Διαύγεια και προσωπικά δεδομένα: Παράνομη η ανάρτηση απόφασης που μπορούσε να ταυτοποιήσει εργαζόμενο

Της  δικηγόρου Σουζάνας Κλημεντίδη

Υπόθεση με ιδιαίτερο ενδιαφέρον για τα όρια της διαφάνειας στη δημόσια διοίκηση και την προστασία προσωπικών δεδομένων εργαζομένων απασχόλησε τη Δικαιοσύνη, με αφορμή απόφαση της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα. Η υπόθεση αφορούσε την ανάρτηση στη “Διαύγεια” απόφασης διοικητικού συμβουλίου νομικού προσώπου δημοσίου δικαίου, η οποία σχετιζόταν με παροχή εξουσιοδότησης σε όργανό του για την αντιμετώπιση συμπεριφοράς εργαζομένου.

Η Αρχή είχε διατάξει τη διαγραφή της επίμαχης απόφασης από τη “Διαύγεια” και είχε επιβάλει πρόστιμα σε βάρος του φορέα, κρίνοντας ότι υπήρξε παράνομη επεξεργασία προσωπικών δεδομένων του εργαζομένου, μη απάντηση σε αίτημά του και μη ικανοποίηση αιτήματος διαγραφής των δεδομένων του, κατά παράβαση των άρθρων 6, 12 και 17 του ΓΚΠΔ.

Τα στοιχεία που οδηγούσαν στην ταυτοποίηση

Κρίσιμο στοιχείο της υπόθεσης ήταν ότι, στο κείμενο της αναρτηθείσας απόφασης, ο εργαζόμενος δεν κατονομαζόταν πλήρως. Ωστόσο, περιλαμβάνονταν πληροφορίες στενά συνδεδεμένες με το πρόσωπό του, όπως τα αρχικά του ονόματός του, στοιχεία της υπηρεσιακής του κατάστασης και αναφορές στην εργασιακή του συμπεριφορά.

Οι πληροφορίες αυτές, εξεταζόμενες συνολικά και σε συνδυασμό με το γεγονός ότι η απόφαση είχε αναρτηθεί σε ελεύθερα προσβάσιμο δικτυακό τόπο, κρίθηκε ότι καθιστούσαν δυνατή την ταυτοποίησή του. Η ταυτοποίηση μπορούσε να γίνει κατ’ αρχάς από πρόσωπα του επαγγελματικού ή κοινωνικού του περιβάλλοντος.

Παράλληλα, λόγω των πληροφοριών που περιέχει η “Διαύγεια” για συμβάσεις εργασίας και των τεχνικών δυνατοτήτων αναζήτησης και συνδυασμού δεδομένων, κρίθηκε ότι η ταυτοποίηση ήταν δυνατή, χωρίς δυσανάλογη προσπάθεια, και από απεριόριστο αριθμό χρηστών.

Το κρίσιμο σημείο είναι ότι δεν απαιτείται να αποδειχθεί πως συγκεκριμένα πρόσωπα ταυτοποίησαν πράγματι τον εργαζόμενο. Αρκεί να προκύπτει ότι το υποκείμενο των δεδομένων ήταν ταυτοποιήσιμο με βάση τις διαθέσιμες πληροφορίες και τις περιστάσεις της επεξεργασίας.

Η ανάρτηση στη Διαύγεια ως επεξεργασία προσωπικών δεδομένων

Η ανάρτηση της απόφασης στη “Διαύγεια” κρίθηκε ότι συνιστά αυτοματοποιημένη, εν όλω ή εν μέρει, επεξεργασία προσωπικών δεδομένων. Τα δεδομένα αυτά δεν περιορίζονταν σε ουδέτερες πληροφορίες, αλλά περιλάμβαναν και στοιχεία αξιολογικού χαρακτήρα, δηλαδή απόψεις ή εκτιμήσεις που σχετίζονταν με την εργασιακή συμπεριφορά του εργαζομένου.

Το νομικό πρόσωπο επικαλέστηκε ως βάση της επεξεργασίας την ύπαρξη έννομης υποχρέωσης, κατά το άρθρο 6 παρ. 1 στοιχ. γ΄ ΓΚΠΔ, δηλαδή την υποχρέωση ανάρτησης πράξεων στη “Διαύγεια”. Ωστόσο, η κρίση που διαμορφώθηκε ήταν ότι η συγκεκριμένη πράξη δεν ενέπιπτε στις πράξεις που υποχρεωτικά αναρτώνται.

Οι πράξεις για τις οποίες υπάρχει υποχρέωση ανάρτησης στη “Διαύγεια” απαριθμούνται ρητά, σαφώς και εξαντλητικά στο άρθρο 2 παρ. 4 του ν. 3861/2010. Σε αυτές περιλαμβάνονται, μεταξύ άλλων, οι συμβάσεις εργασίας ιδιωτικού δικαίου ορισμένου χρόνου, οι ανανεώσεις και οι λύσεις τους. Άλλες πράξεις, ακόμη και αν συνδέονται με τη διαδικασία σύναψης, ανανέωσης ή λύσης τέτοιων συμβάσεων, αναρτώνται μόνο εφόσον η δημοσίευσή τους προβλέπεται από ειδική διάταξη νόμου.

Στην προκειμένη περίπτωση, τέτοια ειδική διάταξη δεν υπήρχε. Συνεπώς, η ανάρτηση δεν μπορούσε να στηριχθεί στην έννομη υποχρέωση του φορέα.

Στενή ερμηνεία της νομικής βάσης

Ιδιαίτερη σημασία αποδόθηκε στο ότι, όταν η επεξεργασία προσωπικών δεδομένων στηρίζεται όχι στη συγκατάθεση του υποκειμένου αλλά σε έννομη υποχρέωση του υπευθύνου επεξεργασίας, η σχετική νομική βάση πρέπει να ερμηνεύεται στενά.

Η διάταξη που θεμελιώνει την επεξεργασία πρέπει να είναι σαφής, ακριβής και προβλέψιμη. Δεν αρκεί μια γενική αντίληψη υπέρ της δημοσιότητας των πράξεων της Διοίκησης, ούτε μπορεί να δημιουργηθεί υποχρέωση ανάρτησης από γνωμοδοτήσεις του Νομικού Συμβουλίου του Κράτους που αφορούν διαφορετικές κατηγορίες πράξεων και έχουν εκδοθεί για άλλα ερωτήματα.

Κρίθηκε, επίσης, ότι ενδεχόμενη συγγνωστή πλάνη του φορέα ως προς την υποχρέωση ανάρτησης δεν αναιρεί τη διαπίστωση της παράβασης. Η νομιμότητα της επεξεργασίας κρίνεται αντικειμενικά, με βάση το αν υπήρχε ή όχι νόμιμη βάση κατά τον χρόνο της ανάρτησης.

Γιατί δεν μπορούσαν να εφαρμοστούν άλλες νομικές βάσεις

Απορρίφθηκε και η δυνατότητα θεμελίωσης της επεξεργασίας στο άρθρο 6 παρ. 1 στοιχ. στ΄ ΓΚΠΔ, δηλαδή στο έννομο συμφέρον του υπευθύνου επεξεργασίας. Η νομική αυτή βάση δεν εφαρμόζεται σε δημόσιες αρχές όταν ενεργούν κατά την εκπλήρωση των καθηκόντων τους.

Επίσης, από τη στιγμή που η ανάρτηση πράξεων στη “Διαύγεια” ρυθμίζεται ειδικά από τον νόμο, η νομιμότητα της επεξεργασίας δεν μπορούσε να στηριχθεί ούτε στη σύμβαση, κατά το άρθρο 6 παρ. 1 στοιχ. β΄ ΓΚΠΔ. Η ύπαρξη εργασιακής σχέσης δεν αρκεί για να νομιμοποιήσει τη δημοσιοποίηση στοιχείων στη “Διαύγεια”, εφόσον η δημοσίευση δεν προβλέπεται νομοθετικά.

Αναποδείκτως προβλήθηκε και ο ισχυρισμός περί συγκατάθεσης του εργαζομένου. Δεν προσκομίστηκαν στοιχεία από τα οποία να προκύπτει συγκατάθεση ελεύθερη, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει, όπως απαιτεί ο ΓΚΠΔ.

Πρόστιμα και όρια της εξουσίας της Αρχής

Ως προς τις κυρώσεις, κρίθηκε νόμιμη η επιβολή προστίμων για τις παραβάσεις των άρθρων 6 και 12 του ΓΚΠΔ, δηλαδή για τη μη νόμιμη επεξεργασία και τη μη απάντηση σε αίτημα του υποκειμένου των δεδομένων.

Παράλληλα, κρίθηκε νόμιμη και η εντολή διαγραφής της απόφασης του Διοικητικού Συμβουλίου από τη “Διαύγεια”, στο πλαίσιο των διορθωτικών εξουσιών της Αρχής κατά το άρθρο 58 παρ. 2 ΓΚΠΔ.

Ωστόσο, τέθηκε αυτεπαγγέλτως ζήτημα ως προς το αν υπήρχε νόμιμο έρεισμα για την επιβολή προστίμου ειδικά για παράβαση του άρθρου 17 ΓΚΠΔ, δηλαδή για τη μη ικανοποίηση του δικαιώματος διαγραφής. Και αυτό διότι ο εθνικός νομοθέτης, κάνοντας χρήση της ευχέρειας που παρέχει το άρθρο 83 παρ. 7 ΓΚΠΔ, προέβλεψε με το άρθρο 39 του ν. 4624/2019 τη δυνατότητα επιβολής προστίμων σε δημόσιους φορείς για συγκεκριμένες παραβάσεις, στις οποίες περιλαμβάνονται τα άρθρα 5, 6 και 12 ΓΚΠΔ, όχι όμως και το άρθρο 17.

Η υπόθεση, κατά το μέρος αυτό, παραπέμφθηκε στην επταμελή σύνθεση, προκειμένου να κριθεί το ζήτημα της νομιμότητας του προστίμου για την παράβαση του δικαιώματος διαγραφής.

Η απόφαση αναδεικνύει τα όρια ανάμεσα στη θεμιτή διοικητική διαφάνεια και στην προστασία της ιδιωτικότητας των εργαζομένων. Η “Διαύγεια” δεν μπορεί να λειτουργεί ως χώρος ανεξέλεγκτης δημοσιοποίησης πληροφοριών που καθιστούν ταυτοποιήσιμο ένα πρόσωπο, ιδίως όταν οι πληροφορίες αφορούν την υπηρεσιακή του συμπεριφορά και δεν υπάρχει σαφής νομοθετική υποχρέωση ανάρτησης.