού τους γνωρίζουν και τι κάνει πραγµατικά. Η Οµάδα Εργασίας καλεί εποµένως τουλάχιστον σε επαγρύπνηση όσον αφορά τη χρήση υπηρεσιών αυτού του είδους και τονίζει ότι οι υπηρεσίες αυτές θα πρέπει να εκτελούνται σύµφωνα µε τις διατάξεις που διέπουν την επεξεργασία των δεδοµένων θέσης και σύµφωνα µε την ειδική εθνική νοµοθεσία σχετικά µε την ηλικία των ανηλίκων στους οποίους αναφέρονται. Οι πάροχοι υπηρεσιών πρέπει επίσης να καθιερώσουν τις ενδεδειγµένες διαδικασίες για να εξακριβώνουν την ταυτότητα των προσώπων που εγγράφονται ως γονείς και για να περιορίζουν την πρόσβαση στην υπηρεσία µόνο στα πρόσωπα αυτά. Τίθεται επίσης το ζήτηµα της συγκατάθεσης του ανηλίκου να αποτελέσει αντικείµενο αιτήµατος εντοπισµού. 10

Σχετικά µε το θέµα αυτό, η Οµάδα Εργασίας επισηµαίνει ότι, κατά την υποβολή αιτήµατος εντοπισµού θέσης, είναι αδύνατο να εξακριβωθεί εάν το πρόσωπο το οποίο χρησιµοποιεί το τηλέφωνο είναι ο υπόψη ανήλικος και όχι κάποιος άλλος, ενδεχοµένως ένας ενήλικας, στον οποίο έχει εµπιστευθεί το τηλέφωνο ο συνδροµητής της υπηρεσίας. Συνιστά συνεπώς τη λήψη της συγκατάθεσης του χρήστη του τηλεφώνου, τουλάχιστον κατά την εγγραφή του συνδροµητή στην υπηρεσία. Για να αποτραπεί η δόλια καταχώριση τηλεφώνων, οι πάροχοι υπηρεσιών θα πρέπει, π.χ., να αποστέλλουν µηνύµατα στο σχετικό τηλέφωνο αναφέροντας ότι αποτελεί αντικείµενο αιτήµατος εντοπισµού θέσης, ούτως ώστε ο χρήστης του τηλεφώνου να µπορεί συγκεκριµένα να ασκήσει το δικαίωµα ανάκλησης σύµφωνα µε το άρθρο 9 της Οδηγίας 2002/58/ΕΚ. 2.2 Εντοπισµός εργαζοµένων Η Οµάδα Εργασίας έχει ήδη θέσει το ζήτηµα της επεξεργασίας δεδοµένων προσωπικού χαρακτήρα στο χώρο απασχόλησης. 5 Έχει τονίσει ότι η παρακολούθηση των εργαζοµένων πρέπει να πραγµατοποιείται µε τη µεγαλύτερη δυνατή διακριτικότητα. Η επεξεργασία δεδοµένων που επιτρέπει στον εργοδότη να συλλέγει στοιχεία σχετικά µε τον εντοπισµό της θέσης του εργαζόµενου, είτε άµεσα (εντοπισµός της θέσης του ίδιου του εργαζόµενου) είτε έµµεσα (εντοπισµός της θέσης του οχήµατος που χρησιµοποιεί ο εργαζόµενος ή προϊόντος ή περιουσιακού στοιχείου που του έχει χρεωθεί) συνεπάγεται τη χρήση δεδοµένων προσωπικού χαρακτήρα και υπόκειται στις διατάξεις της Οδηγίας 95/46/EΚ. Η Οµάδα Εργασίας έχει διαπιστώσει την ανάπτυξη συστηµάτων που επιτρέπουν στις εταιρείες να προσδιορίζουν τη γεωγραφική θέση του προσωπικού τους είτε σε µια δεδοµένη χρονική στιγµή ή και συνεχώς εντοπίζοντας αντικείµενα που έχουν στην κατοχή τους (ειδική ταυτότητα, κινητό τηλέφωνο, κλπ) ή τα οποία χρησιµοποιούν (οχήµατα). Οι πληροφορίες αυτές µπορούν να βασίζονται στην επεξεργασία δεδοµένων από δορυφόρους (GPS), από δίκτυο ηλεκτρονικών επικοινωνιών (κινητό τηλέφωνο, δίκτυο Wi-Fi) ή από οποιαδήποτε άλλη συσκευή (όπως για παράδειγµα ένα πλινθίο RFID το οποίο εντοπίζει ο αναγνώστης). Συµπληρώνεται συνεχώς µε δεδοµένα από διάφορους αισθητήρες τα οποία υπερβαίνουν τα δεδοµένα θέσης µε τη στενή έννοια, π.χ. δεδοµένα σχετικά µε το χρόνο κατά τον οποίο χρησιµοποιείται ένα µηχάνηµα ή όχηµα, τον αριθµό των διανυθέντων χιλιοµέτρων ή την ταχύτητα µε την οποία ταξιδεύει το όχηµα. Η επεξεργασία αυτού του είδους εγείρει δύο ζητήµατα: τη διαχωριστική γραµµή µεταξύ εργασίας και ιδιωτικής ζωής, καθώς και σε ποιο βαθµό παρακολούθησης και µόνιµης εποπτείας θεωρείται αποδεκτό να υποβάλλεται ένας εργαζόµενος. Η Οµάδα Εργασίας θα ήθελε να υπενθυµίσει ότι, από την άποψη της προστασίας των δεδοµένων, η νοµιµότητα τέτοιων πράξεων επεξεργασίας δεν θα πρέπει να βασίζεται αποκλειστικά στη συγκατάθεση του εργαζόµενου, η οποία, σύµφωνα µε την Οδηγία, πρέπει να «δίδεται ελεύθερα». Όπως έχει ήδη τονίσει στο έγγραφο εργασίας σχετικά µε την προστασία των δεδοµένων στο εργασιακό πλαίσιο, το ζήτηµα της συγκατάθεσης θα πρέπει να 5 Γνωµοδότηση 8/2001, της 13ης Σεπτεµβρίου 2001, για την επεξεργασία των δεδοµένων προσωπικού χαρακτήρα στο εργασιακό πλαίσιο. 11

αντιµετωπίζεται σε µια ευρύτερη προοπτική ειδικότερα, η εµπλοκή όλων των ενδιαφερόµενων (όπως προβλέπεται στη νοµοθεσία αρκετών κρατών µελών) µέσω συλλογικών συµβάσεων θα ήταν ενδεχοµένως ο πλέον ενδεδειγµένος τρόπος για να ρυθµίζεται σε ανάλογες περιστάσεις η συγκέντρωση των δηλώσεων συγκατάθεσης. Λόγω της απαίτησης υποβολής δεδοµένων σε επεξεργασία για ειδικούς λόγους, η Οµάδα Εργασίας εκτιµά ότι η επεξεργασία δεδοµένων θέσης όσον αφορά τους εργαζόµενους πρέπει να ανταποκρίνεται σε ειδική ανάγκη της εταιρείας που αφορά τη δραστηριότητα αυτή. Η επεξεργασία δεδοµένων θέσης µπορεί να δικαιολογηθεί όταν πραγµατοποιείται στο πλαίσιο της παρακολούθησης της µεταφοράς ατόµων ή αγαθών ή της βελτίωσης της διανοµής πόρων για υπηρεσίες σε διασκορπισµένες περιοχές (π.χ. σχεδιασµός επιχειρήσεων σε πραγµατικό χρόνο), ή όταν επιδιώκεται ένας στόχος που αφορά την ασφάλεια του ίδιου του εργαζόµενου ή των εµπορευµάτων ή των οχηµάτων που του έχουν ανατεθεί. Αντιθέτως, η Οµάδα Εργασίας κρίνει την επεξεργασία δεδοµένων υπέρµετρη όταν οι εργαζόµενοι είναι ελεύθεροι να οργανώσουν τις λεπτοµέρειες του ταξιδιού τους όπως επιθυµούν ή όταν αυτή πραγµατοποιείται µε αποκλειστικό σκοπό την παρακολούθηση της εργασίας του εργαζόµενου, εφόσον αυτή µπορεί να παρακολουθείται µε άλλα µέσα. Στις δύο αυτές περιπτώσεις, ο σκοπός δεν δικαιολογεί τη χρήση µιας αναντίρρητα αδιάκριτης επεξεργασίας λόγω του είδους των συλλεγόµενων δεδοµένων. Τούτο συνδυάζεται περαιτέρω µε την ύπαρξη εθνικής νοµοθεσίας η οποία απαγορεύει ρητά την εξ αποστάσεως παρακολούθηση των εργαζοµένων για την αξιολόγηση των επιδόσεών τους. Σε κάθε περίπτωση, τούτο σηµαίνει ότι ο εργοδότης δεν θα πρέπει να συλλέγει δεδοµένα θέσης για τον εργαζόµενο πέραν του ωραρίου εργασίας του. Κατά συνέπεια, η Οµάδα Εργασίας συνιστά να εξοπλίζεται ο εξοπλισµός που τίθεται στη διάθεση των εργαζοµένων, ιδίως οχήµατα τα οποία µπορούν να χρησιµοποιούνται και για ιδιωτικούς σκοπούς, µε ένα σύστηµα που να επιτρέπει στους εργαζόµενους να διακόπτουν τη λειτουργία του εντοπισµού. Τα δεδοµένα θέσης που αφορούν τον εργαζόµενο πρέπει να διατηρούνται κατά το χρόνο που ενδείκνυται ανάλογα µε την προβαλλόµενη αιτιολογία. Λόγω των αιτιολογιών που προβάλλονται ενδεχοµένως για την επεξεργασία των δεδοµένων θέσης, η επεξεργασία θα πραγµατοποιείται ουσιαστικά σε πραγµατικό χρόνο. Σε κάθε περίπτωση, η Οµάδα Εργασίας συνιστά να είναι εύλογος ο χρόνος διατήρησης των δεδοµένων θέσης, να µην υπερβαίνει δηλαδή τους δύο µήνες. Όταν ο εργοδότης επιθυµεί να υποβάλει σε επεξεργασία τα δεδοµένα θέσης για διάστηµα πέραν των δύο µηνών (π.χ. για να καταρτίσει αναλυτικό πίνακα των µετακινήσεων µε σκοπό τη βελτιστοποίηση των διαδροµών), συνιστάται τα δεδοµένα θέσης να καθίστανται προηγουµένως ανώνυµα. Η πρόσβαση σε δεδοµένα θέσης πρέπει να περιορίζεται στα πρόσωπα τα οποία, κατά την άσκηση των καθηκόντων τους, µπορούν νόµιµα να τα συµβουλεύονται µε γνώµονα το σκοπό τους. Κατά συνέπεια, οι εργοδότες πρέπει να λαµβάνουν όλες τις αναγκαίες προφυλάξεις ώστε να διατηρούν τα δεδοµένα ασφαλή και να παρεµποδίζουν τη µη εξουσιοδοτηµένη πρόσβαση σε αυτά, ιδίως µε τη θέσπιση µέτρων επαλήθευσης και εξακρίβωσης της ταυτότητας. 12

Τέλος, η Οµάδα Εργασίας τονίζει την υποχρέωση ενηµέρωσης των εργαζοµένων και εφιστά την προσοχή των εταιρειών στην ανάγκη καθιέρωσης συστηµάτων εντοπισµού η ύπαρξη των οποίων θα µπορεί να γίνεται γνωστή στο προσωπικό. Βρυξέλλες, 25 Νοεµβρίου 2005 Για την Οµάδα Εργασίας Ο Πρόεδρος Peter Schaar 13