Αθήνα, 07-04-2021
Αριθ. Πρωτ.: 1023
ΑΠΟΦΑΣΗ 12/2021 (Τμήμα)
Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τμήματος μέσω τηλεδιάσκεψης την 17-02-2021 και ώρα 10:00, μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής Κωνσταντίνου Μενουδάκου, και τα αναπληρωματικά μέλη Γρηγόριος Τσόλιας και Ευάγγελος Παπακωνσταντίνου, ως εισηγητής, σε αντικατάσταση των τακτικών μελών Χαράλαμπου Ανθόπουλου και Κωνσταντίνου Λαμπρινουδάκη αντίστοιχα, οι οποίοι, αν και εκλήθησαν νομίμως εγγράφως δεν παρέστησαν λόγω κωλύματος. Το τακτικό μέλος Σπυρίδων Βλαχόπουλος, αν και κλήθηκε νομίμως εγγράφως, δεν παρέστη λόγω κωλύματος. Στη συνεδρίαση παρέστησαν, με εντολή του Προέδρου, ο Γεώργιος Ρουσόπουλος, ειδικός επιστήμονας – ελεγκτής ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας.
Η Αρχή έλαβε υπόψη της τα ακόλουθα:
Με την υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/4943/12-07-2019 καταγγελία του ο Α υποστήριξε στην Αρχή ότι από τον Ιούλιο του 2018, η «Ιγνατιάδης Νικόλαος και ΣΙΑ Ε.Ε.» (εφεξής και «Υπεύθυνος Επεξεργασίας») τοποθέτησε κάμερα εντός των γραφείων της επιχείρησης, η οποία εστίαζε στο χώρο εργασίας του. Αναφέρει μάλιστα περιστατικό από το οποίο φαίνεται ότι η εν λόγω κάμερα χρησιμοποιήθηκε για τον έλεγχό του κι όχι για σκοπό ασφάλειας. Ο καταγγέλλων υποστηρίζει ότι άσκησε τις αντιρρήσεις του, κατ΄ αρχάς μετά την εγκατάσταση της κάμερας προφορικά και ακολούθως εγγράφως με την από 22/02/2019 εξώδικη επιστολή του.
Η καταγγελλόμενη εταιρεία ενημερώθηκε για την καταγγελία με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/4943-1/09-08-2019 έγγραφο της Αρχής, με το οποίο της εκτέθηκε συνοπτικά το εφαρμοζόμενο θεσμικό πλαίσιο. Με το έγγραφο αυτό η εταιρεία κλήθηκε να υποβάλει στην Αρχή τις απόψεις της τόσο για τη νομιμότητα της λειτουργίας του συστήματος βιντεοεπιτήρησης όσο και για την άσκηση των δικαιωμάτων του καταγγέλλοντος ως υποκειμένου των δεδομένων.
Η εταιρεία απάντησε με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/6706/04-10-2019 έγγραφό της, δηλώνοντας, μεταξύ άλλων, ότι η κάμερα έχει τοποθετηθεί έτσι ώστε να έχει γενική άποψη του χώρου εστιάζοντας στη είσοδο των γραφείων της ώστε να έχει γνώση ποιος εισέρχεται στις εγκαταστάσεις της. Αναφέρει ότι η κάμερα έχει τοποθετηθεί για λόγους ασφαλείας και όχι για επιτήρηση εργαζομένων, καθώς στο γραφείο γίνονται λογιστικές εργασίες, καταβολές χρημάτων και χρεογράφων, ενώ η περιοχή είναι επιβαρυμένη από αδικήματα κατά της ιδιοκτησίας. Ο ιδιοκτήτης της εταιρείας βρίσκεται σε γραφείο από το οποίο δεν έχει οπτική επαφή με την είσοδο του γραφείου. Αναφέρει επίσης ότι, στο παρελθόν, συνεργάτης του γραφείου είχε πέσει θύμα κλοπής, χωρίς όμως να προσκομίζει στοιχεία προς τούτο. Ως προς τον καταγγέλλοντα, υποστηρίζει ότι δεν είχε διαμαρτυρηθεί για την κάμερα, την οποία γνώριζε, ενώ το έπραξε μόνο αφού προσφυγές του στην Επιθεώρηση Εργασίας για άλλα ζητήματα, δεν είχαν αποτέλεσμα για αυτόν.
Η Αρχή με νεότερο έγγραφό της (με αριθ. πρωτ. Γ/ΕΞ/6706-1/14-10-2019) ζήτησε από την εταιρεία, αποσαφήνιση της απάντησής της, σχετικά με τα βασικά τεχνικά χαρακτηριστικά που αφορούν τη λειτουργία του συστήματος βιντεοεπιτήρησης. Συγκεκριμένα ζητήθηκε: α) να προσδιοριστεί σε ποιο χώρο έχει τοποθετηθεί η μονάδα ελέγχου, β) αν υπάρχει δυνατότητα απομακρυσμένης πρόσβασης και επόπτευσης μέσω διαδικτύου και για ποιους χρήστες, γ) και με ποιο τρόπο εξασφαλίζεται ότι η πρόσβαση στις εικόνες των καμερών περιορίζεται μόνο
στα κατάλληλα εξουσιοδοτημένα πρόσωπα. Τέλος, προς αποσαφήνιση της εμβέλειας της κάμερας, ζητήθηκε να προσκομισθεί δείγμα εικόνας, σε ηλεκτρονική μορφή και στην υψηλότερη δυνατή ανάλυση με βάση τα χαρακτηριστικά της συσκευής, ώστε να προκύπτει ο επιτηρούμενος χώρος.
Η καταγγελλόμενη εταιρεία απάντησε στην Αρχή με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/7347/28-10-2019 έγγραφό της, ενώ κατόπιν του υπ’ αριθμ. πρωτ. Γ/ΕΞ/7347-1/15-11-2019 εγγράφου της Αρχής παρείχε αναλυτικό δείγμα εικόνας από την εσωτερική μνήμη της κάμερας και από το κινητό τηλέφωνο του ιδιοκτήτη της, με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/8057/21-11-2019 έγγραφό της. Με τα έγγραφα αυτά αναφέρει ότι το σύστημα δεν διαθέτει καταγραφικό, αλλά μεταδίδει εικόνα αποκλειστικά στο κινητό του ιδιοκτήτη της εταιρείας, ο οποίος είναι ο μόνος που μπορεί να δει τις εικόνες, μέσω κωδικού. Η πρόσβαση διασφαλίζεται επίσης λόγω του γεγονότος ότι ο νόμιμος εκπρόσωπος της εταιρείας συνδέεται στο διαδίκτυο από χωριστή γραμμή παροχής διαδικτύου. Η κάμερα διαθέτει ελάχιστη δυνατότητα καταγραφής σε εσωτερική μνήμη, η οποία δεν χρησιμοποιείται. Από τις προδιαγραφές του εξοπλισμού που προσκομίζει η καταγγελλόμενη εταιρεία προκύπτει ότι, χρησιμοποιείται κάμερα τύπου innovator HD smart WiFi, ενώ η χρησιμοποιούμενη κάρτα μνήμης έχει χωρητικότητα 16Gb. Σύμφωνα με το προσκομιζόμενο εγχειρίδιο της κάμερας, έχει δυνατότητα λήψης video σε ανάλυση 720p, διαθέτει ενσωματωμένο μικρόφωνο και ηχείο, διαθέτει λογισμικό ελέγχου τόσο για έξυπνα κινητά όσο και για Η/Υ με λειτουργικό σύστημα Windows.
Κατόπιν των ανωτέρω, η Αρχή προχώρησε σε κλήση της εταιρείας για τη συνεδρίαση τμήματος, αρχικά με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/1806/09-03-2020 έγγραφό της για τις 18-03-2020 και κατόπιν αναβολής της συνεδρίασης, για τις 15-07-2020, με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/4486/29-06-2020 έγγραφό της. Με την κλήση η εταιρεία ενημερώθηκε ότι κατά την εξέταση της υπόθεσης θα συζητηθεί η νομιμότητα της λειτουργίας του συστήματος βιντεοεπιτήρησης στις εγκαταστάσεις της και ότι θα πρέπει να προσκομίσει κάθε έγγραφο που τεκμηριώνει τη συμμόρφωσή της με τις αρχές που διέπουν τη νόμιμη επεξεργασία δεδομένων προσωπικού χαρακτήρα.
Στη συνεδρίαση της 15-07-2020 παρέστη η καταγγελλόμενη εταιρεία, διά του Β
και του πληρεξούσιου δικηγόρου Κωνσταντίνου Βερβεσού, ενώ αφού έλαβε προθεσμία κατέθεσε το υπ’ αριθμ. πρωτ Γ/ΕΙΣ/5313/29-07-2020 υπόμνημα. Με αυτό, η εταιρεία επιβεβαιώνει όσα είχε αναφέρει με τα προηγούμενα έγγραφά της. Συνοπτικά, σε σχέση με το σύστημα βιντεοεπιτήρησης, αναφέρει ότι το σύστημα τοποθετήθηκε για λόγους ασφαλείας καθώς στην περιοχή (Αχαρνές Αττικής) είναι μεγάλη η εγκληματικότητα. Η κάμερα τοποθετήθηκε επάνω σε μια ντουλάπα προκειμένου να ελέγχει την είσοδο των γραφείων και όχι για σκοπό επιτήρησης του προσωπικού, ενώ ποτέ δε χρησιμοποιήθηκε για τον τελευταίο σκοπό. Το σήμα μεταδιδόταν στο κινητό τηλέφωνο του νόμιμου εκπρόσωπου της εταιρείας για την ασφάλεια των εγκαταστάσεων. Λόγω δυσλειτουργίας, η κάμερα έχει αφαιρεθεί και πλέον δε λειτουργεί. Η εταιρεία θεωρεί ότι η καταγγελία είναι ψευδής κι έγινε προς εκδίκηση από τον καταγγέλλοντα μετά από την αποχώρηση του και τη λύση της σύμβασης εργασίας.
Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από το βοηθό εισηγητή, ο οποίος παρέστη χωρίς δικαίωμα ψήφου και αποχώρησε μετά από τη συζήτηση της υποθέσεως και πριν από τη διάσκεψη και τη λήψη αποφάσεως, κατόπιν διεξοδικής συζητήσεως,
ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
- Σύμφωνα με το άρ. 4 στοιχ. 1 του Γενικού Κανονισμού Προστασίας Δεδομένων 2016/679 (εφεξής «ΓΚΠΔ»), τα δεδομένα ήχου και εικόνας, εφόσον αναφέρονται σε πρόσωπα, συνιστούν δεδομένα προσωπικού χαρακτήρα. Περαιτέρω, η λήψη εικόνας προσώπου, η οποία συλλέγεται από σύστημα βιντεοεπιτήρησης, που λειτουργεί μόνιμα, συνεχώς ή κατά τακτά χρονικά διαστήματα, σε κλειστό ή ανοικτό χώρο συγκέντρωσης ή διέλευσης προσώπων, συνιστά επεξεργασία δεδομένων προσωπικού χαρακτήρα σύμφωνα με το άρ. 4 στοιχ. 2 του ΓΚΠΔ.
- Το άρθρο 5 ΓΚΠΔ καθορίζει τις αρχές επεξεργασίας που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, ορίζεται στην παράγραφο 1 ότι τα δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων: «α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα, διαφάνεια»), (…), γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων») (…), στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»).» 3. Το άρθρο 6 παρ. 1 ΓΚΠΔ προβλέπει, μεταξύ άλλων, ότι: «Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις: (…) στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα (…)». Περαιτέρω, σύμφωνα με την αρχή της λογοδοσίας (άρθρο 6 παρ. 2 ΓΚΠΔ) ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με τις παραπάνω αρχές.
- Η Αρχή έχει εκδώσει για το ζήτημα της χρήσης συστημάτων βιντεοεπιτήρησης για το σκοπό της προστασίας προσώπων και αγαθών την υπ’ αριθμ. 1/2011 Οδηγία της Αρχής, οι διατάξεις της οποίας πρέπει να εφαρμόζονται σε συνδυασμό με τις νέες διατάξεις του ΓΚΠΔ και του ν. 4624/2019, με τον οποίο ορίζονται μέτρα εφαρμογής του ΓΚΠΔ. Επισημαίνεται εν προκειμένω ότι στη συγκεκριμένη περίπτωση, δεν έχει εφαρμογή ο ν. 4624/2019, καθώς η υπό εξέταση καταγγελίας αφορά σε χρονικό διάστημα προ της εφαρμογής του. Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων εξέδωσε τις υπ’ αριθμ. 3/2019 κατευθυντήριες γραμμές1 σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα, μέσω συσκευών λήψης βίντεο. Το κείμενο αυτό παρέχει αναλυτική καθοδήγηση για το πώς εφαρμόζεται ο ΓΚΠΔ σε σχέση με τη χρήση καμερών για διαφόρους σκοπούς. Βασική προϋπόθεση για τη νομιμότητα της επεξεργασίας μέσω ενός συστήματος βιντεοεπιτήρησης είναι η τήρηση της αρχής της αναλογικότητας, όπως αυτή εξειδικεύεται στα άρθρα 6 και 7 της ανωτέρω Οδηγίας, αλλά και στο Ειδικό Μέρος αυτής. Ειδικότερα, Στο άρθρο 7 της Οδηγίας αναφέρεται ότι το σύστημα βιντεοεπιτήρησης δεν θα πρέπει να χρησιμοποιείται για την επιτήρηση των εργαζομένων, εκτός από ειδικές εξαιρετικές περιπτώσεις όπως αυτές προσδιορίζονται στην Οδηγία. Ως παράδειγμα αναφέρεται ότι, σε έναν τυπικό χώρο γραφείων επιχείρησης, η βιντεοεπιτήρηση πρέπει να περιορίζεται σε χώρους εισόδου και εξόδου, χωρίς να επιτηρούνται συγκεκριμένες αίθουσες γραφείων ή διάδρομοι. Εξαίρεση μπορεί να αποτελούν συγκεκριμένοι χώροι, όπως ταμεία ή χώροι με χρηματοκιβώτια, ηλεκτρομηχανολογικό εξοπλισμό κλπ., υπό τον όρο ότι οι κάμερες εστιάζουν στο αγαθό που προστατεύουν κι όχι στους χώρους των εργαζομένων.
Περαιτέρω, σύμφωνα με το άρθρο 19 παρ. 2 της προαναφερθείσας Οδηγίας, το οποίο εξειδικεύει την αρχή της αναλογικότητας σε εμπορικά κέντρα και καταστήματα, κάμερες επιτρέπεται να τοποθετούνται στα σημεία εισόδου και εξόδου των καταστημάτων, στα ταμεία και τους χώρους φύλαξης χρημάτων, στις αποθήκες εμπορευμάτων, ενώ, σύμφωνα με το άρθρο 19 παρ. 4 της ίδιας Οδηγίας, απαγορεύεται η λειτουργία καμερών σε χώρους εστίασης και αναψυχής, στα δοκιμαστήρια, στις τουαλέτες και στους χώρους όπου εργάζονται υπάλληλοι καταστήματος και δεν είναι προσιτοί στο κοινό. Περαιτέρω, στο άρθρο 11 της οδηγίας 1/2011 της Αρχής αναφέρεται ότι ο υπεύθυνος επεξεργασίας πρέπει, μεταξύ άλλων, να μεριμνά για την αποφυγή αλόγιστης χρήσης οθονών προβολής, και την αποφυγή διάδοσης του υλικού σε μη νόμιμους αποδέκτες. - Στη συγκεκριμένη περίπτωση, η χρήση της κάμερας από την καταγγελλόμενη εταιρεία δεν μπορεί να τεκμηριωθεί τηρεί την αρχή της αναλογικότητας. Συγκεκριμένα, από τα έγγραφα του φακέλου της υπόθεσης και ιδίως τις φωτογραφίες στις οποίες απεικονίζεται η εμβέλεια της κάμερας διαπιστώνεται ότι λαμβάνεται εικόνα όλου του χώρου, χωρίς η λήψη να περιορίζεται στο χώρο εισόδου. Συνεπώς, προκύπτει παράβαση της αρχής της ελαχιστοποίησης των δεδομένων, καθώς λαμβάνεται εικόνα από χώρους εργαζομένων, οι οποίοι είναι χώροι γραφείων, στους οποίους κατά κανόνα δεν πραγματοποιούνται χρηματικές συναλλαγές, αλλά λογιστικές εργασίες. Περαιτέρω, αποδείχθηκε ότι υπήρχε δυνατότητα επιτήρησης σε πραγματικό χρόνο της κάμερας από το διευθυντή της εταιρείας μέσω κινητού, ακόμα και όταν αυτός απουσίαζε από τις εγκαταστάσεις της. Η επιτήρηση αυτή δεν αποτελεί πρόσφορο μέσο για την προστασία προσώπων και αγαθών, καθώς είναι πρακτικά αδύνατο να παρέμβει ο ιδιοκτήτης είτε προληπτικά, είτε κατασταλτικά ενώ αυξάνει τον κίνδυνο για χρήση του υλικού για άλλο σκοπό, όπως για επιτήρηση των εργαζομένων. Η επεξεργασία αυτή, με τη δυνατότητα επόπτευσης του χώρου από τον ιδιοκτήτη της επιχείρησης, ανά πάσα στιγμή, και μάλιστα χωρίς την ύπαρξη περιστατικού που να υποδεικνύει αυξημένο κίνδυνο (π.χ. συναγερμός), προσβάλει υπέρμετρα τα δικαιώματα των επιτηρούμενων προσώπων, στους οποίους περιλαμβάνονται και «ευάλωτα» πρόσωπα όπως οι εργαζόμενοι, επομένως πραγματοποιείται κατά παράβαση του άρθρου 6 παρ. 1 στ’ του ΓΚΠΔ. Από τα λοιπά στοιχεία και τα τεχνικά χαρακτηριστικά της κάμερας προκύπτει ότι δεν υφίστατο η δυνατότητα λήψης ήχου, όπως υποστηρίχθηκε στην καταγγελία, ενώ δεν αποδείχθηκε ότι υπήρχε καταγραφή, αν και υπήρχε η δυνατότητα για καταγραφή λίγων ωρών έως μία ημέρα, ανάλογα με το είδος της συμπίεσης των εικόνων βίντεο. 6. Η Αρχή λαμβάνει υπόψη επιβαρυντικά, ότι ο υπεύθυνος επεξεργασίας δεν κατέθεσε στοιχεία τεκμηρίωσης της νομιμότητας της επεξεργασίας, ενώ τέτοια στοιχεία ζητήθηκαν. Ως ελαφρυντικά συνυπολογίζει ότι πρόκειται για πολύ μικρή επιχείρηση (όπως προκύπτει εκ του αριθμού των εργαζομένων), ότι σύμφωνα με τη δήλωση της εταιρείας η κάμερα πλέον δε λειτουργεί, ότι αποδείχθηκε ότι υφίσταται άλλου είδους διαφορά η οποία δεν αφορά δεδομένα προσωπικού χαρακτήρα, ότι είναι η πρώτη παράβαση για τη συγκεκριμένη εταιρεία και τέλος, τη δυσμενή οικονομική περίσταση λόγω της πανδημίας Covid-19.
7. Βάσει των ανωτέρω, η Αρχή κρίνει ομόφωνα ότι σύμφωνα με το άρθρο 5 παρ. 1 γ’ και το άρθρο 6 παρ. 1 στ’ του ΓΚΠΔ συντρέχουν οι προϋποθέσεις επιβολής σε βάρος του υπευθύνου επεξεργασίας, με βάση το άρθρο 58 παρ. 2 θ΄ του ΓΚΠΔ και λαμβάνοντας υπόψη τα κριτήρια του άρθρου 83 παρ. 2 του ΓΚΠΔ, της διοικητικής κύρωσης, που αναφέρεται στο διατακτικό της παρούσας, η οποία κρίνεται ανάλογη με τη βαρύτητα της παράβασης.
ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ
Η Αρχή επιβάλλει, στην «Ιγνατιάδης Νικόλαος και ΣΙΑ Ε.Ε.» το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αρμόζει στην συγκεκριμένη περίπτωση σύμφωνα με τις ειδικότερες περιστάσεις αυτής, ύψους δύο χιλιάδων ευρώ (2.000,00) ευρώ, για τις ως άνω διαπιστωθείσες παραβιάσεις του άρθρου 5 παρ. 1 γ’ και του άρθρου 6 παρ. 1 στ’ του Κανονισμού (ΕΕ) 2016/679.
Ο Αναπληρωτής Πρόεδρος —- Η Γραμματέας
Γεώργιος Μπατζαλέξης ——- Ειρήνη Παπαγεωργοπούλου
