Επεξεργασία δεδομένων εργαζομένων

Σύμφωνα με τις διατάξεις του άρθρου 5 παρ. 1 ΓΚΠΔ, προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν νόμιμης επεξεργασίας, ήτοι επεξεργασίας σύμφωνα προς τις απαιτήσεις του ΓΚΠΔ, θα πρέπει να πληρούνται σωρευτικά οι προϋποθέσεις εφαρμογής και τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ. Η ύπαρξη ενός νόμιμου θεμελίου (άρθρο 6 ΓΚΠΔ για τα «απλά» προσωπικά δεδομένα και άρθρο 9 ΓΚΠΔ για τα ειδικών κατηγοριών δεδομένα) δεν απαλλάσσει τον υπεύθυνο επεξεργασίας από την υποχρέωση τήρησης των αρχών (άρθρο 5 παρ. 1 ΓΚΠΔ) αναφορικά με τον θεμιτό χαρακτήρα, την αναγκαιότητα και αναλογικότητα και την αρχή της ελαχιστοποίησης. Σε περίπτωση κατά την οποία παραβιάζεται κάποια εκ των προβλεπόμενων στο άρθρο 5 παρ. 1 ΓΚΠΔ αρχών, η εν λόγω επεξεργασία παρίσταται ως μη νόμιμη (αντικείμενη στις διατάξεις του ΓΚΠΔ) και παρέλκει η εξέταση των προϋποθέσεων εφαρμογής των νομικών βάσεων του άρθρου 6 ΓΚΠΔ.

Ειδικότερα, για την επεξεργασία δεδομένων προσωπικού χαρακτήρα του εργαζομένου που σχετίζονται άμεσα με την εργασιακή του απασχόληση, στην περίπτωση κατά την οποία ο υπεύθυνος επεξεργασίας επιθυμεί να επεξεργαστεί δεδομένα προσωπικού χαρακτήρα τα οποία είναι όντως αναγκαία για την εκτέλεση της σύμβασης θα πρέπει να εφαρμοσθεί για τα «απλά» προσωπικά δεδομένα η νομική βάση του άρθρου 6 παρ. 1 εδ. β’ ΓΚΠΔ, ενώ για την εκπλήρωση των υποχρεώσεων του εργοδότη σε σχέση με την κοινωνική ασφάλιση του εργαζομένου θα πρέπει να εφαρμοσθεί η νομική βάση του άρθρου 6 παρ. 1 εδ. γ’ ΓΚΠΔ. Αντίστοιχα για τα ειδικών κατηγοριών δεδομένα θα πρέπει να εφαρμοσθούν οι νομικές βάσεις του άρθρου 9 παρ. 2 εδ. β’ και εδ. η’ του ΓΚΠΔ.

Η νομική βάση της συγκατάθεσης κατ’ άρθρα 6 παρ. 1 εδ. α’ ΓΚΠΔ για τα «απλά» προσωπικά δεδομένα και 9 παρ. 2 εδ. α’ ΓΚΠΔ για ειδικών κατηγοριών δεδομένα, θα πρέπει να εφαρμοσθεί στις περιπτώσεις που δεν απομένει καμία άλλη νομική βάση εφαρμογής, όπως π.χ. στην περίπτωση κατά την οποία ο εργοδότης ζητά την συγκατάθεση των εργαζομένων προκειμένου να πάρουν μέρος στη μαγνητοσκόπηση στιγμών από τον εργασιακό τους βίο ή π.χ. για τη φωτογράφιση των εργαζομένων προκειμένου να αναρτηθεί η φωτογραφία τους στο εταιρικό ενδοδίκτυο (intranet) μαζί με τα υπόλοιπα στοιχεία επικοινωνίας τους. Και τούτο, διότι η συγκατάθεση δεν θα πρέπει να παρέχει έγκυρη νομική βάση για την επεξεργασία δεδομένων προσωπικού χαρακτήρα, όταν αυτή είναι εξαναγκαστική ή όταν υπάρχει σαφής ανισότητα μεταξύ του υποκειμένου των δεδομένων και του υπευθύνου επεξεργασίας (βλ. αιτ. σκ. 43 ΓΚΠΔ). Επιπλέον δε, σύμφωνα με την ίδια αιτιολογική σκέψη, η συγκατάθεση θεωρείται ότι δεν έχει παρασχεθεί ελεύθερα, όταν η εκτέλεση μιας σύμβασης, συμπεριλαμβανομένης της παροχής μιας υπηρεσίας, προϋποθέτει τη συγκατάθεση, ακόμη και αν η συγκατάθεση αυτή δεν είναι αναγκαία για την εν λόγω εκτέλεση. Επίσης, σύμφωνα με τη Γνώμη 2/2017 της Ομάδας εργασίας του άρθρου 29 (ΟΕ29) της Οδηγίας 95/46/ΕΚ «για την επεξεργασία δεδομένων στην εργασία (data processing at work-WP249)» της 08-6-2017)» και με τις ΟΕ29 Κατευθυντήριες Γραμμές της 10-4-2018 «για την παροχή συγκατάθεσης σύμφωνα με τον ΓΚΠΔ (WP259rev.01)», η ανισορροπία ισχύος μεταξύ εργοδότη και εργαζομένου οδηγεί στο συμπέρασμα ότι, στην πλειονότητα των περιπτώσεων επεξεργασίας προσωπικών δεδομένων στην εργασία, η νομική βάση δεν μπορεί και δεν θα πρέπει να είναι αυτή της συγκατάθεσης, καθώς σπανίως ο εργαζόμενος δύναται να παρέχει έγκυρη συγκατάθεση στον εργοδότη για την επεξεργασία των δεδομένων προσωπικού του χαρακτήρα, όπως ομοίως είχε υποστηριχθεί από την Ομάδα εργασίας του άρθρου 29 στην υπ’ αριθ. 8/2011 παλαιότερη Γνώμη της «(on the processing of personal data in the employment context - WP48 της 13-9-2001)», αλλά γίνεται επίσης δεκτό και από το Συμβούλιο της Ευρώπης.

Τέλος, στο άρθρο 27 του εφαρμοστικού νόμου 4624/2019 ρυθμίζονται ειδικότερα ζητήματα επεξεργασίας προσωπικών δεδομένων στον τομέα των εργασιακών σχέσεων.