Από την αρχειοθέτηση στην επίπληξη: Χρήση ιδιωτικής συνομιλίας εργαζόμενης (ΑΠΔΠΧ 16/2026)

Μια ιδιωτική συνομιλία μέσω Messenger, η οποία περιήλθε στα χέρια υποψήφιου πελάτη εταιρείας κατά τη διάρκεια τηλεργασίας, βρέθηκε στο επίκεντρο της απόφασης ΑΠΔΠΧ 16/2026, με την οποία απευθύνθηκε επίπληξη σε εργοδότρια εταιρεία για παραβίαση της αρχής της νόμιμης, θεμιτής και διαφανούς επεξεργασίας.

Η απόφαση παρουσιάζει ενδιαφέρον και για τη διαδικαστική της εξέλιξη, καθώς εκδόθηκε κατόπιν αίτησης θεραπείας κατά προηγούμενης πράξης αρχειοθέτησης της ίδιας καταγγελίας, η οποία οδήγησε την Αρχή σε επανεξέταση της υπόθεσης και, τελικά, σε διαφορετική κρίση ως προς τη νομιμότητα της επεξεργασίας.

Η ιδιωτική συνομιλία που οδήγησε στη λύση της εργασιακής σχέσης

Τον Οκτώβριο του 2020, εργαζόμενη σε εταιρεία πληροφορικής παρουσίασε εξ αποστάσεως λογισμικό σε υποψήφιο πελάτη εγκατεστημένο στην Κύπρο, χρησιμοποιώντας την εφαρμογή απομακρυσμένης πρόσβασης AnyDesk.

Μετά την ολοκλήρωση της παρουσίασης, η σύνδεση παρέμεινε ενεργή, επιτρέποντας στον υποψήφιο πελάτη να αποκτήσει πρόσβαση σε ιδιωτική συνομιλία της εργαζόμενης με τον σύντροφό της μέσω Messenger. Επειδή η συνομιλία περιλάμβανε απαξιωτικούς χαρακτηρισμούς για τον ίδιο, ο πελάτης κατέγραψε στιγμιότυπα οθόνης και τα απέστειλε, μεταξύ άλλων, στην εργοδότρια εταιρεία, εκφράζοντας έντονες διαμαρτυρίες.

Η εταιρεία αξιοποίησε το περιεχόμενο της συνομιλίας για την αξιολόγηση της συμπεριφοράς της εργαζόμενης, ενώ την επόμενη ημέρα λύθηκε η εργασιακή τους σχέση. Ακολούθως, η εργαζόμενη ζήτησε πρόσβαση στο επίμαχο ηλεκτρονικό μήνυμα και τη διαγραφή του, λαμβάνοντας την απάντηση ότι αυτό δεν διατηρούνταν πλέον στα εταιρικά αρχεία.

Η αίτηση θεραπείας και η παρέμβαση της κυπριακής αρχής

Η καταγγελία που υπέβαλαν από κοινού η πρώην εργαζόμενη και ο σύντροφός της το 2021 αρχειοθετήθηκε το επόμενο έτος, καθώς η ΑΠΔΠΧ έκρινε ότι η εργοδότρια εταιρεία είχε απαντήσει εμπρόθεσμα στο αίτημα πρόσβασης, ενώ για το σκέλος της καταγγελίας που αφορούσε τον Κύπριο υποψήφιο πελάτη δεν είχε αρμοδιότητα.

Οι δύο καταγγέλλοντες υπέβαλαν στη συνέχεια αίτηση θεραπείας κατά της πράξης αρχειοθέτησης, ζητώντας την ανάκλησή της και την επανεξέταση της υπόθεσης. Η Αρχή διαπίστωσε ότι συνέτρεχε λόγος επανεξέτασης και προχώρησε σε νέα διερεύνηση, ζητώντας πρόσθετες εξηγήσεις από την εταιρεία.

Στο μεταξύ, το σκέλος της καταγγελίας κατά του Κύπριου πελάτη εξετάστηκε στο πλαίσιο του μηχανισμού συνεργασίας του άρθρου 60 ΓΚΠΔ. Η κυπριακή εποπτική αρχή απέρριψε την καταγγελία ως απαράδεκτη, κρίνοντας ότι η φωτογράφιση και αποστολή της συνομιλίας στην εργοδότρια καλυπτόταν από τη νομική βάση του εννόμου συμφέροντος, κατά το άρθρο 6 παρ. 1 στοιχ. στ ́ ΓΚΠΔ, χωρίς να διαπιστώνεται παράβαση του δικαιώματος πρόσβασης.

Αξιοσημείωτη είναι και η παρατήρησή της ότι τα μηνύματα της εργαζόμενης με τον σύντροφό της δεν φαίνονταν να εμπίπτουν στην έννοια της «ιδιωτικής επικοινωνίας» κατά το κυπριακό δίκαιο. Η ελληνική Αρχή δεν διατύπωσε ένσταση στο σχέδιο απόφασης.

Η άρνηση ύπαρξης προσωπικών δεδομένων και η απουσία νομικής βάσης

Διαφορετική υπήρξε η αξιολόγηση της ΑΠΔΠΧ για τη συμπεριφορά της εργοδότριας, η οποία υποστήριξε ότι το ηλεκτρονικό μήνυμα δεν περιλάμβανε προσωπικά δεδομένα της εργαζόμενης, αφού είχε αποσταλεί από τρίτο πρόσωπο με παραλήπτη την εταιρεία, ενώ ακόμη και η διαγραφή του δεν συνιστούσε επεξεργασία προσωπικών δεδομένων.

Απορρίπτοντας τους ισχυρισμούς αυτούς ως αβάσιμους, η Αρχή διαπίστωσε ότι η εταιρεία είχε καταχωρίσει και χρησιμοποιήσει τη συνομιλία για τον έλεγχο της τήρησης των εργασιακών υποχρεώσεων της εργαζόμενης και στη συνέχεια την είχε διαγράψει, πραγματοποιώντας διαδοχικές πράξεις επεξεργασίας.

Το κρίσιμο στοιχείο ήταν ότι η εταιρεία, αρνούμενη εξαρχής την ύπαρξη προσωπικών δεδομένων, δεν επικαλέστηκε καμία νομική βάση για τη χρήση και τη διαγραφή τους, ούτε τεκμηρίωσε τη νομιμότητα των συγκεκριμένων ενεργειών, όπως απαιτεί η αρχή της λογοδοσίας.

Η διαγραφή των δεδομένων και η υποχρέωση προηγούμενης ενημέρωσης

Μια ακόμη ενδιαφέρουσα πτυχή της απόφασης αφορά την οριστική διαγραφή του ηλεκτρονικού μηνύματος από τα εταιρικά αρχεία, την οποία η εργοδότρια επικαλέστηκε αρχικά προκειμένου να αιτιολογήσει την αδυναμία ικανοποίησης του αιτήματος πρόσβασης της εργαζόμενης. Η Αρχή, ωστόσο, εξέτασε τη διαγραφή ως αυτοτελή πράξη επεξεργασίας προσωπικών δεδομένων, διαπιστώνοντας ότι η εταιρεία προέβη σε αυτήν χωρίς να έχει προηγουμένως ενημερώσει την ενδιαφερόμενη.

Στο σημείο αυτό, η ΑΠΔΠΧ επικαλέστηκε τις διατάξεις του άρθρου 14 ΓΚΠΔ, οι οποίες ρυθμίζουν την υποχρέωση ενημέρωσης όταν τα προσωπικά δεδομένα δεν συλλέγονται από το ίδιο το υποκείμενο, αλλά αποκτώνται από άλλη πηγή. Στη συγκεκριμένη περίπτωση, η εταιρεία είχε παραλάβει τη συνομιλία από τον Κύπριο υποψήφιο πελάτη και όφειλε, ως υπεύθυνη επεξεργασίας, να παράσχει στην εργαζόμενη την προβλεπόμενη ενημέρωση για την επεξεργασία των δεδομένων της, συμπεριλαμβανομένου του χρονικού διαστήματος διατήρησής τους ή των κριτηρίων καθορισμού του, σύμφωνα με το άρθρο 14 παρ. 2 στοιχ. α ́ ΓΚΠΔ.

Η Αρχή διαπίστωσε ότι η απαιτούμενη ενημέρωση δεν είχε παρασχεθεί πριν από την οριστική διαγραφή του μηνύματος, ενώ έκρινε ότι δεν συνέτρεχαν οι προϋποθέσεις εφαρμογής της εξαίρεσης του άρθρου 32 παρ. 1 στοιχ. β ́ του ν. 4624/2019, η οποία επιτρέπει, υπό συγκεκριμένες προϋποθέσεις, τον περιορισμό της υποχρέωσης ενημέρωσης από ιδιωτικούς φορείς.

Αξιοσημείωτο είναι ότι η ΑΠΔΠΧ συνέδεσε το ζήτημα της διαγραφής και με την ενδεχόμενη αποδεικτική αξία του επίμαχου μηνύματος, επισημαίνοντας ότι η διατήρησή του θα μπορούσε να έχει έννομη σημασία σε περίπτωση δικαστικής διεκδίκησης αξιώσεων από οποιοδήποτε από τα εμπλεκόμενα μέρη. Η παρατήρηση αυτή αποκτά ιδιαίτερη βαρύτητα υπό τις περιστάσεις της υπόθεσης, καθώς η ιδιωτική συνομιλία είχε ήδη χρησιμοποιηθεί στο πλαίσιο της αξιολόγησης της συμπεριφοράς της εργαζόμενης και είχε ακολουθήσει η λύση της εργασιακής της σχέσης.

Η ευθύνη της εργαζόμενης και η επιλογή της κύρωσης

Η διαπίστωση παραβάσεων από την εργοδότρια δεν εμπόδισε την Αρχή να εξετάσει αυτοτελώς και τη συμπεριφορά της εργαζόμενης, στην οποία καταλόγισε προσωπική ευθύνη για την παράλειψη τερματισμού της απομακρυσμένης σύνδεσης μέσω AnyDesk μετά την ολοκλήρωση της παρουσίασης.

Απορρίπτοντας τους ισχυρισμούς της περί ανεπαρκούς ενημέρωσης και εκπαίδευσης από την εταιρεία, η ΑΠΔΠΧ έκρινε ότι δεν είχε αποδειχθεί άγνοια της εργαζόμενης ως προς τη λειτουργία της εφαρμογής και τους κινδύνους που συνεπαγόταν η χρήση της. Μάλιστα, επισήμανε ότι η διατήρηση της σύνδεσης θα μπορούσε να είχε οδηγήσει, ανεξάρτητα από το περιεχόμενο της ιδιωτικής συνομιλίας, ακόμη και σε διαρροή επαγγελματικών απορρήτων και εμπιστευτικών πληροφοριών, για την προστασία των οποίων η εργαζόμενη υπείχε συμβατική υποχρέωση πίστης.

Ως προς την κύρωση, η Αρχή επέλεξε την επιβολή επίπληξης στην εταιρεία για την παραβίαση του άρθρου 5 παρ. 1 στοιχ. α ́ ΓΚΠΔ, συνεκτιμώντας ότι επρόκειτο για μεμονωμένο περιστατικό, ότι είχε παρέλθει σημαντικό χρονικό διάστημα και ότι δεν αποδείχθηκε δόλος ή οικονομικό όφελος της εργοδότριας από την επεξεργασία.

Στη στάθμιση περιλήφθηκαν επίσης η απουσία αποδεδειγμένης οικονομικής ή υλικής ζημίας από την παράλειψη ενημέρωσης, η εμπρόθεσμη απάντηση της εταιρείας στο αίτημα της εργαζόμενης, έστω και μετά τη διαγραφή του μηνύματος, καθώς και το γεγονός ότι δεν προέκυψε περαιτέρω επεξεργασία του, όπως ενδεχόμενη κοινοποίησή του σε τρίτους.

Το πλήρες κείμενο της απόφασης ΑΠΔΠΧ 16/2026 είναι διαθέσιμο στον ιστότοπο της Αρχής.