logo-print

Προσωπικά δεδομένα: Πρόστιμο σε ιδιοκτήτρια φροντιστηρίου για μη ικανοποίηση δικαιώματος εναντίωσης και παράνομη επεξεργασία δεδομένων εργαζόμενης (απόφαση 12/2022)

Δυνατότητα συνεχούς παρακολούθησης από την εργοδότρια των διαδικτυακών μαθημάτων που παρέδιδε η καταγγέλλουσα μέσω Zoom

28/03/2022

31/03/2022

Διαδίκτυο & τεχνητή νοημοσύνη στο ελληνικό δίκαιο

ΓΕΩΡΓΙΟΣ ΖΕΚΟΣ

ΝΕΕΣ ΤΕΧΝΟΛΟΓΙΕΣ & ΔΙΚΑΙΟ

Διαδίκτυο & τεχνητή νοημοσύνη στο ελληνικό δίκαιο

ΓΕΩΡΓΙΟΣ ΖΕΚΟΣ

ΝΕΕΣ ΤΕΧΝΟΛΟΓΙΕΣ & ΔΙΚΑΙΟ

Πρόστιμο ύψους δύο χιλιάδων ευρώ επέβαλε η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα σε εργοδότρια – ιδιοκτήτρια φροντιστηρίου, για μη ικανοποίηση του δικαιώματος εναντίωσης εργαζομένης της, καθώς και για διαπιστωθείσες παραβιάσεις του άρθρου 5 παρ. 1 περ. α’ και παρ. 2 και του άρθρου 13 του ΓΚΠΔ (ΑΠΔΠΧ απόφαση 12/2022).

Πιο αναλυτικά, σύμφωνα με την καταγγελία που υποβλήθηκε στην Αρχή, η καταγγέλλουσα παρείχε διαδικτυακά την εργασία της ως καθηγήτρια στο φροντιστήριο της καταγγελλόμενης, παραδίδοντας τα σχετικά μαθήματα μέσω της πλατφόρμας zoom. Η εργοδότρια παρακολουθούσε τα εν λόγω μαθήματα της εργαζόμενής της παρεμβαίνοντας, μάλιστα, σε αυτά παρά τις διαδοχικές, ρητά εκπεφρασμένες αντιρρήσεις της τελευταίας, τις οποίες εξέφρασε επανειλημμένως μέσω ηλεκτρονικών συνομιλιών.

Σύμφωνα με το σκεπτικό της Αρχής, προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν νόμιμης επεξεργασίας, θα πρέπει να πληρούνται σωρευτικά οι προϋποθέσεις εφαρμογής και τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ. Η ύπαρξη ενός νομίμου θεμελίου (άρθ. 6 ΓΚΠΔ) δεν απαλλάσσει τον υπεύθυνο επεξεργασίας από την υποχρέωση τήρησης των αρχών (άρθ. 5 παρ. 1 ΓΚΠΔ) αναφορικά με τον θεμιτό χαρακτήρα, την αναγκαιότητα και την αναλογικότητα, καθώς και την αρχή της ελαχιστοποίησης. Σε περίπτωση κατά την οποία παραβιάζεται κάποια εκ των προβλεπομένων στο άρθρο 5 παρ. 1 ΓΚΠΔ αρχών, η εν λόγω επεξεργασία παρίσταται ως μη νόμιμη (αντικείμενη στις διατάξεις του ΓΚΠΔ) και παρέλκει η εξέταση των προϋποθέσεων εφαρμογής των νομικών βάσεων του άρθρου 6 ΓΚΠΔ. Έτσι, η κατά παράβαση των αρχών του άρθρου 5 ΓΚΠΔ μη νόμιμη συλλογή και επεξεργασία των δεδομένων προσωπικού χαρακτήρα δεν θεραπεύεται από την ύπαρξη νόμιμου σκοπού και νομικής βάσης.

Όσον αφορά δε την επεξεργασία δεδοµένων προσωπικού χαρακτήρα στο πλαίσιο των εργασιακών σχέσεων, η Αρχή έχει ήδη δεχθεί, μεταξύ άλλων, ότι η συλλογή και επεξεργασία δεδοµένων προσωπικού χαρακτήρα των εργαζοµένων επιτρέπεται αποκλειστικά για σκοπούς που συνδέονται άµεσα µε τη σχέση απασχόλησης και εφ’ όσον είναι αναγκαία για την εκπλήρωση των εκατέρωθεν υποχρεώσεων που θεµελιώνονται σε αυτή τη σχέση, είτε αυτές πηγάζουν από τον νόµο είτε από τη σύµβαση. Επιπλέον, έχει δεχθεί ότι η συγκατάθεση των εργαζοµένων δεν µπορεί να άρει την απαγόρευση της υπέρβασης του σκοπού και ότι, στην περίπτωση των σχέσεων απασχόλησης, η εγγενής ανισότητα των µερών και η κατά κανόνα σχέση εξάρτησης των εργαζοµένων θέτει σε αµφιβολία την ελευθερία της συγκατάθεσης των εργαζοµένων, στοιχείο απαραίτητο για την εγκυρότητα της επεξεργασίας.

Επεσήμανε δε ότι η συγκατάθεση, ήτοι η δήλωση µε την οποία το συγκεκριμένο πρόσωπο εκφράζει τη συµφωνία του, δεν πρέπει να αφήνει περιθώρια ασάφειας ως προς την πρόθεσή του, ενώ πρέπει να είναι προφανές ότι το υποκείμενο των δεδομένων συγκατατίθεται στην εκάστοτε επίμαχη επεξεργασία.

Εν προκειμένω, η Αρχή διαπίστωσε ότι δεν υφίσταται σαφήνεια ως προς την επικαλούμενη νομική βάση για την επίμαχη επεξεργασία. Και τούτο, διότι η εργοδότρια αναφέρεται παράλληλα σε περισσότερες νομικές βάσεις, κατά παράβαση της αρχής της σύννομης, θεμιτής και διαφανούς επεξεργασίας κατ’ άρθρο 5 παρ. 1 α’ ΓΚΠΔ.

Ειδικότερα, η καταγγελλόμενη δημιούργησε εσφαλμένη εντύπωση ως προς τη νομική βάση επί της οποίας θεμελιώθηκε η επίμαχη επεξεργασία, με αποτέλεσμα να μην υπάρχει σαφής και ακριβής σχετική ενημέρωση της εργαζόμενης – καταγγέλλουσας. Από  τα στοιχεία του φακέλου δεν προκύπτει να έλαβε χώρα ενημέρωση της καταγγέλλουσας εκ μέρους της καταγγελλόμενης υπεύθυνης επεξεργασίας και δη κατά τη λήψη των ως άνω προσωπικών της δεδομένων πολλώ δε μάλλον από τη στιγμή που στο πλαίσιο της προσκομιζόμενης από την καταγγελλόμενη Πολιτικής δεν αναφέρεται η επίμαχη επεξεργασία, που συνίσταται στη δυνατότητα της εργοδότριας, όπως παρακολουθεί δεδομένα εικόνας και ήχου των εργαζομένων της καθ’ όλη τη διάρκεια των μαθημάτων που παραδίδουν μέσω της πλατφόρμας zoom. Ταυτόχρονα, η ασάφεια αυτή στερεί από την Αρχή τη δυνατότητα ελέγχου της ορθότητας της επιλογής νομικής βάσης παραβιάζοντας, κατά τούτο, την αρχή της λογοδοσίας.

Συνεπώς, η καταγγελλόμενη – εργοδότρια δεν ικανοποίησε το ασκηθέν ενώπιόν της δικαίωμα εναντίωσης της καταγγέλλουσας, ενώ προέβη στην επίμαχη επεξεργασία κατά παράβαση των διατάξεων των άρθρων 5 παρ. 1 στ. α’, 5 παρ. 2 και 13 του ΓΚΠΔ, χωρίς να προσδιορίζει με σαφήνεια τη νομική βάση επί της οποίας ερείδεται η τελευταία κατ’ άρθρο 6 του ΓΚΠΔ.

Απόσπασμα απόφασης

Επειδή, επιπλέον, από την προσκομιζόμενη από την καταγγελλόμενη εργοδότρια Πολιτική δεν προσδιορίζεται με τρόπο σαφή και ακριβή η νομική βάση για την επίμαχη επεξεργασία, ήτοι τη συνεχή παρακολούθηση δεδομένων εικόνας και ήχου των εργαζομένων από την καταγγελλόμενη – εργοδότρια καθ’ όλη τη διάρκεια των διαδικτυακών μαθημάτων. Μάλιστα, σημειώνεται συναφώς ότι στο πλαίσιο μίας πολιτικής ασφαλείας, θα έπρεπε να εξειδικεύονται, πέραν των ανωτέρω, και δη με τρόπο σαφή τα τεχνικά και οργανωτικά μέτρα ασφαλείας, τα οποία θα έπρεπε να λαμβάνονται από την υπεύθυνη επεξεργασίας, στην περίπτωση παρακολούθησης από την ίδια των διαδικτυακών μαθημάτων των εργαζομένων της, προκειμένου να διασφαλίζεται η αποτελεσματική προστασία των προσωπικών δεδομένων των τελευταίων συμφώνως και προς τα προβλεπόμενα από τις διατάξεις των άρθρων 25 και 32 ΓΚΠΔ.

Ωστόσο, εκ των προδιαλαμβανόμενων προκύπτει ότι δεν υπήρξε η κατ’ άρθρο 13 ΓΚΠΔ ενημέρωση, συμπεριλαμβανομένης συνακόλουθα και της ενημέρωσης περί της νομικής βάσης της επίμαχης επεξεργασίας, από την πλευρά της εργοδότριας και δη κατά τη λήψη των επίμαχων δεδομένων προσωπικού χαρακτήρα της καταγγέλλουσας. Τούτο δε, καθ’ όσον στο αρχείο δραστηριοτήτων γίνεται επίκληση της νομικής βάσης του άρθρου 6 παρ. 1 β’ ΓΚΠΔ (εκτέλεση σύμβασης), χωρίς να καταλαμβάνεται ειδικώς η επίμαχη επεξεργασία της συνεχούς παρακολούθησης εκ μέρους της εργοδότριας των διαδικτυακών μαθημάτων των εργαζομένων της, ενώ την ίδια στιγμή από τις προσκομιζόμενες ενώπιον της Αρχής απαντήσεις της εργοδότριας επί του δικαιώματος εναντίωσης που άσκησε η καταγγέλλουσα, προτάσσεται ως νομική βάση της επίμαχης επεξεργασίας το έννομο συμφέρον της ως υπέρτερο τέτοιο στο πλαίσιο άσκησης του διευθυντικού της δικαιώματος (άρθρο 6 παρ. 1 στ’ ΓΚΠΔ), χωρίς όμως να τεκμηριώνεται κατά πόσο η παρακολούθηση των μαθημάτων της καταγγέλουσας εκ μέρους της καταγγελόμενης αποτελεί πράγματι πρόσφορο και αναγκαίο μέσο για την άσκηση του διευθυντικού δικαιώματος της καταγγέλουσας. Στο δε με αριθ. πρωτ. Γ/ΕΙΣ/7891/02.12.2021 υπόμνημά της η καταγγελλόμενη θεμελιώνει την επίμαχη επεξεργασία στη νομική βάση της συγκατάθεσης της καταγγέλλουσας – εργαζόμενής της. Επιπλέον, σημειώνεται ότι στις προσκομιζόμενες από την καταγγελλόμενη προσθήκες επί των ατομικών συμβάσεων εργασίας (πλην αυτής της καταγγέλλουσας, η οποία δεν υφίσταται) σχετικά με την επεξεργασία των προσωπικών δεδομένων των εργαζομένων, ουδεμία αναφορά υπάρχει στην επίμαχη επεξεργασία και στη νομική αυτής βάση.

Επειδή, κατόπιν τούτων διαπιστώνεται εναργώς ότι δεν υφίσταται σαφήνεια ως προς την επικαλούμενη νομική βάση για την επίμαχη επεξεργασία, καθ’ όσον η εργοδότρια αναφέρεται παράλληλα στις προαναφερόμενες νομικές βάσεις, κατά παράβαση της αρχής της σύννομης, θεμιτής και διαφανούς επεξεργασίας κατ΄ άρθρο 5 παρ. 1 α’ ΓΚΠΔ. Ειδικότερα, η καταγγελλόμενη δημιούργησε εσφαλμένη εντύπωση ως προς τη νομική βάση επί της οποίας θεμελιώθηκε η επίμαχη επεξεργασία, με αποτέλεσμα να μην υπάρχει σαφής και ακριβής σχετική ενημέρωση της εργαζόμενης – καταγγέλλουσας, κατά παράβαση των ανωτέρω διατάξεων καθώς επίσης και του άρθρου 13 του ΓΚΠΔ, καθ’ όσον από τα στοιχεία του φακέλου δεν προκύπτει να έλαβε χώρα ενημέρωση της καταγγέλλουσας εκ μέρους της καταγγελλόμενης υπεύθυνης επεξεργασίας και δη κατά τη λήψη των ως άνω προσωπικών της δεδομένων πολλώ δε μάλλον από τη στιγμή που στο πλαίσιο της προσκομιζόμενης από την καταγγελλόμενη Πολιτικής δεν αναφέρεται η επίμαχη επεξεργασία, που συνίσταται στη δυνατότητα της εργοδότριας, όπως παρακολουθεί δεδομένα εικόνας και ήχου των εργαζομένων της καθ’ όλη τη διάρκεια των μαθημάτων που παραδίδουν μέσω της πλατφόρμας zoom. Ταυτόχρονα, η ασάφεια αυτή στερεί από την Αρχή τη δυνατότητα ελέγχου της ορθότητας της επιλογής νομικής βάσης παραβιάζοντας, κατά τούτο, την αρχή της λογοδοσίας.

Επειδή, εν προκειμένω, και σύμφωνα με τα ανωτέρω, η καταγγελλόμενη – εργοδότρια δεν ικανοποίησε το ασκηθέν ενώπιόν της δικαίωμα εναντίωσης της καταγγέλλουσας, ενώ προέβη στην επίμαχη επεξεργασία κατά παράβαση των διατάξεων των άρθρων 5 παρ. 1 στ. α’, 5 παρ. 2 και 13 του ΓΚΠΔ, όπως αυτές εξειδικεύονται αναλυτικά στις προαναφερόμενες σκέψεις και πάντως χωρίς να προσδιορίζει με σαφήνεια τη νομική βάση επί της οποίας ερείδεται η τελευταία κατ’ άρθρο 6 του ΓΚΠΔ

Δείτε ολόκληρη την απόφαση στο dpa.gr

Η μικρή και κλειστή οικογενειακή ανώνυμη εταιρία

ΕΜΠΟΡΙΚΟ ΔΙΚΑΙΟ / ΓΕΝΙΚΟ ΕΜΠΟΡΙΚΟ ΔΙΚΑΙΟ

Φορολογικός Πολυκώδικας - Σεπτέμβριος 2022

ΔΙΟΙΚΗΤΙΚΟ ΔΙΚΑΙΟ / ΦΟΡΟΛΟΓΙΚΟ ΔΙΚΑΙΟ

ΣΥΓΧΡΟΝΗ ΝΟΜΟΘΕΣΙΑ

ΝΙΚΟΛΑΟΣ ΜΠΑΡΜΠΑΣ

ΣΤΥΛΙΑΝΟΣ ΜΑΥΡΙΔΗΣ