(1)(b) GDPR in the context of the provision of online services to data subjects” σελ. 3-6, παρ. 1, 12, 17-20 και υποσηµ. 2 και

1. 6 Βλ. υπό δηµόσια διαβούλευση σχέδιο Κατευθυντήριων Γραµµών 2/2019 του Ευρωπαϊκού υµβουλίου Προστασίας ∆εδοµένων σελ. 5: “The principle of fairness includes, inter alia, recognizing the reasonable expectations of the data subjects, considering possible adverse effects of imbalance between them and the controller” καθώς και υποσηµείωση
2. 7 Θα πρέπει δηλαδή ο υπεύθυνος επεξεργασίας, κατ’ αντιστοιχία µε όσα γίνονται δεκτά στο πλαίσιο εφαρµογής της νοµικής βάσης του άρθρου 6 παρ. 1 εδ. στ’ ΓΚΠ∆ (απαραίτητο και υπέρτερο έννοµο συµφέρον) να λαµβάνει υπόψη τις εύλογες και θεµιτές προσδοκίες του υποκειµένου των δεδοµένων (πρβλ. αιτ. σκ. 47 ΓΚΠ∆) εισερχόµενος στην θέση του. Όπως χαρακτηριστικά αναφέρει η Λ. Μήτρου, Προστασία Προσωπικών ∆εδοµένων σε . Κάτσικας/∆. Γκρίτζαλης/ . Γκρίτζαλης «Ασφάλεια Πληροφοριακών υστηµάτων», 2014 σελ. 464: «Η “εικόνα” που σχηµατίζει το υποκείµενο των δεδοµένων είναι κριτήριο και για την εκτίµηση του θεµιτού χαρακτήρα της επεξεργασίας. Σύµφωνα µε την αρχής της “fairness”, αυτός που επεξεργάζεται προσωπικές πληροφορίες δεν θα πρέπει να τις χρησιµοποιεί κατά τρόπους που δεν είναι συµβατοί µε την εντύπωση των υποκειµένων των δεδοµένων σχετικά µε τη χρήση τους». 8 χετικά βλ. European Union Agency For Fundamental Rights [FRA], Εγχειρίδιο σχετικά µε την ευρωπαϊκή νοµοθεσία για την προστασία των προσωπικών δεδοµένων, 2014, σελ. 90 επ., αγγλόφωνη έκδοση 2018, σελ. 117 επ., απόφαση ICO UK της 09-4-2019 περί επιβολής χρηµατικής κύρωσης στην εταιρία Bounty (UK) Limited, ιδίως παρ. 36-
3. 9 Βλ. υπό δηµόσια διαβούλευση σχέδιο Κατευθυντήριων Γραµµών 2/2019 του Ευρωπαϊκού υµβουλίου Προστασίας ∆εδοµένων “on the

(1)(b) GDPR in the context of the provision of online services to data subjects” σελ. 6 παρ.

1. 16 την πραγµατικότητα µέσω της τήρησης της αρχής της θεµιτής ή δίκαιης επεξεργασίας των δεδοµένων προσωπικού χαρακτήρα µε διαφανή τρόπο εγκαθιδρύεται µια σχέση εµπιστοσύνης µεταξύ του υπευθύνου επεξεργασίας και του υποκειµένου των δεδοµένων, που ξεπερνά τα όρια της αρχής της διαφάνειας και αφικνείται µέχρι της επεξεργασίας προσωπικών δεδοµένων µε ηθικό τρόπο (βλ. FRA, 2018, όπ.π., σελ. 119), ώστε βάσιµα να µπορεί να υποστηριχθεί ότι ο υπεύθυνος επεξεργασίας οφείλει να ενεργεί σύµφωνα µε τις εύλογες και θεµιτές προσδοκίες του υποκειµένου των δεδοµένων, σύµφωνα µε όσα προεκτέθηκαν (βλ. και υποσηµ. 7). Μια τέτοια σχέση εµπιστοσύνης διαρρηγνύεται όταν ο υπεύθυνος επεξεργασίας, ενώ προ της έναρξης της επεξεργασίας, έχει επιλέξει συγκεκριµένη νοµική βάση και έχει ενηµερώσει σχετικά το υποκείµενο των δεδοµένων για αυτήν, εν τέλει, κατά τη διάρκεια της επεξεργασίας, µεταπηδά σε άλλη νοµική βάση.
2. Η επιλογή της νοµικής βάσης επεξεργασίας των δεδοµένων προσωπικού χαρακτήρα πρέπει να λαµβάνει χώρα προ της έναρξης της επεξεργασίας, ο δε υπεύθυνος επεξεργασίας υποχρεούται µε βάση την αρχή της λογοδοσίας (βλ. άρ. 5 παρ. 2 σε συνδ. µε 24 και 32 ΓΚΠ∆) να επιλέξει την κατάλληλη νοµική βάση εκ των προβλεποµένων από το άρθρο 6 παρ. 1 ΓΚΠ∆, καθώς και να είναι σε θέση να αποδείξει στο πλαίσιο της εσωτερικής συµµόρφωσης την τήρηση των αρχών του άρθρου 5 παρ. 1 ΓΚΠ∆, περιλαµβανοµένης αυτονοήτως και της τεκµηρίωσης επί τη βάσει της οποίας κατέληξε στην οικεία νοµική βάση.
3. Εξάλλου, µε τον ΓΚΠ∆ υιοθετήθηκε ένα νέο µοντέλο συµµόρφωσης, κεντρικό µέγεθος του οποίου συνιστά η αρχή της λογοδοσίας στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρµόζει και εν γένει λαµβάνει τα αναγκαία µέτρα και πολιτικές, προκειµένου η επεξεργασία των δεδοµένων να είναι σύµφωνη µε τις σχετικές νοµοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται µε το περαιτέρω καθήκον να αποδεικνύει από µόνος του και ανά πάσα στιγµή τη συµµόρφωσή του µε τις αρχές του άρθρου 5 παρ. 1 ΓΚΠ∆. ∆εν είναι τυχαίο ότι ο ΓΚΠ∆ εντάσσει τη λογοδοσία (άρθρο 5 παρ. 2 ΓΚΠ∆) στη ρύθµιση των αρχών (άρθρο 5 παρ. 1 ΓΚΠ∆) που διέπουν την επεξεργασία, προσδίδοντας σε αυτήν, τη λειτουργία ενός µηχανισµού τήρησής τους, αντιστρέφοντας κατ’ ουσίαν το «βάρος της απόδειξης» ως προς την νοµιµότητά της 17 επεξεργασίας (και εν γένει την τήρηση των αρχών του άρθρου 5 παρ. 1 ΓΚΠ∆), µεταθέτοντάς τη στον υπεύθυνο επεξεργασίας,10 ώστε να υποστηρίζεται βάσιµα ότι εκείνος φέρει το βάρος της επίκλησης και απόδειξης της νοµιµότητας της επεξεργασίας
4. Έτσι, συνιστά υποχρέωση του υπευθύνου επεξεργασίας, αφενός να λαµβάνει από µόνος του τα αναγκαία µέτρα προκειµένου να συµµορφώνεται προς τις απαιτήσεις του ΓΚΠ∆, αφετέρου να αποδεικνύει ανά πάσα στιγµή την ανωτέρω συµµόρφωσή του, χωρίς µάλιστα να απαιτείται η Αρχή, στο πλαίσιο άσκησης των ερευνητικών - ελεγκτικών εξουσιών της, να υποβάλλει επιµέρους – εξειδικευµένα ερωτήµατα και αιτήµατα προς διαπίστωση της συµµόρφωσης. Επισηµαίνεται ότι η Αρχή, εξαιτίας του ότι διανύεται το πρώτο χρονικό διάστηµα εφαρµογής του ΓΚΠ∆, υποβάλλει ερωτήµατα και αιτήµατα στο πλαίσιο άσκησης των συναφών ερευνητικών – ελεγκτικών εξουσιών της, ώστε να διευκολύνει την από µέρους των υπευθύνων επεξεργασίας τεκµηρίωση της λογοδοσίας. Ο υπεύθυνος επεξεργασίας οφείλει στο πλαίσιο των ελέγχων – ερευνών της Αρχής να παρουσιάζει από µόνος του και χωρίς σχετικά ερωτήµατα και αιτήσεις της Αρχής τα µέτρα και πολιτικές που υιοθέτησε στο πλαίσιο της εσωτερικής οργάνωσης της συµµόρφωσης του, καθώς αυτός τελεί σε γνώση τους, αφού σχεδίασε και υλοποίησε τη σχετική οργάνωση.
5. Η Αρχή, αναφορικά µε την επεξεργασία δεδοµένων προσωπικού χαρακτήρα στο πλαίσιο των εργασιακών σχέσεων, ερµηνεύοντας τις διατάξεις του ν. 2472/1997 έχει εκδώσει την υπ’ αρ. 115/2011 Οδηγία για την επεξεργασία των δεδοµένων προσωπικού χαρακτήρα στις εργασιακές σχέσεις, στο πλαίσιο της οποίας έχει δεχθεί ανάµεσα σε άλλα ότι, όπως προκύπτει από την αρχή του σκοπού, η συλλογή και επεξεργασία δεδοµένων προσωπικού χαρακτήρα των εργαζοµένων επιτρέπεται αποκλειστικά για σκοπούς που συνδέονται άµεσα µε τη σχέση απασχόλησης και εφ’ όσον είναι αναγκαία για την εκπλήρωση των εκατέρωθεν υποχρεώσεων που θεµελιώνονται σε αυτή τη σχέση, είτε αυτές πηγάζουν από τον νόµο είτε από τη 10 χετικά βλ. Λ. Μήτρου, Η αρχή της Λογοδοσίας σε Υποχρεώσεις του υπεύθυνου επεξεργασίας [Γ. Γιαννόπουλος, Λ. Μήτρου, Γ. Τσόλιας], υλλογικός Τόµος Λ. Κοτσαλή – Κ. Μενουδάκου «Ο ΓΚΠ∆, Νοµική διάσταση και πρακτική εφαρµογή», εκδ. Νοµική Βιβλιοθήκη, 2018, σελ. 172 επ. 11 P. de Hert, V. Papakonstantinou, D. Wright and S. Gutwirth, The proposed Regulation and the construction of a principles-driven system for individual data protection, σελ.
6. 18 σύµβαση (σελ.10). Περαιτέρω, η Αρχή δέχθηκε στην ίδια Οδηγία ότι η συγκατάθεση των εργαζοµένων δεν µπορεί να άρει την απαγόρευση της υπέρβασης του σκοπού και ότι στην περίπτωση των σχέσεων απασχόλησης, η εγγενής ανισότητα των µερών και η κατά κανόνα σχέση εξάρτησης των εργαζοµένων θέτει σε αµφιβολία την ελευθερία της συγκατάθεσης των εργαζοµένων, στοιχείο απαραίτητο για την εγκυρότητα της επεξεργασίας (σελ. 10).
7. το πλαίσιο εφαρµογής του ΓΚΠ∆ η συγκατάθεση προβλέπεται ως µια εκ των νοµικών βάσεων επεξεργασίας δεδοµένων προσωπικού χαρακτήρα (άρθρο 6 παρ. 1 εδ. α’), υπό τις προϋποθέσεις του άρθρου 7 ΓΚΠ∆, σύµφωνα µε την έννοια που αποδίδεται κατ’ αρ. 4 παρ. 11 ΓΚΠ∆ και τηρουµένων των αρχών που προβλέπονται από το άρθρο 5 παρ. 1 ΓΚΠ∆. ε καµία περίπτωση δεν πρέπει να δοθεί µεγαλύτερη έµφαση στη νοµική βάση της συγκατάθεσης ως σηµαντικότερης ή περισσότερο βαρύνουσας σε σχέση µε τις υπόλοιπες νοµικές βάσεις. Η τυχόν ευκολία µε την οποία µπορεί ο υπεύθυνος επεξεργασίας να λάβει θετική απάντηση από το υποκείµενο των δεδοµένων σε αίτηµα επεξεργασίας των δεδοµένων προσωπικού χαρακτήρα δεν σηµαίνει ότι ορθώς επελέγη η συγκεκριµένη νοµική βάση, ούτε ότι η θετική αυτή απάντηση πληροί τα κριτήρια της νόµιµης και έγκυρης συγκατάθεσης. Για να διασφαλιστεί ότι έχει δοθεί ελεύθερα, η συγκατάθεση δεν θα πρέπει να παρέχει έγκυρη νοµική βάση για την επεξεργασία δεδοµένων προσωπικού χαρακτήρα σε µια συγκεκριµένη περίπτωση, όταν αυτή είναι εξαναγκαστική12 ή όταν υπάρχει σαφής ανισότητα µεταξύ του υποκειµένου των δεδοµένων και του υπευθύνου επεξεργασίας (βλ. Αιτ. κ. 43 ΓΚΠ∆). Επιπλέον δε, σύµφωνα µε τη ίδια αιτιολογική σκέψη που αναφέρεται στη διάταξη του άρθρου 7 παρ. 4 ΓΚΠ∆, η συγκατάθεση θεωρείται ότι δεν έχει παρασχεθεί ελεύθερα, όταν η εκτέλεση µιας σύµβασης, συµπεριλαµβανοµένης της παροχής µιας υπηρεσίας, προϋποθέτει τη συγκατάθεση, ακόµη και αν η συγκατάθεση αυτή δεν είναι αναγκαία για την εν λόγω εκτέλεση.
8. ύµφωνα µε τη Γνώµη 2/2017 της Οµάδας Εργασίας του άρθρου 29 της Οδηγίας 95/46/ΕΚ «για την επεξεργασία δεδοµένων στην εργασία (data processing at 12 χετικά βλ. ∆ΕΕ, C-291/12, απόφαση της 17.10.2013 παρ. 32 σε ΝοΒ 2013, σελ. 2316 µε σχόλια Ι. Κουφάκη. 19 work-WP249 της 08-6-2017)» σπανίως ο εργαζόµενος δύναται να παρέχει έγκυρη συγκατάθεση στον εργοδότη για την επεξεργασία των δεδοµένων προσωπικού του χαρακτήρα (βλ. σελ. 4) και σε τέτοιες επεξεργασίες ως νοµική βάση δεν θα πρέπει να εφαρµόζεται η συγκατάθεση εξαιτίας της φύσης της εργασιακής σχέσης (βλ. σελ. 6 και 7), όπως οµοίως είχε υποστηριχθεί από την ΟΕ29 στην υπ’ αρ. 8/2011 (σελ. 23) παλαιότερη Γνώµη της «(on the processing of personal data in the employment context- WP48 της 13-9-2001)», αλλά γίνεται επίσης δεκτό και από το υµβούλιο της Ευρώπης
9. Επιπλέον, σύµφωνα µε τις ΟΕ29 Κατευθυντήριες Γραµµές της 10-4-2018 «για την παροχή συγκατάθεσης σύµφωνα µε τον ΓΚΠ∆ (WP259rev.01)», η ανισορροπία ισχύος µεταξύ εργοδότη και εργαζοµένου οδηγεί στο συµπέρασµα ότι στην πλειονότητα των περιπτώσεων επεξεργασίας προσωπικών δεδοµένων στην εργασία η νοµική βάση δεν µπορεί και δεν θα πρέπει να είναι αυτή της συγκατάθεσης (βλ. σελ. 7). Μάλιστα, η ΟΕ29 παραθέτει ως παράδειγµα εσφαλµένης εφαρµογής της νοµικής βάσης της συγκατάθεσης την περίπτωση λειτουργίας συστήµατος επιτήρησης των εργαζοµένων στο χώρο εργασίας µέσω καµερών (βλ. σελ. 7).
10. ύµφωνα µε την ΟΕ29 Γνώµη 15/2011 «σχετικά µε τον ορισµό της συγκατάθεσης (WP187 της 13-7-2011)» ως αρχή, η συγκατάθεση δεν θα πρέπει να εκλαµβάνεται ως εξαίρεση από τις άλλες αρχές προστασίας δεδοµένων, αλλά ως εγγύηση. Αποτελεί πρωταρχικά βάση νοµιµότητας και δεν απαλλάσσει από την εφαρµογή των άλλων αρχών (βλ. σελ. 9). Όπως επισήµανε η ΟΕ29 στην υπ’ αρ. 06/2014 Γνώµη της «σχετικά µε την έννοια των εννόµων συµφερόντων του υπευθύνου επεξεργασίας (WP 217, σελ. 21)» όταν η συγκατάθεση χρησιµοποιείται µε εσφαλµένο τρόπο, ο έλεγχος του προσώπου στο οποίο αναφέρονται τα δεδοµένα καθίσταται αυταπάτη και η συγκατάθεση αποτελεί ακατάλληλη βάση για την επεξεργασία. Επιπλέον, η επιλογή της κατάλληλης νοµικής βάσης στην επεξεργασία των δεδοµένων προσωπικού χαρακτήρα των εργαζοµένων στο πλαίσιο της εργασιακής σχέσης θα πρέπει, πέραν των προαναφεροµένων που οδηγούν σε αποκλεισµό της εφαρµογής της συγκατάθεσης, να διέλθει της «δοκιµασίας της ανάκλησης της 13 European Union Agency For Fundamentals Rights [FRA], Handbook on European data protection law, 2018, σελ. 144 και
11. 20 συγκατάθεσης». Όπως περιγράφει η ΟΕ29 στη Γνώµη 15/2011 για τη συγκατάθεση (βλ. ανωτέρω), αν µόλις ανακληθεί η συγκατάθεση, η επεξεργασία των δεδοµένων συνεχίζεται µε άλλη νοµική βάση, µπορεί να δηµιουργηθούν αµφιβολίες ως προς την αρχική χρήση της συγκατάθεσης ως ορθής νοµικής βάσης: αν η επεξεργασία µπορεί να είχε πραγµατοποιηθεί από την αρχή µε τη χρήση αυτής της άλλης βάσης, το γεγονός ότι είχε ζητηθεί η συγκατάθεση του φυσικού προσώπου στην επεξεργασία θα µπορούσε να θεωρηθεί ως παραπλανητικό ή βασικά αθέµιτο, καθώς αποκρύπτεται η πραγµατική νοµική βάση που εφαρµόζεται στην επεξεργασία των προσωπικών δεδοµένων (σελ.16), την στιγµή µάλιστα κατά την οποία ο υπεύθυνος επεξεργασίας υποχρεούται κατ’ αρ. 13 παρ. 1 εδ. γ’ και 14 παρ. 1 εδ. γ’ ΓΚΠ∆ να ενηµερώσει το υποκείµενο των δεδοµένων για τη νοµική βάση επεξεργασίας που εφαρµόζει. Όπως ορθά επισηµαίνεται στις ΟΕ29 Κατευθυντήριες Γραµµές της 10-4-2018 «για την παροχή συγκατάθεσης σύµφωνα µε τον ΓΚΠ∆ (WP259rev.01)», όταν ο υπεύθυνος επεξεργασίας επιλέξει να βασισθεί στη νοµική βάση της συγκατάθεσης, τότε θα πρέπει να είναι προετοιµασµένος να σεβαστεί την επιλογή αυτή και να σταµατήσει το τµήµα της επεξεργασίας, εφόσον το υποκείµενο των δεδοµένων ανακαλέσει τη συγκατάθεσή του. Τυχόν µεταγενέστερη της ανάκλησης της συγκατάθεσης επεξεργασία κατ’ εφαρµογή άλλης νοµικής βάσης καθιστά την επεξεργασία παράνοµη και αθέµιτη. Ο υπεύθυνος επεξεργασίας δεν µπορεί να µεταβάλει τη νοµική βάση κατά τη διάρκεια της επεξεργασίας, π.χ. από τη συγκατάθεση σε άλλη νοµική βάση και θα πρέπει εγκαίρως κατά τον χρόνο συλλογής των δεδοµένων να έχει επιλέξει τη σωστή (και ενδεχοµένως µοναδική) νοµική βάση (βλ. σελ. 23). ∆εν µπορεί βεβαίως να αποκλεισθεί σε συγκεκριµένες περιπτώσεις το ενδεχόµενο παράλληλης – ταυτόχρονης εφαρµογής διαφορετικών νοµικών βάσεων επεξεργασίας δεδοµένων προσωπικού χαρακτήρα, περιλαµβανοµένης και αυτής της συγκατάθεσης, υπό την προϋπόθεση ότι χρησιµοποιούνται στο σωστό πλαίσιο και ιδίως εξυπηρετούν διαφορετικούς σκοπούς επεξεργασίας. Έτσι, ενώ για την επεξεργασία δεδοµένων προσωπικού χαρακτήρα του εργαζοµένου που σχετίζονται άµεσα µε την εργασιακή του απασχόληση θα εφαρµοσθεί η νοµική βάση του άρθρου 6 παρ. 1 εδ. β’ ΓΚΠ∆ ή για την εκπλήρωση των υποχρεώσεων του εργοδότη σε σχέση µε την κοινωνική ασφάλιση του εργαζοµένου ή των συναφών φορολογικών υποχρεώσεων θα εφαρµοσθεί η νοµική 21 βάση του άρθρου 6 παρ. 1 εδ. γ’ ΓΚΠ∆ ή για την προστασία της περιουσίας και της εύρυθµης λειτουργίας της επιχείρησης θα εφαρµοσθεί η νοµική βάση του άρθρου 6 παρ. 1 εδ. στ’ ΓΚΠ∆, εν τούτοις, η νοµική βάση της συγκατάθεσης κατ’ άρθρο 6 παρ. 1 εδ. α’ ΓΚΠ∆ θα εφαρµοσθεί στις περιπτώσεις που δεν αποµένει καµία άλλη νοµική βάση εφαρµογής, όπως π.χ. στην περίπτωση κατά την οποία ο εργοδότης ζητά την συγκατάθεση των εργαζοµένων προκειµένου να πάρουν µέρος στην µαγνητοσκόπηση στιγµών από τον εργασιακό τους βίο (για το παράδειγµα βλ. σελ. 7 ΟΕ 29 Κατευθυντήριες Γραµµές WP259rev.01 της 10-4-2018 για την παροχή συγκατάθεσης σύµφωνα µε τον ΓΚΠ∆ καθώς και European Union Agency For Fundamental Rights [FRA] Εγχειρίδιο σχετικά µε την ευρωπαϊκή νοµοθεσία για την προστασία των προσωπικών δεδοµένων, έκδοση 2014 σελ. 69-70) ή π.χ. για την φωτογράφιση των εργαζοµένων προκειµένου να αναρτηθεί η φωτογραφία τους στο εταιρικό ενδοδίκτυο (intranet) µαζί µε τα υπόλοιπα στοιχεία επικοινωνίας τους (για το παράδειγµα βλ. σελ. 16 ΟΕ29 Γνώµη 15/2011, όπ.π και FRA όπ.π., έκδοση 2018, σελ. 145).
12. την περίπτωση κατά την οποία ο υπεύθυνος επεξεργασίας επιθυµεί να επεξεργαστεί δεδοµένα προσωπικού χαρακτήρα τα οποία είναι όντως αναγκαία για την εκτέλεση της σύµβασης, η συγκατάθεση δεν αποτελεί την κατάλληλη νοµική βάση, αλλά εκείνη του άρθρου 6 παρ. 1 εδ. β’ ΓΚΠ∆ (βλ. ΟΕ29, Κατευθυντήριες Γραµµές σχετικά µε τη συγκατάθεση, σελ. 10). Αντίστοιχα, το Ευρωπαϊκό υµβούλιο Προστασίας ∆εδοµένων θεωρεί ότι σε όποια περίπτωση η επεξεργασία δεν είναι αναγκαία για την εκτέλεση της σύµβασης, µια τέτοια επεξεργασία λαµβάνει χώρα νοµίµως µόνο εάν βασίζεται σε µια άλλη κατάλληλη νοµική βάση
14. Ειδικότερα, οι αρχές της σύννοµης, θεµιτής (ή δίκαιης) και µε διαφανή τρόπο επεξεργασίας των δεδοµένων προσωπικού χαρακτήρα επιτάσσουν την επιλογή της συγκατάθεσης ως νοµικής βάσης κατ’ αρ. 6 παρ. 1 ΓΚΠ∆, µόνον εφόσον οι υπόλοιπες νοµικές βάσεις δεν εφαρµόζονται, ώστε κατά τη διάρκεια της επεξεργασίας να καθίσταται µεταγενέστερα αδύνατη η αλλαγή και µετάβαση σε άλλη νοµική βάση. ε περίπτωση κατά την οποία το υποκείµενο των δεδοµένων ανακαλέσει τη συγκατάθεσή του, δεν επιτρέπεται η συνέχιση της επεξεργασίας των 14 Βλ. υπό δηµόσια διαβούλευση σχέδιο Κατευθυντήριων Γραµµών 2/2019 του Ευρωπαϊκού υµβουλίου Προστασίας ∆εδοµένων “on the

(1)(b) GDPR in the context of the provision of online services to data subjects” σελ.

1. 22 δεδοµένων προσωπικού χαρακτήρα υπό άλλη νοµική βάση, σύµφωνα µε τα προεκτεθέντα. Όταν εφαρµόζεται ορθά η νοµική βάση της συγκατάθεσης, υπό την έννοια ότι ουδεµία άλλη νοµική βάση τυγχάνει εφαρµογής, η µη χορήγηση ή η ανάκλησή της ισοδυναµεί µε απόλυτη απαγόρευση επεξεργασίας των δεδοµένων προσωπικού χαρακτήρα.
2. Ο εργοδότης ασκώντας το διευθυντικό του δικαίωµα, υπό την αυτονόητη προϋπόθεση της τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠ∆ και επί τη βάσει προβλεπόµενων προ της επεξεργασίας συγκεκριµένων διαδικασιών και εγγυήσεων στο πλαίσιο της οργάνωσης της εσωτερικής συµµόρφωσης σύµφωνα µε την αρχή της λογοδοσίας, δικαιούται να ασκεί έλεγχο επί των ηλεκτρονικών µέσων επικοινωνίας που παρέχει στους εργαζόµενους για την εργασία τους, εφόσον η συναφής επεξεργασία, τηρουµένης της αρχής της αναλογικότητας, είναι απολύτως αναγκαία για την ικανοποίηση του έννοµου συµφέροντος που επιδιώκει και υπό τον όρο ότι τούτο υπερέχει προφανώς των δικαιωµάτων και συµφερόντων του εργαζοµένου, χωρίς να θίγονται οι θεµελιώδεις ελευθερίες αυτού κατ’ αρ. 6 παρ. 1 εδ. στ’ ΓΚΠ∆, και αφού έχει ενηµερωθεί έστω και για την δυνατότητα συναφούς ελέγχου (βλ. αναλυτικά ΑΠ∆ΠΧ 34/2018 και αρ. 17 παρ. 19 σχεδίου εφαρµοστικού νόµου ΓΚΠ∆ υπό δηµόσια διαβούλευση15). την περίπτωση αυτή, θα πρέπει να επιτευχθεί η δίκαιη και αναγκαία ισορροπία µεταξύ των σκοπών επίτευξης των εννόµων συµφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας από τη µία (βλ. ΟΕ29, Γνώµη 2/2017 “on data processing at work”, σελ. 4) και του σεβασµού των εύλογων και νόµιµων προσδοκιών των εργαζοµένων για την προστασία των δεδοµένων προσωπικού χαρακτήρα στον εργασιακό χώρο, από την άλλη. Οι νόµιµες και εύλογες προσδοκίες των εργαζοµένων εν προκειµένω, βρίσκουν έρεισµα στις αρχές της σύννοµης και θεµιτής ή δίκαιης µε διαφανή τρόπο επεξεργασίας των δεδοµένων προσωπικού χαρακτήρα αυτών, δηµιουργώντας αντίστοιχα στον υπεύθυνο επεξεργασίας τις σχετικές υποχρεώσεις. Το Ευρωπαϊκό ∆ικαστήριο ∆ικαιωµάτων του Ανθρώπου (Ε∆∆Α) έχει καταστήσει σαφές ότι η προστασία της «ιδιωτικής ζωής» που θεµελιώνεται στο άρθρο 8 Ε ∆Α δεν εξαιρεί την επαγγελµατική ζωή των εργαζοµένων και δεν περιορίζεται στη ζωή εντός του τόπου κατοικίας (βλ. ΑΠ∆ΠΧ 34/2018 και ΟΕ29 15 http://www.opengov.gr/ministryofjustice/?p=9314 23 Έγγραφο εργασίας για την επιτήρηση των ηλεκτρονικών επικοινωνιών στον τόπο εργασίας της 29-5-2002, WP55, σελ. 8). Το γεγονός ότι ο εργοδότης µπορεί να είναι ο ιδιοκτήτης των ηλεκτρονικών µέσων επικοινωνίας (π.χ. pc, tablets, τηλεφωνικές συσκευές, εταιρικό δίκτυο επικοινωνιών, servers κ.λπ) ή ότι µια ηλεκτρονική επιστολή έχει αποσταλεί από εταιρική διεύθυνση αλληλογραφίας δεν οδηγεί σε απεµπόληση του δικαιώµατος στον ιδιωτικό βίο (βλ. Ε∆∆Α, Α’ Τµήµα, George Garamukanwa v. UK της 14-5-2019, παρ. 25), του δικαιώµατος των εργαζοµένων στην προστασία των δεδοµένων προσωπικού χαρακτήρα, του δικαιώµατος στην προστασία του απορρήτου των επικοινωνιών και των σχετικών δεδοµένων θέσης (βλ. OE29 Γνώµη 2/17, σελ. 22 κ ΟΕ29, WP55, όπ.π., σελ. 22), ούτε βεβαίως µπορεί να γίνει δεκτό ότι τα δεδοµένα προσωπικού χαρακτήρα των εργαζοµένων, που παράγονται µε τη χρήση των εταιρικών µέσων επικοινωνιών συνιστούν «ιδιοκτησία» ή «περιουσία» του εργοδότη, επειδή είναι ο ιδιοκτήτης των ανωτέρω µέσων επικοινωνίας, προσέγγιση που υιοθετείται από τµήµα της νοµολογίας των δικαστηρίων των Η.Π.Α., όχι όµως της Ευρωπαϊκής Ένωσης. Η τυχόν προηγούµενη ενηµέρωση για παρακολούθηση ή υποκλοπή των επικοινωνιών του εργαζοµένου από τον εργοδότη δεν σηµαίνει άνευ ετέρου ότι δεν παραβιάζεται το άρθρο 8 Ε ∆Α (ΟΕ29 WP55, όπ.π. σελ. 9), όταν δεν πληρούνται οι προϋποθέσεις του κατ’ εξαίρεση νόµιµου περιορισµού του συναφούς ατοµικού δικαιώµατος. Από την άλλη, ο εργοδότης δικαιούται στη λήψη των αναγκαίων, νόµιµων και αναλογικών µέτρων προκειµένου να λειτουργεί εύρυθµα και αποτελεσµατικά η επιχείρηση και να προστατευθεί από τη ζηµιά ή τη βλάβη που µπορούν να προκαλέσουν οι ενέργειες των εργαζοµένων (βλ. ΑΠ∆ΠΧ 34/2018, ΟΕ29,WP55, όπ.π., σελ. 4).
3. Η συγκατάθεση δεν συνιστά την κατάλληλη νοµική βάση για την επεξεργασία των δεδοµένων προσωπικού χαρακτήρα των εργαζοµένων στο πλαίσιο ελέγχου των ηλεκτρονικών επικοινωνιών αυτών, αλλά η κατ’ αρ. 6 παρ. 1 εδ. στ’ ΓΚΠ∆ νοµική βάση, όπως προεκτέθηκε (βλ. ΑΠ∆ΠΧ 34/2018, ΟΕ29, WP 55, όπ.π. σελ. 23). Αντίστοιχα, στην περίπτωση αυτή, προβληµατική θα ήταν η επιλογή της νοµικής βάσης της εκτέλεσης της εργασιακής σύµβασης κατ’ αρ. 6 παρ. 1 εδ. β’ ΓΚΠ∆ καθώς αφενός ενδέχεται (αναλόγως της φύσης της απασχόλησης) η συναφής επεξεργασία να 24 υπερβαίνει το αναγκαίο για την εκτέλεση της (σύµβασης εργασίας) µέτρο (βλ. ΟΕ 29 Γνώµη 6/2014 σχετικά µε την έννοια των εννόµων συµφερόντων του υπευθύνου επεξεργασίας της 09-4-2014, WP 217, σελ. 22), αφετέρου, βάσιµα υποστηρίζεται (βλ. ΟΕ29 Γνώµη 6/2014, όπ.π., σελ. 32) ότι ο έλεγχος των υπαλλήλων για σκοπούς ασφάλειας ή διαχείρισης, η εγκατάσταση και λειτουργία συστηµάτων καταγγελίας παρατυπιών και η προστασία της φυσικής ασφάλειας καθώς και των ΤΠ και δικτύων θεωρούνται κατά βάση (βλ. σελ. 83 υποσηµ. 125) έννοµο συµφέρον του υπευθύνου επεξεργασίας, εφόσον αυτό είναι «αποδεκτό βάσει του νόµου» (µε παραποµπή στη Γνώµη ΟΕ29 υπ’ αρ. 3/2013 της 02-4-2013, WP 203 σχετικά µε τον περιορισµό του σκοπού).
4. Στην προκειµένη περίπτωση, από τα στοιχεία του φακέλου της υπόθεσης, την ακρόαση της εταιρίας καθώς και τα υποµνήµατα που η ίδια υπέβαλε, προέκυψε ότι η εταιρία PWC BS επεξεργάζεται δεδοµένα προσωπικού χαρακτήρα των εργαζοµένων της, έχοντας την κατ’ αρ. 4 παρ. 7 ΓΚΠ∆ ιδιότητα του υπευθύνου επεξεργασίας, αφού καθορίζει τους σκοπούς και τον τρόπο επεξεργασίας των δεδοµένων προσωπικού χαρακτήρα αυτών που περιλαµβάνονται σε συστήµατα αρχειοθέτησης, και εποµένως καθίσταται υπόχρεη στη συµµόρφωση προς τις αρχές που εισάγονται µε το άρθρο 5 ΓΚΠ∆. Η Αρχή δέχεται τον ισχυρισµό της εταιρίας που περιλαµβάνεται στο από 107-2018 υπόµνηµά της (ΑΠ∆ΠΧ Γ/ΕΙ /11.07.2018), σύµφωνα µε τον οποίο είχε ήδη τροποποιήσει την επισυναπτόµενη στην καταγγελία της ΕΛΕΠΑ «∆ήλωση ποδοχής Όρων Επεξεργασίας Προσωπικών ∆εδοµένων», η οποία δεν βρισκόταν πλέον σε ισχύ και αντικείµενο ελέγχου συνιστά η επεξεργασία των δεδοµένων προσωπικού χαρακτήρα όπως περιγράφεται στο έγγραφο «Παράρτηµα 1 – Ενηµέρωση και παροχή συγκατάθεσης προς επεξεργασία προσωπικών δεδοµένων», µε έναρξη ισχύος την 25.5.2018, ηµεροµηνία θέσης σε εφαρµογή του ΓΚΠ∆. Αντίθετα, η Αρχή απορρίπτει την ένσταση της εταιρίας σύµφωνα µε την οποία η ΕΛΕΠΑ δεν αποτελεί υποκείµενο των δεδοµένων που νοµιµοποιείται κατ’ αρ. 19 παρ. 1 ιγ’ ν. 2472/1997 να υποβάλλει καταγγελία, ούτε περιλαµβάνεται στους κατ’ αρ. 80 ΓΚΠ∆ µη κερδοσκοπικούς φορείς, οργανώσεις ή ενώσεις που οµοίως νοµιµοποιούνται σχετικά, καθώς η Αρχή νοµίµως διενεργεί αυτεπαγγέλτως διοικητικούς ελέγχους και ασκεί τις κατ’ αρ. 58 ΓΚΠ∆ εξουσίες της στο πλαίσιο των 25 καθηκόντων της, σύµφωνα µε το άρθρο 57 ΓΚΠ∆ σε συνδυασµό µε τη διάταξη του άρθρου 19 παρ. 1 στοιχ. η’ ν. 2472/1997, λαµβάνοντας γνώση κάθε πληροφορίας που υποπίπτει στην αντίληψη της.
5. Από το προσκοµισθέν συνηµµένως προς το υπ’ αρ. πρωτ. Γ/ΕΙ /365/18.01.2019 υπόµνηµα της εταιρίας, έγγραφο «Παράρτηµα 1 – Ενηµέρωση και παροχή συγκατάθεσης προς επεξεργασία προσωπικών δεδοµένων από την «PRICEWATERHOUSECOOPERS BUSINESS ACCOUNTING A.E.» (εφεξής «Παράρτηµα 1») για το οποίο επισηµαίνεται ότι κατά δήλωση της PWC BS άπασες οι εταιρίες του δικτύου PWC χρησιµοποιούν το ίδιο πρότυπο προκύπτει ότι: i. Με το Παράρτηµα 1, όπως εξάλλου τιτλοφορείται, ζητείται η παροχή συγκατάθεσης από τους εργαζόµενους της εταιρίας για την επεξεργασία δεδοµένων προσωπικού χαρακτήρα τους, σε κάποιες δε περιπτώσεις ζητείται συγκατάθεση υπό την έννοια της εκεί αναφερόµενης «ειδικής αποδοχής» της διαβίβασης δεδοµένων εκτός Ελλάδας ή της ειδικότερης παροχής «συναίνεσης στον έλεγχο και παρακολούθηση από την Εταιρία των µέσων επικοινωνίας και του ηλεκτρονικού εξοπλισµού» που έχει διατεθεί στους εργαζόµενους. Εποµένως, ο υπεύθυνος επεξεργασίας έχει εν προκειµένω επιλέξει ως νόµιµη βάση επεξεργασίας των δεδοµένων προσωπικού χαρακτήρα των εργαζοµένων του την προβλεπόµενη από το άρθρο 6 παρ. 1 εδ. α’ ΓΚΠ∆ («παροχή συγκατάθεσης»). ii. Με το ίδιο Παράρτηµα 1, ζητείται δια της υπογραφής του από τους εργαζόµενους, η από µέρους τους αναγνώριση ότι τα παρεχόµενα από τους ίδιους δεδοµένα προσωπικού χαρακτήρα προς την εταιρία «[...] συνδέονται άµεσα µε τις ανάγκες της σχέσης απασχόλησης και οργάνωσης της εργασίας, καθώς επίσης και ότι τα Προσωπικά ∆εδοµένα που έθεσε υπόψη της Εταιρίας είναι συναφή και πρόσφορα στο πλαίσιο της σχέσης απασχόλησης και της οργάνωσης της εργασίας...», δηλαδή οι υποχρεώσεις συµµόρφωσης του υπευθύνου επεξεργασίας προς τις αρχές που διέπουν την επεξεργασία δεδοµένων προσωπικού χαρακτήρα κατ’ αρ. 5 παρ. 2, 24 παρ. 1 και 32 ΓΚΠ∆ (αρχή της λογοδοσίας) εσφαλµένα µεταφέρονται και βαρύνουν τα υποκείµενα των δεδοµένων. Αντιθέτως, συνιστά υποχρέωση του υπευθύνου επεξεργασίας να επιλέξει ο ίδιος προς επεξεργασία µόνον όσα δεδοµένα προσωπικού χαρακτήρα είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους 26 σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία κατ’ αρ. 5 παρ. 1 εδ. γ’ ΓΚΠ∆ (αρχή της ελαχιστοποίησης των δεδοµένων). iii. το ίδιο Παράρτηµα Ι αναφέρεται είτε ρητά σε κεφάλαιο µε τίτλο « κοπός», είτε διάσπαρτα εντός του κειµένου σε κεφάλαια µε τίτλους που δεν συνάδουν µε το περιεχόµενό τους, ότι η επεξεργασία των δεδοµένων προσωπικού χαρακτήρα των εργαζοµένων αποσκοπεί πρώτον, στην εκτέλεση της σύµβασης της εργασίας, δεύτερον, στην εκπλήρωση των υποχρεώσεων της εταιρίας που απορρέουν από την εργατική, ασφαλιστική, φορολογική, τελωνειακή, ευρωπαϊκή και λοιπή νοµοθεσία και ευκολότερη εκτέλεση της σύµβασης εργασίας και τρίτον, στην επίτευξη των σκοπών εννόµων συµφερόντων που επιδιώκει η εταιρία, ανάµεσα στους οποίους συγκαταλέγεται η διαπίστωση και η διασφάλιση συµµόρφωσης των εργαζοµένων µε τις υποχρεώσεις που αναλαµβάνει µε τη σύµβαση, η λήψη κάθε µέτρου στο πλαίσιο άσκησης του διευθυντικού δικαιώµατος για τη βέλτιστη οργάνωση της επιχείρησης και της ρύθµισης της συµπεριφοράς του µισθωτού κατά την εκτέλεση της εργασίας του και την τάξη µέσα στην εκµετάλλευση (έλεγχος και παρακολούθηση µέσων επικοινωνίας και ηλεκτρονικού εξοπλισµού).
6. Η Αρχή διαπιστώνει από το περιεχόµενο του ανωτέρω Παραρτήµατος 1 ότι, ως νόµιµη βάση επεξεργασίας κατ’ αρ. 6 παρ. 1 ΓΚΠ∆ για τους αναφερόµενους τρείς

(3)διαφορετικούς σκοπούς επεξεργασίας των δεδοµένων προσωπικού χαρακτήρα των εργαζοµένων, η εταιρία εφαρµόζει αυτήν της συγκατάθεσης κατ’ αρ. 6 παρ. 1 εδ. α’ ΓΚΠ∆. Επίσης, από τα υποβληθέντα υποµνήµατα της εταιρίας προ της ακρόασής της από την Αρχή προκύπτει ότι όλως αντιφατικά, παράλληλα και τελώντας σε σχέση αλληλοαποκλεισµού γίνεται επίκληση, αφενός της νοµικής βάσης της συγκατάθεσης, αφετέρου, της εκτέλεσης της σύµβασης, προκειµένου να δικαιολογηθούν οι ανωτέρω επεξεργασίες. Μάλιστα δε, η εταιρία στο από 18-01-2019 υπόµνηµά της (ΑΠ∆ΠΧ Γ/ΕΙ /365/18.01.2019) ευθέως αναφέρει ότι «

1. [...] αν και δύναται να υποστηριχθεί ότι δεν είναι απαραίτητη ή αναγκαία η συναίνεση για την επεξεργασία....ζητήσαµε και τη συναίνεση του προσωπικού µας...Παρόλο που ενδεχοµένως να µπορούσαµε να προχωρήσουµε µε το έλασσον (=την ενηµέρωσή τους, πάνω στην δικαιολογητική βάση της µεταξύ µας σύµβασης εργασίας), για παν ενδεχόµενο, προτείναµε, αν συµφωνούν, να µας δώσουν και τη συναίνεση τους... ν µισθωτός µας δεν µας χορηγήσει την 27 συναίνεσή του ή την άρει κατόπιν εορτής, δεν θα υποστεί καµία συνέπεια. πλώς θα προχωρήσουµε κανονικά, µε µόνη την αδιαµφισβήτητη και αποδεδειγµένη ενηµέρωση του, καθώς έχουµε νόµιµη βάση επεξεργασίας.
2. Νόµιµη βάση επεξεργασίας αποτελεί η εκτέλεση των υποχρεώσεών µας από την εργασιακή µας σύµβαση, στην οποία οι εργαζόµενοι είναι συµβαλλόµενα µέρη (άρθρο 6 παρ. 1 περ. β και γ και 3 περ. β του ΓΚΠ∆). Ως εκ τούτου, η µη παροχή συναίνεσης ή η ανάκληση αυτής, δεν µας εµποδίζει να προχωρήσουµε στην επεξεργασία των δεδοµένων του προσωπικού µας που σχετίζονται µε την εκτέλεση των εργασιακών µας υποχρεώσεων από τη σύµβαση εργασίας». Τέλος, η εταιρία στο µετ’ ακρόαση από 28-02-2019 υπόµνηµά της προς την Αρχή (ΑΠ∆ΠΧ Γ/ΕΙ /1965/28.02.2019) δηλώνει ότι, εν τέλει, µοναδική νοµική βάση και για τους τρείς

(3)διαφορετικούς σκοπούς επεξεργασίας των προσωπικών δεδοµένων του προσωπικού της είναι η εργασιακή σχέση και ειδικότερα η εκπλήρωση των υποχρεώσεων που πηγάζουν από αυτήν (άρθρο 6 παρ. 1 περ. β και γ και 3 περ. β του ΓΚΠ∆), ότι επικουρικά θεώρησε ως συµπληρωµατική νοµική βάση τη συγκατάθεση, ότι είναι απολύτως πρόθυµη να εγκαταλείψει τη συγκεκριµένη νοµική βάση (δηλ. της συγκατάθεσης) και ότι θέτει υπόψη της Αρχής, σε αντικατάσταση του Παραρτήµατος 1, νέο σχέδιο εγγράφου µε µοναδική βάση επεξεργασίας την εκτέλεση της σύµβασης εργασίας. 20. Από το περιεχόµενο του Παραρτήµατος Ι και από τις ανωτέρω παραδοχές της εταιρίας προκύπτει ότι η PWC BS µη σύννοµα επεξεργάζεται δεδοµένα προσωπικού χαρακτήρα των εργαζοµένων της για τους αναφερόµενους από αυτήν σκοπούς, ήτοι κατά παράβαση των διατάξεων του άρθρου 5 παρ. 1 εδ. α’ περίπτωση α’ (αρχή της νοµιµότητας) και παρ. 2 (αρχή της λογοδοσίας) σε συνδυασµό µε το άρθρο 6 παρ. 1 ΓΚΠ∆, καθώς εφαρµόζει ακατάλληλη νοµική βάση (σχετικά πρβλ. τΕ 1847/2017, παρ. 7) και δη αυτή του άρθρου 6 παρ. 1 εδ. α’ ΓΚ∆Π (συγκατάθεση), αντί των κατάλληλων ανά περίπτωση νοµικών βάσεων που προβλέπονται από τις διατάξεις του άρθρου 6 παρ. 1 περ. β’, γ’ και στ’ ΓΚΠ∆, τηρουµένων των σχετικών προϋποθέσεων. Η εφαρµογή της συγκατάθεσης ως νοµικής βάσης επεξεργασίας των δεδοµένων προσωπικού χαρακτήρα κατ’ αρ. 6 παρ. 1 εδ. α’ ΓΚΠ∆ για τους αναφερόµενους από την εταιρία σκοπούς πρέπει να αποκλειστεί, σύµφωνα και µε όσα προεκτέθηκαν στις σκέψεις υπ’ αρ. 9-16 της παρούσας, επειδή: 28 πρώτον, δεν νοείται παροχή έγκυρης και ελεύθερης συγκατάθεσης για την επεξεργασία των δεδοµένων προσωπικού χαρακτήρα που αφορούν στην παροχή εργασίας λόγω της ανισορροπίας ισχύος µεταξύ εργοδότη και εργαζοµένου, δεύτερον, στη συγκεκριµένη περίπτωση, προϋπόθεση εφαρµογής της συγκατάθεσης ως νοµικής βάσης επεξεργασίας συνιστά ο προηγούµενος αποκλεισµός των νοµικών βάσεων του άρθρου 6 παρ. 1 εδ. β’, γ’ και στ’ ΓΚΠ∆, γεγονός το οποίο δεν συντρέχει, καθώς η εταιρία αναγνωρίζει (έστω και εν µέρει εσφαλµένα όπως θα καταδειχθεί κατωτέρω) ότι «νόµιµη βάση επεξεργασίας αποτελεί η εκτέλεση των υποχρεώσεών µας από την εργασιακή µας σύµβαση, στην οποία οι εργαζόµενοι είναι συµβαλλόµενα µέρη (άρθρο 6 παρ. 1 περ. β και γ και 3 περ. β του ΓΚΠ∆)», τρίτον, η επιλογή της κατάλληλης νοµικής βάσης κατ’ αρ. 6 παρ. 1 ΓΚΠ∆ πρέπει να αντιστοιχεί στον νόµιµο σκοπό επεξεργασίας, ώστε εν προκειµένω οι περιγραφόµενοι από την εταιρία τρείς

(3)σκοποί επεξεργασίας (εργασιακή σύµβαση, έννοµες υποχρεώσεις, υπέρτερο έννοµο συµφέρον) να µην βρίσκουν νόµιµο έρεισµα στη νοµική βάση της συγκατάθεσης των εργαζοµένων.

1. Περαιτέρω, η εταιρία δηµιούργησε την εσφαλµένη εντύπωση στους εργαζόµενους ότι επεξεργάζεται τα δεδοµένα προσωπικού χαρακτήρα τους κατ’ εφαρµογή της νοµικής βάσης της συγκατάθεσης κατ’ αρ. 6 παρ. 1 εδ. α’ ΓΚΠ∆, ενώ στην πραγµατικότητα τα επεξεργάζεται µε άλλη νοµική βάση, για την οποία ουδέποτε ενηµερώθηκαν οι εργαζόµενοι, κατά παράβαση της αρχής της διαφάνειας και συνακόλουθα κατά παραβίαση της υποχρέωσης ενηµέρωσης κατ’ άρθρο 13 παρ. 1 εδ. γ’ και 14 παρ. 1 εδ. γ’ ΓΚΠ∆. ηµειώνεται δε ότι η εσφαλµένη επιλογή της εταιρίας να εφαρµόσει στην προκειµένη περίπτωση τη νοµική βάση της συγκατάθεσης προκύπτει και από το γεγονός ότι αφενός, δεν περιέλαβε στο Παράρτηµα 1 την κατ’ άρθρο 13 παρ. 2 εδ. γ’ και 14 παρ. 2 εδ. δ’ ΓΚΠ∆ ενηµέρωση προς τα υποκείµενα των δεδοµένων για την εξασφάλιση θεµιτής και διαφανούς επεξεργασίας και δη ότι δικαιούνται να ανακαλέσουν την συγκατάθεσή τους οποτεδήποτε, όπως ρητά προβλέπεται στο άρθρο 7 παρ. 3 ΓΚΠ∆. Αφετέρου, σε ερώτηµα της Αρχής η εταιρία απάντησε ότι σε περίπτωση «[...] µη παροχή[ς] συναίνεσης ή ανάκληση[ς] αυτής, δεν µας εµποδίζει να προχωρήσουµε στην επεξεργασία των δεδοµένων του προσωπικού µας που σχετίζονται µε την εκτέλεση των εργασιακών µας υποχρεώσεων από τη σύµβαση εργασίας». Από τα 29 στοιχεία του φακέλου της υπόθεσης και την ακροαµατική διαδικασία προέκυψε ότι η δήλωση που περιλαµβάνεται στο Παράρτηµα 1 προς τους εργαζόµενους περί εφαρµογής της νοµικής βάσης της συγκατάθεσης υπήρξε παραπλανητική και µη ανταποκρινόµενη στην πραγµατικότητα, αποστερώντας τη δυνατότητα να ασκήσουν τα έννοµα δικαιώµατά τους, µε αποτέλεσµα να δηµιουργηθεί πεπλανηµένα η εντύπωση στους εργαζόµενους ότι νοµική βάση επεξεργασίας των δεδοµένων προσωπικού χαρακτήρα υπήρξε εκείνη της συγκατάθεσης, καθώς και ότι έχουν µια σειρά δικαιωµάτων από τη χρήση της εν λόγω νοµικής βάσης, όπως π.χ. ότι δικαιούνται ανά πάσα στιγµή να ανακαλέσουν την συγκατάθεσή τους (βλ. άρθρο 13 παρ. 2 εδ. γ’ ΓΚΠ∆), που συνεπάγεται εφεξής την παύση της επεξεργασίας ή ότι δικαιούνται τη διαγραφή των δεδοµένων προσωπικού χαρακτήρα τους και την εφεξής παύση της επεξεργασίας για το µέλλον. Μια τέτοιου είδους παραπλανητική δήλωση επεξεργασίας των δεδοµένων προσωπικού χαρακτήρα των εργαζοµένων καθώς και η ίδια η επεξεργασία καθίσταται, εποµένως, πλέον του µη σύννοµου αυτής κατά τα προεκτεθέντα, επίσης αθέµιτη και αδιαφανής, κατά παράβαση των αρχών του άρθρου 5 παρ. 1 εδ. α’ περ. β’ και γ’ ΓΚΠ∆ (αντικειµενικότητα και διαφάνεια) σε συνδυασµό µε την παραβίαση των επιµέρους υποχρεώσεων ενηµέρωσης που βαρύνουν τον υπεύθυνο επεξεργασίας για την εξασφάλιση θεµιτής και διαφανούς επεξεργασίας κατ’ αρ. 13 και 14 ΓΚΠ∆. Τέλος, η εταιρία προέβαλλε τον ισχυρισµό ότι η εφαρµογή της νοµικής βάσης της συγκατάθεσης υπήρξε συµπληρωµατική - επικουρική και ότι «[...] αντιµέτωποι µε το (ακόµη) νέο και εξειδικευµένο δίκαιο της προστασίας δεδοµένων προσωπικού χαρακτήρα, υιοθετήσαµε συντηρητική προσέγγιση και, αποβλέποντας στη µέγιστη δυνατή διασφάλισή µας, αλλά και προκειµένου να µην διακινδυνεύσουµε ούτε καν να θεωρηθεί ότι ενδεχοµένως να παραβιάζουµε δικαίωµα µισθωτού µας, ζητήσαµε και τη συναίνεση του προσωπικού µας» (αρ. πρωτ. ΑΠ∆ΠΧ 365/18-01-2019). Πέραν όσων προαναφέρθηκαν, θα πρέπει να επισηµανθεί συµπληρωµατικά ότι, σε περίπτωση κατά την οποία ο υπεύθυνος επεξεργασίας έχει αµφιβολίες για τη νοµιµότητα της επεξεργασίας, οφείλει σύµφωνα µε τις διατάξεις του ΓΚΠ∆ και ιδίως µε βάση τις αρχές του άρθρου 5 παρ. 1 ΓΚΠ∆ και την υποχρέωση λογοδοσίας κατά την παράγραφο 2 του ίδιου άρθρου, να άρει αυτές προ της επεξεργασίας ή να απέχει από την επεξεργασία µέχρι την άρση των αµφιβολιών. 30 Εποµένως, η από µέρους της εταιρίας επίκληση του ισχυρισµού περί εφαρµογής της «συµπληρωµατικής-επικουρικής» νοµικής βάσης της συγκατάθεσης λόγω του «(ακόµη) νέου και εξειδικευµένου δικαίου της προστασίας δεδοµένων προσωπικού χαρακτήρα», αφενός, δεν βρίσκει έρεισµα στις διατάξεις και στο πνεύµα του ΓΚΠ∆, αφετέρου, καταδεικνύει ότι η εταιρία αµφέβαλε για την επιλογή της κατάλληλης νοµικής βάσης κατ’ αρ. 6 παρ. 1 ΓΚΠ∆ και προσπάθησε να προστατεύσει εαυτή (και) από την τυχόν διαπίστωση παραβίασης των διατάξεων του ΓΚΠ∆ («υιοθετήσαµε συντηρητική προσέγγιση και, αποβλέποντας στη µέγιστη δυνατή διασφάλιση µας») επιλέγοντας και δεύτερη νοµική βάση. Την αµφιβολία όµως για τη νοµιµότητα της επεξεργασίας η εταιρία όφειλε να την άρει µε την επιλογή της κατάλληλης νοµικής βάσης ανά κατηγορία επεξεργασίας ή µε την αποχή από την επεξεργασία και όχι µε την (επικαλούµενη από την ίδια) εφαρµογή «συµπληρωµατικής-επικουρικής» βάσης, για την οποία, ούτως ή άλλως, ουδέποτε ενηµερώθηκαν οι εργαζόµενοι. Για τους προαναφερόµενους λόγους θα πρέπει να απορριφθεί ο ισχυρισµός της εταιρίας περί εφαρµογής της συγκατάθεσης ως δήθεν «επικουρικήςσυµπληρωµατικής» νοµικής βάσης επεξεργασίας.
2. Όπως προεκτέθηκε (βλ. ανωτέρω παρ. 18, iii), η επεξεργασία των δεδοµένων προσωπικού χαρακτήρα των εργαζοµένων από την εταιρία αποσκοπεί στην εκτέλεση της σύµβασης της εργασίας, στην εκπλήρωση των έννοµων υποχρεώσεών της και στην επίτευξη των εννόµων συµφερόντων της. Η εταιρία κατόπιν νέας δήλωσής της προτίθεται να εφαρµόσει ως κατάλληλη νοµική βάση για την επίτευξη των ανωτέρω τριών

(3)σκοπών επεξεργασίας εκείνη του άρθρου 6 παρ. 1 εδ. β’ ΓΚΠ∆, ενώ οφείλει να εφαρµόζει επιπλέον τις αντίστοιχα (προς τους σκοπούς επεξεργασίας) προβλεπόµενες νοµικές βάσεις του άρθρου 6 παρ. 1 εδ. γ’ και στ’ ΓΚΠ∆, εφόσον πληρούνται οι κατ’ ιδίαν προϋποθέσεις εφαρµογής της κάθε µιας. Έτσι, η επεξεργασία δεδοµένων προσωπικού χαρακτήρα των εργαζοµένων για την εκπλήρωση των υποχρεώσεων της εταιρίας που απορρέουν από την εργατική, ασφαλιστική, φορολογική, τελωνειακή, ευρωπαϊκή και λοιπή νοµοθεσία διενεργείται σύµφωνα µε τη νοµική βάση του άρθρου 6 παρ. 1 εδ. γ’ ΓΚΠ∆, ενώ η επεξεργασία στο πλαίσιο άσκησης του διευθυντικού δικαιώµατος για τη βέλτιστη οργάνωση της επιχείρησης, περιλαµβανοµένου του ελέγχου των µέσων επικοινωνίας και 31 εξοπλισµού, δύναται να διενεργηθεί σύµφωνα µε τη νοµική βάση του άρθρου 6 παρ. 1 εδ. στ’ ΓΚΠ∆, εφόσον πληρούνται οι προϋποθέσεις της εν λόγω ρύθµισης και µε βάση συγκεκριµένες διαδικασίες και εγγυήσεις (βλ. ΑΠ∆ΠΧ 34/2018). Εποµένως, η PWC BS µη σύννοµα επεξεργάζεται δεδοµένα προσωπικού χαρακτήρα των εργαζοµένων της για τους αναφερόµενους από αυτήν σκοπούς, ήτοι κατά παράβαση των διατάξεων του άρθρου 5 παρ. 1 εδ. α’ και παρ. 2 (αρχή της λογοδοσίας) σε συνδυασµό µε το άρθρο 6 παρ. 1 ΓΚΠ∆, καθώς εφαρµόζει εν µέρει ακατάλληλη νοµική βάση και δη αυτή του άρθρου 6 παρ. 1 εδ. β’ ΓΚ∆Π (εκτέλεση σύµβασης), αντί των κατάλληλων ανά περίπτωση νοµικών βάσεων που προβλέπονται από τις διατάξεις του άρθρου 6 παρ. 1 περ. γ’ και στ’ ΓΚΠ∆.

1. Η εταιρία επεξεργάζεται, κατά παράβαση του άρθρου 5 παρ. 1 εδ. α’ ΓΚΠ∆ όπως προεκτέθηκε, τα δεδοµένα προσωπικού χαρακτήρα των εργαζοµένων της, τα οποία δηµιουργούνται από τη χρήση των µέσων επικοινωνίας και του ηλεκτρονικού εξοπλισµού ιδιοκτησίας της, σε όσες περιπτώσεις τους έχουν παραχωρηθεί. Από το Παράρτηµα 1 προκύπτει ότι η εταιρία ζήτησε την παροχή συγκατάθεσης των εργαζοµένων, προκειµένου να προβαίνει σε έλεγχο και παρακολούθηση των προαναφερόµενων µέσων επικοινωνίας και ηλεκτρονικού εξοπλισµού. Επίσης, από την προσκοµισθείσα από την εταιρία έκθεση εκτίµηση αντικτύπου (DPIA) για την υπηρεσία “Splunck Logging” προκύπτει ότι αποκλειστική νοµική βάση επεξεργασίας των δεδοµένων προσωπικού χαρακτήρα των εργαζοµένων της για τον έλεγχο των µέσων επικοινωνίας και ηλεκτρονικού εξοπλισµού συνιστά η συγκατάθεση (σελ. 7). Εν συνεχεία και µε βάση τα υποµνήµατά της, η εταιρία ανασκευάζει δηλώνοντας ότι δεν «παρακολουθεί» τις επικοινωνίες του προσωπικού της, τηλεφωνικές ή ηλεκτρονικές και ότι επρόκειτο περί «φραστικής αστοχίας» η οποία διορθώθηκε στο σχέδιο δήλωσης που πρόκειται να αντικαταστήσει το Παράρτηµα
2. Προς επίρρωση του ισχυρισµού περί µη παρακολούθησης των επικοινωνιών του προσωπικού της, η εταιρία παρείχε πληροφορίες για τα λογισµικά και τα συστήµατα που χρησιµοποιεί για την προστασία των πληροφοριών του οργανισµού, του εταιρικού δικτύου, των µέσων επικοινωνιών κ.λπ. προσκόµισε δε σχετικές πολιτικές ασφαλείας. Η Αρχή έχει αναλυτικά αναφερθεί στις προϋποθέσεις, διαδικασίες και εγγυήσεις ελέγχου των µέσων επικοινωνίας και ηλεκτρονικού εξοπλισµού των 32 εργαζοµένων από τον εργοδότη µε την υπ’ αρ. 34/2018 απόφασή της, στο πλαίσιο της οποίας έκρινε ότι ανάµεσα στις προϋποθέσεις σύννοµης επεξεργασίας των δεδοµένων προσωπικού χαρακτήρα περιλαµβάνεται και η κατάρτιση και εφαρµογή εσωτερικού κανονισµού για την ορθή χρήση και λειτουργία του εξοπλισµού και του δικτύου πληροφορικής και επικοινωνιών, παραθέτοντας µάλιστα ελάχιστο περιεχόµενο αυτού (πολιτικές κ.λπ). Η εταιρία προσκόµισε σχετική Πολιτική, η οποία αν και δεν ανταποκρίνεται πλήρως στο περιεχόµενο της υπ’ αρ. 34/2018 απόφασης της Αρχής, καλύπτει βασικές απαιτήσεις της, αν και όχι αναλυτικά. Η Αρχή ήδη έκρινε ότι η εν λόγω επεξεργασία υπήρξε µη σύννοµη, µη θεµιτή και µη διαφανής κατά παράβαση του άρθρου 5 παρ. 1 εδ. α’ ΓΚΠ∆, ώστε να παρέλκει ο περαιτέρω έλεγχος τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠ∆. Επιπλέον, από τα στοιχεία που τέθηκαν ενώπιον της Αρχής, δεν προέκυψε ότι η εταιρία έχει θέσει υπό γενική τεχνική επιτήρηση τα ηλεκτρονικά και άλλα µέσα επικοινωνίας και συνακόλουθα και τις επικοινωνίες των εργαζοµένων και αποδέχεται τον ισχυρισµό της εταιρίας ότι η από µέρους της χρήση της φράσης «παρακολούθηση των µέσων επικοινωνίας και του ηλεκτρονικού εξοπλισµού» δεν ανταποκρινόταν στην κατάσταση των πραγµάτων και υπήρξε άστοχη επιλογή.
3. Η Αρχή µε το από 3.12.2018 και µε αρ. πρωτ. Γ/ΕΞ/9678 έγγραφό της προς την εταιρία PwC BS, ζήτησε να τεθεί υπόψη της η σχετική έγγραφη εσωτερική τεκµηρίωση κατ’ αρ. 5 παρ. 2, 24 και 32 ΓΚΠ∆ (αρχή της λογοδοσίας), επί τη βάση της οποίας η εταιρία κατέληξε στην εφαρµογή της συγκατάθεσης, ως νόµιµης βάσης της επεξεργασίας προσωπικών δεδοµένων των εργαζοµένων, κατ’ αρ. 6 παρ. 1 εδ. α’ ΓΚΠ∆, εν όψει και των περί του αντιθέτου διαλαµβανοµένων στο από 10-7-2018 Υπόµνηµά της, όπου έκανε λόγο για νόµιµη επεξεργασία δεδοµένων για σκοπούς που σχετίζονται µε την εκτέλεση της εργασιακής σύµβασης, δηλαδή µε έτερη νοµική βάση. Η εταιρία ουδέποτε προσκόµισε σχετική έγγραφη εσωτερική τεκµηρίωση, ούτε στα υποµνήµατά της εξήγησε (χωρίς αυτό να υποκαθιστά την υποχρέωση λογοδοσίας ή να θεραπεύει τη σχετική πληµµέλεια) τους λόγους για τους οποίους, προς επίτευξη των αναφεροµένων από την ίδια σκοπών επεξεργασίας, εφάρµοσε κατ’ αρχήν τη νοµική βάση της συγκατάθεσης (άρθρο 6 παρ. 1 εδ. α’ ΓΚΠ∆) και εν 33 συνεχεία δήλωσε ότι προτίθεται να την εγκαταλείψει και να εφαρµόσει µόνο τη νοµική βάση της εκτέλεσης της σύµβασης (άρθρο 6 παρ. 1 εδ. β’ ΓΚΠ∆), ενώ, όπως ήδη έκρινε ανωτέρω η Αρχή, εφαρµογής τυγχάνουν και οι νοµικές βάσεις των άρθρων 6 παρ. 1 εδ. γ’ και στ’ ΓΚΠ∆, τηρουµένων των κατ’ ιδίαν προϋποθέσεων. Η εταιρία όφειλε στο πλαίσιο της εσωτερικής συµµόρφωσης, προ της έναρξης της επεξεργασίας, να εξετάσει την τήρηση των αρχών του άρθρου 5 παρ. 1 ΓΚΠ∆ σε συνδυασµό µε τις νοµικές βάσεις του άρθρου 6 παρ. 1 ΓΚΠ∆ και εφόσον έκρινε ότι πληρούνταν οι προϋποθέσεις εφαρµογής τους, να επιλέξει τις κατάλληλες νοµικές βάσεις για τους αντίστοιχους σκοπούς επεξεργασίας. Με δεδοµένο δε ότι η εταιρία επέλεξε τη νοµική βάση της συγκατάθεσης, όφειλε σύµφωνα µε τα προεκτεθέντα (βλ. παρ.14) να έχει προηγουµένως εξετάσει και αποκλείσει την εφαρµογή των λοιπών νοµικών βάσεων, τεκµηριώνοντας και τους σχετικούς λόγους της επιλογής αυτής, ώστε η Αρχή να έχει τη δυνατότητα ελέγχου της ορθότητας της επιλογής αυτής. Εποµένως, η εταιρία, κατά τούτο, παραβίασε την αρχή της λογοδοσίας. Επιπλέον, όπως αναφέρθηκε στην υπ’ αρ. 18 ii σκέψη της παρούσας η εταιρία µετέφερε και βάρυνε τους εργαζόµενους µε την υποχρέωση λογοδοσίας, µε την οποία η ίδια ήταν επιφορτισµένη σε εκείνη την περίπτωση, κατά παράβαση του άρθρου 5 παρ. 2 ΓΚΠ∆. Ειδικότερα, η εταιρία ζήτησε από τους εργαζόµενους να υπογράψουν στο Παράρτηµα Ι ότι «αναγνωρίζουν»: πρώτον, ότι η συλλογή των δεδοµένων προσωπικού χαρακτήρα τους γίνεται «για σκοπούς που συνδέονται άµεσα µε τις ανάγκες της σχέσης απασχόλησης και οργάνωσης της εργασίας», ενώ όφειλε η ίδια να προσδιορίσει από µόνη της και ανεξαρτήτως της από µέρους των εργαζοµένων «αναγνώρισης» ή µη, τη νοµιµότητα των σκοπών επεξεργασίας και όχι να µεταθέσει το σχετικό βάρος στα υποκείµενα των δεδοµένων. δεύτερον, ότι τα δεδοµένα προσωπικού χαρακτήρα που έθεσαν «υπόψη της Εταιρίας είναι συναφή και πρόσφορα στο πλαίσιο της σχέσης απασχόλησης και της οργάνωσης της εργασίας...», ενώ όφειλε η ίδια να επιλέξει προς επεξεργασία από µόνη της και ανεξαρτήτως της από µέρους των εργαζοµένων «αναγνώρισης» ή µη, µόνον όσα δεδοµένα προσωπικού χαρακτήρα είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία, στο πλαίσιο της εφαρµογής της αρχής της αναλογικότητας, κατ’ αρ. 5 παρ. 1 εδ. γ’ ΓΚΠ∆ (αρχή της ελαχιστοποίησης των δεδοµένων). Εξάλλου, τα υποκείµενα των δεδοµένων δεν έχουν συνήθως ειδικές γνώσεις ερµηνείας και 34 εφαρµογής των διατάξεων του ΓΚΠ∆, ώστε να κρίνουν εάν η επεξεργασία των συναφών δεδοµένων είναι σύµφωνη µε την αρχή της ελαχιστοποίησής τους. Με τον τρόπο αυτό, η εταιρία µετέθεσε το βάρος λογοδοσίας ως προς την εφαρµογή της αρχής της ελαχιστοποίησης των δεδοµένων στα υποκείµενα, ενώ όφειλε η ίδια στο πλαίσιο της εσωτερικής οργάνωσης και συµµόρφωσης να αξιολογήσει από µόνη της ποια δεδοµένα προσωπικού χαρακτήρα είναι συναφή και πρόσφορα προς τον επιδιωκόµενο νόµιµο σκοπό επεξεργασίας, δοθέντος και του ότι η εταιρία ζητά από τους εργαζόµενους τα στοιχεία (δεδοµένα) που της είναι αναγκαία για την επίτευξη των σκοπών της. ε αντίθετη περίπτωση, οι εργαζόµενοι θα προσκόµιζαν όποια στοιχεία (δεδοµένα) επιθυµούσαν οι ίδιοι ή ακόµη και κανένα στοιχείο (δεδοµένο). Εν όψει των ανωτέρω και συνδυαστικά προς τη δήλωση της εταιρίας στο µετ’ ακρόαση υπόµνηµά της προς την Αρχή σύµφωνα µε την οποία: «[...] αντιµέτωποι µε το (ακόµη) νέο και εξειδικευµένο δίκαιο της προστασίας δεδοµένων προσωπικού χαρακτήρα, υιοθετήσαµε συντηρητική προσέγγιση και, αποβλέποντας στη µέγιστη δυνατή διασφάλισή µας, αλλά και προκειµένου να µην διακινδυνεύσουµε ούτε καν να θεωρηθεί ότι ενδεχοµένως να παραβιάζουµε δικαίωµα µισθωτού µας, ζητήσαµε και τη συναίνεση του προσωπικού µας» (αρ. πρωτ. ΑΠ∆ΠΧ 365/18-01-2019), προκύπτει ότι η εταιρία θεώρησε εσφαλµένα ότι µε την υπογραφή από τα υποκείµενα των δεδοµένων των προβλέψεων που περιλαµβάνονται στο Παράρτηµα Ι «απαλλάσσεται κάθε ευθύνης», την στιγµή κατά την οποία µάλιστα, οι εργαζόµενοι δεν έχουν συνήθως, όπως προαναφέρθηκε, τις ειδικές γνώσεις προκειµένου να προβούν σε έλεγχο νοµιµότητας τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠ∆, µε τον οποίο βαρύνεται κατ’ αρ. 5 παρ. 2 ΓΚΠ∆ ο υπεύθυνος επεξεργασίας. Εποµένως, η εταιρία και στην περίπτωση αυτή, παραβίασε την αρχή της λογοδοσίας. Τέλος, η εταιρία µε την επιλογή ακατάλληλων νοµικών βάσεων επεξεργασίας κατ’ αρ. 6 παρ. 1 ΓΚ∆Π (αρχικά της συγκατάθεσης και εν συνεχεία της εκτέλεσης σύµβασης για το σύνολο των σκοπών επεξεργασίας) παραβίασε την εκ του άρθρου 5 παρ. 2 υποχρέωσή της να τηρήσει και να αποδείξει την συµµόρφωσή της µε την παράγραφο 1 του ίδιου άρθρου (αρχή της λογοδοσίας).
4. Εν όψει των ανωτέρω, η Αρχή κρίνει ότι η εταιρία PWC BS ως υπεύθυνος επεξεργασίας: 35 i. υπέβαλε σε µη σύννοµη επεξεργασία κατά παράβαση των διατάξεων του άρθρου 5 παρ. 1 εδ. α’ περ. α’ ΓΚΠ∆ τα δεδοµένα προσωπικού χαρακτήρα των εργαζοµένων της, καθώς εφάρµοσε εν προκειµένω, αρχικά την ακατάλληλη νοµική βάση της συγκατάθεσης και εν συνεχεία την ακατάλληλη (εν µέρει) νοµική βάση της εκτέλεσης της σύµβασης και για τους τρείς

(3)σκοπούς επεξεργασίας. ii. υπέβαλε σε µη θεµιτή και χωρίς διαφανή τρόπο κατά παράβαση των διατάξεων του άρθρου 5 παρ. 1 εδ. α’ περ. β’ και γ’ ΓΚΠ∆ τα δεδοµένα προσωπικού χαρακτήρα των εργαζοµένων της, καθώς τους δηµιούργησε την εσφαλµένη εντύπωση ότι τα επεξεργάζεται κατ’ εφαρµογή της νοµικής βάσης της συγκατάθεσης κατ’ αρ. 6 παρ. 1 εδ. α’ ΓΚΠ∆, ενώ στην πραγµατικότητα τα επεξεργάσθηκε µε άλλη νοµική βάση, για την οποία ουδέποτε ενηµερώθηκαν οι εργαζόµενοι, κατά παράβαση της υποχρέωσης iii. ως υπεύθυνος επεξεργασίας αν και έφερε την ευθύνη, δεν ήταν σε θέση να τηρήσει και να αποδείξει τη συµµόρφωση µε την παράγραφο 1 του άρθρου 5 ΓΚΠ∆ σύµφωνα µε τα προεκτεθέντα υπό i και ii και παραβίασε την προβλεπόµενη από τη διάταξη του άρθρου 5 παρ. 2 ΓΚΠ∆ αρχή της λογοδοσίας, µεταφέροντας το βάρος της απόδειξης της συµµόρφωσης στα υποκείµενα των δεδοµένων σύµφωνα µε τα προεκτεθέντα στην υπ’ αρ. 18 ii σκέψη της παρούσας.

1. Με δεδοµένο ότι η Αρχή διαπίστωσε τη µη σύννοµη επεξεργασία των δεδοµένων προσωπικού χαρακτήρα των υποκειµένων των δεδοµένων λόγω της παραβίασης των αρχών επεξεργασίας δεδοµένων προσωπικού χαρακτήρα που προβλέπονται από τις διατάξεις του άρθρου 5 παρ. 1 εδ. α’ και παρ. 2 ΓΚΠ∆, παρέλκει η εξέταση των υπολοίπων αρχών του ίδιου άρθρου (εδ. β’ έως στ’) καθώς και ο έλεγχος οποιασδήποτε άλλης πράξης επεξεργασίας µεταγενέστερης της συλλογής (π.χ. διαβίβαση δεδοµένων προσωπικού χαρακτήρα εκτός Ελλάδας).
2. ύµφωνα µε τον ΓΚΠ∆ (Αιτ. κ. 148) προκειµένου να ενισχυθεί η επιβολή των κανόνων του παρόντος Κανονισµού, κυρώσεις, συµπεριλαµβανοµένων των διοικητικών προστίµων, θα πρέπει να επιβάλλονται για κάθε παράβαση του παρόντος κανονισµού, επιπρόσθετα ή αντί των κατάλληλων µέτρων που επιβάλλονται από την εποπτική αρχή σύµφωνα µε τον παρόντα Κανονισµό. 36 ε περιπτώσεις παράβασης ελάσσονος σηµασίας ή αν το πρόστιµο που ενδέχεται να επιβληθεί θα αποτελούσε δυσανάλογη επιβάρυνση σε φυσικό πρόσωπο, θα µπορούσε να επιβληθεί επίπληξη αντί προστίµου. Η Αρχή µετά τη διαπίστωση της παραβίασης των διατάξεων του ΓΚΠ∆ κατά τα προεκτεθέντα, λαµβάνοντας υπόψη επιπλέον, πέραν των ανωτέρω, ιδίως: i. Τις Κατευθυντήριες γραµµές για την εφαρµογή και τον καθορισµό διοικητικών προστίµων για τους σκοπούς του Κανονισµού 2016/679 που εκδόθηκαν στις 03-102017 από την Οµάδα Εργασίας του άρθρου 29 (WP 253) ii. Τη ύσταση C

(2003)1422 της Ευρωπαϊκής Επιτροπής της 6-5-2003 «σχετικά µε τον ορισµό των πολύ µικρών, των µικρών και των µεσαίων επιχειρήσεων» και ιδίως το άρθρο 2 παρ. 1 αυτής, σύµφωνα µε το οποίο το αριθµητικό όριο για την υπαγωγή των επιχειρήσεων στις µεγάλες είναι εκείνο των 250 εργαζοµένων και αφού έλαβε δεόντως υπόψη τις διατάξεις του άρθρου 83 ΓΚΠ∆ στο µέτρο που εφαρµόζονται στη συγκεκριµένη περίπτωση και ειδικότερα όσα από τα προβλεπόµενα από την παράγραφο 2 του ίδιου άρθρου κριτήρια αφορούν την συγκεκριµένη περίπτωση που εξετάζεται από την Αρχή : α) τη φύση, τη βαρύτητα και τη διάρκεια της παράβασης, λαµβάνοντας υπόψη τη φύση, την έκταση ή τον σκοπό της σχετικής επεξεργασίας, καθώς και τον αριθµό των υποκειµένων των δεδοµένων που έθιξε η παράβαση και το βαθµό ζηµίας που υπέστησαν και συγκεκριµένα: i. το γεγονός ότι η εταιρία παραβίασε τις από το άρθρο 5 παρ. 1 εδ. α’ ΓΚΠ∆ αρχές της νοµιµότητας, αντικειµενικότητας και διαφάνειας καθώς και την υποχρέωση (αρχή) λογοδοσίας κατ’ αρ. 5 παρ. 2 ΓΚΠ∆, ήτοι παραβίασε θεµελιώδεις αρχές του ΓΚΠ∆ για την προστασία των δεδοµένων προσωπικού χαρακτήρα. ii. το γεγονός ότι η τήρηση των αρχών που προβλέπονται από τις διατάξεις του άρθρου 5 παρ. 1 εδ. α’ και παρ. 2 ΓΚΠ∆ είναι κεφαλαιώδους σηµασίας, πρωτίστως δε, η αρχή της νοµιµότητας, ώστε εάν εκλείπει αυτή να καθίσταται εξ’ αρχής παράνοµη η επεξεργασία, ακόµη και εάν έχουν τηρηθεί οι λοιπές αρχές επεξεργασίας. Οµοίως κεφαλαιώδους σηµασίας καθίσταται η αρχή της λογοδοσίας στο πλαίσιο του νέου µοντέλου συµµόρφωσης που εισήχθη µε τον 37 ΓΚΠ∆, όπου το βάρος συµµόρφωσης και η σχετική ευθύνη βαρύνει τον υπεύθυνο επεξεργασίας, ο οποίος και έχει εφοδιασθεί από τον ΓΚΠ∆ µε τα απαραίτητα εργαλεία συµµόρφωσης. Η παραβίαση της αρχής της λογοδοσίας στην προκειµένη περίπτωση συνίσταται κατ’ αρχήν στο ότι ο υπεύθυνος επεξεργασίας δεν κατάφερε να συµµορφωθεί µε τις επιταγές των αρχών επεξεργασίας του άρθρου 5 παρ. 1 εδ. α’ ΓΚΠ∆ και ιδίως δεν τεκµηρίωσε, στο πλαίσιο της εσωτερικής συµµόρφωσης, τους λόγους επιλογής της νοµικής βάσης κατ’ αρ. 6 παρ. 1 ΓΚΠ∆ ως κατάλληλης για την επίτευξη των σκοπών επεξεργασίας, αδυνατώντας παράλληλα να ανταποκριθεί σε σχετικό αίτηµα της Αρχής. Επιπλέον δε, παραβιάσθηκε η αρχή της λογοδοσίας στο µέτρο κατά το οποίο ο υπεύθυνος επεξεργασίας επιβάρυνε τα υποκείµενα των δεδοµένων µε το σχετικό καθήκον, προκειµένου να συγκατατεθούν ότι τηρήθηκε η κατ’ αρ. 5 παρ. 1 εδ. γ’ ΓΚΠ∆ αρχή της ελαχιστοποίησης των δεδοµένων. Επισηµαίνεται δε ότι η Αρχή αποδίδει ιδιαίτερη σηµασία εν προκειµένω στο ότι ο υπεύθυνος επεξεργασίας δεν παρουσίασε καµία απόδειξη εσωτερικής συµµόρφωσης, από την οποία να προκύπτει η προ της επεξεργασίας, τεκµηρίωση της επιλογής της κατάλληλης, κατά τον ίδιο, νοµικής βάσης κατ’ αρ. 6 παρ. 1 εδ. α’ ΓΚΠ∆. Απόδειξη της εσωτερικής τεκµηρίωσης της συµµόρφωσης δεν συνιστά εν προκειµένω η µεταγενέστερη παροχή εξηγήσεων µέσω υποµνήµατος προς την Αρχή στο πλαίσιο του συναφούς διοικητικού ελέγχου, όπου δεν περιλαµβανόταν βεβαίως σχετική λογοδοσία, αλλά επιχειρηµατολογία αιτιολόγησης της σχετικής επιλογής, ούτε όµως θεραπεύει την παραβίαση της αρχής της λογοδοσίας. iii. το γεγονός ότι η παραβίαση των ανωτέρω αρχών έλαβε χώρα κατά την επεξεργασία δεδοµένων προσωπικού χαρακτήρα υποκειµένων στον τοµέα των εργασιακών σχέσεων, όπου χαρακτηρίζεται από ανισορροπία ισχύος µεταξύ εργοδότη και εργαζοµένων. Η σηµασία που αποδίδεται από τον ΓΚΠ∆ στην επεξεργασία δεδοµένων προσωπικού χαρακτήρα στις εργασιακές σχέσεις καταδεικνύεται από το γεγονός ότι παρέχεται κατά το άρθρο 88 αυτού στον εθνικό νοµοθέτη η δυνατότητα θέσπισης ειδικών κανόνων, προκειµένου να διασφαλιστεί η προστασία των δικαιωµάτων και των ελευθεριών των εργαζοµένων, περιλαµβανοµένων κατάλληλων και ειδικών µέτρων για τη διαφύλαξη της ανθρώπινης αξιοπρέπειας, των εννόµων συµφερόντων και των 38 θεµελιωδών δικαιωµάτων του προσώπου στο οποίο αναφέρονται τα δεδοµένα, µε ιδιαίτερη έµφαση στη διαφάνεια της επεξεργασίας, τη διαβίβαση δεδοµένων εντός οµίλου και τα συστήµατα παρακολούθησης στον χώρο εργασίας. Εποµένως, η τήρηση των αρχών που προβλέπονται από το άρθρο 5 παρ. 1 εδ. α’ και παρ. 2 ΓΚΠ∆ αποκτά εν προκειµένω ιδιαίτερη και βαρύνουσα σηµασία για τον σεβασµό του δικαιώµατος στην προστασία των δεδοµένων προσωπικού χαρακτήρα των εργαζοµένων. iv. το γεγονός ότι η παραβίαση των ανωτέρω αρχών υπάγεται σύµφωνα µε τις διατάξεις του άρθρου 83 παρ. 5 εδ. α’ ΓΚΠ∆ στις περιπτώσεις επιβολής διοικητικών προστίµων έως 20.000.000 EUR ή, σε περίπτωση επιχειρήσεων, έως το 4% του συνολικού παγκόσµιου ετήσιου κύκλου εργασιών του προηγούµενου οικονοµικού έτους, ανάλογα µε το ποιο είναι υψηλότερο, δηλαδή στην ανώτερη προβλεπόµενη κατηγορία του συστήµατος διαβάθµισης διοικητικών προστίµων, η επιβολή των οποίων επιφυλάσσεται αντίστοιχα, κατ’ εφαρµογή της αρχής της αναλογικότητας, στην περίπτωση των πλέον σοβαρών παραβιάσεων του ΓΚΠ∆. Εποµένως, ήδη από τις ρυθµίσεις του ΓΚΠ∆ προκύπτει ότι η παραβίαση των αρχών που προβλέπονται από το άρθρο 5 παρ. 1 εδ. α’ και παρ. 2 ΓΚΠ∆ αντιµετωπίζεται ως µεγαλύτερης βαρύτητας σε σχέση µε τις παραβιάσεις που προβλέπονται από το άρθρο 83 παρ. 4 ΓΚΠ∆. v. το γεγονός της πρόκλησης βλάβης στο δικαίωµα προστασίας των δεδοµένων προσωπικού χαρακτήρα των υποκειµένων από την παραβίαση των προαναφερόµενων αρχών και ειδικότερα πρώτον, η κατά παράβαση του ΓΚΠ∆ επεξεργασία των δεδοµένων προσωπικού χαρακτήρα και δεύτερον, η πεπλανηµένη εντύπωση που δηµιουργήθηκε από τον υπεύθυνο επεξεργασίας στους εργαζόµενους ότι η επεξεργασία των δεδοµένων προσωπικού χαρακτήρα που τους αφορούν λαµβάνει χώρα µε τη νοµική βάση της συγκατάθεσης. Η εσφαλµένη εφαρµογή της νοµικής βάσης της συγκατάθεσης και της παραπλανητικής πληροφόρησης για τα δικαιώµατα των εργαζοµένων µε βάση τη νοµική βάση της συγκατάθεσης είχε ως συνέπεια τη στέρηση των δικαιωµάτων και την άσκηση ελέγχου επί των δεδοµένων προσωπικού χαρακτήρα τους, που προβλέπονται από τις διατάξεις των άρθρων 7 παρ. 3, 39 13, 14, 17 και 18 ΓΚΠ∆ (βλ. Αιτ. κ. 75 ΓΚΠ∆ και ΟΕ 29 για τα διοικητικά πρόστιµα, όπ.π., σελ. 11). vi. Το γεγονός ότι, από τα στοιχεία που τέθηκαν υπόψη της Αρχής, δεν προέκυψε η επέλευση υλικής βλάβης στα υποκείµενα των δεδοµένων – εργαζόµενους, όπως π.χ. η απόλυση κάποιου εργαζόµενου λόγω της µη παροχής συγκατάθεσης στην επεξεργασία των δεδοµένων προσωπικού χαρακτήρα του. vii. το γεγονός ότι οι τρείς

(3)σκοποί επεξεργασίας των δεδοµένων προσωπικού χαρακτήρα των εργαζοµένων περιγράφονταν από την εταιρία ως συµβατοί µε τους συναφείς και επιδιωκόµενους στόχους από την επεξεργασία, χωρίς η Αρχή να υπεισέρχεται στον συναφή έλεγχο νοµιµότητας, σύµφωνα µε όσα προεκτέθηκαν στην παράγραφο 26 της παρούσας. viii. Το γεγονός ότι η επιλογή των αντίστοιχων, προς τους τρείς

(3)σκοπούς επεξεργασίας, νοµικών βάσεων του άρθρου 6 παρ. 1 ΓΚΠ∆ δεν παρουσίαζε κάποια δυσχέρεια, καθώς δεν αφορούσε πολύπλοκο ή αµφιλεγόµενο ζήτηµα, τη στιγµή κατά την οποία, µάλιστα, τόσο η Αρχή µε την υπ’ αρ. 115/2001 Οδηγία της, αλλά και µε ανάρτηση συναφών πληροφοριών στην ιστοσελίδα της16, όσο και η Οµάδα Εργασίας του άρθρου 29 σε σειρά Γνωµών και Κατευθυντήριων Γραµµών της που αναφέρθηκαν ανωτέρω, έχουν ασχοληθεί µε το ζήτηµα της συγκατάθεσης στον τοµέα των εργασιακών σχέσεων. Επιπλέον δε, ο υπεύθυνος επεξεργασίας τελούσε σε γνώση των Κατευθυντήριων Γραµµών της ΟΕ29 σχετικά µε τη συγκατάθεση, τις οποίες επικαλέσθηκε στα υποµνήµατά του προς την Αρχή, αναφερόµενος επιλεκτικά σε διαφορετικά και ασύνδετα µεταξύ τους τµήµατα, προκειµένου να επιχειρηµατολογήσει υπέρ της ορθότητας της επιλογής της νοµικής βάσης της συγκατάθεσης, διατυπώνοντας όµως συµπεράσµατα διαφορετικά από αυτά που προκύπτουν από τις ίδιες Κατευθυντήριες Γραµµές. ix. το γεγονός ότι η παραβίαση των ανωτέρω αρχών ξεκίνησε από τις 25-5-2018 και εξακολουθεί µέχρι σήµερα, καθώς, ναι µεν η εταιρία µε το µετ’ ακρόαση Υπόµνηµά της (υπ’ αρ. πρωτ. ΑΠ∆ΠΧ 1565/28.02.2019) εξέφρασε την 16 Σχετικά βλ. την θεματική ενότητα «εργασιακές http://www.dpa.gr/portal/page?_pageid=33,125875&_dad=portal&_schema=PORTAL 40 σχέσεις» πρόθεσή της να εγκαταλείψει τη νοµική βάση της συγκατάθεσης και να εφαρµόζει εφεξής τη νοµική βάση της εκτέλεσης της σύµβασης εργασίας και για τους τρείς

(3)σκοπούς επεξεργασίας, πλην όµως, αφενός δεν ενηµέρωσε την Αρχή εν τέλει εάν προέβη στην ανωτέρω µεταβολή, αφετέρου, ακόµη και η εφαρµογή της νοµικής βάσης της εκτέλεσης της σύµβασης εργασίας δεν είναι κατάλληλη για όλες τις σκοπούµενες επεξεργασίες, όπως ήδη κρίθηκε από την Αρχή. x. το γεγονός ότι η παραβίαση των αρχών του άρθρου 5 παρ. 1 εδ. α’ και παρ. 2 ΓΚΠ∆ δεν αφορούσε, µε βάση τα στοιχεία που τέθηκαν υπόψη της Αρχής, δεδοµένα προσωπικού χαρακτήρα των άρθρων 9 και 10 ΓΚΠ∆. xi. το γεγονός ότι η παραβίαση των αρχών του άρθρου 5 παρ. 1 εδ. α’ και παρ. 2 ΓΚΠ∆ αφορούσε δεδοµένα προσωπικού χαρακτήρα που παράγονται από τη χρήση ηλεκτρονικών µέσων επικοινωνιών και άρα άπτεται του δικαιώµατος στο απόρρητο των προσωπικών δεδοµένων στον τοµέα των ηλεκτρονικών επικοινωνιών και εποµένως αφορά τον πυρήνα του συναφούς ατοµικού δικαιώµατος. xii. το γεγονός ότι η παραβίαση των αρχών του άρθρου 5 παρ. 1 εδ. α’ και παρ. 2 σε συνδυασµό µε το άρθρο 6 παρ. 1 ΓΚΠ∆ αφορούσε την επεξεργασία δεδοµένων προσωπικού χαρακτήρα 485 εργαζοµένων και άρα ιδιαίτερα µεγάλου αριθµού, όπως προκύπτει από το άρθρο 2 παρ. 1 της ύστασης C

(2003)1422 της Ευρωπαϊκής Επιτροπής της 6-5-2003 «σχετικά µε τον ορισµό των πολύ µικρών, των µικρών και των µεσαίων επιχειρήσεων», σύµφωνα µε το οποίο το αριθµητικό όριο για την υπαγωγή των επιχειρήσεων στις µεγάλες είναι εκείνο των 250 εργαζοµένων. Το ίδιο όριο έχει ληφθεί υπόψη στο πλαίσιο εφαρµογής των υποχρεώσεων του άρθρου 30 παρ. 5 ΓΚΠ∆ (βλ. και Αιτ. κ. 13). xiii. Το γεγονός ότι η παραβίαση των αρχών του άρθρου 5 παρ. 1 εδ. α’ και παρ. 2 σε συνδυασµό µε το άρθρο 6 παρ. 1 ΓΚΠ∆ αφορούσε το σύνολο σχεδόν του προσωπικού για όλη τη διάρκεια της παροχής της εργασίας του, ώστε να µην πρόκειται περί µιας µεµονωµένης ή ευκαιριακής παράβασης σε βάρος κάποιων εκ των εργαζοµένων, αλλά για µια παράβαση που έχει συστηµικό (δοµικό) χαρακτήρα, καθώς αφορά την πολιτική του υπευθύνου επεξεργασίας σε σχέση µε τη νοµική βάση της επεξεργασίας. 41 β) τον δόλο ή την αµέλεια που προκάλεσε την παράβαση Από τα υποµνήµατα του υπευθύνου επεξεργασίας προκύπτει ότι η εταιρία γνώριζε ότι όφειλε να εφαρµόσει τη νοµική βάση του άρθρου 6 παρ. 1 εδ. β’ ΓΚΠ∆ (εκτέλεση σύµβασης εργασίας), πλην όµως προέκρινε την εφαρµογή της νοµικής βάσης του άρθρου 6 παρ. 1 εδ. α’ ΓΚΠ∆ (συγκατάθεση) ως προς τον έναν σκοπό επεξεργασίας. Ως προς τους άλλους δυο

(2)σκοπούς επεξεργασίας η εταιρία εφαρµόζει ούτως ή άλλως έως σήµερα ακατάλληλη νοµική βάση, σύµφωνα µε τα προεκτεθέντα. Επιπλέον δε, η εταιρία προέβαλλε τον, ήδη απορριφθέντα, ισχυρισµό ότι η εφαρµογή της νοµικής βάσης της συγκατάθεσης υπήρξε συµπληρωµατική επικουρική και ότι «[...] αντιµέτωποι µε το (ακόµη) νέο και εξειδικευµένο δίκαιο της προστασίας δεδοµένων προσωπικού χαρακτήρα, υιοθετήσαµε συντηρητική προσέγγιση και, αποβλέποντας στη µέγιστη δυνατή διασφάλισή µας, αλλά και προκειµένου να µην διακινδυνεύσουµε ούτε καν να θεωρηθεί ότι ενδεχοµένως να παραβιάζουµε δικαίωµα µισθωτού µας, ζητήσαµε και τη συναίνεση του προσωπικού µας» (αρ. πρωτ. ΑΠ∆ΠΧ 365/18-01-2019). Παρά το ότι η από µέρους της εταιρίας επεξεργασία των δεδοµένων προσωπικού χαρακτήρα των εργαζοµένων της παραβίασε και την αρχή της θεµιτής ή δίκαιης επεξεργασίας µε αδιαφανή τρόπο, σύµφωνα µε όσα προεκτέθηκαν, η Αρχή διαπιστώνει ότι οι παραβιάσεις δεν έλαβαν χώρα από δόλο, αλλά, σύµφωνα και µε την ανωτέρω δήλωση της εταιρίας, υπήρξαν αποτέλεσµα ανεπαρκούς γνώσης και εφαρµογής των διατάξεων του ΓΚΠ∆ στο πλαίσιο της οργάνωσης της εσωτερικής συµµόρφωσης, παρά το ότι ο υπεύθυνος επεξεργασίας µπορούσε και όφειλε, ιδίως λόγω της υποχρέωσης λογοδοσίας, να συµµορφωθεί προς τις διατάξεις του ΓΚΠ∆, παραβαίνοντας έτσι το καθήκον επιµέλειας που απαιτείται εκ του νόµου. γ) οποιεσδήποτε ενέργειες στις οποίες προέβη ο υπεύθυνος επεξεργασίας για να µετριάσει τη ζηµία που υπέστησαν τα υποκείµενα των δεδοµένων Ο υπεύθυνος επεξεργασίας, κατόπιν της αποστολής του µετ’ ακρόαση Υποµνήµατός του στην Αρχή, µε το οποίο κατ’ ουσίαν παραδέχεται την παραβίαση 42 του ΓΚΠ∆ δια της επιλογής εσφαλµένης νοµικής βάσης, δεν προέβη σε καµία ενέργεια προκειµένου να αποκαταστήσει τη σχέση εµπιστοσύνης µε τους εργαζόµενους, σύµφωνα µε την αρχή της θεµιτής ή δίκαιης επεξεργασίας των δεδοµένων προσωπικού χαρακτήρα τους µε διαφανή τρόπο, όπως π.χ. ενηµερώνοντάς τους για την ορθή πλέον νοµική βάση επεξεργασίας που εφαρµόζει, για τα πραγµατικά δικαιώµατα που έχουν σύµφωνα µε τον ΓΚΠ∆, για το ότι δεν «παρακολουθεί τα µέσα επικοινωνίας τον ηλεκτρονικό εξοπλισµό τους» και ότι επρόκειτο για µια άστοχη φραστική επιλογή. δ) ως προς τις τυχόν σχετικές προηγούµενες παραβάσεις του υπευθύνου επεξεργασίας, προκύπτει από σχετικό έλεγχο ότι δεν έχει επιβληθεί µέχρι σήµερα διοικητική κύρωση από την Αρχή ε) ως προς τον βαθµό συνεργασίας µε την Αρχή για την επανόρθωση της παράβασης και τον περιορισµό των πιθανών δυσµενών επιπτώσεών της Η Αρχή στο πλαίσιο της εξέτασης της υπόθεσης ζήτησε από την εταιρία να της αποστείλει τη σχετική έγγραφη εσωτερική τεκµηρίωση, στο πλαίσιο της αρχής της λογοδοσίας, από την οποία θα προέκυπτε η προ της επεξεργασίας, τεκµηρίωση της επιλογής της κατάλληλης, κατά την ίδια, νοµικής βάσης κατ’ αρ. 6 παρ. 1 εδ. α’ ΓΚΠ∆. Η εταιρία ουδέποτε ανταποκρίθηκε στο αίτηµα της Αρχής, το οποίο σηµειωτέον, έλαβε χώρα στο πλαίσιο της άσκησης των ελεγκτικών της εξουσιών. Επιπλέον δε, ως έγγραφο εσωτερικής τεκµηρίωσης της συµµόρφωσης δεν νοείται εν προκειµένω η µεταγενέστερη παροχή εξηγήσεων µέσω υποµνήµατος προς την Αρχή στο πλαίσιο του συναφούς διοικητικού ελέγχου, ούτε βεβαίως περιλαµβανόταν σχετική λογοδοσία, αλλά επιχειρηµατολογία αιτιολόγησης της σχετικής επιλογής. Εποµένως, η εταιρία µη ανταποκρινόµενη στο ανωτέρω αίτηµα της Αρχής δεν επέδειξε πρόθεση συνεργασίας σε εκείνο το χρονικό στάδιο, παραβιάζοντας παράλληλα όπως προεκτέθηκε, το καθήκον λογοδοσίας. Αντιθέτως, στο µετ’ ακρόαση υπόµνηµα της εταιρίας προς την Αρχή εκφράσθηκε η πρόθεσή της να εγκαταλείψει τη νοµική βάση της συγκατάθεσης και να εφαρµόζει εφεξής τη νοµική βάση της εκτέλεσης της σύµβασης εργασίας και για τους τρείς

(3)σκοπούς επεξεργασίας, πλην όµως, αφενός, δεν ενηµέρωσε την Αρχή εάν εν τέλει προέβη στην ανωτέρω µεταβολή, αφετέρου, ακόµη και η εφαρµογή της 43 νοµικής βάσης της εκτέλεσης της σύµβασης εργασίας δεν είναι κατάλληλη για όλες τις σκοπούµενες επεξεργασίες, όπως ήδη κρίθηκε από την Αρχή. ε κάθε περίπτωση, η Αρχή αξιολογεί ως ελαφρυντική περίσταση την πρόθεση της εταιρίας να συνεργαστεί στο µετ’ ακρόαση χρονικό στάδιο και να επανορθώσει τις παραβάσεις στις οποίες υπέπεσε. στ) οι κατηγορίες δεδοµένων προσωπικού χαρακτήρα που επηρεάζει η παράβαση και δη ότι δεν πρόκειται για δεδοµένα προσωπικού χαρακτήρα των άρθρων 9 και 10 ΓΚΠ∆, σύµφωνα µε τα στοιχεία που τέθηκαν υπόψη της Αρχής. ζ) ο τρόπος µε τον οποίο η εποπτική αρχή πληροφορήθηκε την παράβαση, ειδικότερα εάν και κατά πόσο ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία κοινοποίησε την παράβαση την προκειµένη περίπτωση, η Αρχή ενηµερώθηκε για τις τελικά διαπιστωθείσες παραβιάσεις κατόπιν καταγγελίας τρίτου, µε αποτέλεσµα να διενεργήσει αυτεπαγγέλτως έλεγχο. η) κάθε άλλο επιβαρυντικό ή ελαφρυντικό στοιχείο που προκύπτει από τις περιστάσεις της συγκεκριµένης περίπτωσης, όπως τα οικονοµικά οφέλη που αποκοµίστηκαν ή ζηµιών που αποφεύχθηκαν, άµεσα ή έµµεσα, από την παράβαση Η Αρχή, πέραν των ανωτέρω, αναγνωρίζει ως επιπλέον ελαφρυντικό στοιχείο ότι από τα στοιχεία που τέθηκαν υπόψη της και µε βάση τα οποία διαπίστωσε την παραβίαση του ΓΚΠ∆, ο υπεύθυνος επεξεργασίας δεν αποκόµισε οικονοµικό όφελος, ούτε προκάλεσε υλική ζηµία στους εργαζόµενους. Η ΑΡΧΗ Αφού έλαβε υπόψη της τα ανωτέρω Επειδή αποφάσισε την κατ’ αρ. 58 παρ. 2 ΓΚΠ∆ άσκηση των διορθωτικών της εξουσιών στη συγκεκριµένη περίπτωση µε την επιβολή διορθωτικών µέτρων 44 Επειδή κατ’ εφαρµογή της διάταξης του άρθρου 58 παρ. 2 εδ. δ’ ΓΚΠ∆ η Αρχή αποφάσισε να δώσει εντολή στην εταιρία «PRICEWATERHOUSECOOPERS BUSINESS SOLUTIONS ΝΩΝΥΜΗ ΕΤ ΙΡΙ Κ Ι ΥΠΗΡΕΣΙΩΝ ΛΟΓΙΣΤΙΚΩΝ Π ΡΟΧΗΣ ΕΠΙΧΕΙΡΗΜ ΤΙΚΩΝ A.E» µε διακριτικό τίτλο «PRICEWATERHOUSECOOPERS BUSINESS SOLUTIONS .Ε.» (…) ως υπεύθυνο επεξεργασίας να καταστήσει τις πράξεις επεξεργασίας των δεδοµένων προσωπικού χαρακτήρα των εργαζοµένων της, όπως περιγράφονται στο υποβληθέν από την ίδια Παράρτηµα Ι, σύµφωνες µε τις διατάξεις του ΓΚΠ∆. Επειδή ειδικότερα η εταιρία θα πρέπει να αποκαταστήσει την ορθή εφαρµογή των διατάξεων του άρθρου 5 παρ. 1 εδ. α’ και παρ. 2 σε συνδυασµό µε το άρθρο 6 παρ. 1 ΓΚΠ∆ σύµφωνα µε τα διαλαµβανόµενα στο σκεπτικό της παρούσας. Επειδή ειδικότερα η εταιρία θα πρέπει εν συνεχεία να αποκαταστήσει και την ορθή εφαρµογή των λοιπών διατάξεων του άρθρου 5 παρ. 1 εδ. β-στ’ ΓΚΠ∆, στο µέτρο που η διαπιστωθείσα παραβίαση επηρεάζει την εσωτερική οργάνωση και συµµόρφωση προς τις διατάξεις του ΓΚΠ∆, λαµβάνοντας κάθε αναγκαίο µέτρο στο πλαίσιο της αρχής της λογοδοσίας. Επειδή η ανωτέρω εντολή θα πρέπει να εκτελεστεί εντός τριών

(3)µηνών από την παραλαβή της παρούσας, ενηµερώνοντας την Αρχή. Επειδή το ανωτέρω διορθωτικό µέτρο δεν επαρκεί από µόνο του για την αποκατάσταση της συµµόρφωσης µε τις παραβιασθείσες διατάξεις του ΓΚΠ∆, την στιγµή κατά την οποία µάλιστα η εταιρία παρά την από µέρους της κατ’ ουσίαν παραδοχή της παραβίασης του ΓΚΠ∆ δια του από 28-02-2019 µετ’ ακρόαση Υποµνήµατός της προς την Αρχή (αρ. πρωτ. ΑΠ∆ΠΧ/Γ/ΕΙ /1565/28.02.2019), ενώ δήλωσε ότι προτίθεται να εγκαταλείψει τη νοµική βάση της συγκατάθεσης, δεν το έπραξε µέχρι σήµερα ενηµερώνοντας την Αρχή. Επειδή η Αρχή κρίνει ότι στη συγκεκριµένη περίπτωση, µε βάση τις περιστάσεις που διαπιστώθηκαν, θα πρέπει κατ’ εφαρµογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ ΓΚΠ∆ να επιβληθεί επιπλέον και αποτελεσµατικό, αναλογικό και αποτρεπτικό 45 διοικητικό χρηµατικό πρόστιµο κατ’ αρ. 83 ΓΚΠ∆, τόσο προς αποκατάσταση της συµµόρφωσης, όσο και για την τιµωρία της παράνοµης αυτής συµπεριφοράς17. Επειδή η διαπιστωθείσα από την Αρχή παραβίαση των διατάξεων των άρθρων 5 και 6 ΓΚΠ∆ υπάγεται σύµφωνα µε τις διατάξεις του άρθρου 83 παρ. 5 εδ. α’ ΓΚΠ∆ στις περιπτώσεις επιβολής διοικητικών προστίµων έως 20.000.000 EUR ή, σε περίπτωση επιχειρήσεων, έως το 4% του συνολικού παγκόσµιου ετήσιου κύκλου εργασιών του προηγούµενου οικονοµικού έτους, ανάλογα µε το ποιο είναι υψηλότερο. Επειδή η Αρχή έλαβε υπόψη της και τις δηµοσιευµένες χρηµατοοικονοµικές καταστάσεις της εταιρίας για τη χρήση από την 01-7-2017 έως τις 20-6-2018, σύµφωνα µε τις οποίες ο καθαρός κύκλος εργασιών της ανήλθε στο ποσό των 41.936.426,00 ευρώ. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η ΑΡΧΗ Α. ∆ίνει εντολή στην εταιρία «PRICEWATERHOUSECOOPERS BUSINESS SOLUTIONS ΛΟΓΙΣΤΙΚΩΝ ΝΩΝΥΜΗ ΕΤ ΙΡΙ ΥΠΗΡΕΣΙΩΝ Π ΡΟΧΗΣ A.E» ΕΠΙΧΕΙΡΗΜ ΤΙΚΩΝ Κ Ι διακριτικό τίτλο µε «PRICEWATERHOUSECOOPERS BUSINESS SOLUTIONS .Ε.» (…) όπως εντός τριών

(3)µηνών από την παραλαβή της παρούσας, ενηµερώνοντας την Αρχή : i. να καταστήσει τις πράξεις επεξεργασίας των δεδοµένων προσωπικού χαρακτήρα των εργαζοµένων της, όπως περιγράφονται στο υποβληθέν από την ίδια Παράρτηµα Ι, σύµφωνες µε τις διατάξεις του ΓΚΠ∆. ii. να αποκαταστήσει την ορθή εφαρµογή των διατάξεων του άρθρου 5 παρ. 1 εδ. α’ και παρ. 2 σε συνδυασµό µε το άρθρο 6 παρ. 1 ΓΚΠ∆ σύµφωνα µε τα διαλαµβανόµενα στο σκεπτικό της παρούσας, 17 Βλ. ΟΕ 29, Κατευθυντήριες γραµµές και την εφαρµογή και τον καθορισµό διοικητικών προστίµων για τους σκοπούς του κανονισµού 2016/679 WP253, σελ. 6 46 iii. να αποκαταστήσει και την ορθή εφαρµογή των λοιπών διατάξεων του άρθρου 5 παρ. 1 εδ. β-στ’ ΓΚΠ∆ στο µέτρο που η διαπιστωθείσα παραβίαση επηρεάζει την εσωτερική οργάνωση και συµµόρφωση προς τις διατάξεις του ΓΚΠ∆ λαµβάνοντας κάθε αναγκαίο µέτρο στο πλαίσιο της αρχής της λογοδοσίας. Β. Επιβάλλει SOLUTIONS ΛΟΓΙΣΤΙΚΩΝ στην εταιρία ΝΩΝΥΜΗ «PRICEWATERHOUSECOOPERS ΕΤ ΙΡΙ ΥΠΗΡΕΣΙΩΝ «PRICEWATERHOUSECOOPERS Π ΡΟΧΗΣ A.E» BUSINESS µε BUSINESS ΕΠΙΧΕΙΡΗΜ ΤΙΚΩΝ Κ Ι διακριτικό τίτλο SOLUTIONS .Ε.» (…) το αποτελεσµατικό, αναλογικό και αποτρεπτικό διοικητικό χρηµατικό πρόστιµο που αρµόζει στη συγκεκριµένη περίπτωση σύµφωνα µε τις ειδικότερες περιστάσεις αυτής, ύψους εκατόν πενήντα χιλιάδων (150.000,00) ευρώ. Ο Αναπληρωτής Πρόεδρος Η Γραµµατέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 47