ΓΚΠΔ και δεδομένα παρουσίας: υποχρεώσεις στην Κύπρο

Ναι, και αξίζει να είμαστε ακριβείς για τον λόγο, διότι η απάντηση διαμορφώνει τα πάντα που ακολουθούν. Αρχείο που κατονομαζόμενο άτομο εισήλθε σε δεδομένη ώρα αποτελεί πληροφορία σχετική με αναγνωρισμένο άτομο (αυτός είναι ο πυρήνας της έννοιας των προσωπικών δεδομένων), και η επεξεργασία του στην Κύπρο διέπεται από τον ΓΚΠΔ όπως εφαρμόζεται και συμπληρώνεται από τον Νόμο 125(Ι)/2018. ^[1] Τα περισσότερα δεδομένα παρουσίας είναι συνήθη προσωπικά δεδομένα: ένα όνομα, μια ημερομηνία, ένα ζεύγος χρονοσφραγίδων. Το σημαντικό όριο αφορά τα βιομετρικά δεδομένα παρουσίας. Ο ΓΚΠΔ ορίζει τα βιομετρικά δεδομένα ως δεδομένα που προκύπτουν από ειδική τεχνική επεξεργασία φυσικών, φυσιολογικών ή συμπεριφορικών χαρακτηριστικών ατόμου και επιτρέπουν ή επιβεβαιώνουν τη μοναδική ταυτοποίησή του: δακτυλικά αποτυπώματα και εικόνες προσώπου είναι τα κλασικά παραδείγματα. ^[3] Όπου τα δεδομένα αυτά χρησιμοποιούνται για τη μοναδική ταυτοποίηση ατόμου, αποτελούν ειδική κατηγορία της οποίας η επεξεργασία απαγορεύεται κατ' αρχήν εκτός αν εφαρμόζεται προϋπόθεση άρθρου 9 παράγραφος 2. ^[2] Επομένως, καταγραφή μέσω κάρτας ή PIN είναι συνήθη προσωπικά δεδομένα· αποτύπωση δακτυλικού για παρουσία είναι δεδομένα ειδικής κατηγορίας. Οι υποχρεώσεις που απορρέουν διαφέρουν αναλόγως, και η σύγχυσή τους είναι η πιο συνηθισμένη πηγή προβλημάτων.

Μια λεπτομέρεια εκπλήσσει τους εργοδότες: η φωτογραφία. Πρόσωπο που αποτυπώνεται σε φωτογραφία καταγραφής παρουσίας δεν αποτελεί αυτόματα δεδομένα ειδικής κατηγορίας. Ο ΓΚΠΔ αντιμετωπίζει τις φωτογραφίες ως συνήθη προσωπικά δεδομένα, και τις εντάσσει στον ορισμό των βιομετρικών δεδομένων μόνο όταν υποβάλλονται σε επεξεργασία μέσω συγκεκριμένων τεχνικών μέσων που επιτρέπουν τη μοναδική ταυτοποίηση ή επαλήθευση ατόμου. ^[5] Στιγμιότυπο αποθηκευμένο αντιστοίχως σε χρονοσφραγίδα είναι συνήθη προσωπικά δεδομένα· η ίδια εικόνα τροφοδοτούμενη σε πρότυπο αναγνώρισης προσώπου που αντιστοιχίζει πρόσωπο σε ταυτότητα εισέρχεται στην ειδική κατηγορία. Το όριο χαράσσεται από αυτό που κάνει η τεχνολογία με την εικόνα, όχι από το αν εμφανίζεται πρόσωπο σε αυτήν: και αυτό είναι ακριβώς το σημείο στο οποίο αναλαμβάνει η βιομετρική ανάλυση στο συνοδευτικό άρθρο μας για τη βιομετρική παρουσία.

Κάθε επεξεργασία δεδομένων παρουσίας χρειάζεται νομική βάση, και η επιλογή έχει μεγαλύτερη σημασία από ό,τι φαίνεται αρχικά. Το ένστικτο οδηγεί στη συναίνεση εργαζομένων, αλλά στην εργασιακή σχέση αυτή είναι η αδύναμη βάση. Η ανισορροπία ισχύος μεταξύ εργοδότη και εργαζομένου καθιστά δύσκολο να θεωρηθεί η συναίνεση ελεύθερα παρεχόμενη ^[6], και συναίνεση που μπορεί να ανακληθεί κατά βούληση είναι εύθραυστο θεμέλιο για αρχείο που είστε λειτουργικά υποχρεωμένοι να τηρείτε. Αυτό δεν είναι μόνο τοπική ερμηνεία. Σε επίπεδο ΕΕ, η Ομάδα Εργασίας του Άρθρου 29 (το σώμα που προηγήθηκε του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων) κατέληξε στο συμπέρασμα ότι εργαζόμενοι σχεδόν ποτέ δεν βρίσκονται σε θέση να παρέχουν, αρνηθούν ή ανακαλέσουν ελεύθερα τη συναίνεσή τους, δεδομένης της εξάρτησης που χαρακτηρίζει την εργασιακή σχέση, οπότε η συναίνεση μπορεί να αποτελεί έγκυρη βάση μόνο στην εξαιρετική περίπτωση όπου δεν έχει καμία απολύτως συνέπεια η αποδοχή ή η άρνηση. ^[7] Για τα συνήθη δεδομένα παρουσίας, οι περισσότεροι εργοδότες στηρίζονται αντίθετα σε βάση συνδεδεμένη με την εργασιακή σχέση και τη νόμιμη λειτουργία της επιχείρησης: τεκμηριωμένη, όχι εκ των υστέρων. Ό,τι επιλέξετε εντάσσεται στο κυπριακό πλαίσιο του ΓΚΠΔ όπως συμπληρώνεται από τον Νόμο 125(Ι)/2018, οπότε η αιτιολόγηση πρέπει να είναι καταγεγραμμένη και υπερασπίσιμη στον Επίτροπο. ^[1] Η βιομετρική παρουσία είναι εκεί όπου η προσφυγή στη συναίνεση αποτυγχάνει δύο φορές. Επειδή τα βιομετρικά-για-ταυτοποίηση αποτελούν δεδομένα ειδικής κατηγορίας, μια συνήθης νομική βάση δεν αρκεί: χρειάζεστε επιπλέον συγκεκριμένη προϋπόθεση άρθρου 9 παράγραφος 2 για να αρθεί η γενική απαγόρευση, και αυτή η προϋπόθεση πρέπει πράγματι να εφαρμόζεται, όχι απλώς να ισχυρίζεστε ότι εφαρμόζεται. ^[2] Και στην Κύπρο ο Επίτροπος έχει αποφανθεί, στο πλαίσιο βιομετρικής παρουσίας, ότι η συναίνεση εργαζομένου δεν άρει την παρανομία, διότι η συναίνεση στο εργασιακό πλαίσιο δεν παρέχεται ελεύθερα. ^[6] Σύνοψη: επιλέξτε βάση σκόπιμα, αντιμετωπίστε τη συναίνεση στον χώρο εργασίας με επιφυλακτικότητα, και για τα βιομετρικά γνωρίζετε ότι υπάρχει ένα δεύτερο, ειδικής κατηγορίας κατώφλι στον δρόμο.

Τα δεδομένα παρουσίας είναι δεδομένα εργασιακού χώρου, και ο ΓΚΠΔ αντιμετωπίζει τον χώρο εργασίας ως περιβάλλον που μπορεί να αξιώσει τους δικούς του κανόνες. Το άρθρο 88 παράγραφος 1 επιτρέπει στα κράτη μέλη, μέσω νόμου ή συλλογικής συμφωνίας, να θεσπίζουν πιο συγκεκριμένους κανόνες για την προστασία προσωπικών δεδομένων εργαζομένων στο εργασιακό πλαίσιο: ρητώς συμπεριλαμβανομένης επεξεργασίας για πρόσληψη, εκτέλεση σύμβασης εργασίας, και τη διαχείριση, σχεδιασμό και οργάνωση εργασίας· αυτό είναι ακριβώς ο κάδος στον οποίο εμπίπτουν παρουσία και κατανεμητής. ^[8] Αυτό έχει σημασία για δύο λόγους. Πρώτον, το πλαίσιο στο οποίο λειτουργείτε στην Κύπρο είναι ο ΓΚΠΔ όπως εφαρμόζεται και συμπληρώνεται από τον Νόμο 125(Ι)/2018, ερμηνευόμενος υπό εργασιακό πρίσμα κι όχι ως γενικό δίκαιο προστασίας δεδομένων. ^[1] Δεύτερον, και πιο χρήσιμα, το άρθρο 88 παράγραφος 2 σας ενημερώνει τι πρέπει να περιέχουν τέτοιοι εργασιακοί κανόνες: κατάλληλα και συγκεκριμένα μέτρα για τη διασφάλιση ανθρώπινης αξιοπρέπειας, έννομων συμφερόντων και θεμελιωδών δικαιωμάτων εργαζομένου, με ιδιαίτερη μέριμνα για τη διαφάνεια επεξεργασίας, τις διαβιβάσεις εντός ομίλου εταιρειών, και, ρητά κατονομαζόμενα, τα συστήματα παρακολούθησης στον χώρο εργασίας. ^[8] Διαβάστε αυτόν τον κατάλογο ως λίστα ελέγχου για τη δική σας επεξεργασία παρουσίας: να είστε διαφανείς ως προς το τι καταγράφετε και γιατί, να προσέχετε όταν δεδομένα παρουσίας διαβιβάζονται σε μητρική ή θυγατρική εταιρεία, και να αντιμετωπίζετε κάθε μηχανισμό παρουσίας που τείνει προς παρακολούθηση ως την ευαίσθητη περίπτωση που ο Κανονισμός σαφώς θεωρεί. Αυτή η νήτη διαφάνειας-και-παρακολούθησης είναι η ίδια που διατρέχει τον οδηγό μας για την παρακολούθηση στον εργασιακό χώρο και την αναλογικότητα. Δεν είναι τυχαίο που οι συντάκτες τα ξεχώρισαν.

Βάσει του ΓΚΠΔ, που ισχύει στην Κύπρο, η εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων (ΕΑΕΠ) είναι εκτίμηση που ο υπεύθυνος επεξεργασίας οφείλει να διενεργήσει πριν ξεκινήσει η επεξεργασία, όποτε ένα είδος επεξεργασίας (ιδίως με χρήση νέων τεχνολογιών) ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων. ^[4] Για ένα συνηθισμένο αρχείο παρουσίας με κάρτα ή PIN το κατώφλι του υψηλού κινδύνου συνήθως δεν συμπληρώνεται· το βιομετρικό σύστημα παρουσίας, ως επεξεργασία ειδικής κατηγορίας με υψηλό κίνδυνο, είναι η περίπτωση που τη χρειάζεται. ^{[4] [2]}

Εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων (ΕΑΕΠ) απαιτείται πριν ξεκινήσετε επεξεργασία που είναι πιθανό να ενέχει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες ατόμων, ιδίως όπου εμπλέκονται νέες τεχνολογίες. ^[4] Για τη συνήθη παρουσία (κάρτα, κωδικός, QR ή PIN που παράγει ένα όνομα και δύο χρονοσφραγίδες), το κριτήριο υψηλού κινδύνου δεν πληρούται κατά κανόνα, αν και η πειθαρχία ελαχιστοποίησης και διατήρησης εξακολουθεί να εφαρμόζεται. Τα βιομετρικά αλλάζουν την εικόνα αποφασιστικά. Η χρήση δακτυλικού αποτυπώματος ή σάρωσης προσώπου για ταυτοποίηση εργαζομένων είναι ακριβώς το είδος επεξεργασίας υψηλού κινδύνου ειδικής κατηγορίας που στοχεύει η υποχρέωση ΕΑΕΠ· οπότε εκεί που εξετάζεται βιομετρική παρουσία, η ΕΑΕΠ έρχεται πρώτη: πριν το άνοιγμα, όχι αφού ρωτήσει επιθεωρητής. ^{[4] [2]} Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (ΕΣΠΔ) διατυπώνει την ουσία που πρέπει να αντιμετωπίσει η αξιολόγηση: η βιομετρική επεξεργασία, και η αναγνώριση προσώπου ιδίως, ενέχει αυξημένους κινδύνους, οπότε κάθε προσφυγή σε αυτήν πρέπει να σέβεται νομιμότητα, αναγκαιότητα, αναλογικότητα και ελαχιστοποίηση δεδομένων, και ο υπεύθυνος επεξεργασίας οφείλει πρώτα να αξιολογεί τον αντίκτυπο στα θεμελιώδη δικαιώματα και να σταθμίζει λιγότερο παρεμβατικά μέσα πριν τη χρησιμοποιήσει. ^[9] Το Συμβούλιο προσθέτει ένα οξύ σημείο για τον ιδιωτικό τομέα: όπου βιομετρικά δεδομένα υποβάλλονται σε επεξεργασία για τη μοναδική ταυτοποίηση ατόμου, εμπίπτουν στο άρθρο 9 και, όταν ιδιωτικός οργανισμός τα αναπτύσσει για δικούς του σκοπούς, θα απαιτεί στις περισσότερες περιπτώσεις ρητή συναίνεση κάθε υποκειμένου. Ρητή συναίνεση είναι ακριβώς αυτό που η εργασιακή σχέση καθιστά δύσκολο να αποκτηθεί ελεύθερα. ^{[9] [2]} Μία προειδοποίηση ειδική για Κύπρο: για τη συνήθη παρουσία ο Επίτροπος έχει ήδη απαντήσει στο ερώτημα που θέτει η ΕΑΕΠ: η βιομετρική καταγραφή είναι δυσανάλογη διότι λιγότερο παρεμβατικές μέθοδοι επιτυγχάνουν τον ίδιο σκοπό, οπότε αναμένεται η αξιολόγηση να σας κατευθύνει μακριά από τα βιομετρικά για το ωρολόγιο, όχι μέσα από αυτά. ^[6] Η ΕΑΕΠ είναι το σημείο όπου τεκμηριώνετε τον σκοπό, σταθμίζετε τις λιγότερο παρεμβατικές εναλλακτικές και γιατί δεν αρκούσαν, και καταγράφετε τις διασφαλίσεις: περιορισμένη πρόσβαση, αποθήκευση μόνο προτύπου, ορισμένη περίοδος διατήρησης. Αντιμετωπίστε την ως πειθαρχία που αποφασίζει αν η επεξεργασία πρέπει καν να πραγματοποιηθεί, όχι ως έντυπο που υποβάλλεται αφού έχετε ήδη αποφασίσει.

Δύο αρχές του ΓΚΠΔ επιτελούν αθόρυβα, συνεχές έργο στα δεδομένα παρουσίας: συλλέξτε μόνο αυτό που χρειάζεται ο σκοπός, και κρατήστε τα μόνο όσο διαρκεί αυτός ο σκοπός. Η ελαχιστοποίηση σημαίνει ότι το αρχείο σταματά στις ώρες που πράγματι εργάστηκε ο εργαζόμενος: μια χρονοσφραγίδα αρκεί για μισθοδοσία και τεκμηρίωση παρουσίας· ένα συνεχές αρχείο τοποθεσίας, μια φωτογραφία σε κάθε καταγραφή ή ένα βιομετρικό πρότυπο που συλλέγεται «για ασφάλεια» είναι περισσότερο από αυτό που απαιτεί ο σκοπός. Η διατήρηση σημαίνει να αποφασίζετε εκ των προτέρων πόσο καιρό κρατάτε κάθε κατηγορία δεδομένων παρουσίας και στη συνέχεια να τα διαγράφετε ή ανωνυμοποιείτε όταν λήξει αυτή η περίοδος, αντί να αφήνετε χρόνια χρονοσφραγίδων να συσσωρεύονται εκ προεπιλογής. Επειδή όλα αυτά εντάσσονται στον ΓΚΠΔ όπως συμπληρώνεται από τον κυπριακό Νόμο 125(Ι)/2018, το πρόγραμμα διατήρησης και οι επιλογές ελαχιστοποίησης πρέπει να είναι γραπτά και υπερασπίσιμα στον Επίτροπο, όχι σιωπηλά. ^[1] Το κριτήριο που σας κρατά στη σωστή πλευρά και των δύο αρχών: προτιμήστε τα ελάχιστα δεδομένα που απαντούν στο ερώτημα «ήταν αυτό το άτομο στη δουλειά, και για πόσο;», και όπου εμπλέκονται βιομετρικά, θυμηθείτε ότι η ελαχιστοποίηση αποβαίνει σε βάρος της διατήρησης δεδομένων ειδικής κατηγορίας που ο Επίτροπος έχει ήδη κρίνει δυσανάλογα για τη συνήθη παρουσία. ^{[2] [6]}