欧州データ保護委員会 スロベニアデータ監督庁 財産の保護はGPS追跡の正当な利益となり得るが、その手段は適切かつ必要なものでなければならない

こんにちは、丸山満彦です。

スロベニアのデータ監督庁の依頼（情報提供目的）で、欧州保護委員会に、GPS追跡とプライバシーについての説明を公表していますね。。。

元々、スロベニアの監督庁によって2022.10.04に決定されたものを、スロベニア監督庁の依頼で、EDPBのウェブページにあげたものですね。。。

財産保全目的で社用車のGPS追跡監視と従業員のプライバシーの問題を考える時に参考になるかもですね。。。

● European Data Protection Board: EDPB

・2022.11.09 Safety of property can be a legitimate interest for GPS tracking, but the measure must be appropriate and necessary

Safety of property can be a legitimate interest for GPS tracking, but the measure must be appropriate and necessary	財産の安全性はGPS追跡の正当な利益となり得るが、その手段は適切かつ必要なものでなければならない
Background information	背景情報
Date of final decision: 04 October 2022	最終決定日：2022年10月4日
Controller: employer in private sector	管理者：民間企業における雇用者
Legal Reference: National Law (Personal Data Protection Act), Article 5.1(c) and 6.1(f) of the GDPR	法的な参照先 国内法（個人情報保護法）、GDPR第5条1項（c）、第6条1項（f）
Decision: Order to comply	決定事項：遵守を求める命令
Key words: GPS tracking	キーワード：GPSトラッキング
Summary of the Decision	決定の概要
Origin of the case	事案の背景
The data controller introduced GPS tracking of seven company vehicles in 2009, after a theft event at worksite. The vehicles were used for fieldwork transport and installation of equipment at client’s premises. The purpose of GPS tracking was to insure the vehicles, expensive equipment and documents, that are in the vehicle in case of theft.	データ管理者は、2009年に職場で盗難事件が発生した後、7台の社用車にGPS追跡を導入した。車両は、フィールドワークの輸送や顧客企業の敷地内での機器の設置に使用されていた。GPS追跡の目的は、盗難に備えて、車両、高価な機器、車両内の文書に保険をかけることであった。
The controller stated that GPS tracking did not represent data processing and that individuals could be identified only in exceptional cases (criminal offences, protection of people and property, traffic accidents, claim event, etc.). GPS application could not access personal data of employers, who used the vehicle, because they were kept in a separate record. The data was processed by application and monitored by external contractor.	管理者は、GPS追跡はデータ処理を意味するものではなく、個人を特定できるのは例外的な場合（犯罪、人や財産の保護、交通事故、クレームイベントなど）だけであると述べている。GPSアプリケーションは、車両を使用する雇用者の個人データにはアクセスできず、それらは別の記録で保管されていたためである。データはアプリケーションで処理され、外部の委託業者が監視していた。
Key Findings	主な調査結果
The Slovenian Supervisory Authority (SA) determined that the controller carried out GPS tracking of eight company vehicles. The vehicles were used by employees as delivery vehicles and passenger delivery vehicles. Tracking was carried out by a special transmitter in the vehicle and monitored by an application that continuously recorded the distance travelled. Individuals were identifiable.	スロベニア監督庁（SA）は、管理者が8台の社用車のGPS追跡を実施したことを決定した。これらの車両は、従業員が配送車や乗客用の配送車として使用していた。追跡は、車両に搭載された特殊な送信機によって行われ、走行距離を連続的に記録するアプリケーションによって監視され、個人を特定することができた。
A special record was being created containing a large amount of location data of employees. The data was processed continuously, systematically and automatically so that the employer could determine in any moment, where an individual traveling with one of the vehicles was located. The data could be accessed also retrospectively.  The employer could easily determine the employee who was using the company vehicle and to whom the location data is attributable.	従業員の大量の位置情報を含む特別な記録が作成されていた。データは継続的、系統的、自動的に処理され、雇用主は車両で移動する個人がどこにいるのか、いつでも特定できるようになっていた。このデータは、過去にさかのぼってアクセスすることも可能である。  雇用主は、社用車を使用していた従業員と、位置情報が帰属する従業員を容易に特定することができた。
The Slovenian SA was investigating if there was a legal basis for processing the personal data pursuant to Article 6 of the GDPR.	スロベニア監督庁は、GDPR第6条に基づき、個人データの処理に法的根拠があるかどうかを調査していた。
Decision	決定
The Slovenian SA was assessing whether data processing was lawful in accordance to Article 6.1 (f) of the GDPR – legitimate interests.	スロベニア監督庁は、データ処理がGDPR第6条1項（f）-正当な利益-に従って合法的であるかどうかを評価していた。
Slovenian SA confirmed that providing safety of property can be in a legitimate interest of the data controller, but the controller did not demonstrate that the way the measure was carried out was appropriate and necessary. It was found that GPS tracking was carried out also while the vehicle and the property in it were under constant and direct supervision of an employee.	Slovenian SAは、財産の安全を提供することはデータ管理者の正当な利益になり得ることを確認したが、管理者はその措置の実行方法が適切かつ必要であることを証明しなかった。GPS追跡は、車両とその中の財産が従業員の常時直接監視下に置かれている間にも実施されていたことが判明している。
Slovenian SA decided that in the specific case GPS tracking could only be used in a way that the driver could turn on the GPS on the location where the vehicle, the equipment and the documents could be at risk and turn it off after returning to the vehicle, when the protected goods were again under direct supervision of an employee.	スロベニア監督庁は、特定のケースにおいて、GPS追跡は、車両、機器、文書が危険にさらされる可能性のある場所で運転手がGPSをオンにし、車両に戻った後、保護対象物が再び従業員の直接の監視下にあるときにオフにするという方法でしか使用できないと判断した。
Regarding safety of individuals in case of traffic accidents Slovenian SA decided that constant GPS tracking was disproportionate. The place of the accident is usually known, the location of the accident could also be reported by the driver himself. The controller should use a less intrusive measure on individual’s information privacy.	交通事故発生時の個人の安全確保について、スロベニア監督庁は、常時GPSを追跡することは不釣り合いであると判断した。事故現場は通常知られており、事故現場は運転手自身によって報告される可能性もあります。管理者は、個人の情報プライバシーに対して、より侵害性の低い手段を用いるべきである。
Slovenian SA decided the controller did not demonstrate legitimate interests according to Article 6.1 (f) and that the GPS tracking was not in accordance with the principle of data minimisation (Article 5.1 (c) of the GDPR).	ソロベニア監督庁は、管理者が第6条1項（f）に基づく正当な利益を証明せず、GPS追跡はデータ最小化の原則（GDPRの第5条1項（c））に従っていないと判断した。
Slovenian SA ordered the controller to stop processing the data of employees that were collected by continuous, systematic and automatic GPS tracking.	スロベニア監督庁は、管理者に対し、継続的、体系的、かつ自動的なGPS追跡によって収集された従業員のデータの処理を停止するよう命じた。
The news published here does not constitute official EDPB communication, nor an EDPB endorsement. This news item was originally published by the national supervisory authority and was published here at the request of the SA for information purposes. Any questions regarding this news item should be directed to the supervisory authority concerned.	ここに掲載されたニュースは、EDPBの公式なコミュニケーションではなく、またEDPBの推奨を意味するものでもない。このニュースは、もともと国の監督機関によって発表されたもので、情報提供の目的でSAの要請によりここに掲載されたものである。このニュースに関する質問は、当該監督官庁にすること。