Το δικαίωμα του ατόμου να μην υπόκειται σε αποφάσεις που λαμβάνονται αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας συμπεριλαμβανομένης της κατάρτισεης προφίλ (profiling), οι οποίες μπορεί να επηρεάζουν σημαντικά τα έννομα συμφέροντά του (άρθρο 22 ΓΚΠΔ) είναι από τις πιο δυσχερείς ερμηνευτικά διατάξεις του Κανονισμού. Το ίδιο συμβαίνει και με την διάταξη του άρθρου 21 ΓΚΠΔ που είναι το δικαίωμα εναντίωσης του υποκειμένου στην επεξεργασία των δεδομένων του όταν αυτή γίνεται στη νομική βάση των έννομων συμφερόντων του υπεύθυνου επεξεργασίας.

Η δυσχέρεια προκύπτει από την ίδια την ευρύτητα του ορισμού, δηλαδή την έννοια της φράσης “αποφάσεις που παράγουν έννομα αποτελέσματα που αφορούν το πρόσωπο ή το επηρεάζουν σημαντικά με παρόμοιο τρόπο”. Επειδή δεν ορίζεται τι σημαίνει “να το επηρεάζουν σημαντικά”, δεν έχουμε επαρκές μέτρο σύγκρισης και κρίσης περί του ποιες αποφάσεις επηρεάζουν σημαντικά ένα υποκείμενο και ποιες όχι. Είναι βέβαια κατανοητό ότι αποφάσεις που αφορούν εργασιακά δικαιώματα είναι σημαντικές, όμως σε άλλες περιπτώσεις δεν είναι τόσο ευδιάκριτος ο διαχωρισμός. Για παράδειγμα: Φαρμακευτική εταιρεία χορηγεί εκπτώσεις στους φαρμακοποιούς που προμηθεύει τα προϊόντα της με βάση την δυναμικότητα των πωλήσεών τους. Βάσει του προφίλ του κάθε φαρμακείου, εκείνα που έχουν υψηλότερες πωλήσεις λαμβάνουν μεγαλύτερες εκπτώσεις στα προϊόντα της συγκεκριμένης εταιρείας, ενώ εκείνα που κάνουν χαμηλές πωλήσεις, λαμβάνουν μικρές ή και καθόλου εκπτώσεις. Είναι αυτή μία απόφαση που επηρεάζει σημαντικά το υποκείμενο ή όχι; Αντίστοιχα, οι φαρμακοποιοί που κάνουν υψηλές πωλήσεις μπορεί να λαμβάνουν το ίδιο ποσοστό έκπτωσης στα προϊόντα της φαρμκευτικής αλλά να λαμβάνουν περισσότερη ενημέρωση από τους ιατρικούς επισκέπτες της, ενώ εκείνα τα φαρμακεία που κάνουν λίγες πωλήσεις να μην δέχονται καθόλου επίσκεψη από τους ιατρικούς εισκέπτες της φαρμακευτικής. Είναι αυτό μια απόφαση που επηρεάζει σημαντικά το υποκείμενο-φαρμακοποιό ή όχι; Και αντίστοιχα για το άρθρο 21 ΓΚΠΔ: Για να ασκήσει το υποκείμενο το δικαίωμα του άρθρου 21 (δικαίωμα εναντίωσης) πρέπει να έχει χρησιμοποιηθεί η νομική βάση του άρθρου 6 παρ.στ), δηλαδή να πρόκειται για επεξεργασία που γίνεται με νομική βάση τα έννομα συμφέροντα του υπεύθυνου επεξεργασίας, έναντι των οποίων δεν “υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων…”. Υπερισχύουν όμως τα δικαιώματα και οι ελευθερίες των φαρμακοποιών έναντι των εννόμων συμφερόντων της φαρμακευτικής εταιρείας να παρέχει εκπτώσεις σε όποιον πελάτη της κάνει μεγαλύτερη κατανάλωση και ακολούθως σε αυτόν να δαπανά μεγαλύτερο μέρος των πόρων της για επαγγελματική ενημέρωση;

Μια απόφαση του Γραφείου Επιτρόπου Προστασίας Δεδομένων της Κύπρου έρχεται να συμβάλει στην ερμηνεία των άρθρων 21 και 22 του Κανονισμού: Πρόκειται για την απόφαση του Γραφείου σχετικά με τις εταιρείες Louis, οι οποίες εφάρμοζαν στους εργαζόμενούς τους σύστημα βαθμολόγησης των αδειών των εργαζομένων με την μέθοδο Bradford. Η μέθοδος Bradford στηρίζεται στην λογική ότι οι μικρές συχνές απουσίες είναι περισσότερο αποδιοργανωτικές για την εργασία από τις μακρόχρονες και ως εκ τούτου βαθμολογεί τις απουσίες των εργαζομένων υψώνοντας στο τετράγωνο τον αριθμό των περιπτώσεων απουσίας πολλαπλασιάζοντάς τον στην συνέχεια με τον συνολικό αριθμό ημερών απουσίας. Όσο υψηλότερο είναι το σκορ, αντίστοιχα διαβαθμίζεται και η αντίδραση του εργοδότη προς τον εργαζόμενο.

Το Γραφείο έκρινε ότι μολονότι είναι δικαίωμα του εργοδότη να αξιολογεί τους εργαζόμενούς του και να ασκεί εποπτεία στις ημέρες αδειών τους, ωστόσο ο τρόπος αυτός παρακολούθησης με την κατάρτιση προφίλ των εργαζόμενων, είναι καταχρηστικός και παραβιάζει τα δικαιώματα των υποκειμένων. Μάλιστα κάνει μια σαφή διάκριση ως προς τον κανόνα που παραβιάζεται, καταλήγοντας ότι δεν τυγχάνει εφαρμογής το άρθρο 22 του Κανονισμού (αυτοματοποιημένη απόφαση βάσει profiling) αλλά το άρθρο 21 περί του δικαιώματος εναντίωσης. Σημειωτέον ότι οι εργοδότριες εταιρείες είχαν διενεργήσει Εκτίμηση Αντικτύπου (DPIA) με ανεξάρτητο οργανισμό ελέγχουμ στην οποία είχαν κρίνει ως θεμιτή την συγκεκριμένη επεξεργασία. Το Γραφείο Επιτρόπου αντίθεται έκρινε ότι δεν αποδεικνύεται για ποιον λόγο θεωρείται ότι η κατάρτιση τέτοιου τύπου προφίλ για τον εργαζόμενο υπερισχύει των συμφερόντων ή των θεμελιωδών δικαιωμάτων των υποκειμένων. Ως εκ τούτου, η νομική βάση των εννόμων συμφερόντων δεν μπορεί να χρησιμοποιηθεί, και η εκτίμηση αντικτύπου σε επεξεργασία η οποία στερείται νομικής βάσης είναι περιττή. Εξάλλου, έκρινε το Γραφείο, δεν συντρέχει καμία από τις εξαιρέσεις που επιτρέπουν την επεξεργασία δεδομένων ειδικών κατηγοριών (άρθρο 9 παρ.2 ΓΚΠΔ). Ο εργοδότης εξάλλου δεν εμποδίζεται να καταγράφει απλώς τις ημέρες αδειών και να βάζει όριο σε αυτές. Ο πολλαπλασιασμός όμως του αριθμού ημερών απουσίας με τον εαυτό του (στο τετράγωνο) είναι αδικαιολόγητη πρακτική, η οποία δεν έχει κριθεί ακαδημαϊκά ή επιστημονικά, δεν τεκμηριώνεται και επιφέρει ένα τιμωρητικό και εκδικητικό αποτέλεσμα για τον εργαζόμενο.

Η απόφαση του Γραφείου Επιτρόπου Προστασίας Δεδομένων Κύπρου είναι εξαιρετικά αναλυτική και διαφωτιστική και προσφέρει μια άριστη ερμηνεία και ανάλυση της εφαρμογής των άρθρων 21 και 22 του Κανονισμού. Όλη η απόφαση εδώ: