Υποβλήθηκε στις 18 Μαρτίου 2011 καταγγελία στο Γραφείο μου από τις Συντεχνίες Υπαλλήλων ΣΕΚ και ΠΕΟ, εκ μέρους των υπαλλήλων του Ιδιωτικού Νοσοκομείου Απολλώνειου, σχετικά με την εγκατάσταση συστήματος ελέγχου του χρόνου εργασίας με τη χρήση δακτυλικών αποτυπωμάτων, με το αίτημα να διερευνήσω κατά πόσο αυτή η επεξεργασία παραβιάζει τις πρόνοιες του περί Επεξεργασίας Δεδομένων Προσωπικού Χαρακτήρα (Προστασία του Ατόμου) Νόμου του 2001 (Νόμος 138(Ι)/2001), όπως τροποποιήθηκε, (στο εξής θα αναφέρεται ως «ο Νόμος»).

2. Με την επιστολή μου ημερομηνίας 2 Αυγούστου 2012, έθεσα ενώπιον του Ιδιωτικού Νοσοκομείου Απολλώνειου (στο εξής θα αναφέρεται ως ο «καθ’ου το παράπονο») τα πιο κάτω, τα οποία αποτελούσαν μέχρι τότε την πάγια θέση του Γραφείου μου αναφορικά με την εγκατάσταση συστημάτων ελέγχου του χρόνου εργασίας με τη χρήση δακτυλικών αποτυπωμάτων και του ζήτησα να μου υποβάλει τις θέσεις του:

2.1. Η συλλογή και επεξεργασία βιομετρικών δεδομένων, όπως είναι τα δακτυλικά αποτυπώματα, εμπίπτει στο πεδίο εφαρμογής του Νόμου 138(Ι)/2001. Αρμόδιος να ελέγχει τη νομιμότητα της επεξεργασίας των προσωπικών δεδομένων, είναι ο Επίτροπος Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.

2.2. Η συλλογή και επεξεργασία των δακτυλικών αποτυπωμάτων, που συνιστούν μοναδικά χαρακτηριστικά του ανθρώπινου σώματος, αποτελεί επέμβαση στη σωματική ακεραιότητα και ως εκ τούτου στην ανθρώπινη αξιοπρέπεια και κατά συνέπεια στην ιδιωτική ζωή του ατόμου.

2.3. Σύμφωνα δε, με το άρθρο 8 της Ευρωπαϊκής Σύμβασης των Δικαιωμάτων του Ανθρώπου (ΕΣΔΑ), το δικαίωμα σεβασμού της ιδιωτικής ζωής συνεπάγεται και το δικαίωμα σεβασμού του ανθρώπινου σώματος.

2.4. Με βάση το άρθρο 4(1)(γ) του Νόμου, ο υπεύθυνος επεξεργασίας οφείλει διασφαλίζει ότι τα δεδομένα που συλλέγονται «είναι συναφή, πρόσφορα και όχι περισσότερα από ότι κάθε φορά απαιτείται ενόψει των σκοπών της επεξεργασίας» (Αρχή της Αναλογικότητας).

2.5. Η πιο πάνω Αρχή επιβάλλει όπως ο υπεύθυνος επεξεργασίας, για σκοπούς ελέγχου της πρόσβασης σε εγκαταστάσεις και/ ή της ώρας προσέλευσης και αποχώρησης των εργαζομένων στο χώρο εργασίας τους, επιλέγει άλλα μέσα λιγότερο παρεμβατικά/ επαχθή για την ανθρώπινη αξιοπρέπεια από αυτά που συνεπάγεται η συλλογή και χρήση δακτυλικών αποτυπωμάτων. Ως τέτοια μέσα είναι για παράδειγμα οι συχνοί/ απροειδοποίητοι έλεγχοι από το Διευθυντή/ Προϊστάμενο στο σύστημα της κάρτας, η παρουσία ενός επόπτη στο χώρο όπου λειτουργεί το σύστημα ή εναλλακτικά η τοποθέτηση κάμερας παρακολούθησης πάνω από το μηχάνημα κάρτας.

2.6. Ακόμη και στην περίπτωση όπου ο υπεύθυνος επεξεργασίας/ εργοδότης έχει εξασφαλίσει τη συγκατάθεση των υπαλλήλων, για τη λήψη και επεξεργασία των βιομετρικών δεδομένων τους, η εν λόγω συγκατάθεση δεν αίρει την παρανομία και σε καμία περίπτωση δεν τη νομιμοποιεί, αφού θεωρούμε ότι στον εργασιακό τομέα η συγκατάθεση δεν δίνεται πάντοτε και /ή απόλυτα ελεύθερα.

2.7. Η αναγνώριση του υποκειμένου των δεδομένων με τη μέθοδο της δακτυλοσκόπησης είναι αποδεκτή όταν εξυπηρετεί σκοπούς αντεγκληματικής πολιτικής των διωκτικών αρχών. Επιπλέον, τυχόν χρησιμοποίηση της δυνατό να δικαιολογείται σε στρατιωτικές εγκαταστάσεις ή σε εγκαταστάσεις με απόρρητα αρχεία ή εγκαταστάσεις υψίστης ασφαλείας.

Τα πιο πάνω απορρέουν από έγγραφα της Ομάδας Εργασίας του Άρθρου 29 της Ε.Ε. καθώς επίσης και της Συμβουλευτικής Επιτροπής T-PD της Σύμβασης 108 του Συμβουλίου της Ευρώπης αναφορικά με την επεξεργασία βιομετρικών δεδομένων.

3.1. Στην απαντητική επιστολή του καθ’ου το παράπονο ημερομηνίας 6 Αυγούστου 2012, υπήρξε παραδοχή ότι πράγματι από το 2010 είχε εγκαταστήσει και λειτουργούσε σύστημα επιβεβαίωσης του χρόνου προσέλευσης και αποχώρησης του προσωπικού, το οποίο αναγνωρίζει τον κάθε υπάλληλο με βάση τα δακτυλικά αποτυπώματά του.

3.2. Στην ίδια επιστολή του ο καθ’ου το παράπονο παρέθεσε τους λόγους για τους οποίους έκρινε επιτακτική τη λειτουργία του συστήματος, οι οποίοι μπορούν να συνοψιστούν στους ακόλουθους:

- Η εφαρμογή του συστήματος έγινε ευμενώς δεκτή από όλο το προσωπικό αφού απόφευγε τα διάφορα προβλήματα που προκαλούσε το προηγούμενο σύστημα κάρτας, όταν για παράδειγμα αρκετές φορές οι υπάλληλοι δεν είχαν διαθέσιμη την κάρτα τους ή δεν είχαν το σθένος να αρνηθούν να «χτυπήσουν τη κάρτα» άλλου συναδέλφου τους ο οποίος δεν ήταν παρών.

- Η αξιοποίηση των δεδομένων που επεξεργάζεται το σύστημα δεν γίνεται για οποιοδήποτε άλλο σκοπό εκτός από την επιβεβαίωση της ώρας προσέλευσης και αποχώρησης των υπαλλήλων.

3.3. Περαιτέρω, ο καθ’ου το παράπονο μου ζήτησε να επανεξετάσω τις θέσεις μου για κατ’ εξαίρεση αποδοχή της χρήσης του συστήματος από το Ιδιωτικό Νοσοκομείο Απολλώνειο.

4. Ακολούθησε επιστολή μου ημερομηνίας 20 Αυγούστου 2012, με την οποία ενημέρωσα τον καθ’ου το παράπονο, μεταξύ άλλων, για τα ακόλουθα:

4.1. Είναι γενικά αποδεκτό ότι η αναγνώριση του υποκειμένου των δεδομένων με τη μέθοδο της δακτυλοσκόπησης εξυπηρετεί κατά κύριο λόγο την εγκληματολογική πολιτική. Η ανάγκη του εργοδότη να ελέγχει την παρουσία του υπαλλήλου με τη χρήση των δακτυλικών αποτυπωμάτων δεν μπορεί να θεωρηθεί ότι βαρύνει περισσότερο από την ανάγκη προστασίας του δικαιώματος της ιδιωτικής ζωής των υπαλλήλων. Λαμβάνοντας υπόψη τους λόγους που αναφέρει στην επιστολή του ο καθ’ου το παράπονο, δεν φαίνεται να συντρέχουν λόγοι να γίνει απόκλιση από τη γενική αρχή ότι τέτοιου είδους πληροφορίες συλλέγονται και καταχωρούνται μόνο από τις διωκτικές αρχές οι οποίες έχουν τέτοια εξουσία με βάση το νόμο. Αντίθετα, απόκλιση από τη γενική αρχή θα μπορούσε να γίνει μόνο σε ειδικές περιπτώσεις π.χ. για σκοπούς ελέγχου πρόσβασης σε χώρους υψίστης ασφαλείας ή σε εγκαταστάσεις απόρρητων αρχείων.

4.2. Έστω και αν η πλειοψηφία των υπαλλήλων συμφωνεί με τη χρήση του εν λόγω συστήματος, υπενθυμίζεται ότι έχει υποβληθεί καταγγελία από τις συντεχνίες ΣΕΚ και ΠΕΟ για λογαριασμό των υπαλλήλων του Νοσοκομείου, οι οποίοι δεν συμφωνούν με τη χρήση των δακτυλικών αποτυπωμάτων τους για την καταγραφή του χρόνου εργασίας. Εν πάση περιπτώσει, εφόσον κριθεί ότι η συλλογή των δακτυλικών αποτυπωμάτων παραβιάζει μια από τις βασικές αρχές για νόμιμη επεξεργασία, η συγκατάθεση των εργοδοτουμένων δεν αίρει τυχόν παρανομία και δεν καθιστά την επεξεργασία νόμιμη.

4.3. Στην ίδια επιστολή μου κατέληξα ότι εμμένω στις θέσεις μου και εξακολουθώ να θεωρώ ότι η συλλογή και επεξεργασία δακτυλικών αποτυπωμάτων για σκοπούς ελέγχου του χρόνου προσέλευσης και αποχώρησης των εργοδοτουμένων από την εργασία, εκ πρώτης όψεως, παραβιάζει τις διατάξεις του άρθρου 4(1)(γ) του Νόμου (αρχή της αναλογικότητας) και ότι θα πρέπει να εξευρεθούν άλλοι ηπιότεροι και λιγότερο παρεμβατικοί τρόποι για τον έλεγχο του ωραρίου των εργοδοτουμένων.

4.4. Δόθηκε, τέλος, προθεσμία ενός μηνός στον καθ’ου το παράπονο για εκούσια συμμόρφωση με τις υποδείξεις μου, ο οποίος όμως μέχρι σήμερα δεν φαίνεται να έχει συμμορφωθεί.

5. Έχοντας υπόψη τα πιο πάνω και μετά από προσεκτική μελέτη των θέσεων του καθ’ου το παράπονο όπως έχουν παρατεθεί στην επιστολή του με ημερομηνία 6 Αυγούστου 2012, καθώς και εκείνες που έχουν εκφραστεί προφορικά στην συνάντηση που έγινε στο Γραφείο μου στις 5/9/2012, έχω καταλήξει στα ακόλουθα:

5.1. Οι λόγοι και τα επιχειρήματα που έχουν διατυπωθεί στην επιστολή του καθ’ου το παράπονο με ημερ. 6 Αυγούστου 2012, ότι η εφαρμογή του συστήματος έγινε ευμενώς δεκτή από όλο το προσωπικό αφού απόφευγε τα διάφορα προβλήματα που προκαλούσε το προηγούμενο σύστημα κάρτας, (όπως για παράδειγμα υπάλληλοι να «χτυπήσουν τη κάρτα» άλλου συναδέλφου τους ο οποίος δεν ήταν παρών) και ότι η αξιοποίηση των δεδομένων που επεξεργάζεται το σύστημα δεν γίνεται για οποιοδήποτε άλλο σκοπό εκτός από την επιβεβαίωση της ώρας προσέλευσης και αποχώρησης των υπαλλήλων, θεωρώ ότι δεν αποτελούν την απαραίτητη νομική βάση για την εγκατάσταση και λειτουργία τέτοιου συστήματος δακτυλοσκόπησης για σκοπούς ελέγχου του ωραρίου των υπαλλήλων και ως εκ τούτου θεωρώ ότι υπάρχει παράβαση της αρχής της αναλογικότητας, όπως προβλέπεται από τις διατάξεις του άρθρου 4(1)(γ) του Νόμου. Επιπρόσθετα, θεωρώ ότι υπήρξε αντίφαση στους ισχυρισμούς του καθ’ου το παράπονο «ότι η εφαρμογή του συστήματος έγινε ευμενώς δεκτή από όλο το προσωπικό» λαμβάνοντας υπόψη ότι υποβλήθηκε στο Γραφείο μου γραπτή καταγγελία από τις Συνδικαλιστικές Οργανώσεις /εκπροσώπους των εργοδοτουμένων του καθ’ου το παράπονο σύμφωνα με την οποία κλήθηκα να διερευνήσω κατά πόσο η εφαρμογή συναφούς συστήματος συνιστά παραβίαση των προσωπικών τους δεδομένων.

5.2. Η συλλογή και επεξεργασία δακτυλικών αποτυπωμάτων, τα οποία υπό την ιδιότητα τους ως προσωπικά δεδομένα συνιστούν και μοναδικά χαρακτηριστικά του ανθρώπινου σώματος, τυγχάνουν νόμιμης επεξεργασίας στο πλαίσιο της αντεγκληματικής πολιτικής των διωκτικών αρχών ή προκειμένου να υπάρχει η ενδεδειγμένη ασφάλεια σε στρατιωτικές εγκαταστάσεις ή σε χώρους υψίστης ασφαλείας όπως τα αεροδρόμια.

5.3. Η συλλογή και επεξεργασία των δακτυλικών αποτυπωμάτων για σκοπούς άλλους από τους πιο πάνω αποτελεί παρέμβαση στην ανθρώπινη αξιοπρέπεια και στην προσωπική και ιδιωτική ζωή των ατόμων και ειδικότερα στις περιπτώσεις των σχέσεων εργοδότη και εργοδοτούμενου, όπου υπάρχει μια ετεροβαρής σχέση ένεκα και της εξάρτησης στο πλαίσιο της σχέσης εργασίας.

5.4. Η βιομετρική μέθοδος της δακτυλοσκόπησης με μοναδικό σκοπό τον έλεγχο του ωραρίου εργασίας των υπαλλήλων θεωρώ ότι είναι υπέρμετρη και υπερβολική και ως εκ τούτου αντιβαίνουσα την αρχή της αναλογικότητας, ενώ ο καθ’ου το παράπονο θα μπορούσε να επιλέξει άλλα επιεικέστερα μέσα, λιγότερο επαχθή για την εξυπηρέτηση του επιδιωκόμενου σκοπού, του ελέγχου του ωραρίου των εργοδοτουμένων.

5.5. Η συγκατάθεση των υπαλλήλων για την εγκατάσταση και λειτουργία του συστήματος δακτυλοσκόπησης, δεν αίρει το παράνομο της επεξεργασίας από τη στιγμή που έχει διαπιστωθεί παράβαση της αρχής της αναλογικότητας.

5.6. Σημειώνεται ότι οι πιο πάνω θέσεις μου συμφωνούν με τις θέσεις που εξέφρασαν οι προκάτοχοι μου Επιτρόποι, κα Γούλλα Φράγκου και κα Τούλλα Πολυχρονίδου, οι οποίες έκριναν με Αποφάσεις τους ότι η εν λόγω πρακτική της εγκατάστασης συστημάτων ελέγχου του ωραρίου εργασίας με τη χρήση δακτυλικών αποτυπωμάτων παραβαίνει την αρχή της αναλογικότητας, και, ως τέτοια δεν συνάδει με τις πρόνοιες του Νόμου. Σχετικές είναι οι αποφάσεις τους με αρ. φακ. Α/Π 43/2007, Α/Π 26/2007, Α/Π 50/2008, Α/Π 9/2009 και Α/Π 23/2011.

5.7. Επιπρόσθετα με τα πιο πάνω, σε σχετικό πρόσφατο ερώτημα του Γενικού Νοσοκομείου Λευκωσίας, κατά πόσο η εγκατάσταση τέτοιου συστήματος για σκοπούς ελέγχου της ώρας προσέλευσης και αποχώρησης του προσωπικού του συνάδει και/ ή είναι σύμφωνη με το Νόμο, η απάντηση μου ήταν αρνητική και ως εκ τούτου δεν τους έχει επιτραπεί η εγκατάσταση συναφούς συστήματος.

5.8. Συνεπώς, μια ενδεχόμενη εξαίρεση για το Ιδιωτικό Νοσοκομείο Απολλώνειο θα δημιουργούσε προηγούμενο και θα αποτελούσε παραβίαση της αρχής της ισότητας, ως προνομιακή μεταχείριση του καθ’ου το παράπονο, έχοντας υπόψη τις πιο πάνω περιπτώσεις όπου οι Επίτροποι ζήτησαν από τους υπεύθυνους επεξεργασίας που είχαν εγκαταστήσει τέτοια συστήματα να τα αφαιρέσουν και ειδικότερα την τελευταία περίπτωση του Γενικού Νοσοκομείου Λευκωσίας στο οποίο δεν επετράπη η εγκατάσταση του εν λόγω συστήματος. Να σημειωθεί ότι, οι υπεύθυνοι επεξεργασίας συμμορφώθηκαν με τις αποφάσεις των Επιτρόπων.

5.9. Χρήζει ενδιαφέροντος, επίσης, το γεγονός ότι η εγκατάσταση και λειτουργία συστημάτων δακτυλοσκόπησης για σκοπούς ελέγχου του χρόνου εργασίας δεν επιτρέπεται σε σχεδόν κανένα από τα κράτη μέλη της Ευρωπαϊκής Ένωσης. Οι Αρχές Προστασίας Δεδομένων των κρατών μελών, βασιζόμενες στις εθνικές τους νομοθεσίες και στις συστάσεις της Ομάδας Εργασίας του Άρθρου 29, έκριναν στην πλειοψηφία τους ότι η χρήση των συστημάτων αυτών για σκοπούς ελέγχου του χρόνου εργασίας παραβιάζουν την αρχή της αναλογικότητας και αποτελούν παρέμβαση στην ανθρώπινη αξιοπρέπεια και στην προσωπική και ιδιωτική ζωή των ατόμων.

5.10. Η Ομάδα Εργασίας του Άρθρου 29, στο Έγγραφο Εργασίας σχετικά με τα στοιχεία βιομετρίας της 1ης Αυγούστου 2003, αναφέρει, μεταξύ άλλων, ότι «η συλλογή δακτυλικών αποτυπωμάτων χρησιμοποιείται κυρίως για σκοπούς επιβολής του δικαίου (π.χ στο πλαίσιο ανακρίσεων). Εάν η κοινωνία ενθαρρύνει την ανάπτυξη βάσεων δεδομένων δακτυλικών αποτυπωμάτων ή άλλων στοιχείων βιομετρίας και για άλλες τρέχουσες εφαρμογές, μπορεί να αυξηθεί η πιθανότητα επαναχρησιμοποίησης τους από τρίτους ως συγκριτικών και διερευνητικών στοιχείων για την επιδίωξη των δικών τους στόχων, χωρίς οι στόχοι αυτοί να έχουν προβλεφθεί από την αρχή. Μια ιδιαίτερη ανησυχία που συνδέεται µε τα στοιχεία βιομετρίας είναι ότι το ευρύ κοινό μπορεί να αδυνατεί να συνειδητοποιήσει, µέσω της διευρυμένης χρήσης παρόμοιων δεδομένων, τις επιπτώσεις που μπορεί να έχει η επεξεργασία των δεδομένων αυτών στην καθημερινή του ζωή».

6. Το άρθρο 25(1) του Νόμου προνοεί ότι:

«Ανεξάρτητα από τις διατάξεις του άρθρου 26 ο Επίτροπος μπορεί να επιβάλει στους υπευθύνους επεξεργασίας ή στους τυχόν εκπροσώπους τους ή σε τρίτους τις ακόλουθες διοικητικές κυρώσεις, για παράβαση των υποχρεώσεών τους που απορρέουν από τον παρόντα Νόμο και από κάθε άλλη ρύθμιση που αφορά την προστασία του ατόμου από την επεξεργασία δεδομένων προσωπικού χαρακτήρα:

(α) Προειδοποίηση, με αποκλειστική προθεσμία για άρση της παράβασης,

(β) χρηματική ποινή μέχρι τριάντα χιλιάδες ευρώ (€30,000),

(γ) προσωρινή ανάκληση άδειας,

(δ) οριστική ανάκληση άδειας,

(ε) καταστροφή αρχείου ή διακοπή επεξεργασίας και καταστροφή των σχετικών δεδομένων»,

7. Για τους πιο πάνω λόγους και με βάση τις εξουσίες που μου παρέχει το άρθρο 25(1) του Νόμου, Αποφάσισα όπως:

(α) Επιβάλω στον καθ’ου το παράπονο, Ιδιωτικό Νοσοκομείο Απολλώνειο, τη διοικητική κύρωση της διακοπής της επεξεργασίας και καταστροφής των σχετικών δεδομένων (άρθρο 25(1)(ε) του Νόμου), και να τον καλέσω να προβεί άμεσα στη διακοπή της λειτουργίας του συστήματος δακτυλοσκόπησης και στην καταστροφή των δεδομένων που αφορούν τα δακτυλικά αποτυπώματα των υπαλλήλων,

και,

(β) να καλέσω τον καθ’ου το παράπονο, Ιδιωτικό Νοσοκομείο Απολλώνειο, όπως με ενημερώσει σχετικά με τις ενέργειες στις οποίες έχει προβεί προς συμμόρφωση με τα πιο πάνω εντός ενός μηνός από την ημερομηνία παραλαβής της παρούσας Απόφασης.







Γιάννος Δανιηλίδης
Επίτροπος Προστασίας Δεδομένων
Προσωπικού Χαρακτήρα


2 Οκτωβρίου 2012