Περιορισμός δικαιώματος πρόσβασης με βάση τον GDPR σε υπόθεση απόλυσης εργαζομένου

Στις 20 Δεκεμβρίου 2018, το Ανώτατο Εργατικό Δικαστήριο της Βάδης-Βυρτεμβέργης (Landesarbeitsgericht Baden-Wuerttemberg - "LAG") κλήθηκε να κρίνει αναφορικά με το πεδίο εφαρμογής και τις εξαιρέσεις του δικαιώματος πρόσβασης των υποκειμένων δεδομένων προσωπικού χαρακτήρα.

Η υπόθεση αφορούσε σε αγωγή για καταχρηστική απόλυσή ενός εργαζομένου εναντίον του πρώην εργοδότη του.

Το Δικαστήριο αναγνώρισε ότι έχει πράγματι το δικαίωμα πρόσβασης σε γενικές πληροφορίες σχετικά με τα προσωπικά δεδομένα των εργαζομένων που επεξεργάστηκε ο εργοδότης (άρθρο 15 παράγραφος 1 του GDPR) καθώς και τη λήψη αντιγράφου των δεδομένων αυτών (άρθρο 15 παράγραφος 3 του GDPR).

Σύμφωνα με το Δικαστήριο, το αντίγραφο του άρθρου 15 παράγραφος 3 του GDPR περιλαμβάνει οποιοδήποτε από τα προσωπικά δεδομένα του εργαζομένου που έχουν τύχει επεξεργασίας, συμπεριλαμβανομένης οποιασδήποτε αλληλογραφίας, καθώς και δεδομένα απόδοσης και συμπεριφοράς, ακόμη και αν αυτά τα δεδομένα δεν έχουν αποθηκευτεί στον φάκελο εργασίας του εργαζομένου.

Στην προκειμένη περίπτωση, ο εργοδότης διεξήγαγε εσωτερικές έρευνες σχετικά με τις επιχειρησιακές παραλείψεις υπαλλήλων του, παρέχοντας εγγυήσεις στους καταγγέλλοντες (whistleblowers) ότι δεν θα αποκαλυφθεί η ταυτότητά τους.

Επομένως, ήταν ζωτικής σημασίας να περιοριστεί το δικαίωμα πρόσβασης βάσει του άρθρου 15 παράγραφος 3 του GDPR με βάση την εξαίρεση για τα δικαιώματα και τις ελευθερίες άλλων προσώπων (άρθρο 15 παράγραφος 4 του GDPR).

Το Δικαστήριο υποστήριξε την άποψη ότι η διασφάλιση της ανωνυμίας της πηγής πληροφοριών, εφόσον ο εργοδότης έχει παράσχει σχετικές εγγυήσεις, μπορεί να συνιστά έννομο συμφέρον του.

Ωστόσο, το Δικαστήριο τονίζει ότι το άρθρο 15 παράγραφος 4 του GDPR μπορεί να περιορίσει αίτημα πρόσβασης μόνο στο βαθμό που αυτό είναι απαραίτητο για την προστασία των συμφερόντων των τρίτων, υπό την προϋπόθεση ότι θα γίνει έλεγχος εξισορρόπησης των εμπλεκόμενων συμφερόντων.

Σύμφωνα με το Δικαστήριο, δεν αρκεί να γίνει γενική αναφορά στην ανάγκη προστασίας των καταγγέλοντων, αλλά απαιτείται από τον εργοδότη να αναφέρει τα συγκεκριμένα προσωπικά δεδομένα του εργαζομένου, τα οποία σχετίζονται με τα συμφέροντα των εμπλεκόμενων τρίτων.

Στο πλαίσιο αυτό, το Δικαστήριο έκρινε ότι είναι απαραίτητο να γίνει αναφορά στα συναφή γεγονότα, το περιστατικό, ζητήματα χρόνου και τόπου.

Παροχή αντιγράφου των προσωπικών δεδομένων

Είναι αξιοσημείωτο ότι το Δικαστήριο δεν έκρινε επί του τρόπου με τον οποίο πρέπει να εφαρμοστεί η παροχή αντιγράφου των δεδομένων, καθώς το ζήτημα θα αποτελέσει αντικείμενο μεταγενέστερων διαδικασιών.

Η Αρχή προστασίας δεδομένων της Βαυαρίας ("Bavarian DPA") έχει ενημερώσει ότι η σχετική διατύπωση του GDPR αναφέρεται σε αντίγραφο δεδομένων και όχι σε αντίγραφο εγγράφων ή μηνυμάτων ηλεκτρονικού ταχυδρομείου κ.λπ. που περιέχει το όνομα του ατόμου.

Η βαυαρική Αρχή τόνισε ότι, σύμφωνα με το άρθρο 15 παράγραφος 3 του GDPR, αρκεί να παρέχεται στο άτομο μία πλήρης σύνοψη των δεδομένων του που υποβάλλονται σε επεξεργασία, σε κατανοητή μορφή, η οποία του επιτρέπει να βεβαιωθεί ότι τα δεδομένα αυτά είναι ακριβή και υποβάλλονται σε επεξεργασία σύμφωνα με τους ισχύοντες νόμους περί προστασίας δεδομένων.

Σύμφωνα με εξειδικευμένους δικηγόρους στη Γερμανία, το Δικαστήριο στην προκειμένη περίπτωση έθεσε ένα υψηλό όριο αναφορικά με τους περιορισμούς στο δικαίωμα πρόσβασης.

Η άποψη του Δικαστηρίου συνεπάγεται μία αυξημένη υποχρέωση ελέγχου μεγάλου όγκου πληροφοριών.

Απομένει να εξεταστεί εάν αυτή η άποψη θα καθιερωθεί νομολογία, λαμβάνοντας ιδίως υπόωη το γεγονός ότι η υπόθεση αφορά σε καταχρηστική απόλυση εργαζομένου.

Το άρθρο 15 του GDPR παρέχει στα υποκείμενα των δεδομένων το δικαίωμα να ζητούν πληροφορίες σχετικά με τα προσωπικά τους δεδομένα, μόνο προκειμένου να γνωρίζουν και να επαληθεύουν τη νομιμότητα των δραστηριοτήτων επεξεργασίας (βλέπε και αιτιολογική σκέψη 63 GDPR).

Λαμβάνοντας υπόψη τους στόχους αυτούς, θα πρέπει να είναι δυνατόν να απορριφθούν νομίμως τα αιτήματα που υποβάλλονται για άλλους σκοπούς που δεν αφορούν στην προστασία δεδομένων, χωρίς να χρειαστεί να τηρηθεί το σκεπτικό που διατύπωσε το Δικαστήριο.