logo-print

Κορωνοϊός, θερμομέτρηση και προστασία προσωπικών δεδομένων

Μία συγκριτική θεώρηση της θερμομέτρησης στο πλαίσιο του COVID-19 υπό το πρίσμα των εθνικών Εποπτικών Αρχών (Πίνακας)

01/05/2020

16/05/2020

Εβελίνα Παππά, Δικηγόρος LLM, CIPP/E, KBVL Law Firm (Deloitte Legal Network)

Ενόψει της σταδιακής άρσης των μέτρων περιορισμού μετάδοσης του COVID-19 και επαναλειτουργίας της αγοράς σε πανευρωπαϊκό επίπεδο, αρκετοί ιδιωτικοί και δημόσιοι φορείς εξετάζουν το ενδεχόμενο θερμομέτρησης των εργαζομένων και επισκεπτών κατά την είσοδο στις εγκαταστάσεις τους. Οι πρακτικές που τίθενται επί τάπητος ποικίλουν, από την εξ αποστάσεως θερμομέτρηση με τη βοήθεια ηλεκτρονικού θερμομέτρου έως την εγκατάσταση προηγμένων συστημάτων θερμοκαμερών.

Τα ερωτήματα που εγείρονται, ευλόγως, αναφορικά με τη νομιμότητα της επεξεργασίας και την εν γένει συμμόρφωσή της με τη νομοθεσία περί προστασίας προσωπικών δεδομένων είναι σύνθετα, ενώ υπάρχουν και αρκετές διαφοροποιήσεις στην προσέγγιση που έχουν υιοθετήσει μέχρι σήμερα οι επιμέρους εθνικές Εποπτικές Αρχές.

Η θερμομέτρηση εμπίπτει στο πεδίο εφαρμογής του Γενικού Κανονισμού για τα Προσωπικά Δεδομένα;

Η απάντηση δεν είναι αυτονόητη. Στο ουσιαστικό πεδίο εφαρμογής της νομοθεσίας για τα προσωπικά δεδομένα και συγκεκριμένα στον Γενικό Κανονισμό για τα Προσωπικά Δεδομένα (εφεξής «ΓΚΠΔ») και στον εφαρμοστικό Νόμο 4624/2019, εμπίπτουν οι επεξεργασίες των δεδομένων προσωπικού χαρακτήρα που περιλαµβάνονται ή πρόκειται να περιληφθούν σε σύστηµα αρχειοθέτησης. Σχετικό παράδειγμα συμπεριλήφθηκε ήδη στις Κατευθυντήριες Οδηγίες της Ελληνικής και της Βελγικής Αρχής, σύμφωνα με τις οποίες η προφορική ενηµέρωση για τη σωµατική θερµοκρασία του υποκειμένου των δεδομένων που έχει µετρηθεί ως ανώτερη του φυσιολογικού, συνιστά µεν δεδοµένο προσωπικού χαρακτήρα, πλην όµως η σχετική νοµοθεσία δεν εφαρµόζεται, εάν το δεδομένο δεν έχει περιληφθεί σε σύστηµα αρχειοθέτησης (σε περίπτωση µη αυτοµατοποιηµένης επεξεργασίας) ή σε αυτοµατοποιηµένη επεξεργασία. Αντιθέτως, η συστηματική και γενικευμένη θερμομέτρηση εμπίπτει στις διατάξεις του ΓΚΠΔ και του Ν. 4624/2019.

Επομένως, δεν πρέπει να αποκλείεται εκ προοιμίου το ενδεχόμενο η θερμομέτρηση να μην εμπίπτει στο πεδίο εφαρμογής της προαναφερθείσας νομοθεσίας για την προστασία των προσωπικών δεδομένων και ως εκ τούτου - υπό συνθήκες - να μην τίθενται σε ισχύ και οι σχετικές υποχρεώσεις που προβλέπονται σε αυτή. Κρίσιμη παράμετρος για τη μη εφαρμογή του ΓΚΠΔ είναι να αποδειχθεί ο μη συστηματικός και γενικευμένος τρόπος επεξεργασίας των δεδομένων που συνέχονται με τη θερμοκρασία του σώματος των υποκειμένων των δεδομένων. Το βάρος απόδειξης της παραπάνω θέσης έγκειται φυσικά στον Υπεύθυνο επεξεργασίας, σύμφωνα με την αρχή της λογοδοσίας.

Τι είδους επεξεργασία συνιστά η θερμομέτρηση και ποια η νομική της βάση;

Είναι σαφές ότι στις περιπτώσεις κατά τις οποίες η θερμομέτρηση εμπίπτει στον Γενικό Κανονισμό, αποτελεί επεξεργασία ειδικής κατηγορίας προσωπικών δεδομένων, καθώς μέσω της θερμομέτρησης εξάγονται συμπεράσματα για την κατάσταση της υγείας του προσώπου. Αντίστοιχα, η νομιμότητα της εν λόγω επεξεργασίας απαιτεί την στοιχειοθέτηση των νομικών βάσεων του άρθρου 9 παρ. 2 του Γενικού Κανονισμού. Σύμφωνα με τις Οδηγίες της ΑΠΔΠΧ, πιθανές νομικές βάσεις είναι οι διατάξεις του άρθρου 9 παρ. 2, ιδίως, εδ. β’, ε’ και θ’ ΓΚΠ∆. Το ζήτημα που τίθεται εν προκειμένω δεν αφορά μόνο στη μέθοδο λήψης των δεδομένων αλλά και στην ιδιότητα του διενεργούντος την επεξεργασία.

Για παράδειγμα, εάν υποτεθεί ότι η επεξεργασία πραγματοποιείται από τον εργοδότη στο πλαίσιο της υγιεινής και ασφάλειας στο χώρο εργασίας (ν.3850/2010), η επεξεργασία της πληροφορίας θα πρέπει να γίνεται από επαγγελματίες υγείας που δεσμεύονται από το ιατρικό απόρρητο και όχι από τρίτα πρόσωπα, λ.χ. το προσωπικό ασφαλείας μίας επιχείρησης. Αμφίβολο είναι ωστόσο αν κάτι τέτοιο είναι εφικτό στην πράξη. Αξιοσημείωτη, είναι και η τοποθέτηση της Ισλανδικής Αρχής, η οποία θέτει ως προϋπόθεση για τη νομιμότητα της επεξεργασίας τη συγκατάθεση των εργαζομένων, η ισχύς της οποίας αμφισβητείται στο πλαίσιο της σχέσης εργαζομένου και εργοδότη.

Πώς αντιμετωπίζεται πανευρωπαϊκά το ζήτημα της θερμομέτρησης;

Στον Πίνακα που μπορείτε να βρείτε εδώ παρατίθεται μία συγκριτική ανάλυση της προσέγγισης των Εποπτικών Αρχών, του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων και της επιστημονικής κοινότητας σχετικά με το ζήτημα της θερμομέτρησης, ενόψει της ανάγκης περιορισμού μετάδοσης του COVID-19.

Συνοπτικά, οι Αρχές που έχουν τοποθετηθεί μέχρι σήμερα για το ζήτημα της θερμομέτρησης διακρίνονται σε αυτές που διάκεινται αρνητικά και σε αυτές που δεν την αποκλείουν κατ’ αρχήν ως απαγορευμένο μέσο επεξεργασίας, αλλά θέτουν μία σειρά από προϋποθέσεις για τη νομιμότητά της.

Στις Αρχές που αποθαρρύνουν τις ιδιωτικές εταιρείες να προχωρούν στη θερμομέτρηση εργαζομένων και επισκεπτών συγκαταλέγονται οι Αρχές της Γαλλίας, Ιταλίας, Ουγγαρίας, Λιθουανίας, Βελγίου, Λουξεμβούργου και Ολλανδίας. Στον αντίποδα, βρίσκονται οι Αρχές της Ελλάδας, Ελβετίας, Ιρλανδίας, Ισλανδίας, Ισπανίας, Ρωσίας και Σλοβακίας, κατά τις οποίες η νομιμότητα της θερμομέτρησης κρίνεται ad hoc και εναπόκειται στο πλαίσιο της αρχής της λογοδοσίας των Υπευθύνων Επεξεργασίας. Η δεύτερη ομάδα Αρχών διατυπώνει κατά κύριο λόγο την υποχρέωση των Υπευθύνων Επεξεργασίας να τηρήσουν τις αρχές της αναγκαιότητας και αναλογικότητας της θερμομέτρησης ως μέτρου πρόληψης κατά της εξάπλωσης της πανδημίας και να τηρήσουν τις διατάξεις της εργατικής νομοθεσίας.

Στις πρόσφατες κατευθυντήριες οδηγίες που εξέδωσε το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων δεν υπάρχουν ρητές αναφορές στη νομιμότητα της θερμομέτρησης. Ωστόσο, επισημαίνεται και εκεί ότι για την επεξεργασία προσωπικών δεδομένων στο πλαίσιο των μέτρων περιορισμού της εξάπλωσης του ιού θα πρέπει να τηρούνται οι αρχές της αναλογικότητας και της αναγκαιότητας, καθώς επίσης και οι διατάξεις για την υγιεινή και ασφάλεια στην εργασία.

Επίλογος

Ως τώρα από το σύνολο των απόψεων που έχουν διατυπωθεί δεν προκύπτουν σαφείς οδηγίες προς τις εταιρείες σχετικά με το αν νομιμοποιούνται ή όχι να προβούν στην θερμομέτρηση εργαζομένων και επισκεπτών για να διασφαλίσουν τις συνθήκες υγιεινής στο χώρο τους.

Στην Ελλάδα, το περιθώριο αιτιολόγησης του μέτρου ως αναγκαίου και αναλογικού αποτελεί μία σύνθετη άσκηση, την οποία θα πρέπει να έχουν υπόψιν τους όλες οι εταιρείες που αποφασίσουν να προχωρήσουν στη λήψη του μέτρου. Αδιαμφισβήτητα, η εν λόγω άσκηση θα πρέπει να αποτυπώνεται σε Μελέτη Εκτίμησης Αντικτύπου (DPIA), ώστε να αξιολογείται ο κίνδυνος για την προστασία των προσωπικών δεδομένων των προσώπων. Σε κάθε περίπτωση, το θολό τοπίο έχουν τη δυνατότητα να αποσαφηνίσουν οι επερχόμενες Πράξεις Νομοθετικού Περιεχομένου, σύμφωνα με τις οποίες θα προβλέπονται οι όροι για την επαναλειτουργία των επιχειρήσεων και ενδεχομένως λεπτομέρειες σχετικά με την επεξεργασία των προσωπικών δεδομένων.

Δείτε αναλυτικά τον πίνακα εδώ.

H διεθνής δικαιοδοσία διασυνοριακών διάφορων εταιριών κατά τον κανονισμό 1215/2012 - ΠΠΠ Νο 7 -
Η ανακοπή του άρθρου 933 ΚΠολΔ

ΑΝΤΩΝΗΣ ΒΑΘΡΑΚΟΚΟΙΛΗΣ

ΑΣΤΙΚΟ ΔΙΚΟΝΟΜΙΚΟ ΔΙΚΑΙΟ / ΑΝΑΓΚΑΣΤΙΚΗ ΕΚΤΕΛΕΣΗ