Κατευθυντήριες γραμμές σχετικά με την εφαρμογή των κανόνων προστασίας δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της τηλεργασίας

Αθήνα, 03-04-2020 ΑΠ: Γ/ΕΞ/2462/03-04-2020 ΕΛΛΗΝΙΚΗ ΔΗΜΟΚΡΑΤΙΑ ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Ταχ. Δ/νση: ΚΗΦΙΣΙΑΣ 1-3 115 23 ΑΘΗΝΑ ΤΗΛ.: 210-6475600 FAX: 210-6475628 ΑΠΟΦΑΣΗ 05/2020 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε, μετά από πρόσκληση του Προέδρου της, σε έκτακτη συνεδρίαση, μέσω τηλεδιασκέψεως, τη Δευτέρα 16.03.2020 και ώρα 10:00, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος και τα τακτικά μέλη της Αρχής Σπυρίδων Βλαχόπουλος, Κωνσταντίνος Λαμπρινουδάκης, Χαράλαμπος Ανθόπουλος και Ελένη Μαρτσούκου. Στη συνεδρίαση παρέστη μετά από πρόσκληση του Προέδρου, και ο Γρηγόριος Τσόλιας, αναπληρωματικό μέλος της Αρχής, ως εισηγητής. Παρούσες, χωρίς δικαίωμα ψήφου, ήταν η Χαρίκλεια Λάτσιου, νομικός ελεγκτής δικηγόρος, ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Από προφορικά ερωτήματα που υποβλήθηκαν στην Αρχή, από σχετικά 2 δημοσιεύματα 1 και από τα δεδομένα που έχουν δημιουργηθεί λόγω της επιδημίας που οφείλεται στον κορωνοϊό COVID-19 διαπιστώνεται η ανάγκη αφενός ενημέρωσης του κοινού για την κατανόηση των κινδύνων, των κανόνων, των εγγυήσεων και των δικαιωμάτων ατόμων, ως υποκειμένων των δεδομένων, και αφετέρου, ευαισθητοποίησης των δημοσίων αρχών και των ιδιωτικών φορέων, ως υπευθύνων επεξεργασίας, σχετικά με τις υποχρεώσεως που απορρέουν από το θεσμικό πλαίσιο προστασίας των δεδομένων προσωπικού χαρακτήρα από την επεξεργασία τους που διενεργείται στο πλαίσιο της εξαιρετικά επείγουσας και απρόβλεπτης ανάγκης διαχείρισης δεδομένων προσωπικού χαρακτήρα για την αντιμετώπιση των αρνητικών συνεπειών, λόγω της εμφάνισης του κορωνοϊού COVID-19 (εφεξής «ο κορωνοϊός»), τον περιορισμό της διάδοσής του και τη λήψη συναφών νομοθετικών μέτρων. Η Αρχή, μετά από εξέταση των δεδομένων, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου και αποχώρησε μετά από τη συζήτηση της υποθέσεως και πριν από τη διάσκεψη και τη λήψη αποφάσεως, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ

1. Επειδή, από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού 2016/679) - εφεξής ΓΚΠΔ - και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από 1 Βλ., ιδίως, σχετικά δημοσιεύματα στον Τύπο ως την 13η.03.2020: Το απόρρητο σχέδιο "Άρτεμις" για τον κορωνοϊό», διαθέσιμο στο https://www.zougla.gr/greece/article/to-aporito-sxedio-artemis-gia-tonkoronoio, Κορονοϊός: Οι κίνδυνοι για τα προσωπικά δεδομένα των ασθενών» διαθέσιμο στο https://www.oneman.gr/life/koronoios-oi-kindinoi-gia-ta-prosopika-dedomena-ton-asthenon/, «Φέϊγ-βολάν τα ιατρικά δεδομένα των πολιτών και η Κομισιόν προετοιμάζει…μελέτη!» διαθέσιμο στο https://www.reporter.gr/Diethnh/Diethneis-Eidhseis/424055-Feig-Bolan-ta-iatrika-dedomena-twn-politwnkai-h-Komision-proetoimazei%E2%80%A6meleth, Η παραπληροφόρηση για τον κοροναϊό εκτοξεύεται με νέες εκστρατείες spam και phishing» διαθέσιμο στο https://www.digitallife.gr/i-parapliroforisi-gia-tonkoronaio-ektoksevetai-me-nees-ekstrateies-spam-kai-phishing-70551, «Ο κορονοϊός COVID-19 και ο GDPR» διαθέσιμο στο https://www.liberal.gr/apopsi/o-koronoios-covid-19-kai-o-gdpr/289487, «Κοροναϊός: Ερωτήσεις και απαντήσεις - Τι ισχύει για μισθούς, άδειες, καραντίνα, ταξίδια» διαθέσιμο στο https://www.ethnos.gr/oikonomia/91878_koronaios-erotiseis-kai-apantiseis-ti-ishyei-gia-misthoys-adeieskarantina-taxidia , «GDPR: Κορωνοϊός, τηλεργασία και μέτρα ασφαλείας» διαθέσιμο στο https://www.taxheaven.gr/news/47738/gdpr-korwnoios-thlergasia-kai-metraasfaleiashttps://www.taxheaven.gr/news/47738/gdpr-korwnoios-thlergasia-kai-metra-asfaleias. 3 τις διατάξεις των άρθρων 57 παρ.1 στοιχ. α΄, β΄ και δ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. α΄ και β΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αυτεπάγγελτη αρμοδιότητα να παρακολουθεί και να επιβάλλει την εφαρμογή των διατάξεων του ΓΚΠΔ και του νόμου 4624/2019 και να προωθεί την ευαισθητοποίηση του κοινού και των υπευθύνων επεξεργασίας και των εκτελούντων την επεξεργασία σχετικά με την κατανόηση των κινδύνων, των κανόνων, των εγγυήσεων και των δικαιωμάτων και σχετικά με τις υποχρεώσεις τους δυνάμει του ΓΚΠΔ, αντίστοιχα, κατά την επεξεργασία δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται στο πλαίσιο της διαχείρισης της πανδημικής κρίσης του κορωνοϊού.
2. Επειδή, σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 4 στοιχ. 1 του ΓΚΠΔ νοούνται ως δεδομένα προσωπικού χαρακτήρα «κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων»)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου»
3. Ακόμα, στο άρθρο 4 στοιχ. 5 του ΓΚΠΔ 2016/679 ορίζεται ως ψευδωνυμοποίηση: «η επεξεργασία δεδομένων προσωπικού χαρακτήρα κατά τρόπο ώστε τα δεδομένα να μην μπορούν πλέον να αποδοθούν σε συγκεκριμένο υποκείμενο των δεδομένων χωρίς τη χρήση συμπληρωματικών πληροφοριών, εφόσον οι εν λόγω συμπληρωματικές πληροφορίες διατηρούνται χωριστά και υπόκεινται σε τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλιστεί ότι δεν μπορούν να αποδοθούν σε ταυτοποιημένο ή Επιπλέον, στην αιτιολογική σκέψη 26 του ΓΚΠΔ 2016/679 υπογραμμίζεται ότι: «Οι αρχές της προστασίας δεδομένων θα πρέπει να εφαρμόζονται σε κάθε πληροφορία η οποία αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο. Τα δεδομένα προσωπικού χαρακτήρα που έχουν υποστεί ψευδωνυμοποίηση, η οποία θα μπορούσε να αποδοθεί σε φυσικό πρόσωπο με τη χρήση συμπληρωματικών πληροφοριών, θα πρέπει να θεωρούνται πληροφορίες σχετικά με ταυτοποιήσιμο φυσικό πρόσωπο. Για να κριθεί κατά πόσον ένα φυσικό πρόσωπο είναι ταυτοποιήσιμο, θα πρέπει να λαμβάνονται υπόψη όλα τα μέσα τα οποία είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν, όπως για παράδειγμα ο διαχωρισμός του, είτε από τον υπεύθυνο επεξεργασίας είτε από τρίτο για την άμεση ή έμμεση εξακρίβωση της ταυτότητας του φυσικού προσώπου. Για να διαπιστωθεί κατά πόσον κάποια μέσα είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν για την εξακρίβωση της ταυτότητας του φυσικού προσώπου, θα πρέπει να λαμβάνονται υπόψη όλοι οι αντικειμενικοί παράγοντες, όπως τα έξοδα και ο χρόνος που απαιτούνται για την ταυτοποίηση, λαμβανομένων υπόψη της τεχνολογίας που είναι διαθέσιμη κατά τον χρόνο της επεξεργασίας και των εξελίξεων της τεχνολογίας. Οι αρχές της προστασίας δεδομένων δεν θα πρέπει συνεπώς να εφαρμόζονται σε ανώνυμες πληροφορίες, δηλαδή πληροφορίες που δεν σχετίζονται προς ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο ή σε δεδομένα προσωπικού χαρακτήρα που έχουν καταστεί ανώνυμα κατά τρόπο ώστε η ταυτότητα του υποκειμένου των δεδομένων να μην μπορεί ή να μην μπορεί πλέον να εξακριβωθεί. Ο παρών κανονισμός δεν αφορά συνεπώς την επεξεργασία τέτοιων ανώνυμων πληροφοριών, ούτε μεταξύ άλλων για στατιστικούς ή ερευνητικούς σκοπούς». 2 4 ταυτοποιήσιμο φυσικό πρόσωπο»
5. Επειδή από την εξαιρετικά επείγουσα και απρόβλεπτη ανάγκη για την αντιμετώπιση των αρνητικών συνεπειών λόγω της εμφάνισης του κορωνοϊού προκύπτει η ανάγκη λήψης των επαρκών και αναγκαίων (άρα αναλογικών) μέτρων κάθε είδους (νομοθετικών, τεχνικών και οργανωτικών κ.λπ.) για την αποτροπή και τον περιορισμό της διασποράς του κορωνοϊού που συνεπάγονται την επεξεργασία δεδομένων προσωπικού χαρακτήρα, χωρίς όμως αυτό να σημαίνει ότι θα πρέπει να υποχωρήσει η προστασία των δεδομένων προσωπικού χαρακτήρα έναντι των προβλεπομένων από τον ΓΚΠΔ και την εθνική νομοθεσία ορίων, στα οποία περιλαμβάνεται ο σεβασμός της αρχής του Κράτους Δικαίου. Αντιθέτως, σε κρίσιμες συνθήκες όπως η παρούσα, αναδεικνύεται η ανάγκη εγρήγορσης και προστασίας των δεδομένων προσωπικού χαρακτήρα ώστε να επιτευχθεί μεν ο στόχος της αντιμετώπισης της πανδημίας, αλλά χωρίς να καταστρατηγηθεί, στο όνομα της μάχης κατά του κορωνοϊού, ο ΓΚΠΔ, οι αρχές προστασίας της ιδιωτικότητας που απορρέουν από το ευρωπαϊκό και το διεθνές δίκαιο, και η εθνική νομοθεσία, με την οποία έχουν θεσπιστεί εξαιρετικές ρυθμίσεις για την αντιμετώπιση του ανωτέρω κινδύνου με βάση διαδικασίες προβλεπόμενες από το Σύνταγμα Με τις διατάξεις του άρθρου 25 παρ. 1 τέταρτο εδάφιο του Συντάγματος ορίζονται οι προϋποθέσεις υπό τις οποίες είναι δυνατός ο περιορισμός των ατομικών δικαιωμάτων που, σύμφωνα με τις ίδιες διατάξεις, τελεί υπό την επιφύλαξη της τήρησης της αρχής της αναλογικότητας. Από τις διατάξεις του άρθρου 8 παρ. 2 ΕΣΔΑ προκύπτει ότι το δικαίωμα στην προστασία του ιδιωτικού βίου και της αλληλογραφίας, στο μέτρο που αφορούν προσωπικά δεδομένα, επιτρέπεται να περιοριστεί, σύμφωνα με τα ερμηνευτικά κριτήρια που προκύπτουν από τη νομολογία του ΕΔΔΑ, εφόσον αποσκοπεί στην προστασία της υγείας. Από τις διατάξεις του άρθρου 52, σε συνδυασμό με τα άρθρα 7 και 8 ΧΘΔΕΕ προκύπτει η δυνατότητα περιορισμού των εν λόγω δικαιωμάτων σε περιπτώσεις όπως αυτή της πανδημίας, εφόσον βέβαια δεν παραβιάζεται ο πυρήνας του δικαιώματος και εφαρμόζεται η αρχή της αναλογικότητάς. Από την αιτιολογική σκέψη 4 του ΓΚΠΔ προκύπτει ότι το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δεν είναι απόλυτο, αλλά πρέπει να Στην αιτιολογική σκέψη 28 προβλέπεται ότι: «Η χρήση της ψευδωνυμοποίησης στα δεδομένα προσωπικού χαρακτήρα μπορεί να μειώσει τους κινδύνους για τα υποκείμενα των δεδομένων και να διευκολύνει τους υπευθύνους επεξεργασίας και τους εκτελούντες την επεξεργασία να τηρήσουν τις οικείες υποχρεώσεις περί προστασίας των δεδομένων. Η ρητή εισαγωγή της «ψευδωνυμοποίησης» του παρόντος κανονισμού δεν προορίζεται να αποκλείσει κάθε άλλο μέτρο προστασίας των δεδομένων». 3 5 εκτιμάται σε σχέση με τη λειτουργία του στην κοινωνία και να σταθμίζεται με άλλα θεμελιώδη δικαιώματα, σύμφωνα με την αρχή της αναλογικότητας. Ο ΓΚΠΔ σέβεται όλα τα θεμελιώδη δικαιώματα και τηρεί τις ελευθερίες και αρχές που αναγνωρίζονται στον Χάρτη, ιδίως τον σεβασμό της ιδιωτικής και οικογενειακής ζωής, της κατοικίας και των επικοινωνιών, την προστασία των δεδομένων προσωπικού χαρακτήρα, την ελευθερία σκέψης, συνείδησης και θρησκείας, την ελευθερία έκφρασης και πληροφόρησης, την επιχειρηματική ελευθερία, το δικαίωμα πραγματικής προσφυγής και αμερόληπτου δικαστηρίου και την πολιτιστική, θρησκευτική και γλωσσική πολυμορφία. Ειδικότερα, το άρθρο 21 παρ. 3 Σ. καθιερώνει την υποχρέωση του Κράτους να μεριμνά για την υγεία των πολιτών και να λαμβάνει ειδικά μέτρα για την προστασία της νεότητας, του γήρατος, της αναπηρίας και για την περίθαλψη των απόρων, ενώ από τις διατάξεις του άρθρου 22 παρ. 1 Σ. προκύπτει η υποχρέωση του Κράτους να προστατεύσει το δικαίωμα της εργασίας και να μεριμνήσει για τη δημιουργία συνθηκών απασχόλησης όλων των πολιτών, ήτοι δημιουργία συνθηκών ασφαλούς απασχόλησης, όπως εξειδικεύεται από την ειδικότερη νομοθεσία. Τέλος, από τις ίδιες τις διατάξεις του ΓΚΠΔ παρέχονται οι νομικές βάσεις για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα, σε περιπτώσεις όπου η επεξεργασία είναι αναγκαία για «την παρακολούθηση επιδημιών και της εξάπλωσής τους» καθώς και για «την πρόληψη ή τον έλεγχο των μεταδοτικών ασθενειών και άλλων σοβαρών απειλών κατά της υγείας» (βλ. αιτ. σκ. 46 και 52 ΓΚΠΔ), ώστε να πληρούται κατ’ αρχήν η αρχή της νομιμότητάς σύμφωνα προς την αρχή του κράτους δικαίου.
6. Επειδή, το άρθρο 2 παρ. 1 του ΓΚΠΔ προβλέπει: «Ο παρών κανονισμός εφαρμόζεται στην, εν όλω ή εν μέρει, αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς και στη μη αυτοματοποιημένη επεξεργασία τέτοιων δεδομένων τα οποία περιλαμβάνονται ή πρόκειται να περιληφθούν σε σύστημα αρχειοθέτησης». Αντίστοιχα, το άρθρο 2 του νόμου 4624/2019 ορίζει: «Οι διατάξεις του παρόντος εφαρμόζονται στην, εν όλω ή εν μέρει, αυτοματοποιημένη επεξεργασία δεδομένων Προσωπικού Χαρακτήρα, καθώς και στη μη αυτοματοποιημένη επεξεργασία τέτοιων δεδομένων, τα οποία περιλαμβάνονται ή πρόκειται να περιληφθούν σε σύστημα αρχειοθέτησης από: α) δημόσιους φορείς ή β) ιδιωτικούς φορείς, εκτός και εάν η επεξεργασία πραγματοποιείται από φυσικό πρόσωπο στο πλαίσιο αποκλειστικά προσωπικής ή οικιακής δραστηριότητας». 6
7. Επειδή, το άρθρο 5 του ΓΚΠΔ καθορίζει τις αρχές επεξεργασίας που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, ορίζεται στην παράγραφο 1 ότι τα δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων: «α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα, διαφάνεια»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς (…), γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων»), δ) είναι ακριβή και, όταν είναι αναγκαίο, επικαιροποιούνται· πρέπει να λαμβάνονται όλα τα εύλογα μέτρα ώστε δεδομένα προσωπικού χαρακτήρα τα οποία είναι ανακριβή, σε σχέση με τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία, να διαγράφονται ή να διορθώνονται χωρίς καθυστέρηση («ακρίβεια»), ε) διατηρούνται υπό μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων των δεδομένων μόνο για το διάστημα που απαιτείται για τους σκοπούς της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα· τα δεδομένα προσωπικού χαρακτήρα μπορούν να αποθηκεύονται για μεγαλύτερα διαστήματα, εφόσον τα δεδομένα προσωπικού χαρακτήρα θα υποβάλλονται σε επεξεργασία μόνο για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον, για σκοπούς επιστημονικής ή ιστορικής έρευνας ή για στατιστικούς σκοπούς, σύμφωνα με το άρθρο 89 παράγραφος 1 και εφόσον εφαρμόζονται τα κατάλληλα τεχνικά και οργανωτικά μέτρα που απαιτεί ο παρών κανονισμός για τη διασφάλιση των δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων («περιορισμός της περιόδου αποθήκευσης»), στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»)».
8. Επειδή κατ’ εφαρμογή των αρχών επεξεργασίας των δεδομένων προσωπικού χαρακτήρα κατ’ άρθρο 5 παρ. 1 ΓΚΠΔ , θα πρέπει να δοθεί ιδιαίτερη προσοχή στην αξιολόγηση του ενδεχομένου συλλογής και διατήρησης μόνο των αναγκαίων πληροφοριών που συνδέονται αποκλειστικά με τον επιδιωκόμενο σκοπό και άρα των πρόσφορων πληροφοριών (αρχές του περιορισμού της επεξεργασίας σε συνδυασμό με την αρχή της αναλογικότητας). Η συλλογή και επεξεργασία πρέπει να είναι νόμιμη, αφενός δηλ. να βρίσκει έρεισμα σε μια από τις νομικές βάσεις του άρθρου 6 ΓΚΠΔ, αφετέρου, σε περίπτωση κατά την οποία η διενέργεια της βασίζεται σε ειδικό νόμο π.χ. στην πρόβλεψη μιας νομικής υποχρέωσης, να πληρούνται επίσης οι απαιτούμενες προϋποθέσεις. 7 Υπενθυμίζεται ότι λόγω της ανισορροπίας ισχύος μεταξύ εργοδότη και εργαζομένου και σύμφωνα με τη νομολογία της Αρχής η συγκατάθεση θα πρέπει να είναι η τελευταία νομική βάση επεξεργασίας σε θέματα εργασιακών σχέσεων και, σε κάθε περίπτωση, τελεί υπό τον όρο ότι παρέχεται ελεύθερα και έγκυρα. Η επεξεργασία πρέπει να είναι διαφανής, σε γνώση δηλαδή των υποκειμένων των δεδομένων και να μην λαμβάνει χώρα κρυφίως. Επιπλέον δε, ο υπεύθυνος επεξεργασίας υποχρεούται να παρέχει στα υποκείμενα των δεδομένων προ της έναρξης της επεξεργασίας κάθε αναγκαία πληροφορία. Με βάση την αρχή του σκοπού τα εν λόγω δεδομένα δεν επιτρέπεται να τυγχάνουν περαιτέρω επεξεργασίας, δηλ. επεξεργασίας πέραν των σκοπών για τους οποίους συνελέγησαν, επιβάλλεται δε να διατηρούνται για τον απολύτως απαραίτητο χρόνο για την επίτευξη του επιδιωκόμενου σκοπού. Με βάση την αρχή της ακρίβειας, εξάλλου, τα συλλεγέντα δεδομένα προσωπικού χαρακτήρα πρέπει να είναι ακριβή και όταν είναι αναγκαίο να επικαιροποιούνται π.χ. σε περίπτωση κατά την οποία ένας εργαζόμενος καταγράφηκε ως φέρων συμπτώματα της νόσου ή ακόμη και διαγνώσθηκε θετικός, ενώ εν συνεχεία, οι επαναληπτικές εξετάσεις έδωσαν αντίθετο – αρνητικό αποτέλεσμα. Με βάση την αρχή της ασφαλούς επεξεργασίας (ιδίως της υποχρέωσης διατήρησης της εμπιστευτικότητας των πληροφοριών) δια της λήψης των απαραίτητων τεχνικών και οργανωτικών μέτρων ασφαλείας, ο υπεύθυνος επεξεργασίας δεν επιτρέπεται να κοινοποιεί τα εν λόγω δεδομένα σε τρίτους, εκτός εάν προβλέπεται από το νόμο ή μπορεί να αποδείξει τη νομιμότητα της σχετικής ενέργειας. Επισημαίνεται ότι η συλλογή και η εν γένει επεξεργασία των δεδομένων προσωπικού χαρακτήρα που παρουσιάζουν επαχθή χαρακτήρα και συνιστούν περιορισμό ατομικών δικαιωμάτων πρέπει να λαμβάνει χώρα, τηρουμένων των νομίμων προϋποθέσεων, αφού θα έχει προηγουμένως αποκλειστεί κάθε διαθέσιμο πρόσφορο μέτρο, το οποίο θα επιλέξει ο υπεύθυνος επεξεργασίας.
9. Επειδή, σύμφωνα με τα οριζόμενα, στη διάταξη του άρθρου 5 παρ. 2 του ΓΚΠΔ ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην παράγραφο 1 του άρθρου
10. Όπως έχει κρίνει η Αρχή 4, με τον ΓΚΠΔ υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό μέγεθος του οποίου συνιστά η αρχή της λογοδοσίας στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος 4 Βλ. απόφαση Αρχής 26/2019, σκέψη 8, διαθέσιμη στην ιστοσελίδα της. 8 επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να αποδεικνύει αυτός και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ. Η συμμόρφωση προς τις απαιτήσεις του ΓΚΠΔ και της εθνικής νομοθεσίας είναι μια διαρκής διαδικασία η οποία αρχίζει ήδη προ της συλλογής και επεξεργασίας των δεδομένων με τον σχεδιασμό των οικείων διαδικασιών και τελειώνει μόνο με την οριστική διαγραφή των δεδομένων.
11. Επειδή οι υπεύθυνοι επεξεργασίας οφείλουν να προσαρμόζονται διαρκώς στις νέες συνθήκες που δημιουργούνται λόγω του κορωνοϊού και άρα συμμορφούμενοι προς τις απαιτήσεις του ΓΚΠΔ και της εθνικής νομοθεσίας, ανάμεσα σε άλλα, πρέπει να ενημερώνουν τα υποκείμενα των δεδομένων, να επικαιροποιούν το αρχείο καταγραφής του άρθρου 30 ΓΚΠΔ, τις συμβάσεις επεξεργασίας δεδομένων με εκτελούντες την επεξεργασία κατ’ άρθρο 28 ΓΚΠΔ, τις πολιτικές και διαδικασίες για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα αλλά και να εξετάζουν το ενδεχόμενο κατάρτισης ειδικής πολιτικής για την αποτροπή και αντιμετώπιση των περιστατικών του κορωνοϊού στο μέτρο που διενεργείται επεξεργασία δεδομένων, να διενεργούν όπου χρειάζεται εκτίμηση αντικτύπου, να συμβουλεύονται τον Υπεύθυνο Προστασίας Δεδομένων (DPO) και να εκπαιδεύουν το προσωπικό σχετικά με την προστασία των δεδομένων προσωπικού χαρακτήρα τον καιρό της πανδημίας.
12. Επειδή το άρθρο 6 του ΓΚΠΔ προβλέπει: «
13. Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις: α) το υποκείμενο των δεδομένων έχει συναινέσει στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς, β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ' αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης, γ) η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας, δ) η επεξεργασία είναι απαραίτητη για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου, ε) η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας, στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί. Το στοιχείο στ) του πρώτου εδαφίου δεν εφαρμόζεται στην επεξεργασία που διενεργείται από δημόσιες αρχές κατά την 9 άσκηση των καθηκόντων τους. 2.Τα κράτη μέλη μπορούν να διατηρούν ή να θεσπίζουν πιο ειδικές διατάξεις για την προσαρμογή της εφαρμογής των κανόνων του παρόντος κανονισμού όσον αφορά την επεξεργασία για τη συμμόρφωση με την παράγραφο 1 στοιχεία γ) και ε), καθορίζοντας ακριβέστερα ειδικές απαιτήσεις για την επεξεργασία και άλλα μέτρα προς εξασφάλιση σύννομης και θεμιτής επεξεργασίας, μεταξύ άλλων για άλλες ειδικές περιπτώσεις επεξεργασίας όπως προβλέπονται στο κεφάλαιο ΙΧ».
14. Επειδή, το άρθρο 9 του ΓΚΠΔ προβλέπει: «1.Απαγορεύεται η επεξεργασία δεδομένων προσωπικού χαρακτήρα που αποκαλύπτουν τη φυλετική ή εθνοτική καταγωγή, τα πολιτικά φρονήματα, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις ή τη συμμετοχή σε συνδικαλιστική οργάνωση, καθώς και η επεξεργασία γενετικών δεδομένων, βιομετρικών δεδομένων με σκοπό την αδιαμφισβήτητη ταυτοποίηση προσώπου, δεδομένων που αφορούν την υγεία ή δεδομένων που αφορούν τη σεξουαλική ζωή φυσικού προσώπου ή τον γενετήσιο προσανατολισμό. 2.Η παράγραφος 1 δεν εφαρμόζεται στις ακόλουθες περιπτώσεις: α) το υποκείμενο των δεδομένων έχει παράσχει ρητή συγκατάθεση για την επεξεργασία αυτών των δεδομένων προσωπικού χαρακτήρα για έναν ή περισσότερους συγκεκριμένους σκοπούς, εκτός εάν το δίκαιο της Ένωσης ή κράτους μέλους προβλέπει ότι η απαγόρευση που αναφέρεται στην παράγραφο 1 δεν μπορεί να αρθεί από το υποκείμενο των δεδομένων, β) η επεξεργασία είναι απαραίτητη για την εκτέλεση των υποχρεώσεων και την άσκηση συγκεκριμένων δικαιωμάτων του υπευθύνου επεξεργασίας ή του υποκειμένου των δεδομένων στον τομέα του εργατικού δικαίου και του δικαίου κοινωνικής ασφάλισης και κοινωνικής προστασίας, εφόσον επιτρέπεται από το δίκαιο της Ένωσης ή κράτους μέλους ή από συλλογική συμφωνία σύμφωνα με το εθνικό δίκαιο παρέχοντας κατάλληλες εγγυήσεις για τα θεμελιώδη δικαιώματα και τα συμφέροντα του υποκειμένου των δεδομένων, γ) η επεξεργασία είναι απαραίτητη για την προστασία των ζωτικών συμφερόντων του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου, εάν το υποκείμενο των δεδομένων είναι σωματικά ή νομικά ανίκανο να συγκατατεθεί, δ) η επεξεργασία διενεργείται, με κατάλληλες εγγυήσεις, στο πλαίσιο των νόμιμων δραστηριοτήτων ιδρύματος, οργάνωσης ή άλλου μη κερδοσκοπικού φορέα με πολιτικό, φιλοσοφικό, θρησκευτικό ή συνδικαλιστικό στόχο και υπό την προϋπόθεση ότι η επεξεργασία αφορά αποκλειστικά τα μέλη ή τα πρώην μέλη του φορέα ή πρόσωπα τα οποία έχουν τακτική επικοινωνία μαζί του σε σχέση με τους σκοπούς του και ότι τα δεδομένα προσωπικού χαρακτήρα δεν κοινοποιούνται εκτός του συγκεκριμένου φορέα χωρίς τη συγκατάθεση των υποκειμένων των δεδομένων, ε) η επεξεργασία αφορά δεδομένα προσωπικού χαρακτήρα τα οποία έχουν προδήλως δημοσιοποιηθεί από το υποκείμενο των δεδομένων, στ) η επεξεργασία είναι απαραίτητη για τη θεμελίωση, άσκηση ή υποστήριξη 10 νομικών αξιώσεων ή όταν τα δικαστήρια ενεργούν υπό τη δικαιοδοτική τους ιδιότητα, ζ) η επεξεργασία είναι απαραίτητη για λόγους ουσιαστικού δημόσιου συμφέροντος, βάσει του δικαίου της Ένωσης ή κράτους μέλους, το οποίο είναι ανάλογο προς τον επιδιωκόμενο στόχο, σέβεται την ουσία του δικαιώματος στην προστασία των δεδομένων και προβλέπει κατάλληλα και συγκεκριμένα μέτρα για τη διασφάλιση των θεμελιωδών δικαιωμάτων και των συμφερόντων του υποκειμένου των δεδομένων, η) η επεξεργασία είναι απαραίτητη για σκοπούς προληπτικής ή επαγγελματικής ιατρικής, εκτίμησης της ικανότητας προς εργασία του εργαζομένου, ιατρικής διάγνωσης, παροχής υγειονομικής ή κοινωνικής περίθαλψης ή θεραπείας ή διαχείρισης υγειονομικών και κοινωνικών συστημάτων και υπηρεσιών βάσει του ενωσιακού δικαίου ή του δικαίου κράτους μέλους ή δυνάμει σύμβασης με επαγγελματία του τομέα της υγείας και με την επιφύλαξη των προϋποθέσεων και των εγγυήσεων που αναφέρονται στην παράγραφο 3, θ) η επεξεργασία είναι απαραίτητη για λόγους δημόσιου συμφέροντος στον τομέα της δημόσιας υγείας, όπως η προστασία έναντι σοβαρών διασυνοριακών απειλών κατά της υγείας ή η διασφάλιση υψηλών προτύπων ποιότητας και ασφάλειας της υγειονομικής περίθαλψης και των φαρμάκων ή των ιατροτεχνολογικών προϊόντων, βάσει του δικαίου της Ένωσης ή του δικαίου κράτους μέλους, το οποίο προβλέπει κατάλληλα και συγκεκριμένα μέτρα για την προστασία των δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων, ειδικότερα δε του επαγγελματικού απορρήτου, ή ι) η επεξεργασία είναι απαραίτητη για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον, για σκοπούς επιστημονικής ή ιστορικής έρευνας ή για στατιστικούς σκοπούς σύμφωνα με το άρθρο 89 παράγραφος 1 βάσει του δικαίου της Ένωσης ή κράτους μέλους, οι οποίοι είναι ανάλογοι προς τον επιδιωκόμενο στόχο, σέβονται την ουσία του δικαιώματος στην προστασία των δεδομένων και προβλέπουν κατάλληλα και συγκεκριμένα μέτρα για τη διασφάλιση των θεμελιωδών δικαιωμάτων και των συμφερόντων του υποκειμένου των δεδομένων». Αντίστοιχα, το άρθρο 22 του νόμου 4624/2019 προβλέπει: «
15. Κατά παρέκκλιση από το άρθρο 9 παράγραφος 1 του ΓΚΠΔ η επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα με την έννοια του άρθρου 9 παράγραφος 1 του ΓΚΠΔ από δημόσιους και ιδιωτικούς φορείς επιτρέπεται, εφόσον είναι απαραίτητη: α) για την άσκηση δικαιωμάτων που απορρέουν από το δικαίωμα κοινωνικής ασφάλισης και κοινωνικής προστασίας και για την εκπλήρωση των συναφών υποχρεώσεων β) για λόγους προληπτικής ιατρικής, για την εκτίμηση της ικανότητας προς εργασία του εργαζομένου, για ιατρική διάγνωση, για την παροχή υγείας ή κοινωνικής περίθαλψης ή για τη διαχείριση των συστημάτων και υπηρεσιών υγείας ή κοινωνικής περίθαλψης ή δυνάμει σύμβασης με επαγγελματία του τομέα υγείας ή άλλου προσώπου που δεσμεύεται από το επαγγελματικό απόρρητο ή είναι υπό την εποπτεία 11 του·ή γ) για λόγους δημοσίου συμφέροντος στον τομέα της δημόσιας υγείας, όπως σοβαρών διασυνοριακών απειλών κατά της υγείας ή για την εξασφάλιση υψηλών προδιαγραφών ποιότητας και ασφάλειας της υγειονομικής περίθαλψης και των φαρμάκων ή των ιατροτεχνολογικών προϊόντων, επιπλέον των μέτρων που αναφέρονται στο δεύτερο εδάφιο της παραγράφου 3, πρέπει να τηρούνται ιδίως οι διατάξεις που εξασφαλίζουν το επαγγελματικό απόρρητο που προβλέπει νόμος ή κώδικας δεοντολογίας.
16. Κατά παρέκκλιση από το άρθρο 9 παράγραφος 1 του ΓΚΠΔ η επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα με την έννοια του άρθρου 9 παράγραφος 1 του ΓΚΠΔ από δημόσιους φορείς επιτρέπεται, εφόσον είναι: α) απολύτως απαραίτητη για λόγους ουσιώδους δημοσίου συμφέροντος· β) απαραίτητη για την αποτροπή σημαντικής απειλής για την εθνική ασφάλεια ή τη δημόσια ασφάλεια· ή γ) είναι απαραίτητη για τη λήψη ανθρωπιστικών μέτρων, και στις περιπτώσεις αυτές το συμφέρον για την επεξεργασία είναι υπέρτερο του συμφέροντος του υποκειμένου των δεδομένων
17. Στις περιπτώσεις των προηγούμενων παραγράφων, λαμβάνονται όλα τα κατάλληλα και ειδικά μέτρα για τη διαφύλαξη των συμφερόντων του υποκειμένου των δεδομένων προσωπικού χαρακτήρα. Λαμβάνοντας υπόψη την κατάσταση της τεχνολογίας, το κόστος εφαρμογής και τη φύση, την έκταση, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους που θέτει, ανάλογα με τη σοβαρότητά τους στα δικαιώματα και στις ελευθερίες των φυσικών προσώπων η επεξεργασία αυτή, στα μέτρα αυτά μπορούν να περιλαμβάνονται ιδίως: α) τεχνικά και οργανωτικά μέτρα που διασφαλίζουν ότι η επεξεργασία είναι σύμφωνη με τον ΓΚΠΔ· β) μέτρα για να διασφαλιστεί ότι είναι δυνατή η εκ των υστέρων επαλήθευση και ο προσδιορισμός του εάν και από ποιον έχουν εισαχθεί, τροποποιηθεί ή αφαιρεθεί τα προσωπικά δεδομένα· γ) μέτρα για την ενδυνάμωση της ευαισθητοποίησης του προσωπικού που ασχολείται με την επεξεργασία· δ) περιορισμοί πρόσβασης από τους υπεύθυνους επεξεργασίας και εκτελούντες την επεξεργασία· ε) η ψευδωνυμοποίηση των δεδομένων προσωπικού χαρακτήρα· στ) η κρυπτογράφηση των δεδομένων προσωπικού χαρακτήρα· ζ) μέτρα για τη διασφάλιση της ικανότητας, της εμπιστευτικότητας, της ακεραιότητας, της διαθεσιμότητας και της ανθεκτικότητας των συστημάτων και υπηρεσιών επεξεργασίας που σχετίζονται με την επεξεργασία δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένης της δυνατότητας ταχείας αποκατάστασης της διαθεσιμότητας και της πρόσβασης σε περίπτωση φυσικού ή τεχνικού συμβάντος· η) διαδικασίες για την τακτική δοκιμή, εκτίμηση και αξιολόγηση της αποτελεσματικότητας των τεχνικών και οργανωτικών μέτρων για τη διασφάλιση της ασφάλειας της επεξεργασίας· θ) ειδικοί κανόνες διασφάλισης της συμμόρφωσης με τον παρόντα νόμο και τον ΓΚΠΔ σε περίπτωση διαβίβασης ή επεξεργασίας για άλλους σκοπούς· ι) ο ορισμός ΥΠΔ.» 12
18. Επειδή, το άρθρο 88 του ΓΚΠΔ αναφορικά με την επεξεργασία που πραγματοποιείται στο πλαίσιο της απασχόλησης προβλέπει: «
19. Τα κράτη μέλη, μέσω της νομοθεσίας ή μέσω των συλλογικών συμβάσεων, μπορούν να θεσπίζουν ειδικούς κανόνες προκειμένου να διασφαλίζουν την προστασία των δικαιωμάτων και των ελευθεριών έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα των εργαζομένων στο πλαίσιο της απασχόλησης, ιδίως για σκοπούς πρόσληψης, εκτέλεσης της σύμβασης απασχόλησης, συμπεριλαμβανομένης της εκτέλεσης των υποχρεώσεων που προβλέπονται από τον νόμο ή από συλλογικές συμβάσεις, διαχείρισης, προγραμματισμού και οργάνωσης εργασίας, ισότητας και πολυμορφίας στον χώρο εργασίας, υγείας και ασφάλειας στην εργασία, προστασίας της περιουσίας εργοδοτών και πελατών και για σκοπούς άσκησης και απόλαυσης, σε ατομική ή συλλογική βάση, δικαιωμάτων και παροχών που σχετίζονται με την απασχόληση και για σκοπούς καταγγελίας της σχέσης απασχόλησης. 2.Οι εν λόγω κανόνες περιλαμβάνουν κατάλληλα και ειδικά μέτρα για τη διαφύλαξη της ανθρώπινης αξιοπρέπειας, των έννομων συμφερόντων και των θεμελιωδών δικαιωμάτων του προσώπου στο οποίο αναφέρονται τα δεδομένα, με ιδιαίτερη έμφαση στη διαφάνεια της επεξεργασίας, τη διαβίβαση δεδομένων προσωπικού χαρακτήρα εντός ομίλου επιχειρήσεων, ή ομίλου εταιρειών που ασκούν κοινή οικονομική δραστηριότητα και τα συστήματα παρακολούθησης στο χώρο εργασίας. 3.Κάθε κράτος μέλος κοινοποιεί στην Επιτροπή τις διατάξεις που θεσπίζει στο δίκαιό του δυνάμει της παραγράφου 1, έως τις 25 Μαΐου 2018 και, χωρίς καθυστέρηση, κάθε επακολουθούσα τροποποίησή τους». Αναφορικά με την πρόβλεψη στο άρθρο 27 παρ. 6 του νόμου 4624/2019, η οποία ορίζει ότι «
20. Οι παράγραφοι 1 έως 5 εφαρμόζονται επίσης, όταν δεδομένα προσωπικού χαρακτήρα, συμπεριλαμβανομένων των ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα των εργαζομένων, υπόκεινται σε επεξεργασία, χωρίς αυτά να αποθηκεύονται ή να προορίζονται να αποθηκευτούν σε ένα σύστημα αρχειοθέτησης», επισημαίνεται ότι η Αρχή έχει κρίνει ότι το πεδίο εφαρμογής του ΓΚΠΔ προσδιορίζεται κατά τρόπο δεσμευτικό από την προαναφερόμενη διάταξη του άρθρου 2 παρ.1 αυτού και δεν είναι δυνατή η επέκτασή του με διατάξεις της εθνικής νομοθεσίας
22. Επειδή, το άρθρο 85 του ΓΚΠΔ προβλέπει: «Τα κράτη μέλη διά νόμου συμβιβάζουν το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δυνάμει του παρόντος κανονισμού με το δικαίωμα στην ελευθερία της έκφρασης και πληροφόρησης, συμπεριλαμβανομένης της επεξεργασίας για δημοσιογραφικούς σκοπούς και για σκοπούς 5 Βλ. σελ. 16 επ. Γνωμοδότησης 1/2020 της Αρχής, διαθέσιμης στην ιστοσελίδα της Αρχής. 13 πανεπιστημιακής, καλλιτεχνικής ή λογοτεχνικής έκφρασης. 4.5.2016 L 119/83 Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης EL 2.Για την επεξεργασία που διενεργείται για δημοσιογραφικούς σκοπούς ή για σκοπούς ακαδημαϊκής, καλλιτεχνικής ή λογοτεχνικής έκφρασης, τα κράτη μέλη προβλέπουν εξαιρέσεις ή παρεκκλίσεις από το κεφάλαιο ΙΙ (αρχές), το κεφάλαιο ΙΙΙ (δικαιώματα του υποκειμένου των δεδομένων), το κεφάλαιο IV (υπεύθυνος επεξεργασίας και εκτελών την επεξεργασία), το κεφάλαιο V (διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τρίτες χώρες ή διεθνείς οργανισμούς), το κεφάλαιο VI (ανεξάρτητες εποπτικές αρχές), το κεφάλαιο VII (συνεργασία και συνεκτικότητα) και το κεφάλαιο ΙΧ (ειδικές περιπτώσεις επεξεργασίας δεδομένων), εφόσον αυτές είναι αναγκαίες για να συμβιβαστεί το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα με την ελευθερία της έκφρασης και πληροφόρησης». Αντίστοιχα, άρθρο 28 του νόμου 4624/2019 προβλέπει: «
23. Στον βαθμό που είναι αναγκαίο να συμβιβαστεί το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα με το δικαίωμα στην ελευθερία της έκφρασης και πληροφόρησης, συμπεριλαμβανομένης της επεξεργασίας για δημοσιογραφικούς σκοπούς και για σκοπούς ακαδημαϊκής, καλλιτεχνικής ή λογοτεχνικής έκφρασης, η επεξεργασία δεδομένων προσωπικού χαρακτήρα επιτρέπεται όταν: α) το υποκείμενο των δεδομένων έχει παράσχει τη ρητή συγκατάθεσή του, β) αφορά δεδομένα προσωπικού χαρακτήρα που έχουν προδήλως δημοσιοποιηθεί από το ίδιο το υποκείμενο, γ) υπερέχει το δικαίωμα στην ελευθερία της έκφρασης και το δικαίωμα της πληροφόρησης έναντι του δικαιώματος προστασίας των δεδομένων προσωπικού χαρακτήρα του υποκειμένου, ιδίως για θέματα γενικότερου ενδιαφέροντος ή όταν αφορά δεδομένα προσωπικού χαρακτήρα δημοσίων προσώπων και δ) όταν περιορίζεται στο αναγκαίο μέτρο για την εξασφάλιση της ελευθερίας της έκφρασης και του δικαιώματος ενημέρωσης, ιδίως όταν αφορά ειδικών κατηγοριών δεδομένα Προσωπικού Χαρακτήρα, καθώς και ποινικές διώξεις, καταδίκες και τα σχετικά με αυτές μέτρα ασφαλείας, λαμβάνοντας υπόψη το δικαίωμα του υποκειμένου στην ιδιωτική και οικογενειακή του ζωή»
24. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή εκδίδει τις ακόλουθες Κατευθυντήριες Γραμμές: 6 Βλ. σελ. 19 Γνωμοδότησης 1/2020, διαθέσιμης στην ιστοσελίδα της Αρχής. 14
25. Οι πληροφορίες σχετικά με την κατάσταση της υγείας ενός φυσικού προσώπου, περιλαμβανομένης της παροχής υπηρεσιών υγειονομικής φροντίδας σε αυτό, συνιστούν δεδομένα προσωπικού χαρακτήρα που αφορούν την υγεία, δηλαδή ειδικής κατηγορίας δεδομένα προσωπικού χαρακτήρα, τα οποία υπόκεινται σε αυστηρότερο καθεστώς προστασίας. Τέτοιες πληροφορίες συνιστούν, ενδεικτικά, η κατάσταση κατονομαζομένου ή ταυτοποιήσιμου υποκειμένου των δεδομένων ως νοσούντος ή μη, η κατ’ οίκον παραμονή του λόγω ασθένειας, η διαπίστωση ενδείξεων ασθένειας, ενδεχομένως και δια της κλινικής εικόνας του (βήχας, καταρροή, θερμοκρασία ανώτερη της φυσιολογικής κ.λπ.). Πληροφορίες που ενδιαφέρουν εν προκειμένω, όπως εάν ένα υποκείμενο των δεδομένων ταξίδεψε πρόσφατα σε αλλοδαπό κράτος με εκτεταμένη διάδοση του κορωνοϊού ή εάν οικείος ή συνεργάτης του είναι ασθενής ή έχει προσβληθεί από τον κορωνοϊό δεν αφορούν την υγεία του συγκεκριμένου υποκειμένου και, συνεπώς, δεν αποτελούν δεδομένα προσωπικού χαρακτήρα ειδικής κατηγορίας, αλλά δύναται υπό προϋποθέσεις να συνιστούν απλά δεδομένα προσωπικού χαρακτήρα.
26. Η νομοθεσία για την προστασία των δεδομένων προσωπικού χαρακτήρα εφαρμόζεται κατ’ άρθρα 2 παρ. 1 Κανονισμού 679/2016 (εφεξής ΓΚΠΔ) και 2 ν. 4624/2019 στην εν όλω ή εν μέρει, αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς και στη μη αυτοματοποιημένη επεξεργασία τέτοιων δεδομένων τα οποία περιλαμβάνονται ή πρόκειται να περιληφθούν σε σύστημα αρχειοθέτησης. Έτσι π.χ. η προφορική ενημέρωση ότι το υποκείμενο των δεδομένων νοσεί από τον κορωνοϊό ή ότι η σωματική θερμοκρασία του έχει μετρηθεί ως ανώτερη του φυσιολογικού συνιστούν μεν δεδομένα προσωπικού χαρακτήρα, πλην όμως η σχετική νομοθεσία δεν εφαρμόζεται εάν οι ανωτέρω πληροφορίες δεν έχουν περιληφθεί σε σύστημα αρχειοθέτησης σε περίπτωση μη αυτοματοποιημένης (χειροκίνητης) επεξεργασίας ή δεν έχουν περιληφθεί σε αυτοματοποιημένη επεξεργασία. Επισημαίνεται ότι το πεδίο εφαρμογής του ΓΚΠΔ προσδιορίζεται κατά τρόπο δεσμευτικό από τη διάταξη του άρθρου 2 παρ. 1 αυτού και δεν είναι δυνατή η επέκτασή του με διατάξεις της εθνικής νομοθεσίας.
27. Στο μέτρο κατά το οποίο διενεργείται από τις αρμόδιες δημόσιες αρχές επεξεργασία δεδομένων προσωπικού χαρακτήρα για τη λήψη των αναγκαίων κατά περίπτωση μέτρων, σύμφωνα με την οικεία νομοθεσία, προς το σκοπό της αποφυγής κινδύνου εμφάνισης ή διάδοσης του κορωνοϊού που ενδέχεται να έχουν σοβαρές επιπτώσεις στη δημόσια υγεία εφαρμόζεται υπό τις ανωτέρω υπ’ αρ. 1 και 2 προϋποθέσεις ο 15 ΓΚΠΔ. Στις περιπτώσεις αυτές έχουν εφαρμογή ιδίως οι νομικές βάσεις που ορίζονται στα άρθρα 6 παρ. 1 εδ. γ’ (η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας), δ’ (η επεξεργασία είναι απαραίτητη για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου) και ε’ (η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται για το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας) και 9 παρ. 2 εδ. β’ (η επεξεργασία είναι απαραίτητη για την εκτέλεση των υποχρεώσεων και την άσκηση συγκεκριμένων δικαιωμάτων του υπευθύνου επεξεργασίας ή του υποκειμένου των δεδομένων στον τομέα του εργατικού δικαίου και του δικαίου κοινωνικής ασφάλισης και κοινωνικής προστασίας), ε’ (η επεξεργασία αφορά δεδομένα προσωπικού χαρακτήρα τα οποία έχουν προδήλως δημοσιοποιηθεί από το υποκείμενο των δεδομένων), η’ (η επεξεργασία είναι απαραίτητη για σκοπούς προληπτικής ή επαγγελματικής ιατρικής, εκτίμησης της ικανότητας προς εργασία του εργαζομένου, ιατρικής διάγνωσης, παροχής υγειονομικής ή κοινωνικής περίθαλψης ή θεραπείας ή διαχείρισης υγειονομικών και κοινωνικών συστημάτων και υπηρεσιών) και θ’ (η επεξεργασία είναι απαραίτητη για λόγους δημόσιου συμφέροντος στον τομέα της δημόσιας υγείας, όπως η προστασία έναντι σοβαρών διασυνοριακών απειλών κατά της υγείας ή η διασφάλιση υψηλών προτύπων ποιότητας και ασφάλειας της υγειονομικής περίθαλψης και των φαρμάκων ή των ιατροτεχνολογικών προϊόντων), ο ν. 4624/2019 σύμφωνα με την υπ’ αρ. 01/2020 Γνωμοδότηση της Αρχής, σε συνδυασμό με την τυχόν ειδικότερη νομοθεσία για την προστασία των δεδομένων προσωπικού χαρακτήρα, περιλαμβανομένων των ρυθμίσεων των σχετικών νόμων και των εφαρμοστικών αυτών υπουργικών αποφάσεων.
28. Το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δεν είναι απόλυτο δικαίωμα. Πρέπει να εκτιμάται σε σχέση με τη λειτουργία του στην κοινωνία και να σταθμίζεται σε σχέση με άλλα θεμελιώδη δικαιώματα, σύμφωνα με την αρχή της αναλογικότητας (αιτ. σκ. 4 ΓΚΠΔ). Από το σύνολο των ανωτέρω υπ’ αρ. 1-3 σκέψεων προκύπτει ότι η εφαρμογή του νομικού πλαισίου για την προστασία των δεδομένων προσωπικού χαρακτήρα δεν συνιστά εμπόδιο στη λήψη των αναγκαίων μέτρων αντιμετώπισης του κορωνοϊού. Αντιθέτως, παρέχονται οι νομικές βάσεις για την αναγκαία επεξεργασία, με την επιφύλαξη ότι τηρούνται οι βασικές αρχές και εξασφαλίζονται οι σχετικές ουσιαστικές και διαδικαστικές 16 εγγυήσεις και προϋποθέσεις σύννομης επεξεργασίας. Επισημαίνεται ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα υγείας στο πλαίσιο λήψης μέτρων κατά του κορωνοϊού διενεργείται από τις αρμόδιες δημόσιες αρχές ως απαραίτητη για λόγους δημοσίου συμφέροντος στον τομέα της δημόσιας υγείας, στις οποίες περιλαμβάνεται και η προστασία έναντι σοβαρών διασυνοριακών απειλών κατά της υγείας κατ’ άρθρο 9 παρ. 2 εδ. θ’ ΓΚΠΔ (βλ. αιτ. σκ. 46 και 52 ΓΚΠΔ). Ως εκ τούτου οι αρμόδιες δημόσιες αρχές αποτελούν τους υπευθύνους επεξεργασίας που επεξεργάζονται δεδομένα προσωπικού χαρακτήρα απλά και υγείας (ειδικής κατηγορίας) για την προστασία της δημόσιας υγείας.
29. Όσον αφορά τον ιδιωτικό τομέα, ιδίως τις εργασιακές σχέσεις, από τις κείμενες διατάξεις (ιδίως από εκείνες των άρθρων 42, 45 και 49 ν. 3850/2010) προκύπτει ότι αφενός, ο εργοδότης υποχρεούται να εξασφαλίζει την υγεία και την ασφάλεια των εργαζομένων λαμβάνοντας τα αναγκαία συναφή προστατευτικά μέτρα προς αποφυγή επέλευσης σοβαρού, άμεσου και αναπόφευκτου κινδύνου αυτών, εγγυώμενος το ασφαλές και υγιές περιβάλλον εργασίας με τη συνδρομή των εργαζομένων, αφετέρου, οι εργαζόμενοι, ομοίως υποχρεούνται να εφαρμόζουν τους κανόνες υγείας και ασφάλειας των ιδίων αλλά και άλλων ατόμων που επηρεάζονται από πράξεις ή παραλείψεις τους, περιλαμβανομένης της υποχρέωσης τους να αναφέρουν αμέσως στον εργοδότη ή/και στον εκτελούντα καθήκοντα ιατρού εργασίας όλες τις καταστάσεις που μπορεί να θεωρηθεί εύλογα ότι παρουσιάζουν άμεσο και σοβαρό κίνδυνο για την ασφάλεια και την υγεία. Στο μέτρο κατά το οποίο εφαρμόζεται η νομοθεσία για την προστασία των δεδομένων προσωπικού χαρακτήρα σύμφωνα με τις ανωτέρω υπ’ αρ. 1-2 σκέψεις, οι εργοδότες νομιμοποιούνται να επεξεργάζονται δεδομένα για την προστασία της υγείας των εργαζομένων και των ιδίων τηρουμένων των αρχών του άρθρου 5 ΓΚΠΔ, σύμφωνα με τις νομικές βάσεις των προαναφερόμενων διατάξεων των άρθρων 6 παρ. 1, ιδίως, εδ. γ’, δ’ και ε’, 9 παρ. 2, ιδίως, εδ. β’, ε’ και θ’ ΓΚΠΔ και πάντα υπό τις οδηγίες των αρμόδιων αρχών για την εφαρμογή των μέτρων 7 που επιβάλλονται με τη νομοθεσία στο μέτρο που συνιστούν επεξεργασία δεδομένων προσωπικού χαρακτήρα.
30. Η Αρχή έχει γίνει αποδέκτης ερωτημάτων εργοδοτών σε σχέση με την από μέρους τους επεξεργασία δεδομένων προσωπικού χαρακτήρα εργαζομένων, προμηθευτών, επισκεπτών κ.λπ. στα γραφεία και εγκαταστάσεις τους προς εξασφάλιση της υγείας Για τις προβλεπόμενες ποινικές κυρώσεις από την παραβίαση της υποχρέωσης τήρησης των σχετικών μέτρων βλ. αρ. πρωτ. 2433 από 12-3-2020 υπ’ αρ. 4 Εγκύκλιο κ. Εισαγγελέα Αρείου Πάγου. 7 17 των εργαζομένων σύμφωνα με τις διατάξεις του ν. 3850/2010 κατά τα προεκτεθέντα, όπως π.χ. εάν επιτρέπεται η θερμομέτρηση των εισερχομένων ή η υποβολή συμπλήρωσης ερωτηματολογίου σχετικά με την κατάσταση της υγείας των εργαζομένων ή οικείων τους, πρόσφατου ιστορικού ταξιδίου σε αλλοδαπό κράτος με αυξημένο κίνδυνο μετάδοσης του κορωνοϊου κ.λπ. ή η ενημέρωση των λοιπών εργαζομένων για το γεγονός ή και τα στοιχεία ταυτότητας ήδη νοσούντος εργαζομένου. Η Αρχή υπενθυμίζει ότι ο υπεύθυνος επεξεργασίας προβαίνει στις αναγκαίες και σύμφωνες προς τα άρθρα 5 και 6 ΓΚΠΔ πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα για την επίτευξη των επιδιωκόμενων σκοπών χωρίς να μπορεί εκ προοιμίου να αποκλειστεί ως απαγορευμένη οποιαδήποτε πράξη επεξεργασίας, ιδίως στην παρούσα χρονική κρίσιμη και πρωτόγνωρη συγκυρία και εφόσον πληρούνται επιπλέον οι προϋποθέσεις που περιλαμβάνονται στις υπ’ αρ. 1-2 σκέψεις της παρούσας. Είναι αυτονόητο ότι η επεξεργασία αυτή πραγματοποιείται στο πλαίσιο της αρχής της λογοδοσίας. Ιδιαίτερη προσοχή πρέπει να δοθεί στην αξιολόγηση του ενδεχομένου συλλογής μόνο των αναγκαίων πληροφοριών που συνδέονται αποκλειστικά με τον επιδιωκόμενο σκοπό (αρχές του περιορισμού της επεξεργασίας σε συνδυασμό με την αρχή της αναλογικότητας), τηρουμένης της αρχής της ασφαλούς επεξεργασίας (ιδίως της εμπιστευτικότητας πληροφοριών) δια της λήψης της απαραίτητων τεχνικών και οργανωτικών μέτρων ασφαλείας. Επισημαίνεται ότι η συλλογή και η εν γένει επεξεργασία των δεδομένων προσωπικού χαρακτήρα που παρουσιάζουν επαχθή χαρακτήρα και συνιστούν περιορισμό ατομικών δικαιωμάτων, όπως π.χ. η θερμομέτρηση στην είσοδο του χώρου εργασίας, πρέπει να λαμβάνει χώρα, τηρουμένων των νομίμων προϋποθέσεων, αφού θα έχει προηγουμένως αποκλειστεί κάθε διαθέσιμο πρόσφορο μέτρο, το οποίο θα επιλέξει ο υπεύθυνος επεξεργασίας, υπό τον όρο ότι εφαρμόζεται η νομοθεσία για τα προσωπικά δεδομένα. Αντίθετα, μια συστηματική, διαρκής και γενικευμένη συλλογή δεδομένων προσωπικού χαρακτήρα που οδηγεί στην κατάρτιση και συνεχή ανανέωση προφίλ υγείας εργαζομένων, δύσκολα θα μπορούσε να χαρακτηριστεί ως σύμφωνη με την αρχή της αναλογικότητας.
31. Η επεξεργασία δεδομένων προσωπικού χαρακτήρα θανόντων δεν εμπίπτει καταρχήν στο προστατευτικό πεδίο των κανόνων προστασίας δεδομένων προσωπικού χαρακτήρα (αιτ. σκ. 27 ΓΚΠΔ). Δεδομένου, ωστόσο, ότι η αποκάλυψη των στοιχείων ταυτοποίησης θανόντων από τον κορωνοϊό ενδέχεται να οδηγεί σε έμμεση ταυτοποίηση ζώντων φυσικών προσώπων που είχαν έρθει σε επαφή ή 18 υπήρξαν οικείοι των θανόντων για τους οποίους εφαρμόζονται οι συναφείς κανόνες, πρέπει η επεξεργασία να γίνεται σύμφωνα με τις γενικές αρχές επεξεργασίας του άρθρου 5 παρ. 1 σε συνδυασμό με το άρθρο 6 ΓΚΠΔ.
32. Η από μέρους των ήδη νοσούντων από τον κορωνοϊό ασθενών, οικειοθελής δημοσιοποίηση της κατάστασης της υγείας τους, παρέχει σύμφωνα με το άρθρο 9 παρ. 2 εδ. ε’ ΓΚΠΔ νομική βάση επεξεργασίας των συγκεκριμένων δεδομένων υγείας υπό τον όρο της τήρησης των αρχών του άρθρου 5 ΓΚΠΔ σε συνδυασμό με τυχόν ειδικότερες διατάξεις της εθνικής νομοθεσίας.
33. H από μέρους των υπευθύνων επεξεργασίας γνωστοποίηση σε τρίτους πληροφοριών για την κατάσταση υγείας των υποκειμένων των δεδομένων όταν αυτή συνιστά επεξεργασία δεδομένων προσωπικού χαρακτήρα, σύμφωνα με τις προϋποθέσεις που αναφέρονται στις υπ’ αρ. 1-2 σκέψεις της παρούσας, ακόμη και αν καταρχήν διενεργείται στο πλαίσιο των άρθρων 5, 6 και 9 ΓΚΠΔ, δεν είναι επιτρεπτή αν δημιουργεί κλίμα προκατάληψης και στιγματισμού, επιπλέον δε ενδέχεται να δρα αποτρεπτικά στην τήρηση των μέτρων που ανακοινώθηκαν από τις αρμόδιες δημόσιες αρχές με αποτέλεσμα να αντιστρατεύεται τελικά την αποτελεσματικότητα τους.
34. Τέλος, προ της τυχόν επεξεργασίας δεδομένων προσωπικού χαρακτήρα για δημοσιογραφικούς σκοπούς 8, ιδίως ως προς την κατάσταση υγείας των υποκειμένων σε σχέση με τον κορωνοϊό, πέραν των προαναφερομένων (ιδίως των σκέψεων υπ’ αρ. 9 της παρούσας) θα πρέπει πρωταρχικά να αξιολογείται η αναγκαιότητα αποκάλυψης στοιχείων ταυτοποίησης του υποκειμένου (π.χ. ονοματεπώνυμο, φωτογραφία και άλλα προσδιοριστικά στοιχεία), δεδομένου μάλιστα ότι οι αρμόδιες αρχές (Εθνικός Οργανισμός Δημόσιας Υγείας [Ε.Ο.Δ.Υ.] και Γενική Γραμματεία Πολιτικής Προστασίας [Γ.Γ.Π.Π.]) επεξεργάζονται δεδομένα προσωπικού χαρακτήρα πολιτών επιδημιολογικού συσχετισμού, δίχως τον προσδιορισμό προσωπικών στοιχείων ταυτότητας (βλ. αρ. 19 παρ. 2 ΠΝΠ ΦΕΚ Α’55/11-3-2020) ή κατόπιν ψευδωνυμοποίησης και λήψης των αναγκαίων τεχνικών και οργανωτικών μέτρων ασφαλείας (βλ. άρθρο πέμπτο ΠΝΠ ΦΕΚ Α’64/14-3-2020). Η Αρχή επιφυλάσσεται να εκδώσει ειδικότερες οδηγίες, εφόσον χρειαστεί, με βάση την εξέλιξη των πραγματικών και νομικών δεδομένων. 8 Σχετικά βλ. την υπ’ αρ. 01/2020 Γνωμοδότησή της Αρχής επί των διατάξεων του ν. 4624/
35. 19 Ο Πρόεδρος Κωνσταντίνος Μενουδάκος Η Γραμματέας Ειρήνη Παπαγεωργοπούλου Αθήνα, 15/04/2020 ΚΑΤΕΥΘΥΝΤΗΡΙΕΣ ΓΡΑΜΜΕΣ 2/2020 Λήψη μέτρων ασφάλειας στο πλαίσιο τηλεργασίας Λόγω των μέτρων περιορισμού που έχουν επιβληθεί για την αποτροπή εξάπλωσης της COVID19, πολλοί οργανισμοί και επιχειρήσεις προτρέπουν ή/και υποχρεώνουν το προσωπικό τους σε τηλεργασία, αξιοποιώντας σχετικές δυνατότητες της τεχνολογίας. Ως τηλεργασία θεωρείται η εργασία από απόσταση (δηλαδή χωρίς φυσική παρουσία στον χώρο της εργασίας) με χρήση των απαραίτητων τεχνολογιών πληροφορικής και επικοινωνιών. Η Αρχή, με στόχο την ευαισθητοποίηση των υπευθύνων επεξεργασίας, των εκτελούντων την επεξεργασία, των εργαζομένων και γενικότερα του κοινού αναφορικά με τους κινδύνους που αφορούν την προστασία των προσωπικών δεδομένων αλλά, ταυτόχρονα, και τις σχετικές υποχρεώσεις που απορρέουν από τον Γενικό Κανονισμό Προστασίας Δεδομένων και τον νόμο 4624/2019, παραθέτει τις ακόλουθες Κατευθυντήριες Γραμμές.
36. Ο οργανισμός/επιχείρηση (εφεξής, φορέας) οφείλει να ορίσει και να υποστηρίξει συγκεκριμένες διαδικασίες για την τηλεργασία. Οι διαδικασίες αυτές πρέπει να λαμβάνουν υπόψη, για την κάθε περίπτωση, τη φύση και τη σοβαρότητα των κινδύνων ως προς την προστασία προσωπικών δεδομένων, οι οποίοι απορρέουν από την εξ αποστάσεως εργασία.
37. Ο φορέας οφείλει να ενημερώνει επαρκώς, να εκπαιδεύει και να συνδράμει τους εργαζομένους του στην εφαρμογή των διαδικασιών αυτών, λαμβάνοντας υπόψη ότι πολλοί χρήστες δεν είναι εξοικειωμένοι με τις τεχνολογίες που υποστηρίζουν την τηλεργασία και τους σχετικούς κινδύνους. Για τον σκοπό αυτό, είναι πολύτιμη η συμβολή του Υπεύθυνου Προστασίας Δεδομένων (DPO) όπου έχει ορισθεί.
38. Επισημαίνεται ιδιαίτερα ότι οι υποχρεώσεις των φορέων αναφορικά με την προστασία των Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • Email: contact@dpa.gr • www.dpa.gr 1 προσωπικών δεδομένων των εργαζομένων τους αποκτούν ιδιάζουσα βαρύτητα στην περίπτωση της τηλεργασίας. Και τούτο, διότι ο εργαζόμενος, λόγω του γεγονότος ότι βρίσκεται στο σπίτι του, έχει μεγαλύτερη προσδοκία για την προστασία της ιδιωτικής του ζωής. Οι διαδικασίες για την τηλεργασία συστήνεται να περιλαμβάνουν μέτρα, όπως τα ακόλουθα: Πρόσβαση στο δίκτυο
39. Διασφάλιση ότι δεν υπάρχει δυνατότητα μη ασφαλούς απομακρυσμένης πρόσβασης σε πόρους των πληροφοριακών συστημάτων του φορέα, όπως υπολογιστές εσωτερικού δικτύου και εσωτερικά αρχεία. Η ασφαλής σύνδεση μπορεί, ενδεικτικώς, να επιτευχθεί μέσω εικονικού ιδιωτικού δικτύου στο οποίο πραγματοποιείται κρυπτογράφηση των δεδομένων και αυθεντικοποίηση των χρηστών (π.χ. IPSec VPN). i. Καθορισμός και περιορισμός των πόρων στους οποίους επιτρέπεται η απομακρυσμένη πρόσβαση στο απολύτως απαραίτητο, ανάλογα με τα καθήκοντα που επιτελεί ο τηλεργαζόμενος. ii. Σύνδεση σε υπολογιστικά συστήματα του φορέα μέσω υπηρεσίας “απομακρυσμένης επιφάνειας εργασίας” (“Remote Desktop Protocol - RDP”), μόνο εφόσον αυτή γίνεται μέσω ασφαλούς εικονικού ιδιωτικού δικτύου (VPN).
40. Χρήση ασφαλούς πρωτοκόλλου WPA2 με ισχυρό κωδικό, όταν η σύνδεση της συσκευής του τηλεργαζόμενου στο Διαδίκτυο γίνεται μέσω ασύρματου δικτύου (Wi-Fi). Τούτο ισχύει ακόμα και όταν μετά τη σύνδεση στο Διαδίκτυο, γίνεται ασφαλής σύνδεση στο δίκτυο του φορέα π.χ. με χρήση VPN.
41. Αποφυγή αποθήκευσης αρχείων με προσωπικά δεδομένα σε υπηρεσίες διαδικτυακής αποθήκευσης (π.χ. Dropbox, One Drive, google drive), εκτός και αν υπάρχουν τα κατάλληλα εχέγγυα, όπως π.χ. να πρόκειται για υπηρεσία που παρέχεται, με κατάλληλα μέτρα ασφάλειας, από τον φορέα ή τα δεδομένα να αποθηκεύονται αποκλειστικά σε κατάλληλα κρυπτογραφημένη μορφή. Χρήση εφαρμογών ηλεκτρονικού ταχυδρομείου/ανταλλαγής μηνυμάτων
42. Αποφυγή χρήσης προσωπικού ηλεκτρονικού ταχυδρομείου (π.χ. gmail, yahoo, hotmail) για αποστολή ή λήψη μηνυμάτων για σκοπούς τηλεργασίας, τα οποία σχετίζονται με προσωπικά δεδομένα. Αντ’ αυτού, θα πρέπει να χρησιμοποιείται η επαγγελματική ηλεκτρονική διεύθυνση Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • Email: contact@dpa.gr • www.dpa.gr 2 την οποία παρέχει ο φορέας. Εάν αυτό δεν είναι τεχνικά εφικτό (π.χ. μη δυνατότητα πρόσβασης στο εσωτερικό ηλεκτρονικό ταχυδρομείο από εξωτερικό του φορέα δίκτυο), τότε το περιεχόμενο των μηνυμάτων που αφορά προσωπικά δεδομένα πρέπει να κρυπτογραφείται κατάλληλα (π.χ. είτε ολόκληρο το μήνυμα είτε μόνο τα συνημμένα αρχεία).
43. Αποφυγή χρήσης εφαρμογών ανταλλαγής μηνυμάτων (κείμενο ή/και βίντεο) για τους σκοπούς της τηλεργασίας, όταν τα μηνύματα αυτά περιέχουν προσωπικά δεδομένα, των οποίων τυχόν διαρροή θα επέφερε κινδύνους. Αν είναι πραγματικά απαραίτητο, να προτιμώνται υπηρεσίες των οποίων τα χαρακτηριστικά ασφάλειας (κρυπτογράφηση, ρυθμίσεις προστασίας δεδομένων) αξιολογούνται ως ισχυρά. Χρήση τερματικής συσκευής\αποθηκευτικών μέσων
44. Εγκατάσταση και τακτική ενημέρωση αντιϊκού προγράμματος και “αναχώματος ασφαλείας” (firewall) στη συσκευή (π.χ. υπολογιστής, laptop κτλ.) μέσω της οποίας πραγματοποιείται η τηλεργασία.
45. Εγκατάσταση των πλέον πρόσφατων ενημερώσεων του λογισμικού εφαρμογών και λειτουργικού συστήματος της συσκευής των εργαζομένων.
46. Χρήση προγραμμάτων πλοήγησης στο Διαδίκτυο (π.χ. Firefox, Chrome κτλ.) με τις πλέον πρόσφατες, κάθε φορά, εκδόσεις τους. Μη τήρηση ιστορικού (ανώνυμη περιήγηση) ή διαγραφή από το ιστορικό των συνδέσμων εκείνων που σχετίζονται με την τηλεργασία, κατά το τέλος της εργασίας.
47. Διαχωρισμός των αρχείων που περιέχουν προσωπικά δεδομένα, τα οποία σχετίζονται με την εργασία από προσωπικά αρχεία τα οποία τηρεί ο εργαζόμενος στη συσκευή (π.χ. σε σαφώς διακριτούς φακέλους, με κατάλληλη προσδιοριστική ονομασία). Χρήση «εικονικού μηχανήματος» (virtual machine) αποκλειστικά για την παροχή τηλεργασίας, όταν αυτό είναι εφικτό.
48. Υποστήριξη από τον φορέα διαδικασιών κατάλληλης κρυπτογράφησης αρχείων που περιέχουν προσωπικά δεδομένα, ιδίως όταν τηρούνται σε φορητό/αποσπώμενο μέσο αποθήκευσης (π.χ. usb stick). Ανά περίπτωση, θα πρέπει να εξετάζεται και το ενδεχόμενο κρυπτογράφησης των αρχείων και στην κυρίως συσκευή από την οποία πραγματοποιείται η τηλεργασία (H/Y, laptop κτλ.), ιδίως για δεδομένα υψηλού κινδύνου.
49. Υποστήριξη, από τον φορέα, διαδικασιών λήψης αντιγράφων ασφαλείας για αρχεία με προσωπικά δεδομένα, τα οποία υφίστανται επεξεργασία στο πλαίσιο δραστηριοτήτων Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • Email: contact@dpa.gr • www.dpa.gr 3 τηλεργασίας. Για τα αντίγραφα ασφαλείας πρέπει να τηρούνται μέτρα ανάλογα με όσα περιγράφονται στο σημείο
51. «Κλείδωμα» της συσκευής από την οποία γίνεται η τηλεργασία (π.χ. προφύλαξη οθόνης, με κωδικό απενεργοποίησης) εφόσον μένει, για κάποιο λόγο, χωρίς επιτήρηση. Πραγματοποίηση τηλεδιασκέψεων
52. Στην περίπτωση τηλεδιασκέψεων, θα πρέπει να αξιοποιούνται πλατφόρμες που υποστηρίζουν υπηρεσίες ασφαλείας (κρυπτογράφηση). Για παράδειγμα, θα πρέπει να αποφεύγεται λογισμικό τηλεδιάσκεψης το οποίο δεν εξασφαλίζει κρυπτογράφηση από άκρη σε άκρη (end-to-end encryption).
53. Σε περίπτωση προγραμματισμένης τηλεδιάσκεψης, προστασία του συνδέσμου (link) αυτής (π.χ. όχι δημοσιοποίησή του σε κοινωνικό δίκτυο).
54. Προσεκτική μελέτη των όρων χρήσης και των όρων προστασίας προσωπικών δεδομένων κατά την επιλογή της λύσης τηλεδιάσκεψης. Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • Email: contact@dpa.gr • www.dpa.gr 4 Αθήνα, 04-08-2021 Αριθ. Πρωτ.: 1818 Α Π Ο Φ Α Σ Η 32/2021 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε, μετά από πρόσκληση του Προέδρου της, σε τακτική συνεδρίαση μέσω τηλεδιασκέψεως την Δευτέρα 12.07.2021 και ώρα 09:30, εξ αναβολής από την συνεδρίαση της 29ης.06.2021, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος και τα τακτικά μέλη της Αρχής Σπυρίδων Βλαχόπουλος, Κωνσταντίνος Λαμπρινουδάκης και Χαράλαμπος Ανθόπουλος. Στη συνεδρίαση παρέστη, ακόμα, με εντολή του Προέδρου, ο Γρηγόριος Τσόλιας, αναπληρωματικό μέλος της Αρχής, ως εισηγητής. Παρούσες, χωρίς δικαίωμα ψήφου, ήταν οι Αναστασία Κανικλίδου, Χαρίκλεια Λάτσιου, Ελένη Μαρτσούκου, νομικοί ελεγκτές – δικηγόροι, και Γεωργία Παναγοπούλου, πληροφορικός – ελεγκτής, ως βοηθοί εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Σε συνέχεια της αποφάσεως 05/2020, με την οποία εκδόθηκαν Κατευθυντήριες Γραμμές αναφορικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της διαχείρισης του κορωνοϊού COVID-19, των Κατευθυντήριων Γραμμών 2/2020 για τη λήψη μέτρων ασφάλειας στο πλαίσιο της τηλεργασίας και της Οδηγίας 115/2001 για την προστασία των προσωπικών δεδομένων στο πλαίσιο των εργασιακών σχέσεων, λαμβάνοντας υπόψη την ένταση και την έκταση που έχει λάβει η εξ αποστάσεως παροχή εργασίας, προεχόντως λόγω της επιδημίας που οφείλεται στην COVID-19, και τους κινδύνους που ελλοχεύουν μέσω της χρήσης τεχνολογιών πληροφορικής και επικοινωνιών (ΤΠΕ) για τα δικαιώματα των εμπλεκομένων σ’ αυτήν προσώπων και την ασφάλεια των υποδομών και υπηρεσιών που χρησιμοποιούνται, διαπιστώνεται η ανάγκη να εκδοθούν, στο πλαίσιο της ενημέρωσης από την Αρχή των υποκειμένων των δεδομένων καθώς και των υπευθύνων επεξεργασίας και των εκτελούντων την επεξεργασία, Κατευθυντήριες Γραμμές ειδικά για την επεξεργασία δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται κατά την παροχή εργασίας εξ αποστάσεως, ανεξαρτήτως μορφής και είδους απασχόλησης, τόσο στον ιδιωτικό όσο και στον δημόσιο τομέα, με σκοπό να εξειδικευθούν αφενός οι κίνδυνοι, οι κανόνες, οι εγγυήσεις και τα δικαιώματα των υποκειμένων των δεδομένων και αφετέρου οι υποχρεώσεις των δημοσίων αρχών και ιδιωτικών φορέων, ως υπευθύνων επεξεργασίας, σε συμμόρφωση προς το θεσμικό πλαίσιο προστασίας δεδομένων προσωπικού χαρακτήρα. Αναφορικά με την έκταση της παροχής εξ αποστάσεως εργασίας κατά το αρχικό κύμα αντιμετώπισης της πανδημικής κρίσης λόγω του κορωνοϊού πάνω από το 1/3 (37%) των εργαζομένων στην Ε.Ε