Αθήνα, 09-03-2022 Αριθ. Πρωτ.: 617 ΑΠΟΦΑΣΗ 12/2022 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τμήματος μέσω τηλεδιασκέψεως την 08-02-2022 μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής, Κωνσταντίνου Μενουδάκου, τα τακτικά μέλη Χαράλαμπος Ανθόπουλος, Κωνσταντίνος Λαμπρινουδάκης και Σπυρίδων Βλαχόπουλος, ως εισηγητής. Στη συνεδρίαση παρέστησαν, με εντολή του Προέδρου, η Κυριακή Καρακάση, νομική ελέγκτρια – δικηγόρος, ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Με τη με αριθ. πρωτ. Γ/ΕΙΣ/3950/16.06.2021 καταγγελία της η A καταγγέλλει ότι από το … του … μέχρι την ημερομηνία υποβολής της επίμαχης καταγγελίας παρείχε διαδικτυακά την εργασία της ως καθηγήτρια … (βλ. την προσκομιζόμενη από … ατομική σύμβαση εργασίας μερικής απασχόλησης μετά του εντύπου της σχετικής αναγγελίας πρόσληψης) στο φροντιστήριο της καταγγελλόμενης, παραδίδοντας τα σχετικά μαθήματα μέσω της πλατφόρμας «ΖΟΟΜ». Σύμφωνα με τα καταγγελλόμενα, η εργοδότρια παρακολουθούσε τα εν λόγω μαθήματα της εργαζόμενής της παρεμβαίνοντας, μάλιστα, σε αυτά παρά τις διαδοχικές, ρητά εκπεφρασμένες αντιρρήσεις της τελευταίας. Ειδικότερα, στο πλαίσιο της από … προσκομιζόμενης ηλεκτρονικής συνομιλίας μεταξύ εργοδότριας και καταγγέλλουσας Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr – εργαζόμενης, η τελευταία διαπιστώνει την ύπαρξη προβλήματος ως προς τη συνεχή παρακολούθηση του μαθήματός της από την καταγγελλόμενη και τονίζει την αναγκαιότητα εξεύρεσης λύσης αντιπροτείνοντας έτερους τρόπους αντιμετώπισης των σχετικών δικαιολογητικών της παρακολούθησης λόγων που προβάλλει η εργοδότρια. Η ίδια εναντίωση ως προς τη διαρκή παρακολούθηση των διαδικτυακών της μαθημάτων από την καταγγελλομένη εκφράστηκε και στο πλαίσιο της από … ηλεκτρονικής συνομιλίας, με την καταγγελλόμενη να επιμένει στην αναγκαιότητα διαρκούς παρακολούθησης εκ μέρους της των διαδικτυακών μαθημάτων που παραδίδονται στους μαθητές του φροντιστηρίου της για την πρόληψη απώλειας πελατών λόγω ενδεχόμενων πλημμελειών κατά την παροχή των διδακτικών υπηρεσιών από τους εκάστοτε διδάσκοντες – εργαζομένους. Αυτές δε οι αντιρρήσεις της καταγγέλλουσας επαναλαμβάνονται και στην από … επίσης προσκομιζόμενη ηλεκτρονική συνομιλία της τελευταίας με την καταγγελλόμενη εργοδότρια, χωρίς να έχει διακοπεί, κατά την καταγγέλλουσα, η διαρκής παρακολούθηση των επίμαχων διαδικτυακών μαθημάτων μέχρι και την ημερομηνία υποβολής της υπό εξέταση καταγγελίας ενώπιον της Αρχής. Η δε καταγγέλλουσα, αφού επικαλείται τα άρθρα 5, 6, 12, 13, 21 ΓΚΠΔ, το άρθρο 7 του ν. 4624/2019, τη Γνώμη 2/2017 της Ομάδας Εργασίας του άρθρου 29 καθώς επίσης και νομολογία του ΕΔΔΑ, αποκλείει τη συγκατάθεση όπως και το έννομο συμφέρον του εργοδότη ως νομικές βάσεις της επίμαχης επεξεργασίας από την καταγγελλόμενη εργοδότρια ενώ μνημονεύει και την αρχή της αναλογικότητας με την οποία πρέπει να συνάδει η τηλε-επιτήρηση. Η Αρχή, στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας, με το με αριθ. πρωτ. Γ/ΕΞ/1913/19-08-2021 έγγραφό της, ζήτησε από την εν λόγω εργοδότρια διευκρινίσεις επί των καταγγελλομένων. Κατόπιν δε αυτού, με το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/6071/23-09-2021 απαντητικό έγγραφό της (σε συνέχεια της με αριθ. πρωτ. Γ/ΕΙΣ/5677/09.09.2021 επιβεβαίωσης λήψης του ως άνω εγγράφου της Αρχής εκ μέρους της και τη συνακόλουθη παράταση της προθεσμίας για τη σχετική απάντησή της), η καταγγελλόμενη, αφού επιβεβαιώνει το γεγονός της ρητής έκφρασης της αντίρρησης της καταγγέλλουσας έναντι της διαρκούς παρακολούθησης του μαθήματός της από την ίδια ως εργοδότρια, δικαιολογεί τη δυνατότητα διαρκούς παρακολούθησης των διαδικτυακών μαθημάτων επί τη βάσει λόγων διασφάλισης τόσο της ικανοποίησης των πελατών του φροντιστηρίου, ιδίως δε των γονέων των ανήλικων μαθητών, όσο και τεχνικής αρτιότητας της όλης διαδικασίας. Αρνείται δε την 2 καταγραφή των διασκέψεων που αφορούν την καταγγέλλουσα, ενώ παραδέχεται ότι δεν είχε εκ των πραγμάτων χρόνο να παρακολουθεί τα διαδικτυακά μαθήματα όλων των εργαζόμενων στο φροντιστήριό της καθηγητριών. Ακολούθως στο πλαίσιο περαιτέρω διερεύνησης της επίμαχης καταγγελίας η Αρχή κάλεσε ενώπιόν της αμφότερα τα μέρη με τις με αριθ. πρωτ. Γ/ΕΞΕ/2467/01.11.2021 και Γ/ΕΞΕ/2468/01.11.2021 Κλήσεις, όπως παραστούν στην τηλεσυνεδρίαση του αρμόδιου Τμήματος την 10η.11.2021, δίδοντας προθεσμία προσκομίσεως Υπομνημάτων προς περαιτέρω υποστήριξη των ισχυρισμών τους μέχρι την 1η.12.
- Τα ως άνω μέρη παραστάθηκαν η μεν καταγγέλλουσα μετά της δικηγόρου της, Δέσποινας Σκέντου, με ΑΜ …, η δε καταγγελλόμενη μετά του δικηγόρου της Γεωργίου Διόλατζη, με ΑΜ …. Παρούσα στην εν λόγω τηλεσυνεδρίαση ήταν και η Β ως μάρτυρας της καταγγελλόμενης και εργαζόμενη καθηγήτρια στο φροντιστήριο της τελευταίας, προς την οποία υποβλήθηκαν ερωτήσεις στο πλαίσιο της εν λόγω ακρόασης. Κατόπιν της ως άνω ακροάσεως, αμφότερα τα μέρη υπέβαλαν εμπροθέσμως Υπομνήματα. Ειδικότερα, η καταγγέλλουσα με το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/7831/29.11.2021 Υπόμνημά της αναφέρει συνοπτικά, μεταξύ άλλων, τα ακόλουθα: καταρχάς αμφισβητεί την αναγκαιότητα της συνεχούς παρουσίας της καταγγελλόμενης – εργοδότριας κατά τη διάρκεια των διαδικτυακών μαθημάτων της λόγω του έκτακτου χαρακτήρα των επικαλούμενων από την εργοδότρια τεχνικών προβλημάτων που ανέκυπταν. Τονίζει δε η καταγγέλλουσα ότι παρακολουθώντας συνεχώς τα μαθήματα ως συμμετέχουσα η εργοδότρια δεν είχε εκ των πραγμάτων τη δυνατότητα διαχείρισης των εν λόγω προβλημάτων, ενώ μόνον η ιδιότητά της ως διαχειρίστριας της πλατφόρμας της επέτρεπε να ελέγχει το μάθημα και τις παρουσίες των μαθητών, χωρίς να απαιτείται η συνεχής της παρουσία ως συμμετέχουσας στα διαδικτυακά μαθήματα. Επιπλέον, η καταγγέλλουσα επισημαίνει ότι ουδέποτε συναίνεσε για την εν λόγω παρακολούθηση των διαδικτυακών της μαθημάτων εκφράζοντας αντιθέτως τη ρητή σχετική της αντίρρηση ενώ ουδέποτε έλαβε χώρα εκ μέρους της καταγγελλομένης η ενημέρωσή της σχετικά με το είδος των προσωπικών δεδομένων που συλλέγονται, με το σκοπό της επίμαχης επεξεργασίας, με το ποιοι έχουν πρόσβαση σε αυτά τα δεδομένα καθώς και με το δικαίωμα πρόσβασης της ίδιας στα δεδομένα που την αφορούν. Τέλος, ισχυρίζεται ότι οι επικαλούμενοι από την εργοδότρια σκοποί της συνεχούς παρακολούθησης, ήτοι η διασφάλιση της ποιότητας των μαθημάτων, της πραγματικής παρουσίας των μαθητών και της τεχνικής λειτουργικότητας της 3 πλατφόρμας, μπορούσαν να επιτευχθούν με ηπιότερα μέσα και ως εκ τούτου δεν τηρήθηκε η αρχή της αναλογικότητας στην επίμαχη επεξεργασία. Η καταγγελλόμενη με το με αριθ. πρωτ. Γ/ΕΙΣ/7891/02.12.2021 Υπόμνημά της μετά των σχετικών αυτού εγγράφων, που υπέβαλε ενώπιον της Αρχής, προέβαλε, μεταξύ άλλων τα ακόλουθα: ισχυρίζεται ότι η καταγγέλλουσα ήταν ενήμερη για την Πολιτική Απορρήτου του φροντιστηρίου της και ότι από αβλεψία της ίδιας ως εργοδότριας δεν υπέγραψε τη δήλωση συγκατάθεσης που υπέγραψαν οι λοιποί εργαζόμενοι (οι σχετικές δηλώσεις προσκομίζονται ως σχετικά μετά του ως άνω Υπομνήματος). Κατά τους ισχυρισμούς της καταγγελλομένης, ο λόγος που εγκατέστησε πέντε υπολογιστές στο σπίτι της ώστε να παρακολουθεί τα μαθήματα σε κάθε μία από τις πέντε τάξεις του φροντιστηρίου της ως συμμετέχουσα ήταν η αντιμετώπιση των τεχνικών προβλημάτων που ανέκυπταν αλλά και ο γενικός συντονισμός επισημαίνοντας ότι δεν ήταν δυνατή η ταυτόχρονη παρακολούθηση και των πέντε διδασκόντων. Ακολούθως η καταγγελλόμενη παραδέχεται πως οι οικείοι των μαθητών είτε της τηλεφωνούσαν είτε της έστελναν μήνυμα στο κινητό (sms) ή στην εφαρμογή viber προκειμένου να επιληφθεί όταν προέκυπτε κάποιο τεχνικό πρόβλημα. Συμπεραίνει δε η καταγγελλόμενη ότι δεν υφίσταται παραβίαση των προσωπικών δεδομένων της καταγγέλλουσας, καθ’ όσον δεν παρακολουθούσε τα λεγόμενα της τελευταίας παραδεχόμενη ότι ήταν πάντως ορατή η εικόνα της μέσω του υπολογιστή. Επιπλέον, η καταγγελλόμενη κάνει λόγο για έμμεση και τεκμαιρόμενη συγκατάθεση της καταγγέλλουσας για την επίμαχη επεξεργασία, ενώ ακολούθως αναφέρει ότι συγκατατέθηκε εκ των υστέρων με τα γραπτά της μηνύματα παρά το ότι δεν υπέγραψε τη δήλωση συγκατάθεσης, την οποία κατά παραδοχή της καταγγελλομένης, η ίδια είχε παραλείψει να την παράσχει στην καταγγέλλουσα προς υπογραφή. Επισημαίνει, επίσης, ότι από τους ισχυρισμούς της καταγγέλλουσας προκύπτει ότι υπήρξε ενημέρωση για την επίμαχη επεξεργασία εκ μέρους της εργοδότριας ενώ, τέλος, προβάλλονται ισχυρισμοί περί αμφισβήτησης της σχέσης εξάρτησης που συνέδεε την καταγγελλόμενη – εργοδότρια με την καταγγέλλουσα - εργαζόμενή της διαρκούσης της επίμαχης επεξεργασίας. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου και αποχώρησε μετά από τη συζήτηση της υποθέσεως και πριν από τη διάσκεψη και τη λήψη αποφάσεως, κατόπιν διεξοδικής συζητήσεως, 4 ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
- Επειδή, με το άρθρο 5 παρ. 1 του Γενικού Κανονισμού (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα (εφεξής ΓΚΠΔ) τίθενται οι αρχές που πρέπει να διέπουν μια επεξεργασία. Ειδικότερα, στην παράγραφο 1 ορίζεται ότι: «
- Τα δεδομένα προσωπικού χαρακτήρα: α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς· η περαιτέρω επεξεργασία για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον ή σκοπούς επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς δεν θεωρείται ασύμβατη με τους αρχικούς σκοπούς σύμφωνα με το άρθρο 89 παράγραφος 1 («περιορισμός του σκοπού»), γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων»), δ) είναι ακριβή και, όταν είναι αναγκαίο, επικαιροποιούνται· πρέπει να λαμβάνονται όλα τα εύλογα μέτρα για την άμεση διαγραφή ή διόρθωση δεδομένων προσωπικού χαρακτήρα τα οποία είναι ανακριβή, σε σχέση με τους σκοπούς της επεξεργασίας («ακρίβεια»), ε) διατηρούνται υπό μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων των δεδομένων μόνο για το διάστημα που απαιτείται για τους σκοπούς της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα· τα δεδομένα προσωπικού χαρακτήρα μπορούν να αποθηκεύονται για μεγαλύτερα διαστήματα, εφόσον τα δεδομένα προσωπικού χαρακτήρα θα υποβάλλονται σε επεξεργασία μόνο για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον, για σκοπούς επιστημονικής ή ιστορικής έρευνας ή για στατιστικούς σκοπούς, σύμφωνα με το άρθρο 89 παράγραφος 1 και εφόσον εφαρμόζονται τα κατάλληλα τεχνικά και οργανωτικά μέτρα που απαιτεί ο παρών κανονισμός για τη διασφάλιση των δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων («περιορισμός της περιόδου αποθήκευσης»), στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία 5 απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»)». Σύμφωνα δε με την αρχή της λογοδοσίας που εισάγεται με τη δεύτερη παράγραφο του αυτού ως άνω άρθρου, ορίζεται ρητώς ότι ο υπεύθυνος επεξεργασίας «φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 («λογοδοσία»)». Η αρχή αυτή, η οποία συνιστά ακρογωνιαίο λίθο του ΓΚΠΔ, συνεπάγεται την υποχρέωση του υπευθύνου επεξεργασίας να δύναται να αποδείξει συμμόρφωση. Επιπλέον, δίδει τη δυνατότητα στον υπεύθυνο επεξεργασίας να δύναται να ελέγξει και να τεκμηριώσει νομικά μια επεξεργασία που διενεργεί σύμφωνα με τις νομικές βάσεις που του παρέχει ο ΓΚΠΔ και το εθνικό δίκαιο προστασίας δεδομένων.
- Επειδή, το άρθρο 6 παρ. 1 εδ. α’, β’ και στ’ του ΓΚΠΔ ορίζει τα ακόλουθα: «
- Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις: α) το υποκείμενο των δεδομένων έχει συναινέσει στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς, β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος …… στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί». Η παράγραφος 1 δε του άρθρου 21 του ΓΚΠΔ περί του δικαιώματος εναντίωσης προβλέπει ότι: «Το υποκείμενο των δεδομένων δικαιούται να αντιτάσσεται, ανά πάσα στιγμή και για λόγους που σχετίζονται με την ιδιαίτερη κατάστασή του, στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που το αφορούν, η οποία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο ε) ή στ), περιλαμβανομένης της κατάρτισης προφίλ βάσει των εν λόγω διατάξεων. Ο υπεύθυνος επεξεργασίας δεν υποβάλλει πλέον τα δεδομένα προσωπικού χαρακτήρα σε επεξεργασία, εκτός εάν ο υπεύθυνος επεξεργασίας καταδείξει επιτακτικούς και νόμιμους λόγους για την επεξεργασία οι οποίοι υπερισχύουν των συμφερόντων, των δικαιωμάτων και των ελευθεριών του υποκειμένου των δεδομένων ή για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων». 6
- Επειδή, επιπλέον, κατά το άρθρο 4 στοιχ. 2 του ΓΚΠΔ ως επεξεργασία νοείται «κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή». Το δε άρθρο 13 του ΓΚΠΔ προβλέπει τα εξής : «
- Όταν δεδομένα προσωπικού χαρακτήρα που αφορούν υποκείμενο των δεδομένων συλλέγονται από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων όλες τις ακόλουθες πληροφορίες: ……. γ) τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία, δ) εάν η επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο στ), τα έννομα συμφέροντα που επιδιώκονται από τον υπεύθυνο επεξεργασίας ή από τρίτο, ….
- Εκτός από τις πληροφορίες που αναφέρονται στην παράγραφο 1, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων τις εξής επιπλέον πληροφορίες που είναι αναγκαίες για την εξασφάλιση θεμιτής και διαφανούς επεξεργασίας: α) το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα προσωπικού χαρακτήρα ή, όταν αυτό είναι αδύνατο, τα κριτήρια που καθορίζουν το εν λόγω διάστημα, β) την ύπαρξη δικαιώματος υποβολής αιτήματος στον υπεύθυνο επεξεργασίας για πρόσβαση και διόρθωση ή διαγραφή των δεδομένων προσωπικού χαρακτήρα ή περιορισμό της επεξεργασίας που αφορούν το υποκείμενο των δεδομένων ή δικαιώματος αντίταξης στην επεξεργασία, καθώς και δικαιώματος στη φορητότητα των δεδομένων, γ) όταν η επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο α) ή στο άρθρο 9 παράγραφος 2 στοιχείο α), την ύπαρξη του δικαιώματος να ανακαλέσει τη συγκατάθεσή του οποτεδήποτε, χωρίς να θιγεί η νομιμότητα της επεξεργασίας που βασίστηκε στη συγκατάθεση πριν από την ανάκλησή της, δ) το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή, ε) κατά πόσο η παροχή δεδομένων προσωπικού χαρακτήρα αποτελεί νομική ή συμβατική υποχρέωση ή απαίτηση για τη σύναψη σύμβασης, καθώς και κατά πόσο το υποκείμενο των δεδομένων υποχρεούται να παρέχει τα δεδομένα προσωπικού χαρακτήρα και ποιες ενδεχόμενες συνέπειες θα είχε η μη παροχή των δεδομένων αυτών, στ) την ύπαρξη αυτοματοποιημένης 7 λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που αναφέρεται στο άρθρο 22 παράγραφοι 1 και 4 και, τουλάχιστον στις περιπτώσεις αυτές, σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων».
- Επειδή, η επεξεργασία των δεδομένων προσωπικού χαρακτήρα θα πρέπει να προορίζεται να εξυπηρετεί τον άνθρωπο. Το δε δικαίωμα στην προστασία δεδομένων προσωπικού χαρακτήρα δεν είναι «απόλυτο δικαίωµα», πρέπει να εκτιµάται σε σχέση µε τη λειτουργία του στην κοινωνία και να σταθµίζεται µε άλλα θεµελιώδη δικαιώµατα, σύµφωνα µε την αρχή της αναλογικότητας
- Επειδή, σύµφωνα µε την αιτιολογική σκέψη 39 του ΓΚΠ∆ «κάθε επεξεργασία δεδοµένων προσωπικού χαρακτήρα θα πρέπει να είναι σύννοµη και δίκαιη. Θα πρέπει να είναι σαφές για τα φυσικά πρόσωπα ότι δεδοµένα προσωπικού χαρακτήρα που τα αφορούν συλλέγονται, χρησιµοποιούνται, λαµβάνονται υπόψη ή υποβάλλονται κατ’ άλλο τρόπο σε επεξεργασία, καθώς και σε ποιο βαθµό τα δεδοµένα υποβάλλονται ή θα υποβληθούν σε επεξεργασία. Η αρχή αυτή απαιτεί κάθε πληροφορία και ανακοίνωση σχετικά µε την επεξεργασία των εν λόγω δεδοµένων προσωπικού χαρακτήρα να είναι εύκολα προσβάσιµη και κατανοητή και να χρησιµοποιεί σαφή και απλή γλώσσα. Αυτή η αρχή αφορά ιδίως την ενηµέρωση των υποκειµένων των δεδοµένων σχετικά µε την ταυτότητα του υπευθύνου επεξεργασίας και τους σκοπούς της επεξεργασίας και την περαιτέρω ενηµέρωση ώστε να διασφαλιστεί δίκαιη και διαφανής επεξεργασία σε σχέση µε τα εν λόγω φυσικά πρόσωπα και το δικαίωµά τους να λαµβάνουν επιβεβαίωση και να επιτυγχάνουν ανακοίνωση των σχετικών µε αυτά δεδοµένων προσωπικού χαρακτήρα που υπόκεινται σε επεξεργασία. Θα πρέπει να γνωστοποιείται στα φυσικά πρόσωπα η ύπαρξη κινδύνων, κανόνων, εγγυήσεων και δικαιωµάτων σε σχέση µε την επεξεργασία δεδοµένων προσωπικού χαρακτήρα και πώς να ασκούν τα δικαιώµατα τους σε σχέση µε την επεξεργασία αυτή. Ιδίως, οι συγκεκριµένοι σκοποί της επεξεργασίας των δεδοµένων προσωπικού χαρακτήρα θα πρέπει να είναι σαφείς, νόµιµοι και προσδιορισµένοι κατά τον χρόνο συλλογής των δεδοµένων προσωπικού χαρακτήρα. Τα δεδοµένα προσωπικού χαρακτήρα θα πρέπει να είναι επαρκή και συναφή και να περιορίζονται στα αναγκαία για τους σκοπούς της επεξεργασίας τους. Αυτό απαιτεί ειδικότερα να διασφαλίζεται ότι το διάστηµα αποθήκευσης των δεδοµένων προσωπικού 1 Βλ. Αιτ .Σκ. 4 ΓΚΠ∆ καθώς και Απόφαση ΑΠΔ 43/2019, σκ. 2 8 χαρακτήρα να περιορίζεται στο ελάχιστο δυνατό. Τα δεδοµένα προσωπικού χαρακτήρα θα πρέπει να υποβάλλονται σε επεξεργασία µόνον εάν ο σκοπός της επεξεργασίας δεν µπορεί να επιτευχθεί µε άλλα µέσα. Για να διασφαλιστεί ότι τα δεδοµένα προσωπικού χαρακτήρα δεν διατηρούνται περισσότερο από όσο είναι αναγκαίο, ο υπεύθυνος επεξεργασίας θα πρέπει να ορίζει προθεσµίες για τη διαγραφή τους ή για την περιοδική επανεξέτασή τους. Θα πρέπει να λαµβάνεται κάθε εύλογο µέτρο, ώστε να διασφαλίζεται ότι τα δεδοµένα προσωπικού χαρακτήρα που δεν είναι ακριβή διορθώνονται ή διαγράφονται. Τα δεδοµένα προσωπικού χαρακτήρα θα πρέπει να υφίστανται επεξεργασία κατά τρόπο που να διασφαλίζει την ενδεδειγµένη προστασία και εµπιστευτικότητα των δεδοµένων προσωπικού χαρακτήρα, µεταξύ άλλων και για να αποτρέπεται κάθε ανεξουσιοδότητη πρόσβαση σε αυτά τα δεδοµένα προσωπικού χαρακτήρα και στον εξοπλισµό που χρησιµοποιείται για την επεξεργασία τους ή η χρήση αυτών των δεδοµένων προσωπικού χαρακτήρα και του εν λόγω εξοπλισµού.».
- Επειδή προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν νόμιμης επεξεργασίας, ήτοι επεξεργασίας σύμφωνα προς τις απαιτήσεις του ΓΚΠΔ, θα πρέπει να πληρούνται σωρευτικά οι προϋποθέσεις εφαρμογής και τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ, όπως προκύπτει και από την πρόσφατη απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης (ΔΕΕ) της 16-01-2019 στην υπόθεση C496/2017 Deutsche Post AG κατά Hauptzollamt Koln
- Η ύπαρξη ενός νομίμου θεμελίου (άρθ. 6 ΓΚΠΔ) δεν απαλλάσσει τον υπεύθυνο επεξεργασίας από την υποχρέωση τήρησης των αρχών (άρθ. 5 παρ. 1 ΓΚΠΔ) αναφορικά με τον θεμιτό χαρακτήρα, την αναγκαιότητα και την αναλογικότητα καθώς και την αρχή της ελαχιστοποίησης. Σε περίπτωση κατά την οποία παραβιάζεται κάποια εκ των προβλεπομένων στο άρθρο 5 παρ. 1 ΓΚΠΔ αρχών, η εν λόγω επεξεργασία παρίσταται ως μη νόμιμη (αντικείμενη στις διατάξεις του ΓΚΠΔ) και παρέλκει η εξέταση των προϋποθέσεων εφαρμογής των νομικών βάσεων του άρθρου 6 ΓΚΠΔ. Έτσι, η κατά παράβαση των αρχών του «
- Ωστόσο, κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει να είναι σύμφωνη, αφενός προς τις αρχές που πρέπει να τηρούνται ως προς την ποιότητα των δεδομένων, τις οποίες θέτει το άρθρο 6 της οδηγίας 95/46 ή το άρθρο 5 του κανονισμού 2016/679 και, αφετέρου, προς τις βασικές αρχές της νόμιμης επεξεργασίας δεδομένων που απαριθμεί το άρθρο 7 της οδηγίας αυτής ή το άρθρο 6 του κανονισμού αυτού (πρβλ. αποφάσεις της 20ής Μαΐου 2003, Österreichischer Rundfunk κ.λπ., C-465/00, C-138/01 και C-139/01, EU:C:2003:294, σκέψη 65, καθώς και της 13ης Μαΐου 2014, Google Spain και Google, C-131/12, EU:C:2014:317, σκέψη 71) ». 2 9 άρθρου 5 ΓΚΠΔ μη νόμιμη συλλογή και επεξεργασία των δεδομένων προσωπικού χαρακτήρα δεν θεραπεύεται από την ύπαρξη νόμιμου σκοπού και νομικής βάσης
- Περαιτέρω, ο υπεύθυνος επεξεργασίας, στο πλαίσιο της από μέρους του τήρησης της αρχής της θεμιτής ή δίκαιης επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, οφείλει να ενημερώνει το υποκείμενο των δεδομένων ότι πρόκειται να επεξεργαστεί τα δεδομένα του με νόμιμο και διαφανή τρόπο 4 και να βρίσκεται σε θέση ανά πάσα στιγμή να αποδείξει τη συμμόρφωσή του με τις αρχές αυτές (αρχή της λογοδοσίας κατ' άρθ. 5 παρ. 2 σε συνδυασμό με τα άρθρα 24 παρ. 1 και 32 ΓΚΠΔ)
- Η δε αναγνώριση και επιλογή της κατάλληλης νοµικής βάσης εκ των προβλεποµένων στο άρθρο 6 παρ. 1 ΓΚΠ∆ είναι στενά συνδεδεµένη µε την αρχή της θεµιτής ή δίκαιης επεξεργασίας καθώς και µε την αρχή του περιορισµού του σκοπού, ο δε υπεύθυνος επεξεργασίας οφείλει όχι µόνο να επιλέξει την κατάλληλη νοµική βάση προ της έναρξης της επεξεργασίας, αλλά και να ενηµερώσει κατ’ αρ. 13 παρ. 1 εδ. γ’ ΓΚΠ∆ για την χρήση της το υποκείµενο των δεδοµένων, καθώς η επιλογή της κάθε νοµικής βάσης ασκεί έννοµη επιρροή στην εφαρµογή των δικαιωµάτων των υποκειµένων
- Ειδικότερα, η επιλογή της νοµικής βάσης επεξεργασίας των δεδοµένων προσωπικού χαρακτήρα πρέπει να λαµβάνει χώρα προ της έναρξης της επεξεργασίας, ο δε υπεύθυνος επεξεργασίας υποχρεούται µε βάση την αρχή της λογοδοσίας (βλ. άρ. 5 παρ. 2 σε συνδ. µε 24 και 32 ΓΚΠ∆) να επιλέξει την κατάλληλη νοµική βάση εκ των προβλεποµένων από το άρθρο 6 παρ. 1 ΓΚΠ∆, καθώς και να είναι σε θέση να αποδείξει στο πλαίσιο της εσωτερικής συµµόρφωσης την τήρηση των αρχών του άρθρου 5 παρ. 1 ΓΚΠ∆, περιλαµβανοµένης αυτονοήτως και της τεκµηρίωσης επί τη βάσει της οποίας κατέληξε στην οικεία νοµική βάση. Εξάλλου, µε τον ΓΚΠ∆ υιοθετήθηκε ένα νέο µοντέλο συµµόρφωσης, κεντρικό άξονα του οποίου συνιστά η προαναφερόμενη αρχή της λογοδοσίας, στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρµόζει και εν γένει λαµβάνει τα αναγκαία µέτρα και πολιτικές, προκειµένου η επεξεργασία των δεδοµένων να είναι Βλ. Απόφαση 26/2019 ΑΠΔ , σκ.
- Πρβλ. Απόφαση 38/2004 ΑΠΔ. Βλ. σχετικά ΔΕΕ C496/17 ό.π. παρ. 59 και ΔΕΕ C-201/14 της 01-10-2015 παρ. 31-35 και ιδίως 34 καθώς και σχετική αναφορά στην Απόφαση 26/2019 ΑΠΔ, σκ.
- 5 Βλ. συναφώς Αποφάσεις ΑΠΔ 26/2019, σκ. 6 και ΑΠΔ 43/2019, σκ.
- 6 Βλ. Κατευθυντήριες Γραµµές 2/2019 του Ευρωπαϊκού Συµβουλίου Προστασίας ∆εδοµένων “on the processing of personal data under Article 6
(1)(b) GDPR in the context of the provision of online services to data subjects” σελ. 4-67 παρ. 1, 12, 17-20 καθώς και Απόφαση ΑΠΔ 26/2019, σκ.
- 3 4 10 σύµφωνη µε τις σχετικές νοµοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται µε το περαιτέρω καθήκον να αποδεικνύει από µόνος του και ανά πάσα στιγµή τη συµµόρφωσή του µε τις αρχές του άρθρου 5 παρ. 1 ΓΚΠ∆. ∆εν είναι τυχαίο ότι ο ΓΚΠ∆ εντάσσει τη λογοδοσία (ήδη προαναφερθέν άρθρο 5 παρ. 2 ΓΚΠ∆) στη ρύθµιση των αρχών (άρθρο 5 παρ. 1 ΓΚΠ∆) που διέπουν την επεξεργασία, προσδίδοντας σε αυτήν, τη λειτουργία ενός µηχανισµού τήρησής τους, αντιστρέφοντας κατ’ ουσίαν το «βάρος της απόδειξης» ως προς την νοµιµότητα της επεξεργασίας (και εν γένει την τήρηση των αρχών του άρθρου 5 παρ. 1 ΓΚΠ∆), µεταθέτοντάς την στον υπεύθυνο επεξεργασίας, ώστε να υποστηρίζεται βάσιµα ότι εκείνος φέρει το βάρος της επίκλησης και απόδειξης της νοµιµότητας της επεξεργασίας
- Επειδή η Αρχή, αναφορικά µε την επεξεργασία δεδοµένων προσωπικού χαρακτήρα στο πλαίσιο των εργασιακών σχέσεων, ερµηνεύοντας τις διατάξεις του ν. 2472/1997 έχει εκδώσει την υπ’ αρ. 115/2001 Οδηγία για την επεξεργασία των δεδοµένων προσωπικού χαρακτήρα στις εργασιακές σχέσεις, στο πλαίσιο της οποίας έχει δεχθεί, μεταξύ άλλων, ότι, όπως προκύπτει από την αρχή του σκοπού, η συλλογή και επεξεργασία δεδοµένων προσωπικού χαρακτήρα των εργαζοµένων επιτρέπεται αποκλειστικά για σκοπούς που συνδέονται άµεσα µε τη σχέση απασχόλησης και εφ’ όσον είναι αναγκαία για την εκπλήρωση των εκατέρωθεν υποχρεώσεων που θεµελιώνονται σε αυτή τη σχέση, είτε αυτές πηγάζουν από τον νόµο είτε από τη σύµβαση
- Περαιτέρω, η Αρχή δέχθηκε στην ίδια Οδηγία ότι η συγκατάθεση των εργαζοµένων δεν µπορεί να άρει την απαγόρευση της υπέρβασης του σκοπού και ότι στην περίπτωση των σχέσεων απασχόλησης, η εγγενής ανισότητα των µερών και η κατά κανόνα σχέση εξάρτησης των εργαζοµένων θέτει σε αµφιβολία την ελευθερία της συγκατάθεσης των εργαζοµένων, στοιχείο απαραίτητο για την εγκυρότητα της επεξεργασίας
- Στο πλαίσιο εφαρµογής του ΓΚΠ∆ η συγκατάθεση προβλέπεται ως µία εκ των νοµικών βάσεων επεξεργασίας δεδοµένων προσωπικού χαρακτήρα (άρθρο 6 παρ. 1 εδ. α’), υπό τις προϋποθέσεις του άρθρου 7 ΓΚΠ∆, σύµφωνα µε την έννοια που αποδίδεται κατ’ αρ. 4 παρ. 11 ΓΚΠ∆ και τηρουµένων των αρχών που προβλέπονται από το άρθρο 5 παρ. 1 ΓΚΠ∆
- Βλ. συναφώς Αποφάσεις ΑΠΔ 26/2019, σκ. 7 και ΑΠΔ 43/2019, σκ.
- Βλ. σελ.10 της με αριθ. 115/2001 Οδηγίας της Αρχής. 9 Βλ. ομοίως σελ.10 της με αριθ. 115/2001 Οδηγίας της Αρχής. 10 Βλ. ΑΠΔ 26/2019, σκ. 10 7 8 11 Ωστόσο, και υπό το φως του ΓΚΠΔ εξακολουθεί να ισχύει η ως άνω διαπίστωση περί του ότι οι εργαζόμενοι σπάνια είναι σε θέση να δώσουν, να αρνηθούν ή να ανακαλέσουν τη συγκατάθεσή τους, δεδομένης της εξάρτησης που προκύπτει από τη σχέση μεταξύ εργοδότη και εργαζόμενου. Επομένως, εκτός από εξαιρετικές περιπτώσεις, οι εργοδότες θα πρέπει να βασίζονται σε άλλη νομική βάση πλην της συγκατάθεσης – όπως η ανάγκη επεξεργασίας των δεδομένων στο πλαίσιο εννόμου συμφέροντός τους. Αντίστοιχα, το Ευρωπαϊκό Συµβούλιο Προστασίας ∆εδοµένων θεωρεί ότι σε όποια περίπτωση η επεξεργασία δεν είναι αναγκαία για την εκτέλεση της σύµβασης, µια τέτοια επεξεργασία λαµβάνει χώρα νοµίµως µόνο εάν βασίζεται σε µία άλλη κατάλληλη νοµική βάση
- Σημειώνεται δε συναφώς προς τα ανωτέρω ότι η παρακολούθηση των εργαζομένων είναι εφικτή όχι μόνο λόγω της χρήσης ειδικών τεχνολογιών αλλά και επειδή οι εργαζόμενοι χρειάζεται να χρησιμοποιούν ηλεκτρονικές εφαρμογές που διατίθενται από τον εργοδότη, οι οποίες επεξεργάζονται δεδομένα προσωπικού χαρακτήρα. Η απαίτηση για αναλογικότητα στο πλαίσιο αυτό ορισμένες φορές σημαίνει ότι δεν μπορεί να λαμβάνει χώρα κανενός είδους παρακολούθηση
- Πριν από τη χρήση οποιουδήποτε εργαλείου παρακολούθησης θα πρέπει να πραγματοποιείται έλεγχος αναλογικότητας, ώστε να εξετάζεται αν όλα τα δεδομένα είναι απαραίτητα, αν η εν λόγω επεξεργασία υποσκελίζει τα γενικότερα δικαιώματα ιδιωτικότητας που οι εργαζόμενοι έχουν και στον χώρο εργασίας και ποια μέτρα πρέπει να ληφθούν για να διασφαλίζεται ότι οι παραβάσεις του δικαιώματος στην ιδιωτική ζωή και του δικαιώματος του απορρήτου των επικοινωνιών περιορίζονται στο ελάχιστο αναγκαίο
- Ο υπεύθυνος επεξεργασίας οφείλει να σταθμίζει κάθε φορά αφενός τους υπάρχοντες κινδύνους, την έκταση των κινδύνων αυτών, τις υπάρχουσες εναλλακτικές δυνατότητες αντιμετώπισης των κινδύνων αυτών και, αφετέρου, τις προσβολές της ανθρώπινης προσωπικότητας και της ιδιωτικότητας από τη χρήση τέτοιων μεθόδων. Εξάλλου, όπως προεκτέθηκε, η επεξεργασία δεδομένων στην εργασία πρέπει να συνιστά αναλογική αντίδραση στους κινδύνους που αντιμετωπίζει ο εργοδότης. Ο δε τελευταίος πρέπει να λαμβάνει υπ’ όψιν την αρχή της ελαχιστοποίησης των δεδομένων, όταν αποφασίζει σχετικά με τη χρήση νέων τεχνολογιών
- Βλ. ΑΠΔ 26/2019, σκ.
- Βλ. Γνώμη ΟΕ άρθρου 29, 2/2017, σελ.
- 13 Βλ. Γνώμη ΟΕ άρθρου 29, 2/2017, σελ.
- 14 Βλ. Γνώμη ΟΕ άρθρου 29, 2/2017, σελ. 28-
- 11 12 12
- Στο πλαίσιο της υπό κρίση υπόθεσης η καταγγελλόμενη – εργοδότρια, η οποία παρακολουθούσε τα διαδικτυακά μαθήματα που παρέδιδε στους μαθητές του φροντιστηρίου της η καταγγέλλουσα, έχει την ιδιότητα του υπευθύνου επεξεργασίας κατ’ αρ. 4 παρ. 7 ΓΚΠ∆, καθ’ όσον στο πλαίσιο της ανωτέρω επεξεργασίας, συνιστάμενης στην δι’ αυτοματοποιημένων μέσων σύγχρονη επεξεργασία προσωπικών δεδομένων, ήτοι παρακολούθηση εικόνας και ήχου 15, της καταγγέλλουσας, καθορίζει τους σκοπούς και τον τρόπο επεξεργασίας των ανωτέρω προσωπικών δεδομένων και εποµένως καθίσταται υπόχρεη στη συµµόρφωση καταρχάς προς τις αρχές που εισάγονται µε το άρθρο 5 ΓΚΠ∆ καθώς και προς τις λοιπές συνακόλουθες υποχρεώσεις της στο πλαίσιο της κανονιστικής προστασίας των προσωπικών δεδομένων. Στην ανωτέρω επεξεργασία εναντιώθηκε ήδη εξαρχής η καταγγέλλουσα ασκώντας το σχετικό δικαίωμα εναντίωσης ως υποκείμενο δεδομένων κατ’ άρθρο 21 παρ. 1 του ΓΚΠΔ μέσω γραπτών ηλεκτρονικών μηνυμάτων (emails και μηνύματα μέσω της ηλεκτρονικής εφαρμογής viber, όπως αυτά προσκομίστηκαν και αποτελούν στοιχεία του υπό εξέταση φακέλου). Ειδικότερα, σημειώνεται ότι εκ των ανωτέρω γραπτών μηνυμάτων ήταν σαφής η αντίθεση της καταγγέλλουσας στη διαρκή παρακολούθηση του διαδικτυακού της μαθήματος από την εργοδότριά της και εκφράστηκε με τρόπο αναντίρρητο, όπως προκύπτει από τις προσκομιζόμενες συνομιλίες της με την καταγγελλόμενη. Άλλωστε, τη σχετική εναντίωση παραδέχεται ευθέως και η ίδια η καταγγελλόμενη στη με αριθ πρωτ. Γ/ΕΙΣ/6071/2021 απάντησή της προς την Αρχή. Επισημαίνεται, μάλιστα, ότι η καταγγέλλουσα εξέφραζε συνεχώς τη δυσαρέσκεια και τον προβληματισμό της για τη δυνατότητα διαρκούς παρακολούθησης του μαθήματός της, αντιπροτείνοντας, μάλιστα, έτερους τρόπους προς αντικατάσταση της συνεχούς ως άνω παρακολούθησης, όπως προκύπτει και από το σύνολο των στοιχείων του φακέλου. Σημειώνεται ενδεικτικά ότι στο από … μήνυμα ηλεκτρονικού ταχυδρομείου της καταγγέλλουσας προς την εργοδότριά της αναφέρει ευθέως ότι η παρουσία της τελευταίας στα διαδικτυακά της μαθήματα τη δυσκολεύει να εκφραστεί και να αποδώσει ενώ αισθάνεται να καταστρατηγείται η ελευθερία του λόγου της και η υπόστασή της ως ανθρώπου και εκπαιδευτικού. Το γεγονός δε ότι αναφέρεται απλώς διηγηματικά στο σώμα της υπό εξέταση καταγγελίας ότι αρχικά αντιμετωπίστηκε με Πρβλ. EDPB, Guidelines 3/2019 on processing of personal data through video devices, adopted on 10 july 2019, σελ. 5, διαθέσιμες: (https://edpb.europa.eu/sites/default/files/consultation/edpb_guidelines_201903_videosurveillance.pdf) 15 13 καλοπιστία από την καταγγέλλουσα η επίμαχη επεξεργασία, δεν συνεπάγεται την έμμεση συναίνεση της εργαζόμενης, όπως εσφαλμένα υπολαμβάνει η καταγγελλόμενη στο με αριθ. πρωτ. Γ/ΕΙΣ/7891/02.12.2021 Υπόμνημά της, πολύ δε περισσότερο από τη στιγμή που ακολούθησε ρητή και κατ΄ εξακολούθηση εναντίωση της καταγγέλλουσας για τη συνεχή παρακολούθηση των διαδικτυακών της μαθημάτων από την καταγγελλόμενη – εργοδότριά της. Εξάλλου, το ότι η καταγγέλλουσα στο πλαίσιο της υπό εξέταση καταγγελίας, επικαλείται τη σχέση εξάρτησης στο πλαίσιο της εργασιακής σύμβασης που τη συνέδεε με την καταγγελλόμενη ακριβώς για να καταδείξει την αποδυνάμωση της συγκατάθεσης ως έγκυρης νομικής βάσης για την επίμαχη επεξεργασία, δεν δύναται, κατά λογική αναγκαιότητα, να εκληφθεί ως τεκμαιρόμενη συναίνεσή της, απορριπτομένων των περί του αντιθέτου ισχυρισμών της καταγγελλομένης. Από κανένα δε εκ των προσκομιζόμενων ενώπιον της Αρχής μηνυμάτων της καταγγέλλουσας προς την εργοδότρια δεν δύναται να συναχθεί η συγκατάθεσή της για την ως άνω επεξεργασία, πολύ δε περισσότερο από τη στιγμή που, στο πλαίσιο άσκησης του δικαιώματος εναντίωσής της προς την καταγγελλόμενη – υπεύθυνη επεξεργασίας, διατυπώθηκαν εναλλακτικοί τρόποι ως μέσα ηπιότερα, κατά την καταγγέλλουσα, από τη δυνατότητα συνεχούς παρακολούθησης για την επίτευξη των επικαλούμενων από την εργοδότρια σκοπών. Σε κάθε περίπτωση, σημειώνεται πως ακόμα και αν η εργοδότρια συνάγει συγκατάθεση της καταγγέλλουσας στην επεξεργασία από κάποιες μεμονωμένες προτάσεις της στο πλαίσιο μίας συζήτησης που έχει αναμφίβολα ως κεντρικό άξονα την εναντίωση της τελευταίας στην επίμαχη επεξεργασία, δεν δύναται να θεμελιώσει συγκατάθεση ως νομική βάση, καθ’ όσον η συγκατάθεση πρέπει να είναι ρητή με την έννοια του ότι δεν πρέπει να καταλείπεται αµφιβολία ως προς την πρόθεση του συγκεκριµένου προσώπου να παράσχει τη συγκατάθεσή του. Με άλλα λόγια, η δήλωση µε την οποία το συγκεκριµένο πρόσωπο εκφράζει τη συµφωνία του δεν πρέπει να αφήνει περιθώρια ασάφειας ως προς την πρόθεσή του 16 ενώ πρέπει να είναι προφανές ότι το υποκείμενο των δεδομένων συγκατατίθεται στην εκάστοτε επίμαχη επεξεργασία
- Βλ. Γνώμη 15/2011 της ΟΕ του άρθρου 29 σχετικά με τον ορισμό της συγκατάθεσης, WP187, 13 Ioυλίου 2011, σελ.
- 17 Βλ. συναφώς EDPB, Κατευθυντήριες Γραμμές 5/2020 σχετικά με τη συγκατάθεση βάσει του κανονισμού 2016/679, 4 Μαΐου 2020, σελ. 21, (παρ. 75). 16 14
- Επειδή, πέραν των ανωτέρω, σημειώνεται επιπλέον πως, διαλαμβάνοντας η υπεύθυνη επεξεργασίας – εργοδότρια ήδη από την αρχική της απάντηση (αριθ. πρωτ. Γ/ΕΙΣ/6071/23.09.2021) ενώπιον της Αρχής, ότι η καταγγέλλουσα της εξέφρασε την εναντίωσή της για την συνεχή παρουσία της στα διαδικτυακά μαθήματα, αναγνώρισε την άσκηση του σχετικού δικαιώματος εναντίωσης απαντώντας, μάλιστα, επ’ αυτού. Επομένως, απέκλεισε εκ των πραγμάτων τη συγκατάθεση ως νομική βάση της επίμαχης επεξεργασίας 18 ενώ κρίνεται σκόπιμο να επισημανθεί στο σημείο αυτό ότι ακόμα και αν διασφαλιστεί η συγκατάθεση, τούτο δεν αναιρεί ούτε μειώνει με οποιονδήποτε τρόπο τις υποχρεώσεις του υπευθύνου επεξεργασίας να τηρεί τις αρχές που διέπουν την επεξεργασία, οι οποίες κατοχυρώνονται στον ΓΚΠΔ, ιδίως στο άρθρο 5 αυτού όσον αφορά την αντικειμενικότητα, την αναγκαιότητα και την αναλογικότητα. Επομένως, ακόμη και αν η επεξεργασία δεδομένων προσωπικού χαρακτήρα βασίζεται σε συγκατάθεση του υποκειμένου των δεδομένων, το γεγονός αυτό δεν νομιμοποιεί τη συλλογή δεδομένων που δεν είναι αναγκαία σε σχέση με συγκεκριμένο σκοπό επεξεργασίας και η επεξεργασία θα είναι θεμελιωδώς αθέμιτη
- Πάντως, σε κάθε περίπτωση η συγκατάθεση δεν δύναται εν προκειμένω να θεωρηθεί θεμιτή νομική βάση, καθ΄ όσον όπου απαιτείται η συγκατάθεση εργαζοµένου, και υπάρχει πραγµατική ή δυνητική συναφής ζηµία η οποία απορρέει από τη µη χορήγηση συγκατάθεσης, η συγκατάθεση δεν είναι έγκυρη διότι δεν δίδεται ελεύθερα
- Σημειώνεται δε συναφώς ότι στο πλαίσιο της απασχόλησης υφίσταται εκ των πραγμάτων ανισορροπία ισχύος. Λαμβανομένης δε υπ’ όψιν της εξάρτησης που συνεπάγεται η σχέση εργοδότη και εργαζομένου, είναι απίθανο το υποκείμενο των δεδομένων να είναι σε θέση να αρνηθεί να παράσχει στον εργοδότη του συγκατάθεση για την επεξεργασία των δεδομένων του χωρίς να φοβάται ή χωρίς να διατρέχει πραγματικό κίνδυνο να υποστεί αρνητικές συνέπειες λόγω Βλ. EDPB, Κατευθυντήριες Γραμμές 5/2020 σχετικά με τη συγκατάθεση βάσει του κανονισμού 2016/679, 4 Μαΐου 2020, σσ. 38-
- 19 Βλ. EDPB, Κατευθυντήριες Γραμμές 5/2020 σχετικά με τη συγκατάθεση βάσει του κανονισμού 2016/679, 4 Μαΐου 2020, σελ. 6 (παρ. 5). 20 Βλ. Γνώμη 15/2011 της ΟΕ του άρθρου 29 σχετικά με τον ορισμό της συγκατάθεσης, WP187, 13 Ioυλίου 2011, σελ. 16 καθώς επίσης και EDPB, Κατευθυντήριες Γραμμές 5/2020 σχετικά με τη συγκατάθεση βάσει του κανονισμού 2016/679, 4 Μαΐου 2020, σελ. 5, (παρ. 4), όπου επισημαίνεται ότι «οι γνώμες τις οποίες έχει εκδώσει η ομάδα εργασίας του άρθρου 29 σχετικά με τη συγκατάθεση , στις περιπτώσεις που συνάδουν με το νέο νομικό πλαίσιο, εξακολουθούν να είναι συναφείς, καθώς ο ΓΚΠΔ κωδικοποιεί την υφιστάμενη καθοδήγηση της ομάδας εργασίας του άρθρου 29 και τις γενικές ορθές πρακτικές και τα περισσότερα από τα βασικά στοιχεία της συγκατάθεσης παραμένουν ίδια στο πλαίσιο του ΓΚΠΔ». Βλ. ακόμη και τη με αριθ. 43 αιτιολογική σκέψη του ΓΚΠΔ. 18 15 της άρνησής του
- Επομένως, στο πλαίσιο συναφών πράξεων επεξεργασίας, η νομική βάση δεν μπορεί να είναι η συγκατάθεση των εργαζομένων (άρθρο 6 παράγραφος 1 στοιχείο α’ ΓΚΠΔ), λόγω της φύσης της σχέσης μεταξύ εργοδότη και εργαζομένου
- Η δε σχέση εξάρτησης που υφίσταται ex lege επί τη βάσει σχετικής σύμβασης εργασίας, που είχε καταρτιστεί μεταξύ της καταγγελλόμενης και της καταγγέλλουσας, ουδόλως αναιρείται από τους σχετικώς προβαλλόμενους ισχυρισμούς της καταγγελλόμενης – εργοδότριας, ιδίως δε από τη δυνατότητα της καταγγέλλουσας να τεθεί σε αναστολή εργασίας εξαιτίας της εναντίωσής της ως προς την επίμαχη επεξεργασία καθώς και από την στηριζόμενη σε υγειονομικούς λόγους προτίμησή της όπως συνεχίσει την τηλεκπαίδευση και κατά τον Μάιο του 2021, οπότε και υπήρχε πλέον ως επιλογή και η διά ζώσης διδασκαλία. Συμπληρωματικά δε προς τα ανωτέρω αναφέρεται πως, δυνάμει της προσκομιζόμενης από την καταγγελλόμενη Πολιτικής του φροντιστηρίου, η στηριζόμενη στη συγκατάθεση επεξεργασία προσωπικών δεδομένων των υποκειμένων προϋποθέτει ότι αυτή δίδεται εγγράφως και δη ρητά κατόπιν ενημέρωσης, στοιχεία τα οποία δεν προκύπτει ότι υφίστανται εκ των στοιχείων του φακέλου της υπό εξέταση υπόθεσης. Η δε καταγγελλόμενη σε απάντηση της ως άνω ρητά εκπεφρασμένης εναντίωσης της καταγγέλλουσας, προέβαλε την άρνησή της όπως διακόψει την επίμαχη επεξεργασία της παρακολούθησης των διαδικτυακών μαθημάτων της τελευταίας επικαλούμενη, μεταξύ άλλων, λόγους που ανάγονται στην αναγκαιότητα ελέγχου ποιοτικής παροχής των υπηρεσιών της τελευταίας, πολλώ δε μάλλον από τη στιγμή που κρίνεται και η ίδια η εργοδότρια τόσο από τα παιδιά όσο και από τους γονείς τους, όπως ρητά αναφέρεται σε μία εκ των προσκομιζόμενων ενώπιον της Αρχής συνομιλιών μεταξύ των δύο εμπλεκόμενων μερών. Επιπλέον, στη με αριθ. πρωτ. Γ/ΕΙΣ/6071/2021 απάντησή της προς την Αρχή η καταγγελλόμενη – εργοδότρια επικαλείται, όπως προκύπτει και στο πλαίσιο του ως άνω εκτιθέμενου ιστορικού της υπό κρίση υπόθεσης, και τεχνικούς λόγους - προβλήματα για την αντιμετώπιση των οποίων παρακολουθούσε τα διαδικτυακά μαθήματα μεταξύ άλλων και της καταγγελλόμενης, ενώ παραδέχεται πως παρενέβαινε κατά τη διάρκεια των μαθημάτων και όποτε το θεωρούσε σκόπιμο προκειμένου να συνετίσει τους μαθητές. Εξάλλου, με το με Βλ. συναφώς EDPB, Κατευθυντήριες Γραμμές 5/2020 σχετικά με τη συγκατάθεση βάσει του κανονισμού 2016/679, 4 Μαΐου 2020, σελ. 10, (παρ. 21). Βλ. και ΑΠΔ 26/2019,σκ.
- 22 Βλ. συναφώς Βλ. γνώμη 2/2017 (WP249) σχετικά με την επεξεργασία δεδομένων στην εργασία, 8 Ιουνίου 2017, σελ 7 αλλά και EDPB, Κατευθυντήριες Γραμμές 5/2020 σχετικά με τη συγκατάθεση βάσει του κανονισμού 2016/679, 4 Μαΐου 2020, σελ. 10, (παρ. 21). 21 16 αριθ. πρωτ. Γ/ΕΙΣ/7891/02.12.2021 υπόμνημά της η καταγγελλόμενη επαναλαμβάνει σχετικώς τα τεχνικά ζητήματα που καλείτο να αντιμετωπίσει κατά τη διάρκεια των διαδικτυακών μαθημάτων των εργαζομένων της αναφερόμενη και στην μάρτυρα – εργαζόμενή της, η οποία επιβεβαίωσε ότι η καταγγελλόμενη τη συνέδραμε όταν προέκυψε πρόβλημα με τη σύνδεσή της (σελ. 2-3 του ανωτέρω υπομνήματος). Μάλιστα, η ίδια η εργοδότρια παραδέχεται ότι μολονότι υπήρχε η δυνατότητα διαρκούς παρακολούθησης των διαδικτυακών μαθημάτων, εντούτοις δεν γινόταν να τα παρακολουθεί ταυτόχρονα, γι’ αυτό, άλλωστε, όταν ανέκυπτε κάποιο πρόβλημα προς επίλυση, ενημερωνόταν σχετικά είτε τηλεφωνικά είτε μέσω μηνύματος (sms ή μήνυμα στην εφαρμογή viber) (βλ. σελ. 3 του Υπομνήματος της καταγγελλομένης).
- Επειδή, από τους ως άνω προβαλλόμενους από την καταγγελλόμενη λόγους, επί των οποίων ερείδεται η επίμαχη επεξεργασία, και αποκλειομένης, κατά τα ως άνω διαλαμβανόμενα, της συγκατάθεσης ως νομικής βάσης, προκύπτει ότι αυτοί παραπέμπουν στη νομική βάση της περίπτωσης στ’ της παραγράφου 1 του άρθρου 6 του ΓΚΠΔ. Και ναι μεν στο αρχείο δραστηριοτήτων που προσκόμισε η καταγγελλόμενη γίνεται επίκληση της νομικής βάσης του άρθρου 6 παρ. 1 β’ ΓΚΠΔ (εκτέλεση σύμβασης), πλην όμως η εν λόγω νομική βάση αναφέρεται στην επεξεργασία δεδομένων των εργαζομένων κατά τη συνήθη χρήση της πλατφόρμας zoom χωρίς να μπορεί να γίνει δεκτό, εφόσον δεν υπάρχει σαφής και ειδική περιγραφή, ότι περιλαμβάνει την επεξεργασία που συνεπάγεται η δυνατότητα συνεχούς παρακολούθησης δεδομένων εικόνας και ήχου της εργαζόμενης εκ μέρους της καταγγελλόμενης καθ’ όλη τη διάρκεια των διαδικτυακών μαθημάτων. Ειδικότερα, εκ των ισχυρισμών της καταγγελλόμενης – εργοδότριας προκύπτει ότι η παρακολούθηση των διαδικτυακών μαθημάτων της καταγγέλλουσας θεωρείται από την ίδια απαραίτητη για τους σκοπούς των εννόμων συμφερόντων της ως υπεύθυνης επεξεργασίας που φαίνεται να οργανώνονται γύρω από την πυρήνα του διευθυντικού της δικαιώματος. Επομένως, υπάρχει σαφής αναφορά και σε άλλη νομική βάση για την εν λόγω επεξεργασία.
- Επειδή, επιπλέον, από την προσκομιζόμενη από την καταγγελλόμενη εργοδότρια Πολιτική δεν προσδιορίζεται με τρόπο σαφή και ακριβή η νομική βάση για την επίμαχη επεξεργασία, ήτοι τη συνεχή παρακολούθηση δεδομένων εικόνας και ήχου των εργαζομένων από την καταγγελλόμενη – εργοδότρια καθ’ όλη τη διάρκεια των διαδικτυακών μαθημάτων. Μάλιστα, σημειώνεται συναφώς ότι στο πλαίσιο μίας πολιτικής ασφαλείας, θα έπρεπε να εξειδικεύονται, πέραν των ανωτέρω, και δη με τρόπο σαφή τα τεχνικά και 17 οργανωτικά μέτρα ασφαλείας, τα οποία θα έπρεπε να λαμβάνονται από την υπεύθυνη επεξεργασίας, στην περίπτωση παρακολούθησης από την ίδια των διαδικτυακών μαθημάτων των εργαζομένων της, προκειμένου να διασφαλίζεται η αποτελεσματική προστασία των προσωπικών δεδομένων των τελευταίων 23 συμφώνως και προς τα προβλεπόμενα από τις διατάξεις των άρθρων 25 και 32 ΓΚΠΔ. Ωστόσο, εκ των προδιαλαμβανόμενων προκύπτει ότι δεν υπήρξε η κατ’ άρθρο 13 ΓΚΠΔ ενημέρωση, συμπεριλαμβανομένης συνακόλουθα και της ενημέρωσης περί της νομικής βάσης της επίμαχης επεξεργασίας, από την πλευρά της εργοδότριας και δη κατά τη λήψη των επίμαχων δεδομένων προσωπικού χαρακτήρα της καταγγέλλουσας. Τούτο δε, καθ’ όσον στο αρχείο δραστηριοτήτων γίνεται επίκληση της νομικής βάσης του άρθρου 6 παρ. 1 β’ ΓΚΠΔ (εκτέλεση σύμβασης), χωρίς να καταλαμβάνεται ειδικώς η επίμαχη επεξεργασία της συνεχούς παρακολούθησης εκ μέρους της εργοδότριας των διαδικτυακών μαθημάτων των εργαζομένων της, ενώ την ίδια στιγμή από τις προσκομιζόμενες ενώπιον της Αρχής απαντήσεις της εργοδότριας επί του δικαιώματος εναντίωσης που άσκησε η καταγγέλλουσα, προτάσσεται ως νομική βάση της επίμαχης επεξεργασίας το έννομο συμφέρον της ως υπέρτερο τέτοιο στο πλαίσιο άσκησης του διευθυντικού της δικαιώματος (άρθρο 6 παρ. 1 στ’ ΓΚΠΔ), χωρίς όμως να τεκμηριώνεται κατά πόσο η παρακολούθηση των μαθημάτων της καταγγέλουσας εκ μέρους της καταγγελόμενης αποτελεί πράγματι πρόσφορο και αναγκαίο μέσο για την άσκηση του διευθυντικού δικαιώματος της καταγγέλουσας. Στο δε με αριθ. πρωτ. Γ/ΕΙΣ/7891/02.12.2021 υπόμνημά της η καταγγελλόμενη θεμελιώνει την επίμαχη επεξεργασία στη νομική βάση της συγκατάθεσης της καταγγέλλουσας – εργαζόμενής της. Επιπλέον, σημειώνεται ότι στις προσκομιζόμενες από την καταγγελλόμενη προσθήκες επί των ατομικών συμβάσεων εργασίας (πλην αυτής της καταγγέλλουσας, η οποία δεν υφίσταται) σχετικά με την επεξεργασία των προσωπικών δεδομένων των εργαζομένων, ουδεμία αναφορά υπάρχει στην επίμαχη επεξεργασία και στη νομική αυτής βάση.
- Επειδή, κατόπιν τούτων διαπιστώνεται εναργώς ότι δεν υφίσταται σαφήνεια ως προς την επικαλούμενη νομική βάση για την επίμαχη επεξεργασία, καθ’ όσον η εργοδότρια αναφέρεται παράλληλα στις προαναφερόμενες νομικές βάσεις, κατά παράβαση της αρχής Βλ. ενδεικτικά σχετική αναφορά στον ιστότοπο της Αρχής (www.dpa.gr: https://www.dpa.gr/index.php/el/enimerwtiko/thematikes_enotites/asfaleia/asfaleiaepexergasias/tekmiriwsh _asfaleia_proswpikwn/politiki_asfaleia_proswpikwn 23 18 της σύννομης, θεμιτής και διαφανούς επεξεργασίας κατ΄ άρθρο 5 παρ. 1 α’ ΓΚΠΔ. Ειδικότερα, η καταγγελλόμενη δημιούργησε εσφαλμένη εντύπωση ως προς τη νομική βάση επί της οποίας θεμελιώθηκε η επίμαχη επεξεργασία, με αποτέλεσμα να μην υπάρχει σαφής και ακριβής σχετική ενημέρωση της εργαζόμενης – καταγγέλλουσας, κατά παράβαση των ανωτέρω διατάξεων 24 καθώς επίσης και του άρθρου 13 του ΓΚΠΔ, καθ’ όσον από τα στοιχεία του φακέλου δεν προκύπτει να έλαβε χώρα ενημέρωση της καταγγέλλουσας εκ μέρους της καταγγελλόμενης υπεύθυνης επεξεργασίας και δη κατά τη λήψη των ως άνω προσωπικών της δεδομένων πολλώ δε μάλλον από τη στιγμή που στο πλαίσιο της προσκομιζόμενης από την καταγγελλόμενη Πολιτικής δεν αναφέρεται η επίμαχη επεξεργασία, που συνίσταται στη δυνατότητα της εργοδότριας, όπως παρακολουθεί δεδομένα εικόνας και ήχου των εργαζομένων της καθ’ όλη τη διάρκεια των μαθημάτων που παραδίδουν μέσω της πλατφόρμας zoom. Ταυτόχρονα, η ασάφεια αυτή στερεί από την Αρχή τη δυνατότητα ελέγχου της ορθότητας της επιλογής νομικής βάσης παραβιάζοντας, κατά τούτο, την αρχή της λογοδοσίας
- Επειδή, εν προκειμένω, και σύμφωνα με τα ανωτέρω, η καταγγελλόμενη – εργοδότρια δεν ικανοποίησε το ασκηθέν ενώπιόν της δικαίωμα εναντίωσης της καταγγέλλουσας, ενώ προέβη στην επίμαχη επεξεργασία κατά παράβαση των διατάξεων των άρθρων 5 παρ. 1 στ. α’, 5 παρ. 2 και 13 του ΓΚΠΔ, όπως αυτές εξειδικεύονται αναλυτικά στις προαναφερόμενες σκέψεις και πάντως χωρίς να προσδιορίζει με σαφήνεια τη νομική βάση επί της οποίας ερείδεται η τελευταία κατ’ άρθρο 6 του ΓΚΠΔ.
- Επειδή η παραβίαση των βασικών αρχών για την επεξεργασία σε συνδυασμό με τη μη θεμελίωση νόμιμης βάσης για την τελευταία, όπως ανωτέρω αναλυτικώς εκτέθηκε, επισύρουν την επιβολή των διοικητικών κυρώσεων του άρθρου 83 παρ. 5 στοιχ. α΄ του ΓΚΠΔ ενώ η παραβίαση των προβλεπόμενων στα άρθρα 12-22 του ΓΚΠΔ δικαιωμάτων των υποκειμένων των δεδομένων, επισύρει την επιβολή των σχετικών κυρώσεων κατ’ άρθρο 83 παρ. 5 στοιχ. β’ του ΓΚΠΔ. Σύμφωνα δε με τον ΓΚΠΔ (Αιτ. Σκ. 148) προκειμένου να ενισχυθεί η επιβολή των κανόνων του παρόντος Κανονισμού, κυρώσεις, συμπεριλαμβανομένων των διοικητικών προστίμων, θα πρέπει να επιβάλλονται για κάθε παράβαση του παρόντος Κανονισμού, επιπρόσθετα ή 24 25 Πρβλ. συναφώς ΑΠΔ 26/2019, σκ.
- Βλ. συναφώς ΑΠΔ 26/2019, σκ.
- 19 αντί των κατάλληλων μέτρων που επιβάλλονται από την εποπτική αρχή σύμφωνα με τον παρόντα Κανονισμό.
- Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 58 παρ. 2 του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες παραβάσεις.
- Η Αρχή κρίνει περαιτέρω ότι η επιβολή διορθωτικού μέτρου δεν αρκεί για την αποκατάσταση της συμμόρφωσης με τις διατάξεις του ΓΚΠΔ που έχουν παραβιαστεί και ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ του ΓΚΠΔ επιπλέον και αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 του ΓΚΠΔ τόσο προς αποκατάσταση της συμμόρφωσης, όσο και για την κύρωση της παράνομης συμπεριφοράς
- Περαιτέρω η Αρχή, έλαβε υπ’ όψιν τα κριτήρια επιμέτρησης του προστίμου που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ, την παράγραφο 5 στοιχ. α’ και β’ του ίδιου άρθρου που έχουν εφαρμογή στην παρούσα υπόθεση και τις Κατευθυντήριες γραμμές για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του Κανονισμού 2016/679 που εκδόθηκαν στις 03-10-2017 από την Ομάδα Εργασίας του άρθρου 29 (WP 253), καθώς και τα πραγματικά δεδομένα της εξεταζόμενης υπόθεσης και ιδίως: i. Το γεγονός ότι η καταγγελλόμενη υπό την ιδιότητά της ως εργοδότρια παραβίασε τις προβλεπόμενες από το άρθρο 5 παρ. 1 εδ. α’ ΓΚΠ∆ αρχές της νοµιµότητας, αντικειµενικότητας και διαφάνειας, ήτοι παραβίασε θεµελιώδη αρχή του ΓΚΠ∆ για την προστασία των δεδοµένων προσωπικού χαρακτήρα. ii. Το γεγονός ότι η τήρηση των αρχών που προβλέπονται από τη διάταξη του άρθρου 5 παρ. 1 εδ. α’ του ΓΚΠ∆ είναι κεφαλαιώδους σηµασίας, πρωτίστως δε, η αρχή της νοµιµότητας, ώστε εάν εκλείπει αυτή να καθίσταται εξ’ αρχής παράνοµη η επεξεργασία, ακόµη και εάν έχουν τηρηθεί οι λοιπές αρχές επεξεργασίας πολλώ δε μάλλον εν προκειμένω που δεν θεμελιώθηκε με σαφήνεια και ακρίβεια κάποια Βλ. ΟΕ 29, Κατευθυντήριες γραμμές και την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του κανονισμού 2016/679 WP253, σελ. 6 26 20 εκ των προβλεπόμενων στο άρθρο 6 του ΓΚΠΔ νομική βάση για την επίμαχη επεξεργασία, κατά τα προαναφερόμενα. iii. Το γεγονός ότι η καταγγελλόμενη με την προαναφερόμενη ασάφεια ως προς τον προσδιορισμό νομικής βάσης για την επίμαχη επεξεργασία στέρησε ταυτόχρονα από την Αρχή τη δυνατότητα να ελέγξει την ορθότητα της σχετικής επιλογής παραβιάζοντας, κατά τούτο, και την αρχή της λογοδοσίας, ενώ ταυτόχρονα δεν κατάφερε να αποδείξει ότι προέβη στην προβλεπόμενη κατ’ άρθρο 13 του ΓΚΠΔ υποχρέωσή της προς ενημέρωση, όπως εξειδικεύτηκε ανωτέρω. iv. Το γεγονός ότι η κατά παράβαση του ΓΚΠΔ επεξεργασία προσωπικών δεδομένων διά της άνευ νόμιμης βάσης και σχετικής προσήκουσας προηγούμενης ενημέρωσης εν προκειμένω έθιξε ένα
(1)φυσικό πρόσωπο ως υποκείμενο των προσωπικών δεδομένων, του οποίου, μάλιστα, το ασκηθέν δικαίωμα εναντίωσης δεν ικανοποιήθηκε. v. Το γεγονός ότι οι ως άνω στοιχειοθετούμενες παραβάσεις του ΓΚΠΔ δεν αποδεικνύεται άνευ αμφιβολίας ότι αποδίδονται σε δόλο της καταγγελλόμενης εργοδότριας αλλά σε αμέλειά της λόγω άγνοιας των διατάξεων του ΓΚΠΔ. vi. Την απουσία προηγούμενων διαπιστωμένων παραβάσεων της καταγγελλόμενης εργοδότριας καθώς από σχετικό έλεγχο προκύπτει ότι δεν της έχει επιβληθεί μέχρι σήμερα διοικητική κύρωση από την Αρχή. vii. Το γεγονός ότι από τα στοιχεία που τέθηκαν υπ’ όψιν της Αρχής και με βάση τα οποία διαπίστωσε τις ανωτέρω παραβιάσεις του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας δεν προκάλεσε υλική ζημία στην καταγγέλλουσα. viii. Το γεγονός ότι η παράβαση των διατάξεων σχετικά με τις βασικές αρχές για την επεξεργασία καθώς και με τα δικαιώματα των υποκειμένων υπάγεται, σύμφωνα με τις διατάξεις του άρθρου 83 παρ. 5 εδ. α’ και β’ ΓΚΠΔ, στην ανώτερη προβλεπόμενη κατηγορία του συστήματος διαβάθμισης διοικητικών προστίμων. 19. Βάσει των ανωτέρω, η Αρχή αποφασίζει ομόφωνα ότι πρέπει να επιβληθεί στην καταγγελλόμενη εργοδότρια ως υπεύθυνη επεξεργασίας η αναφερόμενη στο διατακτικό διοικητική κύρωση, η οποία κρίνεται ανάλογη με τη βαρύτητα της παράβασης. 21 ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή Επιβάλλει στην καταγγελλόμενη υπεύθυνη επεξεργασίας Γ το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αρμόζει στην συγκεκριμένη περίπτωση, σύμφωνα με τις ειδικότερες περιστάσεις αυτής, ύψους δύο χιλιάδων (2.000) ευρώ για τη μη ικανοποίηση του δικαιώματος εναντίωσης καθώς και για τις ως άνω διαπιστωθείσες παραβιάσεις των άρθρων 5 παρ. 1 περ. α’, 5 παρ. 2 και 13 ΓΚΠΔ, όπως αυτές ανωτέρω εξειδικεύτηκαν, σύμφωνα με τα άρθρα 58 παρ. 2 στοιχ. θ΄ και 83 παρ. 5 στοιχ. α’ και β΄ ΓΚΠΔ. Ο Αναπληρωτής Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 22