Το δικαστήριο του Ντύσελντορφ κρίνει πως η επεξεργασία των δεδομένων ήταν νόμιμη, υπήρχε όμως υποχρέωση ενημέρωσης
Μια πολύ ενδιαφέρουσα απόφαση για τη συλλογή δεδομένων υποψηφίων προς εργασία και τις απαιτήσεις ενημέρωσής τους εξέδωσε το ανώτατο περιφερειακό δικαστήριο του Ντύσελντορφ (LAG Düsseldorf) δικάζοντας σε δεύτερο βαθμό την αγωγή αποζημίωσης δικηγόρου που συμμετείχε σε διαδικασία επιλογής προσωπικού.
Ο ενάγων υπέβαλε αίτηση σε πρόσκληση εκδήλωσης ενδιαφέροντος που εξέδωσε το εναγόμενο πανεπιστήμιο, χωρίς τελικώς να επιλεγεί για τη θέση του νομικού συμβούλου. Κρίσιμο στοιχείο για τη μη επιλογή του υπήρξε η αναζήτηση πληροφοριών στη Google και ο εντοπισμός του προσωπικού του λήμματος στη Wikipedia, όπου γινόταν αναφορά στην καταδίκη του σε πρώτο βαθμό για το αδίκημα της απάτης.
Οι πληροφορίες αυτές χρησιμοποιήθηκαν από την αρμόδια επιτροπή αξιολόγησης των αιτήσεων και μνημονεύτηκαν στο οικείο πρακτικό που συνετάγη, χωρίς όμως ποτέ η αναζήτηση και αξιοποίησή τους να τεθούν σε γνώση του ενάγοντος.
Μετά την ενημέρωσή του σχετικά με τη μη επιλογή του και κατόπιν άσκησης αιτήματος πρόσβασης του άρθρου 15 ΓΚΠΔ, ο ενάγων έλαβε γνώση του πρακτικού και πληροφορήθηκε για την άντληση των ποινικών του δεδομένων από τη Wikipedia. Αμέσως προχώρησε στην άσκηση αγωγής ζητώντας αποζημίωση για την υλική ζημία που υπέστη από τη μη πρόσληψή του, καθώς και τη μη υλική ζημία από την παράνομη επεξεργασία των δεδομένων του και την παραβίαση του δικαιώματος ενημέρωσής του.
Μετά την απόρριψη της αγωγής του σε πρώτο βαθμό, η απόφαση ήχθη ενώπιον του LAG Düsseldorf, το οποίο απέρριψε τους λόγους της εφέσεώς του, πλην όσων αφορούσαν το δικαίωμα στην ενημέρωση. Το δευτεροβάθμιο δικαστήριο αποφάσισε πως η συλλογή των δεδομένων ήταν νόμιμη, ωστόσο το πανεπιστήμιο, ως υπεύθυνος επεξεργασίας, όφειλε να τον έχει ενημερώσει για αυτή, όπως επιτάσσει το άρθρο 14 Γενικού Κανονισμού Προστασίας Δεδομένων, ειδικά μάλιστα ως προς τις κατηγορίες των δεδομένων προσωπικού χαρακτήρα της παραγράφου 1 στοιχ. δ’ του άρθρου αυτού.
Ειδικότερα,
το δικαστήριο δεν συμφώνησε με τον ενάγοντα πως η συλλογή και επεξεργασία των δεδομένων του μέσω Google και Wikipedia ήταν παράνομη.
Σύμφωνα με την απόφασή του, η αναζήτηση και συλλογή των δεδομένων αυτών αποτελεί πράγματι επεξεργασία δεδομένων, για την οποία υπεύθυνος επεξεργασίας ήταν το εναγόμενο πανεπιστήμιο. Η συλλογή και επεξεργασία αυτή δεν προϋπέθετε τη συγκατάθεση του υποκειμένου, αφού μπορούσε να θεμελιωθεί στη νομική βάση της εκτέλεσης σύμβασης του άρθρου 6 παρ.1β’ ΓΚΠΔ.
Το δικαστήριο προχώρησε στην ερμηνεία της νομικής βάσης του άρθρου 6 παρ.1β’ ΓΚΠΔ, που προβλέπει πως η συγκατάθεση η επεξεργασία είναι σύννομη όταν αυτή είναι «απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ’ αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης» και έκρινε πως η απαίτηση αυτή πληρούτο στη συγκεκριμένη περίπτωση.
Η νομική βάση αυτή μπορεί να εφαρμόζεται και από δημόσιους φορείς, όπως το εναγόμενο πανεπιστήμιο, αφού δεν έχει τους περιορισμούς που συναντώνται στο έννομο συμφέρον. Περαιτέρω, η επίδικη επεξεργασία πραγματοποιήθηκε προκειμένου να ληφθούν μέτρα σε στάδιο «πριν από τη σύναψη σύμβασης», συνεπώς το μοναδικό κρίσιμο ζήτημα ήταν το κατά πόσον τα μέτρα αυτά είχαν ληφθεί «κατ’ αίτηση του υποκειμένου των δεδομένων».
Το δικαστήριο δέχθηκε πως, πράγματι, η αναζήτηση δεδομένων στο διαδίκτυο δεν πραγματοποιήθηκε κατόπιν αιτήματος του ενάγοντος. Ωστόσο, εξέφρασε τη βεβαιότητά του πως δεν είναι αυτή η έννοια της αναφοράς του ενωσιακού νομοθέτη σε αίτηση του υποκειμένου, καθώς σκοπός της σχετικής διάταξης είναι να αποτρέπεται η συλλογή δεδομένων που δεν προκύπτει κατόπιν σχετικής πρωτοβουλίας του υποκειμένου.
Στην επίμαχη περίπτωση, η έννοια της «αίτησης του υποκειμένου» καταλαμβάνει κάθε πράξη επεξεργασίας που εξυπηρετεί την απόφαση πρόσληψης, η οποία αποτελεί επιθυμία του υποκειμένου των δεδομένων. Σύμφωνα με το δικαστήριο, με την υποβολή της αίτησής του το υποκείμενο των δεδομένων κινεί τη διαδικασία πρόσληψης, ως εκ τούτου λαμβάνει την απαιτούμενη πρωτοβουλία, κατά την έννοια του άρθρου 6 παρ.1β’ ΓΚΠΔ.
Ωστόσο, το δικαστήριο επισημαίνει, η συλλογή αυτή δεν μπορεί να νομιμοποιείται άκριτα και χωρίς προϋποθέσεις. Κύριο στοιχείο και απαίτηση νομιμότητας για τη συλλογή είναι η αναγκαιότητα, όπερ σημαίνει πως ο επιδιωκόμενος σκοπός δεν μπορεί να επιτευχθεί ευλόγως με άλλα ηπιότερα μέσα.
Με βάση την ερμηνεία αυτή, το δικαστήριο κατέληξε πως το εναγόμενο πανεπιστήμιο νομίμως αναζήτησε πληροφορίες στη Google, χρησιμοποιώντας το όνομα του ενάγοντος, καθώς αυτό ήταν αναγκαίο. Ο εργοδότης, και δη όταν αυτός είναι δημόσια αρχή, έχει το δικαίωμα και την υποχρέωση να ελέγχει την καταλληλότητα των προσώπου που υποβάλλουν αίτηση για θέσεις εργασίας, ο δε σκοπός της συλλογής είναι σαφής.
Το δικαστήριο απέφυγε να πάρει θέση ως προς το κατά πόσον η προσφυγή στο διαδίκτυο είναι νόμιμη σε κάθε περίπτωση εξέτασης υποψηφίου προς εργασία, περιοριζόμενο στην κρίση πως στη συγκεκριμένη περίπτωση αυτό ήταν αναγκαίο, από τη στιγμή που ένα εκ των μελών της επιτροπής αναγνώρισε το όνομα του ενάγοντος και διαπίστωσε ιδιαιτερότητες στην αίτησή του. Σε αντίθεση μάλιστα με τα όσα ισχυρίστηκε ο ενάγων, το δικαστήριο δέχθηκε πως το εναγόμενο πανεπιστήμιο δεν ήταν υποχρεωμένο να επιλύσει τις όποιες απορίες των μελών της επιτροπής του ρωτώντας απευθείας τον ίδιο, λαμβάνοντας υπόψιν πως οι πληροφορίες που αναζητήθηκαν και εντοπίστηκαν ήταν δημόσια διαθέσιμες.
Το πρόβλημα στους χειρισμούς του εναγόμενου διαπιστώθηκε στο σκέλος της ενημέρωσης: το γεγονός πως η επεξεργασία των δεδομένων έγινε νόμιμα δεν σημαίνει και πως αυτή έπρεπε να γίνει εκ κρυπτώ.
Σύμφωνα με την απόφαση, το εναγόμενο πανεπιστήμιο είχε την υποχρέωση να ενημερώσει το υποκείμενο των δεδομένων σχετικά με τα προσωπικά δεδομένα του που αντλήθηκαν από το διαδίκτυο, ειδικά ως προς τις κατηγορίες αυτών, αφού επρόκειτο για ποινικά δεδομένα τη συλλογή των οποίων αυτό αγνοούσε. Το γεγονός πως κατά τη διάρκεια της συνέντευξης που ακολούθησε τα μέλη της επιτροπής αξιολόγησης συζήτησαν με τον ενάγοντα για την ύπαρξη προσωπικού του λήμματος στη Wikipedia δεν σημαίνει πως αυτός ενημερώθηκε για τη συλλογή των ποινικών του δεδομένων. Ακόμη και αν οι πληροφορίες αυτές χρησιμοποιήθηκαν επικουρικώς, σε συνδυασμό με άλλα στοιχεία που προέκυπταν από τη διαδικασία πρόσληψης, το υποκείμενο των δεδομένων είχε το δικαίωμα να έχει ενημερωθεί ειδικώς ως προς τη συλλογή τους.
Καταληκτικώς, το δικαστήριο έκρινε πως η παραβίαση της υποχρέωσης ενημέρωσης του άρθρου 14 ΓΚΠΔ δεν συνεπάγεται τον παράνομο χαρακτήρα της αξιοποίησης των πληροφοριών που είχαν συλλεγεί, ούτε θεμελιώνει δικαίωμα αποζημίωσης για υλική ζημία, λόγω της μη πρόσληψης του ενάγοντος, καθώς οι πληροφορίες σχετικά με την ποινική του καταδίκη ήταν εν τέλει ακριβείς και τον καθιστούσαν ακατάλληλο για τη θέση.
Αντίθετα, το δικαστήριο έκρινε πως ο ενάγων δικαιούται αποζημίωση για μη υλική ζημία, λόγω της στέρησης του δικαιώματος ενημέρωσης, για την οποία επιδίκασε το ποσόν των 1.000 ευρώ. Σύμφωνα με την απόφαση, στην περίπτωση αυτή πληρούνται σωρευτικώς τα τρια κριτήρια του ΔΕΕ για την αποζημίωση μη υλικής ζημίας του άρθρου 82 ΓΚΠΔ: η παραβίαση της υποχρέωσης του άρθρου 14 ΓΚΠΔ αποτελεί παράβαση του ΓΚΠΔ, η οποία προκάλεσε ζημία στο υποκείμενο. Η παράβαση και η ζημία τελούν σε αιτιώδη συνάφεια, δεδομένου ότι με τη μη ενημέρωσή του το υποκείμενο των δεδομένων κατέστη ξένο ως προς την επεξεργασία των προσωπικών δεδομένων του, υπέστη πλήρη απώλεια ελέγχου επί των δεδομένων του που ετύγχαναν επεξεργασίας εν αγνοία του, τα οποία μάλιστα αφορούσαν ποινικές καταδίκες του, και εν τέλει κατέστη απλός παρατηρητής σε μια διαδικασία επιλογής που τον αφορούσε.
Όπως χαρακτηριστικά παρατηρήθηκε, ακόμη και αν ο ενάγων ήταν εν τέλει ακατάλληλος για τη συγκεκριμένη θέση εργασίας, αυτό δεν δικαιολογεί τη μετατροπή του σε αντικείμενο της επεξεργασίας σε μια διαδικασία πρόσληψης.
Το πλήρες κείμενο της απόφασης είναι διαθέσιμο εδώ.
