Ετικέτα: gdpr

Είναι σημαντικό για κάθε επιχείρηση να γνωρίζει τους εργαζομένους της. Για κάποιες, πολύτιμο. Τη διαχείριση χρημάτων θα μπορούσαμε, άραγε, να εμπιστευτούμε σε αμετάκλητα καταδικασμένο για οικονομικής φύσεως αδικήματα; Σε  εμπλεκόμενο σε υπόθεση παιδικής πορνογραφίας τη φύλαξη ανηλίκων ή τη μεταφορά μαθητών στο σχολείο τους; Η εμπλοκή (ή μη)  σε ποινικά αδικήματα πιστοποιείται με το πιστοποιητικό ποινικού μητρώου. Έχει δικαίωμα ο εργοδότης (ή υποψήφιος εργοδότης) να αξιώσει να του παραδοθεί; Θα μπορούσε κάποιος να υποστηρίξει πως όχι μόνον δικαίωμα αλλά και σχετική υποχρέωση κάποιες φορές υφίσταται;

 

Σύμβαση εργασίας και προσωπικά δεδομένα

Οι συμβαλλόμενοι αναλαμβάνουν, σε κάθε σύμβαση, συγκεκριμένες υποχρεώσεις. Κύριες ή παρεπόμενες,. Το αντίστοιχο συμβαίνει και στη σύμβαση εξαρτημένης εργασίας. Η υποχρέωση του εργοδότη για την προστασία της προσωπικότητας των εργαζομένων του περιλαμβάνεται μεταξύ αυτών. Στο πλαίσιο αυτής και των προσωπικών τους δεδομένων.

Μας απασχόλησε επανειλημμένα η δυνατότητα συλλογής και (περαιτέρω) επεξεργασίας προσωπικών δεδομένων των εργαζομένων. Επίκεντρο του ενδιαφέροντός μας, κάθε φορά, επιμέρους κατηγορίες προσωπικών δεδομένων. Μας απασχόλησε, λ.χ. η παρακολούθηση και η οπτική καταγραφή στους χώρους εργασίας. Η δυνατότητα (ή μη) του εργοδότη για παρακολούθηση της ηλεκτρονικής αλληλογραφίας των εργαζομένων του. Μας απασχόλησε επίσης, μεσούσης της πανδημίας, η δυνατότητα (ή μη) του εργοδότη να προβαίνει σε επεξεργασία ευαίσθητων προσωπικών δεδομένων. Πιο συγκεκριμένα, των δεδομένων υγείας των εργαζομένων του.

Στο παρόν άρθρο θα επιχειρήσουμε τη διερεύνηση της δυνατότητας του εργοδότη να ζητά από εργαζόμενο (ή υποψήφιο εργαζόμενο) πιστοποιητικό για το ποινικό του μητρώο.

 

Το ποινικό μητρώο – Οι διακρίσεις

Ο Κώδικας Ποινικής Δικονομίας διακρίνει δύο τύπους αντιγράφων ποινικού μητρώου. Εκείνο της γενικής και το έτερο της δικαστικής χρήσης (271 παρ. 1 ΚΠοινΔ).

Ποινικό μητρώο: το αντίγραφο δικαστικής χρήσης

Στο αντίγραφο δικαστικής χρήσης καταχωρίζεται το περιεχόμενο όλων των δελτίων ποινικού μητρώου, με εξαίρεση εκείνα που έχουν παύσει να ισχύουν. Παρά το διευρυμένο του περιεχόμενο, χορηγείται σε περιορισμένο, ρητώς απαριθμούμενο αριθμό προσώπων. Κυρίως σε υπηρεσίες του δημοσίου και δημόσιους λειτουργούς.

Μεταξύ των, ρητώς, αναφερόμενων στον ΚΠοινΔ περιπτώσεων χορήγησης αντιγράφου δικαστικής χρήσης εντάσσεται και ο διορισμός δικαστικών λειτουργών, εκπαιδευτικών  όλων  των βαθμίδων,  οργάνων  των  Σωμάτων  Ασφαλείας και υποψηφίων για την εισαγωγή στις παραγωγικές σχολές των Ενόπλων Δυνάμεων και των  Σωμάτων Ασφαλείας (572 ΚΠοινΔ).

 

Ποινικό μητρώο: το αντίγραφο γενικής χρήσης

Στο αντίγραφο γενικής χρήσης καταχωρίζεται το περιεχόμενο όλων των δελτίων ποινικού μητρώου, εξαιρουμένων αυτών:

(α) που αναγράφουν χρηματική ποινή ή παροχή κοινωφελούς εργασίας ή ποινή φυλάκισης έως έξι μήνες, μετά την πάροδο τριών ετών,

(β) που αναγράφουν ποινή φυλάκισης πέραν των έξι μηνών ή ποινή περιορισμού σε ψυχιατρικό κατάστημα, μετά την πάροδο οκτώ ετών,

 (γ) που αναγράφουν κάθειρξη, μετά την πάροδο είκοσι ετών (571 παρ. 3 ΚΠοινΔ).

Στον εκάστοτε εργοδότη είναι δυνατό να χορηγηθεί (θεωρητικά) αντίγραφο γενικής χρήσης- μόνον. Άλλωστε, «…όπου ο νόμος προβλέπει την έκδοση και τη χορήγηση αντιγράφου οποιουδήποτε τύπου ή αποσπάσματος ποινικού μητρώου, παρέχεται αντίγραφο γενικής χρήσης.» (570 ΚΠοινΔ).

 

Η σύγκρουση των εκατέρωθεν συμφερόντων

Ο εργοδότης επιδιώκει την ανάπτυξη σχέσεων εμπιστοσύνης με τους μισθωτούς του. Για το λόγο αυτό ενδέχεται να επιθυμεί/αντιμετωπίζει ως αναγκαία τη λήψη του ποινικού μητρώου εργαζομένου. Ακόμα και ως προϋπόθεση για την πρόληψή του.

Μοιάζει εύλογη και, προπαντός, νόμιμη η σχετική αξίωση του εργοδότη. Κάποιες φορές, κατά τα προαναφερθέντα, επιβεβλημένη.

Μια ανεμπόδιστη απαίτηση ποινικών μητρώων εργαζομένων θα έθιγε δύο προστατευόμενα έννομα αγαθά. Συνταγματικώς, μάλιστα, προστατευόμενα.

Το πρώτο είναι το τεκμήριο αθωότητας. Καθώς όμως στο ποινικό μητρώο γενικής χρήσης (στο οποίο, θεωρητικά, ο εργοδότης δικαιούται να έχει πρόσβαση) καταγράφονται οι αμετάκλητες, μόνον, καταδίκες, το συγκεκριμένο αγαθό δεν μοιάζει, εν τέλει, θιγόμενο.

Το δεύτερο είναι η προστασία της ανθρώπινης αξίας. Καλύπτει, ασφαλώς, και τους αμετάκλητα καταδικασθέντες, επιβάλλοντας τη μέριμνα για την κοινωνική τους επανένταξη. Μία αυστηρή και συνολική απαίτηση απουσίας (οποιασδήποτε) ποινικής καταδίκης θα ελαχιστοποιούσε το ενδεχόμενο κοινωνικής επανένταξης. Ακόμα και στη βάση άσκησης επαγγελματικής δραστηριότητας του καταδικασθέντος ως αυτοαπασχολούμενου.

Υπάρχει όμως και η διάσταση της προστασίας των δεδομένων προσωπικού χαρακτήρα. Μια άκριτη απαίτηση ποινικών μητρώων των εργαζομένων, θα προσέκρουε στην αρχή της αναλογικότητας. Θα συνιστούσε υπέρβαση του σκοπού επεξεργασίας. Στην προκειμένη περίπτωση υπέρβαση της διαφύλαξης των εννόμων συμφερόντων της εργοδότριας εταιρείας. Παράλληλα, θα προσέκρουε στο δικαίωμα στη λήθη. Πότε, όμως, το δίκαιο της προστασίας των προσωπικών δεδομένων θα δικαιολογούσε μια τέτοιου είδους επεξεργασία;

 

Ποινικό μητρώο: το προϊσχύσαν δίκαιο

Το νομοθετικό πλαίσιο

Με βάση το προϊσχύσαν δίκαιο (ν. 2472/1997) το ποινικό μητρώο υπαγόταν, ρητά, στην κατηγορία των ευαίσθητων προσωπικών δεδομένων. Κατά το άρθρο 2 στοιχ. β΄ ν. 2471/1997, ως ευαίσθητα δεδομένα προσδιορίζονταν, «…τα δεδομένα που αφορούν στη φυλετική ή εθνική προέλευση, στα πολιτικά φρονήματα, στις θρησκευτικές ή φιλοσοφικές πεποιθήσεις, στη συμμετοχή σε συνδικαλιστική οργάνωση, στην υγεία, στην κοινωνική πρόνοια και στην ερωτική ζωή, στα σχετικά με ποινικές διώξεις ή καταδίκες, καθώς και στη συμμετοχή σε συναφείς με τα ανωτέρω ενώσεις προσώπων».

Η συλλογή και περαιτέρω επεξεργασία του ποινικού μητρώου ως ευαίσθητου προσωπικού δεδομένου ήταν, κατ’ ακολουθίαν, απαγορευμένη (άρθρο 7 §1). Επιτρεπόταν, κατ’ εξαίρεση, με τις προϋποθέσεις που ρητά ο νόμος προέβλεπε (άρθρο 7 §2).

 

Η θέση της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα

Το συγκεκριμένο θέμα ήταν, ανέκαθεν, σημαντικό. Η Αρχή χρειάστηκε να τοποθετηθεί και γνωμοδοτήσει αρκετές φορές αναφορικά με τη δυνατότητα επεξεργασίας ευαίσθητων προσωπικών δεδομένων. Μεταξύ αυτών και το ποινικό μητρώο.

Αντικείμενο κάποιων γνωμοδοτήσεών της αποτέλεσε, ακριβώς, η δυνατότητα συλλογής και περαιτέρω επεξεργασίας των ποινικών μητρώων των εργαζομένων από μέρους του εργοδότη. Γνώμονας των τοποθετήσεών της το ισχύον, κάθε φορά, νομικό πλαίσιο αφετέρου. Επίσης, η προσπάθεια εναρμόνισης των αντικρουόμενων, εκατέρωθεν, συμφερόντων.

Η Αρχή με σειρά γνωμοδοτήσεών της (ενδ.: οι υπ’ αριθμ. 101/2016, 4/2013, 115/2001), κατέληγε στα ακόλουθα συμπεράσματα:

Η συλλογή και επεξεργασία πληροφοριών δεδομένων προσωπικού χαρακτήρα που αφορούν στην απουσία ποινικών καταδικών του υποψήφιου προς εργασία ή προς κατάληψη θέσης ήταν δυνατή όταν (ρητά και ειδικά) προβλεπόταν  από διάταξη νόμου. Με άλλα λόγια: Νόμος είναι δυνατό να προβλέπει την υποχρεωτική υποβολή από τον εργαζόμενο πιστοποιητικού ποινικού μητρώου, από το οποίο θα προκύπτει η απουσία καταδίκης για συγκεκριμένα εγκλήματα. Ενδεικτικά: για την πρόσληψη και κατάληψη θέσεων στον τραπεζικό τομέα, στις εταιρείες παροχής υπηρεσιών ασφαλείας (εταιρείες security), στις χρηματιστηριακές εταιρείες, στις εταιρείες ενημέρωσης οφειλετών για ληξιπρόθεσμες απαιτήσεις, κ.ο.κ.

Θα ήταν δυνατό να λάβει χώρα η συγκεκριμένη συλλογή και επεξεργασία, χωρίς ειδική νομοθετική πρόβλεψη που θα την καθιστούσε επιτρεπτή;

Μια τέτοια νομοθετική πρόβλεψη θα ήταν, κατά την Αρχή, η διάταξη του άρθρου 7 §2 στοιχ. γ΄ ν. 2472/1997. Υπό την προϋπόθεση, όμως, του σεβασμού της θεμελιώδους αρχής της αναλογικότητας εν όψει του προβαλλόμενου σκοπού επεξεργασίας. Της διαφύλαξης, λ.χ., των εννόµων συμφερόντων της εργοδότριας εταιρείας.

Συγκεκριμένα, η Αρχή απαιτούσε την τήρηση των ακόλουθων προϋποθέσεων:

(α) Τη συλλογή των πληροφοριών σχετικά με την απουσία ποινικής καταδίκης απευθείας και μόνον από τον εκάστοτε ενδιαφερόμενο εργαζόμενο ή υποψήφιο.

(β) Τον αποκλεισμό συλλογής και περαιτέρω επεξεργασίας αντιγράφων ποινικού μητρώου γενικής χρήσεως, καθόσον υπερέβαιναν τον προβαλλόμενο σκοπό επεξεργασίας. Και τούτο, ιδίως, γιατί μια τέτοια επεξεργασία θα ήταν δυνατό να αποκαλύψει την ύπαρξη ποινικών καταδικών, που δεν είχαν σχέση µε την κύρια οικονομική και παραγωγική δραστηριότητα της εργοδότριας εταιρείας-ως υπευθύνου επεξεργασίας.

(γ) Την πρόκριση της συλλογής και επεξεργασίας υπεύθυνων δηλώσεων για την απουσία αμετάκλητης καταδίκης (αντί ποινικού μητρώου) από τους υποψηφίους προς κατάληψη θέσης. Μάλιστα, η αναφερόμενη στην υπεύθυνη δήλωση απουσία καταδίκης, έπρεπε κατά την Αρχή, να αφορά πράξεις που αποτυπώνονται στο ποινικό μητρώο γενικής χρήσεως.

(δ) Τη συλλογή και περαιτέρω επεξεργασία των ως άνω υπεύθυνων δηλώσεων όχι για όλες τις κατηγορίες προσωπικού αλλά για εκείνες, µόνον, που σχετίζονταν µε την κύρια οικονομική και παραγωγική δραστηριότητα της εργοδότριας εταιρείας, ως υπευθύνου επεξεργασίας. Η σχέση αυτή προέκυπτε από τα καθήκοντα των εργαζομένων των κατηγοριών αυτών βάσει των συβάσεων εργασίας τους και του εγγράφου γνωστοποίησης όρων της εργασίας τους (π.δ. 156/1994).

(ε) Την τήρηση των ως άνω δεδομένων για συγκεκριμένο χρόνο. Ήτοι, για χρονικό διάστημα 5 ετών από τη λύση της σύμβασης για τους, ήδη, εργαζομένους. Ενώ, για τους  υποψηφίους που, εν τέλει δεν προσλήφθηκαν, για χρονικό διάστημα 6 μηνών από την ολοκλήρωση της διαδικασίας προσλήψεως (ανακοίνωση προσληφθέντων).

 

Ποινικό μητρώο: το ισχύον δίκαιο

Το νομοθετικό πλαίσιο

Ο ν. 2472/1997, τον οποίο έλαβε υπόψη της η Αρχή για τις ως άνω Γνωμοδοτήσεις της, έχει ήδη καταργηθεί.

Από την 25^η Μαΐου 2018 έχει τεθεί σε ισχύ ο Γενικός Κανονισμός Προστασίας Δεδομένων (ΕΕ) 2016/679 («ΓΚΠΔ»).

Ο ΓΚΠΔ δεν εντάσσει το ποινικό μητρώο στην ειδική κατηγορία των ευαίσθητων προσωπικών δεδομένων (άρθρο 9). Επιφυλάσσει, όμως, ειδικότερη ρύθμιση.

Συγκεκριμένα, στο άρθρο 10 ΓΚΠΔ, προβλέπεται ότι «Η επεξεργασία δεδομένων προσωπικού χαρακτήρα που αφορούν ποινικές καταδίκες και αδικήματα ή σχετικά μέτρα ασφάλειας που βασίζονται στο άρθρο 6 παράγραφος 1 διενεργείται μόνο υπό τον έλεγχο επίσημης αρχής ή εάν η επεξεργασία επιτρέπεται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους το οποίο προβλέπει επαρκείς εγγυήσεις για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων. Πλήρες ποινικό μητρώο τηρείται μόνο υπό τον έλεγχο επίσημης αρχής».

Ως εκ τούτου, οι Γνωμοδοτήσεις της Αρχής καθίσταται αμφίβολο εάν βρίσκουν, πλέον, νομοθετικό έρεισμα.

Βάσει των Γνωμοδοτήσεων της Αρχής, η συλλογή και επεξεργασία του ποινικού μητρώου του εργαζομένου από τον εργοδότη, καθώς και κάθε πληροφορίας δεδομένων προσωπικού χαρακτήρα που αφορά στην απουσία ποινικών καταδικών (λ.χ. υπεύθυνες δηλώσεις), ήταν, καταρχήν, απαγορευμένη. Μπορούσε, κατ’ εξαίρεση, να διενεργηθεί υπό τις προϋποθέσεις σχετικού νόμου.

Όμως, κατά το ισχύον νομοθετικό πλαίσιο, η επεξεργασία δεδομένων προσωπικού χαρακτήρα που αφορούν ποινικές καταδίκες και αδικήματα ή σχετικά μέτρα ασφάλειας διενεργείται, αποκλειστικά, «υπό τον έλεγχο επίσημης αρχής».

Προκειμένου, να λάβει χώρα αντίστοιχη επεξεργασία από μη επίσημη αρχή (στην προκείμενη περίπτωση από τον εργοδότη) υπάρχει μια σημαντική προϋπόθεση. Να επιτρέπεται, συγκεκριμένα, από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους το οποίο προβλέπει επαρκείς εγγυήσεις για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων.

Όμως, ο ελληνικός εφαρμοστικός του ΓΚΠΔ νόμος, δηλαδή ο ν. 4624/2019, δεν εμπεριέχει αντίστοιχη ρύθμιση.

 

Η θέση της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα

Η Αρχή, με την υπ’ αριθμ. 1/2020 Γνωμοδότησή της, προβαίνει στις ακόλουθες παραδοχές:

«Ενώ από την διάταξη του άρθρου 10 ΓΚΠ∆ προκύπτει ότι παρέχεται εξουσιοδότηση («ρήτρα ανοίγματος-εξειδίκευσης») στον εθνικό νομοθέτη να λάβει τα αναγκαία μέτρα µε την πρόβλεψη επαρκών εγγυήσεων για την επεξεργασία δεδομένων προσωπικού χαρακτήρα που αφορούν ποινικές καταδίκες και αδικήματα, εν τούτοις, µε το νόμο δεν λαμβάνονται σχετικά μέτρα, ούτε από την αιτιολογική έκθεση προκύπτει ο λόγος της παράλειψης αυτής.

 Σε κάθε περίπτωση, ακόμη και εάν η πρόθεση του εθνικού νομοθέτη υπήρξε να ληφθούν μέτρα εφαρμογής του άρθρου 10 ΓΚΠ∆ σε ειδική τομεακή νομοθεσία, σε αντίθεση µε την επιλογή του σε σχέση µε το άρθρο 9 ΓΚΠ∆, τέτοια μέτρα δεν έχουν ληφθεί μέχρι σήμερα µε αποτέλεσμα να καθίσταται εν πολλοίς αδύνατη η εφαρμογή της διάταξης του άρθρο 10 ΓΚΠ∆».

Με βάση λοιπόν τις παραδοχές της Αρχής, η λήψη ποινικού μητρώου του εργαζόμενου από τον εργοδότη, εξακολουθεί να μπορεί να λάβει χώρα στις περιπτώσεις εκείνες που προβλέπεται, ρητά, από ειδικότερη διάταξη νόμου. Εφόσον δεν υπάρχει όμως ρητή πρόβλεψη στο νόμο, η λήψη ενός τέτοιου ποινικού μητρώου δεν είναι επιτρεπτή.

Κατ’ αποτέλεσμα, στις περιπτώσεις που δεν υπάρχει ρητή νομοθετική πρόβλεψη, η συλλογή και επεξεργασία δεδομένων προσωπικού χαρακτήρα που αφορά ποινικές καταδίκες και αδικήματα του εργαζομένου από τον εργοδότη, δεν είναι δυνατό να πραγματοποιηθεί.

 

Σημαντική αποδεικνύεται, σε κάποιες περιπτώσεις, η γνώση του εργοδότη για το ποινικό παρελθόν εργαζομένων (ή υποψήφιων εργαζομένων) του. Κάποιες φορές μάλιστα θα λέγαμε πως η σχετική αξίωση προκύπτει ως κρίσιμη. Δεν θα έπρεπε να γνωρίζει ένας εργοδότης αν ο (υποψήφιος) ταμίας του έχει εμπλακεί σε οικονομικά εγκλήματα; Ένας καλός γιος αν η κυρία που προσέλαβε για τη φροντίδα του υπερήλικα πατέρα του έχει εμπλακεί σε εγκλήματα κατά της ζωής; Ένας πατέρας για την κοπέλα που προσέχει την κόρη του ή μια μάνα για τον δάσκαλο που βοηθά στα μαθήματα τον δικό της γιο αν έχουν εμπλακεί σε αδικήματα κατά της γενετήσιας αξιοπρέπειας;

Το θέμα αποδεικνύεται ακόμα περισσότερο σοβαρό και περίπλοκο, όταν (και) τρίτοι είναι εκείνοι που προβάλλουν ισχυρές (έστω και σιωπηρά-ως αυτονόητες) σχετικές αξιώσεις. Θα κατακρίναμε, άραγε, την αξίωση του γονιού να γνωρίζει πως ο οδηγός και η συνοδός του σχολικού λεωφορείου με το οποίο μετακινούνται τα παιδιά του, δεν έχουν εμπλακεί σε αδικήματα παιδικής πορνογραφίας;

Τι θα έπρεπε να πούμε σε όλους αυτούς; «Ξέρετε ο νομοθέτης δεν έχει κάνει οποιαδήποτε σχετική πρόβλεψη, επομένως δεν δικαιούμαστε να ζητήσουμε ποινικό μητρώο για τους συγκεκριμένους εργαζόμενους». Πόσο λογικό, ηθικό και δίκαιο, εν τέλει, μοιάζει;

Ας μην έχουμε επιφυλάξεις πως προβληματική αποδεικνύεται η παράλειψη του νομοθέτη να εντάξει στον (εφαρμοστικό του ΓΚΠΔ-ν. 4624/2019) πρόνοιες «για την επεξεργασία δεδομένων προσωπικού χαρακτήρα που αφορούν ποινικές καταδίκες και αδικήματα».

Είναι δεδομένο (προφανώς και αυτονόητο) πως η σχετική παράλειψη τάχιστα οφείλει να συμπληρωθεί.

Μέχρι τότε: προσωπικά θα δυσκολευόμουν να ψέξω (ακριβέστερα: δεν θα μπορούσα να ψέξω) τον καλό γιό που αξιώνει ποινικό μητρώο από την κυρία που θέλει να προσλάβει για τη φροντίδα του υπερήλικα πατέρα του, τη μάνα από τον δάσκαλο που βοηθά στα μαθήματα το γιο της, τον πατέρα από την κοπέλα που προσέχει την κόρη του και τον σχολάρχη από τους οδηγούς και συνοδούς των σχολικών λεωφορείων του…

Σταύρος Κουμεντάκης
Managing Partner

 

Υ.Γ. Συνοπτική έκδοση του άρθρου δημοσιεύτηκε στην Εφημερίδα ΜΑΚΕΔΟΝΙΑ, στις 16 Αυγούστου 2020.

Η πληροφόρηση που εμπεριέχεται στο παρόν άρθρο δεν συνιστά (ούτε και έχει σκοπό να αποτελέσει) νομική συμβουλή. Μια τέτοια νομική συμβουλή είναι δυνατό να παρασχεθεί μόνον από αρμόδιο δικηγόρο ο οποίος θα λάβει υπόψη του το σύνολο των δεδομένων που θα του εκθέσετε για την υπόθεσή σας. Αναλυτικά.

Κορωνοϊός, επιχειρήσεις και προσωπικά δεδομένα (:διασφάλιση ζωής & υγείας ή προσωπικών δεδομένων);

Ο Κορωνοϊός SARS-CoV-2 είναι, το δίχως άλλο, μουσαφίρης-όχι νοικοκύρης. Ως τέτοιος αργά ή γρήγορα (ελπίζουμε τάχιστα) θα μας αποχαιρετίσει.  Μαζί του και η σχετική πανδημία (COVID-19). Οι συνέπειες, όμως, από το πέρασμά τους ήδη μας στιγματίζουν. Η καθημερινότητά μας έχει εντυπωσιακά μεταβληθεί. Ακόμα και αγαπημένα πρόσωπα αναγκαζόμαστε να αποχωριστούμε προκειμένου να τα προστατέψουμε. Ή/και για να προστατευθούμε. Στο επίπεδο των επιχειρήσεων, ο εργοδότης έχει την υποχρέωση να λαμβάνει τα κατάλληλα μέτρα για την προστασία της ζωής και της υγείας των εργαζομένων του. Ως ποιο βαθμό άραγε; Δικαιούται, λ.χ., να θερμομετρεί τους εργαζομένους όταν εισέρχονται στον χώρο εργασίας; Τους πελάτες; Κι ο γιατρός εργασίας υποχρεούται να ενημερώνει το «αφεντικό» για τα («ύποπτα») συμπτώματα ενός από τους εργαζόμενους; Προέχει, άραγε, η διαφύλαξη των προσωπικών δεδομένων του ασθενούς εργαζόμενου ή η ζωή και υγεία των υπολοίπων;

 

Τα (σχετικά) ερωτήματα που απασχολούν ήδη τους εργοδότες και τις επιχειρήσεις.

Σειρά ερωτημάτων απασχολούν όλους μας. Κάποια από αυτά, προερχόμενα από εργοδότες/επιχειρήσεις, έχουν τεθεί υπόψη της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (στο εξής: «Αρχή ΠΔΠΧ»). Αναφέρονται, από τη μία πλευρά, στις υποχρεώσεις τους για την εξασφάλιση της υγείας των εργαζομένων τους (βεβαίως και των ιδίων). Στην υποχρέωσή τους, από την άλλη, για την τήρηση της νομοθεσίας για τα προσωπικά δεδομένα. Ενδεικτικά:

(α) Επιτρέπεται η θερμομέτρηση των εισερχομένων στις εγκαταστάσεις της επιχείρησης;

(β) Επιτρέπεται η επιβολή συμπλήρωσης ερωτηματολογίου σχετικά με την κατάσταση της υγείας των εργαζομένων ή των οικείων τους;

(γ) Επιτρέπεται η επιβολή συμπλήρωσης ερωτηματολογίου σχετικά με πρόσφατο ιστορικό ταξιδίου, εργαζομένων ή οικείων τους, σε αλλοδαπό κράτος με αυξημένο κίνδυνο μετάδοσης του κορωνοϊού κλπ;

(δ) Επιτρέπεται η ενημέρωση των λοιπών εργαζομένων για το γεγονός ή/και τα στοιχεία ήδη νοσούντος εργαζομένου ή οικείων του;

 

Η υποχρέωση της διασφάλισης της ζωής και υγείας των εργαζομένων

Στο πρώτο από τη σειρά της, σχετικής με το παραπάνω θέμα, αρθρογραφίας μας  (Κορωνοϊός Και Επιχειρήσεις: Ο Πρώτος Δεκάλογος Για Τη Λειτουργία Τους Και Τις Εργασιακές Σχέσεις)αναφερθήκαμε στις βασικές υποχρεώσεις των εργοδοτών για τη διασφάλιση της ζωής και υγείας των εργαζομένων.

Οι υποχρεώσεις αυτές δεν είναι ούτε θεωρητικές ούτε αόριστες. Απορρέουν από το υφιστάμενο θεσμικό πλαίσιο (προεχόντως: τον Κώδικα Νόμων για την Υγεία & Ασφάλεια των Εργαζομένων [ΚΝΥΑΕ-που κυρώθηκε με το άρθρο πρώτο του ν.3850/2010 (ΦΕΚ 84 Α ́)].

Ένας είναι ο βασικός πυλώνας του συγκεκριμένου θεσμικού πλαισίου: «η αποκλειστική ευθύνη του εργοδότη, ο οποίος υποχρεούται να εξασφαλίζει …την υγεία των εργαζομένων ως προς όλες τις πτυχές της εργασίας, να λαμβάνει μέτρα που να εξασφαλίζουν την υγεία …των τρίτων» (άρθρ.42, παρ.1. ΚΝΥΑΕ). Στο πλαίσιο μάλιστα των ευθυνών του, ο εργοδότης οφείλει, όχι μόνον να λαμβάνει τα αναγκαία μέτρα για την προστασία της υγείας και της ασφάλειας των εργαζομένων, αλλά και να επιβλέπει την εφαρμογή τους (άρθρ. 42, παρ. 5 και 6γ ΚΝΥΑΕ).

Κι όλα τούτα, δεν αρκούν!

Ο εργοδότης οφείλει να έχει στη διάθεσή του μια γραπτή εκτίμηση των υφισταμένων κατά την εργασία κινδύνων για την ασφάλεια και την υγεία. Η γραπτή εκτίμηση επαγγελματικού κινδύνου θα έπρεπε, ήδη, να έχει επικαιροποιηθεί και ως προς τους κινδύνους και τα μέτρα πρόληψης από τον COVID-19.

Το Υπουργείο Εργασίας είχε κάνει έγκαιρα τις σχετικές υπομνήσεις. Μεταξύ αυτών, με τις κατευθυντήριες οδηγίες και μέτρα πρόληψης στους εργασιακούς χώρους από το νέο Κορωνοϊό.  Αρκετά νωρίς επίσης, με το υπ’ αριθμ. 94243/09.03.2020 έγγραφό του, εστίασε στις υποχρεώσεις των επιχειρήσεων και των εργαζομένων που συναρτώνται με την τρέχουσα πανδημία.

 

Η διασφάλιση της υγείας στο χώρο εργασίας-η θέση της Αρχής

H Αρχή ΠΔΠΧ αισθάνθηκε την ανάγκη να τοποθετηθεί στο θέμα της προστασίας από την πανδημία και των επιπτώσεών σε θέματα προσωπικών δεδομένων.

Στις Κατευθυντήριες Γραμμές της για την επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της διαχείρισης του COVID-19 (στο εξής: «Κατευθυντήριες Γραμμές») δέχεται-όσον αφορά τον ιδιωτικό τομέα- πως:

(α) Ο εργοδότης είναι υποχρεωμένος να εξασφαλίζει την υγεία και την ασφάλεια των εργαζομένων λαμβάνοντας τα αναγκαία συναφή-προστατευτικά μέτρα προς αποφυγή επέλευσης σοβαρού, άμεσου και αναπόφευκτου κινδύνου αυτών. Επίσης να εγγυάται το ασφαλές και υγιές περιβάλλον εργασίας με τη συνδρομή των εργαζομένων.

(β) Οι εργαζόμενοι είναι, αντίστοιχα, υποχρεωμένοι να εφαρμόζουν τους κανόνες υγείας και ασφάλειας των ιδίων. Επίσης, και όσων επηρεάζονται από πράξεις ή παραλείψεις τους. Στο πλαίσιο αυτό, περιλαμβάνεται και η υποχρέωσή τους να αναφέρουν αμέσως στον εργοδότη ή/και στον ιατρό εργασίας όλες τις καταστάσεις που μπορεί να θεωρηθεί ότι συνιστούν άμεσο και σοβαρό κίνδυνο για την ασφάλεια και την υγεία.

 

Ποια η θέση της Αρχής ΠΔΠΧ όσον αφορά τις υποχρεώσεις των επιχειρήσεων για τη διασφάλιση των προσωπικών δεδομένων σε σχέση με την πανδημία;

Η Αρχή ΠΔΠΧ κάνει δεκτά πως:

(α) Οι εργοδότες νομιμοποιούνται να επεξεργάζονται δεδομένα προσωπικού χαρακτήρα  εργαζομένων τους για την προστασία της υγείας τους. Η επεξεργασία αυτή γίνεται στη βάση του Γενικού Κανονισμού για την Προστασία Προσωπικών Δεδομένων (στο εξής: «Κανονισμός»). Και, αυτονοήτως, στο πλαίσιο των οδηγιών των αρμόδιων αρχών για την εφαρμογή των μέτρων που αποφασίσθηκαν με τις Πράξεις Νομοθετικού Περιεχομένου («ΠΝΠ»).

(β) Οι πληροφορίες που αφορούν την υγεία ενός φυσικού προσώπου (ή την παροχή υγειονομικής φροντίδας σ’ αυτό) συνιστούν ειδικής κατηγορίας δεδομένα προσωπικού χαρακτήρα. Τα δεδομένα αυτά υπόκεινται σε αυστηρότερο καθεστώς προστασίας.

Στα ειδικής αυτής προστασίας δεδομένα –ευαίσθητα δεδομένα- εντάσσονται (ενδεικτικά): (α) Το γεγονός ότι  νοσεί κάποιο πρόσωπο-ένας εργαζόμενος λ.χ. (που κατονομάζεται ή που, έστω, μπορεί να ταυτοποιηθεί), (β) Η κατ’ οίκον παραμονή του λόγω ασθένειας, (γ) Η διαπίστωση ενδείξεων ασθένειας, ενδεχομένως και μέσω της κλινικής του εικόνας (βήχας, καταρροή, θερμοκρασία ανώτερη της φυσιολογικής κ.λπ.).

Από την άλλη πλευρά, υπάρχουν κι άλλες πληροφορίες που θα ήταν δυνατό να ενδιαφέρουν στο πλαίσιο της τρέχουσας πανδημίας. Ενδεικτικά: εάν κάποιος ταξίδεψε πρόσφατα σε αλλοδαπό κράτος με εκτεταμένη διάδοση του κορωνοϊού ή εάν οικείος του εργαζόμενου ή συνεργάτης του είναι ασθενής ή έχει προσβληθεί από τον κορωνοϊό. Οι συγκεκριμένες πληροφορίες δεν αφορούν την υγεία του συγκεκριμένου υποκειμένου-λ.χ. εργαζόμενου. Κατά συνέπεια, δεν αποτελούν δεδομένα προσωπικού χαρακτήρα ειδικής κατηγορίας. Θα ήταν δυνατό, εντούτοις, να συνιστούν απλά δεδομένα προσωπικού χαρακτήρα. Επίσης, δηλ., προστατευτέα.

 

Ποιο το πεδίο εφαρμογής της νομοθεσίας για τα Προσωπικά Δεδομένα;

Η νομοθεσία για την προστασία των δεδομένων προσωπικού χαρακτήρα εφαρμόζεται (άρθρο 2 παρ. 1 Κανονισμού και άρθρο 2 ν. 4624/2019) σε δύο περιπτώσεις. Συγκεκριμένα όταν έχουμε: (α) αυτοματοποιημένη (συνολικά ή μερικά) επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς και (β) μη αυτοματοποιημένη επεξεργασία τέτοιων δεδομένων, τα οποία περιλαμβάνονται ή πρόκειται να περιληφθούν σε σύστημα αρχειοθέτησης.

Στο παραπάνω πλαίσιο, η προφορική ενημέρωση ότι το υποκείμενο των δεδομένων (λ.χ. εργαζόμενος νοσεί από τον κορωνοϊό ή ότι η σωματική θερμοκρασία του έχει μετρηθεί ως ανώτερη του φυσιολογικού), συνιστούν πράγματι δεδομένα προσωπικού χαρακτήρα. Η σχετική νομοθεσία εντούτοις δεν εφαρμόζεται όταν οι ανωτέρω πληροφορίες δεν περιλαμβάνονται σε σύστημα: (α) συνολικά (ή μερικά) αυτοματοποιημένης επεξεργασίας ή, εναλλακτικά, (β) μη αυτοματοποιημένης επεξεργασία εφόσον περιλαμβάνονται (ή πρόκειται να περιληφθούν) σε σύστημα αρχειοθέτησης.

Σημαντικό πάντως να τονισθεί πως το πεδίο εφαρμογής του Κανονισμού προσδιορίζεται κατά τρόπο δεσμευτικό (άρθρο 2 §1). Δεν είναι δυνατή οποιαδήποτε επέκταση του με διατάξεις της εθνικής νομοθεσίας.

Περιττό να τονίσουμε πως τέτοια επέκταση (ή προσπάθεια επέκτασης) δεν υφίσταται στη χώρα μας.

 

Τι πρέπει να κάνει, εν τέλει, ο εργοδότης;

Ο υπεύθυνος επεξεργασίας, στην προκειμένη περίπτωση ο εργοδότης, προβαίνει στις (αναγκαίες και σύμφωνες προς τον Κανονισμό) πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Πάντοτε προς την κατεύθυνση της επίτευξης των σκοπών που κάθε φορά επιδιώκονται.

Στην παρούσα φάση (όσον αφορά την Covid-19), δεν είναι δυνατό να  αποκλεισθεί ως, εκ των προτέρων, απαγορευμένη οποιαδήποτε πράξη επεξεργασίας. Άλλωστε, ο ΓΚΠΔ παρέχει τη νομική βάση επιτρεπτής επεξεργασίας στο άρθρο 6. Ιδίως, στις περιπτώσεις που είναι απαραίτητη για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου (περ. δ΄), καθώς και για λόγους δημοσίου συμφέροντος (περ. ε΄). Ωστόσο, δεδομένου ότι πρόκειται για δεδομένα ειδικής κατηγορίας (υγείας), η επεξεργασία επιτρέπεται κατ’ εξαίρεση (άρ. 9). Μεταξύ άλλων, όταν «επεξεργασία είναι απαραίτητη για λόγους δημόσιου συμφέροντος στον τομέα της δημόσιας υγείας…» (παρ. 2 περ. θ΄).

Τα δεδομένα είναι τέτοια που εκείνο που προέχει (και αυτονοήτως όλοι μας καλούμαστε να διαφυλάξουμε) είναι η ανθρώπινη ζωή και υγεία. Με σεβασμό πάντως στη νομοθεσία για τα Προσωπικά Δεδομένα.

Η όποια επεξεργασία από μέρους του εργοδότη διέπεται από την αρχή της λογοδοσίας. Με άλλα λόγια στην παρούσα περίπτωση: Όπως και να διαχειριστεί ο εργοδότης προσωπικά δεδομένα θα πρέπει να είναι, πάντοτε, σε θέση να αποδείξει το σύννομο της επεξεργασία τους.

Η συγκέντρωση μεγάλου όγκου πληροφοριών είναι εύκολη και, εν τέλει, απολύτως ολιγοδάπανη. Η επιλογή υλικών φορέων που δέχονται την εγγραφή μεγάλου όγκου είναι απολύτως ευχερής. Όσον αφορά όμως τη συλλογή προσωπικών δεδομένων, θα πρέπει να επιδιώκουμε τον αυτοπεριορισμό μας. Η συλλογή τους θα πρέπει να περιορίζεται στις πληροφορίες που χαρακτηρίζονται ως απολύτως αναγκαίες. Εκείνες δηλ. που συνδέονται αποκλειστικά με τον επιδιωκόμενο σκοπό-εν προκειμένω, την πρόληψη της διάδοσης του κορωνοϊού και κατ΄επέκταση, την προστασία της υγείας των ευρισκομένων στο χώρο εργασίας (αρχές του σκοπού και του περιορισμού της επεξεργασίας, σε συνδυασμό με την αρχή της αναλογικότητας), λαμβανομένης υπόψη και της αρχής της ασφαλούς επεξεργασίας (ιδίως της εμπιστευτικότητας πληροφοριών). Κι όλα τούτα μέσω της λήψης της απαραίτητων τεχνικών και οργανωτικών μέτρων ασφαλείας.

Μάλιστα, δεν αποκλείεται, στην περίπτωση εκείνη της επεξεργασίας των ευαίσθητων δεδομένων της υγείας σε μεγάλη κλίμακα, να απαιτηθεί η διενέργεια εκτίμησης αντικτύπου. Δηλαδή, να πραγματοποιηθεί, πριν την επεξεργασία, εκτίμηση των συνεπειών των πράξεων επεξεργασίας των προσωπικών δεδομένων.

Η συλλογή και επεξεργασία των δεδομένων προσωπικού χαρακτήρα που παρουσιάζουν επαχθή χαρακτήρα και συνιστούν περιορισμό ατομικών δικαιωμάτων, θα πρέπει να λαμβάνει χώρα με ιδιαίτερη φειδώ. Ο υπεύθυνος επεξεργασίας (εν προκειμένω ο εργοδότης) θα πρέπει πάντοτε να φροντίζει να τηρούνται οι, σχετικές, νόμιμες προϋποθέσεις. Ιδίως η αρχή της αναλογικότητας. Τα μέτρα που εν τέλει θα λάβει οφείλουν να είναι τα λιγότερο επαχθή-αφού βέβαια θα έχει αποκλεισθεί, ως απρόσφορο, οποιοδήποτε άλλο (λιγότερο επαχθές) μέτρο.

Εύκολα θα ήταν δυνατό να διολισθήσουμε, ιδίως υπό τις παρούσες συνθήκες, σε μια συστηματική, διαρκή και γενικευμένη συλλογή δεδομένων προσωπικού χαρακτήρα.  Θα αξιολογούσαμε, ενδεχομένως, ως ιδιαίτερα χρηστική και ασφαλή τη δημιουργία και διαρκή ανανέωση ενός αρχείου που θα αφορούσε την εξέλιξη της υγείας ενός εκάστου των εργαζομένων. Η δημιουργία ενός τέτοιου αρχείου, εντούτοις-κατά την Αρχή ΠΔΠΧ, «δύσκολα θα μπορούσε να χαρακτηριστεί ως σύμφωνη με την αρχή της αναλογικότητας».

 

Η δυνατότητα των ασθενών υπαλλήλων να γνωστοποιήσουν την κατάσταση της υγείας τους.

Τα πράγματα διαφοροποιούνται έντονα όταν οι ήδη νοσούντες από τον κορωνοϊό ασθενείς (υπάλληλοι εν προκειμένω), οικειοθελώς δημοσιοποιούν την κατάσταση της υγείας τους. Στην περίπτωση αυτή έχουμε μια διαφορετική (νόμιμη πάντως) βάση επεξεργασίας των συγκεκριμένων δεδομένων υγείας (άρθρο 9 §2 εδ. ε’ Κανονισμού). Αρκεί, πάντοτε, να τηρούνται οι αρχές του Κανονισμού και οι τυχόν ειδικότερες διατάξεις της εθνικής νομοθεσίας (των ΠΝΠ περιλαμβανομένων).

 

Η δυνατότητα(;) των εργοδοτών να κοινοποιούν σε τρίτους την κατάσταση της υγείας ασθενών υπαλλήλων τους.

Είναι, άραγε, επιτρεπτή ή όχι η γνωστοποίηση σε τρίτους πληροφοριών για την κατάσταση υγείας των υποκειμένων των δεδομένων (εδώ των εργαζομένων) από μέρους των υπευθύνων επεξεργασίας (εδώ των εργοδοτών);

Κατά την Αρχή ΠΔΠΧ «δεν είναι επιτρεπτή αν δημιουργεί κλίμα προκατάληψης και στιγματισμού, επιπλέον δε ενδέχεται να δρα αποτρεπτικά στην τήρηση των μέτρων που ανακοινώθηκαν από τις αρμόδιες δημόσιες αρχές με αποτέλεσμα να αντιστρατεύεται τελικά την αποτελεσματικότητα τους». Και τούτο ακόμη και αν καταρχήν διενεργείται στο πλαίσιο των ρυθμίσεων του υφιστάμενου νομοθετικού πλαισίου.

Ο Κανονισμός θέτει κατευθυντήριες γραμμές. Αυτονόητο είναι πως δεν θα ήταν δυνατό να ρυθμίζει, περιπτωσιολογικά, κάθε μια περίπτωση σχετική με  προσωπικά δεδομένα. Ούτε και να απαντά, περιπτωσιολογικά, σε απολύτως συγκεκριμένα ερωτήματα.

Ωστόσο, στο προοίμιό του ο Κανονισμός (αιτιολογική σκέψη 46) δέχεται ως χρήσιμη την επεξεργασία προσωπικών δεδομένων όταν «…είναι απαραίτητη για ανθρωπιστικούς σκοπούς, μεταξύ άλλων για την παρακολούθηση επιδημιών και της εξάπλωσής τους…».

Ενώ στη συνέχεια, εξειδικεύοντας το δημόσιο συμφέρον, δέχεται την επεξεργασία ευαίσθητων δεδομένων «…για την πρόληψη ή τον έλεγχο των μεταδοτικών ασθενειών και άλλων σοβαρών απειλών κατά της υγείας» (αιτιολογική σκέψη 52). Οι αιτιολογικές σκέψεις, μολονότι καθοδηγητικές για τον εργοδότη και τις επιχειρήσεις, δεν τους απαλλάσσουν από τις υποχρεώσεις τους.

 

Τον εργοδότη και τις επιχειρήσεις βαρύνουν συγκεκριμένες υποχρεώσεις για την διασφάλιση της υγείας στους χώρους εργασίας. Βεβαίως και η προστασία των προσωπικών δεδομένων (και) των υπαλλήλων τους.

Τα ερωτήματα που τους βαρύνουν είναι πολλά και σοβαρά.

Απαντήσεις δεν είναι δυνατό να δοθούν, εκ προοιμίου, στα περισσότερα από αυτά. Η Αρχή ΠΔΠΧ αποφεύγει να δώσει απολύτως συγκεκριμένες απαντήσεις και  κατευθύνσεις.

Η θέση της είναι πως «Η Αρχή υπενθυμίζει ότι ο υπεύθυνος επεξεργασίας προβαίνει στις αναγκαίες και σύμφωνες προς τα άρθρα 5 και 6 ΓΚΠ∆ πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα για την επίτευξη των επιδιωκόμενων σκοπών χωρίς να μπορεί εκ προοιμίου να αποκλειστεί ως απαγορευμένη οποιαδήποτε πράξη επεξεργασίας, ιδίως στην παρούσα χρονική κρίσιμη και πρωτόγνωρη συγκυρία και εφόσον πληρούνται επιπλέον οι προϋποθέσεις που περιλαμβάνονται στις υπ’ αρ. 1-2 σκέψεις της παρούσας. Είναι αυτονόητο ότι η επεξεργασία αυτή πραγματοποιείται στο πλαίσιο της αρχής της λογοδοσίας».

Με άλλα λόγια: κάντε ό,τι καταλαβαίνετε («δύσκολα είναι τα πράγματα») αλλά, να ξέρετε, «μπορεί και να σας ζητήσω το λόγο».

Η περιπτωσιολογική αντιμετώπιση επαφίεται σε καθεμιά επιχείρηση, στον DPO και στους συμβούλους της.

Καμιά αμφιβολία όμως δεν είναι δυνατό να έχουμε πως κάθε μέτρο που θα πρέπει να λαμβάνει, υπό τις παρούσες συνθήκες, ο εργοδότης/η επιχείρηση μια, μόνον, κεντρική στόχευση θα πρέπει έχει: Τη διαφύλαξη της ζωής και της υγείας των εργαζομένων.

Με σεβασμό βέβαια στη νομοθεσία για τα προσωπικά δεδομένα.

Με ακόμα μεγαλύτερο, όμως, σεβασμό στη ζωή και την υγεία των ανθρώπων τους.

Σταύρος Κουμεντάκης
Managing Partner

 

Υ.Γ. Συνοπτική έκδοση του άρθρου δημοσιεύτηκε στην Εφημερίδα ΜΑΚΕΔΟΝΙΑ, στις 19 Απριλίου 2020.

 

Η πληροφόρηση που εμπεριέχεται στο παρόν άρθρο δεν συνιστά (ούτε και έχει σκοπό να αποτελέσει) νομική συμβουλή. Μια τέτοια νομική συμβουλή είναι δυνατό να παρασχεθεί μόνον από αρμόδιο δικηγόρο ο οποίος θα λάβει υπόψη του το σύνολο των δεδομένων που θα του εκθέσετε για την υπόθεσή σας. Αναλυτικά.

Ι. Προοίμιο

«Ἔστι Δίκης ὀφθαλμός, ὅς τὰ πάνθ’ ὁρᾷ» έγραφε ο Μένανδρος στα Μονόστιχα του.

Η συγκεκριμένη φράση παραπέμπει, λιγότερο ή περισσότερο, σ’ αυτό που έχουμε συνηθίσει να αναφέρουμε ως «θεία δίκη» η οποία πάντοτε, αργά ή γρήγορα, «απονέμει δικαιοσύνη». Καθώς, στην πραγματικότητα, «θεία δίκη» (συχνά και ανθρώπινη) δεν υπάρχει ούτε και κάποια εξουσία ή αρχή διαθέτει «Δίκης ὀφθαλμόν, ὅς τὰ πάνθ’ ὁρᾷ». Βεβαίως ούτε και η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (στο εξής: «Αρχή») διαθέτει τέτοιου είδους «τὰ πάνθ’ ὁρώντα» οφθαλμό.

Αντίθετα: Καλά γνωρίζουμε την ύπαρξη του ανθρώπινου οφθαλμού που (συχνά άγρυπνα) παρακολουθεί τα συμβαίνοντα και, ενίοτε, αρμοδίως τα καταγγέλλει: και στην Αρχή (άλλη, μεγάλη, συζήτηση η ηθική διάσταση της καταγγελίας και η ηθική του καταγγέλλοντος). Όσον αφορά όμως ειδικότερα την τελευταία (την Αρχή) υποχρεούται να κάνει χρήση του ανθρώπινου οφθαλμού (του δικού της ή εκείνου των επωνύμως ή ανωνύμως καταγγελλόντων) στο πλαίσιο της εκπλήρωσης των κατά το νόμο καθηκόντων της. Ιδίως εκείνο του θεματοφύλακα του Γενικού Κανονισμού Προστασίας Δεδομένων (στο εξής: «Κανονισμός») και επιβάλλοντος τις προβλεπόμενες κυρώσεις σε περίπτωση αποκλίσεων από όσα εκείνος επιτάσσει.

 

ΙΙ. Όλα ξεκίνησαν όταν…

Η Ένωση Λογιστών Ελεγκτών Περιφέρειας Αττικής (και, αυτονοήτως, πίσω από αυτήν, κάποιος δυσαρεστημένος, για άσχετα μάλλον θέματα, υπάλληλος) υπέβαλε τον Δεκέμβριο του 2017 καταγγελία σε βάρος της PriceWaterhouseCoopers ΑΕ (στη συνέχεια: «PWC». Η συγκεκριμένη καταγγελία απευθυνόταν στην Αρχή καθώς και (προφανώς για άσκηση μεγαλύτερης πίεσης) στο Υπουργείο Εργασίας και στο ΣΕΠΕ.

Το αντικείμενο της καταγγελίας αφορούσε παράνομη επεξεργασία των δεδομένων προσωπικού χαρακτήρα των εργαζομένων (στη συνέχεια: «Δεδομένα») της PWC. Κατά την καταγγελία, η παράνομη επεξεργασία αφορούσε την «∆ήλωση Αποδοχής όρων Επεξεργασίας Προσωπικών ∆εδομένων» καθώς και τις νέες ατομικές συμβάσεις, οι οποίες περιελάμβαναν εδάφια που αναφέρονταν στην παροχή της συναίνεσης των εργαζομένων στην επεξεργασία προσωπικών τους δεδομένων και την περαιτέρω, ποικιλότροπη, παρακολούθησή τους στον χώρο εργασίας (κατά παράβαση του ν. 2472/1997). Τα δύο κείμενα (σύμβαση εργασίας και δήλωση) αξίωνε η PWC, δεδομένης της πλεονεκτικής της θέσης ως εργοδότριας-πάντα κατά την καταγγελία- να υπογράψουν, εξαναγκαζόμενοι, οι εργαζόμενοι της.

 

ΙΙΙ. Οι, κατά τον Κανονισμό, προϋποθέσεις για τη σύννομη επεξεργασία των προσωπικών δεδομένων

Ο Κανονισμός άρχισε να εφαρμόζεται, με καθολική ισχύ, στις 25.5.2018. Διάταξη με ιδιαίτερο ενδιαφέρον στη συγκεκριμένη περίπτωση είναι αυτή του άρθρου 6 παρ. 1, η οποία προβλέπει:

« 1. Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις:

α)  το υποκείμενο των δεδομένων έχει συναινέσει στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς,

β)  η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ’ αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης,

γ)  η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας,

δ)  η επεξεργασία είναι απαραίτητη για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου,

ε)  η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας,

στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί.

Το στοιχείο στ) του πρώτου εδαφίου δεν εφαρμόζεται στην επεξεργασία που διενεργείται από δημόσιες αρχές κατά την άσκηση των καθηκόντων τους».

 

IV. Η διαδικασία που ακολουθήθηκε από την Αρχή για την έκδοση της υπ΄ αριθμόν 26/2019 απόφασής της.

Η Αρχή, ασχολούμενη για πρώτη φορά με θέμα που σχετιζόταν με την εφαρμογή του Κανονισμού, δαπάνησε σημαντικό χρόνο στη διερεύνησή του όλου θέματος, υποβάλλοντας σωρεία ερωτημάτων και αιτημάτων. H Αρχή όμως, για την αποφυγή παρανοήσεων και δημιουργία νομολογιακού δεδομένου, αισθάνεται την ανάγκη να επισημάνει στην απόφασή της: πως «εξαιτίας του ότι διανύεται το πρώτο χρονικό διάστημα εφαρμογής του ΓΚΠ∆, υποβάλλει ερωτήματα και αιτήματα στο πλαίσιο άσκησης των συναφών ερευνητικών – ελεγκτικών εξουσιών της, ώστε να διευκολύνει την από μέρους των υπευθύνων επεξεργασίας τεκμηρίωση της λογοδοσίας. Ο υπεύθυνος επεξεργασίας οφείλει στο πλαίσιο των ελέγχων – ερευνών της Αρχής να παρουσιάζει από μόνος του και χωρίς σχετικά ερωτήματα και αιτήσεις της Αρχής τα μέτρα και πολιτικές που υιοθέτησε στο πλαίσιο της εσωτερικής οργάνωσης της συμμόρφωσης του, καθώς αυτός τελεί σε γνώση τους, αφού σχεδίασε και υλοποίησε τη σχετική οργάνωση» (§ 8).

Τι σημαίνει αυτό;

Σε κάποιον επόμενο, πάντως όχι μακρινό, χρόνο η Αρχή θα αξιώνει από τον Υπεύθυνο Επεξεργασίας την «τεκμηρίωση της λογοδοσίας» του, χωρίς η ίδια να αισθάνεται πως πρέπει να λειτουργεί με τη μαιευτική μέθοδο. Αν εκείνος τα καταφέρει έχει καλώς. Κι αν όμως όχι, πάλι έχει καλώς…

 

V. Η παραδοχές της εκδοθείσας (με αριθμό 26/2019) απόφασης της Αρχής

Στη συγκεκριμένη απόφαση γίνεται μια σειρά ιδιαίτερα σημαντικών παραδοχών. Επιχειρείται η καταγραφή των, κατά την άποψη του γράφοντος, ευρύτερου ενδιαφέροντος:

i. Η επιλογή της νομικής βάσης για την επεξεργασία των Δεδομένων

(α) Κατά την Αρχή (§ 6):

«Η συλλογή και επεξεργασία των δεδομένων προσωπικού χαρακτήρα δεν θα πρέπει να λαμβάνει χώρα μυστικά ή με απόκρυψή της από το υποκείμενο των δεδομένων, καθώς και με απόκρυψη όλων των αναγκαίων πληροφοριών (εκτός εάν προβλέπεται από τη νομοθεσία τηρουμένων των προϋποθέσεων του άρθρου 8 ΕΣ∆Α). Η αναγνώριση και επιλογή της κατάλληλης νομικής βάσης εκ των προβλεπομένων στο άρθρο 6 παρ. 1 ΓΚΠ∆ είναι στενά συνδεδεμένη με την αρχή της θεμιτής ή δίκαιης επεξεργασίας καθώς και με την αρχή του περιορισμού του σκοπού, ο δε υπεύθυνος επεξεργασίας οφείλει όχι μόνο να επιλέξει την κατάλληλη νομική βάση προ της έναρξης της επεξεργασίας, αλλά και να ενημερώσει κατ’ αρ. 13 παρ. 1 εδ. γ’ και 14 παρ. 1 εδ. γ’ ΓΚΠ∆ για την χρήση της το υποκείμενο των δεδομένων, καθώς η επιλογή της κάθε νομικής βάσης ασκεί έννομη επιρροή στην εφαρμογή των δικαιωμάτων των υποκειμένων.

Έτσι, το υποκείμενο των δεδομένων θα πρέπει να ενημερώνεται για τα δικαιώματά του, για τον νόμιμο και εύλογα αναμενόμενο από το ίδιο, αληθινό τρόπο και σκοπό επεξεργασίας, ο οποίος δεν πρέπει να αντίκειται στις ομοίως εύλογες και θεμιτές προσδοκίες προστασίας της ιδιωτικότητάς του, ούτε να οδηγεί εν αγνοία του στην πρόκληση κινδύνων για τα θεμελιώδη δικαιώματα και τις ελευθερίες του, ειδικότερα για το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα.

Στο πλαίσιο της αρχής της θεμιτής ή δίκαιης επεξεργασίας με διαφανή τρόπο είναι ιδιαίτερα σημαντικό ο υπεύθυνος επεξεργασίας να επιλέξει την κατάλληλη νομική βάση, ώστε να μην δημιουργηθεί στο υποκείμενο των δεδομένων η εσφαλμένη εντύπωση ότι παρέχει τη συγκατάθεσή του σύμφωνα με το άρθρο 6 παρ. 1 εδ. α’ ΓΚΠ∆, όταν στην πραγματικότητα η επεξεργασία βασίζεται στην εκτέλεση σύμβασης».

Συμπέρασμα:

Η επιλογή της κατάλληλης νομικής βάσης για την επεξεργασία δεδομένων προσωπικού χαρακτήρα (στο εξής: Δεδομένα) είναι εξαιρετικά σημαντική. Θα πρέπει να αντλείται από τη δεξαμενή της §1 του άρθρου 6 του Κανονισμού και να γνωστοποιείται στο υποκείμενο πριν από την έναρξη της επεξεργασίας τους

ii. Η επίκληση της ταυτόχρονης εφαρμογής περισσοτέρων νομικών βάσεων για την επεξεργασία Δεδομένων

(α) Κατά την Αρχή (§ 12):

 «Έτσι, ενώ για την επεξεργασία δεδομένων προσωπικού χαρακτήρα του εργαζομένου που σχετίζονται άμεσα με την εργασιακή του απασχόληση θα εφαρμοσθεί η νομική βάση του άρθρου 6 παρ. 1 εδ. β’ ΓΚΠ∆ ή για την εκπλήρωση των υποχρεώσεων του εργοδότη σε σχέση με την κοινωνική ασφάλιση του εργαζομένου ή των συναφών φορολογικών υποχρεώσεων θα εφαρμοσθεί η νομική βάση του άρθρου 6 παρ. 1 εδ. γ’ ΓΚΠ∆ ή για την προστασία της περιουσίας και της εύρυθμης λειτουργίας της επιχείρησης θα εφαρμοσθεί η νομική βάση του άρθρου 6 παρ. 1 εδ. στ’ ΓΚΠ∆, εν τούτοις, η νομική βάση της συγκατάθεσης κατ’ άρθρο 6 παρ. 1 εδ. α’ ΓΚΠ∆ θα εφαρμοσθεί στις περιπτώσεις που δεν απομένει καμία άλλη νομική βάση εφαρμογής, όπως π.χ. στην περίπτωση κατά την οποία ο εργοδότης ζητά την συγκατάθεση των εργαζομένων προκειμένου να πάρουν μέρος στην μαγνητοσκόπηση στιγμών από τον εργασιακό τους βίο … ή π.χ. για την φωτογράφιση των εργαζομένων προκειμένου να αναρτηθεί η φωτογραφία τους στο εταιρικό ενδοδίκτυο (intranet) μαζί με τα υπόλοιπα στοιχεία επικοινωνίας τους…».

(β) Συμπέρασμα

Η επιλογή της συγκατάθεσης του υποκειμένου ως νομική βάση της επεξεργασίας των Δεδομένων του δεν μπορεί να αποτελεί πανάκεια: θα εφαρμοστεί, αποκλειστικά, στις περιπτώσεις εκείνες που δεν απομένει άλλη νομική βάση εφαρμογής.

iii. Σχετικά με την ορθή εφαρμογή της νομικής βάσης της συγκατάθεσης-γενικά

(α) Κατά την Αρχή

(§ 14): Όταν εφαρμόζεται ορθά η νομική βάση της συγκατάθεσης, υπό την έννοια ότι ουδεμία άλλη νομική βάση τυγχάνει εφαρμογής, η μη χορήγηση ή η ανάκλησή της ισοδυναμεί με απόλυτη απαγόρευση επεξεργασίας των δεδομένων προσωπικού χαρακτήρα.

(§ 21): «Πέραν όσων προαναφέρθηκαν, θα πρέπει να επισημανθεί συμπληρωματικά ότι, σε περίπτωση κατά την οποία ο υπεύθυνος επεξεργασίας έχει αμφιβολίες για τη νομιμότητα της επεξεργασίας, οφείλει σύμφωνα με τις διατάξεις του ΓΚΠ∆ και ιδίως με βάση τις αρχές του άρθρου 5 παρ. 1 ΓΚΠ∆ και την υποχρέωση λογοδοσίας κατά την παράγραφο 2 του ίδιου άρθρου, να άρει αυτές προ της επεξεργασίας ή να απέχει από την επεξεργασία μέχρι την άρση των αμφιβολιών».

(§ 24): «Με δεδομένο δε ότι η εταιρία επέλεξε τη νομική βάση της συγκατάθεσης, όφειλε σύμφωνα με τα προεκτεθέντα (βλ. παρ.14) να έχει προηγουμένως εξετάσει και αποκλείσει την εφαρμογή των λοιπών νομικών βάσεων, τεκμηριώνοντας και τους σχετικούς λόγους της επιλογής αυτής, ώστε η Αρχή να έχει τη δυνατότητα ελέγχου της ορθότητας της επιλογής αυτής. Επομένως, η εταιρία, κατά τούτο, παραβίασε την αρχή της λογοδοσίας».

(β) Συμπέρασμα

Όταν εφαρμόζεται ορθά η νομική βάση της συγκατάθεσης για την επεξεργασία Δεδομένων, η μη χορήγηση ή ανάκλησή της συγκατάθεσης, ισοδυναμεί με απόλυτη απαγόρευση της επεξεργασίας τους. Σε περίπτωση αμφιβολιών ο υπεύθυνος επεξεργασίας υποχρεούται να μην προβεί σε οποιαδήποτε επεξεργασία μέχρι την άρση τους και την (προηγούμενη) τεκμηρίωση της επιλογής του.

iv. Σχετικά με την ορθή εφαρμογή της νομικής βάσης της συγκατάθεσης-στο πλαίσιο ελέγχου των ηλεκτρονικών επικοινωνιών των εργαζομένων

(α) Κατά την Αρχή

(§ 16): «Η συγκατάθεση δεν συνιστά την κατάλληλη νομική βάση για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα των εργαζομένων στο πλαίσιο ελέγχου των ηλεκτρονικών επικοινωνιών αυτών, αλλά η κατ’ αρ. 6 παρ. 1 εδ. στ’ ΓΚΠ∆ νομική βάση, όπως προεκτέθηκε… Αντίστοιχα, στην περίπτωση αυτή, προβληματική θα ήταν η επιλογή της νομικής βάσης της εκτέλεσης της εργασιακής σύμβασης κατ’ αρ. 6 παρ. 1 εδ. β’ ΓΚΠ∆ καθώς αφενός ενδέχεται (αναλόγως της φύσης της απασχόλησης) η συναφής επεξεργασία να υπερβαίνει το αναγκαίο για την εκτέλεση της (σύμβασης εργασίας) μέτρο…, αφετέρου, βάσιμα υποστηρίζεται… ότι ο έλεγχος των υπαλλήλων για σκοπούς ασφάλειας ή διαχείρισης, η εγκατάσταση και λειτουργία συστημάτων καταγγελίας παρατυπιών και η προστασία της φυσικής ασφάλειας καθώς και των ΤΠ και δικτύων θεωρούνται κατά βάση… έννομο συμφέρον του υπευθύνου επεξεργασίας, εφόσον αυτό είναι «αποδεκτό βάσει του νόμου»…»

(§ 23): «Η Αρχή έχει αναλυτικά αναφερθεί στις προϋποθέσεις, διαδικασίες και εγγυήσεις ελέγχου των μέσων επικοινωνίας και ηλεκτρονικού εξοπλισμού των εργαζομένων από τον εργοδότη με την υπ’ αρ. 34/2018 απόφασή της, στο πλαίσιο της οποίας έκρινε ότι ανάμεσα στις προϋποθέσεις σύννομης επεξεργασίας των δεδομένων προσωπικού χαρακτήρα περιλαμβάνεται και η κατάρτιση και εφαρμογή εσωτερικού κανονισμού για την ορθή χρήση και λειτουργία του εξοπλισμού και του δικτύου πληροφορικής και επικοινωνιών, παραθέτοντας μάλιστα ελάχιστο περιεχόμενο αυτού (πολιτικές κ.λπ)».

(β) Συμπέρασμα

Το θέμα των προϋποθέσεων, διαδικασιών και εγγυήσεων ελέγχου των μέσων επικοινωνίας και ηλεκτρονικού εξοπλισμού των εργαζομένων είναι ένα εξαιρετικά ευρύ και σημαντικό θέμα που εξέρχεται των ορίων του παρόντος. Αυτό που μπορεί να επισημανθεί στην προκειμένη περίπτωση είναι πως, κατά βάση, πρέπει να διενεργείται στο πλαίσιο του άρθρου 6 παρ. 1στ του Κανονισμού: όταν δηλ. η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος-με τους εκεί διαλαμβανόμενους βέβαια σημαντικούς περιορισμούς.

v. Σχετικά με τη μεταφορά του βάρους της λογοδοσίας στους εργαζόμενους

(α) Κατά την Αρχή (§ 24):

«Επιπλέον, όπως αναφέρθηκε στην υπ’ αρ. 18 ii σκέψη της παρούσας η εταιρία μετέφερε και βάρυνε τους εργαζόμενους με την υποχρέωση λογοδοσίας, με την οποία η ίδια ήταν επιφορτισμένη σε εκείνη την περίπτωση, κατά παράβαση του άρθρου 5 παρ. 2 ΓΚΠ∆. Ειδικότερα, η εταιρία ζήτησε από τους εργαζόμενους να υπογράψουν στο Παράρτημα Ι ότι «αναγνωρίζουν»:

Πρώτον…

Δεύτερον…

Με τον τρόπο αυτό, η εταιρία μετέθεσε το βάρος λογοδοσίας ως προς την εφαρμογή της αρχής της ελαχιστοποίησης των δεδομένων στα υποκείμενα, ενώ όφειλε η ίδια στο πλαίσιο της εσωτερικής οργάνωσης και συμμόρφωσης να αξιολογήσει από μόνη της ποια δεδομένα προσωπικού χαρακτήρα είναι συναφή και πρόσφορα προς τον επιδιωκόμενο νόμιμο σκοπό επεξεργασίας, δοθέντος και του ότι η εταιρία ζητά από τους εργαζόμενους τα στοιχεία (δεδομένα) που της είναι αναγκαία για την επίτευξη των σκοπών της. Σε αντίθετη περίπτωση, οι εργαζόμενοι θα προσκόμιζαν όποια στοιχεία (δεδομένα) επιθυμούσαν οι ίδιοι ή ακόμη και κανένα στοιχείο (δεδομένο).

Εν όψει των ανωτέρω και συνδυαστικά προς τη δήλωση της εταιρίας στο μετ’ ακρόαση υπόμνημά της προς την Αρχή σύμφωνα με την οποία: «[…] αντιμέτωποι με το (ακόμη) νέο και εξειδικευμένο δίκαιο της προστασίας δεδομένων προσωπικού χαρακτήρα, υιοθετήσαμε συντηρητική προσέγγιση και, αποβλέποντας στη μέγιστη δυνατή διασφάλισή μας, αλλά και προκειμένου να μην διακινδυνεύσουμε ούτε καν να θεωρηθεί ότι ενδεχομένως να παραβιάζουμε δικαίωμα μισθωτού μας, ζητήσαμε και τη συναίνεση του προσωπικού μας»…, προκύπτει ότι η εταιρία θεώρησε εσφαλμένα ότι με την υπογραφή από τα υποκείμενα των δεδομένων των προβλέψεων που περιλαμβάνονται στο Παράρτημα Ι «απαλλάσσεται κάθε ευθύνης», την στιγμή κατά την οποία μάλιστα, οι εργαζόμενοι δεν έχουν συνήθως, όπως προαναφέρθηκε, τις ειδικές γνώσεις προκειμένου να προβούν σε έλεγχο νομιμότητας τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠ∆, με τον οποίο βαρύνεται κατ’ αρ. 5 παρ. 2 ΓΚΠ∆ ο υπεύθυνος επεξεργασίας. Επομένως, η εταιρία και στην περίπτωση αυτή, παραβίασε την αρχή της λογοδοσίας.

Τέλος, η εταιρία με την επιλογή ακατάλληλων νομικών βάσεων επεξεργασίας κατ’ αρ. 6 παρ. 1 ΓΚ∆Π (αρχικά της συγκατάθεσης και εν συνεχεία της εκτέλεσης σύμβασης για το σύνολο των σκοπών επεξεργασίας) παραβίασε την εκ του άρθρου 5 παρ. 2 υποχρέωσή της να τηρήσει και να αποδείξει την συμμόρφωσή της με την παράγραφο 1 του ίδιου άρθρου (αρχή της λογοδοσίας)».

(β) Συμπέρασμα:

Η υποχρέωση λογοδοσίας είναι μια σημαντική υποχρέωση του Υπευθύνου Επεξεργασίας με την οποία αποκλειστικά ο ίδιος βαρύνεται, κατά τον Κανονισμό. Η μεταφορά της συγκεκριμένης υποχρέωσης και του σχετικού βάρους στον εργαζόμενο (πως, λ.χ., «όλα καλά τα κάνει» ο Υπεύθυνος) είναι όχι μόνον ατελέσφορη αλλά και απολύτως επιβαρυντική και προβληματική για τον Υπεύθυνο Επεξεργασίας

 

VI. Το διατακτικό της με αριθμό 26/2019 απόφασης της Αρχής

Με τη συγκεκριμένη απόφασή της η Αρχή επέβαλε στην PWC: (α) την εντός τριμήνου ευθυγράμμισή της με τις διατάξεις του Κανονισμού και (β) «…αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο» ύψους 150.000€».

 

VII. Εν κατακλείδι

Η συντριπτική πλειονότητα των επιχειρήσεων της χώρας μας: είτε δεν ασχολήθηκε καθόλου με το GDPR μέχρι (ή/και μετά) την έναρξη ισχύος του Κανονισμού (25.5.2018) λόγω άγνοιας, αδιαφορίας ή προσδοκίας «κάποιας παράτασης»  είτε ασχολήθηκε πλημμελώς (από επιλογή, στη λογική «κάτι να κάνουμε-το ελάχιστο/το φθηνότερο» ή από κακή επιλογή συμβούλων).

Η Αρχή με τη συγκεκριμένη, 26/2019, απόφασή της μας δείχνει ότι η «περίοδος χάριτος» έληξε κι επίσης πως «κάθε κατεργάρης στον πάγκο του». Η περίπτωση η οποία την απασχόλησε είναι ενδεικτική του γεγονότος πως το μέγεθος ή/και η εξειδίκευση εκείνου που εκτελεί την επεξεργασία δε θα πρέπει να μας προϊδεάζει προς οποιαδήποτε κατεύθυνση. Μεταξύ άλλων: ούτε για την εφαρμογή (ορθή ή μη) του Κανονισμού ούτε για την ευνοϊκή αντιμετώπισή του από την Αρχή.

Η λογική που διαπνέει τον Κανονισμό είναι εκείνη της αυτορρύθμισης. Η Αρχή ούτε εγκρίνει τη σχετική συμμόρφωση των επιχειρήσεων ούτε και πληροφορείται ενδεχόμενες αποκλίσεις. Εκτός κι αν…

Εκτός κι αν διενεργήσει κάποιον έλεγχο αυτοβούλως, όπως εξάλλου δικαιούται, είτε δεχθεί καταγγελία.

Ο αρχικοί φόβοι μας, πριν ακόμα από την ημερομηνία έναρξης εφαρμογής του Κανονισμού, δυστυχώς επιβεβαιώνονται: οι επιχειρήσεις στην πλειονότητά τους (α), είναι ελλιπώς ή καθόλου προετοιμασμένες για τη συμμόρφωσή τους με τον Κανονισμό και (β) είναι εκτεθειμένες σε σοβαρές κυρώσεις

Υπάρχει ακόμα χρόνος;

Φυσικά! Μέχρις ότου, όμως, ο «ὀφθαλμός, ὅς τὰ πάνθ’ ὁρᾷ», εντοπίσει τα κακώς κείμενα και επιλέξει αρμοδίως να τα καταγγείλει: προφανώς όχι για την επίτευξη κάποιου υψηλού ιδεώδους (λ.χ. του δικαίου) αλλά, πιθανότατα, από ευτελή κίνητρα κινούμενος…

Σταύρος Κουμεντάκης
Senior Partner

Υ.Γ. Συνοπτική έκδοση αυτού του άρθρου δημοσιεύτηκε στην Εφημερίδα ΜΑΚΕΔΟΝΙΑ, στις 11 Αυγούστου 2019.

[vc_row][vc_column][vc_column_text] Ο Ευρωπαϊκός Κανονισμός «για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα», ο οποίος ψηφίσθηκε την 27.4.2016, ισχύει άμεσα και καθολικά (σε όλη την Ευρώπη) από την 25.5.2018.

Βασικές διασαφήσεις

Είναι ένας «βολικός» μύθος πως αναμένουμε την ελληνική νομοθεσία για να αποφασίσουμε με ποιο τρόπο θα προσαρμοσθούμε. Υπάρχει σχέδιο νόμου (η διαβούλευσή του περαιώθηκε τον Μάρτιο του 2018) αλλά δεν έχει ψηφισθεί και δεν είναι αναγκαίο να ψηφισθεί. Ο Κανονισμός ισχύει ως έχει.

Είναι ακριβές κι όχι (κακόβουλη) υπερβολή πως όλες οι επιχειρήσεις διαχειρίζονται προσωπικά δεδομένα. Κάποιες φορές μάλιστα «ευαίσθητα»: Όπως αυτά των εργαζομένων τους. Έτσι, επιβάλλεται στις επιχειρήσεις να προσαρμοσθούν ανάλογα με τις δυνάμεις τους και (ιδίως) ανάλογα με τον δυνητικό αντίκτυπο της διαρροής των δεδομένων που επεξεργάζονται, ήτοι, ανάλογα με το πλήθος και το βαθμό «ευαισθησίας» των δεδομένων.

Είναι, επίσης, ακριβές πως ο Κανονισμός δεν είναι απόλυτα σαφής σε όλα του τα σημεία. Ωστόσο, έχουμε οπλιστεί με σχετικά ερμηνευτικά εργαλεία. Όπως, λ.χ., τις απόψεις του Working Party 29-ομάδας εκπροσώπων των Αρχών Προστασίας Δεδομένων Προσωπικού Χαρακτήρα των κρατών-μελών.

 

Ο ρόλος του GDPR στις εργασιακές σχέσεις

Ποιος ο ρόλος που διαδραματίζει ο GDPR στη σχέση μεταξύ Εργοδότη και Εργαζομένου και ποιες οι βασικές υποχρεώσεις της κάθε επιχείρησης;

α. Να εκπαιδεύσει τους Εργαζόμενους για τα δεδομένα τρίτων που διαχειρίζεται στο πλαίσιο παροχής των υπηρεσιών του, με την ευρεία έννοια της ευαισθητοποίησης και της καλλιέργειας νέων συνηθειών.

β. Να επαναπροσεγγίσει τις συμβάσεις εργασίας με την προσθήκη υποχρεώσεων του εργαζομένου που αφορούν στην ανάπτυξη νέας εταιρικής κουλτούρας: Την προσαρμογή σε ένα νέο modus operandi, όπως αυτό διαγράφεται ως αναγκαίο από τον Κανονισμό.

γ. Πριν από όλα, να ενημερώσει τους εργαζομένους για την επεξεργασία των δεδομένων τους. Ειδικότερα: για τις κατηγορίες δεδομένων τους που συλλέγει, τον χρόνο διατήρησής τους, τον σκοπό και τη νομιμοποιητική βάση της επεξεργασίας τους, την πιθανή διαβίβασή τους σε άλλους οργανισμούς (ή και σε άλλες χώρες), και πρωτίστως για τα δικαιώματά του όπως αυτά προσδιορίζονται στα άρθρα 15 – 22 του Γενικού Κανονισμού.

 

Η συναίνεση

Σημαντικό να τονισθεί, πάντως, πως οι εργοδότες υποχρεούνται να ενημερώνουν τους εργαζομένους για την επεξεργασία των αναγκαίων προσωπικών τους δεδομένων, όχι όμως να λαμβάνουν και τη συναίνεσή τους. Τέτοια συναίνεση θα ήταν αντίθετη στο πνεύμα του Κανονισμού για δύο λόγους:

 (α) Η συναίνεση πρέπει να είναι το «τελευταίο καταφύγιο» νομιμοποιητικής βάσης επεξεργασίας καθώς προϋποθέτει πραγματική ελευθερία επιλογής και είναι ανακλητή. Θα ήταν παραπλανητικό να καλλιεργούνταν στον εργαζόμενο η σκέψη ότι αν δεν δώσει ή ανακαλέσει τη συναίνεσή του, είναι δυνατό ο εργοδότης να μη ζητήσει ή να διαγράψει τα αναγκαία στοιχεία του: Στην πραγματικότητα η εργατική και ασφαλιστική νομοθεσία αλλά και η εκτέλεση της σύμβασης επιβάλλουν την επεξεργασία συγκεκριμένων προσωπικών δεδομένων του εργαζομένου.

(β) Η συναίνεση πρέπει να δίνεται ελεύθερα. Η σχέση του εργαζομένου με την επιχείρηση χαρακτηρίζεται από ανισορροπία δυνάμεων, προσφέροντας μία «εξαναγκασμένη» κι ως εκ τούτου παράνομη συναίνεση.

 

Ο GDPR είναι ένα επαχθής Κανονισμός ο οποίος, όμως, φέρει ένα σημαντικό δώρο: Την εξώθηση σε αλλαγή νοοτροπίας.

Πετρινή Νάιδου
Senior Associate

Υ.Γ. Το άρθρο δημοσιεύτηκε στην Εφημερίδα ΜΑΚΕΔΟΝΙΑ, στις 23 Δεκεμβρίου 2018

[vc_row][vc_column][vc_column_text]

Η ασφάλιση των ηλεκτρονικών και διαδικτυακών κινδύνων:
Η σημασία για την επιχείρηση και ο ρόλος του Νομικού Συμβούλου

Η κάλυψη των κινδύνων που προκύπτουν από την εφαρμογή των ηλεκτρονικών υπηρεσιών και τη χρήση του διαδικτύου αποτελεί  ένα νέο ασφαλιστικό προϊόν. Το προϊόν αυτό αναμένεται να παρουσιάσει ισχυρή ανάπτυξη τα επόμενα έτη λόγω της διαρκούς εξέλιξης της τεχνολογίας. Η περαιτέρω χρήση του διαδικτύου και των μέσων κοινωνικής δικτύωσης, καθώς και η ανάπτυξη του υπολογιστικού νέφους (cloud computing) αποτελούν παράμετροι ανάδειξης της σημασίας του νέου αυτού προϊόντος. Επιπλέον, παράγοντα ενίσχυσής του συνιστά ο πολύ μικρός – αναλογικά με τη χρήση και τη διάδοση των διαδικτυακών υπηρεσιών – αριθμός εταιρειών και επιχειρήσεων που σήμερα διαθέτουν ασφάλιση έναντι της συγκεκριμένης κατηγορίας κινδύνων.

 

Η ανάγκη ασφάλισης των ηλεκτρονικών και διαδικτυακών κινδύνων

Έχει γίνει, πλέον, αποδεκτό ότι η εξέλιξη της τεχνολογίας και η ευρεία χρήση του διαδικτύου διαμορφώνει το έδαφος για την ανάπτυξη παραβατικών συμπεριφορών είτε από αμέλεια είτε από δόλο. Οι παραβατικές αυτές συμπεριφορές διαπιστώνονται τόσο στο επαγγελματικό πεδίο όσο και στο πλαίσιο της ιδιωτικής ζωής των πολιτών. Μάλιστα, αυξάνονται καθημερινά, καθώς ευνοούνται από τα νομοθετικά κενά που παρουσιάζονται στη ρύθμιση της χρήσης του διαδικτύου. Ευνοούνται, επίσης, και από το χαμηλό ποσοστό ασφάλισης των εταιρικών οντοτήτων που διαθέτει ασφάλιση έναντι των ηλεκτρονικών και διαδικτυακών κινδύνων.

Στο πλαίσιο αυτό, θα πρέπει επίσης να ληφθεί υπόψη ότι σήμερα:

(α) η προστασία των προσωπικών δεδομένων και της ιδιωτικής ζωής αποτελεί θεμελιώδες ανθρώπινο δικαίωμα, ενώ

(β) οικοδομείται ένα αυστηρό νομοθετικό περιβάλλον τόσο στην Ευρωπαϊκή Ένωση όσο και, ειδικότερα, στην Ελλάδα για τη χρήση του διαδικτύου και του κυβερνοχώρου και, ειδικότερα, για την προστασία των προσωπικών δεδομένων των προσώπων και των χρηστών των ηλεκτρονικών υπηρεσιών.

Κοινή, ωστόσο, διαπίστωση αποτελεί ότι το χάσμα μεταξύ της ηλεκτρονικής πραγματικότητας και των νομοθετικών ρυθμίσεών της επιπλέον κίνδυνο για τις επιχειρήσεις. Η ηλεκτρονική πραγματικότητα μεταβάλλεται, εξελίσσεται και αναπτύσσεται σε γοργούς ρυθμούς, ενώ οι νομοθετικές πρωτοβουλίες επιχειρούν να ακολουθήσουν τις εξελίξεις στον κυβερνοχώρο με καθυστέρηση και συχνά ατελώς.

Συνακόλουθα, δεν καταλείπεται αμφιβολία ότι η ασφάλιση έναντι των ηλεκτρονικών και διαδικτυακών κινδύνων αποτελεί, πλέον, αναγκαιότητα.  Η αναγκαιότητα αυτή αφορά τις μεγάλες επιχειρήσεις, οι οποίες συνιστούν μεγάλους στόχους για κακόβουλες ενέργειες. Αφορά, όμως, και στις μικρότερες επιχειρήσεις, οι οποίες είναι περισσότερο ευπαθείς σε κακόβουλες ενέργειες και πιο ευάλωτες ως προς την αντιμετώπιση της ζημίας που μπορεί να προκληθεί απ’ αυτές.

 

Η επιλογή του κατάλληλου ασφαλιστικού προϊόντος

Σε αυτό το εταιρικό περιβάλλον της διαρκώς αναπτυσσόμενης και μεταβαλλόμενης ηλεκτρονικής πραγματικότητας είναι κρίσιμη η επιλογή του κατάλληλου ασφαλιστικού προϊόντος έναντι της συγκεκριμένης κατηγορίας κινδύνων.

Η επιλογή αυτή δε μπορεί πια να λαμβάνει χώρα με γνώμονα το λιγότερο ακριβό ασφάλιστρο. Αντίθετα, η συγκεκριμένη επιλογή οφείλει να συνιστά μέρος μιας ολοκληρωμένης πολιτικής της εταιρικής οντότητας. Η πολιτική αυτή πρέπει να αποσκοπεί συνολικά στην αντιμετώπιση των παραβατικών συμπεριφορών που έχουν να κάνουν με τη χρήση του διαδικτύου και των ηλεκτρονικών υπηρεσιών. Η μέριμνα δε τόσο για το σχεδιασμό της ολοκληρωμένης εταιρικής αντίδρασης όσο και για την επιλογή του κατάλληλου ασφαλιστικού προϊόντος δε μπορεί παρά να αποτελεί αρμοδιότητα του νομικού συμβούλου της εταιρικής οντότητας.

Σε γενικές γραμμές, πάντως, κάθε επιχείρηση οφείλει να σχεδιάσει την αντίδρασή της ηλεκτρονικές και διαδικτυακές παραβατικές συμπεριφορές και, συνακόλουθα, να επιλέξει το κατάλληλο ασφαλιστικό προϊόν, λαμβάνοντας υπόψη το αντικείμενό της, το βαθμό διείσδυσης των ηλεκτρονικών υπηρεσιών στη λειτουργία της, καθώς και το είδος και το εύρος των προσωπικών δεδομένων που επεξεργάζεται.

Η ελληνική ασφαλιστική αγορά

Διατρέχοντας τα προγράμματα ασφάλισης που προσφέρουν οι ασφαλιστικές εταιρείες που δραστηριοποιούνται στην Ελλάδα, διαπιστώνονται μεγάλες διαφοροποιήσεις και αποκλίσεις ως προς την κάλυψη έναντι των ηλεκτρονικών και διαδικτυακών κινδύνων. Συγκεκριμένα, διαπιστώνεται ότι οι μεγαλύτερες ασφαλιστικές εταιρείες στην Ελλάδα:

(α) είτε δεν παρέχουν προγράμματα ασφάλισης για τους κινδύνους αυτούς,

(β) είτε συμπεριλαμβάνουν την κάλυψη έναντι των συγκεκριμένων κινδύνων στην ασφάλιση ηλεκτρονικού εξοπλισμού ως προαιρετική και πρόσθετη κάλυψη της ασφάλισης επιχειρήσεων, χωρίς δηλαδή να παρέχουν εξειδικευμένο πρόγραμμα ασφάλισης,

(γ) είτε έχουν εισαγάγει εξειδικευμένα και καινοτόμα προγράμματα ασφάλισης, τα συνδυάζουν την κάλυψη έναντι των ασφαλιστέων κινδύνων και την παροχή νομικών, τεχνικών και συμβουλευτικών υπηρεσιών, απαρτίζοντας ένα ενιαίο πακέτο.-

Επομένως, καθίσταται σαφές ότι, σε ό,τι αφορά την αντιμετώπιση των κινδύνων που προκύπτουν από την εφαρμογή των ηλεκτρονικών υπηρεσιών και τη χρήση του διαδικτύου, τα εργαλεία υπάρχουν.

Ευθύνη της εταιρικής οντότητας απέναντι στην υπόστασή της, στους εταίρους ή μετόχους της, στο προσωπικό της και τους τρίτους συναλλασσόμενους με αυτήν είναι να επιλέξει τα πιο κατάλληλα εργαλεία. Επιπρόσθετα, υποχρέωση του εταιρικού οργανισμού είναι να ενσωματώσει τα εργαλεία αυτά στο σχεδιασμό αντιμετώπισης των εν λόγω παραβατικών συμπεριφορών. Αντίστοιχα, ευθύνη του δικηγόρου – νομικού συμβούλου της επιχείρησης αποτελεί η αξιολόγηση των προσφερόμενων ασφαλιστικών προϊόντων και η υποβοήθηση της στην επιλογή της βέλτιστης λύσης. Επιπλέον, καθήκον του δικηγόρου – νομικού συμβούλου συνιστά και η μέγιστη δυνατή διασφάλιση της επιχείρησης μέσω του ελέγχου της ασφαλιστικής σύμβασης. Τέλος, σε περίπτωση επέλευσης του ασφαλισμένου κινδύνου, το καθήκον του δικηγόρου – νομικού συμβούλου εκτείνεται στη συγκρότηση για λογαριασμό της ασφαλιζόμενης επιχείρησης τεκμηριωμένης αξίωσης για την εκπλήρωση των υποχρεώσεων της ασφαλιστικής εταιρείας.

Πέτρος Ταρνατώρος
Senior Associate

 

Υ.Γ. Το άρθρο δημοσιεύτηκε στην Εφημερίδα ΜΑΚΕΔΟΝΙΑ, στις 27 Οκτωβρίου 2018

 

[vc_row][vc_column][vc_column_text]

«Υπάρχουν μόνο δύο είδη επιχειρήσεων: αυτές που τις έχουν ήδη χακάρει και αυτές τις οποίες θα χακάρουν στο μέλλον», δήλωσε το 2012 ο τότε  Διευθυντής του FBI Robert Mueller.

Παρά την ψηφιοποίηση των πληροφοριών και την χρήση ηλεκτρονικών δικτύων για την διεκπεραίωση συναλλαγών και εργασιών, είναι προφανές πως οι περισσότερες επιχειρήσεις στην Ελλάδα δεν έχουν συναίσθηση των κινδύνων που διατρέχουν τόσο οι ίδιες όσο και τα δεδομένα των πελατών τους από τις κυβερνοεπιθέσεις.

Οι νομικές συνέπειες της διαρροής δεδομένων από τις κυβερνοεπιθέσεις είναι, πάντοτε σοβαρές. Οι μεν βλαπτόμενοι τρίτοι δικαιούνται να κινηθούν δικαστικά σε βάρος της επιχείρησης για τη διαρροή των δεδομένων τους, οι δε αρμόδιες αρχές να επιβάλλουν τα πρόστιμα που προβλέπονται από τη νομοθεσία.

 

Η οδηγία Νetwork and Information Security

Οι περισσότεροι πλέον γνωρίζουν τον Γενικό Κανονισμό Προστασίας Δεδομένων 2016/679 (γνωστό και ως GDPR). Λίγοι όμως γνωρίζουν και την Οδηγία για τα Μέτρα για Υψηλό Κοινό Επίπεδο Ασφαλείας Συστημάτων Δικτύου και Πληροφοριών (Νetwork and Information Security Directive 2016/1148) που επίσης έπρεπε υποχρεωτικά να ενσωματωθεί στην εσωτερική νομοθεσία των κρατών – μελών τον Μάιο του 2018.

Με τα παραπάνω νομοθετήματα η Ευρωπαϊκή Ένωση σκληραίνει τη στάση της στην απόδοση επιχειρηματικής ευθύνης για την παράλειψη προστασίας και ασφαλούς διαχείρισης των δεδομένων. Και τα δύο νομοθετήματα, προβλέπουν δυσμενείς συνέπειες σε βάρος της επιχείρησης για τη διαρροή δεδομένων.

 

Ο ρόλος του Νομικού Συμβούλου

Καθήκον του Νομικού Συμβούλου είναι η μέριμνα για την πιστή εφαρμογή της νομοθεσίας και των βέλτιστων πρακτικών (best practices), η άμβλυνση των συνεπειών από τυχόν παραβίαση και, ιδίως, η εναρμόνιση του συνόλου της επιχείρησης στην τήρηση του Σχεδίου Αντίδρασης (Incident Response Plan), το οποίο απαραίτητα πρέπει να διαθέτει κάθε επιχείρηση. Ένα Σχέδιο Αντίδρασης σε Κυβερνοεπίθεση ενδεικτικά περιλαμβάνει:

• Τη σύνθεση του crisis management team και πότε/πως ενεργοποιείται.
• Τους επικεφαλής των ομάδων ενέργειας, και πότε/πως ειδοποιούνται.
• Το πρόσωπο που αποφασίζει (και το deadline λήψης απόφασης) για την ολοσχερή διακοπή (total shut down) λειτουργίας των δικτύων της εταιρείας ή την απόπειρα συνέχισης λειτουργίας ώστε να εντοπισθεί η προέλευση της κυβερνοεπίθεσης.
• Τα έγγραφα που θα τεκμηριώνουν τον χρόνο συνειδητοποίησης της κυβερνοεπίθεσης και των ενεργειών που έλαβαν χώρα.
• Τον υπεύθυνο επικοινωνίας που (ενδεχομένως) θα διαχειρισθεί επικοινωνιακό κομμάτι της αποκάλυψης.

Ο νομικός σας σύμβουλος γνωρίζει ποιες είναι οι απαιτούμενες ενέργειες ώστε να καθίσταται σαφές στις Αρχές πως η επιχείρηση έκανε ό,τι καλύτερο ήταν δυνατό τόσο προληπτικά όσο και μετά την διαρροή των δεδομένων και να συλλεγεί το κατάλληλο αποδεικτικό υλικό. Κρίσιμος είναι ο ρόλος του νομικού συμβούλου και στην κατάρτιση αναφοράς η οποία με τρόπο σαφή και ευεξήγητο θα εντοπίζει τα αίτια της διαρροής και τα ευθυνόμενα πρόσωπα.

Επίσης, ο νομικός σύμβουλος της επιχείρησης θα εντοπίσει τις πιθανότερες πηγές κινδύνου και θα είναι σε θέση να διαπραγματευθεί το περιεχόμενο των προτεινομένων συμβάσεων ασφάλισης και εν τέλει εισηγηθεί τη σύναψη της ενδεδειγμένης ασφαλιστικής κάλυψης έναντι κυβερνοεπίθεσης.

Όλες οι παραπάνω ενέργειες του νομικού συμβούλου (: εσωτερικά policies, Σχέδιο Αντίδρασης, Ασφαλιστική Κάλυψη) κυρίως όμως η ευθυγράμμιση της επιχείρησης με όσα προβλέπονται, δεν μπορούν παρά να έχουν ως συνέπεια την επαύξηση της εμπιστοσύνης των πελατών και συνεργατών της προς την ίδια.

Λάμπρος Τιμοθέου
Partner

 

Υ.Γ. Το άρθρο δημοσιεύτηκε στην Εφημερίδα ΜΑΚΕΔΟΝΙΑ, στις 21 Οκτωβρίου 2018

 

[vc_row][vc_column][vc_column_text]

[/vc_column_text][/vc_column][/vc_row]