Άλλο πράγμα είναι η διαγραφή των δεδομένων και άλλο πράγμα η ενημέρωση του υποκειμένου για την ικανοποίηση του αιτήματός του. Αυτό αποφάνθηκε η γαλλική αρχή προστασίας δεδομένων CNIL, επιβάλλοντας πρόστιμο ύψους 300.000 ευρώ στην εταιρεία παροχής συμβουλευτικών και τεχνικών υπηρεσιών πληροφορικής EXTIA, για παραβάσεις των άρθρων 12 και 17 ΓΚΠΔ κατά τη διαχείριση αιτημάτων άσκησης δικαιωμάτων από υποψηφίους εργαζομένους και πρώην υπαλλήλους.
Η υπόθεση ξεκίνησε από καταγγελίες που υποβλήθηκαν το 2024 σχετικά με δυσχέρειες στην άσκηση των δικαιωμάτων πρόσβασης και διαγραφής. Η CNIL είχε ήδη απευθύνει στην εταιρεία δύο υπομνήσεις των υποχρεώσεών της, τον Απρίλιο και τον Ιούνιο του 2024, ενώ τον Απρίλιο του 2025 πραγματοποίησε επιτόπιο έλεγχο, στο πλαίσιο και της συντονισμένης ευρωπαϊκής δράσης του ΕΣΠΔ για το δικαίωμα διαγραφής.
Περισσότερα από τρία στα τέσσερα αιτήματα
Το 2024 η EXTIA είχε δεχθεί 28.322 αιτήσεις υποψηφίων για πρόσληψη και συνολικά 265 αιτήματα διαγραφής, τα οποία προέρχονταν σχεδόν αποκλειστικά από πρώην υποψηφίους. Από τα αιτήματα αυτά, η CNIL διαπίστωσε ότι 204 δεν είχαν αντιμετωπιστεί σύμφωνα με τον ΓΚΠΔ: 12 δεν εξετάστηκαν, σε 166 περιπτώσεις τα υποκείμενα δεν ενημερώθηκαν για την έκβαση του αιτήματός τους, ενώ σε 26 η σχετική ενημέρωση δόθηκε εκπρόθεσμα. Σε χωριστή περίπτωση, απάντηση σε αίτημα πρόσβασης δόθηκε με καθυστέρηση μεγαλύτερη του ενός έτους.
Ως προς τα 12 αιτήματα που δεν εξετάστηκαν, η CNIL διαπίστωσε παράβαση τόσο του άρθρου 17 όσο και του άρθρου 12 ΓΚΠΔ. Η εταιρεία δεν μπορούσε, εξάλλου, να επικαλεστεί γενικά την ιδιότητα ορισμένων αιτούντων ως πρώην εργαζομένων και την ύπαρξη νόμιμων υποχρεώσεων διατήρησης δεδομένων, χωρίς να εξετάσει το συγκεκριμένο αίτημα και να προσδιορίσει ποια δεδομένα έπρεπε να διατηρηθούν και για ποιον λόγο.
Η διαγραφή των δεδομένων δεν αρκεί
Μεγαλύτερο ενδιαφέρον παρουσιάζει η κρίση της γαλλικής αρχής για την περίπτωση των αιτημάτων που ικανοποιήθηκαν, χωρίς όμως τα υποκείμενα των δεδομένων να ενημερωθούν για αυτό.
Η CNIL διαπίστωσε ότι 166 πρόσωπα που είχαν υποβάλει αίτημα διαγραφής δεν είχαν ενημερωθεί για τις ενέργειες στις οποίες προέβη η εταιρεία, ενώ σε 27 ακόμη περιπτώσεις η ενημέρωση παρασχέθηκε μετά την παρέλευση της προβλεπόμενης από το άρθρο 12 παρ. 3 ΓΚΠΔ προθεσμίας του ενός μήνα, με τις καθυστερήσεις να φθάνουν σε ορισμένες περιπτώσεις αρκετούς μήνες.
Από την πλευρά της, η EXTIA υποστήριξε ότι μεγάλο μέρος των αιτημάτων προερχόταν από μη επιλεγέντες υποψηφίους, των οποίων τα δεδομένα διαγράφονταν αυτομάτως από τα συστήματά της. Κατά συνέπεια, ακόμη και όταν δεν είχε αποσταλεί απάντηση, η διαγραφή που ζητούσαν είχε στην πράξη πραγματοποιηθεί.
Η CNIL διαχώρισε, όμως, την πραγματική διαγραφή των δεδομένων από τη διαδικαστική υποχρέωση του υπευθύνου επεξεργασίας. Το γεγονός ότι τα δεδομένα έχουν ήδη διαγραφεί – ακόμη και αυτομάτως, κατ’ εφαρμογή της πολιτικής διατήρησης – δεν απαλλάσσει τον υπεύθυνο επεξεργασίας από την υποχρέωση του άρθρου 12 να ενημερώσει το υποκείμενο για την έκβαση του αιτήματός του.
Η συμμόρφωση μετά την έναρξη της διαδικασίας
Για την επιβολή του προστίμου, η CNIL συνεκτίμησε ότι οι παραβάσεις αφορούσαν θεμελιώδη δικαιώματα των υποκειμένων και περισσότερα από 200 αιτήματα, καθώς και ότι η EXTIA είχε ήδη δύο φορές ενημερωθεί για τις υποχρεώσεις της. Η συμπεριφορά της χαρακτηρίστηκε ως ιδιαίτερα αμελής, δεδομένου ότι διέθετε εσωτερική ομάδα και ειδική διαδικασία για τη διαχείριση των αιτημάτων.
Η εταιρεία προχώρησε τελικά σε διορθωτικές ενέργειες, διαγράφοντας τα δεδομένα και ενημερώνοντας τα υποκείμενα όπου αυτό ήταν ακόμη δυνατό. Η μεταγενέστερη συμμόρφωση απέτρεψε την έκδοση εντολής συμμόρφωσης, δεν εξάλειψε όμως την ευθύνη για τις ήδη συντελεσθείσες παραβάσεις, με αποτέλεσμα την επιβολή προστίμου 300.000 ευρώ.
