Ισπανία: Το λευκό ποινικό μητρώο δεν προστατεύεται από το άρθρο 10 ΓΚΠΔ

Σε μία ιδιαίτερα ενδιαφέρουσα, και μάλλον αμφιλεγόμενη, ερμηνεία του άρθρου 10 του Γενικού Κανονισμού Προστασίας Δεδομένων προχώρησε το Audiencia Nacional, ειδικό δικαστήριο της Ισπανίας, ακυρώνοντας πρόστιμο ύψους 2 εκατομμυρίων ευρώ που είχε επιβάλει η Ισπανική Αρχή Προστασίας Δεδομένων AEPD στην Amazon Road Transport Spain για την απαίτηση προσκόμισης πιστοποιητικού λευκού ποινικού μητρώου από υποψήφιους διανομείς του προγράμματος Amazon Flex.

Το ιστορικό της υπόθεσης

Η υπόθεση αφορούσε το πρόγραμμα Amazon Flex, μέσω του οποίου ιδιώτες πραγματοποιούν διανομές δεμάτων χρησιμοποιώντας δικά τους οχήματα. Κατά τη διαδικασία επιλογής, η εταιρεία ζητούσε από τους υποψηφίους να προσκομίσουν πιστοποιητικό από το οποίο να προκύπτει ότι δεν έχουν ποινικό μητρώο. Η επεξεργασία των στοιχείων αυτών γινόταν από εξωτερικούς παρόχους, που ενεργούσαν ως εκτελούντες την επεξεργασία και οι οποίοι διενεργούσαν την αρχική αξιολόγηση των αιτήσεων πριν από την επιλογή των συνεργατών.

Η AEPD έκρινε ότι η πρακτική αυτή παραβίαζε το άρθρο 10 ΓΚΠΔ, σύμφωνα με το οποίο η επεξεργασία δεδομένων που αφορούν ποινικές καταδίκες και αδικήματα επιτρέπεται μόνο υπό τον έλεγχο δημόσιας αρχής ή όταν προβλέπεται από το δίκαιο της Ένωσης ή των κρατών μελών. Σύμφωνα με την απόφασή της, ακόμη και η επεξεργασία πιστοποιητικού που βεβαιώνει την απουσία ποινικών καταδικών εμπίπτει στο πεδίο εφαρμογής της διάταξης, με αποτέλεσμα η συγκατάθεση των υποψηφίων να μην αρκεί για να νομιμοποιήσει την επεξεργασία ελλείψει ειδικής νομοθετικής εξουσιοδότησης. Με βάση την ερμηνεία αυτή επιβλήθηκε στην Amazon διοικητικό πρόστιμο ύψους 2 εκατ. ευρώ.

Πρώτο νομικό ζήτημα: Εφαρμόζεται το άρθρο 10 ΓΚΠΔ;

Το Audiencia Nacional ξεκίνησε από το βασικό ερώτημα της υπόθεσης: αν ένα πιστοποιητικό που βεβαιώνει ότι ένα πρόσωπο δεν έχει ποινικές καταδίκες αποτελεί δεδομένο σχετικό με ποινικές καταδίκες κατά την έννοια του άρθρου 10 ΓΚΠΔ.

Η απάντηση του δικαστηρίου ήταν αρνητική. Αρχικά επισήμανε ότι η υπόθεση δεν αφορά πρόσβαση σε μητρώα ποινικών καταδικών, αλλά την προσκόμιση από τον ίδιο τον ενδιαφερόμενο πιστοποιητικού που βεβαιώνει την απουσία τέτοιων καταδικών. Για τον λόγο αυτό κρίθηκε ότι αρκετές από τις αποφάσεις στις οποίες στηρίχθηκε η AEPD δεν ήταν συγκρίσιμες, καθώς αφορούσαν την πρόσβαση δημόσιων ή ιδιωτικών φορέων σε επίσημα μητρώα ποινικών δεδομένων και όχι την επεξεργασία ενός αρνητικού πιστοποιητικού.

Το δικαστήριο υπογράμμισε ακόμη ότι, στο πεδίο των διοικητικών κυρώσεων, οι διατάξεις που θεμελιώνουν παραβάσεις πρέπει να ερμηνεύονται στενά. Το άρθρο 10 ΓΚΠΔ αναφέρεται ρητά σε «δεδομένα προσωπικού χαρακτήρα σχετικά με ποινικές καταδίκες και αδικήματα» και όχι σε δεδομένα που πιστοποιούν την απουσία τους. Κατά συνέπεια, η έννοια αυτή δεν μπορεί να επεκταθεί, μέσω διασταλτικής ερμηνείας, ώστε να περιλαμβάνει και τα πιστοποιητικά λευκού ποινικού μητρώου.

Στο σκεπτικό του επισημαίνεται επίσης ότι σκοπός του άρθρου 10 είναι να προστατεύσει πληροφορίες που αποκαλύπτουν δυσμενή στοιχεία για το ποινικό παρελθόν ενός προσώπου και να θέσει αυστηρούς κανόνες πρόσβασης στα σχετικά μητρώα. Αντίθετα, η επεξεργασία στοιχείων που αποτυπώνουν ευνοϊκή κατάσταση για τον ενδιαφερόμενο δεν υπάγεται, κατά την κρίση του δικαστηρίου, στο ειδικό καθεστώς της διάταξης.

Δεύτερο νομικό ζήτημα: Είναι νόμιμη η απαίτηση του πιστοποιητικού;

Η διαπίστωση ότι δεν εφαρμόζεται το άρθρο 10 ΓΚΠΔ δεν ήταν αρκετή για να επιλυθεί η υπόθεση, καθώς το δικαστήριο ακολούθως εξέτασε αν η συγκεκριμένη επεξεργασία ήταν συμβατή με τις γενικές αρχές του ΓΚΠΔ, όπως αυτές τίθενται στο άρθρο 5.

Κατά την κρίση του, η Amazon επιδίωκε θεμιτό σκοπό, καθώς οι διανομείς αποκτούν πρόσβαση σε προσωπικά δεδομένα πελατών, όπως διευθύνσεις και τηλεφωνικούς αριθμούς, πραγματοποιούν παραδόσεις σε ιδιωτικές κατοικίες και διαχειρίζονται δέματα που ενδέχεται να αποκαλύπτουν πληροφορίες για τις συνήθειες ή τις προτιμήσεις των παραληπτών. Το δικαστήριο επισήμανε ακόμη ότι τα δέματα και τα στοιχεία παράδοσης θα μπορούσαν να χρησιμοποιηθούν καταχρηστικά από πρόσωπα που δεν πληρούν στοιχειώδεις προϋποθέσεις αξιοπιστίας.

Υπό τις συνθήκες αυτές, το δικαστήριο έκρινε ότι η απαίτηση προσκόμισης πιστοποιητικού λευκού ποινικού μητρώου αποτελούσε πρόσφορο και νόμιμο μέτρο για την αξιολόγηση της αξιοπιστίας των υποψηφίων και την προστασία των πελατών της εταιρείας. Επιπλέον, υπενθύμισε ότι η ύπαρξη ειδικών νομοθετικών ρυθμίσεων που επιβάλλουν την προσκόμιση αντίστοιχων πιστοποιητικών σε άλλους τομείς, όπως η εργασία με ανηλίκους, δεν σημαίνει ότι το άρθρο 10 ΓΚΠΔ απαιτεί πάντοτε ειδική νομοθετική εξουσιοδότηση για κάθε επεξεργασία πιστοποιητικού μη ύπαρξης ποινικού μητρώου.

Η ακύρωση του προστίμου

Με βάση τα παραπάνω, το Audiencia Nacional έκανε δεκτή την προσφυγή της Amazon Road Transport Spain, ακύρωσε την απόφαση της AEPD και το πρόστιμο των 2 εκατ. ευρώ, χωρίς να επιδικάσει δικαστικά έξοδα λόγω της πολυπλοκότητας των νομικών ζητημάτων και της ύπαρξης αντίθετης νομολογίας. Η απόφαση μπορεί να προσβληθεί με αναίρεση ενώπιον του Ανώτατου Δικαστηρίου της Ισπανίας.