Ο υπεύθυνος επεξεργασίας δεν ενημέρωσε το υποκείμενο ότι τα δεδομένα του επεξεργάστηκαν περαιτέρω και διαβιβάστηκαν στις αστυνομικές αρχές
Στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα κατέφυγε πατέρας ενός ανηλίκου, καταγγέλλοντας τη μη ικανοποίηση του δικαιώματος πρόσβασής του σε αρχείο με προσωπικά δεδομένα που αφορούν στο ανήλικο τέκνο του και, συγκεκριμένα, σε καταγεγραμμένη εικόνα συστήματος βιντεοεπιτήρησης που βρίσκεται εγκατεστημένο σε ατομική επιχείρηση – βενζινάδικο (απόφαση 51/2022).
Επίσης, καταγγέλθηκε η διαβίβαση του υλικού αυτού στις αστυνομικές αρχές, κατά τη διερεύνηση περιστατικού, χωρίς την ενημέρωση του υποκειμένου.
Σύμφωνα με το ιστορικό της υπόθεσης, εικόνα, η οποία καταγράφηκε και διατηρήθηκε από την επιχείρηση, αλλά και διαβιβάστηκε στις αστυνομικές αρχές κατόπιν αιτήματός τους, αφορά σε συμβάν όπου το ανήλικο τέκνο του καταγγέλλοντος απεικονίζεται να παίρνει αντικείμενο από το έδαφος, το οποίο είχε απωλεσθεί, νωρίτερα στον ίδιο χώρο του πρατηρίου, από τρίτο πρόσωπο. Το επίμαχο υλικό επιδείχθηκε στο πρόσωπο που φέρεται ως θύμα της πράξης. Ο καταγγέλλων έχει ασκήσει το δικαίωμά του τόσο τηλεφωνικά όσο και με προσωπικές επισκέψεις, αλλά και τηλεφωνικά μέσω του δικηγόρου του.
Η Αρχή επεσήμανε ότι το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων έχει εκδώσει τις κατευθυντήριες γραμμές υπ’ αριθμ. 3/2019, σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα, μέσω συσκευών λήψης βίντεο. Το κείμενο αυτό παρέχει αναλυτική καθοδήγηση για το πώς εφαρμόζεται ο ΓΚΠΔ σε σχέση με τη χρήση καμερών για διαφόρους σκοπούς.
Σύμφωνα δε με την παρ. 4 του αρ. 12 του ΓΚΠΔ, εάν ο υπεύθυνος επεξεργασίας δεν ενεργήσει επί του αιτήματος του υποκειμένου των δεδομένων, ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων, χωρίς καθυστέρηση και το αργότερο εντός μηνός από την παραλαβή του αιτήματος, για τους λόγους για τους οποίους δεν ενήργησε και για τη δυνατότητα υποβολής καταγγελίας σε εποπτική αρχή και άσκησης δικαστικής προσφυγής.
Εν προκειμένω, η Αρχή έκρινε πως ο υπεύθυνος επεξεργασίας δεν ενήργησε στο αίτημα πρόσβασης του υποκειμένου στα δεδομένα του, ενώ, επίσης, δεν δικαιολόγησε/τεκμηρίωσε στο υποκείμενο τους λόγους για τους οποίους δεν ενήργησε.
Ακόμη, ο υπεύθυνος επεξεργασίας δεν ενημέρωσε το υποκείμενο ότι τα δεδομένα του επεξεργάστηκαν περαιτέρω και διαβιβάστηκαν στις αστυνομικές αρχές
Κατόπιν των ανωτέρω, επέβαλε διοικητικό χρηματικό πρόστιμο ύψους τριών χιλιάδων (3.000,00) ευρώ, για τις διαπιστωθείσες παραβάσεις των άρθρων 12 και 14 του ΓΚΠΔ.
Απόσπασμα απόφασης
Σύμφωνα με το Άρθρο 9 της ανωτέρω Οδηγίας, «∆ιαβίβαση δεδομένων σε τρίτους»:
1. Η διαβίβαση σε τρίτους δεδομένων που προέρχονται από σύστημα βιντεοεπιτήρησης επιτρέπεται κατόπιν προηγούμενης συγκατάθεσης του υποκειμένου των δεδομένων. Κατ’ εξαίρεση, μια τέτοια διαβίβαση επιτρέπεται και χωρίς συγκατάθεση μόνο υπό τις προϋποθέσεις των παραγράφων 2 και 3 του παρόντος άρθρου.
2. Ο υπεύθυνος επεξεργασίας υποχρεούται να διαβιβάζει στις αρμόδιες δικαστικές, εισαγγελικές και αστυνομικές αρχές δεδομένα που οι τελευταίες ζητούν νομίμως κατά την άσκηση των καθηκόντων τους.
3. Ο υπεύθυνος επεξεργασίας, πέραν των ειδικότερων υποχρεώσεων και δικαιωμάτων του που προβλέπονται από τον Κώδικα Ποινικής ∆ικονομίας, δύναται να διαβιβάζει στις αρμόδιες δικαστικές, εισαγγελικές και αστυνομικές αρχές δεδομένα που ενδέχεται να αποτελούν αποδεικτικά στοιχεία μιας αξιόποινης πράξης (π.χ. κλοπή, ξυλοδαρμός) που τελέσθηκε στον χώρο τον οποίο έχει έννομο συμφέρον ή νομική υποχρέωση να προστατεύσει κατά τα οριζόμενα στο άρθρο 2 της παρούσας Οδηγίας και που μπορούν να συνεισφέρουν στη διερεύνηση των πραγματικών περιστατικών ή στην αναγνώριση των δραστών.
4. Ο υπεύθυνος επεξεργασίας επιτρέπεται να διαβιβάσει δεδομένα που ενδέχεται να αποτελούν αποδεικτικά στοιχεία μιας αξιόποινης πράξης στο πρόσωπο που απεικονίζεται ως θύμα ή δράστης της πράξης.
5. Σύμφωνα με την παρ. 4 του αρ. 12 του ΓΚΠΔ, εάν ο υπεύθυνος επεξεργασίας δεν ενεργήσει επί του αιτήματος του υποκειμένου των δεδομένων, ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων, χωρίς καθυστέρηση και το αργότερο εντός μηνός από την παραλαβή του αιτήματος, για τους λόγους για τους οποίους δεν ενήργησε και για τη δυνατότητα υποβολής καταγγελίας σε εποπτική αρχή και άσκησης δικαστικής προσφυγής.
6. Σύμφωνα με την παρ. 4 του αρ. 14 του ΓΚΠΔ, όταν ο υπεύθυνος επεξεργασίας προτίθεται να επεξεργαστεί περαιτέρω τα δεδομένα προσωπικού χαρακτήρα για σκοπό άλλο από εκείνον για τον οποίο τα δεδομένα προσωπικού χαρακτήρα συλλέχθηκαν, ο υπεύθυνος επεξεργασίας θα πρέπει να παρέχει στο υποκείμενο των δεδομένων, πριν από την εν λόγω περαιτέρω επεξεργασία, πληροφορίες για τον σκοπό αυτόν και άλλες τυχόν αναγκαίες πληροφορίες, όπως αναφέρεται στην παράγραφο 2.
Δείτε ολόκληρη την απόφαση της Αρχής στο dpa.gr.
