← Ελλάδα

Κατευθυντήριες γραμμές 1/2021 σχετικά με την εφαρμογή των κανόνων προστασίας δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της τηλεργασίας

Αθήνα, 04-08-2021 Αριθ. Πρωτ.: 1818 Α Π Ο Φ Α Σ Η 32/2021 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε, μετά από πρόσκληση του Προέδρου της, σε τακτική συνεδρίαση μέσω τηλεδιασκέψεως την Δευτέρα 12.07.2021 και ώρα 09:30, εξ αναβολής από την συνεδρίαση της 29ης.06.2021, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος και τα τακτικά μέλη της Αρχής Σπυρίδων Βλαχόπουλος, Κωνσταντίνος Λαμπρινουδάκης και Χαράλαμπος Ανθόπουλος. Στη συνεδρίαση παρέστη, ακόμα, με εντολή του Προέδρου, ο Γρηγόριος Τσόλιας, αναπληρωματικό μέλος της Αρχής, ως εισηγητής. Παρούσες, χωρίς δικαίωμα ψήφου, ήταν οι Αναστασία Κανικλίδου, Χαρίκλεια Λάτσιου, Ελένη Μαρτσούκου, νομικοί ελεγκτές – δικηγόροι, και Γεωργία Παναγοπούλου, πληροφορικός – ελεγκτής, ως βοηθοί εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Σε συνέχεια της αποφάσεως 05/2020, με την οποία εκδόθηκαν Κατευθυντήριες Γραμμές αναφορικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της διαχείρισης του κορωνοϊού COVID-19, των Κατευθυντήριων Γραμμών 2/2020 για τη λήψη μέτρων ασφάλειας στο πλαίσιο της τηλεργασίας και της Οδηγίας 115/2001 για την προστασία των προσωπικών δεδομένων στο πλαίσιο των εργασιακών σχέσεων, λαμβάνοντας υπόψη την ένταση και την έκταση που έχει λάβει η εξ αποστάσεως παροχή εργασίας, προεχόντως λόγω της επιδημίας που οφείλεται στην COVID-19, και τους κινδύνους που ελλοχεύουν μέσω της χρήσης τεχνολογιών πληροφορικής και επικοινωνιών (ΤΠΕ) για τα δικαιώματα των εμπλεκομένων σ’ αυτήν προσώπων και την ασφάλεια των υποδομών και υπηρεσιών που χρησιμοποιούνται, διαπιστώνεται η ανάγκη να εκδοθούν, στο πλαίσιο της ενημέρωσης από την Αρχή των υποκειμένων των δεδομένων καθώς και των υπευθύνων επεξεργασίας και των εκτελούντων την επεξεργασία, Κατευθυντήριες Γραμμές ειδικά για την επεξεργασία δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται κατά την παροχή εργασίας εξ αποστάσεως, ανεξαρτήτως μορφής και είδους απασχόλησης, τόσο στον ιδιωτικό όσο και στον δημόσιο τομέα, με σκοπό να εξειδικευθούν αφενός οι κίνδυνοι, οι κανόνες, οι εγγυήσεις και τα δικαιώματα των υποκειμένων των δεδομένων και αφετέρου οι υποχρεώσεις των δημοσίων αρχών και ιδιωτικών φορέων, ως υπευθύνων επεξεργασίας, σε συμμόρφωση προς το θεσμικό πλαίσιο προστασίας δεδομένων προσωπικού χαρακτήρα. Αναφορικά με την έκταση της παροχής εξ αποστάσεως εργασίας κατά το αρχικό κύμα αντιμετώπισης της πανδημικής κρίσης λόγω του κορωνοϊού πάνω από το 1/3 (37%) των εργαζομένων στην Ε.Ε

(27), οι οποίοι απασχολούνταν δια ζώσης στο χώρο εργασίας τους, εντάχθηκαν σε καθεστώς τηλεργασίας, ενώ το ποσοστό αυτό στην Ελλάδα ανήλθε στο 26,2%
  1. Επιπλέον, η εκτίμηση για την Ελλάδα ως προς την παροχή εργασίας εξ αποστάσεως των εργαζομένων μισθωτών αγγίζει το 40% 2, ενώ βάσει πιο πρόσφατης μελέτης3 έως και το 25% των συνολικά απασχολούμενων (μισθωτών και αυτοαπασχολούμενων, περί τους 500.000 εργαζομένους) θα μπορούσε να ενταχθεί σε καθεστώς πλήρους τηλεργασίας
  2. Ήδη ορισμένες εποπτικές αρχές, στο πλαίσιο των συμβουλευτικών εξουσιών του άρθρου 58 παρ. 3 στοιχ β΄ ΓΚΠΔ και με αφορμή τη διαχείριση του κορωνοϊού έχουν εκδώσει γνώμες, με τις οποίες επισημαίνουν συγκεκριμένα ζητήματα Πηγή Eurofound 2020, https://www.eurofound.europa.eu/data/covid-19/working-teleworking Sostero M, S Milasi, J Hurley, E Fernandez-Macias and M Bisello
(2020), “Teleworkability and the COVID-19 crisis: a new digital divide?” JRC Working Papers Series on Labour, Education and Technology 2020/05, European Commission. 3 Pouliakas, Konstantinos,
  1. "Working at Home in Greece: Unexplored Potential at Times of Social Distancing?," IZA Discussion Papers 13408, Institute of Labor Economics (IZA). 1 2 http://ftp.iza.org/dp13408.pdf. Αναλυτικά στοιχεία για την τηλεργασία στην Ε.Ε. πριν και μετά την πανδημία λόγω κορωνοϊού μπορούν να αναζητηθούν στο Θεματικό Δελτίο ενημέρωσης Νο3 Νοεμβρίου 2020 του Εθνικού Ινστιτούτου Εργασίας και Ανθρωπίνου Δυναμικού https://www.eiead.gr/publications/docs/EIEAD_THEMATIC__ISSUE_TELEWORK__FINAL.pdf 4 2 προστασίας δεδομένων προσωπικού χαρακτήρα κατά την οργάνωση και εκτέλεση της εργασίας από απόσταση
  2. Σε εθνικό επίπεδο το θέμα της τηλεργασίας έχει απασχολήσει διάφορους φορείς, οι οποίοι έχουν επισημάνει συγκεκριμένους κινδύνους σχετιζόμενους με τη χρήση ΤΠΕ κατά την παροχή εργασίας εξ αποστάσεως και έχουν προτείνει συγκεκριμένα μέτρα πρόληψης και αντιμετώπισής τους
  3. Η Αρχή, μετά από αξιολόγηση των πραγματικών και νομικών δεδομένων, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τις βοηθούς εισηγητή, οι οποίες παρέστησαν χωρίς δικαίωμα ψήφου και αποχώρησαν μετά από τη συζήτηση της υποθέσεως και πριν από τη διάσκεψη και τη λήψη αποφάσεως, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
  4. Επειδή, από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού 2016/679) - εφεξής ΓΚΠΔ - και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να Βλ. ενδεικτικά σύνδεσμο της αρμόδιας εποπτικής αρχής του Ηνωμένου Βασιλείου – Information Commissioner’s Office (ICO) https://ico.org.uk/for-organisations/working-from-home, της Γαλλίας Commission Nationale Informatique & Libertés (CNIL) https://www.cnil.fr/fr/teletravail-les-regles-etles-bonnes-pratiques-suivre, https://www.cnil.fr/fr/les-questions-reponses-de-la-cnil-sur-leteletravail, της Ισπανίας – Agencia espanola proteccion datos (AEPD) https://www.aepd.es/en/prensay-comunicacion/blog/privacy-online-meetings, της Iρλανδίας – An Coimisiún um Chosaint Sonraí (DPC) https://www.dataprotection.ie/en/dpc-guidance/blogs/protecting-personal-data-when-workingremotely. 5 6 Βλ. ενδεικτικά ΣΕΒ: τηλεργασία: ευκαιρία για πιο παραγωγικές επιχειρήσεις και καλύτερη ζωή για τους εργαζομένους
(2019)Εθνική Αρχή https://www.sev.org.gr/Uploads/Documents/52083/SR_TELEWORK_final.pdf, Διαφάνειας, ειδικός οδηγός προστασία από τεχνικές εξαπάτησης covid-19 Διεύθυνση Δίωξης https://aead.gr/images/manuals/teleworking/EAD-teleworking-guide.pdf, Ηλεκτρονικού Εγκλήματος – προσπάθειες εξαπάτησης μέσω διαδικτύου με αφορμή των κορωνοϊό http://www.astynomia.gr/index.php?option=ozo_content&lang=%27..%27&perform=view&id=93647 &Itemid=2425&lang, Υπουργείο Ψηφιακής Διακυβέρνησης, «Συμβουλές για την ασφαλή εργασία από το σπίτι» https://mindigital.gr/archives/1291 3 εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ.1 στοιχ. α΄, β΄ και δ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. α΄ και β΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αυτεπάγγελτη αρμοδιότητα να παρακολουθεί και να επιβάλλει την εφαρμογή των διατάξεων του ΓΚΠΔ και του νόμου 4624/2019 και να προωθεί την ευαισθητοποίηση του κοινού και των υπευθύνων επεξεργασίας και των εκτελούντων την επεξεργασία σχετικά με την κατανόηση των κινδύνων, των κανόνων, των εγγυήσεων και των δικαιωμάτων και σχετικά με τις υποχρεώσεις τους δυνάμει του ΓΚΠΔ κατά την επεξεργασία δεδομένων προσωπικού χαρακτήρα.
  1. Επειδή, το άρθρο 2 παρ. 1 του ΓΚΠΔ προβλέπει: «Ο παρών κανονισμός εφαρμόζεται στην, εν όλω ή εν μέρει, αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς και στη μη αυτοματοποιημένη επεξεργασία τέτοιων δεδομένων τα οποία περιλαμβάνονται ή πρόκειται να περιληφθούν σε σύστημα αρχειοθέτησης». Αντίστοιχα, το άρθρο 2 του νόμου 4624/2019 ορίζει: «Οι διατάξεις του παρόντος εφαρμόζονται στην, εν όλω ή εν μέρει, αυτοματοποιημένη επεξεργασία δεδομένων Προσωπικού Χαρακτήρα, καθώς και στη μη αυτοματοποιημένη επεξεργασία τέτοιων δεδομένων, τα οποία περιλαμβάνονται ή πρόκειται να περιληφθούν σε σύστημα αρχειοθέτησης από: α) δημόσιους φορείς ή β) ιδιωτικούς φορείς, εκτός και εάν η επεξεργασία πραγματοποιείται από φυσικό πρόσωπο στο πλαίσιο αποκλειστικά προσωπικής ή οικιακής δραστηριότητας». Η παροχή εργασίας εξ αποστάσεως βασίζεται στη χρήση ΤΠΕ και, ως αυτοματοποιημένη επεξεργασία, εμπίπτει κατεξοχήν στο πεδίο εφαρμογής του ΓΚΠΔ και του ν. 4624/
  3. Επειδή, το άρθρο 5 του ΓΚΠΔ καθορίζει τις αρχές επεξεργασίας που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, ορίζεται στην παράγραφο 1 ότι τα δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων: «α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα, διαφάνεια»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς (…), γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους 4 οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων»), δ) είναι ακριβή και, όταν είναι αναγκαίο, επικαιροποιούνται· πρέπει να λαμβάνονται όλα τα εύλογα μέτρα ώστε δεδομένα προσωπικού χαρακτήρα τα οποία είναι ανακριβή, σε σχέση με τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία, να διαγράφονται ή να διορθώνονται χωρίς καθυστέρηση («ακρίβεια»), ε) διατηρούνται υπό μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων των δεδομένων μόνο για το διάστημα που απαιτείται για τους σκοπούς της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα· τα δεδομένα προσωπικού χαρακτήρα μπορούν να αποθηκεύονται για μεγαλύτερα διαστήματα, εφόσον τα δεδομένα προσωπικού χαρακτήρα θα υποβάλλονται σε επεξεργασία μόνο για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον, για σκοπούς επιστημονικής ή ιστορικής έρευνας ή για στατιστικούς σκοπούς, σύμφωνα με το άρθρο 89 παράγραφος 1 και εφόσον εφαρμόζονται τα κατάλληλα τεχνικά και οργανωτικά μέτρα που απαιτεί ο παρών κανονισμός για τη διασφάλιση των δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων («περιορισμός της περιόδου αποθήκευσης»), στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»)».
  4. Επειδή, αναφορικά με την αρχή της νομιμότητας, αντικειμενικότητας και διαφάνειας της επεξεργασίας κατά το άρθρο 5 παρ. 1 στοιχ. α΄ του ΓΚΠΔ, λαμβάνοντας υπόψη και την αιτιολογική σκέψη 39 του ΓΚΠΔ 7, πρέπει να σημειωθεί 7 «Κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα θα πρέπει να είναι σύννομη και δίκαιη. Θα πρέπει να είναι σαφές για τα φυσικά πρόσωπα ότι δεδομένα προσωπικού χαρακτήρα που τα αφορούν συλλέγονται, χρησιμοποιούνται, λαμβάνονται υπόψη ή υποβάλλονται κατ' άλλο τρόπο σε επεξεργασία, καθώς και σε ποιο βαθμό τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται ή θα υποβληθούν σε επεξεργασία. Η αρχή αυτή απαιτεί κάθε πληροφορία και ανακοίνωση σχετικά με την επεξεργασία των εν λόγω δεδομένων προσωπικού χαρακτήρα να είναι εύκολα προσβάσιμη και κατανοητή και να χρησιμοποιεί σαφή και απλή γλώσσα. Αυτή η αρχή αφορά ιδίως την ενημέρωση των υποκειμένων των δεδομένων σχετικά με την ταυτότητα του υπευθύνου επεξεργασίας και τους σκοπούς της επεξεργασίας και την περαιτέρω ενημέρωση ώστε να διασφαλιστεί δίκαιη και διαφανής επεξεργασία σε σχέση με τα εν λόγω φυσικά πρόσωπα και το δικαίωμά τους να λαμβάνουν επιβεβαίωση και να επιτυγχάνουν ανακοίνωση των σχετικών με αυτά δεδομένων προσωπικού χαρακτήρα που υπόκεινται σε επεξεργασία. Θα πρέπει να γνωστοποιείται στα φυσικά πρόσωπα η ύπαρξη κινδύνων, κανόνων, εγγυήσεων και δικαιωμάτων σε σχέση με την επεξεργασία δεδομένων προσωπικού χαρακτήρα και πώς να ασκούν τα δικαιώματά τους σε σχέση με την επεξεργασία αυτή. 5 ότι η εξ αποστάσεως παροχή εργασίας έχει ρυθμιστεί σε ευρωπαϊκό επίπεδο από την Ευρωπαϊκή Συμφωνία Πλαίσιο για την τηλεργασία του 2002, η οποία ενσωματώθηκε στο ελληνικό δίκαιο το πρώτον με την Εθνική Γενική Συλλογική Σύμβαση Εργασίας ετών 2006 και 2007 (ΕΓΣΣΕ 2006-2007), και περιλαμβάνεται στις μετέπειτα ΕΓΣΣΕ. Βασικά σημεία της Ευρωπαϊκής αυτής Συμφωνίας, συνίστανται στα ακόλουθα, ότι: α) η τηλεργασία έχει οικειοθελή χαρακτήρα/ βασίζεται στην ελεύθερη συγκατάθεση του εργαζομένου, β) ο εργοδότης είναι υπεύθυνος για την παροχή, εγκατάσταση και συντήρηση του εξοπλισμού της τακτικής τηλεργασίας, εκτός αν ο εργαζόμενος εξ αποστάσεως χρησιμοποιεί δικό του εξοπλισμό, γ) ο εργοδότης βαρύνεται με τις δαπάνες που προκαλούνται άμεσα από την τηλεργασία, ιδίως αυτές που σχετίζονται με την επικοινωνία. Επιπλέον, η διάταξη του άρθρου 67 του νόμου 4808/2021 (ΦΕΚ Α΄ 101) σε αντικατάσταση του άρθρου 5 του ν. 3846/2010 (ΦΕΚ Α΄ 66), προβλέπει μεταξύ άλλων: «
  5. Η τηλεργασία συμφωνείται μεταξύ εργοδότη και εργαζομένου, κατά την πρόσληψη ή με τροποποίηση της σύμβασης εργασίας.
  6. Κατ` εξαίρεση, εφόσον η εργασία μπορεί να παρασχεθεί εξ αποστάσεως, η τηλεργασία μπορεί να εφαρμόζεται: α) Μετά από απόφαση του εργοδότη, για λόγους προστασίας της δημόσιας υγείας, η συνδρομή των οποίων διαπιστώνεται με απόφαση του Υπουργού Υγείας και του κατά περίπτωση συναρμόδιου Υπουργού και για όσο χρόνο διαρκούν οι λόγοι αυτοί. β) Μετά από αίτηση του εργαζόμενου, σε περίπτωση τεκμηριωμένου κινδύνου της υγείας του, ο οποίος θα αποφευχθεί αν εργάζεται μέσω τηλεργασίας και όχι στις εγκαταστάσεις του εργοδότη και για όσο χρόνο διαρκεί ο κίνδυνος αυτός. Σε περίπτωση που ο εργοδότης διαφωνεί, ο εργαζόμενος μπορεί να αιτηθεί την επίλυση της διαφοράς από την Επιθεώρηση Εργασίας, σύμφωνα με το άρθρο 3Β του ν. 3996/2011 (Α` 170). Με κοινή απόφαση των Υπουργών Εργασίας και Κοινωνικών Υποθέσεων και Υγείας, καθορίζονται οι παθήσεις, τα νοσήματα ή οι αναπηρίες του εργαζόμενου, που μπορούν να τεκμηριώσουν τον κίνδυνο της υγείας του, καθώς και τα δικαιολογητικά, οι αρμόδιοι φορείς και η διαδικασία για την τεκμηρίωση του κινδύνου αυτού». 6 Με τον νόμο 4807/2021 (ΦΕΚ Α΄96) ρυθμίστηκε εξάλλου το πλαίσιο οργάνωσης και αποτελεσματικής εφαρμογής της τηλεργασίας στον δημόσιο τομέα, τόσο σε κανονικές όσο και σε έκτακτες συνθήκες, μέσω της αξιοποίησης των τεχνολογιών πληροφορικής και επικοινωνιών (άρθρο 1) . Προβλέπεται δε ότι στις ρυθμίσεις του νόμου αυτού υπάγονται οι μόνιμοι δημόσιοι υπάλληλοι και οι υπάλληλοι με σχέση εργασίας ιδιωτικού δικαίου αορίστου ή ορισμένου χρόνου, συμπεριλαμβανομένων των απασχολούμενων με σύμβαση έμμισθης εντολής, καθώς και οι αποσπασμένοι εκπαιδευτικοί που ασκούν διοικητικό έργο, εφόσον η φύση των καθηκόντων τους καθιστά εφικτή την εκτέλεσή τους μέσω τηλεργασίας, ενώ εξαιρούνται α) οι ασκούντες καθήκοντα προϊσταμένου και β) το υπόλοιπο εκπαιδευτικό προσωπικό και οι εκπαιδευτές σε όλες τις δομές κάθε βαθμίδας εκπαίδευσης και κατάρτισης (άρθρο 4). Περαιτέρω ορίζονται ως γενικές αρχές που διέπουν την τηλεργασία, μεταξύ άλλων, η προστασία των προσωπικών δεδομένων και ο σεβασμός της ιδιωτικής ζωής (άρθρο 5 στοιχ. γ΄ και δ΄, αντίστοιχα). Αναφορικά με την προστασία των προσωπικών δεδομένων προβλέπεται στο άρθρο 6 του νόμου αυτού: «
  7. Ο φορέας, ως υπεύθυνος επεξεργασίας δεδομένων προσωπικού χαρακτήρα, προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφαλείας έναντι των κινδύνων για τα δεδομένα προσωπικού χαρακτήρα, εφαρμόζει τα κατάλληλα τεχνικά και οργανωτικά μέτρα, όπως ορίζονται από τον Γενικό Κανονισμό για την Προστασία Δεδομένων (Κανονισμός (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016 (L 119) και την εθνική νομοθεσία και ιδίως, τον ν. 4624/2019 (Α` 137).
  8. Ο φορέας, με τη συνδρομή του Υπεύθυνου Προστασίας Δεδομένων, είναι υπεύθυνος να ενημερώνει επαρκώς, να εκπαιδεύει και να συνδράμει τους τηλεργαζόμενους στην εφαρμογή των διαδικασιών για την προστασία των προσωπικών δεδομένων.
  9. Για την πρόσβαση στο δίκτυο, ο φορέας, ως υπεύθυνος επεξεργασίας δεδομένων: α) διασφαλίζει ότι υπάρχει δυνατότητα ασφαλούς απομακρυσμένης πρόσβασης σε πόρους πληροφοριακών συστημάτων του φορέα, β) καθορίζει τους όρους και τις προϋποθέσεις σύμφωνα με τις οποίες επιτρέπεται η απομακρυσμένη πρόσβαση, γ) διασφαλίζει τη σύνδεση σε υπολογιστικά συστήματα του φορέα μέσω υπηρεσίας «απομακρυσμένης επιφάνειας εργασίας» μόνο μέσω σύνδεσης εικονικού ιδιωτικού δικτύου με κρυπτογραφημένη και προστατευμένη δρομολόγηση δεδομένων, δ) εγκαθιστά ασφαλές πρωτόκολλο ασύρματης σύνδεσης με ισχυρό κωδικό στη 7 συσκευή τηλεργασίας που χρησιμοποιεί ο τηλεργαζόμενος, όταν ο τελευταίος συνδέεται στο διαδίκτυο μέσω ασύρματου δικτύου και ε) διασφαλίζει ότι αποφεύγεται η χρήση αρχείων με δεδομένα προσωπικού χαρακτήρα σε υπηρεσίες προσωπικής διαδικτυακής αποθήκευσης των τηλεργαζόμενων.
  10. Ο τηλεργαζόμενος υποχρεούται να κάνει αποκλειστική χρήση του επίσημου ηλεκτρονικού ταχυδρομείου του φορέα κατά την εκτέλεση της τηλεργασίας.
  11. Για τη χρήση τερματικής συσκευής και αποθηκευτικών μέσων, με επιμέλεια του φορέα εγκαθίσταται στην τεχνολογική συσκευή της τηλεργασίας σύστημα εναντίον των ιών (antivirus) και «τείχος προστασίας» (firewall). Ο φορέας επιμελείται: α) την τακτική ενημέρωση των προαναφερόμενων συστημάτων, β) την εγκατάσταση των πλέον πρόσφατων ενημερώσεων του λογισμικού εφαρμογών και του λειτουργικού συστήματος στη συσκευή της τηλεργασίας, γ) τη χρήση των πλέον πρόσφατων εκδόσεων προγραμμάτων πλοήγησης στο διαδίκτυο από τον τηλεργαζόμενο με τη μη τήρηση ιστορικού ή τη διαγραφή του μετά το πέρας της τηλεργασίας, δ) τον διαχωρισμό των δεδομένων προσωπικού χαρακτήρα τα οποία αφορούν την τηλεργασία στη συσκευή της τηλεργασίας, και ε) τη χρήση διαδικασιών κατάλληλης κρυπτογράφησης και διαδικασιών λήψης αντιγράφων αρχείων που περιέχουν δεδομένα προσωπικού χαρακτήρα.
  12. Με την επιφύλαξη του δευτέρου εδαφίου, δεν επιτρέπεται η χρήση συστημάτων λήψης και εγγραφής κινούμενων εικόνων του τηλεργαζόμενου (κάμερα) που είναι ενσωματωμένα στη συσκευή τηλεργασίας, κατά τη διενέργεια τηλεδιασκέψεων και για τον έλεγχο της απόδοσης του τηλεργαζόμενου. Αν τεθεί σε λειτουργία οποιοδήποτε σύστημα, αυτό πρέπει να επιβάλλεται από τις λειτουργικές ανάγκες της εργασίας που παρέχει ο φορέας και να περιορίζεται στο πλαίσιο του επιδιωκόμενου σκοπού.
  13. Για την πραγματοποίηση τηλεδιασκέψεων, ο φορέας χρησιμοποιεί πλατφόρμες που υποστηρίζουν υπηρεσίες ασφαλείας, όπως κρυπτογράφηση και προστασία του συνδέσμου της προγραμματισμένης τηλεδιάσκεψης.
  14. Σε περίπτωση που ο φορέας, ως υπεύθυνος επεξεργασίας δεδομένων προσωπικού χαρακτήρα, δεν διασφαλίζει κατ` ελάχιστον τις προδιαγραφές των ως άνω παραγράφων, η τηλεργασία δεν αρχίζει ή διακόπτεται.
  15. Πριν την έναρξη της τηλεργασίας, με ευθύνη του φορέα, διενεργείται εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων προσωπικού χαρακτήρα». 8
  16. Επειδή, αναφορικά με την αρχή της ακεραιότητας και εμπιστευτικότητας των δεδομένων προσωπικού χαρακτήρα κατά το άρθρο 5 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ, λαμβάνοντας υπόψη τις αιτιολογικές σκέψεις 39 8 και 49 9 ΓΚΠΔ, και βάσει του άρθρου 32 του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας οφείλει να εφαρμόζει τα κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων από την επεξεργασία. Στην περίπτωση της τηλεργασίας τα υποκείμενα των δεδομένων είναι τόσο οι εργαζόμενοι όσο και τα φυσικά πρόσωπα άλλων κατηγοριών (π.χ πελάτες, λήπτες υπηρεσιών, κτλ) των οποίων τα δεδομένα απαιτείται να επεξεργάζεται νομίμως ο υπεύθυνος επεξεργασίας.
  17. Επειδή, αναφορικά με την αρχή της προστασίας προσωπικών δεδομένων εκ σχεδιασμού και εξ ορισμού, βάσει του άρθρου 25 του ΓΚΠΔ, και τις κατευθυντήριες γραμμές 4/2019 10του ΕΣΠΔ και λαμβάνοντας υπόψη την αιτιολογική σκέψη 78 ΓΚΠΔ, ο υπεύθυνος επεξεργασίας οφείλει να εφαρμόζει αποτελεσματικά, τόσο κατά τη στιγμή του καθορισμού των μέσων επεξεργασίας όσο και κατά τη στιγμή της επεξεργασίας, κατάλληλα τεχνικά και οργανωτικά μέτρα, όπως η ψευδωνυμοποίηση, σχεδιασμένα για την εφαρμογή αρχών προστασίας των δεδομένων, όπως η ελαχιστοποίηση των δεδομένων, και την ενσωμάτωση των απαραίτητων εγγυήσεων « (…) Τα δεδομένα προσωπικού χαρακτήρα θα πρέπει να υφίστανται επεξεργασία κατά τρόπο που να διασφαλίζει την ενδεδειγμένη προστασία και εμπιστευτικότητα των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων και για να αποτρέπεται κάθε ανεξουσιοδότητη πρόσβαση σε αυτά τα δεδομένα προσωπικού χαρακτήρα και στον εξοπλισμό που χρησιμοποιείται για την επεξεργασία τους ή η χρήση αυτών των δεδομένων προσωπικού χαρακτήρα και του εν λόγω εξοπλισμού». 9 «Η επεξεργασία δεδομένων προσωπικού χαρακτήρα, στον βαθμό που είναι αυστηρά αναγκαία και ανάλογη για τους σκοπούς της διασφάλισης της ασφάλειας δικτύων και πληροφοριών, δηλαδή της ικανότητας ενός δικτύου ή ενός συστήματος πληροφοριών να ανθίσταται, σε ένα δεδομένο επίπεδο εμπιστοσύνης, σε τυχαία γεγονότα ή παράνομες ή κακόβουλες ενέργειες οι οποίες θέτουν σε κίνδυνο τη διαθεσιμότητα, τη γνησιότητα, την ακεραιότητα και την εμπιστευτικότητα αποθηκευμένων ή διαβιβαζόμενων δεδομένων προσωπικού χαρακτήρα, καθώς και της ασφάλειας των σχετικών υπηρεσιών που προσφέρουν τα εν λόγω δίκτυα και συστήματα ή που είναι προσπελάσιμες μέσω των εν λόγω δικτύων και συστημάτων, ή που προσφέρονται από δημόσιες αρχές, από ομάδες αντιμετώπισης έκτακτων αναγκών στην πληροφορική (CERT), από ομάδες παρέμβασης για συμβάντα που αφορούν την ασφάλεια των υπολογιστών (CSIRT), από παρόχους δικτύων και υπηρεσιών ηλεκτρονικών επικοινωνιών και από παρόχους τεχνολογιών και υπηρεσιών ασφάλειας, αποτελεί έννομο συμφέρον του ενδιαφερόμενου υπευθύνου επεξεργασίας δεδομένων. Αυτό θα μπορούσε να περιλαμβάνει, λόγου χάρη, την αποτροπή ανεξουσιοδότητης πρόσβασης σε δίκτυα ηλεκτρονικών επικοινωνιών και διανομής κακόβουλων κωδικών και την παύση επιθέσεων «άρνησης υπηρεσίας» και ζημιών σε συστήματα πληροφορικής και ηλεκτρονικών επικοινωνιών». 10 https://edpb.europa.eu/system/files/202104/edpb_guidelines_201904_dataprotection_by_design_and_by_default_v2.0_el.pdf 8 9 στην επεξεργασία κατά τρόπο ώστε να πληρούνται οι απαιτήσεις του ΓΚΠΔ και να προστατεύονται τα δικαιώματα των υποκειμένων των δεδομένων και να διασφαλίζει ότι, εξ ορισμού, υφίστανται επεξεργασία μόνο τα δεδομένα προσωπικού χαρακτήρα που είναι απαραίτητα για τον εκάστοτε σκοπό της. Κατά το σχεδιασμό των πολιτικών και διαδικασιών σχετικών με την τηλεργασία θα πρέπει τα εφαρμοζόμενα μέτρα και εγγυήσεις να επιτυγχάνουν το επιθυμητό αποτέλεσμα από πλευράς προστασίας δεδομένων. Ο υπεύθυνος επεξεργασίας θα πρέπει να διαθέτει τεκμηρίωση των εφαρμοζόμενων τεχνικών και οργανωτικών μέτρων, περιλαμβάνοντας και κατάλληλους δείκτες επιδόσεων για την απόδειξη της αποτελεσματικότητας τους.
  18. Επειδή, σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 5 παρ. 2 του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην παράγραφο 1 του άρθρου
  19. Όπως έχει κρίνει η Αρχή 11, με τον ΓΚΠΔ υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό στοιχείο του οποίου συνιστά η αρχή της λογοδοσίας στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Η σημασία της εσωτερικής συμμόρφωσης του υπευθύνου επεξεργασίας στις απαιτήσεις του ΓΚΠΔ αναδεικνύεται από τις διατάξεις του άρθρου 24 παρ. 1 και 2 ΓΚΠΔ σύμφωνα με τις οποίες απαιτείται η εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων, στο πλαίσιο των οποίων περιλαμβάνεται η κατάρτιση και εφαρμογή των κατάλληλων πολιτικών και διαδικασιών. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να αποδεικνύει αυτός και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ. Η συμμόρφωση προς τις απαιτήσεις του ΓΚΠΔ και της εθνικής νομοθεσίας είναι μια διαρκής διαδικασία η οποία αρχίζει ήδη προ της συλλογής και επεξεργασίας των δεδομένων με τον σχεδιασμό των οικείων διαδικασιών και τελειώνει μόνο με την οριστική διαγραφή των δεδομένων. 11 Βλ. απόφαση Αρχής 26/2019, σκέψη 8, διαθέσιμη στην ιστοσελίδα της. 10
  20. Μεταξύ των εργαλείων εκπλήρωσης της κατ’ άρθρο 5 παρ. 2 σε συνδυασμό με τα άρθρα 24 παρ. 1 και 32 ΓΚΠΔ αρχής της λογοδοσίας , λαμβάνοντας υπόψη την αιτιολογική σκέψη 83 ΓΚΠΔ, είναι η εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων (ΕΑΠΔ), η οποία προβλέπεται στο άρθρο 35 του ΓΚΠΔ. Η ΕΑΠΔ επιτρέπει στους υπευθύνους επεξεργασίας να συμμορφώνονται με τις απαιτήσεις του ΓΚΠΔ όποτε σχεδιάζεται ή υλοποιείται επεξεργασία δεδομένων με υψηλό κίνδυνο αλλά και να αποδεικνύουν ότι εφαρμόζουν και εν γένει λαμβάνουν τα ενδεδειγμένα μέτρα για τη διασφάλιση της συμμόρφωσης αυτής. Στην περίπτωση του σχεδιασμού και οργάνωσης της τηλεργασίας, ανεξαρτήτως του γεγονότος ότι η συγκεκριμένη περίπτωση επεξεργασίας συμπεριλαμβάνεται στον εθνικό κατάλογο επεξεργασιών για τις οποίες απαιτείται η διενέργεια ΕΑΠΔ (απόφαση αρ. 65/2018 12 της Αρχής), η διενέργεια ΕΑΠΔ μπορεί να συνεισφέρει στον εντοπισμό και την ελαχιστοποίηση των κινδύνων προστασίας δεδομένων της όλης διαδικασίας.
  21. Επειδή το άρθρο 88 του ΓΚΠΔ προβλέπει: «
  22. Τα κράτη μέλη, μέσω της νομοθεσίας ή μέσω των συλλογικών συμβάσεων, μπορούν να θεσπίζουν ειδικούς κανόνες προκειμένου να διασφαλίζουν την προστασία των δικαιωμάτων και των ελευθεριών έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα των εργαζομένων στο πλαίσιο της απασχόλησης, ιδίως για σκοπούς πρόσληψης, εκτέλεσης της σύμβασης απασχόλησης, συμπεριλαμβανομένης της εκτέλεσης των υποχρεώσεων που προβλέπονται από τον νόμο ή από συλλογικές συμβάσεις, διαχείρισης, προγραμματισμού και οργάνωσης εργασίας, ισότητας και πολυμορφίας στον χώρο εργασίας, υγείας και ασφάλειας στην εργασία, προστασίας της περιουσίας εργοδοτών και πελατών και για σκοπούς άσκησης και απόλαυσης, σε ατομική ή συλλογική βάση, δικαιωμάτων και παροχών που σχετίζονται με την απασχόληση και για σκοπούς καταγγελίας της σχέσης απασχόλησης.
  23. Οι εν λόγω κανόνες περιλαμβάνουν κατάλληλα και ειδικά μέτρα για τη διαφύλαξη της ανθρώπινης αξιοπρέπειας, των έννομων συμφερόντων και των θεμελιωδών δικαιωμάτων του προσώπου στο οποίο αναφέρονται τα δεδομένα, με ιδιαίτερη έμφαση στη διαφάνεια της επεξεργασίας, τη διαβίβαση δεδομένων προσωπικού χαρακτήρα εντός ομίλου επιχειρήσεων, ή ομίλου εταιρειών που ασκούν κοινή οικονομική δραστηριότητα και 12 https://www.dpa.gr/sites/default/files/2019-09/65_2018anonym.pdf 11 τα συστήματα παρακολούθησης στο χώρο εργασίας.
  24. Κάθε κράτος μέλος κοινοποιεί στην Επιτροπή τις διατάξεις που θεσπίζει στο δίκαιό του δυνάμει της παραγράφου 1, έως τις 25 Μαΐου 2018 και, χωρίς καθυστέρηση, κάθε επακολουθούσα τροποποίησή τους». Περαιτέρω, σύμφωνα με την αιτιολογική σκέψη 155 του ΓΚΠΔ : «Στο δίκαιο των κρατών μελών ή σε συλλογικές συμβάσεις, συμπεριλαμβανομένων των «εργασιακών συμφωνιών», μπορούν να θεσπίζονται ειδικοί κανόνες για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα εργαζομένων στο πλαίσιο της απασχόλησης, ιδίως για τους όρους υπό τους οποίους δεδομένα προσωπικού χαρακτήρα στο πλαίσιο της απασχόλησης μπορούν να υφίστανται επεξεργασία με βάση τη συγκατάθεση του εργαζομένου, για σκοπούς πρόσληψης, εκτέλεσης της σύμβασης απασχόλησης, συμπεριλαμβανομένης της εκτέλεσης των υποχρεώσεων που προβλέπονται από τον νόμο ή από συλλογικές συμβάσεις, διαχείρισης, προγραμματισμού και οργάνωσης εργασίας, ισότητας και πολυμορφίας στο χώρο εργασίας και υγείας και ασφάλειας στην εργασία, καθώς και για σκοπούς άσκησης και απόλαυσης, σε ατομική ή συλλογική βάση, δικαιωμάτων και παροχών που σχετίζονται με την απασχόληση και για σκοπούς καταγγελίας της σχέσης απασχόλησης». Τέλος, το άρθρο 27 του ν. 4624/2019 αναφορικά με την επεξεργασία προσωπικών δεδομένων στο πλαίσιο της απασχόλησης ορίζει: «
  25. Δεδομένα προσωπικού χαρακτήρα των εργαζομένων μπορούν να υποβάλλονται σε επεξεργασία για σκοπούς της σύμβασης εργασίας, εφόσον είναι απολύτως απαραίτητο για την απόφαση σύναψης σύμβασης εργασίας ή μετά τη σύναψη της σύμβασης εργασίας για την εκτέλεσή της.
  26. Στην περίπτωση που η επεξεργασία δεδομένων προσωπικού χαρακτήρα εργαζομένου έχει κατ’ εξαίρεση ως νομική βάση τη συγκατάθεσή του, για την κρίση ότι αυτή ήταν αποτέλεσμα ελεύθερης επιλογής, πρέπει να λαμβάνονται υπόψη κυρίως: α) η υφιστάμενη στη σύμβαση εργασίας εξάρτηση του εργαζομένου και β) οι περιστάσεις κάτω από τις οποίες χορηγήθηκε η συγκατάθεση. Η συγκατάθεση παρέχεται είτε σε έγγραφη είτε σε ηλεκτρονική μορφή και πρέπει να διακρίνεται σαφώς από τη σύμβαση εργασίας. Ο εργοδότης πρέπει να ενημερώνει τον εργαζόμενο είτε σε έγγραφη είτε σε ηλεκτρονική μορφή σχετικά με τον σκοπό της 12 επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και το δικαίωμά του να ανακαλέσει τη συγκατάθεση σύμφωνα με το άρθρο 7 παράγραφος 3 του ΓΚΠΔ.
  27. Κατά παρέκκλιση από το άρθρο 9 παράγραφος 1 του ΓΚΠΔ η επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα με την έννοια του άρθρου 9 παράγραφος 1 του ΓΚΠΔ για τους σκοπούς της σύμβασης εργασίας επιτρέπεται, εάν είναι απαραίτητη για την άσκηση των δικαιωμάτων ή την εκπλήρωση νόμιμων υποχρεώσεων που απορρέουν από το εργατικό δίκαιο, το δίκαιο της κοινωνικής ασφάλισης και της κοινωνικής προστασίας και δεν υπάρχει κανένας λόγος να θεωρηθεί ότι το έννομο συμφέρον του υποκειμένου των δεδομένων σε σχέση με την επεξεργασία υπερτερεί. Η παράγραφος 2 ισχύει επίσης για τη συγκατάθεση στην επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα. Η συγκατάθεση πρέπει να αναφέρεται ρητά στα δεδομένα αυτά. Το άρθρο 22 παράγραφος 3 εδάφιο β΄ εφαρμόζεται ανάλογα.
  28. Επιτρέπεται η επεξεργασία δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένων των ειδικών κατηγοριών δεδομένων Προσωπικού Χαρακτήρα των εργαζομένων για τους σκοπούς της σύμβασης εργασίας βάσει συλλογικών συμβάσεων εργασίας. Τα διαπραγματευόμενα μέρη συμμορφώνονται με το άρθρο 88 παράγραφος 2 του ΓΚΠΔ.
  29. Ο υπεύθυνος επεξεργασίας λαμβάνει τα ενδεδειγμένα μέτρα για να εξασφαλίσει ότι τηρούνται ιδίως οι αρχές για την επεξεργασία δεδομένων προσωπικού χαρακτήρα που ορίζονται στο άρθρο 5 του ΓΚΠΔ.
  30. Οι παράγραφοι 1 έως 5 εφαρμόζονται επίσης, όταν δεδομένα προσωπικού χαρακτήρα, συμπεριλαμβανομένων των ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα των εργαζομένων, υπόκεινται σε επεξεργασία, χωρίς αυτά να αποθηκεύονται ή να προορίζονται να αποθηκευτούν σε ένα σύστημα αρχειοθέτησης.
  31. Η επεξεργασία δεδομένων προσωπικού χαρακτήρα μέσω κλειστού κυκλώματος οπτικής καταγραφής εντός των χώρων εργασίας, είτε είναι δημοσίως προσβάσιμοι είτε μη, επιτρέπεται μόνο εάν είναι απαραίτητη για την προστασία προσώπων και αγαθών. Τα δεδομένα που συλλέγονται μέσω κλειστού κυκλώματος οπτικής καταγραφής δεν επιτρέπεται να χρησιμοποιηθούν ως κριτήριο για την αξιολόγηση της αποδοτικότητας των εργαζομένων. Οι εργαζόμενοι ενημερώνονται εγγράφως, είτε σε γραπτή είτε σε ηλεκτρονική μορφή για την εγκατάσταση και λειτουργία κλειστού κυκλώματος οπτικής καταγραφής εντός των χώρων εργασίας.
  32. Για τους σκοπούς του παρόντος νόμου ως εργαζόμενοι νοούνται 13 οι απασχολούμενοι με οποιαδήποτε σχέση εργασίας ή σύμβαση έργου ή παροχής υπηρεσιών στο δημόσιο και στον ιδιωτικό φορέα, ανεξαρτήτως του κύρους της σύμβασης, οι υποψήφιοι για εργασία και οι πρώην απασχολούμενοι». Αναφορικά με την πρόβλεψη του άρθρου 27 του ν. 4624/2019 η Αρχή έχει κρίνει, μεταξύ άλλων, με την Γνωμοδότηση 1/2020: «Με την εκδοχή, κατά την οποία με την παρ. 1 του άρθρου 27 του νόμου εισάγεται μοναδική νομική βάση επεξεργασίας για κάθε σκοπό επεξεργασίας στο πλαίσιο των εργασιακών σχέσεων, στην οποία κατ’ ουσία «συγχωνεύονται» οι νομικές βάσεις του άρθρου 6 παρ. 1 ΓΚΠ∆ και άρα αποκλείεται η αυτοτελής εφαρμογή τους (πλην της συγκατάθεσης, που προβλέπεται ρητά στην παράγραφο 2 του άρθρου 27 του νόμου), η ρύθμιση έρχεται σε αντίθεση με τις διατάξεις του άρθρου 88 παρ. 1 ΓΚΠ∆ με βάση τις οποίες επιτρέπεται η «θέσπιση ειδικών κανόνων» για την εξειδίκευση κανόνων επεξεργασίας που βασίζονται στις νομικές βάσεις του άρθρου 6 παρ. 1 ΓΚΠ∆ και όχι για την δημιουργία νέων νομικών βάσεων ή τον αποκλεισμό εφαρμογής των νομικών βάσεων του ΓΚΠ∆. (…) Με την αντίθετη ορθή άποψη ότι δεν αποκλείεται η αυτοτελής εφαρμογή των λοιπών νομικών βάσεων του άρθρου 6 παρ. 1 ΓΚΠ∆, παρέχεται στον εργαζόμενο η δυνατότητα ελέγχου της ορθής και νόμιμης εφαρμογής της οικείας νομικής βάσης, η οποία θα μπορούσε να οδηγήσει τελικά σε απαγόρευση της επεξεργασίας π.χ. όταν κριθεί στην περίπτωση του άρθρου 6 παρ. 1 εδ. ε’ ΓΚΠ∆ ότι η επεξεργασία δεν αφορά εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή στην περίπτωση του άρθρου 6 παρ. 1 εδ. στ’ ΓΚΠ∆ ότι η εκπλήρωση του έννομου συμφέροντος του εργοδότη δεν υπερισχύει του συμφέροντος ή των θεμελιωδών δικαιωμάτων και ελευθεριών του εργαζομένου (πρβλ. ΑΠ∆ΠΧ 26/2019 παρ. 16 με παραπομπές στις Γνώμες της Ομάδας Εργασίας του άρθρου 29) (…) 13».
  33. Επειδή το άρθρο 22 του ΓΚΠΔ, ως προς την έννοια του οποίου πρέπει να λαμβάνεται υπόψη και η αιτιολογική σκέψη 72, προβλέπει αναφορικά με την αυτοματοποιημένη ατομική λήψη αποφάσεων, περιλαμβανομένης της κατάρτισης προφίλ: «1.Το υποκείμενο των δεδομένων έχει το δικαίωμα να μην υπόκειται σε απόφαση που λαμβάνεται αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας, 13 Γνωμοδότηση 1/2020 της Αρχής σ. 16-19, διαθέσιμη στην ιστοσελίδα της Αρχής. 14 συμπεριλαμβανομένης της κατάρτισης προφίλ, η οποία παράγει έννομα αποτελέσματα που το αφορούν ή το επηρεάζει σημαντικά με παρόμοιο τρόπο. 2.Η παράγραφος 1 δεν εφαρμόζεται όταν η απόφαση: α) είναι αναγκαία για τη σύναψη ή την εκτέλεση σύμβασης μεταξύ του υποκειμένου των δεδομένων και του υπευθύνου επεξεργασίας των δεδομένων, β) επιτρέπεται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας και το οποίο προβλέπει επίσης κατάλληλα μέτρα για την προστασία των δικαιωμάτων, των ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων ή γ) βασίζεται στη ρητή συγκατάθεση του υποκειμένου των δεδομένων.
  34. Στις περιπτώσεις που αναφέρονται στην παράγραφο 2 στοιχεία α) και γ), ο υπεύθυνος επεξεργασίας των δεδομένων εφαρμόζει κατάλληλα μέτρα για την προστασία των δικαιωμάτων, των ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων, τουλάχιστον του δικαιώματος εξασφάλισης ανθρώπινης παρέμβασης από την πλευρά του υπευθύνου επεξεργασίας, έκφρασης άποψης και αμφισβήτησης της απόφασης.
  35. Οι αποφάσεις που αναφέρονται στην παράγραφο 2 δεν βασίζονται στις ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα που αναφέρονται στο άρθρο 9 παράγραφος 1, εκτός αν ισχύει το άρθρο 9 παράγραφος 2 στοιχείο α) ή ζ) και αν υφίστανται κατάλληλα μέτρα για την προστασία των δικαιωμάτων, των ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων». Εξάλλου, η Αρχή με την Οδηγία 115/2001 σχετικά με την προστασία προσωπικών δεδομένων στο πλαίσιο των εργασιακών σχέσεων (υπό το προϊσχύσαν νομοθετικό καθεστώς) δέχθηκε ότι: «Όπως προκύπτει και από το άρθρο 14 του Ν. 2472/97 αποφάσεις που αφορούν κάθε πτυχή της προσωπικότητας των εργαζομένων, όπως η συμπεριφορά ή η αποδοτικότητά τους, δεν επιτρέπεται να λαμβάνονται αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Μία τέτοια διαδικασία θα υποβίβαζε τους εργαζόμενους σε πληροφοριακά αντικείμενα και θα πρόσβαλλε την προσωπικότητά τους».
  36. Επειδή, η τηλεργασία και η «κινητή τεχνολογία» καθιστά δυσδιάκριτα τα όρια μεταξύ σπιτιού και εργασίας. Οι νέες μορφές εργασίας απαιτούν συχνά μεγαλύτερη συμμετοχή και αυτενέργεια των εργαζομένων αλλά συνεπάγονται και 15 μεγαλύτερη διείσδυση στον ιδιωτικό χώρο και χρόνο 14, αμφισβητώντας εκ των πραγμάτων την προστασία της ιδιωτικότητας, των προσωπικών δεδομένων και του δικαιώματος στον ιδιωτικό βίο (άρθρο 9 παρ. 1 δεύτερο εδάφιο και 9Α του Συντάγματος), και διαμορφώνοντας παράλληλα μια νοοτροπία «διαρκούς παρουσίας και μόνιμης επιφυλακής των εργαζομένων», η οποία έχει αρνητικό αντίκτυπο στην ισορροπία μεταξύ της επαγγελματικής και της προσωπικής τους ζωής
  37. Συνεπώς, το δικαίωμα στην αποσύνδεση 16 πρέπει να αποτελεί θεμελιώδες δικαίωμα, ζωτικής σημασίας για την προστασία της σωματικής, ψυχικής υγείας και ευημερίας των εργαζομένων
  38. Η ανάγκη ενίσχυσης προστατευτικού πλέγματος για τον εργαζόμενο εντείνεται μάλιστα και ως κανονιστική υποχρέωση για τον νομοθέτη και τον εφαρμοστή του δικαίου όσο σκληρότερα εξελίσσονται οι εργασιακές συνθήκες και σχέσεις και κατά συνέπεια όσο πιο ευάλωτος καθίσταται ο εξαρτημένος - εργαζόμενος
  39. Συναφώς προβλέπει το άρθρο 18 του νόμου 4807/2021 που αφορά την τηλεργασία στο δημόσιο τομέα ότι «μετά το πέρας του ωραρίου του ο τηλεργαζόμενος αποσυνδέεται από τα μέσα πληροφορικής και επικοινωνίας που χρησιμοποιεί για την εκτέλεση των καθηκόντων του». Αντίστοιχα, η παρ. 10 του άρθρου 67 του νόμου 4808/2021 για την τηλεργασία στον ιδιωτικό τομέα προβλέπει ότι: «Ο τηλεργαζόμενος έχει δικαίωμα αποσύνδεσης, το οποίο συνίσταται στο δικαίωμά του να απέχει πλήρως από την παροχή της εργασίας του και ιδίως, να μην επικοινωνεί ψηφιακώς και να μην απαντά σε τηλεφωνήματα, μηνύματα ηλεκτρονικού ταχυδρομείου ή σε οποιασδήποτε μορφής επικοινωνία εκτός ωραρίου εργασίας και κατά τη διάρκεια των νόμιμων αδειών του. Απαγορεύεται κάθε Λίλιαν Μήτρου, Ιδιωτικότητα, Προσωπικά Δεδομένα και εργασιακές σχέσεις, Επιθεώρηση Εργατικού Δικαίου, Τόμος 76ος, Τεύχος 2, Έτος 2017, σελίδα
  40. 15 Η ανάγκη κατοχύρωσης στο ευρωπαϊκό δίκαιο του δικαιώματος των εργαζομένων να αποσυνδέονται ψηφιακά από την εργασία τους μετά το πέρας της εργασίας τους χωρίς επιπτώσεις διατυπώθηκε στο Ευρωπαϊκό Κοινοβούλιο, το οποίο κάλεσε την Ευρωπαϊκή Επιτροπή να καταθέσει https://www.europarl.europa.eu/news/en/pressσχετική νομοθετική πρόταση, βλ. room/20210114IPR95618/right-to-disconnect-should-be-an-eu-wide-fundamental-right-meps-say, https://The right to disconnect – European Sources Online, https://The right to disconnect (europa.eu). 16 Βλ. και Οδηγό του Διεθνούς Οργανισμού Εργασίας (ΔΟΕ – International Labour Organization) με θέμα «Practical guide on teleworking during the Covid-19 pandemic and beyond ”, σελ. 17), όπου υπογραμμίζεται η αναγκαιότητα άσκησης του δικαιώματος αποσύνδεσης, χωρίς επιπτώσεις για τον εργαζόμενο. 17 Το εν λόγω δικαίωμα γεννήθηκε – όχι μόνο για τον τηλεργαζόμενο - νομολογιακά στη Γαλλία το 2001 από το Cour de cassation. 18 Λίλιαν Μήτρου, Η προστασία δεδομένων των εργαζομένων σε Λεωνίδα Κοτσαλή (επιμ.), Προσωπικά Δεδομένα, Ανάλυση-Σχόλια-Εφαρμογή, Νομική Βιβλιοθήκη, Αθήνα 2016 σελ.
  41. 14 16 δυσμενής διάκριση σε βάρος τηλεργαζομένου, επειδή άσκησε το δικαίωμα αποσύνδεσης. Τα τεχνικά και οργανωτικά μέσα, που απαιτούνται για να εξασφαλίσουν την αποσύνδεση του τηλεργαζομένου από τα ψηφιακά εργαλεία επικοινωνίας και εργασίας αποτελούν υποχρεωτικούς όρους της σύμβασης τηλεργασίας και συμφωνούνται μεταξύ του εργοδότη και των εκπροσώπων των εργαζομένων στην επιχείρηση ή εκμετάλλευση. Σε περίπτωση έλλειψης συμφωνίας, τα μέσα του προηγούμενου εδαφίου καθορίζονται από τον εργοδότη και γνωστοποιούνται από αυτόν σε όλους τους εργαζόμενους»
  42. Ορίζεται δε στην παράγραφο 5 στοιχ. α΄ του ίδιου άρθρου ότι το αμέσως ανωτέρω δικαίωμα αποσύνδεσης περιλαμβάνεται στους όρους που υποχρεούται να γνωστοποιήσει ο εργοδότης στον εργαζόμενο με οποιονδήποτε πρόσφορο τρόπο (περιλαμβανομένου και του ηλεκτρονικού ταχυδρομείου) εντός οκτώ ημερών από την έναρξη της τηλεργασίας.
  43. Επειδή, η χρήση εξοπλισμού προσωπικών υπολογιστών σε επαγγελματικό πλαίσιο γνωστή με το ακρωνύμιο του "B.Y.O.D.", το οποίο είναι η συντομογραφία της αγγλικής έκφρασης "Bring your own device”, ("Φέρτε τη δική σας συσκευή"), παρατηρείται εκτενώς στο πλαίσιο παροχής εργασίας εξ αποστάσεως και επιπλέον παρέχεται πλέον νομοθετικά η δυνατότητα αυτή
  44. Όσον αφορά τη χρήση εξοπλισμού B.Y.O.D. των εξ αποστάσεως απασχολούμενων, κατά την εκτέλεση της εργασίας τους, ο υπεύθυνος επεξεργασίας οφείλει να διαθέτει εγκεκριμένη από την ανώτατη διοίκηση του φορέα, πολιτική και διαδικασία για τη χρήση ιδιωτικού εξοπλισμού προ της ενάρξεως της επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Στο πλαίσιο αυτό, σύμφωνα με την Γνώμη 2/2017 της Ομάδας εργασίας του άρθρου 29 «δεν επιτρέπεται καταρχήν η προσπέλαση εκ μέρους του υπεύθυνου επεξεργασίας, οργανισμού ή επιχείρησης, των τμημάτων της οικιακής συσκευής, τα οποία τεκμαίρεται ότι χρησιμοποιούνται μόνο για ιδιωτικούς σκοπούς (π.χ. φάκελος αποθήκευσης φωτογραφιών που Πρέπει να σημειωθεί ότι μέχρι τον Δεκέμβριο του 2020 μόλις τέσσερα κράτη μέλη είχαν κατοχυρώσει πλήρως νομοθετικά το δικαίωμα του τηλεργαζομένου να μην απαντά εκτός του ωραρίου εργασίας. 20 αρ. 67 παρ. 4 , 5 εδ. γ’ ν. 4808/2021 19 17 λαμβάνονται με τη συσκευή)»
  45. Επιπλέον, πρέπει να εφαρμόζονται κατάλληλα μέτρα με σκοπό τη διάκριση μεταξύ της ιδιωτικής και επαγγελματικής χρήσης της συσκευής, ιδίως όταν μέσω της παρακολούθησης της θέσης και της κυκλοφορίας των συσκευών αυτών είναι δυνατό να συλλεγούν δεδομένα που σχετίζονται με την ιδιωτική και οικογενειακή ζωή του απασχολούμενου. Ακόμα, ο υπεύθυνος επεξεργασίας πρέπει να εφαρμόζει μεθόδους με τις οποίες να διαβιβάζονται με ασφάλεια μεταξύ της συσκευής του απασχολούμενου και του δικτύου του προσωπικά δεδομένα που λαμβάνουν επεξεργασία στο πλαίσιο της υπηρεσιακής ή επιχειρηματικής δραστηριότητας. Επίσης, όταν η κυκλοφορία των δεδομένων πραγματοποιείται μέσω VPN, ο υπεύθυνος επεξεργασίας, προκειμένου να αποφευχθεί ο κίνδυνος παραβίασης ιδιωτικότητας κατά την προσωπική χρήση της συσκευής από τον απασχολούμενο, συνιστάται ο υπεύθυνος επεξεργασίας να επιλέγει συσκευές που προσφέρουν πρόσθετη προστασία, όπως περιβάλλον προστατευμένης εκτέλεσης (sandboxing, περιορισμός των δεδομένων εντός συγκεκριμένης συσκευής). ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή εκδίδει τις ακόλουθες Κατευθυντήριες Γραμμές:
  46. Η τηλεργασία συνιστά μορφή οργάνωσης ή/και εκτέλεσης εργασίας στο πλαίσιο σύμβασης ή σχέσης εργασίας ή υπηρεσιακής σχέσης με το Δημόσιο με τη χρήση ΤΠΕ, που παρέχεται εκτός των εγκαταστάσεων του οργανισμού ή της επιχείρησης
  47. Επιπλέον, όσον αφορά το δημόσιο τομέα η εργασία εξ αποστάσεως Γνώμη 2/2017 σχετικά με την επεξεργασία δεδομένων στην εργασία της Ομάδας Εργασίας του άρθρου 29 από 08.06.2017, wp. 249, διαθέσιμο στην ιστοσελίδα https://ec.europa.eu/newsroom/article29/items/610169, σελ.
  49. Στον νόμο 4807/2021 ορίζεται ως τηλεργασία "η μορφή οργάνωσης και εκτέλεσης εργασίας στο πλαίσιο της οποίας ο μόνιμος δημόσιος υπάλληλος ή ο υπάλληλος που απασχολείται με σχέση εργασίας ιδιωτικού δικαίου αορίστου ή ορισμένου χρόνου στον δημόσιο τομέα, συμπεριλαμβανομένων των απασχολούμενων με σύμβαση έμμισθης εντολής, εκτελεί τα καθήκοντά του χρησιμοποιώντας τις τεχνολογίες πληροφορικής και επικοινωνίας, εξ αποστάσεως» (άρθρο 3 στοιχ. α΄). Αντίστοιχα, στο άρθρο 67 παρ. 1 του νόμου 4808/2021 παρέχεται ο ακόλουθος ορισμός:«
  50. Τηλεργασία είναι η εξ αποστάσεως παροχή της εξαρτημένης εργασίας του εργαζομένου και με τη χρήση της τεχνολογίας, δυνάμει της σύμβασης εργασίας πλήρους, μερικής, εκ περιτροπής ή άλλης μορφής απασχόλησης, η οποία θα μπορούσε να παρασχεθεί και από τις εγκαταστάσεις του εργοδότη». Στο άρθρο 2 της σχετικής Ευρωπαϊκής Συμφωνίας Πλαίσιο, η τηλεργασία ορίζεται ως «μια μορφή οργάνωσης ή/και εκτέλεσης εργασίας, στο πλαίσιο σύμβασης ή σχέσης εργασίας, με τη χρήση 21 18 είναι δυνατόν να παρέχεται οικειοθελώς σύμφωνα με το άρθρο 7 παρ. 1 και 2 του ν. 4807/2021, είτε να επιβληθεί για επιτακτικούς λόγους δημοσίου συμφέροντος (βλ. απόφαση 05/2020), σύμφωνα με την παράγραφο 3 του ίδιου άρθρου. Εξάλλου, σύμφωνα με το άρθρο 5 παρ. 2 και 3 του ν. 3846/2010, όπως αντικαταστάθηκε με το άρθρο 67 του ν. 4808/2021, η τηλεργασία στον ιδιωτικό τομέα αποτελεί αντικείμενο συμφωνίας μεταξύ εργοδότη και εργαζομένου και κατ' εξαίρεση σε ορισμένες περιπτώσεις μπορεί να αποφασίζεται από τον εργοδότη ή να ζητείται από τον εργαζόμενο χωρίς να υπάρχει σχετική συμφωνία. Ο υπεύθυνος επεξεργασίας, κατ΄ εφαρμογή των αρχών του άρθρου 5 παρ. 1 στοιχ. α΄ - γ΄ σε συνδυασμό με την αιτιολογική σκέψη 39 ΓΚΠΔ, και προ της ενάρξεως της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, οφείλει να ενημερώνει τον απασχολούμενο, με τρόπο διαφανή, όχι μόνο για τους όρους εκτέλεσης, αλλά και για τα οφέλη και τους κινδύνους της τηλεργασίας και, επιπλέον, να διασφαλίζει ότι τα δεδομένα προσωπικού χαρακτήρα που τυγχάνουν επεξεργασίας περιορίζονται μόνο σε όσα είναι αναγκαία για τον σκοπό επεξεργασίας και διατηρούνται για το χρονικό διάστημα που απαιτείται κατά περίπτωση για την επίτευξη αυτού.
  51. Σε κάθε περίπτωση, η οργάνωση του τρόπου απασχόλησης εξ αποστάσεως από οποιαδήποτε αιτία, ιδίως στο πλαίσιο της σχέσης εργασίας στον ιδιωτικό τομέα λόγω της ανισότητας απασχολούμενου και εργοδότη, δεν πρέπει να οδηγεί σε ανισότητες και διακρίσεις (μισθολογικές, ευκαιρίες επαγγελματικής ανέλιξης, συμμετοχή σε προγράμματα επαγγελματικής κατάρτισης) και να θίγει εργασιακά, ασφαλιστικά και κοινωνικά δικαιώματα των απασχολούμενων, ούτε περαιτέρω να οδηγεί σε αυτοματοποιημένη ατομική λήψη αποφάσεων, περιλαμβανομένης της κατάρτισης προφίλ των απασχολούμενων εξ αποστάσεως κατά παράβαση της τεχνολογιών της πληροφορίας, η οποία, ενώ θα μπορούσε να παρέχεται στις εγκαταστάσεις του εργοδότη, παρέχεται αντ’ αυτού σε σταθερή βάση, εκτός των εγκαταστάσεων αυτών κατά τακτικό (συστηματικό) τρόπο». Πάντως σε όλες τις περιπτώσεις, οι ορισμοί τηλεργασίας που συναντώνται συγκλίνουν στα ακόλουθα δύο χαρακτηριστικά: α) την παροχή εργασίας, συνολικά ή εν μέρει, σε τόπο διαφορετικό από τις εγκαταστάσεις της επιχείρησης/οργανισμού και β) την εκτέλεση των συγκεκριμένων εργασιακών καθηκόντων απαραιτήτως με τη χρήση ηλεκτρονικών συσκευών. 19 διάταξης του άρθρου 22 του ΓΚΠΔ, σε ευθεία προσβολή του δικαιώματος στην προσωπικότητα, σύμφωνα με την Οδηγία 115/2001 της Αρχής
  53. Ο υπεύθυνος επεξεργασίας οφείλει να έχει συμμορφωθεί προς τις απαιτήσεις του ΓΚΠΔ και της οικείας εθνικής νομοθεσίας για την προστασία των δεδομένων προσωπικού χαρακτήρα προ της επεξεργασίας αυτών, δια της λήψης των απαιτούμενων τεχνικών και οργανωτικών μέτρων (βλ. για τους φορείς που υπάγονται στις διατάξεις του νόμου 4807/2021 κατ’ άρθρο 3 στοιχ. γ΄, ιδίως, τις σχετικές προβλέψεις των άρθρων 5 στοιχ. γ΄ και δ΄ και 6 του νόμου αυτού), από τα οποία εξάλλου αποδεικνύεται και η συμμόρφωση του (π.χ. κατάρτιση και εφαρμογή πολιτικών και διαδικασιών). Η υποχρέωση ικανοποίησης των δικαιωμάτων που ασκούνται από τα υποκείμενα των δεδομένων, διατηρείται ακέραιη κατά την εκτέλεση της εργασίας από απόσταση (βλ. σημ. 3 απόφασης 5/2020 της Αρχής). Επιπλέον, ο υπεύθυνος επεξεργασίας οφείλει να προσαρμόζεται διαρκώς στις νέες συνθήκες που δημιουργούνται κατά την οργάνωση της εργασίας από απόσταση (π.χ. λόγω των έκτακτων συνθηκών που προκαλούνται από την πανδημία του κορωνοϊού) και να αποδεικνύει τη συμμόρφωση του στο πλαίσιο της αρχής της λογοδοσίας κατά το άρθρο 5 παρ. 2 του ΓΚΠΔ, δια της λήψης, ιδίως, σειράς τεχνικών και οργανωτικών μέτρων, κατ’ εφαρμογή της διάταξης του άρθρου 24 και της αιτιολογικής σκέψης 74 του ΓΚΠΔ, όπως παρατίθενται κατωτέρω (υπό σημείο 13). Επισημαίνεται, τέλος, ως προς τις τυχόν καθυστερήσεις στην ανταπόκριση σε αιτήματα που συνιστούν άσκηση δικαιωμάτων από τα υποκείμενα, εν προκειμένω ιδίως από απασχολούμενους, ότι αφενός από καμία διάταξη του ΓΚΠΔ και της εθνικής νομοθεσίας δεν προβλέπεται η πρόσκαιρη αναστολή των σχετικών προθεσμιών και υποχρεώσεων ικανοποίησης των δικαιωμάτων, αφετέρου, ότι συνιστά υποχρέωση του υπευθύνου επεξεργασίας να τεκμηριώνει εσωτερικά τους λόγους καθυστέρησης ή μη ικανοποίησης των ασκηθέντων δικαιωμάτων, συνυπολογίζοντας τόσο την αρχή του δικαίου «ουδείς υποχρεούται στα αδύνατα», όσο και το αντικείμενο και τις συνθήκες άσκησης της δραστηριότητας του υπευθύνου επεξεργασίας που τυχόν επιβαρύνεται από την 23 Βλ. Οδηγία 115/2001 σημ. 7, σελ. 12, διαθέσιμη στην ιστοσελίδα της Αρχής. 20 έκτακτη συνθήκη (όπως π.χ. νοσοκομεία στην περίπτωση της πανδημίας). Σε κάθε περίπτωση, τυχόν επίκληση λόγων σχετικών καθυστερήσεων τόσο έναντι των υποκειμένων των δεδομένων, όσο και έναντι της Αρχής κατά την άσκηση των ελεγκτικών της αρμοδιοτήτων θα πρέπει να είναι ιδιαιτέρως τεκμηριωμένη και μη προσχηματική δοθέντος ότι τα απαιτούμενα τεχνικά και οργανωτικά μέτρα θα πρέπει να έχουν ήδη ληφθεί και να εφαρμόζονται προ της έναρξης της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα.
  54. Κατά την παροχή εργασίας εξ αποστάσεως, ο υπεύθυνος επεξεργασίας, δικαιούται, εφόσον συντρέχουν κατ’ αρχήν οι προϋποθέσεις που απορρέουν από τις διατάξεις των άρθρων 5 περ. δ’ εδ. β,’ 15 περ. γ’, δ’ ν. 4807/2021 και 67 παρ. 8 ν. 4808/2021, να ελέγξει εάν πράγματι ο απασχολούμενος παρέχει την συμφωνηθείσα εργασία ως προς την τήρηση χρόνου απασχόλησης (ωραρίου) και της πλήρωσης των όρων αυτής. Επιπλέον, θα πρέπει ο υπεύθυνος επεξεργασίας να συμμορφώνεται προς τις αρχές που διέπουν τη νομιμότητα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα κατά το άρθρο 5 παρ. 1 του ΓΚΠΔ. Στο πλαίσιο αυτό, θα ήταν καταρχήν θεμιτό να ζητείται εκ μέρους του υπευθύνου επεξεργασίας πρόσθετη επιβεβαίωση (αυθεντικοποίηση) από τον χρήστη ΤΠΕ (Η/Υ, λογισμικών επικοινωνίας – ηλεκτρονικής αλληλογραφίας) – απασχολούμενο ότι αυτός πράγματι παρέχει τη συμφωνηθείσα εργασία και να τηρεί τη σχετική πληροφορία.
  55. Ως προς το ειδικότερο ζήτημα της τυχόν συνεχούς επιτήρησης του εργαζόμενου με την υποχρέωση λειτουργίας της κάμερας του Η/Υ και τη χρήση λογισμικού Τ.Ν. (π.χ. αναγνώρισης προσώπου και κινήσεως) ή την κοινή χρήση της οθόνης ή την εγκατάσταση και λειτουργία λογισμικού καταγραφής πληκτρολόγησης τύπου Keylogger ή ακόμη και την υποχρέωση του εργαζομένου να εκτελεί πολύ τακτικές ενέργειες για να αποδείξει την παρουσία του πίσω από την οθόνη του, η Αρχή έχει κρίνει με σειρά αποφάσεων της (βλ. ΑΠΔ 34/2018, 26/2019 και 43/2019), περιλαμβανόμενης της προαναφερόμενης υπ’ αρ. 5/2020 ΑΠΔΠΧ ότι «μια 21 συστηματική, διαρκής και γενικευμένη συλλογή δεδομένων προσωπικού χαρακτήρα που οδηγεί στην κατάρτιση και συνεχή ανανέωση προφίλ δύσκολα θα μπορούσε να χαρακτηρισθεί ως σύμφωνη με την αρχή της αναλογικότητας». Πέραν των απαγορεύσεων που τίθενται με τους νόμους 4807/2021 (ιδίως άρθρο 6 παρ. 6) και 4808/2021 (ιδίως άρθρο 67 παρ. 8 δεύτερο εδάφιο) αναφορικά με την χρήση κάμερας (web cam), για τον έλεγχο της απόδοσης του εργαζομένου ο υπεύθυνος επεξεργασίας στο πλαίσιο της από μέρους του υποχρέωσης λογοδοσίας θα πρέπει να λαμβάνει υπόψη και να συνεκτιμά ερμηνευτικά τη διάταξη του άρθρο 27 παρ. 7 ν. 4624/2019 (με τον οποίο ελήφθησαν μέτρα εφαρμογής του ΓΚΠΔ,) στην οποία ορίζεται ότι «η επεξεργασία δεδομένων μέσω κλειστού κυκλώματος οπτικής καταγραφής εντός των χώρων εργασίας, είτε είναι δημοσίως προσβάσιμοι είτε μη, επιτρέπεται μόνο εάν είναι απαραίτητη για την προστασία προσώπων και αγαθών. Τα δεδομένα που συλλέγονται μέσω κλειστού κυκλώματος οπτικής καταγραφής δεν επιτρέπεται να χρησιμοποιηθούν ως κριτήριο για την αξιολόγηση της αποδοτικότητας των εργαζομένων». Επιπλέον, η νομιμότητα λήψης κάθε τέτοιου σχετικού μέτρου που συνιστά επεξεργασία προσωπικών δεδομένων προϋποθέτει την προηγούμενη ενημέρωση του υποκειμένου των δεδομένων, με βάση τόσο τις διατάξεις του ΓΚΠΔ, όσο και με τυχόν ειδικότερες διατάξεις (π.χ. βλ. άρθρο 6 παρ. 2 ν. 4807/2021 και άρθρο 67 παρ. 9 ν. 4808/2021). Τέλος, η Αρχή, κατ’ εφαρμογή της νομολογίας του Ευρωπαϊκού Δικαστηρίου Δικαιωμάτων του Ανθρώπου και τις Γνώμες της Ομάδας Εργασίας του άρθρου 29 Οδηγίας 95/46/ΕΚ (νυν Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων) με πρόσφατες αποφάσεις της (βλ. ιδίως τις ΑΠΔ 34/2018, 43/2019 και 44/2019) προδιέγραψε τις προϋποθέσεις, τους όρους και τις διαδικασίες υπό τις οποίες ο εργοδότης μπορεί να έχει πρόσβαση στα προσωπικά δεδομένα που επεξεργάζονται οι εργαζόμενοι στο πλαίσιο των εργασιακών σχέσεων μέσω ηλεκτρονικών υπολογιστών, διακομιστών κ.λπ. αλλά και τις προβλέψεις και τυχόν περιορισμούς των εργαζομένων στον τρόπο χρήσης της υποδομής υπολογιστών και επικοινωνιών 22 του φορέα (σχ. βλ. πλέον και άρθρα 6 παρ. 4 και 5 στοιχ. δ’ και 12 παρ. 3 ν. 4807/2021 και άρθρο 67 παρ. 5 περ. δ’ ν. 4808/2021) Δεν πρέπει πάντως να παραβλέπεται ότι στο πλαίσιο του διευθυντικού του δικαιώματος ο εργοδότης έχει την εξουσία να λαμβάνει τα αναγκαία μέτρα που σχετίζονται με την παροχή της εργασίας για την εύρυθμη οργάνωση της επιχείρησης που συνεπάγεται την επεξεργασία προσωπικών δεδομένων αλλά και να ασκεί τον αναγκαίο και πρόσφορο έλεγχο επί της παρεχόμενης εργασίας, της εκπλήρωσης των συμβατικών υποχρεώσεων, περιλαμβανομένης της υποχρέωσης πίστης του εργαζομένου καθώς και επί των υποχρεώσεων παροχής των αναγκαίων πληροφοριών, μεταξύ άλλων, στο πλαίσιο ελέγχου της προστασίας των οικονομικών πόρων και υποδομών της επιχείρησης. Τα μέτρα τα οποία θα υιοθετεί ο εργοδότης προς τη συγκεκριμένη κατεύθυνση θα πρέπει να σέβονται τα θεμελιώδη δικαιώματα των εργαζομένων, σύμφωνα με την αρχή της αναλογικότητας: για παράδειγμα, δεν δικαιολογείται η παρακολούθηση, μέσω κατάλληλου λογισμικού (π.χ. TLS appliance) κάθε εξερχόμενης από την επιχείρηση διαδικτυακής κίνησης εν όψει των ανωτέρω σκοπών, όταν αυτοί μπορούν να επιτευχθούν με ηπιότερα προληπτικά μέσα
  56. Εξάλλου και από τις διατάξεις των άρθρων 5 περ. γ’, 6 παρ. 4, 12 παρ. 3, 15 περ. γ-ε ν. 4807/2021 που ρυθμίζει τα θέματα τηλεργασίας στο δημόσιο τομέα, σε συνδυασμό προς το περιεχόμενο της εξουσιοδότησης που παρέχεται με το άρθρο 19 του ίδιου νόμου για την έκδοση Προεδρικού Διατάγματος, προκύπτει ότι ο υπεύθυνος επεξεργασίας οφείλει, τηρώντας την ειδική νομοθεσία που διέπει την υπαλληλική ή εργασιακή σχέση και την τηλεργασία, να λάβει τα κατάλληλα τεχνικά και οργανωτικά μέτρα συμμόρφωσης προς τις απαιτήσεις προστασίας των προσωπικών δεδομένων του τηλεργαζόμενου. 24 Βλ. επίσης τη Γνώμη 2/2017 της Ομάδας Εργασίας του Άρθρου
  57. 23
  58. Σύμφωνα με τις κατά το άρθρο 5 παρ. 1 στοιχ. α΄ και β΄ του ΓΚΠΔ αρχές της νομιμότητας και του περιορισμού του σκοπού, ο απασχολούμενος εξ αποστάσεως έχει το δικαίωμα μετά το πέρας του χρόνου κατά τον οποίο έχει υποχρέωση παροχής εργασίας (συμπεριλαμβανομένων των περιόδων που βρίσκονται σε οποιασδήποτε μορφής άδεια), λαμβάνοντας υπόψη και τις διατάξεις των άρθρων 18 του νόμου 4807/2021 και 67 παρ. 10 του νόμου 4808/2021 για τους απασχολούμενους του δημοσίου τομέα και του ιδιωτικού τομέα, αντίστοιχα, να αποσυνδέεται, χωρίς σε βάρος του επιπτώσεις, από τα ψηφιακά μέσα (λογισμικά, ψηφιακή πλατφόρμα, κοινωνικά δίκτυα, ασύρματες συνδέσεις, ηλεκτρονικά μηνύματα, internet/intranet) που χρησιμοποιούνται για την οργάνωση της απασχόλησης. Το δικαίωμα στην ψηφιακή αποσύνδεση μετά το πέρας του χρόνου εργασίας αποτελεί θεμελιώδες δικαίωμα των εργαζομένων, ζωτικής σημασίας και άμεσα συνδεδεμένο τόσο με το θεμελιώδες δικαίωμα της προστασίας της ιδιωτικότητας, των προσωπικών δεδομένων, του δικαιώματος στον ιδιωτικό βίο και του σεβασμού στην ιδιωτική και οικογενειακή ζωή (άρθρα 9 παρ. 1 δεύτερο εδάφιο και 9Α του Συντάγματος και 8 της Ευρωπαϊκής Σύμβασης των Δικαιωμάτων του Ανθρώπου), όσο και με την ισορροπία επαγγελματικής και προσωπικής ζωής, την προστασία της σωματικής, ψυχικής υγείας και ευημερίας των εργαζομένων
  60. Αναφορικά με την ασφάλεια της επεξεργασίας κατά τα άρθρα 24 και 32 ΓΚΠΔ, και συγκεκριμένα την τήρηση της αρχής της ακεραιότητας και εμπιστευτικότητας των δεδομένων προσωπικού χαρακτήρα σύμφωνα με το άρθρο 5 παρ. 1 στοιχ. στ΄ ΓΚΠΔ, δηλ. την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία σ΄ αυτά και στον εξοπλισμό που χρησιμοποιείται για την επεξεργασία τους υπογραμμίζεται αφενός η διαρκής υποχρέωση του υπευθύνου επεξεργασίας για τη λήψη τεχνικών Αν και υπό το καθεστώς τηλεργασίας, η ακριβής μέτρηση και τήρηση του χρόνου εργασίας καθίσταται δυσχερής, ωστόσο εξακολουθεί να υφίσταται η υποχρέωση του εργοδότη να εφαρμόζει αξιόπιστο και αντικειμενικό σύστημα μέτρησης του ημερήσιου χρόνου εργασίας κάθε εργαζομένου που παρέχει την εργασία του εκτός των εγκαταστάσεων του εργοδότη [Βλ. και την απόφαση Federación de Servicios de Comisiones Obreras (CCOO) v Deutsche Bank SAE C-55/18 της 14ης Μαΐου του 2019 του Δικαστηρίου της Ευρωπαϊκής Ένωσης, σχετικά με την ερμηνεία, μεταξύ άλλων των άρθρων 3, 5, 6, 16 και 22 της οδηγίας 2003/88 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 4ης Νοεμβρίου 2003, σχετικά με ορισμένα στοιχεία της οργάνωσης του χρόνου εργασίας (ΕΕ 2003, L 299, σ. 9), σύμφωνα με την οποία τα Κράτη – Μέλη πρέπει να επιβάλουν στους εργοδότες την υποχρέωση να εφαρμόζουν σύστημα μέτρησης του ημερήσιου χρόνου εργασίας κάθε εργαζομένου]. 25 24 μέτρων ασφάλειας και τη σχετική ενημέρωση των απασχολούμενων, με αξιοποίηση των υπηρεσιών του ΥΠΔ της επιχείρησης ή του οργανισμού (άρθρο 39 παρ. 1 στοιχ. α΄ ΓΚΠΔ) και αφετέρου η υποχρέωση τήρησης απορρήτου- εχεμύθειας –πίστης από τους απασχολουμένους , κατ΄ εφαρμογή των σχετικών διατάξεων, μεταξύ των οποίων ενδεικτικά αναφέρονται τα άρθρα 26 του ν. 3528/2007 και 1 του ν. 146/1914, κατά τρόπο που να διασφαλίζεται ότι τρίτοι προς τη σχέση απασχόλησης (π.χ. μέλη οικογένειας) δεν αποκτούν πρόσβαση στα αρχεία του οργανισμού ή της επιχείρησης. Επισημαίνεται ότι ο υπεύθυνος επεξεργασίας ευθύνεται για την ασφαλή επεξεργασία των προσωπικών δεδομένων στο πλαίσιο της λειτουργίας της επιχείρησης που λαμβάνει χώρα μέσω των συστημάτων υλικού και λογισμικού της εταιρίας, δικτύων VPN κ.λπ. των οποίων κάνουν χρήση οι εργαζόμενοι, συμπεριλαμβανομένων των αποθηκευμένων σε τερματικές συσκευές, διακομιστές κ.λπ., είτε ανήκουν στην επιχείρηση, είτε στους ίδιους τους υπαλλήλους. Στο ίδιο πλαίσιο, πρέπει περαιτέρω να αποφεύγεται η προώθηση μηνυμάτων ηλεκτρονικού ταχυδρομείου, τόσο από την επιχείρηση ή τον οργανισμό όσο και από τον εξ αποστάσεως απασχολούμενο στην προσωπική ηλεκτρονική διεύθυνση του τελευταίου, ιδίως όταν δεν πραγματοποιείται κρυπτογράφηση του περιεχόμενου του μηνύματος. Τέλος, η εκτύπωση υπηρεσιακών/εταιρικών εγγράφων στην οικία του απασχολούμενου ή σε τόπο/χώρο άλλο πέραν του χώρου εργασίας πρέπει να πραγματοποιείται κατά τρόπο που να διασφαλίζεται ότι δεδομένα προσωπικά χαρακτήρα δεν μπορούν να διαρρεύσουν σε τρίτα μη δικαιούμενα πρόσωπα.
  61. Αναφορικά με την ασφάλεια της επεξεργασίας, και συγκεκριμένα τη διαθεσιμότητα των δεδομένων προσωπικού χαρακτήρα, η οποία συχνά απειλείται από επιθέσεις τύπου ransomware 26, ο υπεύθυνος επεξεργασίας οφείλει να λάβει τα κατάλληλα τεχνικά και οργανωτικά μέτρα, όπως η χρήση κατάλληλων εργαλείων εντοπισμού κακόβουλου λογισμικού, η επαρκής διαχείριση ενημερώσεων λογισμικού στις συσκευές μέσω των οποίων πραγματοποιείται η τηλεργασία, καθώς Είδος κακόβουλου λογισμικού που απειλεί να δημοσιοποιήσει τα προσωπικά δεδομένα του θύματος ή να διακόψει την πρόσβασή του θύματος σε αυτά, μέχρι να δοθούν λύτρα από το θύμα. 26 25 και η κατάλληλη διαδικασία λήψης αντιγράφων ασφαλείας. Οφείλει επίσης να παρέχει τα μέσα για να εξακριβωθεί εάν τα μηνύματα που λαμβάνονται μέσω ηλεκτρονικού ταχυδρομείου ή με άλλα μέσα επικοινωνίας είναι αυθεντικά και αξιόπιστα. Οι εργαζόμενοι θα πρέπει να εκπαιδευτούν ώστε να αναγνωρίζουν απόπειρες τέτοιων επιθέσεων (π.χ. αναγνώριση των «ύποπτων» μηνυμάτων ηλεκτρονικού ταχυδρομείου), πότε έχει πραγματοποιηθεί μια τέτοια επίθεση και να γνωρίζουν την υποχρέωσή τους να το αναφέρουν αμέσως στον υπεύθυνο ασφαλείας ή και στον υπεύθυνο προστασίας δεδομένων, βάσει μίας σαφώς καταγεγραμμένης διαδικασίας διαχείρισης περιστατικών παραβίασης δεδομένων.
  62. Κατά την πραγματοποίηση τηλεδιασκέψεων, λαμβάνοντας υπόψη τους σχετικές απαγορεύσεις και τους περιορισμούς που προβλέπονται από τη νομοθεσία, όπως η διάταξη του άρθρου 6 παρ. 6 ν. 4807/2021 για την παροχή τηλεργασίας στο δημόσιο τομέα, ο απασχολούμενος εξ αποστάσεως τόσο δημόσιο, όσο και στον ιδιωτικό τομέα, δικαιούται, κατ΄ εφαρμογή της αρχής της ελαχιστοποίησης των δεδομένων, να ενεργοποιεί τη δυνατότητα της χρησιμοποιούμενης πλατφόρμας, για συμμετοχή του σ΄ αυτή μόνο μέσω μικροφώνου, και όχι συνεχώς κατά τη διάρκεια πραγματοποίησής της μέσω κάμερας, ιδίως όταν συντρέχουν λόγοι που το επιβάλλουν (π.χ. προστασία της ανηλικότητας). Επιπλέον, ο απασχολούμενος εξ αποστάσεως συστήνεται να επιλέγει δυνατότητες της χρησιμοποιούμενης πλατφόρμας που επιτρέπουν την απόκρυψη φόντου (background) με θόλωση ή με προσθήκη εικόνας (virtual background) προκειμένου να αποφευχθεί ο κίνδυνος αποκάλυψης προσωπικών πληροφοριών που μπορεί να προκύψουν από την θέαση.
  63. Αναφορικά με την καταγραφή των τηλεδιασκέψεων που πραγματοποιούνται στο πλαίσιο των υποχρεώσεων του εργαζομένου όπως προκύπτουν από τη σύμβαση τηλεργασίας ή τον νόμο, ο υπεύθυνος επεξεργασίας (εργοδότης) οφείλει, λαμβάνοντας υπόψη και τις σχετικές προβλέψεις της οικείας νομοθεσίες (βλ ιδίως άρθρο 6 παρ. 6 του ν. 4807/2021) να μην προβαίνει σε αυτήν, κατ’ εφαρμογή της αρχής της αναλογικότητας και της ελαχιστοποίησης. Σε κάθε περίπτωση, για την πραγματοποίηση αυτού του είδους επεξεργασίας, ο υπεύθυνος επεξεργασίας, πριν από την επεξεργασία, λαμβάνει τα κατάλληλα μέτρα για την προστασία των 26 προσωπικών δεδομένων και όπου απαιτείται, διενεργεί μελέτη αντικτύπου. Σε περίπτωση καταγραφής τηλεδιάσκεψης με τρίτο πρόσωπο/μέρος (πέραν του απασχολούμενου) που πραγματοποιείται κατά τη διάρκεια νόμιμης επαγγελματικής πρακτικής με σκοπό την παροχή αποδεικτικών στοιχείων εμπορικής συναλλαγής ή άλλης επικοινωνίας επαγγελματικού χαρακτήρα, εφαρμόζεται αναλόγως το άρθρο 4 παράγραφος 3 του ν. 3471/2006, δηλαδή απαιτείται η, μετά από προηγούμενη ενημέρωση για τους σκοπούς της καταγραφής, προηγούμενη συγκατάθεση των μερών της επικοινωνίας.
  64. Όσον αφορά τη χρήση προσωπικών συσκευών (B.Y.O.D.) των εξ αποστάσεως απασχολούμενων και για την πρόσβαση στο δίκτυο ο εργοδότης παραμένει υπεύθυνος για την ασφάλεια των προσωπικών δεδομένων που υφίστανται επεξεργασία από την επιχείρηση ή τον οργανισμό, ακόμη και όταν αποθηκεύονται σε τερματικούς σταθμούς στους οποίους δεν έχει φυσικό έλεγχο ή ιδιοκτησία, αλλά για τους οποίους έχει εξουσιοδοτήσει την πραγματοποίηση ρυθμίσεων ώστε να έχουν πρόσβαση σε δεδομένα οι εργαζόμενοι (σχ. βλ. άρθρα 6 παρ. 1, 3, 5, 7 και 9 ν. 4807/2021). Η χρήση εξοπλισμού B.Y.O.D. πρέπει να αποφασίζεται αφενός σύμφωνα με τα οριζόμενα στην ειδική νομοθεσία (βλ. π.χ. άρθρα 12 παρ. 1 και 15 περ. γ’ ν. 4807/2021), αφετέρου, αφού σταθμιστούν τα συμφέροντα και τα μειονεκτήματα που παρουσιάζονται από αυτήν τη χρήση, η οποία θολώνει τη γραμμή μεταξύ προσωπικής και επαγγελματικής ζωής. Ο υπεύθυνος επεξεργασίας οφείλει να προσδιορίσει τους κινδύνους, λαμβάνοντας υπόψη τις ιδιαιτερότητες της εκάστοτε περίπτωσης (εξοπλισμός, εφαρμογές, δεδομένα) και να τους εκτιμήσει ως προς τη σοβαρότητα και την πιθανότητα εμφάνισης περιστατικών παραβίασης προκειμένου να καθορίσει τα μέτρα που πρέπει να εφαρμοστούν και να ενταχθούν στην πολιτική ασφάλειας. Ενδεικτικά μέτρα ασφάλειας θα μπορούσαν μεταξύ άλλων να αποτελέσουν: ο φυσικός ή λογικός διαχωρισμός των τμημάτων της προσωπικής συσκευής που προορίζεται για χρήση σε επαγγελματικό περιβάλλον (δημιουργία μιας "φυσαλίδας 27 ασφαλείας"), ο έλεγχος της απομακρυσμένης πρόσβασης μέσω ισχυρού μηχανισμού ελέγχου ταυτότητας χρήστη (εάν είναι δυνατόν χρησιμοποιώντας ηλεκτρονικό πιστοποιητικό, έξυπνη κάρτα, αυθεντικοποίηση δύο παραγόντων κ.λπ.), ο ορισμός μέτρων κρυπτογράφησης για ροές πληροφοριών (VPN, TLS κ.λπ.), ο ορισμός διαδικασίας για αποκατάσταση σε περίπτωση βλάβης ή απώλειας της προσωπικής συσκευής (πληροφορίες για τον διαχειριστή του δικτύου, παροχή εναλλακτικού επαγγελματικού εξοπλισμού, απομακρυσμένη διαγραφή επαγγελματικών δεδομένων που είναι αποθηκευμένα στο προσωπικό τερματικό), η απαίτηση τήρησης βασικών μέτρων ασφαλείας, όπως το κλείδωμα του τερματικού με κωδικό πρόσβασης σύμφωνα με τις βέλτιστες πρακτικές και τη χρήση ενός ενημερωμένου αντιϊκού προγράμματος, η ευαισθητοποίηση των χρηστών σχετικά με τους κινδύνους, προηγούμενη έγκριση του διαχειριστή του δικτύου ή/και του εργοδότη για τη χρήση προσωπικού εξοπλισμού, η ενημέρωση για τις ευθύνες όλων και η αναφορά των προφυλάξεων που πρέπει να λαμβάνονται σε έναν δεσμευτικό χάρτη.
  65. Σε περίπτωση που κατά την παροχή τηλεργασίας ή κατά την πραγματοποίηση τηλεδιασκέψεων λαμβάνει χώρα διαβίβαση δεδομένων προσωπικού χαρακτήρα σε τρίτες χώρες, ο υπεύθυνος επεξεργασίας επιλέγει και χρησιμοποιεί εργαλεία και πλατφόρμες που συμμορφώνονται με τις ρυθμίσεις του Κεφαλαίου V του ΓΚΠΔ για τις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα προς τρίτες χώρες ή, μετά την κατάργηση με την απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης Schrems II της Ασπίδας Προστασίας ΕΕ-ΗΠΑ για τις διατλαντικές διαβιβάσεις δεδομένων («Privacy Shield»), χρησιμοποιεί για τη διαβίβαση τυποποιημένες συμβατικές ρήτρες (Standard Contractual Clauses) που έχουν εγκριθεί από την Ευρωπαϊκή Επιτροπή και παραμένουν σε ισχύ
  66. 27 Προσφάτως εκδόθηκαν, μετά από δεκαετή αναμονή, η ΕΚΤΕΛΕΣΤΙΚΗ ΑΠΟΦΑΣΗ (ΕΕ) 2021/914 ΤΗΣ ΕΠΙΤΡΟΠΗΣ της 4ης Ιουνίου 2021 σχετικά με τις τυποποιημένες συμβατικές ρήτρες για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τρίτες χώρες σύμφωνα με τον κανονισμό (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου και η ΕΚΤΕΛΕΣΤΙΚΗ ΑΠΟΦΑΣΗ (ΕΕ) 2021/915 ΤΗΣ ΕΠΙΤΡΟΠΗΣ της 4ης Ιουνίου 2021 για τις τυποποιημένες συμβατικές ρήτρες μεταξύ υπευθύνων επεξεργασίας και εκτελούντων την επεξεργασία βάσει του άρθρου 28 παράγραφος 7 του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου και του άρθρου 29 παράγραφος 7 του κανονισμού (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου. 28
  67. Σε κάθε περίπτωση υπογραμμίζεται ότι η υποχρέωση συμμόρφωσης και λογοδοσίας του υπευθύνου επεξεργασίας, οργανισμού ή επιχείρησης, προς το θεσμικό πλαίσιο προστασίας δεδομένων προσωπικού χαρακτήρα είναι μια συνεχής/διαρκής διαδικασία η οποία ξεκινά ήδη προ της συλλογής των δεδομένων με τον σχεδιασμό των διαδικασιών και τελειώνει μόνο με την οριστική διαγραφή των δεδομένων. Ειδικότερα, ο υπεύθυνος επεξεργασίας οφείλει να προσαρμόζεται και να συμμορφώνεται διαρκώς στις νέες συνθήκες που δημιουργούνται κατά την παροχή τηλεργασίας, ήτοι: • Να επικαιροποιεί το αρχείο καταγραφής του άρθρου 30 ΓΚΠΔ. • Να επικαιροποιεί – τροποποιεί τις συμβάσεις επεξεργασίας δεδομένων με εκτελούντες την επεξεργασία κατ’ αρ. 28 ΓΚΠΔ. • Να επικαιροποιεί τις πολιτικές και διαδικασίες για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα, αλλά και να εξετάζει το ενδεχόμενο να καταρτίσει και εφαρμόσει πολιτική επεξεργασίας προσωπικών δεδομένων Με τις δύο προαναφερόμενες Εκτελεστικές Αποφάσεις της Ευρωπαϊκής Επιτροπής καλύπτονται πλέον όλες οι περιπτώσεις διαβιβάσεων βάσει τυποποιημένων συμβατικών ρητρών από χώρες του Ευρωπαϊκού Οικονομικού Χώρου προς τρίτες χώρες, ήτοι οι διαβιβάσεις μεταξύ α) Υπευθύνων Επεξεργασίας (Controller to Controller), β) Υπευθύνου Επεξεργασίας και Εκτελούντος την Επεξεργασία (Controller to Processor) γ) Εκτελούντων την Επεξεργασία (Processor to Processor) και δ) Εκτελούντος την Επεξεργασία και Υπευθύνου Επεξεργασίας (Processor to Controller). Οι νέες τυποποιημένες συμβατικές ρήτρες είναι απόλυτα προσαρμοσμένες προς το ΓΚΠΔ καθώς και προς το σκεπτικό της Απόφασης ΔΕΕ Schrems II (C-311/2018). Εκτός από τις περιπτώσεις όπου οι διαβιβάσεις προσωπικών δεδομένων προς τρίτες χώρες γίνονται βάσει του άρθρου 46 ΓΚΠΔ, δηλαδή βάσει κατάλληλων εγγυήσεων όπως οι προαναφερόμενες τυποποιημένες συμβατικές ρήτρες, πρέπει να ληφθεί υπόψη ότι η Ευρωπαϊκή Επιτροπή έχει ήδη, βάσει του άρθρου 45 του ΓΚΠΔ, αναγνωρίσει ότι οι κάτωθι χώρες παρέχουν επαρκές επίπεδο προστασίας προσωπικών δεδομένων («απόφαση επάρκειας»): Ανδόρρα, Αργεντινή, Καναδάς (μόνο για εμπορικούς οργανισμούς), Νήσοι Φερόες, Νήσος Γκέρνσεϊ, Ισραήλ, Νήσος του Μαν, Ιαπωνία, Νήσος της Υερσέης, Νέα Ζηλανδία, Ελβετία, Ουρουγουάη. Διεξάγονται διαπραγματεύσεις με το Ηνωμένο Βασίλειο για την υιοθέτηση απόφασης επάρκειας αναφορικά με τον ΓΚΠΔ και για την Οδηγία 2016/680 (Προστασία προσωπικών δεδομένων κατά την επεξεργασία τους από αστυνομικές και δικαστικές αρχές) καθώς και διαπραγματεύσεις με τη Νότια Κορέα για το ΓΚΠΔ. Επιπροσθέτως λαμβάνουν χώρα διαπραγματεύσεις μεταξύ Ευρωπαϊκής Ένωσης και ΗΠΑ επί σκοπώ μιας νέας συμφωνίας «Ασπίδας Προστασίας της ιδιωτικής ζωής ΕΕ-ΗΠΑ» (Privacy Shield) προς αποφυγή μελλοντικής απόφασης Schrems III. 29 για λόγους που συνδέονται με έκτακτες συνθήκες (π.χ. Covid19) και την αντιμετώπιση σχετικών περιστατικών • Να διαθέτει πολιτική και διαδικασίες για την τηλεργασία • Να διαθέτει πολιτική και διαδικασίες για την χρήση ιδιωτικού εξοπλισμού σε επαγγελματικό πλαίσιο (B.Y.O.D.) • Να διενεργεί όπου απαιτείται εκτίμηση αντικτύπου • Να συμβουλεύεται τους ΥΠΔ • Να εκπαιδεύει το προσωπικό σχετικά με την προστασία των δεδομένων προσωπικού χαρακτήρα κατά την παροχή τηλεργασίας • Σε περίπτωση τυχόν επεξεργασίας των εν λόγω δεδομένων των εργαζομένων από τον εργοδότη εκτός της Ε.Ε. (περιλαμβανομένου και του Η.Β. σύντομα) θα πρέπει πλέον να λαμβάνεται υπόψη η απόφαση του ΔΕΕ Schrems II.
  68. Με τις περιλαμβανόμενες στους νόμους 4807/2021 και 4808/2021 διατάξεις αποτυπώνεται η αρχή της λογοδοσίας και επιπλέον προβλέπεται η έκδοση προεδρικών διαταγμάτων (βλ. άρθρο 19 ν. 4807/21 και άρθρο 67 παρ. 12 ν. 4808/21) για την εξειδίκευση των κατάλληλων τεχνικών και οργανωτικών μέτρων για τη συμμόρφωση προς τις απαιτήσεις προστασίας προσωπικών δεδομένων των τηλεργαζόμενων. Ως εκ τούτου και με δεδομένη την νομοθετική πρόβλεψη έκδοσης προηγούμενης Γνώμης της Αρχής επί των σχεδίων Π.Δ/των, η Αρχή επιφυλάσσεται να τοποθετηθεί αναλυτικότερα. Ο Πρόεδρος Κωνσταντίνος Μενουδάκος Η Γραμματέας Ειρήνη Παπαγεωργοπούλου 30 Αθήνα, 4/8/2021 ΚΑΤΕΥΘΥΝΤΗΡΙΕΣ ΓΡΑΜΜΕΣ 1/2021 Σχετικά με την εφαρμογή των κανόνων προστασίας δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της τηλεργασίας Σε συνέχεια της αποφάσεως 05/2020, με την οποία εκδόθηκαν Κατευθυντήριες Γραμμές αναφορικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της διαχείρισης του κορωνοϊού COVID-19, των Κατευθυντήριων Γραμμών 2/2020 για τη λήψη μέτρων ασφάλειας στο πλαίσιο της τηλεργασίας και της Οδηγίας 115/2001 για την προστασία των προσωπικών δεδομένων στο πλαίσιο των εργασιακών σχέσεων, λαμβάνοντας υπόψη την ένταση και την έκταση που έχει λάβει η εξ αποστάσεως παροχή εργασίας, προεχόντως λόγω της επιδημίας που οφείλεται στην COVID-19, και τους κινδύνους που ελλοχεύουν μέσω της χρήσης τεχνολογιών πληροφορικής και επικοινωνιών (ΤΠΕ) για τα δικαιώματα των εμπλεκομένων σ’ αυτήν προσώπων και την ασφάλεια των υποδομών και υπηρεσιών που χρησιμοποιούνται, η Αρχή με την απόφαση 32/2021, στο πλαίσιο της ενημέρωσης από την Αρχή των υποκειμένων των δεδομένων καθώς και των υπευθύνων επεξεργασίας και των εκτελούντων την επεξεργασία, εκδίδει τις ακόλουθες Κατευθυντήριες Γραμμές ειδικά για την επεξεργασία δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται κατά την παροχή εργασίας εξ αποστάσεως, ανεξαρτήτως μορφής και είδους απασχόλησης, τόσο στον ιδιωτικό όσο και στον δημόσιο τομέα, με σκοπό να εξειδικευθούν αφενός οι κίνδυνοι, οι κανόνες, οι εγγυήσεις και τα δικαιώματα των υποκειμένων των δεδομένων και αφετέρου οι υποχρεώσεις των δημοσίων αρχών και ιδιωτικών φορέων, ως υπευθύνων επεξεργασίας, σε συμμόρφωση προς το θεσμικό πλαίσιο προστασίας δεδομένων προσωπικού χαρακτήρα:
  69. Η τηλεργασία συνιστά μορφή οργάνωσης ή/και εκτέλεσης εργασίας στο πλαίσιο σύμβασης ή σχέσης εργασίας ή υπηρεσιακής σχέσης με το Δημόσιο με τη χρήση ΤΠΕ, που παρέχεται εκτός των εγκαταστάσεων του οργανισμού ή της επιχείρησης
  70. Επιπλέον, όσον αφορά το δημόσιο τομέα η εργασία εξ αποστάσεως είναι δυνατόν να παρέχεται οικειοθελώς σύμφωνα με το άρθρο 7 παρ. 1 και 2 του ν. 4807/2021, είτε να επιβληθεί για επιτακτικούς λόγους δημοσίου συμφέροντος (βλ. απόφαση 05/2020), σύμφωνα με την παράγραφο 3 του ίδιου άρθρου. Εξάλλου, σύμφωνα με το άρθρο 5 παρ. 2 και 3 του ν. 3846/2010, όπως αντικαταστάθηκε με το άρθρο 67 του ν. 4808/2021, η τηλεργασία στον ιδιωτικό τομέα αποτελεί αντικείμενο συμφωνίας μεταξύ εργοδότη και εργαζομένου και κατ' εξαίρεση σε ορισμένες περιπτώσεις μπορεί να αποφασίζεται από τον εργοδότη ή να ζητείται από τον εργαζόμενο χωρίς να υπάρχει σχετική συμφωνία. Ο υπεύθυνος επεξεργασίας, κατ΄ εφαρμογή των αρχών του άρθρου 5 παρ. 1 στοιχ. α΄ - γ΄ σε συνδυασμό με την αιτιολογική σκέψη 39 ΓΚΠΔ, και προ της ενάρξεως της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, οφείλει να ενημερώνει τον απασχολούμενο, με τρόπο διαφανή, όχι μόνο για τους όρους εκτέλεσης, αλλά και για τα οφέλη και τους κινδύνους της τηλεργασίας και, επιπλέον, να διασφαλίζει ότι τα δεδομένα προσωπικού χαρακτήρα που τυγχάνουν επεξεργασίας περιορίζονται μόνο
  71. Στον νόμο 4807/2021 ορίζεται ως τηλεργασία "η μορφή οργάνωσης και εκτέλεσης εργασίας στο πλαίσιο της οποίας ο μόνιμος δημόσιος υπάλληλος ή ο υπάλληλος που απασχολείται με σχέση εργασίας ιδιωτικού δικαίου αορίστου ή ορισμένου χρόνου στον δημόσιο τομέα, συμπεριλαμβανομένων των απασχολούμενων με σύμβαση έμμισθης εντολής, εκτελεί τα καθήκοντά του χρησιμοποιώντας τις τεχνολογίες πληροφορικής και επικοινωνίας, εξ αποστάσεως» (άρθρο 3 στοιχ. α΄). Αντίστοιχα, στο άρθρο 67 παρ. 1 του νόμου 4808/2021 παρέχεται ο ακόλουθος ορισμός:«
  72. Τηλεργασία είναι η εξ αποστάσεως παροχή της εξαρτημένης εργασίας του εργαζομένου και με τη χρήση της τεχνολογίας, δυνάμει της σύμβασης εργασίας πλήρους, μερικής, εκ περιτροπής ή άλλης μορφής απασχόλησης, η οποία θα μπορούσε να παρασχεθεί και από τις εγκαταστάσεις του εργοδότη». Στο άρθρο 2 της σχετικής Ευρωπαϊκής Συμφωνίας Πλαίσιο, η τηλεργασία ορίζεται ως «μια μορφή οργάνωσης ή/και εκτέλεσης εργασίας, στο πλαίσιο σύμβασης ή σχέσης εργασίας, με τη χρήση τεχνολογιών της πληροφορίας, η οποία, ενώ θα μπορούσε να παρέχεται στις εγκαταστάσεις του εργοδότη, παρέχεται αντ’ αυτού σε σταθερή βάση, εκτός των εγκαταστάσεων αυτών κατά τακτικό (συστηματικό) τρόπο». Πάντως σε όλες τις περιπτώσεις, οι ορισμοί τηλεργασίας που συναντώνται συγκλίνουν στα ακόλουθα δύο χαρακτηριστικά: α) την παροχή εργασίας, συνολικά ή εν μέρει, σε τόπο διαφορετικό από τις εγκαταστάσεις της επιχείρησης/οργανισμού και β) την εκτέλεση των συγκεκριμένων εργασιακών καθηκόντων απαραιτήτως με τη χρήση ηλεκτρονικών συσκευών. 2 σε όσα είναι αναγκαία για τον σκοπό επεξεργασίας και διατηρούνται για το χρονικό διάστημα που απαιτείται κατά περίπτωση για την επίτευξη αυτού.
  73. Σε κάθε περίπτωση, η οργάνωση του τρόπου απασχόλησης εξ αποστάσεως από οποιαδήποτε αιτία, ιδίως στο πλαίσιο της σχέσης εργασίας στον ιδιωτικό τομέα λόγω της ανισότητας απασχολούμενου και εργοδότη, δεν πρέπει να οδηγεί σε ανισότητες και διακρίσεις (μισθολογικές, ευκαιρίες επαγγελματικής ανέλιξης, συμμετοχή σε προγράμματα επαγγελματικής κατάρτισης) και να θίγει εργασιακά, ασφαλιστικά και κοινωνικά δικαιώματα των απασχολούμενων, ούτε περαιτέρω να οδηγεί σε αυτοματοποιημένη ατομική λήψη αποφάσεων, περιλαμβανομένης της κατάρτισης προφίλ των απασχολούμενων εξ αποστάσεως κατά παράβαση της διάταξης του άρθρου 22 του ΓΚΠΔ, σε ευθεία προσβολή του δικαιώματος στην προσωπικότητα, σύμφωνα με την Οδηγία 115/2001 της Αρχής
  75. Ο υπεύθυνος επεξεργασίας οφείλει να έχει συμμορφωθεί προς τις απαιτήσεις του ΓΚΠΔ και της οικείας εθνικής νομοθεσίας για την προστασία των δεδομένων προσωπικού χαρακτήρα προ της επεξεργασίας αυτών, δια της λήψης των απαιτούμενων τεχνικών και οργανωτικών μέτρων (βλ. για τους φορείς που υπάγονται στις διατάξεις του νόμου 4807/2021 κατ’ άρθρο 3 στοιχ. γ΄, ιδίως, τις σχετικές προβλέψεις των άρθρων 5 στοιχ. γ΄ και δ΄ και 6 του νόμου αυτού), από τα οποία εξάλλου αποδεικνύεται και η συμμόρφωση του (π.χ. κατάρτιση και εφαρμογή πολιτικών και διαδικασιών). Η υποχρέωση ικανοποίησης των δικαιωμάτων που ασκούνται από τα υποκείμενα των δεδομένων, διατηρείται ακέραιη κατά την εκτέλεση της εργασίας από απόσταση (βλ. σημ. 3 απόφασης 5/2020 της Αρχής). Επιπλέον, ο υπεύθυνος επεξεργασίας οφείλει να προσαρμόζεται διαρκώς στις νέες συνθήκες που δημιουργούνται κατά την οργάνωση της εργασίας από απόσταση (π.χ. λόγω των έκτακτων συνθηκών που προκαλούνται από την πανδημία του κορωνοϊού) και να αποδεικνύει τη συμμόρφωση του στο πλαίσιο της αρχής της λογοδοσίας κατά το άρθρο 5 παρ. 2 του ΓΚΠΔ, δια της λήψης, ιδίως, σειράς τεχνικών και οργανωτικών 2 Βλ. Οδηγία 115/2001 σημ. 7, σελ. 12, διαθέσιμη στην ιστοσελίδα της Αρχής. 3 μέτρων, κατ’ εφαρμογή της διάταξης του άρθρου 24 και της αιτιολογικής σκέψης 74 του ΓΚΠΔ, όπως παρατίθενται κατωτέρω (υπό σημείο 13). Επισημαίνεται, τέλος, ως προς τις τυχόν καθυστερήσεις στην ανταπόκριση σε αιτήματα που συνιστούν άσκηση δικαιωμάτων από τα υποκείμενα, εν προκειμένω ιδίως από απασχολούμενους, ότι αφενός από καμία διάταξη του ΓΚΠΔ και της εθνικής νομοθεσίας δεν προβλέπεται η πρόσκαιρη αναστολή των σχετικών προθεσμιών και υποχρεώσεων ικανοποίησης των δικαιωμάτων, αφετέρου, ότι συνιστά υποχρέωση του υπευθύνου επεξεργασίας να τεκμηριώνει εσωτερικά τους λόγους καθυστέρησης ή μη ικανοποίησης των ασκηθέντων δικαιωμάτων, συνυπολογίζοντας τόσο την αρχή του δικαίου «ουδείς υποχρεούται στα αδύνατα», όσο και το αντικείμενο και τις συνθήκες άσκησης της δραστηριότητας του υπευθύνου επεξεργασίας που τυχόν επιβαρύνεται από την έκτακτη συνθήκη (όπως π.χ. νοσοκομεία στην περίπτωση της πανδημίας). Σε κάθε περίπτωση, τυχόν επίκληση λόγων σχετικών καθυστερήσεων τόσο έναντι των υποκειμένων των δεδομένων, όσο και έναντι της Αρχής κατά την άσκηση των ελεγκτικών της αρμοδιοτήτων θα πρέπει να είναι ιδιαιτέρως τεκμηριωμένη και μη προσχηματική δοθέντος ότι τα απαιτούμενα τεχνικά και οργανωτικά μέτρα θα πρέπει να έχουν ήδη ληφθεί και να εφαρμόζονται προ της έναρξης της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα.
  76. Κατά την παροχή εργασίας εξ αποστάσεως, ο υπεύθυνος επεξεργασίας, δικαιούται, εφόσον συντρέχουν κατ’ αρχήν οι προϋποθέσεις που απορρέουν από τις διατάξεις των άρθρων 5 περ. δ’ εδ. β,’ 15 περ. γ’, δ’ ν. 4807/2021 και 67 παρ. 8 ν. 4808/2021, να ελέγξει εάν πράγματι ο απασχολούμενος παρέχει την συμφωνηθείσα εργασία ως προς την τήρηση χρόνου απασχόλησης (ωραρίου) και της πλήρωσης των όρων αυτής. Επιπλέον, θα πρέπει ο υπεύθυνος επεξεργασίας να συμμορφώνεται προς τις αρχές που διέπουν τη νομιμότητα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα κατά το άρθρο 5 παρ. 1 του ΓΚΠΔ. Στο πλαίσιο αυτό, θα ήταν καταρχήν θεμιτό να ζητείται εκ μέρους του υπευθύνου επεξεργασίας πρόσθετη επιβεβαίωση (αυθεντικοποίηση) από τον χρήστη ΤΠΕ (Η/Υ, λογισμικών επικοινωνίας – 4 ηλεκτρονικής αλληλογραφίας) – απασχολούμενο ότι αυτός πράγματι παρέχει τη συμφωνηθείσα εργασία και να τηρεί τη σχετική πληροφορία.
  77. Ως προς το ειδικότερο ζήτημα της τυχόν συνεχούς επιτήρησης του εργαζόμενου με την υποχρέωση λειτουργίας της κάμερας του Η/Υ και τη χρήση λογισμικού Τ.Ν. (π.χ. αναγνώρισης προσώπου και κινήσεως) ή την κοινή χρήση της οθόνης ή την εγκατάσταση και λειτουργία λογισμικού καταγραφής πληκτρολόγησης τύπου Keylogger ή ακόμη και την υποχρέωση του εργαζομένου να εκτελεί πολύ τακτικές ενέργειες για να αποδείξει την παρουσία του πίσω από την οθόνη του, η Αρχή έχει κρίνει με σειρά αποφάσεων της (βλ. ΑΠΔ 34/2018, 26/2019 και 43/2019), περιλαμβανόμενης της προαναφερόμενης υπ’ αρ. 5/2020 ΑΠΔΠΧ ότι «μια συστηματική, διαρκής και γενικευμένη συλλογή δεδομένων προσωπικού χαρακτήρα που οδηγεί στην κατάρτιση και συνεχή ανανέωση προφίλ δύσκολα θα μπορούσε να χαρακτηρισθεί ως σύμφωνη με την αρχή της αναλογικότητας». Πέραν των απαγορεύσεων που τίθενται με τους νόμους 4807/2021 (ιδίως άρθρο 6 παρ. 6) και 4808/2021 (ιδίως άρθρο 67 παρ. 8 δεύτερο εδάφιο) αναφορικά με την χρήση κάμερας (web cam), για τον έλεγχο της απόδοσης του εργαζομένου ο υπεύθυνος επεξεργασίας στο πλαίσιο της από μέρους του υποχρέωσης λογοδοσίας θα πρέπει να λαμβάνει υπόψη και να συνεκτιμά ερμηνευτικά τη διάταξη του άρθρο 27 παρ. 7 ν. 4624/2019 (με τον οποίο ελήφθησαν μέτρα εφαρμογής του ΓΚΠΔ,) στην οποία ορίζεται ότι «η επεξεργασία δεδομένων μέσω κλειστού κυκλώματος οπτικής καταγραφής εντός των χώρων εργασίας, είτε είναι δημοσίως προσβάσιμοι είτε μη, επιτρέπεται μόνο εάν είναι απαραίτητη για την προστασία προσώπων και αγαθών. Τα δεδομένα που συλλέγονται μέσω κλειστού κυκλώματος οπτικής καταγραφής δεν επιτρέπεται να χρησιμοποιηθούν ως κριτήριο για την αξιολόγηση της αποδοτικότητας των εργαζομένων». Επιπλέον, η νομιμότητα λήψης κάθε τέτοιου σχετικού μέτρου που συνιστά επεξεργασία προσωπικών δεδομένων προϋποθέτει την προηγούμενη ενημέρωση του υποκειμένου των δεδομένων, με βάση τόσο τις διατάξεις του ΓΚΠΔ, όσο και με 5 τυχόν ειδικότερες διατάξεις (π.χ. βλ. άρθρο 6 παρ. 2 ν. 4807/2021 και άρθρο 67 παρ. 9 ν. 4808/2021). Τέλος, η Αρχή, κατ’ εφαρμογή της νομολογίας του Ευρωπαϊκού Δικαστηρίου Δικαιωμάτων του Ανθρώπου και τις Γνώμες της Ομάδας Εργασίας του άρθρου 29 Οδηγίας 95/46/ΕΚ (νυν Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων) με πρόσφατες αποφάσεις της (βλ. ιδίως τις ΑΠΔ 34/2018, 43/2019 και 44/2019) προδιέγραψε τις προϋποθέσεις, τους όρους και τις διαδικασίες υπό τις οποίες ο εργοδότης μπορεί να έχει πρόσβαση στα προσωπικά δεδομένα που επεξεργάζονται οι εργαζόμενοι στο πλαίσιο των εργασιακών σχέσεων μέσω ηλεκτρονικών υπολογιστών, διακομιστών κ.λπ. αλλά και τις προβλέψεις και τυχόν περιορισμούς των εργαζομένων στον τρόπο χρήσης της υποδομής υπολογιστών και επικοινωνιών του φορέα (σχ. βλ. πλέον και άρθρα 6 παρ. 4 και 5 στοιχ. δ’ και 12 παρ. 3 ν. 4807/2021 και άρθρο 67 παρ. 5 περ. δ’ ν. 4808/2021) Δεν πρέπει πάντως να παραβλέπεται ότι στο πλαίσιο του διευθυντικού του δικαιώματος ο εργοδότης έχει την εξουσία να λαμβάνει τα αναγκαία μέτρα που σχετίζονται με την παροχή της εργασίας για την εύρυθμη οργάνωση της επιχείρησης που συνεπάγεται την επεξεργασία προσωπικών δεδομένων αλλά και να ασκεί τον αναγκαίο και πρόσφορο έλεγχο επί της παρεχόμενης εργασίας, της εκπλήρωσης των συμβατικών υποχρεώσεων, περιλαμβανομένης της υποχρέωσης πίστης του εργαζομένου καθώς και επί των υποχρεώσεων παροχής των αναγκαίων πληροφοριών, μεταξύ άλλων, στο πλαίσιο ελέγχου της προστασίας των οικονομικών πόρων και υποδομών της επιχείρησης. Τα μέτρα τα οποία θα υιοθετεί ο εργοδότης προς τη συγκεκριμένη κατεύθυνση θα πρέπει να σέβονται τα θεμελιώδη δικαιώματα των εργαζομένων, σύμφωνα με την αρχή της αναλογικότητας: για παράδειγμα, δεν δικαιολογείται η παρακολούθηση, μέσω κατάλληλου λογισμικού (π.χ. TLS appliance) κάθε εξερχόμενης από την 6 επιχείρηση διαδικτυακής κίνησης εν όψει των ανωτέρω σκοπών, όταν αυτοί μπορούν να επιτευχθούν με ηπιότερα προληπτικά μέσα
  78. Εξάλλου και από τις διατάξεις των άρθρων 5 περ. γ’, 6 παρ. 4, 12 παρ. 3, 15 περ. γ-ε ν. 4807/2021 που ρυθμίζει τα θέματα τηλεργασίας στο δημόσιο τομέα, σε συνδυασμό προς το περιεχόμενο της εξουσιοδότησης που παρέχεται με το άρθρο 19 του ίδιου νόμου για την έκδοση Προεδρικού Διατάγματος, προκύπτει ότι ο υπεύθυνος επεξεργασίας οφείλει, τηρώντας την ειδική νομοθεσία που διέπει την υπαλληλική ή εργασιακή σχέση και την τηλεργασία, να λάβει τα κατάλληλα τεχνικά και οργανωτικά μέτρα συμμόρφωσης προς τις απαιτήσεις προστασίας των προσωπικών δεδομένων του τηλεργαζόμενου.
  79. Σύμφωνα με τις κατά το άρθρο 5 παρ. 1 στοιχ. α΄ και β΄ του ΓΚΠΔ αρχές της νομιμότητας και του περιορισμού του σκοπού, ο απασχολούμενος εξ αποστάσεως έχει το δικαίωμα μετά το πέρας του χρόνου κατά τον οποίο έχει υποχρέωση παροχής εργασίας (συμπεριλαμβανομένων των περιόδων που βρίσκονται σε οποιασδήποτε μορφής άδεια), λαμβάνοντας υπόψη και τις διατάξεις των άρθρων 18 του νόμου 4807/2021 και 67 παρ. 10 του νόμου 4808/2021 για τους απασχολούμενους του δημοσίου τομέα και του ιδιωτικού τομέα, αντίστοιχα, να αποσυνδέεται, χωρίς σε βάρος του επιπτώσεις, από τα ψηφιακά μέσα (λογισμικά, ψηφιακή πλατφόρμα, κοινωνικά δίκτυα, ασύρματες συνδέσεις, ηλεκτρονικά μηνύματα, internet/intranet) που χρησιμοποιούνται για την οργάνωση της απασχόλησης. Το δικαίωμα στην ψηφιακή αποσύνδεση μετά το πέρας του χρόνου εργασίας αποτελεί θεμελιώδες δικαίωμα των εργαζομένων, ζωτικής σημασίας και άμεσα συνδεδεμένο τόσο με το θεμελιώδες δικαίωμα της προστασίας της ιδιωτικότητας, των προσωπικών δεδομένων, του δικαιώματος στον ιδιωτικό βίο και του σεβασμού στην ιδιωτική και οικογενειακή ζωή (άρθρα 9 παρ. 1 δεύτερο εδάφιο και 9Α του Συντάγματος και 8 της Ευρωπαϊκής Σύμβασης των Δικαιωμάτων του Ανθρώπου), όσο και με την ισορροπία 3 Βλ. επίσης τη Γνώμη 2/2017 της Ομάδας Εργασίας του Άρθρου
  80. 7 επαγγελματικής και προσωπικής ζωής, την προστασία της σωματικής, ψυχικής υγείας και ευημερίας των εργαζομένων
  82. Αναφορικά με την ασφάλεια της επεξεργασίας κατά τα άρθρα 24 και 32 ΓΚΠΔ, και συγκεκριμένα την τήρηση της αρχής της ακεραιότητας και εμπιστευτικότητας των δεδομένων προσωπικού χαρακτήρα σύμφωνα με το άρθρο 5 παρ. 1 στοιχ. στ΄ ΓΚΠΔ, δηλ. την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία σ΄ αυτά και στον εξοπλισμό που χρησιμοποιείται για την επεξεργασία τους υπογραμμίζεται αφενός η διαρκής υποχρέωση του υπευθύνου επεξεργασίας για τη λήψη τεχνικών μέτρων ασφάλειας και τη σχετική ενημέρωση των απασχολούμενων, με αξιοποίηση των υπηρεσιών του ΥΠΔ της επιχείρησης ή του οργανισμού (άρθρο 39 παρ. 1 στοιχ. α΄ ΓΚΠΔ) και αφετέρου η υποχρέωση τήρησης απορρήτου- εχεμύθειας –πίστης από τους απασχολουμένους , κατ΄ εφαρμογή των σχετικών διατάξεων, μεταξύ των οποίων ενδεικτικά αναφέρονται τα άρθρα 26 του ν. 3528/2007 και 1 του ν. 146/1914, κατά τρόπο που να διασφαλίζεται ότι τρίτοι προς τη σχέση απασχόλησης (π.χ. μέλη οικογένειας) δεν αποκτούν πρόσβαση στα αρχεία του οργανισμού ή της επιχείρησης. Επισημαίνεται ότι ο υπεύθυνος επεξεργασίας ευθύνεται για την ασφαλή επεξεργασία των προσωπικών δεδομένων στο πλαίσιο της λειτουργίας της επιχείρησης που λαμβάνει χώρα μέσω των συστημάτων υλικού και λογισμικού της εταιρίας, δικτύων VPN κ.λπ. των οποίων κάνουν χρήση οι εργαζόμενοι, συμπεριλαμβανομένων των αποθηκευμένων σε τερματικές συσκευές, διακομιστές κ.λπ., είτε ανήκουν στην επιχείρηση, είτε στους ίδιους τους υπαλλήλους. Στο ίδιο πλαίσιο, πρέπει περαιτέρω να αποφεύγεται η προώθηση μηνυμάτων ηλεκτρονικού ταχυδρομείου, τόσο από την επιχείρηση ή τον οργανισμό όσο και από Αν και υπό το καθεστώς τηλεργασίας, η ακριβής μέτρηση και τήρηση του χρόνου εργασίας καθίσταται δυσχερής, ωστόσο εξακολουθεί να υφίσταται η υποχρέωση του εργοδότη να εφαρμόζει αξιόπιστο και αντικειμενικό σύστημα μέτρησης του ημερήσιου χρόνου εργασίας κάθε εργαζομένου που παρέχει την εργασία του εκτός των εγκαταστάσεων του εργοδότη [Βλ. και την απόφαση Federación de Servicios de Comisiones Obreras (CCOO) v Deutsche Bank SAE C-55/18 της 14ης Μαΐου του 2019 του Δικαστηρίου της Ευρωπαϊκής Ένωσης, σχετικά με την ερμηνεία, μεταξύ άλλων των άρθρων 3, 5, 6, 16 και 22 της οδηγίας 2003/88 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 4ης Νοεμβρίου 2003, σχετικά με ορισμένα στοιχεία της οργάνωσης του χρόνου εργασίας (ΕΕ 2003, L 299, σ. 9), σύμφωνα με την οποία τα Κράτη – Μέλη πρέπει να επιβάλουν στους εργοδότες την υποχρέωση να εφαρμόζουν σύστημα μέτρησης του ημερήσιου χρόνου εργασίας κάθε εργαζομένου]. 4 8 τον εξ αποστάσεως απασχολούμενο στην προσωπική ηλεκτρονική διεύθυνση του τελευταίου, ιδίως όταν δεν πραγματοποιείται κρυπτογράφηση του περιεχόμενου του μηνύματος. Τέλος, η εκτύπωση υπηρεσιακών/εταιρικών εγγράφων στην οικία του απασχολούμενου ή σε τόπο/χώρο άλλο πέραν του χώρου εργασίας πρέπει να πραγματοποιείται κατά τρόπο που να διασφαλίζεται ότι δεδομένα προσωπικά χαρακτήρα δεν μπορούν να διαρρεύσουν σε τρίτα μη δικαιούμενα πρόσωπα.
  83. Αναφορικά με την ασφάλεια της επεξεργασίας, και συγκεκριμένα τη διαθεσιμότητα των δεδομένων προσωπικού χαρακτήρα, η οποία συχνά απειλείται από επιθέσεις τύπου ransomware 5, ο υπεύθυνος επεξεργασίας οφείλει να λάβει τα κατάλληλα τεχνικά και οργανωτικά μέτρα, όπως η χρήση κατάλληλων εργαλείων εντοπισμού κακόβουλου λογισμικού, η επαρκής διαχείριση ενημερώσεων λογισμικού στις συσκευές μέσω των οποίων πραγματοποιείται η τηλεργασία, καθώς και η κατάλληλη διαδικασία λήψης αντιγράφων ασφαλείας. Οφείλει επίσης να παρέχει τα μέσα για να εξακριβωθεί εάν τα μηνύματα που λαμβάνονται μέσω ηλεκτρονικού ταχυδρομείου ή με άλλα μέσα επικοινωνίας είναι αυθεντικά και αξιόπιστα. Οι εργαζόμενοι θα πρέπει να εκπαιδευτούν ώστε να αναγνωρίζουν απόπειρες τέτοιων επιθέσεων (π.χ. αναγνώριση των «ύποπτων» μηνυμάτων ηλεκτρονικού ταχυδρομείου), πότε έχει πραγματοποιηθεί μια τέτοια επίθεση και να γνωρίζουν την υποχρέωσή τους να το αναφέρουν αμέσως στον υπεύθυνο ασφαλείας ή και στον υπεύθυνο προστασίας δεδομένων, βάσει μίας σαφώς καταγεγραμμένης διαδικασίας διαχείρισης περιστατικών παραβίασης δεδομένων.
  84. Κατά την πραγματοποίηση τηλεδιασκέψεων, λαμβάνοντας υπόψη τους σχετικές απαγορεύσεις και τους περιορισμούς που προβλέπονται από τη νομοθεσία, όπως η διάταξη του άρθρου 6 παρ. 6 ν. 4807/2021 για την παροχή τηλεργασίας στο δημόσιο τομέα, ο απασχολούμενος εξ αποστάσεως τόσο δημόσιο, όσο και στον ιδιωτικό τομέα, δικαιούται, κατ΄ εφαρμογή της αρχής της ελαχιστοποίησης των δεδομένων, να ενεργοποιεί τη δυνατότητα της χρησιμοποιούμενης πλατφόρμας, για Είδος κακόβουλου λογισμικού που απειλεί να δημοσιοποιήσει τα προσωπικά δεδομένα του θύματος ή να διακόψει την πρόσβασή του θύματος σε αυτά, μέχρι να δοθούν λύτρα από το θύμα. 5 9 συμμετοχή του σ΄ αυτή μόνο μέσω μικροφώνου, και όχι συνεχώς κατά τη διάρκεια πραγματοποίησής της μέσω κάμερας, ιδίως όταν συντρέχουν λόγοι που το επιβάλλουν (π.χ. προστασία της ανηλικότητας). Επιπλέον, ο απασχολούμενος εξ αποστάσεως συστήνεται να επιλέγει δυνατότητες της χρησιμοποιούμενης πλατφόρμας που επιτρέπουν την απόκρυψη φόντου (background) με θόλωση ή με προσθήκη εικόνας (virtual background) προκειμένου να αποφευχθεί ο κίνδυνος αποκάλυψης προσωπικών πληροφοριών που μπορεί να προκύψουν από την θέαση.
  85. Αναφορικά με την καταγραφή των τηλεδιασκέψεων που πραγματοποιούνται στο πλαίσιο των υποχρεώσεων του εργαζομένου όπως προκύπτουν από τη σύμβαση τηλεργασίας ή τον νόμο, ο υπεύθυνος επεξεργασίας (εργοδότης) οφείλει, λαμβάνοντας υπόψη και τις σχετικές προβλέψεις της οικείας νομοθεσίες (βλ ιδίως άρθρο 6 παρ. 6 του ν. 4807/2021) να μην προβαίνει σε αυτήν, κατ’ εφαρμογή της αρχής της αναλογικότητας και της ελαχιστοποίησης. Σε κάθε περίπτωση, για την πραγματοποίηση αυτού του είδους επεξεργασίας, ο υπεύθυνος επεξεργασίας, πριν από την επεξεργασία, λαμβάνει τα κατάλληλα μέτρα για την προστασία των προσωπικών δεδομένων και όπου απαιτείται, διενεργεί μελέτη αντικτύπου. Σε περίπτωση καταγραφής τηλεδιάσκεψης με τρίτο πρόσωπο/μέρος (πέραν του απασχολούμενου) που πραγματοποιείται κατά τη διάρκεια νόμιμης επαγγελματικής πρακτικής με σκοπό την παροχή αποδεικτικών στοιχείων εμπορικής συναλλαγής ή άλλης επικοινωνίας επαγγελματικού χαρακτήρα, εφαρμόζεται αναλόγως το άρθρο 4 παράγραφος 3 του ν. 3471/2006, δηλαδή απαιτείται η, μετά από προηγούμενη ενημέρωση για τους σκοπούς της καταγραφής, προηγούμενη συγκατάθεση των μερών της επικοινωνίας.
  86. Όσον αφορά τη χρήση προσωπικών συσκευών (B.Y.O.D.) των εξ αποστάσεως απασχολούμενων και για την πρόσβαση στο δίκτυο ο εργοδότης παραμένει υπεύθυνος για την ασφάλεια των προσωπικών δεδομένων που υφίστανται επεξεργασία από την επιχείρηση ή τον οργανισμό, ακόμη και όταν αποθηκεύονται σε τερματικούς σταθμούς στους οποίους δεν έχει φυσικό έλεγχο ή ιδιοκτησία, αλλά για τους οποίους έχει εξουσιοδοτήσει την πραγματοποίηση ρυθμίσεων ώστε να έχουν 10 πρόσβαση σε δεδομένα οι εργαζόμενοι (σχ. βλ. άρθρα 6 παρ. 1, 3, 5, 7 και 9 ν. 4807/2021). Η χρήση εξοπλισμού B.Y.O.D. πρέπει να αποφασίζεται αφενός σύμφωνα με τα οριζόμενα στην ειδική νομοθεσία (βλ. π.χ. άρθρα 12 παρ. 1 και 15 περ. γ’ ν. 4807/2021), αφετέρου, αφού σταθμιστούν τα συμφέροντα και τα μειονεκτήματα που παρουσιάζονται από αυτήν τη χρήση, η οποία θολώνει τη γραμμή μεταξύ προσωπικής και επαγγελματικής ζωής. Ο υπεύθυνος επεξεργασίας οφείλει να προσδιορίσει τους κινδύνους, λαμβάνοντας υπόψη τις ιδιαιτερότητες της εκάστοτε περίπτωσης (εξοπλισμός, εφαρμογές, δεδομένα) και να τους εκτιμήσει ως προς τη σοβαρότητα και την πιθανότητα εμφάνισης περιστατικών παραβίασης προκειμένου να καθορίσει τα μέτρα που πρέπει να εφαρμοστούν και να ενταχθούν στην πολιτική ασφάλειας. Ενδεικτικά μέτρα ασφάλειας θα μπορούσαν μεταξύ άλλων να αποτελέσουν: ο φυσικός ή λογικός διαχωρισμός των τμημάτων της προσωπικής συσκευής που προορίζεται για χρήση σε επαγγελματικό περιβάλλον (δημιουργία μιας "φυσαλίδας ασφαλείας"), ο έλεγχος της απομακρυσμένης πρόσβασης μέσω ισχυρού μηχανισμού ελέγχου ταυτότητας χρήστη (εάν είναι δυνατόν χρησιμοποιώντας ηλεκτρονικό πιστοποιητικό, έξυπνη κάρτα, αυθεντικοποίηση δύο παραγόντων κ.λπ.), ο ορισμός μέτρων κρυπτογράφησης για ροές πληροφοριών (VPN, TLS κ.λπ.), ο ορισμός διαδικασίας για αποκατάσταση σε περίπτωση βλάβης ή απώλειας της προσωπικής συσκευής (πληροφορίες για τον διαχειριστή του δικτύου, παροχή εναλλακτικού επαγγελματικού εξοπλισμού, απομακρυσμένη διαγραφή επαγγελματικών δεδομένων που είναι αποθηκευμένα στο προσωπικό τερματικό), η απαίτηση τήρησης βασικών μέτρων ασφαλείας, όπως το κλείδωμα του τερματικού με κωδικό πρόσβασης σύμφωνα με τις βέλτιστες πρακτικές και τη χρήση ενός ενημερωμένου αντιϊκού προγράμματος, η ευαισθητοποίηση των χρηστών σχετικά με τους κινδύνους, προηγούμενη έγκριση του διαχειριστή του δικτύου ή/και του εργοδότη για τη χρήση προσωπικού εξοπλισμού, η ενημέρωση για τις ευθύνες όλων και η αναφορά των προφυλάξεων που πρέπει να λαμβάνονται σε έναν δεσμευτικό χάρτη. 11
  87. Σε περίπτωση που κατά την παροχή τηλεργασίας ή κατά την πραγματοποίηση τηλεδιασκέψεων λαμβάνει χώρα διαβίβαση δεδομένων προσωπικού χαρακτήρα σε τρίτες χώρες, ο υπεύθυνος επεξεργασίας επιλέγει και χρησιμοποιεί εργαλεία και πλατφόρμες που συμμορφώνονται με τις ρυθμίσεις του Κεφαλαίου V του ΓΚΠΔ για τις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα προς τρίτες χώρες ή, μετά την κατάργηση με την απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης Schrems II της Ασπίδας Προστασίας ΕΕ-ΗΠΑ για τις διατλαντικές διαβιβάσεις δεδομένων («Privacy Shield»), χρησιμοποιεί για τη διαβίβαση τυποποιημένες συμβατικές ρήτρες (Standard Contractual Clauses) που έχουν εγκριθεί από την Ευρωπαϊκή Επιτροπή και παραμένουν σε ισχύ
  88. 6 Προσφάτως εκδόθηκαν, μετά από δεκαετή αναμονή, η ΕΚΤΕΛΕΣΤΙΚΗ ΑΠΟΦΑΣΗ (ΕΕ) 2021/914 ΤΗΣ ΕΠΙΤΡΟΠΗΣ της 4ης Ιουνίου 2021 σχετικά με τις τυποποιημένες συμβατικές ρήτρες για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τρίτες χώρες σύμφωνα με τον κανονισμό (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου και η ΕΚΤΕΛΕΣΤΙΚΗ ΑΠΟΦΑΣΗ (ΕΕ) 2021/915 ΤΗΣ ΕΠΙΤΡΟΠΗΣ της 4ης Ιουνίου 2021 για τις τυποποιημένες συμβατικές ρήτρες μεταξύ υπευθύνων επεξεργασίας και εκτελούντων την επεξεργασία βάσει του άρθρου 28 παράγραφος 7 του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου και του άρθρου 29 παράγραφος 7 του κανονισμού (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου. Με τις δύο προαναφερόμενες Εκτελεστικές Αποφάσεις της Ευρωπαϊκής Επιτροπής καλύπτονται πλέον όλες οι περιπτώσεις διαβιβάσεων βάσει τυποποιημένων συμβατικών ρητρών από χώρες του Ευρωπαϊκού Οικονομικού Χώρου προς τρίτες χώρες, ήτοι οι διαβιβάσεις μεταξύ α) Υπευθύνων Επεξεργασίας (Controller to Controller), β) Υπευθύνου Επεξεργασίας και Εκτελούντος την Επεξεργασία (Controller to Processor) γ) Εκτελούντων την Επεξεργασία (Processor to Processor) και δ) Εκτελούντος την Επεξεργασία και Υπευθύνου Επεξεργασίας (Processor to Controller). Οι νέες τυποποιημένες συμβατικές ρήτρες είναι απόλυτα προσαρμοσμένες προς το ΓΚΠΔ καθώς και προς το σκεπτικό της Απόφασης ΔΕΕ Schrems II (C-311/2018). Εκτός από τις περιπτώσεις όπου οι διαβιβάσεις προσωπικών δεδομένων προς τρίτες χώρες γίνονται βάσει του άρθρου 46 ΓΚΠΔ, δηλαδή βάσει κατάλληλων εγγυήσεων όπως οι προαναφερόμενες τυποποιημένες συμβατικές ρήτρες, πρέπει να ληφθεί υπόψη ότι η Ευρωπαϊκή Επιτροπή έχει ήδη, βάσει του άρθρου 45 του ΓΚΠΔ, αναγνωρίσει ότι οι κάτωθι χώρες παρέχουν επαρκές επίπεδο προστασίας προσωπικών δεδομένων («απόφαση επάρκειας»): Ανδόρρα, Αργεντινή, Καναδάς (μόνο για εμπορικούς οργανισμούς), Νήσοι Φερόες, Νήσος Γκέρνσεϊ, Ισραήλ, Νήσος του Μαν, Ιαπωνία, Νήσος της Υερσέης, Νέα Ζηλανδία, Ελβετία, Ουρουγουάη. Διεξάγονται διαπραγματεύσεις με το Ηνωμένο Βασίλειο για την υιοθέτηση απόφασης επάρκειας αναφορικά με τον ΓΚΠΔ και για την Οδηγία 2016/680 (Προστασία προσωπικών δεδομένων κατά την επεξεργασία τους από αστυνομικές και δικαστικές αρχές) καθώς και διαπραγματεύσεις με τη Νότια Κορέα για το ΓΚΠΔ. Επιπροσθέτως λαμβάνουν χώρα διαπραγματεύσεις μεταξύ Ευρωπαϊκής Ένωσης και ΗΠΑ επί σκοπώ μιας νέας συμφωνίας «Ασπίδας Προστασίας της ιδιωτικής ζωής ΕΕ-ΗΠΑ» (Privacy Shield) προς αποφυγή μελλοντικής απόφασης Schrems III. 12
  89. Σε κάθε περίπτωση υπογραμμίζεται ότι η υποχρέωση συμμόρφωσης και λογοδοσίας του υπευθύνου επεξεργασίας, οργανισμού ή επιχείρησης, προς το θεσμικό πλαίσιο προστασίας δεδομένων προσωπικού χαρακτήρα είναι μια συνεχής/διαρκής διαδικασία η οποία ξεκινά ήδη προ της συλλογής των δεδομένων με τον σχεδιασμό των διαδικασιών και τελειώνει μόνο με την οριστική διαγραφή των δεδομένων. Ειδικότερα, ο υπεύθυνος επεξεργασίας οφείλει να προσαρμόζεται και να συμμορφώνεται διαρκώς στις νέες συνθήκες που δημιουργούνται κατά την παροχή τηλεργασίας, ήτοι: • Να επικαιροποιεί το αρχείο καταγραφής του άρθρου 30 ΓΚΠΔ. • Να επικαιροποιεί – τροποποιεί τις συμβάσεις επεξεργασίας δεδομένων με εκτελούντες την επεξεργασία κατ’ αρ. 28 ΓΚΠΔ. • Να επικαιροποιεί τις πολιτικές και διαδικασίες για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα, αλλά και να εξετάζει το ενδεχόμενο να καταρτίσει και εφαρμόσει πολιτική επεξεργασίας προσωπικών δεδομένων για λόγους που συνδέονται με έκτακτες συνθήκες (π.χ. Covid19) και την αντιμετώπιση σχετικών περιστατικών • Να διαθέτει πολιτική και διαδικασίες για την τηλεργασία • Να διαθέτει πολιτική και διαδικασίες για την χρήση ιδιωτικού εξοπλισμού σε επαγγελματικό πλαίσιο (B.Y.O.D.) • Να διενεργεί όπου απαιτείται εκτίμηση αντικτύπου • Να συμβουλεύεται τους ΥΠΔ • Να εκπαιδεύει το προσωπικό σχετικά με την προστασία των δεδομένων προσωπικού χαρακτήρα κατά την παροχή τηλεργασίας • Σε περίπτωση τυχόν επεξεργασίας των εν λόγω δεδομένων των εργαζομένων από τον εργοδότη εκτός της Ε.Ε. (περιλαμβανομένου και του Η.Β. σύντομα) θα πρέπει πλέον να λαμβάνεται υπόψη η απόφαση του ΔΕΕ Schrems II.
  90. Με τις περιλαμβανόμενες στους νόμους 4807/2021 και 4808/2021 διατάξεις αποτυπώνεται η αρχή της λογοδοσίας και επιπλέον προβλέπεται η έκδοση προεδρικών διαταγμάτων (βλ. άρθρο 19 ν. 4807/21 και άρθρο 67 παρ. 12 ν. 4808/21) 13 για την εξειδίκευση των κατάλληλων τεχνικών και οργανωτικών μέτρων για τη συμμόρφωση προς τις απαιτήσεις προστασίας προσωπικών δεδομένων των τηλεργαζόμενων. Ως εκ τούτου και με δεδομένη την νομοθετική πρόβλεψη έκδοσης προηγούμενης Γνώμης της Αρχής επί των σχεδίων Π.Δ/των, η Αρχή επιφυλάσσεται να τοποθετηθεί αναλυτικότερα. Ο Πρόεδρος Κωνσταντίνος Μενουδάκος Η Γραμματέας Ειρήνη Παπαγεωργοπούλου 14

🔗 Στην επίσημη πηγή

Επεξήγηση AI βάσει του επίσημου κειμένου του νόμου. Ενδεικτική, δεν υποκαθιστά νομική συμβουλή.