25 Απριλίου 2016
Γνωστοποίηση Σύστασης και Λειτουργίας Αρχείου /Έναρξης Επεξεργασίας ΚΚΒΠ ημερ. 18/2/2016
Απόφαση για απεγκατάσταση ΚΚΒΠ από το εσωτερικό των γραφείων των εργοδοτούμενων και εγκυρότητα συγκατάθεσης στο εργασιακό πλαίσιο
…..
3. Οι ισχυρισμοί και το επιχείρημά σας ότι η λειτουργία της επιχείρησης κατά τις βραδινές ώρες μέσω συστήματος νυκτερινής βάρδιας καθιστούν αναγκαία την εγκατάσταση και λειτουργία ΚΚΒΠ στο χώρο εργασίας τόσο για την ασφάλεια και προστασία των προσωπικών δεδομένων των πελατών σας όσο και του προσωπικού της εταιρείας σας, δεν δικαιολογούν τη συνεχή λειτουργία καμερών και τη λήψη εικόνων από τον εσωτερικό χώρο των γραφείων της εταιρείας σας. Έχει κριθεί κατ’ επανάληψη νομολογιακά ότι είναι θεμιτή και σύννομη η λειτουργία ΚΚΒΠ για σκοπούς ασφάλειας σε χώρους υποδοχής (Ξενοδοχεία), εισόδους και εξόδους, χώρους όπως ταμεία, ή χώρους με χρηµατοκιβώτια ή ηλεκτροµηχανολογικό εξοπλισµό σημαντικών υποδομών υπό την προϋπόθεση ότι οι κάμερες εστιάζουν και λαμβάνουν εικόνες μόνο από το προστατευόμενο αγαθό (ταμείο/ χρηματοκιβώτιο /εξοπλισμό) και όχι από τους χώρους των εργαζομένων.
4. Οι εργαζόμενοι προσερχόμενοι στο χώρο εργασίας τους εξακολουθούν να απολαύουν το δικαίωμα στη ιδιωτική τους ζωή και κανένας εργοδότης δεν μπορεί να τους το στερήσει με την εγκατάσταση και τη λειτουργία ΚΚΒΠ σε συνεχή βάση. Τέτοιοι χώροι όπως είναι τα γραφεία όπου απασχολείται ένας ή μικρός αριθμός υπαλλήλων είναι χώροι στους οποίους ο υπάλληλος έχει υψηλή προσδοκία προστασίας της ιδιωτικής του ζωής και τυχόν επέμβαση στην ατομική σφαίρα της ελευθερίας θα πρέπει να αιτιολογείται ειδικά π.χ σε ειδικές εγκαταστάσεις όπως είναι χώροι με ηλεκτρομηχανολογικές εγκαταστάσεις όπου ο υπεύθυνος βάρδιας ή ο υπεύθυνος ασφαλείας μπορεί να παρακολουθεί σε πραγματικό χρόνο τους χειριστές μηχανημάτων υψηλής επικινδυνότητας με σκοπό να επέμβει άμεσα αν συμβεί κάποιο περιστατικό ασφαλείας καθώς και χώρους όπως (π.χ. στρατιωτικά εργοστάσια, τράπεζες, εγκαταστάσεις υψηλού κινδύνου).
5. Η επεξεργασία που λαμβάνει χώρα κατά τη διάρκεια λειτουργίας της επιχείρησης (έστω κατά τις νυκτερινές ώρες/βάρδιες) μέσω των καμερών που λειτουργούν στο εσωτερικό των γραφείων, υπό τις περιστάσεις και για την επίτευξη του επικληθέντος σκοπού δεν φαίνεται να δικαιολογείται, ως μη συνάδουσα με τις αρχές της αναγκαιότητας και της αναλογικότητας. Πιο συγκεκριμένα, ο υπεύθυνος επεξεργασίας – εργοδότης φαίνεται ότι συλλέγει και επεξεργάζεται περισσότερα δεδομένα από εκείνα που απαιτούνται για την επίτευξη του σκοπού της επεξεργασίας, λαμβάνοντας υπόψη, ότι στην ουσία η χρήση των συγκεκριμένων μέσων οδηγεί στην παρακολούθηση των εργαζομένων κατά την ώρα της εργασίας τους.
6.1 Όσον αφορά στην εξασφάλιση της συγκατάθεσης των υπαλλήλων της εταιρείας όπως σχετικά είχατε ενημερωθεί με την προηγούμενη ταυτάριθμη επιστολή μας κατά γράμμα ότι:
«Ακόμη όμως και στην περίπτωση αυτή αν η λειτουργία του ΚΚΒΠ προσκρούει σε μία από τις βασικές αρχές επεξεργασίας προσωπικών δεδομένων του άρθρου 4 του περί Επεξεργασίας Δεδομένων Προσωπικού Χαρακτήρα (Προστασία του Ατόμου) Νόμου του 2001 (Νόμος 138(Ι)/2001), όπως τροποποιήθηκε (στο εξής «ο Νόμος»), όπως είναι για παράδειγμα η Αρχή της Αναγκαιότητας και της Αναλογικότητας της επεξεργασίας τότε η τυχόν ληφθείσα συγκατάθεση δεν αίρει την παρανομία αυτή και, ως εκ τούτου, συναφής επεξεργασία προσωπικών δεδομένων δεν είναι νόμιμη.».
6.2 Σχετικά είναι τα κάτωθι αποσπάσματα από το Εγχειρίδιο σχετικά με την ευρωπαϊκή νομοθεσία για την προστασία των προσωπικών δεδομένων που ετοίμασε το Συμβούλιο της Ευρώπης:
«Η ελεύθερη συγκατάθεση θα μπορούσε επίσης να απειλείται σε καταστάσεις σχέσεων εξάρτησης, στις οποίες παρατηρείται σημαντική ανισορροπία οικονομικής ή άλλης μορφής ισχύος ανάμεσα στον υπεύθυνο επεξεργασίας που ζητά και το υποκείμενο των δεδομένων που παρέχει τη συγκατάθεση».
Ως σχέσεις εξάρτησης θεωρούνται οι σχέσεις εργοδότη – εργοδοτούμενου.
«Παράδειγμα: Μια μεγάλη εταιρία προτίθεται να δημιουργήσει έναν κατάλογο ο οποίος θα περιέχει τα ονόματα όλων των εργαζομένων, τη θέση τους στην εταιρία και την επαγγελματική τους διεύθυνση, με αποκλειστικό σκοπό τη βελτίωση της ενδοεταιρικής επικοινωνίας. Ο διευθυντής προσωπικού προτείνει να προστεθεί και φωτογραφία κάθε εργαζομένου στον κατάλογο, για να διευκολύνονται π.χ. οι εργαζόμενοι να αναγνωρίζουν τους συναδέλφους τους σε συσκέψεις. Οι εκπρόσωποι των εργαζομένων απαιτούν αυτό να γίνει μόνο με τη συγκατάθεση κάθε εργαζομένου. Σε μια τέτοια περίπτωση, η συγκατάθεση του εργαζομένου γίνεται αποδεκτή ως νομική βάση για την επεξεργασία των φωτογραφιών στον κατάλογο, διότι είναι σαφές ότι η δημοσίευση της φωτογραφίας στον κατάλογο δεν έχει αυτή καθαυτή αρνητικές συνέπειες και, επιπλέον, μπορεί να γίνει πιστευτό ότι ο εργαζόμενος δεν θα υποστεί αρνητικές συνέπειες από τον εργοδότη του εάν δεν συναινέσει στη δημοσίευση της φωτογραφίας του στον κατάλογο.».
6.3 Επισκόπηση των συνηθέστερων προβλημάτων όσον αφορά στην προστασία των προσωπικών δεδομένων στον εργασιακό τομέα γίνεται σε Έγγραφο εργασίας της Ομάδας εργασίας του άρθρου 29, Γνώμη 8/2001, σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα στο εργασιακό πλαίσιο.
Η Ομάδα εργασίας ανέλυσε τη σημασία της συγκατάθεσης ως νομικής βάσης για την επεξεργασία δεδομένων προσωπικού χαρακτήρα στον τομέα της απασχόλησης και κατέληξε στο συμπέρασμα ότι η οικονομική ανισότητα ανάμεσα στον εργοδότη που ζητά και στον εργαζόμενο που παρέχει τη συγκατάθεση συχνά γεννά αμφιβολίες για το κατά πόσον η συγκατάθεση παρασχέθηκε ελεύθερα. Ως εκ τούτου, οι περιστάσεις υπό τις οποίες ζητείται η συγκατάθεση θα πρέπει να εξετάζονται προσεκτικά κατά την εκτίμηση της εγκυρότητας της συγκατάθεσης στο εργασιακό πλαίσιο.
7. Ως εκ των ανωτέρω κατόπιν ενδελεχούς εξέτασης των θέσεών /ισχυρισμών σας, αλλά και όλων των στοιχείων του Φακέλου, και αφού έλαβα υπόψη προηγούμενη σχετική με το θέμα Απόφαση προκατόχου μου Επιτρόπου αλλά και τις ιδιαίτερες περιστάσεις και/ή ιδιαιτερότητες, όπως ισχυρίζεστε, της υπόθεσής σας, σας πληροφορώ για τα κάτωθι:
α) αποτελεί περίπτωση όπου θα μπορούσαν να εφαρμοστούν ηπιότερα και /ή λιγότερο επαχθή μέσα για την επίτευξη του σκοπού που έχετε επικαλεστεί τα οποία βεβαίως δεν θα προσέκρουαν στην προστασία της προσωπικότητας, αξιοπρέπειας και της εν δυνάμει ιδιωτικής ζωής των υπαλλήλων στο χώρο εργασίας τους, ένα παράδειγμα είναι το προσωπικό ασφαλείας, (δεδομένου ότι η προστασία της εταιρείας σας αφορά εξωγενείς παράγοντες (κλέφτες/διαρρήκτες)∙
β) η κάμερα στην είσοδο /σημείο υποδοχής της εταιρείας κρίνεται ως αρκούντος ικανοποιητική, υπό τις περιστάσεις, αφού έχω προσμετρήσει τα ακόλουθα:
- πρόκειται για πολυκατοικία και η μόνη δυνατή δίοδος στην εταιρεία σας η οποία, όπως φαίνεται βρίσκεται στον 4ο όροφο, είναι η κύρια είσοδος όπου υπάρχει εγκατεστημένη και λειτουργεί η κάμερα∙
- η εγκατάσταση και λειτουργία καμερών στην είσοδο έκαστου και στο εσωτερικό των γραφείων πιθανολογεί και/ ή τεκμαίρει, την παρακολούθηση των υπαλλήλων, ως το βασικό σκοπό λειτουργίας τους, και το θέμα ασφάλεια που έχετε θέσει φαίνεται να αφορά ενδογενείς παράγοντες (προσωπικό) και όχι εξωγενείς (ξένοι κλέφτες/διαρρήκτες κλπ)∙
γ) τα μέσα ελέγχου καθώς και τεκμήρια που κάθε ΕΠΕΥ είναι υποχρεωμένη να εφαρμόζει και να τηρεί σύμφωνα με το οικείο νομοθετικό πλαίσιο της Επιτροπής Κεφαλαιαγοράς (βλ. τον περί Επενδυτικών Υπηρεσιών και Δραστηριοτήτων και Ρυθμιζομένων Αγορών Νόμο του 2007, (Νόμος 144(Ι)/2007) θεωρώ ότι διασφαλίζουν σε πολύ ικανοποιητικό βαθμό τα συμφέροντα της εταιρείας κατά την επιχειρηματική της δραστηριότητα. Τέτοια εφαρμοστέα μέσα ελέγχου είναι η μαγνητοφώνηση και /ή καταγραφή με οποιοδήποτε άλλο μέσο των συνδιαλέξεων των πελατών με τους υπαλλήλους της ΕΠΕΥ. Το προϊόν της μαγνητοφώνησης δύναται να χρησιμοποιηθεί ως αποδεικτικό στοιχείο για την απόδειξη της λήψης της εντολής από την ΕΠΕΥ, καθώς και το περιεχόμενο της εντολής. Τα μέσα αυτά έχω την άποψη ότι διασφαλίζουν και προστατεύουν τα συμφέροντα της εταιρείας (από τους ενδογενείς παράγοντες (προσωπικό) καθ’όλη τη διάρκεια της επιχειρηματικής δραστηριότητας τόσο κατά τη διάρκεια της ημερήσιας εργασίας όσο και κατά τη διάρκεια της νυκτερινής βάρδιας∙
δ) το περιεχόμενο της προηγούμενης ταυτάριθμης επιστολής μου ημερ. 29/2/2016 το οποίο υιοθετώ πλήρως∙
έχω καταλήξει:
ότι η σχετική επεξεργασία (οπτικογράφηση και λήψη εικόνων από το εσωτερικό των γραφείων κατά την ώρα που οι υπάλληλοι εργάζονται (νυκτερινές βάρδιες) είναι υπέρμετρη ως αντιβαίνουσα τις Αρχές της Αναγκαιότητας και Αναλογικότητας κατά παράβαση των διατάξεων του άρθρου 4(1)(γ) του περί Επεξεργασίας Δεδομένων Προσωπικού Χαρακτήρα (Προστασία του Ατόμου) Νόμου του 2001, Ν. 138(Ι)/2001, ως εκάστοτε τροποποιείται, (εφεξής «ο Νόμος») σύμφωνα με τις οποίες∙
«-(1) Ο υπεύθυνος επεξεργασίας διασφαλίζει ότι τα δεδομένα προσωπικού χαρακτήρα-
(γ) είναι συναφή, πρόσφορα και όχι περισσότερα από ότι κάθε φορά απαιτείται ενόψει των σκοπών της επεξεργασίας:».
8. Ενόψει της πιο πάνω κατάληξης και με βάση τις εξουσίες που μου αποδίδουν οι διατάξεις του άρθρου 25(1)(α) του Νόμου σας παρέχεται αποκλειστική προθεσμία δύο μηνών από την ημερομηνία λήψης της παρούσας προειδοποίησης για άρση της παράβασης κατά την οποία θα πρέπει να απεγκαταστήσετε το σύστημα ΚΚΒΠ από τις εισόδους των γραφείων και το εσωτερικό των γραφείων των υπαλλήλων σας και με ενημερώσετε σχετικά με τις ενέργειές σας.
Η κάμερα στην είσοδο /σημείο υποδοχής της εταιρείας μπορεί να παραμείνει ως επαρκούσα των σκοπών της συγκεκριμένης επεξεργασίας.
9. Στην περίπτωση δε που δεν υπάρχει πρόθεση για συμμόρφωση με την παραπάνω προειδοποίηση, παρακαλώ όπως με ενημερώσετε, εντός ευλόγου χρόνου, ο οποίος δεν θα υπερβαίνει τις τέσσερις εβδομάδες από την ημερομηνία λήψης της παρούσας επιστολής, σχετικά με τους λόγους για τους οποίους, κατά τη γνώμη σας, δεν θα πρέπει να σας επιβληθεί οποιαδήποτε άλλη διοικητική κύρωση πέρα της προειδοποίησης με βάση τις εξουσίες που μου παρέχουν οι διατάξεις του άρθρου 25(1) του Νόμου, σύμφωνα με τις οποίες:
25.-(1) Ανεξάρτητα από τις διατάξεις του άρθρου 26 ο Επίτροπος μπορεί να επιβάλει στους υπευθύνους επεξεργασίας ή στους τυχόν εκπροσώπους τους ή σε τρίτους τις ακόλουθες διοικητικές κυρώσεις, για παράβαση των υποχρεώσεών τους που απορρέουν από τον παρόντα Νόμο και από κάθε άλλη ρύθμιση που αφορά την προστασία του ατόμου από την επεξεργασία δεδομένων προσωπικού χαρακτήρα:
(α) Προειδοποίηση, με αποκλειστική προθεσμία για άρση της παράβασης,
(β) χρηματική ποινή μέχρι τριάντα χιλιάδες ευρώ (€30,000),
(γ) προσωρινή ανάκληση άδειας,
(δ) οριστική ανάκληση άδειας,
(ε) καταστροφή αρχείου ή διακοπή επεξεργασίας και καταστροφή των σχετικών δεδομένων.
Ειρήνη Λοϊζίδου Νικολαϊδου
Επίτροπος Προστασίας
Δεδομένων Προσωπικού Χαρακτήρα
Ν.Α