Η γερμανική νομοθεσία για την επεξεργασία δεδομένων των εργαζομένων δεν είναι συμβατή με τον ΓΚΠΔ

Με την απόφασή του στην υπόθεση C-34/21 (Hauptpersonalrat der Lehrerinnen und Lehrer), το Δικαστήριο της Ευρωπαϊκής Ένωσης έκρινε εμμέσως πως οι διατάξεις της νομοθεσίας του κρατιδίου της Έσσης για την επεξεργασία δεδομένων στο πλαίσιο απασχόλησης (άρθρο 23 HDSIG) δεν πληρούν τις απαιτήσεις και προϋποθέσεις του άρθρου 88 ΓΚΠΔ για τη θέσπιση «ειδικών κανόνων» σε εθνικό επίπεδο. Η απόφαση αυτή αναμένεται να προκαλέσει ντόμινο εξελίξεων σε σειρά εθνικών νομοθετημάτων που εμφανίζουν τα ίδια χαρακτηριστικά με την εμμέσως κριθείσα διάταξη ή που έχουν στηριχθεί στο παρεμφερές άρθρο 26 του γερμανικού ομοσπονδιακού νόμου BDSG, καθώς και σε έννομες τάξεις που εφαρμόζουν παρόμοιες ή τις συγκεκριμένες διατάξεις.

Το ζήτημα αυτό θα πρέπει να απασχολήσει και την Ελλάδα, δεδομένου ότι το άρθρο 27 του εθνικού νόμου 4624/2019 αποτελεί, στο μεγαλύτερο μέρος, του μεταφορά των γερμανικών διατάξεων.

Η αρχή επί των εξελίξεων αυτών έγινε με χτεσινή ανακοίνωση του Επιτρόπου Προστασίας Δεδομένων του Αμβούργου, έτερου γερμανικού κρατιδίου. Με βάση την κρίση του Δικαστηρίου, ο αρμόδιος Επίτροπος επισημαίνει τις ομοιότητες του άρθρου 26 BDSG με το άρθρο 23 HDSIG και τις συνέπειες που έχει η διαπίστωση αυτή για ένα κρατίδιο το οποίο εφαρμόζει τις ομοσπονδιακές διατάξεις για την επεξεργασία δεδομένων στο πλαίσιο απασχόλησης από εταιρείες και μη δημόσιους φορείς.

Παράλληλα, ο Επίτροπος δίνει συμβουλές στις επιχειρήσεις ως προς τις απαιτούμενες προπαρασκευαστικές ενέργειες για μετάβαση από το εθνικό δίκαιο στις νομικές βάσεις του άρθρου 6 ΓΚΠΔ, ενώ κάνει παρατηρήσεις για τον πληρέστερο, πλην όχι επαρκή, νόμο του κρατιδίου για την επεξεργασία δεδομένων από δημόσιους φορείς.

Τέλος, ο Επίτροπος τονίζει την ανάγκη για άμεση νομοθετική τομεακή ρύθμιση του ζητήματος της επεξεργασίας δεδομένων στο πλαίσιο απασχόλησης, σε επίπεδο Ομοσπονδίας, αλλά και συμπλήρωση των διατάξεων του κρατιδίου.

Απόσπασμα από το Δελτίο Τύπου:

Στις 30 Μαρτίου 2023, το Δικαστήριο της Ευρωπαϊκής Ένωσης (ΔΕΕ) εξέδωσε μια απόφαση-ορόσημο για την επεξεργασία των δεδομένων των εργαζομένων, η οποία έχει επιπτώσεις και για τις επιχειρήσεις, τις δημόσιες αρχές και τον νομοθέτη του Αμβούργου. Σε προδικαστική αίτηση από το κρατίδιο της Έσσης, το Δικαστήριο ασχολήθηκε με το κατά πόσον το άρθρο 23 της νομοθεσίας της Έσσης για την προστασία των προσωπικών δεδομένων (Hessisches Datenschutz- und Informationsfreiheitsgesetz) μπορεί να αποτελεί τη νομική βάση για τη διεξαγωγή τηλεδιασκέψεων εκπαιδευτικών. Το ΔΕΕ κατέληξε στο συμπέρασμα ότι το άρθρο 23 του HDSIG δεν αποτελεί «ειδικό κανόνα» κατά την έννοια του άρθρου 88 παρ.1 και 2 ΓΚΠΔ και, ως εκ τούτου, δεν πληροί τις απαιτήσεις της διάταξης και του Γενικού Κανονισμού Προστασίας Δεδομένων.

Αναγκαίες ενέργειες για εταιρείες και μη δημόσιους φορείς

Η απόφαση του ΔΕΕ έχει σημαντικές επιπτώσεις και για το κρατίδιο του Αμβούργου. Το άρθρο 26 BDSG, η αντίστοιχη διάταξη της γερμανικής ομοσπονδιακής νομοθεσίας για τα προσωπικά δεδομένα, που ρυθμίζει την επεξεργασία δεδομένων των εργαζομένων, είναι επομένως πιθανό να θεωρηθεί ανεφάρμοστο. Οι επιχειρήσεις θα πρέπει πλέον να βασίζουν την επεξεργασία των δεδομένων των εργαζομένων τους στο άρθρο 6 παράγραφος 1 ΓΚΠΔ. Πιο συγκεκριμένα, η εκτέλεση σύμβασης (στοιχ. β’) και η συμμόρφωση με έννομη υποχρέωση (στοιχ. γ’) είναι μεταξύ των περιπτώσεων που πρέπει να εξεταστούν.

Επί του παρόντος, δεν μπορεί να θεωρηθεί ότι η επεξεργασία των δεδομένων θα πρέπει να ανασταλεί ή να διακοπεί, καθώς είναι πιθανό ότι θα υπάρξει εναλλακτική νομική βάση για κάθε περίπτωση. Ωστόσο, το ζήτημα αυτό θα πρέπει να εξεταστεί από τον υπεύθυνο επεξεργασίας, κατά περίπτωση. Στο πλαίσιο αυτό, θα πρέπει να εξεταστεί το ενδεχόμενο να αξιοποιηθούν περισσότερο οι συλλογικές συμβάσεις, με τις οποίες μπορούν να δημιουργηθούν βιώσιμοι και διαφοροποιημένοι κανόνες για την ενδοεταιρική ή ενδοομιλική επεξεργασία δεδομένων.

Έγγραφα όπως οι Πολιτικές Προστασίας, τα αρχεία δραστηριοτήτων και τα κείμενα συγκατάθεσης θα πρέπει να προσαρμοστούν, όπου χρειάζεται, με την καταχώριση επικαιροποιημένων νομικών βάσεων. Ενόψει της νέας νομικής κατάστασης που χρήζει αποσαφήνισης, καλό θα είναι να μην βιαστεί κανείς, αλλά να περιμένει τις διευκρινίσεις της Συνόδου των γερμανικών εποπτικών αρχών και, αν χρειαστεί, των δικαστηρίων.

Αναγκαίες ενέργειες για δημόσιους φορείς

Οι δημόσιοι φορείς στο Αμβούργο αντιμετωπίζουν τις ίδιες προκλήσεις με τις εταιρείες και τους λοιπούς μη δημόσιους φορείς. Αυτό οφείλεται στο γεγονός ότι η ισχύουσα ρύθμιση για την επεξεργασία δεδομένων του προσωπικού των δημοσίων φορέων, ήτοι το άρθρο 10 του HmbDSG (νόμος του Αμβούργου για την προστασία των δεδομένων), παρουσιάζει μεγάλες ομοιότητες με τον νόμο της Έσσης. Ωστόσο, περιέχει και ειδικότερες εγγυήσεις για τα υποκείμενα των δεδομένων, οι οποίες δεν εμφανίζονται στο αντίστοιχο δίκαιο της Έσσης. Συνιστάται η επανεξέταση της διάταξης και η τροποποίησή της, εάν είναι απαραίτητο.

Αναγκαίες ενέργειες από τον νομοθέτη

Οι προσπάθειες για τη διαμόρφωση νέου νομικού πλαισίου για την προστασία των δεδομένων στον τομέα της απασχόλησης, οι οποίες ούτως ή άλλως βρίσκονταν σε εξέλιξη, έχουν πλέον αποκτήσει νέα σημασία. Η Σύνοδος των γερμανικών εποπτικών αρχών έχει ήδη ζητήσει τη θέσπιση ενός τέτοιου τομεακού νομοθετήματος από τις 29 Απριλίου 2022. Στο επίπεδο της πόλης του Αμβούργου, ο Επίτροπος για την Προστασία των Δεδομένων και την Ελευθερία της Πληροφορίας, Thomas Fuchs, θα ξεκινήσει διαβουλεύσεις με τους εμπλεκόμενους φορείς τον Απρίλιο για την προώθηση αυτού του αιτήματος και την αποκατάσταση της νομικής αβεβαιότητας. Εκτός από την ομοσπονδιακή βουλή, και ο νομοθέτης του Αμβούργου καλείται τώρα να επανεξετάσει το πολύ υποτυπώδες άρθρο 10 του HmbDSG και, εάν είναι απαραίτητο, να το επεκτείνει σημαντικά.