Πρόστιμο 100.000 ευρώ στην Teleperformance Greece για παράνομη διαγραφή προσωπικών δεδομένων εργαζομένου (ΑΠΔΠΧ 19/2026)

Διοικητικό πρόστιμο συνολικού ύψους 100.000 ευρώ επέβαλε η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα στην Teleperformance Greece, διαπιστώνοντας σειρά παραβάσεων του ΓΚΠΔ κατά τη διαχείριση των προσωπικών δεδομένων εργαζομένου της εταιρείας, ο οποίος είχε υποβάλει εσωτερικές καταγγελίες για ζητήματα εργασιακής μεταχείρισης και είχε ζητήσει πρόσβαση στα σχετικά στοιχεία. Αξιοσημείωτο στην υπόθεση αυτή είναι το ότι η Αρχή είχε αρχικώς απορρίψει τις καταγγελίες, ως κατ’ ουσίαν αβάσιμες, ο καταγγέλλων ωστόσο επανήλθε με αίτηση θεραπείας και ζήτησε την επανεξέταση της υπόθεσής του, προβάλλοντας κρίσιμες διευκρινίσεις επί του πραγματικού.

Το ιστορικό της υπόθεσης και η αρχική αρχειοθέτηση

Ο καταγγέλλων, ο οποίος είχε υποβάλει κατά το πρώτο εξάμηνο του 2025 σειρά εσωτερικών αναφορών για περιστατικά ψυχολογικής βίας, εκφοβισμού και δυσμενούς εργασιακής μεταχείρισης, άσκησε στις 16 Ιουνίου 2025 το δικαίωμα πρόσβασης του άρθρου 15 ΓΚΠΔ, ζητώντας αντίγραφα της ηλεκτρονικής αλληλογραφίας που τον αφορούσε, έγγραφων παρατηρήσεων, αξιολογήσεων, πειθαρχικών μέτρων και προειδοποιήσεων, καθώς και πληροφορίες για τους σκοπούς, τους αποδέκτες και τη διάρκεια διατήρησης των δεδομένων του.

Η εταιρεία γνωστοποίησε παράταση της προθεσμίας απάντησης κατά 60 ημέρες και, στις 4 Σεπτεμβρίου 2025, του χορήγησε ορισμένα στοιχεία, χωρίς ωστόσο να συμπεριλάβει την αλληλογραφία των εσωτερικών καταγγελιών και άλλα κρίσιμα έγγραφα. Υποστήριξε ότι τα εταιρικά email είχαν ήδη διαγραφεί οριστικά, κατ’ εφαρμογή της εσωτερικής πολιτικής που προέβλεπε διαγραφή των δεδομένων του ηλεκτρονικού λογαριασμού εντός 24 ωρών από την τελευταία ημέρα εργασίας.

Η Αρχή αρχικά αρχειοθέτησε τις καταγγελίες ως κατ’ ουσία αβάσιμες, αποδεχόμενη τους ισχυρισμούς της εταιρείας. Ωστόσο, ο εργαζόμενος υπέβαλε αίτηση θεραπείας, επικαλούμενος ουσιώδη πραγματικά σφάλματα και πλημμελή αιτιολογία, με αποτέλεσμα την επανεξέταση της υπόθεσης και την κλήση των εμπλεκόμενων μερών σε ακρόαση.

Παράνομη διαγραφή δεδομένων παρά την ύπαρξη νομικών αξιώσεων

Καθοριστική για τη μεταστροφή της κρίσης της Αρχής υπήρξε η διαπίστωση ότι, μολονότι η εργασιακή σύμβαση έληγε στις 30 Ιουνίου 2025, η εταιρεία είχε διαγράψει τα ηλεκτρονικά μηνύματα και τον εταιρικό λογαριασμό του εργαζομένου ήδη από τις 4 Ιουνίου, δηλαδή πριν από τη συμβατική λήξη της εργασιακής σχέσης και την υποβολή του αιτήματος πρόσβασης.

Επιπλέον, από τα στοιχεία της υπόθεσης προέκυψε ότι ο εργαζόμενος είχε ήδη από τις 7 Μαΐου 2025 επισημάνει εγγράφως την ανάγκη μη διαγραφής των δεδομένων που συνδέονταν με τις καταγγελίες του, ενώ εκκρεμούσαν σχετικές νομικές αξιώσεις. Παράλληλα, η Δήλωση Ιδιωτικότητας της εταιρείας για το 2025 περιλάμβανε ρητή αναφορά στη δυνατότητα ανάκτησης διαγραμμένων ηλεκτρονικών μηνυμάτων.

Υπό τα δεδομένα αυτά, η Αρχή έκρινε ότι η διαγραφή παραβίασε τις αρχές της διαφανούς επεξεργασίας και της ακεραιότητας των δεδομένων, καθώς και το δικαίωμα πρόσβασης, λαμβάνοντας υπόψη και το άρθρο 17 παρ. 3 στοιχ. ε ́ ΓΚΠΔ, το οποίο προβλέπει εξαίρεση από το δικαίωμα διαγραφής όταν η επεξεργασία είναι αναγκαία για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων.

Η οριζόντια πολιτική διαγραφής και οι οργανωτικές ανεπάρκειες

Ξεχωριστή σημασία απέδωσε η Αρχή στην εφαρμογή μιας οριζόντιας πολιτικής διαγραφής, χωρίς να έχει ενεργοποιηθεί κατάλληλη διαδικασία προστασίας των δεδομένων που συνδέονταν με εκκρεμείς καταγγελίες και νομικές αξιώσεις. Η παράλειψη λήψης των αναγκαίων τεχνικών και οργανωτικών μέτρων για τη διασφάλιση της διαθεσιμότητας των δεδομένων κρίθηκε ότι συνιστά αυτοτελή παράβαση του άρθρου 32 ΓΚΠΔ.

Περαιτέρω, η Αρχή διαπίστωσε ότι η εταιρεία δεν είχε αιτιολογήσει ρητά και με σαφήνεια την παράταση της προθεσμίας ανταπόκρισης στο αίτημα πρόσβασης, κατά παράβαση του άρθρου 12 παρ. 3 ΓΚΠΔ, ενώ η ενημέρωση για τον χρόνο διατήρησης των δεδομένων ήταν ελλιπής, καθώς ο σχετικός σύνδεσμος δεν λειτουργούσε, κατά παράβαση των άρθρων 5 παρ. 1 στοιχ. α ́ και 13 ΓΚΠΔ.

Συστημικό πρόβλημα συμμόρφωσης και επιβολή προστίμων

Κατά την επιμέτρηση των κυρώσεων, η Αρχή επισήμανε ότι, παρά το γεγονός ότι οι διαπιστωθείσες παραβάσεις αφορούσαν ένα μόνο υποκείμενο δεδομένων, ανέδειξαν συστημικό πρόβλημα συμμόρφωσης της εταιρείας ως προς το σύνολο των εργαζομένων της. Ειδικότερα, διαπιστώθηκε ότι, μολονότι είχαν θεσπιστεί διαδικασίες για τη διαχείριση αιτημάτων πρόσβασης, αυτές δεν εφαρμόστηκαν αποτελεσματικά, με αποτέλεσμα την παρεμπόδιση της άσκησης των δικαιωμάτων και των νομικών αξιώσεων του καταγγέλλοντος.

Με την απόφασή της, η Αρχή έκανε δεκτή την αίτηση θεραπείας και επέβαλε πρόστιμο 60.000 ευρώ για τις παραβάσεις των άρθρων 5 παρ. 1, 15 και 17 παρ. 3 στοιχ. ε ́ ΓΚΠΔ, καθώς και πρόστιμο 40.000 ευρώ για τις παραβάσεις των άρθρων 5 παρ. 2, 12 παρ. 3, 13 και 32 ΓΚΠΔ.

Το πλήρες κείμενο της απόφασης ΑΠΔΠΧ 19/2026 είναι διαθέσιμο στον ιστότοπο της Αρχής.