GDPR & RTLS — a questão de acompanhamento de funcionários.

O GDPR atua sempre que dados de localização podem ser atribuídos a uma pessoa identificável, diretamente ou por combinação com outros dados. Contagem anônima de pessoas e ocupação agregada não envolvem o GDPR. O rastreamento tag-on-badge sim.

O rastreamento do veículo é ativado quando o motorista é identificável. Mapas de calor agregados de zonas geralmente não fazem isso, a menos que a equipe seja pequena o suficiente para que um indivíduo possa ser inferido.

A pergunta do limiar certo é: 'uma pessoa razoável poderia vincular um evento de cargo a um trabalhador nomeado?'

Existem seis bases legais no Artigo 6 — para o rastreamento de localização dos funcionários, apenas três são realistas: interesses legítimos (com um teste de balanceamento documentado, a base mais comum para segurança RTLS),

obrigação legal (regimes específicos de conformidade) e consentimento explícito (raramente a base correta em um contexto de emprego, pois o consentimento não é dado livremente).

A maioria das implantações de RTLS orientadas para segurança depende de interesses legítimos com DPIA documentado. Ajudamos você a redigir ambos.

Na Alemanha, França, Holanda, Áustria e muitas outras jurisdições da UE, o monitoramento dos funcionários exige consulta formal do conselho de empresa (Betriebsrat / Comité Social et Économique / Ondernemingsraad) e, frequentemente, um acordo por escrito.

Pular essa etapa é a razão mais comum para as implantações do RTLS travarem no DACH.

Projetamos a especificação de implantação com as perguntas do conselho de trabalho embutidas — o que é coletado, o que não é, retenção, acesso, transparência — para que a consulta seja construtiva, e não adversarial.

Diversas escolhas de arquitetura reduzem materialmente a exposição ao GDPR: separar a identidade da tag da identidade da equipe na camada da plataforma; retenção configurável com autoexclusão (tipicamente de 7 a 30 dias para eventos de posição bruta);

acesso baseado em função onde os supervisores veem agregados, não individuais; e modos 'apenas alarme', onde a localização é invisível até que um evento de coação ocorra.

Nenhuma dessas opções é específica do fornecedor — são escolhas de design de implantação que incorporamos na fase 1 (Design) do Método do Programa TRACIO.

Identifiable location of staff or patients is personal data under the GDPR. Legitimate interests (safety, mustering, lone-worker) can work, but only after a documented balancing test; consent is fragile in employment and usually the wrong basis. Special-category data may engage if location reveals health status (e.g. ward assignment patterns).

A DPIA is effectively mandatory for systematic workplace monitoring. It should cover necessity, less-intrusive alternatives (zone events vs continuous trails), retention, access roles, and works-council or staff-representation input. Privacy by design means defaulting to pseudonymous tag IDs, work-hours only, and exclusion of break rooms / toilets by geofence policy — not by pinky promise.

Challenge vendors who ship continuous heatmaps for 'productivity' as a free add-on. That feature often expands purpose beyond the DPIA and becomes the works-council killer. Separate safety alerting from managerial analytics in the product configuration, with different retention clocks.

In Germany, BetrVG §87(1)(6) co-determination routinely gates any system capable of monitoring behaviour or performance; Betriebsrat consultation is on the critical path. Comparable consultation or information duties appear in the Netherlands, France, Italy and Nordic markets. Build 8–16 weeks of social dialogue into the plan when staff tags are in scope.

Cross-border groups need a single architecture with country-specific purpose statements and retention. Hosting in the EU helps, but transfers to US support desks still need SCCs or equivalent. Prefer on-prem or EU-region SaaS with EU-only support for high-sensitivity sites.

Document what supervisors can see (alarms and zone breaches vs full trails), how long raw coordinates survive, and how a data-subject access request is answered from the locating store plus MES/WMS joins.

Ask whether the platform can run alarm-only mode (store events, not continuous tracks), support automatic purge, export DSAR packages, and disable productivity modules per site. Demand written confirmation that training/demo tenants do not reuse production location data.

'GDPR compliant' badges are not a control. Require a completed DPIA template, residual-risk register, and configuration baseline that your DPO can attach to the record of processing activities.

Raw high-frequency coordinates are rarely necessary beyond short operational windows. Keep long-term only what the purpose statement justifies — muster events, incident packages, access breaches — and automate deletion. DSARs must be answerable across RTLS plus MES/WMS/HR joins without a six-week archaeology project.

If US or APAC vendor support can open production tenants, treat that as a transfer. Contractual clauses, access logging and EU-only support tiers are design inputs, not legal footnotes after signature.

We draft purpose statements, DPIA inputs, role matrices and works-council briefing packs alongside the RF design. Safety-first configurations ship before any productivity analytics. Multi-country rollouts get a core platform with localised retention and notice text rather than eight divergent forks.

Patient flow engages health-related inferences more readily; staff tracking engages labour law. Separate purpose statements, retentions and role access. Never reuse a staff heatmap product for patient pathway work without a fresh DPIA.

Publish layered notices: what is collected, for which purpose, who sees it, how long, and how to raise concerns. Hidden features enabled by default after a firmware update are a recurring incident pattern — lock configuration baselines.