GDPR σφηνάκι: To «Μεγάλο Φακέλωμα» εργαζομένων

Πρώτη δημοσίευση: www.ethemis.gr
Ημερομηνία πρώτης δημοσίευσης: 12/10/2020

Αιμίλιος Κορωναίος
Δικηγόρος παρ’ Αρείω Πάγω
LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Τον τίτλου του βιβλίου «Το Μεγάλο Φακέλωμα» του Έντουαρντ Σνόουντεν φέρει συνειρμικά στη μνήμη πρόσφατη υπόθεση παράνομης επεξεργασίας προσωπικών δεδομένων εργαζομένων. Αφορά ηχηρό πρόστιμο ύψους περίπου 35,3 εκατομμυρίων ευρώ το οποίο επέβαλε πριν από λίγες ημέρες η εποπτική αρχή προστασίας προσωπικών δεδομένων του Αμβούργου σε μεγάλη σουηδική, πολυεθνική εταιρεία πώλησης ενδυμάτων. Η εταιρεία προέβαινε παρανόμως, σε εκτενές «φακέλωμα» της ιδιωτικής ζωής πολλών εκ των εργαζομένων της στις εγκαταστάσεις της στη Νυρεμβέργη. Μέσω αυτού, μεταξύ άλλων, καταγράφονταν: οι εμπειρίες από τις διακοπές τους, τα προβλήματα υγείας τα οποία τυχόν είχαν κατά τη διάρκεια της άδειάς τους, ενίοτε οι αντίστοιχες ιατρικές διαγνώσεις, πληροφορίες για «αθώες» λεπτομέρειες της ιδιωτικής καθημερινότητάς τους, οι θρησκευτικές πεποιθήσεις και τα οικογενειακά προβλήματά τους. Στη συνέχεια, τα εν λόγω προσωπικά δεδομένα ήταν κατά περίπτωση διαθέσιμα σε δεκάδες ανώτερα στελέχη της εταιρείας. Αξιοποιούνταν δε στη δημιουργία υπαλληλικού προφίλ, το οποίο διαδραμάτιζε ρόλο στην επαγγελματική εξέλιξή τους. «Το Μεγάλο Φακέλωμα» έγινε απροσδόκητα γνωστό κατόπιν τεχνικού σφάλματος στο οικείο πληροφοριακό σύστημα της εταιρείας, το οποίο κατέστησε ευρέως προσβάσιμα τα προσωπικά δεδομένα στο εσωτερικό της. Αξίζει να σημειωθεί ότι κατόπιν της αποκάλυψης, η διοίκηση της εταιρείας αποφάσισε να αποζημιώσει όσους εργαζόμενους έθιξε η ως άνω πρακτική λόγω της σοβαρότητας των παραβάσεων. Η υπόθεση έχει εξαιρετικό ενδιαφέρον και για την Ελλάδα, δεδομένου ότι το πρόστιμο επιβλήθηκε στο πλαίσιο του Γενικού Κανονισμού Προστασίας Δεδομένων, γνωστού ως GDPR, ο οποίος τυγχάνει πανευρωπαϊκής εφαρμογής. Υπενθυμίζεται, άλλωστε, ότι η πρώτη «GDPR-βόμβα» ύψους 150.000 ευρώ «έπεσε» από την ελληνική εποπτική αρχή το καλοκαίρι του 2019, με την επιβολή προστίμου σε εταιρεία παροχής επιχειρηματικών και λογιστικών υπηρεσιών για παράνομη επεξεργασία προσωπικών δεδομένων εργαζομένων της (απόφαση υπ’ αρ. 26/2019). Οι ελληνικές επιχειρήσεις οφείλουν, λοιπόν, να είναι εξαιρετικά προσεκτικές με τα προσωπικά δεδομένα των εργαζομένων τους, ώστε να τελούν πάντοτε σε συμμόρφωση με το οικείο ρυθμιστικό πλαίσιο. Άλλως, επώδυνες συνέπειες καραδοκούν.