Τηλεφωνική επικοινωνία με τον πρώην εργοδότη για αξιολόγηση υποψηφίου

Σημαντικές παραβάσεις της νομοθεσίας για την προστασία δεδομένων προσωπικού χαρακτήρα εντόπισε η βελγική Αρχή Προστασίας Δεδομένων (APD) σε υπόθεση που αφορούσε την ανταλλαγή πληροφοριών μεταξύ δύο φορέων στο πλαίσιο διαδικασίας πρόσληψης.

Η υπόθεση αφορούσε πρώην εργαζόμενο σε εταιρεία (εφεξής, Εταιρεία Α), ο οποίος είχε απασχοληθεί σε αυτήν από το 2005 έως το 2016. Κατά τη λύση της εργασιακής σχέσης, τα μέρη είχαν συνάψει συμφωνητικό συμβιβασμού, με βάση το οποίο η Εταιρεία Α και τα στελέχη της αναλάμβαναν, μεταξύ άλλων, την υποχρέωση να απέχουν από δημόσια ή ιδιωτικά αρνητικά σχόλια για τον εργαζόμενο, ιδίως έναντι μελλοντικών εργοδοτών.

Το 2020, ο καταγγέλλων υπέβαλε αίτηση για θέση εργασίας σε άλλη εταιρεία (εφεξής, Εταιρεία Β). Λίγο αργότερα ενημερώθηκε μέσω ηλεκτρονικού μηνύματος ότι δεν επελέγη, με την αιτιολογία να παραπέμπει ρητώς σε τηλεφωνική επικοινωνία της Εταιρείας Β με στέλεχος της Εταιρείας Α και σε αξιολόγηση της επαγγελματικής του εμπειρίας και των διοικητικών του ικανοτήτων.

Μετά την απόρριψη της υποψηφιότητάς του, ο ενδιαφερόμενος απευθύνθηκε στην Εταιρεία Α, υποστηρίζοντας ότι η διαβίβαση πληροφοριών προς την Εταιρεία Β συνιστούσε επεξεργασία προσωπικών δεδομένων που πραγματοποιήθηκε χωρίς νόμιμη βάση. Παράλληλα, άσκησε το δικαίωμα πρόσβασης, ζητώντας τόσο τις πληροφορίες που προβλέπει το άρθρο 15 παρ. 1 ΓΚΠΔ όσο και αντίγραφο όλων των δεδομένων που τον αφορούσαν και τηρούνταν από την εταιρεία. Αντίστοιχο αίτημα υπέβαλε και προς την Εταιρεία Β. Η ανταλλαγή εκτεταμένης αλληλογραφίας, οι καθυστερήσεις στην παροχή απαντήσεων και οι διαφωνίες ως προς το εύρος των υποχρεώσεων των υπευθύνων επεξεργασίας οδήγησαν τελικά στην υποβολή δύο καταγγελιών ενώπιον της APD, οι οποίες συνεξετάστηκαν, ως συναφείς.

Εξετάζοντας κατ’ αρχάς το ζήτημα της επεξεργασίας δεδομένων στο πλαίσιο της διαδικασίας πρόσληψης, η APD έκρινε ότι οι συστάσεις και οι αξιολογικές κρίσεις σχετικά με την επαγγελματική εμπειρία, τις δεξιότητες και τις ικανότητες του υποψηφίου συνιστούν προσωπικά δεδομένα, ακόμη και αν δεν αποτελούν παρά υποκειμενικές εκτιμήσεις. Ιδιαίτερη σημασία δόθηκε στο γεγονός ότι η ανταλλαγή των πληροφοριών έγινε προφορικά, μέσω τηλεφωνικής επικοινωνίας. Η Αρχή τόνισε ότι η προφορική διαβίβαση μπορεί να συνιστά επεξεργασία κατά την έννοια του ΓΚΠΔ, εφόσον τα δεδομένα εντάσσονται ή προορίζονται να ενταχθούν σε οργανωμένο αρχείο, όπως συνέβη εν προκειμένω με τον φάκελο υποψηφιότητας που τηρούσε η Εταιρεία Β.

Οι αυτοτελείς επεξεργασίες και η νομική βάση τους

Ως προς την Εταιρεία Β, η APD απέρριψε τον ισχυρισμό ότι η επεξεργασία βασίστηκε στη συγκατάθεση του υποψηφίου, επισημαίνοντας ότι στο πλαίσιο διαδικασιών πρόσληψης η συγκατάθεση σπανίως μπορεί να θεωρηθεί ελεύθερη, λόγω της εξαρτημένης θέσης του υποψηφίου. Παρά ταύτα, η Αρχή έκρινε ότι η συλλογή και περαιτέρω επεξεργασία συστάσεων μπορούσε να στηριχθεί στο έννομο συμφέρον της εταιρείας, κατά το άρθρο 6 παρ. 1στ’ ΓΚΠΔ. Σύμφωνα με την κρίση της, πληρούνταν σωρευτικά οι προϋποθέσεις του θεμιτού σκοπού, της αναγκαιότητας και της στάθμισης συμφερόντων, λαμβανομένων υπόψη και των εύλογων προσδοκιών του υποψηφίου ότι πρώην εργοδότες, τους οποίους ανέφερε στο βιογραφικό του, ενδέχεται να ερωτηθούν για επαγγελματικές συστάσεις.

Σύμφωνα με την απόφαση: «Η APD επαναλαμβάνει συναφώς ότι το συμφέρον της Εταιρείας Β, ως δυνητικού εργοδότη, να διεξάγει μια προσεκτική διαδικασία επιλογής προσωπικού είναι θεμιτό και ότι η επαλήθευση συστάσεων στην προκειμένη περίπτωση αποτέλεσε αναλογικό και αναγκαίο μέσο για την αξιολόγηση της αξιοπιστίας και της καταλληλότητας του καταγγέλλοντος. Έναντι του συμφέροντος αυτού βρίσκονται τα θεμελιώδη δικαιώματα και ελευθερίες του καταγγέλλοντος, του οποίου τα προσωπικά δεδομένα υποβλήθηκαν σε επεξεργασία κατόπιν τηλεφωνικής επικοινωνίας. Η APD κρίνει ότι η επεξεργασία περιορίστηκε σε συναφή, συνδεόμενα με τη θέση εργασίας δεδομένα και πραγματοποιήθηκε σε πλαίσιο στο οποίο δεν υπερβαίνονταν οι εύλογες προσδοκίες του υποκειμένου των δεδομένων. Ειδικότερα, η APD θεωρεί ότι εμπίπτει στις εύλογες προσδοκίες του καταγγέλλοντος το ενδεχόμενο να επικοινωνήσει η Εταιρεία Β με πρώην εργοδότες, τους οποίους ο ίδιος είχε αναφέρει στο βιογραφικό του και είχε μνημονεύσει ρητά κατά τη συνέντευξη, προκειμένου να αντλήσει ή να επαληθεύσει πληροφορίες».

Διαφορετική ήταν η αξιολόγηση της APD ως προς την Εταιρεία Α. Η βελγική αρχή έκρινε ορθώς ότι η διαβίβαση πληροφοριών προς την Εταιρεία Β συνιστούσε διακριτή και αυτοτελή, έναντι της συλλογής δεδομένων, επεξεργασία, για την οποία η Εταιρεία Α όφειλε να διαθέτει νόμιμη βάση. Η ίδια η εταιρεία όχι μόνο δεν θεμελίωσε την επεξεργασία σε κάποια εκ των περιπτώσεων του άρθρου 6 ΓΚΠΔ, αλλά ισχυρίστηκε πως δεν απαιτείτο νομική βάση, προφανώς διότι θεωρούσε πως δεν είχε προχωρήσει σε καμία επεξεργασία.

Επί του ισχυρισμού αυτού, η βελγική αρχή διατύπωσε μια κρίση ιδιαίτερα σημαντική. Όπως επεσήμανε, «η διαβίβαση πληροφοριών σχετικά με πρώην εργαζόμενο προς δυνητικό εργοδότη στο πλαίσιο ελέγχου συστάσεων είναι, κατά κανόνα, δυνατή μόνο βάσει της συγκατάθεσης του υποκειμένου των δεδομένων. Όταν ο παρέχων τις πληροφορίες μπορεί να εξακριβώσει ότι ο δυνητικός εργοδότης ζητεί τις πληροφορίες βάσει προηγηθείσας ελεύθερης και εν επιγνώσει συγκατάθεσης του υποκειμένου, δεν απαιτείται να ζητήσει ο ίδιος πρόσθετη συγκατάθεση. Ελλείψει τέτοιας συγκατάθεσης, παραδείγματος χάριν όταν ο δυνητικός εργοδότης ενεργεί βάσει έννομου συμφέροντος, ο παρέχων τις πληροφορίες οφείλει να λάβει ο ίδιος χωριστή συγκατάθεση του υποκειμένου των δεδομένων πριν από τη διαβίβαση των προσωπικών του δεδομένων».

Η μη ικανοποίηση του δικαιώματος πρόσβασης

Σημαντικό μέρος της απόφασης αφιερώθηκε και στην άσκηση του δικαιώματος πρόσβασης. Η APD έκρινε ότι τόσο η Εταιρεία Α όσο και η Εταιρεία Β παραβίασαν τις προθεσμίες του άρθρου 12 παρ. 3 ΓΚΠΔ, καθώς οι απαντήσεις στα αιτήματα του καταγγέλλοντος είτε δεν παραδόθηκαν εγκαίρως είτε δεν έφτασαν στον ίδιο. Περαιτέρω, ως προς την Εταιρεία Α, διαπιστώθηκε ότι η παροχή γενικών πληροφοριών, βασισμένων στην πολιτική απορρήτου για τους εργαζομένους της, δεν ανταποκρινόταν στις απαιτήσεις του άρθρου 15 ΓΚΠΔ για υποκείμενο που αποτελεί πρώην εργαζόμενο.

Σύμφωνα με την απόφαση: «η APD διαπιστώνει ότι η Εταιρεία Α, ως προς τους σκοπούς της επεξεργασίας, τις κατηγορίες των δεδομένων και τις κατηγορίες αποδεκτών στους οποίους τα δεδομένα διαβιβάζονται ή πρόκειται να διαβιβαστούν, παραπέμπει αποκλειστικά σε πληροφορίες που είναι χαρακτηριστικές μιας ενεργούς εργασιακής σχέσης, όπως αυτές περιγράφονται στην πολιτική απορρήτου που εφαρμόζεται στους εργαζομένους της. Η APD επισημαίνει συναφώς ότι οι γενικές πληροφορίες που παρασχέθηκαν δεν επαρκούν για την εκπλήρωση των υποχρεώσεων που επιβάλλει ο ΓΚΠΔ, δεδομένου ότι ο καταγγέλλων κατά τον χρόνο υποβολής του αιτήματος είχε ήδη αποχωρήσει από την Εταιρεία Α πριν από πέντε έτη. Η παραπομπή σε πολιτική απορρήτου που ισχύει αποκλειστικά για ενεργούς εργαζομένους είναι, στην περίπτωση αυτή, όχι μόνο άσχετη αλλά και εσφαλμένη».

Επιπλέον, κρίθηκε ότι ο περιορισμός του αντιγράφου των δεδομένων με γενικές αναφορές σε δικαιώματα άμυνας ή επιχειρηματικά απόρρητα δεν συνοδευόταν από την απαιτούμενη συγκεκριμένη στάθμιση δικαιωμάτων.

Η μη υποχρέωση αποκάλυψης του προσώπου που μίλησε

Αντιθέτως, η APD έκρινε ότι η Εταιρεία Β δεν παραβίασε τις υποχρεώσεις ενημέρωσης σχετικά με την προέλευση των δεδομένων, δεδομένου ότι η αναφορά στην Εταιρεία Α ως οργανισμό αρκούσε, χωρίς να απαιτείται η γνωστοποίηση του ονόματος του συγκεκριμένου προσώπου που παρείχε τη σύσταση.

Όπως χαρακτηριστικά αναφέρθηκε, «κατά τρόπο αντίστοιχο με την πληροφόρηση σχετικά με τους αποδέκτες και τις κατηγορίες τους που πρέπει να παρέχεται βάσει του άρθρου 15 παρ. 1 στοιχ. γ ́ ΓΚΠΔ, ο σκοπός της υποχρέωσης ενημέρωσης του άρθρου 15 παρ. 1 στοιχ. ζ ́ ΓΚΠΔ είναι να καταστεί το υποκείμενο των δεδομένων ικανό να ασκήσει αποτελεσματικά τα δικαιώματά του βάσει του ΓΚΠΔ, τόσο έναντι του ίδιου του υπευθύνου επεξεργασίας όσο και απευθείας έναντι του προσώπου ή της οντότητας που παρείχε τα προσωπικά δεδομένα (δηλαδή της «πηγής των δεδομένων»). Εφαρμοζομένων των ως άνω στην παρούσα υπόθεση, η APD καταλήγει στο συμπέρασμα ότι η Εταιρεία Β δεν υποχρεούνταν να γνωστοποιήσει στον καταγγέλλοντα το όνομα και το επώνυμο του προσώπου που παρείχε τη σύσταση εντός της Εταιρείας Α. Στην προκειμένη περίπτωση αρκούσε το γεγονός ότι η Εταιρεία Β ενημέρωσε τον καταγγέλλοντα ότι τα προσωπικά του δεδομένα ελήφθησαν μέσω της Εταιρείας Α «ως επιχείρησης», δεδομένου ότι η πληροφορία αυτή ήταν επαρκής ώστε να του επιτρέψει να ασκήσει τα δικαιώματά του έναντι της Εταιρείας Α, πράγμα που εν προκειμένω και έπραξε».

Λαμβάνοντας υπόψη τη φύση των διαπιστωθεισών παραβάσεων, το χρονικό διάστημα που είχε παρέλθει και τις περιστάσεις της υπόθεσης, η APD αποφάσισε να απευθύνει επίπληξη στις δύο εταιρείες.