Παρακολούθηση Εργαζομένων: Πότε Επιτρέπεται & Τι Πρέπει Να Κάνει Ο Εργοδότης
Σε συντομία
- Ο εργοδότης επεξεργάζεται νόμιμα δεδομένα εργαζομένων μόνο όταν τηρεί σωρευτικά τις αρχές του άρθρου 5 ΓΚΠΔ και στηρίζεται σε έγκυρη νομική βάση του άρθρου 6.
- Η συγκατάθεση σχεδόν ποτέ δεν θεωρείται ελεύθερη στην εργασία λόγω της εξάρτησης. Ενδείκνυται η εκτέλεση της σύμβασης, η έννομη υποχρέωση ή το έννομο συμφέρον.
- Η παρακολούθηση επικοινωνιών, κάμερες και γεωεντοπισμός επιτρέπονται μόνο υπό αναλογικότητα, διαφάνεια και πρότερη έγγραφη ενημέρωση.
- Το άρθρο 27 του Ν 4624/2019 δεν αποτελεί ασφαλές καταφύγιο μετά την απόφαση C-34/21 του Δικαστηρίου της ΕΕ. Η θεμελίωση γίνεται απευθείας στον ΓΚΠΔ.
- Ο κίνδυνος είναι διπλός, καθώς προκύπτουν διοικητικά πρόστιμα της Αρχής και αστική αποζημίωση προς τον εργαζόμενο.
Πότε επιτρέπεται η επεξεργασία δεδομένων των εργαζομένων;
Η επεξεργασία είναι νόμιμη μόνο όταν πληρούνται σωρευτικά δύο προϋποθέσεις.
- Πρώτον, τηρούνται οι αρχές του άρθρου 5 του Κανονισμού (ΕΕ) 2016/679 (Γενικός Κανονισμός για την Προστασία Δεδομένων, ΓΚΠΔ ή GDPR), ιδίως η νομιμότητα, η διαφάνεια, ο περιορισμός σκοπού και η ελαχιστοποίηση.
- Δεύτερον, υπάρχει έγκυρη νομική βάση του άρθρου 6.
Στην εργασία οι συνήθεις βάσεις είναι η εκτέλεση της σύμβασης, η έννομη υποχρέωση και το έννομο συμφέρον.
Ο εργοδότης λειτουργεί ως υπεύθυνος επεξεργασίας (controller) και φέρει το βάρος να αποδεικνύει τη συμμόρφωσή του κατά την αρχή της λογοδοσίας (άρθρο 5 παρ. 2 ΓΚΠΔ). Δεν αρκεί δηλαδή η ύπαρξη νόμιμου σκοπού, αφού η επεξεργασία πρέπει να είναι ταυτόχρονα αναγκαία και ανάλογη προς αυτόν, με τα ηπιότερα διαθέσιμα μέσα.
Στο εθνικό δίκαιο, το άρθρο 27 του Ν 4624/2019 ορίζει ότι δεδομένα εργαζομένων υποβάλλονται σε επεξεργασία όταν αυτό είναι απαραίτητο για την πρόσληψη ή, μετά την πρόσληψη, για την εκτέλεση της σύμβασης εργασίας ή για την άσκηση δικαιωμάτων και υποχρεώσεων που προβλέπονται από τον νόμο, τις συλλογικές συμβάσεις ή την ατομική σύμβαση.
Η διάταξη αυτή, ωστόσο, παρουσιάζει σοβαρά ζητήματα κύρους που αναλύονται παρακάτω.
Χρειάζεται συγκατάθεση του εργαζομένου ή αρκεί το έννομο συμφέρον;
Η συγκατάθεση σχεδόν ποτέ δεν αποτελεί έγκυρη βάση στην εργασία. Λόγω της εγγενούς εξάρτησης, δύσκολα θεωρείται ελεύθερη, οπότε η ορθή επιλογή είναι η εκτέλεση της σύμβασης, η έννομη υποχρέωση ή το έννομο συμφέρον.
Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) επέβαλε πρόστιμο 150.000 ευρώ σε εταιρεία που ζήτησε συγκατάθεση αντί των ορθών βάσεων (ΑΠΔΠΧ 26/2019).
Το άρθρο 27 παρ. 2 του Ν 4624/2019 δέχεται τη συγκατάθεση κατ’ εξαίρεση. Για να κριθεί ελεύθερη, σταθμίζονται κυρίως η υφιστάμενη εξάρτηση του εργαζομένου και οι περιστάσεις χορήγησης, ενώ η συγκατάθεση παρέχεται εγγράφως ή ηλεκτρονικά και διακρίνεται σαφώς από τη σύμβαση εργασίας.
Πρακτικά, η συγκατάθεση αποτελεί ακατάλληλη βάση όποτε ο εργοδότης διαθέτει άλλη νομική βάση, καθώς η ανάκλησή της θα ισοδυναμούσε με απόλυτη παύση της επεξεργασίας.
Η επιλογή της νομικής βάσης δεν είναι τυπική διατύπωση, καθώς κάθε βάση ενεργοποιεί διαφορετικά δικαιώματα του υποκειμένου και διαφορετικές υποχρεώσεις ενημέρωσης (άρθρα 13 και 14 ΓΚΠΔ).
Η εμπειρία από υποθέσεις ελέγχου επεξεργασίας δεδομένων εργαζομένων δείχνει ότι η αρχική εσφαλμένη επιλογή δεν θεραπεύεται εκ των υστέρων, αφού δεν επιτρέπεται σιωπηρή μετάβαση από τη μία βάση στην άλλη μετά την έναρξη της επεξεργασίας.
| Νομική βάση (άρθρο 6 ΓΚΠΔ) | Πότε ισχύει στην εργασία | Κίνδυνος ή περιορισμός |
|---|---|---|
| Εκτέλεση σύμβασης (παρ. 1 β) | Δεδομένα απαραίτητα για μισθοδοσία, οργάνωση, εκπλήρωση συμβατικών όρων | Καλύπτει μόνο το πράγματι αναγκαίο για τη σύμβαση, όχι τον γενικό έλεγχο |
| Νομική υποχρέωση (παρ. 1 γ) | Ασφαλιστικές, φορολογικές και εργατικές υποχρεώσεις του εργοδότη | Απαιτεί συγκεκριμένη πρόβλεψη νόμου, όχι γενική επίκληση |
| Έννομο συμφέρον (παρ. 1 στ) | Ασφάλεια, προστασία περιουσίας, πρόληψη διαρροής απορρήτου, εποπτεία μέσων | Υποχρεωτική στάθμιση με τα δικαιώματα του εργαζομένου κατά περίπτωση |
| Συγκατάθεση (παρ. 1 α) | Στενές μόνο περιπτώσεις γνήσιας ελεύθερης επιλογής χωρίς επιπτώσεις | Σχεδόν ποτέ έγκυρη λόγω εξάρτησης, ανακαλείται οποτεδήποτε |
Πότε επιτρέπεται ο έλεγχος του email και της χρήσης διαδικτύου;
Ο έλεγχος επιτρέπεται μόνο υπό αναλογικότητα και διαφάνεια, ύστερα από πρότερη ρητή ενημέρωση και με τα λιγότερο επαχθή μέσα. Ακόμη και όταν τα μέσα ανήκουν στην επιχείρηση, ο εργαζόμενος διατηρεί εύλογη προσδοκία ιδιωτικότητας, οπότε η ανάγνωση σαφώς προσωπικών μηνυμάτων παραμένει καταρχήν απαγορευμένη.
Ο συστηματικός και αδιάκοπος έλεγχος χωρίς γνώση του εργαζομένου συνιστά παράνομη επέμβαση στην προσωπικότητά του.
Στο πλαίσιο του διευθυντικού δικαιώματος, ο εργοδότης έχει εύλογο συμφέρον να ελέγχει αν η χρήση των μέσων γίνεται για εργασιακούς σκοπούς. Ως νόμιμοι λόγοι αναγνωρίζονται η ασφάλεια των συστημάτων, η αποφυγή ευθύνης της επιχείρησης και η προστασία του επιχειρηματικού απορρήτου.
Το μέσο, όμως, δεν επιτρέπεται να θίγει τον πυρήνα της ιδιωτικότητας, οπότε προτιμώνται προληπτικά αντί κατασταλτικά μέτρα.
Η στάθμιση διενεργείται κατά περίπτωση. Το Ευρωπαϊκό Δικαστήριο Δικαιωμάτων του Ανθρώπου, με την απόφαση Bărbulescu κατά Ρουμανίας της 5ης Σεπτεμβρίου 2017, διαμόρφωσε τα κριτήρια που εφαρμόζουν έκτοτε τα ελληνικά δικαστήρια και η Αρχή.
Κρίσιμες παράμετροι είναι η πρότερη ειδοποίηση, η έκταση και ο βαθμός παρέμβασης, η νομιμότητα του σκοπού, η ύπαρξη ηπιότερων μέσων, οι συνέπειες για τον εργαζόμενο και οι επαρκείς εγγυήσεις. Η συνδρομή τους αξιολογείται με τα συγκεκριμένα περιστατικά της υπόθεσης, καθώς ένα μόνο στοιχείο αρκεί να καταστήσει τον έλεγχο παράνομο.
Πότε επιτρέπονται κάμερες (CCTV) και γεωεντοπισμός (GPS) των εργαζομένων;
Και τα δύο μέτρα επιτρέπονται μόνο υπό αυστηρές προϋποθέσεις αναγκαιότητας, αναλογικότητας και έγγραφης ενημέρωσης. Δεν αποτελούν εργαλείο αξιολόγησης της απόδοσης, αλλά μέτρα προστασίας προσώπων, αγαθών και λειτουργίας της επιχείρησης. Η νομική τους βάση είναι κατά κανόνα το έννομο συμφέρον του εργοδότη, όχι η εκτέλεση της σύμβασης ή η συγκατάθεση.
| Μέσο παρακολούθησης | Νομική βάση | Όρος νομιμότητας | Υποχρέωση εργοδότη |
|---|---|---|---|
| Έλεγχος email και χρήσης διαδικτύου | Έννομο συμφέρον (άρθρο 6 παρ. 1 στ ΓΚΠΔ) στο πλαίσιο του διευθυντικού δικαιώματος | Αναλογικότητα με ηπιότερα μέσα, χωρίς ανάγνωση σαφώς προσωπικών μηνυμάτων και χωρίς κρυφό ή αδιάκοπο έλεγχο | Πρότερη ρητή και έγγραφη ενημέρωση, με ρητό σκοπό και πολιτική χρήσης των μέσων |
| Κάμερες (CCTV) | Έννομο συμφέρον και άρθρο 27 παρ. 7 Ν 4624/2019 | Μόνο για προστασία προσώπων και αγαθών, ποτέ ως κριτήριο αξιολόγησης απόδοσης, χωρίς λήψη σε γραφεία και χώρους ανάπαυσης | Έγγραφη ενημέρωση και σήμανση, με εκτίμηση αντικτύπου (DPIA) όπου απαιτείται |
| Γεωεντοπισμός (GPS) | Έννομο συμφέρον (άρθρο 6 παρ. 1 στ ΓΚΠΔ) | Συγκεκριμένος λειτουργικός σκοπός με ηπιότερο μέσο, χωρίς παρακολούθηση της ιδιωτικής ζωής ή διαρκή επιτήρηση εκτός ωραρίου | Προηγούμενη ενημέρωση και απενεργοποίηση εκτός ωραρίου εργασίας |
Κάμερες (CCTV)
Το άρθρο 27 παρ. 7 του Ν 4624/2019 επιτρέπει την επεξεργασία μέσω κλειστού κυκλώματος οπτικής καταγραφής εντός των χώρων εργασίας μόνο εφόσον είναι απαραίτητη για την προστασία προσώπων και αγαθών.
Τα δεδομένα αυτά δεν επιτρέπεται να χρησιμοποιηθούν ως κριτήριο αξιολόγησης της αποδοτικότητας, ενώ οι εργαζόμενοι ενημερώνονται εγγράφως για την εγκατάσταση και λειτουργία του συστήματος.
Τα ειδικότερα όρια αναλύονται στη νομιμότητα της βιντεοεπιτήρησης σε εργασιακούς χώρους, με απαγόρευση λήψης σε γραφεία, διαδρόμους και χώρους ανάπαυσης. Ακόμη και οι απενεργοποιημένες κάμερες παράγουν αποτρεπτικό αποτέλεσμα και εγείρουν ζήτημα νομιμότητας.
Γεωεντοπισμός (GPS)
Ο γεωεντοπισμός οχημάτων και εργαζομένων στηρίζεται στο έννομο συμφέρον του εργοδότη και μόνο για συγκεκριμένους λειτουργικούς σκοπούς, όπως η ασφάλεια προσώπων και εμπορευμάτων ή η οργάνωση δρομολογίων.
Επιτρέπεται όταν ο σκοπός δεν μπορεί να επιτευχθεί με ηπιότερο μέσο, με προηγούμενη ενημέρωση και χωρίς συνεχή παρακολούθηση εκτός ωραρίου.
Η παρακολούθηση θέσης που εκτείνεται στην ιδιωτική ζωή του εργαζομένου, ή που λειτουργεί ως διαρκής επιτήρηση συμπεριφοράς, υπερβαίνει το επιτρεπτό όριο.
Παραμένει ασφαλής βάση το άρθρο 27 του Ν 4624/2019 μετά την απόφαση C-34/21;
Η στήριξη στο άρθρο 27 ως αυτοτελή βάση δεν είναι πλέον ασφαλής. Το Δικαστήριο της Ευρωπαϊκής Ένωσης, με την απόφαση C-34/21 της 30ής Μαρτίου 2023, έκρινε ότι εθνική διάταξη για τα δεδομένα εργαζομένων δεν συνιστά έγκυρο ειδικότερο κανόνα κατά το άρθρο 88 του ΓΚΠΔ όταν απλώς αναπαράγει τις προϋποθέσεις του Κανονισμού, χωρίς τα ειδικά μέτρα προστασίας που απαιτεί το άρθρο 88 παρ. 2.
Στην περίπτωση αυτή, η εθνική διάταξη παραμερίζεται και εφαρμόζεται απευθείας ο ΓΚΠΔ.
Το ζήτημα αφορά ευθέως το ελληνικό δίκαιο. Η ΑΠΔΠΧ, ήδη με τη Γνωμοδότηση 1/2020, εξέφρασε αμφιβολίες συμβατότητας διατάξεων του Ν 4624/2019 με τον ΓΚΠΔ, καθώς σε μεγάλο βαθμό επαναλαμβάνουν τις νομικές βάσεις του Κανονισμού αντί να τις εξειδικεύουν με πρόσθετες εγγυήσεις.
Επομένως, το άρθρο 27 δεν προσφέρει ασφαλές έρεισμα, οπότε η επιχείρηση θεμελιώνει την επεξεργασία στα άρθρα 5 και 6 του ΓΚΠΔ και τεκμηριώνει τη στάθμιση αυτοτελώς.
Η συνέπεια είναι πρακτική. Η επιλογή ανάμεσα στο να επικαλεστεί ο εργοδότης το εθνικό άρθρο 27 ή απευθείας τον ΓΚΠΔ επηρεάζει την ανθεκτικότητα της συμμόρφωσης σε έλεγχο της Αρχής ή σε δικαστική αμφισβήτηση, οπότε αποτελεί στρατηγική νομική κρίση και όχι τυπική παραπομπή.
Πότε ευθύνεται ο εργοδότης και με τι κυρώσεις κινδυνεύει;
Η ευθύνη είναι διπλή. Αφενός, η Αρχή επιβάλλει διοικητικά πρόστιμα κατά το άρθρο 83 ΓΚΠΔ, που φθάνουν έως 20.000.000 ευρώ ή το 4% του παγκόσμιου κύκλου εργασιών, όπως δείχνουν τα πρόστιμα της Αρχής για κάμερες στην εργασία.
Αφετέρου, ο εργαζόμενος αξιώνει αποζημίωση κατά το άρθρο 82 ΓΚΠΔ, σε συνδυασμό με τα άρθρα 57, 59 και 932 του Αστικού Κώδικα για την ηθική βλάβη από προσβολή της προσωπικότητας.
Η αστική αξίωση του άρθρου 82 ΓΚΠΔ αποτελεί αυτοτελή βάση και καλύπτει τόσο την υλική όσο και τη μη υλική ζημία. Η ευθύνη είναι νόθος αντικειμενική, αφού η υπαιτιότητα τεκμαίρεται και ο υπεύθυνος επεξεργασίας απαλλάσσεται μόνο εφόσον αποδείξει ότι δεν ευθύνεται για το ζημιογόνο γεγονός. Παράλληλα, τα άρθρα 38 και 39 του Ν 4624/2019 προβλέπουν ποινικές κυρώσεις για σοβαρές παραβάσεις.
Η εμπειρία από υποθέσεις ενώπιον της ΑΠΔΠΧ δείχνει ότι η έκβαση κρίνεται στην τεκμηρίωση. Η ίδια πράξη παρακολούθησης μπορεί να κριθεί νόμιμη ή παράνομη ανάλογα με το αν προϋπήρχε γραπτή ενημέρωση, ρητός σκοπός και στάθμιση, οπότε η θέση της επιχείρησης διαφοροποιείται κατά περίπτωση με βάση τα πραγματικά περιστατικά.
Ποια βήματα πρέπει να ολοκληρώσει ο εργοδότης πριν από κάθε επεξεργασία;
Πριν από κάθε μέτρο, ο εργοδότης προσδιορίζει τη νομική βάση, περιορίζει τα δεδομένα στο αναγκαίο μέτρο και τεκμηριώνει τη στάθμιση. Ακολουθεί η ενσωμάτωση κανόνων χρήσης των μέσων και παρακολούθησης, η πρότερη έγγραφη ενημέρωση, η εκτίμηση αντικτύπου για τα υψηλού κινδύνου μέτρα και η τήρηση αρχείου δραστηριοτήτων επεξεργασίας. Η διαδικασία έχει ως εξής:
- Προσδιορισμός νομικής βάσης του άρθρου 6 ΓΚΠΔ για κάθε πράξη επεξεργασίας, πριν την έναρξή της.
- Ελαχιστοποίηση, ώστε τα δεδομένα να είναι μόνο όσα απαιτεί ο συγκεκριμένος σκοπός.
- Κατάρτιση πολιτικής χρήσης μέσων και παρακολούθησης, με ενσωμάτωση στον εσωτερικό κανονισμό εργασίας.
- Πρότερη έγγραφη ενημέρωση των εργαζομένων κατά τα άρθρα 13 και 14 ΓΚΠΔ, με σαφή σκοπό και έκταση.
- Εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων (DPIA) για συστηματική ή εκτεταμένη παρακολούθηση.
- Ορισμός υπεύθυνου προστασίας δεδομένων (DPO) όπου το επιβάλλει ο νόμος και τήρηση αρχείου κατά την αρχή της λογοδοσίας.
Ειδικά κανάλια, όπως το εσωτερικό σύστημα αναφορών του Ν 4990/2022 για επιχειρήσεις άνω των πενήντα εργαζομένων, απαιτούν δική τους τεκμηρίωση επεξεργασίας. Η διατύπωση των ρητρών παρακολούθησης στην πολιτική της επιχείρησης απαιτεί ad hoc προσαρμογή στα μέσα και τις ροές εργασίας κάθε φορέα, καθώς γενικόλογες προβλέψεις δεν αντέχουν σε έλεγχο.
Συχνές Ερωτήσεις
Μπορεί ο εργοδότης να διαβάζει τα εταιρικά email του εργαζομένου;
Ο εργοδότης δικαιούται να πληροφορείται το περιεχόμενο της υπηρεσιακής αλληλογραφίας για εργασιακούς σκοπούς. Δεν επιτρέπεται όμως η ανάγνωση μηνυμάτων που είναι σαφώς προσωπικά, ούτε ο συστηματικός και κρυφός έλεγχος. Απαιτείται προηγούμενη ενημέρωση, συγκεκριμένος σκοπός και τήρηση της αναλογικότητας, με προτίμηση σε ηπιότερα μέσα ελέγχου.
Χρειάζεται συγκατάθεση για κάμερες στον χώρο εργασίας;
Όχι. Νομική βάση είναι κατά κανόνα το έννομο συμφέρον προστασίας προσώπων και αγαθών, όχι η συγκατάθεση. Κατά το άρθρο 27 παρ. 7 του Ν 4624/2019, οι κάμερες επιτρέπονται μόνο για τον σκοπό αυτόν, δεν χρησιμοποιούνται για αξιολόγηση απόδοσης και προϋποθέτουν έγγραφη ενημέρωση των εργαζομένων για την εγκατάσταση και λειτουργία τους.
Μπορεί ο εργαζόμενος να ζητήσει αντίγραφα των δεδομένων του;
Ναι. Ο εργαζόμενος ασκεί δικαίωμα πρόσβασης κατά το άρθρο 15 ΓΚΠΔ και λαμβάνει αντίγραφο των δεδομένων που τον αφορούν. Ο εργοδότης απαντά εντός της προθεσμίας του Κανονισμού, σταθμίζοντας ταυτόχρονα δικαιώματα τρίτων, εμπιστευτικές πληροφορίες και επιχειρηματικό απόρρητο που ενδέχεται να περιέχονται στο ίδιο υλικό.
Ποιο είναι το πρόστιμο για παράνομη παρακολούθηση εργαζομένων;
Τα διοικητικά πρόστιμα του άρθρου 83 ΓΚΠΔ φθάνουν έως 20.000.000 ευρώ ή έως το 4% του παγκόσμιου ετήσιου κύκλου εργασιών. Το ύψος εξαρτάται από τη βαρύτητα, τη διάρκεια και τα διορθωτικά μέτρα. Ενδεικτικά, η ΑΠΔΠΧ έχει επιβάλει πρόστιμο 150.000 ευρώ για εσφαλμένη νομική βάση επεξεργασίας δεδομένων εργαζομένων.
Ισχύει ακόμη ο Ν 2472/1997 για τα δεδομένα των εργαζομένων;
Όχι. Ο Ν 2472/1997 καταργήθηκε με το άρθρο 84 του Ν 4624/2019. Το ισχύον πλαίσιο είναι ο ΓΚΠΔ, ως αμέσως εφαρμοστέος, σε συνδυασμό με τον εφαρμοστικό Ν 4624/2019. Αναφορές σε παλαιότερες ρυθμίσεις, όπως το κατώτατο όριο χρηματικής ικανοποίησης του καταργημένου νόμου, δεν έχουν πλέον εφαρμογή.
Πρακτικές Επισημάνσεις
Νομική βάση πριν το μέτρο: Ο προσδιορισμός της νομικής βάσης προηγείται κάθε παρακολούθησης. Η επιλογή συγκατάθεσης όπου υπάρχει άλλη βάση δημιουργεί έκθεση σε ακυρότητα της επεξεργασίας.
Έγγραφη ενημέρωση: Χωρίς πρότερη ρητή και έγγραφη ενημέρωση, ακόμη και θεμιτός κατά τα λοιπά έλεγχος κρίνεται παράνομος. Η ενημέρωση βαρύνει τον υπεύθυνο επεξεργασίας ανεξαρτήτως βάσης.
Άρθρο 27 με επιφύλαξη: Η στήριξη αποκλειστικά στο άρθρο 27 του Ν 4624/2019 δεν επαρκεί μετά την απόφαση C-34/21. Η θεμελίωση γίνεται απευθείας στα άρθρα 5 και 6 ΓΚΠΔ.
Όχι κάμερες για αξιολόγηση: Η χρήση δεδομένων βιντεοεπιτήρησης ως κριτηρίου αξιολόγησης απόδοσης απαγορεύεται ρητά. Επιτρεπτός σκοπός παραμένει η προστασία προσώπων και αγαθών.
Τεκμηρίωση στάθμισης: Η αρχή της λογοδοσίας απαιτεί γραπτή τεκμηρίωση σκοπού, αναγκαιότητας και αναλογικότητας. Η απουσία τεκμηρίωσης βαρύνει την επιχείρηση σε κάθε έλεγχο
Το Δικηγορικό μας Γραφείο, για περισσότερα από 20 χρόνια εξειδικεύεται στο Εταιρικό και Εμπορικό Δίκαιο. Επικοινωνήστε μαζί μας για σας καθοδηγήσουμε και να σας συμβουλεύσουμε σε κάθε για κάθε ζήτημα προστασίας προσωπικών δεδομένων στην εργασία.