Α Π Ο Φ Α Σ Η
Σύστημα ελέγχου ωραρίου εργασίας προσωπικού
με δακτυλικά αποτυπώματα
Στις 7 Ιουνίου 2007 υποβλήθηκε παράπονο από εργάτη του Κοινοτικού Συμβουλίου Τ. ότι του έχει ζητηθεί από τον εργοδότη του να δώσει τα δακτυλικά του αποτυπώματα τα οποία θα χρησιμοποιούντο για έλεγχο της ώρας προσέλευσης και αναχώρησης από την εργασία.
Με επιστολή μου της ίδίας ημερομηνίας πληροφόρησα το Συμβούλιο τα εξής:
· Η συλλογή, καταχώρηση και χρήση βιομετρικών χαρακτηριστικών, όπως είναι τα δακτυλικά αποτυπώματα, αποτελεί αυτοματοποιημένη επεξεργασία προσωπικών δεδομένων που εμπίπτει στο πεδίο εφαρμογής του περί Επεξεργασίας Δεδομένων Προσωπικού Χαρακτήρα (Προστασία του Ατόμου) Νόμου του 2001 γιατί τα βιομετρικά χαρακτηριστικά είναι δεδομένα προσωπικού χαρακτήρα σύμφωνα με τον ορισμό που εκτίθεται στο άρθρο 2 του Νόμου και συνεπώς η εν λόγω επεξεργασία πρέπει να διεξάγεται βάση τις αρχές και προϋποθέσεις που προβλέπονται στο Νόμο αυτό.
· Η επεξεργασία βιομετρικών δεδομένων στον χώρο εργασίας κρίνεται υπερβολική εκτός από ορισμένες εξαιρετικές περιπτώσεις όπου ο σκοπός της επεξεργασίας επιτρέπει τη χρήση των δεδομένων αυτών.
· Τα βιομετρικά δεδομένα δεν προσδιορίζουν απλώς την ταυτότητα ενός ατόμου, αλλά την επιβεβαιώνουν. Ο εργοδότης για να δικαιολογήσει την αναγκαιότητα χρήσης βιομετρικών δεδομένων, πρέπει να είναι σε θέση να επικαλεστεί εξαιρετικούς λόγους π.χ. ασφάλεια, που επιβάλλουν την υιοθέτηση ανάλογων μέτρων. Πρέπει, επίσης, να είναι σε θέση να αποδείξει ότι η υιοθέτηση οποιωνδήποτε άλλων μέτρων, λιγότερο παρεμβατικών, είναι ανεπαρκής για τους σκοπούς που επιδιώκει. Οι εργοδότες πρέπει πάντα να επιλέγουν το λιγότερο παρεμβατικό τρόπο επεξεργασίας των βιομετρικών δεδομένων των εργοδοτουμένων, ο οποίος να σέβεται την προσωπικότητα και την ιδιωτική τους ζωή.
· Μία από τις βασικές προϋποθέσεις για να είναι νόμιμη μια επεξεργασία είναι η αρχή της αναλογικότητας, με βάση την οποία τα δεδομένα που συλλέγονται πρέπει να είναι συναφή, πρόσφορα και όχι περισσότερα από ότι κάθε φορά είναι απαραίτητο για την εκπλήρωση του σκοπού της επεξεργασίας. Στη περίπτωση αυτή, σκοπός της επεξεργασίας είναι ο έλεγχος της ώρας άφιξης και αναχώρησης των υπαλλήλων από την εργασία τους.
Σε απαντητική επιστολή του, το Κοινοτικό Συμβούλιο ανάφερε τους λόγους που το οδήγησαν στην εγκατάσταση του συστήματος αυτού, η οποία κρίθηκε απαραίτητη λόγω των προβλημάτων που παρουσιάζονταν καθημερινά με το προηγούμενο σύστημα που υπήρχε και που λειτουργούσε με κάρτα (προβλήματα χρήσης της κάρτας, εσκεμμένη βλάβη στο σύστημα από τους χρήστες, ψευδείς δηλώσεις κλπ).
Στη συνέχεια έγινε συνάντηση το Γραφείο μου με εκπροσώπους του Συμβουλίου και της Εταιρείας η οποία είχε εγκαταστήσει το σύστημα λήψης των δακτυλικών αποτυπωμάτων, κατά την οποία δόθηκαν λεπτομέρειες για τη λειτουργία του.Μετά την ακρόαση και αφού έλαβα υπόψη ότι:
(α) Τα δακτυλικά αποτυπώματα συνιστούν προσωπικά δεδομένα των οποίων η επεξεργασία πρέπει να εκτελείται σύμφωνα με τις διατάξεις του Νόμου 138(Ι)/2001, και ότι ο Επίτροπος Προστασίας Δεδομένων Προσωπικού Χαρακτήρα είναι αρμόδια να ελέγξει τη νομιμότητα της επεξεργασίας των προσωπικών αυτών δεδομένων, εφόσον η συγκεκριμένη επεξεργασία που συνίσταται στη συλλογή, σύγκριση και αρχειοθέτηση των βιομετρικών χαρακτηριστικών αποτελεί αυτοματοποιημένη επεξεργασία προσωπικών δεδομένων.
(β) Σε κάθε επεξεργασία προσωπικών δεδομένων, ο υπεύθυνος επεξεργασίας πρέπει να διασφαλίζει ότι τηρούνται οι αρχές και προϋποθέσεις για νόμιμη επεξεργασία, μεταξύ των οποίων είναι και η αρχή της αναλογικότητας με βάση την οποία τα δεδομένα που συλλέγονται πρέπει να είναι συναφή, πρόσφορα και όχι περισσότερα από ότι κάθε φορά είναι απαραίτητο για την εκπλήρωση του σκοπού της επεξεργασίας (άρθρο 4(γ) του Νόμου).
(γ) Είναι γενικά αποδεκτό πως η αναγνώριση του υποκειμένου των δεδομένων με τη μέθοδο της δακτυλοσκόπησης εξυπηρετεί κατά κύριο λόγο την εγκληματολογική πολιτική. Όπως αναφέρεται και σε Απόφαση της Ελληνικής Αρχής Προστασίας Δεδομένων, «η τήρηση αρχείου με δακτυλικά αποτυπώματα για τον έλεγχο της παρουσίας των εργαζομένων, πέρα από την εύλογη αντίδραση των υποκειμένων που προκαλεί, δεν μπορεί να θεωρηθεί ότι βαρύνει περισσότερο από την ανάγκη προστασίας του δικαιώματος του ατόμου στην ιδιωτική του ζωή και δεν συντρέχει λόγος να γίνει εξαίρεση από τη γενική αρχή ότι πληροφορίες τέτοιου είδους συλλέγονται και καταχωρούνται μόνο από αρχές οι οποίες είναι υποχρεωμένες από το νόμο να τηρούν σχετικά αρχεία. Τέτοια εξαίρεση θα μπορούσε να γίνει δεκτή μόνο σε ειδικές περιπτώσεις π.χ. για το σκοπό ελέγχου πρόσβασης σε χώρους απορρήτων αρχείων ή εγκαταστάσεων».
Έκρινα ότι η συλλογή και επεξεργασία δακτυλικών αποτυπωμάτων για σκοπούς ελέγχου της άφιξης και αναχώρησης των εργαζομένων στον και από το χώρο εργασίας παραβιάζει τις διατάξεις του άρθρου 4(1)(γ) και την αρχή της αναλογικότητας.
Εφόσον δε έχει κριθεί ότι η συλλογή των δακτυλικών αποτυπωμάτων είναι παράνομη, η οποιαδήποτε τυχόν συγκατάθεση των εργοδοτουμένων δεν την καθιστά νόμιμη και κάλεσα το Συμβούλιο όπως μέσα σε ένα μήνα από την ημερομηνία κοινοποίησης της Απόφασης διακόψει τη συγκεκριμένη επεξεργασία, τη συλλογή δηλαδή δακτυλικών αποτυπωμάτων και καταστρέψει τα οποιαδήποτε δεδομένα έχουν ήδη συλλεγεί.
Το Συμβούλιο συμμορφώθηκε με τις υποδείξεις μου.
Γούλλα Φράγκου
Επίτροπος Προστασίας Δεδομένων
Προσωπικού Χαρακτήρα
19 Ιουλίου 2007