Η συλλογή και η επεξεργασία των δεδομένων προσωπικού χαρακτήρα των εργαζομένων ξεκινά ήδη πριν τη σύναψη της έναρξης εργασίας, ενώ συχνά συνεχίζεται και μετά τη λήξη της. Το γεγονός αυτό σε συνδυασμό με τη σχέση εξάρτησης μεταξύ εργοδότη και εργαζόμενου καθιστά ακόμα πιο έντονη την ανάγκη θέσπισης μέτρων προστασίας για τα προσωπικά δεδομένα των εργαζομένων. Την ανάγκη αυτή αναγνωρίζει το σχέδιο νόμου του Υπουργείου Δικαιοσύνης, το οποίο στο άρθρο 17 εισάγει λεπτομερείς ρυθμίσεις ειδικά για την επεξεργασία δεδομένων στο πλαίσιο της απασχόλησης.
Καταρχάς, ο Έλληνας νομοθέτης οριοθετεί με ευρύτητα την έννοια του εργαζόμενου ως τον απασχολούμενο με οποιαδήποτε σχέση απασχόλησης τόσο στον δημόσιο όσο και στον ιδιωτικό τομέα, συμπεριλαμβάνοντας σε αυτή και τους υπηρετούντες στις ένοπλες δυνάμεις και στα σώματα ασφαλείας. Για τους σκοπούς του νόμου, στην έννοια αυτή συμπεριλαμβάνονται τόσο οι υποψήφιοι για εργασία όσο και οι πρώην εργαζόμενοι, ενώ το κύρος της σχέσης απασχόλησης δεν επηρεάζει τις υποχρεώσεις του υπευθύνου επεξεργασίας- εργοδότη ως προς την επεξεργασία και προστασία δεδομένων των εργαζομένων.
Στο πλαίσιο της εργασιακής σχέσης, η επεξεργασία δεδομένων προσωπικού χαρακτήρα επιτρέπεται μόνο για σκοπούς που συνδέονται άμεσα με τη σχέση απασχόλησης ή για σκοπούς που προκύπτουν από διάταξη νόμου. Οι σκοποί αυτοί θα πρέπει να είναι εκ των προτέρων γνωστοί στους εργαζομένους και κατανοητοί από αυτούς. Κατά συνέπεια, οι εργαζόμενοι θα πρέπει να ενημερώνονται εγγράφως και ατομικώς για την επεξεργασία των δεδομένων τους, τους σκοπούς αυτής αλλά και τη διάρκειά της.
Επιπρόσθετα, οι εργοδότες θα πρέπει να τηρούν την αρχή της ελαχιστοποίησης των δεδομένων, επεξεργαζόμενοι μόνο όσα είναι κατάλληλα, συναφή και αναγκαία για συγκεκριμένους σκοπούς που σχετίζονται με τη σχέση απασχόλησης και για τους οποίους υποβάλλονται σε επεξεργασία, λαμβανομένων υπόψη ιδίως της φύσης της απασχόλησης και των ιδιαίτερων χαρακτηριστικών της εργασίας.
Έτσι, η επεξεργασία είναι νόμιμη όταν:
α) είναι απαραίτητη για την εκπλήρωση των εκατέρωθεν υποχρεώσεων που αφορούν τη σχέση απασχόλησης ή σχετίζονται με αυτή, είτε αυτές πηγάζουν από το νόμο είτε από σύμβαση, ατομική ή συλλογική,
β) είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας,
γ) είναι απαραίτητη για τη διαφύλαξη ζωτικού συμφέροντος του εργαζομένου ως υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου,
δ) είναι απαραίτητη για την εκπλήρωση των εννόμων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύουν το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του εργαζομένου ως υποκειμένου των δεδομένων.
Όταν δε η επεξεργασία αυτή θεμελιώνεται στη συγκατάθεση των εργαζομένων, αυτή πρέπει να είναι έγγραφη και να διακρίνεται από τη σύμβαση απασχόλησης. Κυρίως, όμως, η συγκατάθεση θα πρέπει να δίνεται ελεύθερα, δηλαδή ο εργοδότης θα πρέπει να είναι σε θέση να αποδείξει ότι ο εργαζόμενος έχει μία γνήσια και ελεύθερη επιλογή και είναι σε θέση να αρνηθεί ή να ανακαλέσει τη συγκατάθεσή του χωρίς αρνητικές επιπτώσεις. Η εφαρμογή της διάταξης αυτής ίσως αποδειχθεί προβληματική στην πράξη καθώς, όπως έχει επισημάνει και η ομάδα εργασία του Άρθρου 29, λόγω της εξάρτησης που χαρακτηρίζει μια σχέση εργασίας οι εργαζόμενοι δεν βρίσκονται πάντα σε θέση να συναινέσουν ελεύθερα στην επεξεργασία των δεδομένων τους.
Ειδικότερη μνεία γίνεται για την επεξεργασία ειδικών κατηγοριών δεδομένων και δεδομένων που αφορούν ποινικές καταδίκες και αδικήματα. Η επεξεργασία αυτή είναι επιτρεπτή μόνο στην περίπτωση που ο εργοδότης αποδεικνύει ότι είναι απολύτως απαραίτητη για την εκτέλεση της σύμβασης εργασίας λόγω των ιδιαίτερων συνθηκών που τη χαρακτηρίζουν, ενώ ειδικότερα η επεξεργασία γενετικών δεδομένων είναι επιτρεπτή μόνο κατ’ εξαίρεση κι εφόσον προηγηθεί προηγούμενη διαβούλευση με την ΑΠΔΠΧ (βλ. και άρθρο 36 παρ. 5 του Κανονισμού).
Επιπλέον, το ελληνικό σχέδιο νόμου ρυθμίζει και το ζήτημα επεξεργασίας δεδομένων προσωπικού χαρακτήρα μέσω κλειστού κυκλώματος τηλεόρασης εντός των χώρων εργασίας, ορίζοντας ότι επιτρέπεται σε ειδικές και εξαιρετικές περιπτώσεις, εφόσον δικαιολογείται από τη φύση και τις συνθήκες εργασίας και είναι απαραίτητο για την προστασία της υγείας και της ασφάλειας των εργαζομένων ή την προστασία κρίσιμων υποδομών. Το ίδιο ισχύει για τη χρήση μεθόδων επιτήρησης και παρακολούθησης, όπως μέσω της χρήσης συστημάτων γεωεντοπισμού. Σε κάθε περίπτωση πάντως, οι μέθοδοι ελέγχου και παρακολούθησης και ο σκοπός που εξυπηρετούν δεν επιτρέπεται να προσβάλλουν την αξιοπρέπεια των εργαζομένων.
Τέλος, γίνεται σαφές από το σχέδιο νόμου ότι και οι εργαζόμενοι έχουν δικαίωμα να απευθύνονται άμεσα στον υπεύθυνο προστασίας δεδομένων του οργανισμού, φορέα ή της επιχείρησης στην οποία εργάζονται και να διατυπώνουν ερωτήματα, παράπονα ή καταγγελίες σε σχέση με την επεξεργασία των δεδομένων τους, ενώ η άσκηση του δικαιώματος αυτού δεν επιτρέπεται να έχει δυσμενείς συνέπειες για τον εργαζόμενο.
Το ίδιο φυσικά ισχύει και όσον αφορά την άσκηση των δικαιωμάτων των υποκειμένων που προβλέπονται από τον Κανονισμό 679/2016 (άρθρα 12-22 Κανονισμού 679/2016). Στο σημείο αυτό αξίζει ωστόσο να επισημανθεί ότι ο Κανονισμός θα μπορούσε περαιτέρω να συγκεκριμενοποιεί τις έννομες συνέπειες που θα έχει για τον εργοδότη η παραβίαση της διάταξης, ώστε να θωρακίζει ακόμη καλύτερα τη θέση του εργαζομένου.