Το παρόν άρθρο καταπιάνεται με την επεξεργασία προσωπικών δεδομένων εργοδοτουμένων στο χώρο εργασίας η οποία λαμβάνει τη μορφή προσωπικών δεδομένων (ΠΔ) που συλλέγονται και αποθηκεύονται μέσω Κλειστών Κυκλωμάτων Βιντεοπαρακολούθησης (ΚΚΒΠ), είτε μέσω της συλλογής βιομετρικών δεδομένων, για σκοπούς αξιολόγησης και/ή συμμόρφωσης του εργοδοτουμένου με τις συμβατικές του υποχρεώσεις.

Η ισχύουσα νομοθεσία αναφορικά με την προστασία ΠΔ καθορίζει το πλαίσιο εντός του οποίου προσωπικά δεδομένα μπορούν να τύχουν επεξεργασίας, περιλαμβανομένης και της επεξεργασίας ΠΔ εργοδοτουμένων η οποία λαμβάνει χώρα στον εργασιακό χώρο. Θα πρέπει εκ προοιμίου να αναφερθεί ότι οποιαδήποτε μορφή επεξεργασίας θα πρέπει να είναι σύμφωνη και να συνάδει με τις αρχές οι οποίες καθορίζονται μέσα από τον Γενικό Κανονισμό Προστασίας Προσωπικών Δεδομένων 2016/679 («ο Κανονισμός»). Επεξεργασία ΠΔ η οποία γίνεται με τη χρήση ΚΚΒΠ ή με τη χρήση βιομετρικών δεδομένων αποτελεί αυτοματοποιημένη μορφή επεξεργασίας και εμπίπτει εντός του πεδίου εφαρμογής του άρθρου 2 του Περί Προσωπικών Δεδομένων Νόμου 125(Ι)/2018 («ο Νόμος»).

Ως γενική αρχή, οποιαδήποτε επεξεργασία ΠΔ για να είναι νόμιμη θα πρέπει να στηρίζεται σε κάποια από τις νομικές βάσεις επεξεργασίας οι οποίες προβλέπονται από το Άρθρο 6 του Γενικού Κανονισμού Προστασίας Προσωπικών Δεδομένων 2016/679 («ο Κανονισμός»).

Υπό το πρίσμα των πιο πάνω, η εκάστοτε επιχείρηση-εργοδότης υπό την ιδιότητα της ως υπεύθυνος επεξεργασίας, θα πρέπει να είναι ιδιαίτερα προσεκτική όσον αφορά τη φύση, τους σκοπούς καθώς επίσης και τα μέσα επεξεργασίας των ΠΔ των εργοδοτουμένων της.

Στο σημείο αυτό χρίζει ειδικής αναφοράς το γεγονός ότι σύμφωνα με το άρθρο 35 του Κανονισμού, στις περιπτώσεις όπου ένα είδος επεξεργασίας, ιδίως με χρήση νέων τεχνολογιών, ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας (στην περίπτωση αυτή η εργοδοτούσα επιχείρηση) οφείλει να διενεργεί, πριν από την επεξεργασία, Εκτίμηση Αντικτύπου Προσωπικών Δεδομένων (ΕΑΠΔ) ούτως ώστε να αξιολογηθούν οι επιπτώσεις των σχεδιαζόμενων πράξεων στα υποκείμενα των δεδομένων (στην προκειμένη περίπτωση οι εργοδοτούμενοι στην επιχείρηση).

Εγκατάσταση και Λειτουργία Κλειστών Κυκλωμάτων Βιντεοπαρακολούθησης (ΚΚΒΠ)

Τα τελευταία χρόνια έχει παρατηρηθεί το φαινόμενο αρκετές επιχειρήσεις να προβαίνουν σε εγκατάσταση και λειτουργία ΚΚΒΠ στο χώρο εργασίας. Λόγω και της φύσης της επεξεργασίας η χρήση ΚΚΒΠ θεωρείται ότι περιορίζει το δικαίωμα προστασίας της ιδιωτικής ζωής· επομένως για να είναι επιτρεπτή η εγκατάσταση και λειτουργία ΚΚΒΠ στο χώρο εργασίας θα πρέπει να συνάδει με τις βασικές αρχές του Κανονισμού και συγκεκριμένα με την αρχή της διαφάνειας, την αρχή του περιορισμού του σκοπού, την αρχή της ελαχιστοποίησης των δεδομένων, την αρχή της ακρίβειας των δεδομένων, την αρχή της εμπιστευτικότητας και ακεραιότητας των δεδομένων καθώς επίσης και την αρχή της λογοδοσίας.

Σε ορισμένες περιπτώσεις η χρήση ΚΚΒΠ δύναται να επιτραπεί όπου τέτοια χρήση αποσκοπεί στην διαφύλαξη των συμφερόντων της επιχείρησης, πάντοτε όμως υπό την προϋπόθεση ότι δεν υπάρχουν άλλα μέτρα λιγότερο παρεμβατικά ως προς τα θεμελιώδη δικαιώματα των εργοδοτουμένων. Πιο συγκεκριμένα, η εργοδοτούσα επιχείρηση μπορεί να δικαιολογήσει την εγκατάσταση και χρήση ΚΚΒΠ σε ορισμένους ευαίσθητους χώρους επικαλούμενη την προστασία των έννομων συμφερόντων της τα οποία υπερισχύουν των θεμελιωδών δικαιωμάτων και συμφερόντων των εργοδοτουμένων, όπως είναι το δικαίωμα για προστασία της ιδιωτικής ζωής.

Αντλώντας καθοδήγηση από τη Γνώμη 2/2018 της Επιτρόπου Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, η χρήση βιντεοεπιτήρησης σε χώρους γραφείου θα μπορούσε να δικαιολογηθεί «σε ειδικές εξαιρετικές περιπτώσεις, όπου αυτό δικαιολογείται από τη φύση και τις συνθήκες εργασίας και είναι απαραίτητο για την προστασία της υγείας και της ασφάλειας των εργαζομένων ή την προστασία κρίσιμων εργασίας». Η χρήση ΚΚΒΠ θα πρέπει σε κάθε περίπτωση να περιορίζεται σε σημεία στα οποία είτε φυλάσσονται εξοπλισμός, χρήματα ή τιμαλφή, είτε σε σημεία που εξασφαλίζουν πρόσβαση από και προς το χώρο εργασίας, όπως έξω από ανελκυστήρες, κλιμακοστάσια και χώρους στάθμευσης και πάντοτε υπό την προϋπόθεση ότι οι κάμερες οι οποίες είναι εγκατεστημένες στους χώρους αυτούς εστιάζουν στο αγαθό που προστατεύουν και όχι στους χώρους των εργαζομένων και στα πρόσωπα τους. Μια τέτοια περίπτωση θα μπορούσε να είναι ένα τραπεζικό ίδρυμα το οποίο επιλέγει να εγκαταστήσει ΚΚΒΠ σε ευαίσθητους χώρους εντός των υποκαταστημάτων του (όπως για παράδειγμα πάνω από ταμειακές μηχανές ή μηχανές ΑΤΜ).

Όσον αφορά την προστασία ΠΔ τρίτων προσώπων, η επιχείρηση θα πρέπει να μεριμνήσει ούτως ώστε οποιοδήποτε πρόσωπο εισέρχεται εντός των εγκαταστάσεων της να ενημερώνεται εκ των προτέρων για τη λειτουργία ΚΚΒΠ με την ανάρτηση σχετικών προειδοποιητικών σημάνσεων έξω από τους χώρους όπου υπάρχει εγκατεστημένο σύστημα ΚΚΒΠ στις οποίες να αναφέρονται επίσης τα στοιχεία του υπευθύνου προστασίας δεδομένων της επιχείρησης. Τα μέσα καταγραφής θα πρέπει να φυλάσσονται ασφαλισμένα σε κατάλληλο χώρο στον οποίο πρόσβαση θα έχει μόνο περιορισμένος αριθμός εξουσιοδοτημένων ατόμων, το δε υλικό της βιντεοσκόπισης (video footage) να αποθηκεύεται μόνο για όσο χρονικό διάστημα είναι απολύτως αναγκαίο για την εκπλήρωση του σκοπού της επεξεργασίας ενώ πρόσβαση σε αυτό θα πρέπει να έχουν μόνο αρμόδια (π.χ. αστυνομικές αρχές στο πλαίσιο διερεύνησης για τη διάπραξη αδικημάτων) ή εξουσιοδοτημένα από την επιχείρηση πρόσωπα (υπεύθυνος προστασίας προσωπικών δεδομένων).

Εξ αντιδιαστολής, η επεξεργασία ΠΔ μέσω της χρήσης ΚΚΒΠ εντός του εργασιακού χώρου για σκοπούς αξιολόγησης της επίδοσης των εργοδοτουμένων στα εργασιακά τους καθήκοντα έχει κριθεί ως μέτρο υπέρμετρα παρεμβατικό το οποίο αφ' ενός παραβιάζει την αρχή της αναλογικότητας και αφ' ετέρου το δικαίωμα προστασίας στην ιδιωτική ζωή του εργοδοτουμένου, και ως τέτοιο θεωρείται παράνομο. Επισημαίνεται συναφώς ότι, δεδομένης και της αναγνώρισης της σχέσης εξάρτησης μεταξύ εργοδότη και εργοδοτουμένου (όπου ο εργοδότης θεωρείται ότι κατέχει θέση ισχύος έναντι του εργοδοτουμένου), η εξασφάλιση συγκατάθεσης από τους εργοδοτούμενους, για την εγκατάσταση και λειτουργία ΚΚΒΠ για σκοπούς αξιολόγησης του προσωπικού δεν θεωρείται ότι δίνεται ελεύθερα.

Ως εκ τούτου η χρήση ΚΚΒΠ κατά τον τρόπο αυτό απαγορεύεται, ανεξάρτητα από το κατά πόσον ο εργοδότης έχει εξασφαλίσει την προηγούμενη συγκατάθεση του εργοδοτουμένου αφού η αξιολόγηση της επίδοσης του εργοδοτουμένου από τον εργοδότη μπορεί να επιτευχθεί με μέτρα λιγότερο επαχθή.

Συλλογή και Επεξεργασία Βιομετρικών Δεδομένων

Σύμφωνα με το άρθρο 2 του Νόμου, βιομετρικά δεδομένα είναι τα δεδομένα προσωπικού χαρακτήρα τα οποία προκύπτουν από ειδική τεχνική επεξεργασία συνδεόμενη με φυσικά, βιολογικά ή συμπεριφορικά χαρακτηριστικά φυσικού προσώπου και τα οποία επιτρέπουν ή επιβεβαιώνουν την αδιαμφισβήτητη ταυτοποίηση του εν λόγω φυσικού προσώπου, όπως εικόνες προσώπου ή δακτυλοσκοπικά δεδομένα. Η συλλογή και επεξεργασία βιομετρικών και/ή βιολογικών δεδομένων στο πλαίσιο της σύμβασης εργοδότησης, όπως για παράδειγμα εγκατάσταση και λειτουργία συστήματος δακτυλοσκόπισης ή αναγνώριση προσώπου μέσω οπτικής σάρωσης για οποιοδήποτε σκοπό (όπως π.χ. για σκοπούς ελέγχου τήρησης του ωραρίου των εργοδοτουμένων ή για σκοπούς αξιολόγησης της ικανότητας για εργασίας των εργοδοτουμένων) απαγορεύεται, καθότι παραβιάζει την αρχή της αναλογικότητας καθώς επίσης και το δικαίωμα προστασίας της ιδιωτικής ζωή των εργοδοτουμένων. Παρά το γεγονός ότι ο Κανονισμός προνοεί ότι επεξεργασία βιομετρικών δεδομένων θα μπορούσε να είναι νόμιμη στην περίπτωση εξασφάλισης συγκατάθεσης από το υποκείμενο των δεδομένων (ήτοι τους εργοδοτούμενους της επιχείρησης), τέτοια συγκατάθεση στο πλαίσιο της εργασιακής σχέσης δεν θεωρείται ότι δίνεται ελεύθερα και επομένως δεν αίρει την παρανομία (ισχύουν τα όσα έχουν λεχθεί πιο πάνω στο πλαίσιο επεξεργασίας ΠΔ με τη χρήση ΚΚΒΠ.)

Σημειώνεται ότι επεξεργασία βιομετρικών και/ή βιολογικών δεδομένων μπορεί να επιτραπεί μόνο κατ' εξαίρεση σε χώρους υψίστης ασφαλείας όπως για παράδειγμα αερολιμένες, λιμάνια και στρατιωτικές εγκαταστάσεις για σκοπούς ελέγχου της φυσικής πρόσβασης των εργαζομένων σε αυτούς άλλα όχι για σκοπούς τήρησης του ωραρίου εργασίας.

Για την επίτευξη του επιδιωκόμενου σκοπού -στην προκειμένη περίπτωση για τον έλεγχο της τήρησης του ωραρίου εργασίας- εναπόκειται στον εργοδότη, ως υπεύθυνος επεξεργασίας, να υιοθετήσει μέτρα λιγότερο επαχθή για την ανθρώπινη αξιοπρέπεια όπως είναι η εφαρμογή συστήματος κτυπήματος κάρτας ή η εγκατάσταση κάμερας πάνω από το σύστημα κτυπήματος κάρτας.

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.