Επιβολή διοικητικών κυρώσεων σε εταιρεία για παράλειψη γνωστοποίησης στην Αρχή εγκατάστασης και λειτουργίας κλειστού κυκλώματος τηλεόρασης και παραβιά

(4)κάµερες παρακολούθησης. Η εν λόγω εγκατάσταση καταγγέλλεται πως έγινε χωρίς να προηγηθεί ενηµέρωση των εργαζοµένων στην εταιρεία (15 στον αριθµό). Ειδικότερα, στις καταγγελίες αναφέρεται ότι στο χώρο της εν λόγω εταιρείας ήταν εγκατεστηµένες συνολικά έξι

(6)κάµερες, ήτοι: (Α) 2 εξωτερικές κάµερες (µία στην είσοδο της εταιρείας στον προαύλιο χώρο και µία στο χώρο φορτοεκφόρτωσης, η όποια είναι εγκατεστηµένη από το 2007), (Β) 1 εσωτερική κάµερα µεγάλης εµβέλειας, τοποθετηµένη άνωθεν της εισόδου του ισόγειου χώρου, όπου βρίσκονται τα µηχανήµατα, (Γ) 1 εσωτερική κάµερα στην ισόγεια αποθήκη χαρτιού, (∆) 1 εσωτερική κάµερα, τοποθετηµένη στον 1ο όροφο, στο χώρο που βρίσκονται το βιβλιοδετείο, οι χρυσοτυπικές µηχανές, ο χώρος πλαστικοποίησης και οι αποθήκες, (Ε) 1 εσωτερική κάµερα στον ηµιώροφο. Οι ως άνω (Α), (Β) και (∆) κάµερες αναφέρεται πως είναι συνδεδεµένες µε καταγραφικό µηχάνηµα, το οποίο καταγράφει επί 24ώρου βάσης. 2 Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr Σε συνέχεια των ως άνω υποβληθέντων προσφυγών-καταγγελιών, η Αρχή διενήργησε, την 02-05-2012, επιτόπιο έλεγχο στην έδρα της εταιρείας ΣΤΑΘΑΤΟΣ ΑΒΕΕ. Ο έλεγχος έγινε στις εγκαταστάσεις της εν λόγω εταιρείας, ως υπεύθυνου επεξεργασίας, από τους εντεταλµένους ελεγκτές της Αρχής ∆. Ζωγραφόπουλο, Κ. Κυριάκου, Ε. Σιουγλέ και Α. Χρυσάνθου, στη βάση της υπ’ αρ. πρωτ. Γ/ΕΞ/3160/0205-2012 εντολής του Προέδρου της Αρχής. Σχετικά, υποβλήθηκε από τους διενεργήσαντες τον ως άνω έλεγχο ελεγκτές, µε το υπ. αρ. πρωτ. Γ/ΕΙΣ/4959/12-082014 έγγραφο, Πόρισµα ∆ιοικητικού Ελέγχου (εφεξής Πόρισµα). Με βάση το υπ’ αριθµ. πρωτ. Γ/ΕΙΣ/4959/12-08-2014 Πόρισµα Ελέγχου: (Α) «Τα στιγµιότυπα οθονών, τα αρχεία µορφής .htm και τα αρχεία καταγραφής του προγράµµατος Eye Spy Pro (DEMO έκδοση) που προσκόµισε η καταγγέλλουσα αφορούσαν το σταθµό εργασίας που χρησιµοποιούσε όταν εργαζόταν στον υπεύθυνο επεξεργασίας. Από την ανάλυση των πειστηρίων δεν κατέστη εφικτός ο εντοπισµός του χρήστη που εγκατέστησε το κατασκοπευτικό λογισµικό Eye Spy Pro DEMO στον σταθµό εργασίας της καταγγέλλουσας» (Εύρηµα 1ο του Πορίσµατος). (Β) «Ο υπεύθυνος επεξεργασίας δεν είχε λάβει τα κατάλληλα τεχνικά µέτρα ασφάλειας (άρθρο 10 του ν.2472/1997), όπως χρήση µηχανισµών αυθεντικοποίησης για τοπική και δικτυακή πρόσβαση καθώς και µηχανισµών αποτροπής εγκατάστασης κατασκοπευτικού/επιβλαβούς λογισµικού στους σταθµούς εργασίας» (Εύρηµα 2ο του Πορίσµατος). (Γ) «Ο φορητός υπολογιστής που δόθηκε στην οµάδα ελέγχου δεν ήταν ο σταθµός εργασίας του Β, ο οποίος ζητήθηκε από την οµάδα» (Εύρηµα 3ο του Πορίσµατος). (∆) «Υπήρχε εγκατεστηµένο σύστηµα βιντεοεπιτήρησης, όπως περιγράφεται στην ενότητα Γ.3.2» του Πορίσµατος (Εύρηµα 4ο του Πορίσµατος). (Ε) «Πραγµατοποιήθηκε αποστολή διαφηµιστικών µηνυµάτων ηλεκτρονικών ταχυδροµείου από την INFORMECANICA χωρίς να υπάρχει η προαπαιτούµενη από το νόµο προηγούµενη συγκατάθεση του παραλήπτη» (Εύρηµα 5ο του Πορίσµατος). (ΣΤ) Στην ενότητα Γ.3.2. του Πορίσµατος αναφέρεται «(…) Σχετικά µε την εγκατάσταση συστήµατος βιντεοεπιτήρησης στους χώρους του υπευθύνου επεξεργασίας διαπιστώθηκαν τα εξής: Υπήρχε τοποθετηµένη µια κάµερα απέναντι από την πόρτα εισόδου, αριστερά στο κλιµακοστάσιο µε δυνατότητα καταγραφής των εισερχοµένων στην είσοδο αυτή. Ο διευθύνων σύµβουλος ανέφερε ότι η κάµερα αυτή δεν λειτουργεί. Επίσης υπήρχε Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 3 τοποθετηµένη µια κάµερα στο χώρο φορτοεκφόρτωσης/παραγωγής µε δυνατότητα καταγραφής των εισερχοµένων στο χώρο της φορτοεκφόρτωσης και σε µέρος του χώρου της παραγωγής. Επισηµαίνεται ότι στην οθόνη παρακολούθησης που υπήρχε στο χώρο των γραφείων του υπευθύνου επεξεργασίας δεν προβάλλονταν εικόνες από τις δύο παραπάνω κάµερες. Επιπλέον, υπήρχε µια κάµερα που λάµβανε εικόνα από τον εξωτερικό προαύλιο χώρο του υπευθύνου επεξεργασίας και από παρακείµενους κοινόχρηστους χώρους. Η εικόνα από την κάµερα αυτή προβάλλονταν στην παραπάνω οθόνη παρακολούθησης. Ακόµα, υπήρχε µια ψεύτικη κάµερα εσωτερικά στην είσοδο του χώρου παραγωγής τοποθετηµένη στην οροφή. Τέλος, στο υπόστεγο του κτηρίου υπήρχε µόνο κουβούκλιο κάµερας και καλώδια. Σύµφωνα µε το τιµολόγιο µε αριθµό … (Βλ. Πειστήριο 18) ο υπεύθυνος επεξεργασίας αγόρασε από την εταιρεία Ζαριφόπουλος Α.Ε. ένα καταγραφικό QUANTUM04DVD, τρεις κάµερες HCD485, τρεις φακούς HLD28V8F95L, µια οθόνη SM933HD, ένα εξωτερικό κυτίο κάµερας VHE-23HV και ένα σύστηµα αδιάλειπτης παροχής ρεύµατος (UPS) PW5110-700. Τα παραπάνω επιστράφηκαν στην εταιρεία Ζαριφόπουλος Α.Ε. στις 16/3/2009 σύµφωνα µε το τιµολόγιο µε µε αριθµό … (Βλ. Πειστήριο 16). Ακολούθως, µε την υπ’ αριθ. πρωτ. ΓΝ/ΕΙΣ/825/14-06-2012 γνωστοποίηση, η εταιρεία ΣΤΑΘΑΤΟΣ ΑΒΕΕ, ως υπεύθυνος επεξεργασίας, όπως νοµίµως εκπροσωπείται, γνωστοποίησε στην Αρχή την εγκατάσταση συστήµατος βιντεοεπιτήρησης για το σκοπό «της οπτικής παρακολούθησης κατά τις ώρες λειτουργίας των φορτηγών φορτοεκφορτώσεων πελατών και προµηθευτών» που απαρτίζεται από µια κάµερα, που βρίσκεται τοποθετηµένη στο «νότιο άκρο του κτηρίου κοιτώντας προς τη ράµπα φορτοεκφορτώσεων µε λήψη ασπρόµαυρη από απόσταση περίπου 60 µέτρων ικανή να διακρίνει κανείς µόνο φορτηγό που προσεγγίζει ή αναχωρεί». Το σύστηµα αυτό διαθέτει µια οθόνη παρακολούθησης συνδεδεµένη απευθείας µε την κάµερα (…)». Στη συνέχεια, η Α υπέβαλε στην Αρχή το υπ’ αρ. πρωτ. Γ/ΕΙΣ/2247/07-04-2014 έγγραφο, όπου δήλωνε προς την Αρχή ότι, µετά από εξηγήσεις που έχει λάβει από το Β, έχει «πειστεί πλήρως» ότι «ουδεµία παραβίαση των προσωπικών της δεδοµένων» υπήρξε και ότι «το όλο θέµα οφείλεται σε υπερβολική και τεράστια παρεξήγηση». ∆ήλωνε ακόµη ότι ανακαλεί «πλήρως» το περιεχόµενο της ως άνω προσφυγής – καταγγελίας της. Η Αρχή απάντησε στο ως εν λόγω έγγραφο της Α µε το υπ’ αρ. 4 Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr πρωτ. Γ/ΕΞ/2247-1/29-05-2014 έγγραφό της ότι, για τους λόγους που αναφέρονται στο έγγραφο αυτό, «η ως άνω υπ’ αρ. πρωτ. Γ/ΕΙΣ/7574/15-11-2011 προσφυγή – καταγγελία σας έχει καταστεί άνευ αντικειµένου». Επιπλέον, η Αρχή απέστειλε στον Γ το υπ’ αρ. πρωτ. Γ/ΕΞ/5453/15-09-2014 έγγραφο, το οποίο κοινοποιήθηκε νοµίµως στην εταιρεία ΣΤΑΘΑΤΟΣ ΑΒΕΕ, µε το οποίο γνώρισε στον καταγγέλλοντα τα ευρήµατα του ως άνω διοικητικού ελέγχου στην εν λόγω εταιρεία, στο βαθµό που αυτά τον αφορούσαν, και ανέφερε ότι «µε βάση τα ευρήµατα του προαναφερόµενου Πορίσµατος ∆ιοικητικού Ελέγχου, τα ως άνω καταγγελλόµενα µε την υπ. αρ. πρωτ. Γ/ΕΙΣ/7629/16-11-2011 προσφυγή – καταγγελία σας, σχετικά µε την εγκατάσταση και λειτουργία στους χώρους της εταιρείας µε την επωνυµία «ΓΕΡΑΣΙΜΟΣ ΣΤΑΘΑΤΟΣ ΑΒΕΕ» κλειστού κυκλώµατος τηλεόρασης, µε σκοπό τη συνεχή και αδιάλειπτη καταγραφή της παροχής της εργασίας των εργαζοµένων στην εταιρεία αυτή, δεν επαληθεύτηκαν». Επίσης, η Αρχή απέστειλε στην εταιρεία ΣΤΑΘΑΤΟΣ ΑΒΕΕ το υπ’ αρ. πρωτ. Γ/ΕΞ/5454/15-09-2014 έγγραφο, µε το οποίο της κοινοποιούσε το προαναφερθέν υπ’ αρ. πρωτ. Γ/ΕΞ/2247-1/29-05-2014 έγγραφο της Αρχής προς την Α. Κατόπιν τούτων, η Αρχή κάλεσε µε τo υπ’ αρ. πρωτ. Γ/ΕΞ/8066/19-12-2014 έγγραφο την εταιρεία ΣΤΑΘΑΤΟΣ ΑΒΕΕ, όπως νοµίµως εκπροσωπείται, να παραστεί στη συνεδρίαση του Τµήµατος της Αρχής, την Τετάρτη 14-01-2015 και ώρα 10:00, για τη συζήτηση των προαναφερόµενων καταγγελιών. Στη συνεδρίαση του τµήµατος της Αρχής, την 14-01-2015, παρέστη νοµίµως ο Κωνσταντίνος Ανυφαντής, δικηγόρος Αθηνών, ο οποίος εξέθεσε προφορικά τις απόψεις της εταιρείας και απάντησε σε ερωτήσεις που του τέθηκαν. Ζήτησε δε και έλαβε προθεσµία για την υποβολή υποµνήµατος µε τις απόψεις της εντολέα του εταιρείας, το οποίο υπέβαλε προς την Αρχή µε το υπ’ αρ. πρωτ. Γ/ΕΙΣ/380/22-01-2015 έγγραφό του. Στο εν λόγω υπόµνηµά της η εταιρεία ΣΤΑΘΑΤΟΣ ΑΒΕΕ, αναφέρει, µεταξύ άλλων, τα ακόλουθα: (Α) Αναφορικά µε το 1ο εύρηµα του ελέγχου, το οποίο αφορά το κατασκοπευτικό λογισµικό, «ουδεµία ευθύνη µπορεί να της αποδοθεί για την εγκατάσταση του λογισµικού, αφού τέτοια ευθύνη, εξάλλου, δεν αποδείχτηκε». Επικαλείται δε (

1. i)το υπ’ αρ. πρωτ. Γ/ΕΞ/5454/15-09-2014 έγγραφο της Αρχής προς την ΣΤΑΘΑΤΟΣ ΑΒΕΕ, µε το οποίο, όπως αναφέρεται στο υπόµνηµα, «η µε αρ. πρωτ. Γ/ΕΙΣ/7574/15-11-2011 καταγγελία της Α κρίθηκε ως άνευ αντικειµένου και τέθηκε στο αρχείο» και (
2. ii)τη δήλωση ανάκλησης της Α, όπως αυτή κατατέθηκε στην Αρχή. Αναφέρει δε πως η ΣΤΑΘΑΤΟΣ ΑΒΕΕ «αρνείται κατηγορηµατικά Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 5 οποιαδήποτε εµπλοκή της µε την εγκατάσταση του παραπάνω λογισµικού, αγνοεί τον/την υπαίτιο της παραπάνω εγκατάστασης και πάντως δεν γνωρίζει τις συνθήκες και περιστάσεις υπό τις οποίες εγκαταστάθηκε το παραπάνω λογισµικό». (Β) Αναφορικά µε το 2ο εύρηµα του ελέγχου, το οποίο αφορά µη λήψη κατάλληλων µέτρων ασφαλείας, αναφέρει ότι στην ΣΤΑΘΑΤΟΣ ΑΒΕΕ «αγνοούν την ύπαρξη εννοιών / δυνατοτήτων όπως «τεχνικά µέτρα ασφάλειας» και «µηχανισµοί αυθεντικοποίησης»» και «εύλογα αµφιβάλλουν για το αν υπάρχει άλλη, αντίστοιχη του µεγέθους και της δραστηριότητας της, επιχείρηση σε ολόκληρο τον ελλαδικό χώρο, που να γνωρίζει και να εφαρµόζει τα ως άνω τεχνικά µέτρα ασφαλείας». Επιπροσθέτως, επικαλούνται το άρθρο 10 του Ν. 2472/1997 και ειδικότερα το σκέλος της παρ. 3 που αναφέρει ότι: «Με την επιφύλαξη άλλων διατάξεων, η Αρχή παρέχει οδηγίες ή εκδίδει κανονιστικές πράξεις σύµφωνα µε το άρθρο 19 παρ. 1 ι' για τη ρύθµιση θεµάτων σχετικά µε τον βαθµό ασφαλείας των δεδοµένων και των υπολογιστικών και επικοινωνιακών υποδοµών, τα µέτρα ασφάλειας που είναι αναγκαίο να λαµβάνονται για κάθε κατηγορία και επεξεργασία δεδοµένων, καθώς και για τη χρήση τεχνολογιών ενίσχυσης της ιδιωτικότητας». Αναφέρουν σχετικά ότι «εξ’ όσων γνωρίζουν και εξ’ όσων ερεύνησαν» η εν λόγω εξουσιοδοτική διάταξη µέχρι και την ηµέρα υποβολής του υποµνήµατος «δεν έχει «χρησιµοποιηθεί» και η Αρχή δεν έχει προβεί σε εξειδίκευση των µέτρων ασφαλείας, δια εκδόσεως σχετικής οδηγίας ή κανονιστικής πράξης µε συνέπεια να υφίσταται εν τοις πράγµασι «κενό» αναφορικά µε τις υποχρεώσεις των υπευθύνων ασφαλείας». Επιπλέον, αναφέρεται ότι η ΣΤΑΘΑΤΟΣ ΑΒΕΕ «λυπάται ειλικρινά για τις ελλείψεις που διαπίστωσε η Αρχή, δεσµεύεται ότι θα τις διορθώσει αµέσως και επαρκώς, και παρακαλεί για τη χορήγηση εύλογης προς τούτο προθεσµίας». (Γ) αναφορικά µε το 3ο εύρηµα του ελέγχου, το οποίο αφορά τη µη χορήγηση στην οµάδα ελέγχου της Αρχής του φορητού υπολογιστή του Β που ζητήθηκε, η ΣΤΑΘΑΤΟΣ ΑΒΕΕ αναφέρει πως αυτό δεν ισχύει, ότι δηλαδή ο υπολογιστής που παραδόθηκε ήταν όντως αυτός που ζητήθηκε. Προς τούτο επικαλείται τα αποτελέσµατα της αναζήτησης µε λέξειςκλειδιά στο σκληρό δίσκο του παραδοθέντος υπολογιστή, ιδίως εκείνα που αφορούν λέξεις που σχετίζονται µε την εταιρεία (πχ. Ανυφαντής, Γ, κ.ο.κ). Αναφέρει δε, µε βάση τα αποτελέσµατα, ότι ο υπολογιστής «δεν ήταν ούτε κοινόχρηστος ούτε χρησιµοποιείτο κατά κύριο λόγο για την επιχειρηµατική δραστηριότητα της Νέας Informecanica, όπως λανθασµένα γίνεται αποδεκτό στο Πόρισµα». Συµπληρώνει δε ότι ο «ο φορητός υπολογιστής που παραδόθηκε ήταν πράγµατι ο υπολογιστής που 6 Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr ζητήθηκε: ο φορητός υπολογιστής του Β, ο οποίος εκ περιτροπής και δευτερευόντως χρησιµοποιούνταν και από την Τ». (∆) Αναφορικά µε το 4ο εύρηµα του ελέγχου, το οποίο αφορά το εγκατεστηµένο σύστηµα βιντεοεπιτήρησης, η ΣΤΑΘΑΤΟΣ ΑΕΒΕ επικαλείται (
3. i)το προαναφερθέν Γ/ΕΞ/5453/15-09-2014 έγγραφο της Αρχής, (
4. ii)ένορκη βεβαίωση του εργαζοµένου στην εταιρεία Σ που αναφέρει, µεταξύ άλλων, ότι «κάµερες στην εταιρεία και ειδικά στον χώρο παραγωγής δεν µπήκαν ποτέ», «ο Β αγόρασε από ένα Super Market ψεύτικες κάµερες που είχαν ένα διακόπτη όλο κι όλο» και «εκτός από τις ψεύτικες κάµερες στην είσοδο της εταιρείας, λειτουργεί θυροτηλέφωνο µε οθόνη αλλά δεν καταγράφει την εικόνα», (iii) επί δικαστηρίου κατάθεση του εργαζοµένου στην εταιρεία Ν που αναφέρει, µεταξύ άλλων, σε απάντηση σε ερώτηµα που αφορά της κάµερες που βρήκε η Αρχή, ότι «αυτές οι κάµερες υπάρχουν µέχρι και τώρα, αυτές είναι ψεύτικες, δεν γράφουν», (
5. iv)προσκοµισθείσες φωτογραφίες των ψεύτικων καµερών και (
6. v)συνδυαστικά το άρθρο 4 της Οδηγίας 1/2011 της Αρχής µε τα Ευρήµατα του Πορίσµατος Ελέγχου αναφέροντας τελικώς ότι µε βάση τα προαναφερθέντα «συνάγεται ότι εν τοις πράγµασι σύστηµα βιντεοεπιτήρησης ουδέποτε εγκαταστάθηκε / λειτούργησε στην εταιρεία». (Ε) αναφορικά µε το 5ο εύρηµα του ελέγχου, το οποίο αφορά αποστολή διαφηµιστικών µηνυµάτων ηλεκτρονικών ταχυδροµείου από την INFORMECANICA χωρίς να υπάρχει η προαπαιτούµενη από το νόµο προηγούµενη συγκατάθεση του παραλήπτη, αναφέρεται καταρχάς ότι η ΣΤΑΘΑΤΟΣ ΑΕΒΕ δεν µπορεί να πάρει θέση και να παράσχει εξηγήσεις για τις ενέργειες της Νέας INFORMECANICA καθότι αυτή αποτελεί ξεχωριστό / διακριτό νοµικό πρόσωπο. Στη συνέχεια αναφέρεται ότι οι παραλήπτες των διαφηµιστικών µηνυµάτων της Νέας INFORMECANICA), διάδοχο νοµικό πρόσωπο της Informecanica ΕΠΕ, ήταν προγενέστεροι πελάτες της Informecanica ΕΠΕ. Ως εκ τούτου, µε βάση το υποβληθέν υπόµνηµα, δε µπορεί να γίνεται λόγος για αποστολή αζήτητης ηλ. επικοινωνίας. Τέλος, σηµειώνεται ότι στην περίπτωση της διεύθυνσης ..., στην οποία εστάλη µήνυµα στις 13.2.2012, «προϋπήρχε συναλλαγή µε την παραλήπτρια RTDO SERVICES LTD, όπως αποδεικνύεται από το σχετικό υπ’ αριθµ. … τιµολόγιο – δελτίο αποστολής», το οποίο προσκοµίζεται µαζί µε το υπόµνηµα. Η Αρχή, µετά από εξέταση των προαναφερθέντων στοιχείων του φακέλου της υπόθεσης, αφού διαβάστηκαν και τα πρακτικά της συνεδρίασης της 14-01-2015, άκουσε τον εισηγητή και τους βοηθούς εισηγητή, οι οποίοι στη συνέχεια αποχώρησαν, και µετά από διεξοδική συζήτηση, Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 7 ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ 1. Επειδή, η διάταξη του άρθρου 4 παρ. 1 του Ν. 2472/1997, εναρµονιζόµενη, ιδίως, µε τις διατάξεις των άρθρων 9Α, 25 παρ. 1 και 28 του Συν/τος, 8 και 7 του Χάρτη Θεµελιωδών ∆ικαιωµάτων της Ευρωπαϊκής Ένωσης και 6 της Οδηγίας 95/46/ΕΕ, ρητά ορίζει ότι: «Τα δεδοµένα προσωπικού χαρακτήρα για να τύχουν νόµιµης επεξεργασίας πρέπει: α) Να συλλέγονται κατά τρόπο θεµιτό και νόµιµο για καθορισµένους, σαφείς και νόµιµους σκοπούς και να υφίστανται θεµιτή και νόµιµη επεξεργασία ενόψει των σκοπών αυτών. β) Να είναι συναφή, πρόσφορα, και όχι περισσότερα από όσα κάθε φορά απαιτείται εν όψει των σκοπών της επεξεργασίας. (…)». Με τις διατάξεις αυτές καθιερώνονται ως θεµελιώδεις προϋποθέσεις για τη νοµιµότητα κάθε επεξεργασίας δεδοµένων προσωπικού χαρακτήρα, καθώς και για τη νοµιµότητα της σύστασης και λειτουργίας κάθε αρχείου, οι αρχές του σκοπού της επεξεργασίας και της αναλογικότητας των δεδοµένων σε σχέση πάντα µε το σκοπό επεξεργασίας. Συνεπώς, κάθε επεξεργασία προσωπικών δεδοµένων, που γίνεται πέραν του επιδιωκόµενου σκοπού ή η οποία δεν είναι πρόσφορη και αναγκαία για την επίτευξή του, δεν είναι νόµιµη. Συνακόλουθα, τόσο για τα απλά όσο και για τα ευαίσθητα δεδοµένα, πρέπει ο σκοπός επεξεργασίας να είναι νόµιµος, σαφής και καθορισµένος, και τα δεδοµένα να µην υπερβαίνουν το σκοπό της επεξεργασίας. 2. Επειδή, περαιτέρω, σύµφωνα µε τα οριζόµενα στο άρθρο 6 παρ. 1 του Ν. 2472/1997, «ο υπεύθυνος επεξεργασίας υποχρεούται να γνωστοποιήσει εγγράφως στην Αρχή, τη σύσταση και λειτουργία αρχείου ή την έναρξη της επεξεργασίας». 3. Επειδή, ακολούθως, σύµφωνα µε τα οριζόµενα στο άρθρο 11 παρ. 1 του Ν. 2472/1997 «ο υπεύθυνος επεξεργασίας οφείλει, κατά το στάδιο της συλλογής δεδοµένων προσωπικού χαρακτήρα, να ενηµερώνει µε τρόπο πρόσφορο και σαφή τα υποκείµενα για την ταυτότητα του, τον σκοπό της επεξεργασίας, τους αποδέκτες και την ύπαρξη του δικαιώµατος πρόσβασης». 4. Επειδή, το άρθρο 10 παρ. 3 του Ν. 2472/1997 ορίζει, µεταξύ άλλων, ότι «ο υπεύθυνος επεξεργασίας οφείλει να λαµβάνει τα κατάλληλα οργανωτικά και τεχνικά µέτρα για την ασφάλεια των δεδοµένων και την προστασία τους από τυχαία ή αθέµιτη καταστροφή, τυχαία απώλεια, αλλοίωση, απαγορευµένη διάδοση ή πρόσβαση και κάθε άλλη µορφή αθέµιτης επεξεργασίας. Αυτά τα µέτρα πρέπει να εξασφαλίζουν επίπεδο ασφάλειας ανάλογο προς τους κινδύνους που συνεπάγεται η επεξεργασία και η φύση 8 Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr των δεδοµένων που είναι αντικείµενο της επεξεργασίας. (...)». Ως περιστατικό παραβίασης προσωπικών δεδοµένων θεωρείται κάθε περίπτωση παραβίασης της ασφάλειας των δεδοµένων στο πλαίσιο του χρησιµοποιούµενου συστήµατος επεξεργασίας, όπως τυχαία ή αθέµιτη καταστροφή, τυχαία απώλεια, αλλοίωση, απαγορευµένη διάδοση ή πρόσβαση και κάθε άλλη µορφή αθέµιτης επεξεργασίας. 5. Επειδή, κατά το άρθρο 5 της Οδηγίας 1/2011 της Αρχής αναφορικά µε «Χρήση συστηµάτων βιντεοεπιτήρησης για προστασία προσώπων και αγαθών» «Η νοµιµότητα της επεξεργασίας εξετάζεται στο πλαίσιο του σκοπού που επιδιώκει ο υπεύθυνος επεξεργασίας και σύµφωνα µε την αρχή της αναλογικότητας, η οποία επιβάλλει τα συστήµατα βιντεοεπιτήρησης να είναι πρόσφορα και αναγκαία σε σχέση µε τον επιδιωκόµενο σκοπό, ο οποίος θα πρέπει να µη δύναται να επιτευχθεί µε ηπιότερα µέσα (άρθρο 4 του ν. 2472/1997). Η προσφορότητα και η αναγκαιότητα της βιντεοεπιτήρησης εκτιµάται µε βάση τον κίνδυνο που ο υπεύθυνος επεξεργασίας θέλει να αντιµετωπίσει σε σχέση µε τον επιδιωκόµενο σκοπό. Για το λόγο αυτό πρέπει να αποφεύγεται η εγκατάσταση συστήµατος βιντεοεπιτήρησης για παραβάσεις ήσσονος σηµασίας, π.χ. για την αντιµετώπιση του καπνίσµατος στα σχολεία ή τη ρίψη απορριµµάτων σε δηµόσιους χώρους (πρβλ. Έγγραφο εργασίας για την επεξεργασία προσωπικών δεδοµένων µέσω βιντεοεπιτήρησης της 25 Νοεµβρίου 2002 της ‘Οµάδας εργασίας για την προστασία των προσώπων έναντι της επεξεργασίας δεδοµένων προσωπικού χαρακτήρα’ σελ. 19 επ.). Ως ηπιότερα νοούνται τα µέσα που είναι εξίσου αποτελεσµατικά, αλλά λιγότερο επαχθή για το άτοµο, π.χ. τακτικότεροι έλεγχοι από υπάρχον προσωπικό ασφαλείας, σύστηµα συναγερµού στην είσοδο και την έξοδο κλειστών χώρων, καλύτερος φωτισµός κλπ. Περαιτέρω, τα σηµεία εγκατάστασης των καµερών και ο τρόπος λήψης των δεδοµένων πρέπει να προσδιορίζονται µε τέτοιο τρόπο, ώστε τα δεδοµένα που συλλέγονται να µην είναι περισσότερα από όσα είναι απολύτως αναγκαία για την εκπλήρωση του σκοπού της επεξεργασίας και να µη θίγονται τα θεµελιώδη δικαιώµατα των προσώπων που ευρίσκονται στο χώρο που επιτηρείται και ιδίως να µην παραβιάζεται αυτό το οποίο µπορεί να θεωρηθεί ως «νόµιµη προσδοκία κάποιου βαθµού προστασίας της ιδιωτικής ζωής» σε κάποιον χώρο (πρβλ. Έγγραφο εργασίας για την επιτήρηση των ηλεκτρονικών επικοινωνιών στον τόπο εργασίας WP55 της 29 Μαΐου 2002 της ‘Οµάδας εργασίας για την προστασία των προσώπων έναντι της επεξεργασίας δεδοµένων προσωπικού χαρακτήρα’ σελ. 4).» 6. Επειδή, κατά το άρθρο 7 της Οδηγίας 1/2011 της Αρχής: «1. Η εφαρµογή της αρχής της αναλογικότητας έχει ιδιαίτερη σηµασία στις περιπτώσεις λειτουργίας Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 9 συστηµάτων βιντεοεπιτήρησης σε χώρους εργασίας. Το σύστηµα δεν θα πρέπει να χρησιµοποιείται για την επιτήρηση των εργαζοµένων εντός των χώρων αυτών, εκτός από ειδικές εξαιρετικές περιπτώσεις όπου αυτό δικαιολογείται από τη φύση και τις συνθήκες εργασίας και είναι απαραίτητο για την προστασία της υγείας και της ασφάλειας των εργαζοµένων ή την προστασία κρίσιµων χώρων εργασίας (π.χ. στρατιωτικά εργοστάσια, τράπεζες, εγκαταστάσεις υψηλού κινδύνου). Για παράδειγµα, σε έναν τυπικό χώρο γραφείων επιχείρησης, η βιντεοεπιτήρηση πρέπει να περιορίζεται σε χώρους εισόδου και εξόδου, χωρίς να επιτηρούνται συγκεκριµένες αίθουσες γραφείων ή διάδροµοι. Εξαίρεση µπορεί να αποτελούν συγκεκριµένοι χώροι, όπως ταµεία ή χώροι µε χρηµατοκιβώτια, ηλεκτροµηχανολογικό εξοπλισµό κλπ., υπό τον όρο ότι οι κάµερες εστιάζουν στο αγαθό που προστατεύουν κι όχι στους χώρους των εργαζοµένων. Επίσης, σε ειδικούς χώρους, όπως χώροι µε ηλεκτροµηχανολογικές εγκαταστάσεις ο υπεύθυνος βάρδιας ή ο υπεύθυνος ασφαλείας µπορεί να παρακολουθεί σε πραγµατικό χρόνο τους χειριστές µηχανηµάτων υψηλής επικινδυνότητας, µε σκοπό να επέµβει άµεσα αν συµβεί κάποιο περιστατικό ασφαλείας. 2. Σε κάθε περίπτωση, τα δεδοµένα που συλλέγονται µέσω συστήµατος βιντεοεπιτήρησης δεν επιτρέπεται να χρησιµοποιηθούν ως αποκλειστικά κριτήρια για την αξιολόγηση της συµπεριφοράς και της αποδοτικότητας των εργαζοµένων (βλ. Οδηγία υπ' αρ. 115/2001 για την επεξεργασία των προσωπικών δεδοµένων των εργαζοµένων, τµήµα Ε', παρ. 6 – 8)». 7. Επειδή, στην υπό κρίση υπόθεση, από τα στοιχεία του φακέλου της υπόθεσης προκύπτει ότι στον εταιρικό σταθµό εργασίας της υπαλλήλου Α στην εταιρεία ΣΤΑΘΑΤΟΣ ΑΒΕΕ εγκαταστάθηκε κατασκοπευτικό λογισµικό, µέσω του οποίου διέρρευσαν προσωπικά δεδοµένα της υπαλλήλου (Εύρηµα 1ο). Η εγκατάσταση του εν λόγω κατασκοπευτικού λογισµικού κατέστη εφικτή από το γεγονός ότι η ΣΤΑΘΑΤΟΣ ΑΒΕΕ είχε παραλείψει να λάβει, κατά παράβαση του άρθρου 10 παρ. 3 του Ν. 2472/1997, επαρκή µέτρα ασφάλειας του πληροφοριακού της συστήµατος, όπως χρήση µηχανισµών αυθεντικοποίησης για τοπική και δικτυακή πρόσβαση καθώς και µηχανισµών αποτροπής εγκατάστασης κατασκοπευτικού / επιβλαβούς λογισµικού στους σταθµούς εργασίας (Εύρηµα 2ο). Οι προαναφερόµενοι ισχυρισµοί της εταιρείας ΣΤΑΘΑΤΟΣ ΑΒΕΕ αναφορικά µε τα ευρήµατα υπ’ αρ.

(1),

(2)και

(3)αλυσιτελώς προβάλλονται, καθόσον: (α) Η απάντηση της Αρχής στην Α ότι η καταγγελία της κρίθηκε ως άνευ αντικειµένου, σε συνέχεια της σχετικής δήλωσής της περί ανάκλησης της προσφυγής – καταγγελίας της, καθώς και η αναλόγου περιεχοµένου απάντηση στον Γ, ουδόλως 10 Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr δύνανται να αναιρέσουν τα ευρήµατα του διοικητικού ελέγχου της Αρχής, όπως αυτά καταγράφηκαν στο σχετικό ως άνω Πόρισµα, σχετικά µε παραβάσεις της νοµοθεσίας περί προστασίας του ατόµου από την επεξεργασία δεδοµένων προσωπικού χαρακτήρα, οι οποίες διώκονται και αυτεπαγγέλτως. (β) Ο µη εντοπισµός της ταυτότητας του προσώπου, που είχε προβεί στην εγκατάσταση του εν λόγω λογισµικού, οφειλόταν, καταρχάς, στη µη προσκόµιση από τους νοµίµους εκπροσώπους της εταιρείας ΣΤΑΘΑΤΟΣ ΑΒΕΕ αποδεικτικών στοιχείων, τα οποία τους ζητήθηκαν από τους εντεταλµένους ελεγκτές της Αρχής. Και τούτο, διότι, σύµφωνα µε τους νοµίµους εκπροσώπους της εν λόγω εταιρείας, ως υπευθύνου επεξεργασίας, ο σκληρός δίσκος του υπολογιστή της Α είχε, εν τω µεταξύ, καταστραφεί από πτώση κεραυνού. Επιπλέον, οφειλόταν στη µη προσκόµιση άλλου ζητηθέντος από τους εντεταλµένους ελεγκτές της Αρχής αποδεικτικού µέσου, καθόσον δεν τους παραδόθηκε ο φορητός υπολογιστή του Β µε όνοµα … και MAC address της κάρτας δικτύου …, από την εξέταση του οποίου θα ήταν δυνατό να προκύψει εάν ο Β εγκατέστησε στο σταθµό εργασίας της Α, όπως εκείνη ισχυριζόταν στην καταγγελία της, το ως άνω κατασκοπευτικό λογισµικό (βλ. Εύρηµα 3ο του Πορίσµατος Ελέγχου). (γ) Ο µη εντοπισµός της ταυτότητας του συγκεκριµένου προσώπου ουδόλως απαλλάσσει την εταιρεία ΣΤΑΘΑΤΟΣ ΑΒΕΕ, ως υπεύθυνο επεξεργασίας, από την ιδία ευθύνη της για την εγκατάσταση του εν λόγω λογισµικού σε σταθµό εργασίας υπαλλήλου της εταιρείας. Η ευθύνη αυτή συνίσταται στην έλλειψη στοιχειωδών έστω οργανωτικών και τεχνικών µέτρων για την ασφάλεια των δεδοµένων και την προστασία τους, που θα µπορούσαν να αποτρέψουν την ενέργεια αυτή, διασφαλίζοντας το απόρρητο και την ασφάλεια των δεδοµένων, κατά παράβαση των επιταγών του άρθρου 10 παρ. 3 του Ν. 2472/

1. (δ) Στο πλαίσιο αυτό, ο ισχυρισµός της εταιρείας ΣΤΑΘΑΤΟΣ ΑΒΕΕ, ως υπευθύνου επεξεργασίας, ότι «δεν γνωρίζει τις συνθήκες και περιστάσεις υπό τις οποίες εγκαταστάθηκε το παραπάνω λογισµικό» συνιστά παραδοχή ότι η εταιρεία δεν λάµβανε κατάλληλα οργανωτικά και τεχνικά µέτρα ασφάλειας, προκειµένου να µπορεί να αποτρέψει την εγκατάσταση κατασκοπευτικών λογισµικών, αλλά και ταυτόχρονα να εντοπίσει τυχόν εγκατάσταση τους (σε περίπτωση αποτυχίας των µέτρων ασφάλειας) και να αντιµετωπίσει την εν λόγω εγκατάσταση λογισµικού ως περιστατικό ασφαλείας. Ωστόσο, το άρθρο 10 παρ. 3 του Ν. 2472/1997 θεσπίζει Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 11 αυξηµένη υποχρέωση επιµέλειας από τον υπεύθυνο επεξεργασίας ακόµη και για τυχαία απώλεια. (ε) Ακολούθως, ο ισχυρισµός της εταιρείας ΣΤΑΘΑΤΟΣ ΑΒΕΕ, ως υπευθύνου επεξεργασίας, ότι «η Αρχή δεν έχει προβεί σε εξειδίκευση των µέτρων ασφαλείας, δια εκδόσεως σχετικής οδηγίας ή κανονιστικής πράξης µε συνέπεια να υφίσταται εν τοις πράγµασι «κενό» αναφορικά µε τις υποχρεώσεις των υπευθύνων ασφαλείας» αλυσιτελώς προβάλλεται, διότι η Αρχή έχει εκδώσει σειρά αποφάσεων που αφορούν την τήρηση των κατάλληλων οργανωτικών και τεχνικών µέτρων ασφάλειας, τα οποία πρέπει να λαµβάνουν οι υπεύθυνοι επεξεργασίας (Βλ. σχετικά ιδίως τις αποφάσεις της Αρχής µε αριθµό 51/2011, 59/2012, 35-44/2012, 98/2013, 121/2014, 139/2014, οι οποίες είναι δηµοσιευµένες στο διαδικτυακό τόπο της Αρχής www.dpa.gr ), έχει εκδώσει την Οδηγία 1/2005 για την ασφαλή καταστροφή των προσωπικών δεδοµένων και έχει αναρτήσει σε ειδική ενότητα στην ιστοσελίδα της (http://www.dpa.gr/portal/page?_pageid=33,11128&_dad=portal&_schema=PORTA L) πληθώρα πληροφοριών για τα µέτρα ασφαλείας, που πρέπει να λαµβάνουν οι υπεύθυνοι επεξεργασίας εν γένει. Σε κάθε περίπτωση, κάθε υπεύθυνος επεξεργασίας επιφορτίζεται µε τις υποχρεώσεις, που απορρέουν από το άρθρο 10 παρ. 3 του Ν. 2472/
2. (στ) Επιπλέον, ο ισχυρισµός της εταιρείας ΣΤΑΘΑΤΟΣ ΑΒΕΕ, ως υπευθύνου επεξεργασίας, ότι ο φορητός υπολογιστής που παραδόθηκε στους εντεταλµένους ελεγκτές της Αρχής ήταν όντως αυτός που ζητήθηκε από αυτούς, είναι απορριπτέος, καθόσον τους παραδόθηκε φορητός υπολογιστής µε διαφορετικά τεχνικά χαρακτηριστικά, ο οποίος είχε βρεθεί στο ίδιο δίκτυο µε τον υπολογιστή που ζητήθηκε. Ειδικότερα, η MAC address της κάρτας δικτύου του φορητού υπολογιστή που παραδόθηκε στην οµάδα ελέγχου είναι η …, η οποία είναι διαφορετική από την αντίστοιχη διεύθυνση του ζητηθέντος υπολογιστή. Πέραν αυτού, από τον αριθµό των αποτελεσµάτων αναζήτησης µε λέξεις-κλειδιά στο φορητό υπολογιστή που δόθηκε στους εντεταλµένους ελεγκτές της Αρχής, καθίσταται σαφές ότι πρόκειται για κοινόχρηστο υπολογιστή, ο οποίος χρησιµοποιείτο κατά κύριο λόγο για την επιχειρηµατική δραστηριότητα της εταιρείας INFORMECANICA, η οποία είναι διακριτό νοµικό πρόσωπο από εκείνο της ΣΤΑΘΑΤΟΣ ΑΒΕΕ. Ενδεικτικά αναφέρεται ότι η αναζήτηση µε λέξη – κλειδί informecanica επέστρεψε 52.493 αποτελέσµατα ενώ η αναζήτηση µε περισσότερες λέξεις-κλειδιά, όπως Α, Γ, Ανυφαντής, Β, επέστρεψε συνολικά µόνο 5.604 αποτελέσµατα (86, 0, 2, 394, 5084, 4 12 Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr και 34 αποτελέσµατα αντίστοιχα, βλ και Παράρτηµα Γ του Πορίσµατος Ελέγχου). Απόδειξη ότι ο υπολογιστής χρησιµοποιούνταν κατά κύριο λόγο για την επιχειρηµατική δραστηριότητα της εταιρείας INFORMECANICA ήταν τα διάφορα αρχεία, µηνύµατα ηλ. ταχυδροµείου, κλπ. που βρέθηκαν στον υπολογιστή και τα οποία σχετίζονται αποκλειστικά µε την εταιρεία INFORMECANICA (βλ σελίδα 13 του Πορίσµατος Ελέγχου. Το γεγονός ότι ο εν λόγω φορητός υπολογιστής χρησιµοποιούνταν, κατά τον τόπο που περιγράφεται διεξοδικά στο Πόρισµα Ελέγχου, από διαφορετικά πρόσωπα για την εξυπηρέτηση της δραστηριότητας διακριτών νοµικών προσώπων (INFORMECANICA και ΣΤΑΘΑΤΟΣ ΑΒΕΕ) αποτελεί επιπλέον απόδειξη για την απουσία κατάλληλων οργανωτικών και τεχνικών µέτρων ασφάλειας, κατά παράβαση των επιταγών του άρθρου 10 παρ. 3 του Ν. 2472/
3. (ζ) Όσον αφορά την εγκατάσταση και λειτουργία καµερών στους χώρους της εταιρείας ΣΤΑΘΑΤΟΣ ΑΒΕΕ, ισχύουν τα όσα αναγράφονται στο Πόρισµα Ελέγχου (Βλ. εύρηµα 4ο του Πορίσµατος Ελέγχου), παρά τους ισχυρισµούς που αλυσιτελώς προβάλλονται από την εταιρεία ΣΤΑΘΑΤΟΣ ΑΒΕΕ. Ιδίως, προκύπτει ότι η εταιρεία ΣΤΑΘΑΤΟΣ ΑΒΕΕ είχε εγκαταστήσει και λειτουργούσε από καιρό στους χώρους της κλειστό κύκλωµα τηλεόρασης, το οποίο γνωστοποιήθηκε στην Αρχή το πρώτον µε το υπ’ αρ. πρωτ. ΓΝ/ΕΙΣ/825/14-06-2012 έγγραφο γνωστοποίησης, ήτοι µετά από τη διενέργεια του ως άνω διοικητικού ελέγχου από τους εντεταλµένους ελεγκτές της Αρχής, ο οποίος διενεργήθηκε, κατά τα προαναφερόµενα, την 02-05-2012, οπότε και διαπιστώθηκε η εγκατάσταση και λειτουργία του εν λόγω κλειστού κυκλώµατος, κατά παράβαση των επιταγών του άρθρου 6 του Ν. 2472/
5. Επειδή, από τα προαναφερόµενα προκύπτει, καταρχάς, ότι η εταιρεία ΣΤΑΘΑΤΟΣ ΑΒΕΕ, ως υπεύθυνος επεξεργασίας, είχε εγκαταστήσει και λειτουργούσε στους χώρους της κλειστό κύκλωµα τηλεόρασης, το οποίο είχε παραλείψει να γνωστοποιήσει στην Αρχή, κατά παράβαση των επιταγών του άρθρου 6 του Ν. 2472/
6. Κατά τον τρόπο αυτό, η εν λόγω εταιρεία, ως υπεύθυνος επεξεργασίας, έχει παραβιάσει και τις επιταγές του άρθρου 4 παρ. 1 στοιχ. (α΄) του Ν. 2472/1997, καθόσον τα δεδοµένα, που έχουν συλλεγεί µέσω του εν λόγω κλειστού κυκλώµατος τηλεόρασης, δεν έχουν συλλεγεί κατά τρόπο θεµιτό και νόµιµο. Προκύπτει, επίσης, ότι έχει παραβιάσει και τις επιταγές του άρθρου 10 παρ. 3 του Ν. 24721997 σχετικά µε την παράλειψη λήψης των κατάλληλων οργανωτικών και τεχνικών µέτρα ασφάλειας για την ασφάλεια και την προστασία των δεδοµένων, που συλλέγονταν και τηρούνταν στα πληροφοριακά της συστήµατα. Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 13
7. Επειδή, µε βάση τα προαναφερόµενα, οι ως άνω διαπιστωθείσες παραβιάσεις του Ν. 2472/1997 δικαιολογούν την επιβολή στην εταιρεία ΣΤΑΘΑΤΟΣ ΑΒΕΕ, ως υπεύθυνο επεξεργασίας, προστίµου, σύµφωνα µε τα οριζόµενα στο άρθρο 21 του νόµου αυτού. ∆ικαιολογούν, επίσης, την επιβολή στην εταιρεία ΣΤΑΘΑΤΟΣ ΑΒΕΕ, ως υπεύθυνο επεξεργασίας, της διοικητικής κύρωσης της προειδοποίησης µε αποκλειστική προθεσµία για άρση της παράβασης, σύµφωνα µε τα οριζόµενα στο ίδιο άρθρο. Για την επιβολή των παραπάνω διοικητικών κυρώσεων συνεκτιµώνται, ιδίως, η βαρύτητα των παραβάσεων που διαπιστώθηκαν, η παράδοση από τους νοµίµους εκπροσώπους της εν λόγω εταιρείας στους εντεταλµένους ελεγκτές της Αρχής ηλεκτρονικού υπολογιστή άλλου από αυτόν, που εκείνοι ζήτησαν να τους παραδοθεί. ∆ικαιολογείται, συνεπώς, η επιβολή συνολικού προστίµου τριών χιλιάδων (3.000) Ευρώ, που επιµερίζεται ως εξής: 1.000 Ευρώ για την παραβίαση των άρθρων 6 και 4 παρ. 1 στοιχ. (α΄), από κοινού, και 2.000 Ευρώ για την παραβίαση του άρθρου 10 παρ. 3 του Ν. 2472/
8. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή, 1) Επιβάλλει στην εταιρεία µε την επωνυµία «Ε. ΣΤΑΘΑΤΟΣ Α.Β.Ε.Ε. ΓΡΑΦΙΚΕΣ ΤΕΧΝΕΣ», ως υπεύθυνο επεξεργασίας, τη διοικητική κύρωση του προστίµου συνολικού ύψους τριών χιλιάδων (3.000) Ευρώ για τις ως άνω διαπιστωθείσες παραβιάσεις των διατάξεων των άρθρων 6, 4 παρ. 1 στοιχ. (α΄) και 10 παρ. 3 του Ν. 2472/
9. 2) Επιβάλλει στην εταιρεία µε την επωνυµία «Ε. ΣΤΑΘΑΤΟΣ Α.Β.Ε.Ε. ΓΡΑΦΙΚΕΣ ΤΕΧΝΕΣ», ως υπεύθυνο επεξεργασίας, τη διοικητική κύρωση της προειδοποίησης, µε αποκλειστική προθεσµία για άρση της παράβασης, προκειµένου: (α) Να λάβει κατ’ ελάχιστον τα οργανωτικά και τεχνικά µέτρα ασφάλειας, τα οποία περιλαµβάνονται στο επισυναπτόµενο Παράρτηµα της παρούσας Απόφασης, και να ενηµερώσει σχετικά την Αρχή εντός τριών

(3)µηνών από την κοινοποίηση της παρούσας Απόφασης. (β) Να ακολουθεί τις επιταγές της Οδηγίας 1/2011 για τη χρήση συστηµάτων βιντεοεπιτήρησης και, ειδικότερα, να αναρτήσει, αµέσως µετά από την κοινοποίηση της παρούσας Απόφασης, ευδιάκριτες ενηµερωτικές πινακίδες για τη βιντεοσκόπηση και να µεριµνήσει ώστε να µην λαµβάνεται εικόνα από παρακείµενους κοινόχρηστους χώρους. 14 Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr Ο Αναπληρωτής Πρόεδρος Η Γραµµατέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 15