Monitoring GPS zawodnika: dane treningowe, zgoda i RODO w klubie sportowym

Dlaczego dane treningowe są danymi osobowymi

System GPS identyfikuje zawodnika przez przypisany nadajnik, profil aplikacji lub numer koszulki. Rejestruje pozycję, dystans, prędkość, czas sprintu i inne parametry. Jeżeli można powiązać zapis z określoną osobą, mamy do czynienia z danymi osobowymi w rozumieniu RODO, nawet gdy w raportach używa się pseudonimów. Dopiero rzeczywista, nieodwracalna anonimizacja może wyłączyć zbiór z tego reżimu.

Zdefiniowanie celu i podstawy prawnej

Klub może stosować monitoring do planowania obciążeń, ograniczania kontuzji, oceny treningu albo organizacji rozgrywek. Każdy cel należy opisać i dobrać odpowiednią podstawę z art. 6 RODO. Nie można automatycznie przyjąć, że zgoda jest najbezpieczniejsza; w relacjach zawodowych i przy zależności zawodnika od klubu dobrowolność zgody może być wątpliwa. Jeśli analizuje się prawnie uzasadniony interes, konieczny jest test równowagi interesów i praw zawodnika.

GPS a dane o zdrowiu

Sama informacja o przebiegniętym dystansie nie zawsze stanowi szczególną kategorię danych. Jednak zestawienie GPS z tętnem, rehabilitacją, urazami lub oceną medyczną może ujawniać stan zdrowia. W takim przypadku trzeba zbadać podstawę z art. 9 RODO, a nie ograniczać się do art. 6. Klub powinien odrębnie określić, kto ma dostęp do danych sportowych, a kto do szczegółowych informacji medycznych.

Informowanie zawodnika o monitoringu

Zawodnik powinien wiedzieć, jakie dane są zbierane, po co, jak długo będą przechowywane, kto otrzyma wyniki oraz czy monitoring jest warunkiem udziału w określonych zajęciach. Dokument informacyjny powinien być zrozumiały, a nie sprowadzać się do hasła „dla celów analitycznych”. Szczególnego wyjaśnienia wymaga wykorzystywanie danych do decyzji o kontrakcie, transferze, premii i ocenie przydatności sportowej.

Czy klub może śledzić zawodnika poza treningiem

Pomiary nie powinny automatycznie obejmować całodobowej lokalizacji. Cel sportowy zwykle nie uzasadnia śledzenia, gdzie zawodnik mieszka, spędza wolny czas albo spotyka się ze znajomymi. Należy wprowadzić techniczne ograniczenia aktywacji urządzeń i dostęp do lokalizacji wyłącznie w określonych godzinach, jeżeli to możliwe. Zbieranie danych „na zapas” dla przyszłych analiz narusza zasadę minimalizacji.

Dziecko i przedstawiciel ustawowy

W akademiach młodzieżowych obowiązki informacyjne powinny być dostosowane do wieku i dojrzałości zawodników. Udział przedstawiciela ustawowego w relacji sportowej nie znosi potrzeby oceny praw i interesów dziecka. Szczególnie niebezpieczne jest publikowanie szczegółowych danych lokalizacyjnych małoletnich albo ich profili zdrowotnych. Analizę należy ograniczyć do celów uzasadnionych szkoleniowo i zachować odpowiednie zabezpieczenia.

Udostępnianie danych trenerom, agentom i skautom

Trener przygotowania motorycznego może potrzebować parametrów obciążenia, ale agent nie powinien automatycznie otrzymywać pełnego profilu lokalizacji i zdrowia. Udostępnianie raportów klubom zainteresowanym transferem zawodnika wymaga odrębnego ustalenia podstawy prawnej i zakresu danych. Warto stosować minimalne, agregowane zestawienia i dokumentować uprawnienia odbiorców. Sprzedaż danych sportowych podmiotom trzecim jest osobnym celem przetwarzania.

Dostawca platformy GPS i umowa powierzenia

Jeżeli zewnętrzny operator przechowuje i przetwarza dane na polecenie klubu, trzeba zbadać role administratora i procesora oraz zawrzeć odpowiednią umowę z art. 28 RODO. Istotne są lokalizacja serwerów, podwykonawcy, retencja, możliwość eksportu i usunięcia danych oraz procedury naruszeń. Samo korzystanie z abonamentu nie oznacza, że odpowiedzialność za przetwarzanie przechodzi na dostawcę technologii.

Ocena skutków i zarządzanie ryzykiem

Rozbudowane monitorowanie, szczególnie obejmujące dane zdrowotne i młodzież, może uzasadniać szczegółową ocenę ryzyka, a zależnie od skali i charakteru również ocenę skutków z art. 35 RODO. Trzeba zbadać możliwość nadużycia, profilowania i dyskryminującego wykorzystywania statystyk. Warto regularnie weryfikować trafność danych i zapewnić możliwość sprostowania oczywistych błędów pomiaru.

Co wpisać do polityki monitoringu klubu

Dokument powinien wskazywać cel, kategorie danych, moment uruchomienia pomiaru, role personelu, retencję, udostępnianie poza klubem oraz zasady realizacji praw zawodnika. Nie trzeba każdej technicznej decyzji zamieszczać w kontrakcie zawodniczym, ale dokumenty wewnętrzne i umowy nie mogą sobie przeczyć. Dobrą praktyką jest okresowy przegląd, czy dany rodzaj pomiarów nadal jest potrzebny.

Powiązane materiały

Wizerunek sportowca · Umowa sponsoringu klubu

Warto odróżnić ocenę sportową od automatycznego rozstrzygnięcia kontraktu

Klub może wykorzystywać pomiary do planowania treningu, ale stosowanie automatycznych progów GPS jako samodzielnej podstawy do odsunięcia zawodnika, obniżenia premii albo zerwania umowy może rodzić dodatkowe pytania o profilowanie i art. 22 RODO. Im silniejszy wpływ systemu na sytuację prawną lub zawodową osoby, tym ważniejsza staje się rzeczywista ocena człowieka, możliwość zakwestionowania błędu pomiaru oraz transparentność kryteriów. Algorytm nie powinien zastępować całościowej oceny sportowej i medycznej.

Prawo dostępu do danych i portabilność

Zawodnik może korzystać z praw wynikających z RODO, odpowiednio do podstawy i charakteru przetwarzania. Klub powinien przygotować procedurę przyjmowania wniosków o dostęp, sprostowanie albo inne uprawnienia, z uwzględnieniem danych innych osób w zbiorowych analizach. Przy zmianie klubu należy ustalić, jakie raporty mogą zostać przekazane, na jakiej podstawie i czy platforma GPS umożliwia eksport danych w odpowiedniej postaci. Nie każda baza analityczna jest automatycznie objęta pełną przenoszalnością.

Minimalizacja danych dla sztabu trenerskiego

Przy projektowaniu uprawnień można przyjąć zasadę, że trener widzi parametry niezbędne do przygotowania treningu, lekarz klubowy odpowiednie dane zdrowotne, a dział marketingu co najwyżej informacje zbiorcze, jeśli są potrzebne. Podział ról ogranicza ryzyko ujawnienia szczegółowych profili osobom niezwiązanym z procesem sportowym. Należy dokumentować zmiany uprawnień przy odejściu pracowników oraz okresowo przeglądać logi dostępu. Techniczne możliwości platformy nie są same w sobie prawną podstawą do przetwarzania szerszego zakresu danych.