Επιβολή διοικητικού προστίμου για λειτουργία συστήματος βιντεοεπιτήρησης σε χώρους ιδιωτικού εκπαιδευτηρίου

Ορθή επανάληψη λόγω λάθους στον αριθμό πρωτοκόλλου Αθήνα, 09-09-2022 Αριθ. Πρωτ.: 2220 Α Π Ο Φ Α Σ Η 50/2022 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τμήματος μέσω τηλεδιάσκεψης την 06-04-2022 και ώρα 10:30π.μ., μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής Κωνσταντίνου Μενουδάκου, και τα αναπληρωματικά μέλη Δημοσθένης Βουγιούκας, ως εισηγητής, και Μαρία Ψάλλα σε αντικατάσταση των τακτικών μελών Κωνσταντίνου Λαμπρινουδάκη και Γρηγόριου Τσόλια αντίστοιχα, οι οποίοι δεν παρέστησαν λόγω κωλύματος αν και κλήθηκαν νομίμως εγγράφως. Παρούσα χωρίς δικαίωμα ψήφου, ήταν η ελέγκτρια Γεωργία Παναγοπούλου, ειδική επιστήμονας πληροφορικής, ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα ακόλουθα: Υπεβλήθη στην Αρχή η με αρ. πρωτ. Γ/ΕΙΣ/7985/07-12-2021 καταγγελία εκπαιδευτικού στην οποία αναφέρει ότι κατά το διάστημα εργασίας … στα Λεωφ. Κηφισίας 1-3, 11523 Αθήνα, Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr 1 «Ιορδανάκειον Σύγχρονα Εκπαιδευτήρια ΑΕ» υπήρχαν κάμερες παρακολούθησης στις αίθουσες διδασκαλίας και καταγραφόταν κατ' εξακολούθηση χωρίς να έχει λάβει γνώση για την ύπαρξη των καμερών και χωρίς τη συγκατάθεση της. Η Διεύθυνση Πρωτοβάθμιας Εκπαίδευσης Δ’ Αθήνας με το με αρ. πρωτ. Γ/ΕΙΣ/8305/21-12-2021 έγγραφο διαβίβασε επίσης στην Αρχή καταγγελία … εκπαιδευτικού με το ίδιο περιεχόμενο. Η Αρχή απέστειλε το με αρ. πρωτ. Γ/ΕΞ/3/07-01-2022 έγγραφο στην καταγγελλόμενη εταιρεία, με το οποίο ενημέρωσε σχετικά με το ισχύον νομικό πλαίσιο, δηλαδή σχετικά με τον Κανονισμό (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα (εφεξής «ΓΚΠΔ»), το ν. 4624/2019, την Οδηγία 1/2011, και τις Κατευθυντήριες Γραμμές 3/2019 1 του ΕΣΠΔ σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα, μέσω συσκευών λήψης βίντεο. Στο έγγραφο συμπεριλήφθηκε ειδικό ερωτηματολόγιο με σκοπό την εξέταση των υποχρεώσεων λογοδοσίας του ΓΚΠΔ όσον αφορά την επεξεργασία δεδομένων προσωπικού χαρακτήρα μέσω λειτουργίας συστήματος βιντεοεπιτήρησης. Η καταγγελλόμενη εταιρεία απάντησε με το με αρ. πρωτ. Γ/ΕΙΣ/1686/03-022022 έγγραφο στο οποίο αναφέρει μεταξύ άλλων ότι το σύστημα βιντεοεπιτήρησης λειτουργεί από το 2007 με σκοπό την άμεση οπτική επαφή με επικίνδυνα για τους μαθητές σημεία (προαύλιο, μπαλκόνια) και την αποθάρρυνση επίδοξων καταστροφέων/εισβολέων. Πρόκειται για σταθερές κάμερες, δεν μεταδίδουν ήχο και δεν γίνεται καταγραφή της μεταδιδόμενης εικόνας. Τα σημεία τοποθέτησης και τα πεδία λήψης των καμερών περιλαμβάνουν τους ισόγειους, εξωτερικούς και αύλειους χώρους και τα γήπεδα των παρακείμενων αθλητικών εγκαταστάσεων, τους εξωτερικούς διαδρόμους στα μπαλκόνια των τριών ορόφων, τον εξωτερικό αύλειο χώρο του 4ου ορόφου, καθώς και την αίθουσα εκδηλώσεων του σχολείου. Πρόσβαση 1 https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32019-processingpersonal-data-through-video_el Λεωφ. Κηφισίας 1-3, 11523 Αθήνα, Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr 2 στην μεταδιδόμενη εικόνα έχει ο διευθυντής, ιδιοκτήτης και πρόεδρος του σχολείου, μέσω ηλεκτρονικού υπολογιστή που βρίσκεται στο γραφείο του. Ο ιδιοκτήτης και πρόεδρος του σχολείου έλαβε την απόφαση για την εγκατάσταση του συστήματος. Τα φυσικά πρόσωπα που εισέρχονται στο χώρο ενημερώνονται με πινακίδες αλλά και προφορικά για την ύπαρξη του συστήματος βιντεοεπιτήρησης. Οι εκπαιδευτικοί ενημερώνονται κατά την πρόσληψή τους. Επισυνάπτονται υπεύθυνες δηλώσεις εκπαιδευτικών, με ημερομηνία 21-1-2022, με τις οποίες βεβαιώνουν ότι έχουν λάβει γνώση και δεν έχουν αντίρρηση σχετικά με το σύστημα βιντεοεπιτήρησης και ότι δεν υπάρχουν κάμερες μέσα στις αίθουσες διδασκαλίας. Ανέφερε, τέλος, ότι δεν τηρεί αρχεία δραστηριοτήτων. Στη συνέχεια η Αρχή, προκειμένου να ολοκληρώσει την εξέταση της υπόθεσης, κάλεσε με το με αρ. πρωτ. Γ/ΕΞΕ/434/15-02-2022 έγγραφο την καταγγελλόμενη εταιρεία στη συνεδρίαση του Τμήματος στις 2-3-

1. Στην συνεδρίαση αυτή παρέστησαν, οι Μήλλας Δημήτριος με ΑΜ…, A, … … και B, … … Μετά τη συνεδρίαση η καταγγελλόμενη εταιρεία υπέβαλε το με αρ. πρωτ. Γ/ΕΙΣ/4348/15-3-2022 υπόμνημα, με το οποίο εκτός της αναφοράς στον τρόπο λειτουργίας του συστήματος βιντεοεπιτήρησης, προσκομίζονται τα ακόλουθα συμπληρωματικά στοιχεία: α) απόφαση του Συλλόγου Διδασκόντων της 04-03-2022, από την οποία προκύπτει ότι οι βαθμίδες Δημοτικού – Γυμνασίου που αφορά το εν λόγω σύστημα, έχουν διαβουλευθεί με τον ιδιοκτήτη, ενημερωθεί και αποδέχονται την απόφαση του ιδιοκτήτη – αρμοδίου οργάνου εκπροσώπησης της Εταιρίας για τη λειτουργία συστήματος βιντεοεπιτήρησης χωρίς καταγραφή δεδομένων, β) εκτίμηση αντικτύπου προστασίας δεδομένων (ΕΑΠΔ), με την οποία αξιολογείται η χρήση του συστήματος βιντεοεπιτήρησης με νομική βάση της επεξεργασίας το υπέρτερο έννομο συμφέρον για την προστασία περιουσίας και υγείας και στην οποία τεκμηριώνεται η νομιμότητα κάθε κάμερας, γ) αρχεία δραστηριοτήτων σύμφωνα με το υπόδειγμα της Αρχής, σε ηλεκτρονική μορφή, δ) κείμενα γνωστοποίησης προς το προσωπικό για τις αρχές του ΓΚΠΔ γενικά, για το είδος των δεδομένων που επεξεργάζεται η καταγγελλόμενη εταιρεία ως υπεύθυνος επεξεργασίας ως εκ της σύμβασης Λεωφ. Κηφισίας 1-3, 11523 Αθήνα, Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr 3 εργασίας, την ιδιαίτερη νομική βάση για τη βιντεοεπιτήρηση άνευ τήρησης αρχείου εικόνας, για τα δικαιώματα των εργαζομένων και τον τρόπο άσκησης αυτών. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
2. Η εγκατάσταση και λειτουργία συστημάτων βιντεοεπιτήρησης με τη λήψη ή και καταγραφή εικόνας ή και ήχου δια της συλλογής, διατήρησης, αποθήκευσης, πρόσβασης και διαβίβασης δεδομένων προσωπικού χαρακτήρα, συνιστούν ως επιμέρους πράξεις επεξεργασίας, επέμβαση στα ατομικά δικαιώματα του σεβασμού της ιδιωτικής ζωής κατ’ άρθ. 9 Σ., 7 ΧΘΔΕΕ 2 και 8 ΕΣΔΑ καθώς και της προστασίας των δεδομένων προσωπικού χαρακτήρα κατ’ άρθ. 9Α Σ., 8 ΕΣΔΑ και 8 ΧΘΔΕΕ 3, όπως έκρινε η Αρχή με την υπ’ αριθμ. 3/2020 Γνωμοδότησή της.
3. Σύμφωνα με τις Κατευθυντήριες Γραμμές 3/2019 του ΕΣΠΔ σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα μέσω βιντεοσυσκευών 4, προκειμένου να κριθεί η νομιμότητα της εγκατάστασης και λειτουργίας του συστήματος βιντεοεπιτήρησης πρέπει να πληρούνται σωρευτικά οι προϋποθέσεις των άρθρων 5 και 6 παρ. 1 ΓΚΠΔ και θα πρέπει σε προηγούμενο χρόνο της εγκατάστασης και λειτουργίας του συστήματος να τεκμηριωθεί εσωτερικά η νομιμότητα της επεξεργασίας και μάλιστα κατά τον προσδιορισμό του σκοπού της επεξεργασίας ενδέχεται να χρειαστεί σχετική αξιολόγηση για κάθε κάμερα ξεχωριστά, ανάλογα με το σημείο τοποθέτησής της. Ειδικότερα στις Κατευθυντήριες αυτές Γραμμές ορίζονται τα εξής: «α (…)
4. Η βιντεοεπιτήρηση δεν είναι εξ ορισμού αναγκαία εφόσον υπάρχουν άλλα μέσα για την επίτευξη του ΔΕΕ Digital Rights Ireland παρ.
5. ΔΕΕ Digital Rights Ireland παρ.
6. 4 https://edpb.europa.eu/our-worktools/ourdocuments/guidelines/guidelines-32019-processingpersonal-data-through-video_el 2 3 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα, Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr 4 υποκείμενου σκοπού. Στην αντίθετη περίπτωση, υπάρχει ο κίνδυνος να μεταβληθούν οι πολιτισμικοί κανόνες και επομένως να εδραιωθεί ως γενική αρχή η έλλειψη της ιδιωτικότητας (…)». β «(…)
7. Το έννομο συμφέρον πρέπει να υφίσταται πραγματικά και να αφορά παρόν ζήτημα (δηλαδή το συμφέρον δεν πρέπει να είναι πλασματικό ή υποθετικό). Πρέπει να υφίσταται πραγματική κατάσταση κινδύνου –όπως ζημιές ή σοβαρά συμβάντα στο παρελθόν– πριν από την έναρξη της επιτήρησης. (…)». γ. «(…)
8. Τα δεδομένα προσωπικού χαρακτήρα θα πρέπει να είναι κατάλληλα, συναφή και να περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων»), βλέπε άρθρο 5 παράγραφος 1 στοιχείο γ). Πριν από την εγκατάσταση συστήματος βιντεοεπιτήρησης, ο υπεύθυνος επεξεργασίας θα πρέπει πάντα να εξετάζει ενδελεχώς αν αυτό το μέτρο είναι, κατά πρώτον, κατάλληλο για την επίτευξη του επιθυμητού στόχου και, κατά δεύτερον, επαρκές και αναγκαίο για την επίτευξη των σκοπών του. Μέτρα βιντεοεπιτήρησης θα πρέπει να επιλέγονται μόνον εάν ο σκοπός της επεξεργασίας δεν θα μπορούσε εύλογα να εκπληρωθεί με άλλα μέσα, τα οποία θίγουν σε μικρότερο βαθμό τα θεμελιώδη δικαιώματα και τις ελευθερίες του υποκειμένου των δεδομένων.
9. Η Αρχή έχει εκδώσει για το ζήτημα της χρήσης συστημάτων βιντεοεπιτήρησης για το σκοπό της προστασίας προσώπων και αγαθών την υπ’ αριθμ. 1/2011 Οδηγία, οι διατάξεις της οποίας πρέπει να εφαρμόζονται σε συνδυασμό με τις διατάξεις του ΓΚΠΔ και του ν. 4624/2019, με τον οποίο ορίζονται μέτρα εφαρμογής του ΓΚΠΔ. Τούτο ισχύει ιδίως για τις υποχρεώσεις του υπευθύνου επεξεργασίας που περιλαμβάνονται στο κεφάλαιο Γ’ αυτής (άρθρα 10 έως 13 της Οδηγίας 1/2011). Για παράδειγμα, οι υπεύθυνοι επεξεργασίας δεν έχουν πλέον υποχρέωση γνωστοποίησης της επεξεργασίας στην Αρχή 5, αλλά οφείλουν να λαμβάνουν τα απαραίτητα μέτρα συμμόρφωσης προς τις απαιτήσεις του ΓΚΠΔ και να φροντίζουν για την ικανοποίηση των επαυξημένων δικαιωμάτων που προβλέπει 5 Βλ. και ανακοίνωση της Αρχής σχετικά με την κατάργηση των γνωστοποιήσεων τήρησης αρχείου/επεξεργασιών και της χορήγησης αδειών (απόφαση 46/2018). Λεωφ. Κηφισίας 1-3, 11523 Αθήνα, Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr 5 ο ΓΚΠΔ. Στο άρθρο 18 της Οδηγίας 1/2011 για σχολεία και λοιπούς χώρους όπου δραστηριοποιούνται ανήλικοι προβλέπονται τα εξής: α. «(…)
10. Η ύπαρξη και μόνο καμερών σε σχολεία και άλλους χώρους όπου δραστηριοποιούνται ανήλικοι (όπως παιδικοί σταθμοί, οικοτροφεία, φροντιστήρια κλπ.) χρήζει ιδιαίτερης προσοχής, αφού δεν είναι εύκολο να αξιολογηθούν οι συνέπειες που μια τέτοια επεξεργασία μπορεί να έχει για την ελεύθερη ανάπτυξη της προσωπικότητας των ανηλίκων. Συγκεκριμένα, υπάρχει ο κίνδυνος να περιορισθεί η ανάπτυξη της έννοιας της ελευθερίας τους, εάν πιστέψουν από μικρή ηλικία ότι είναι φυσιολογικό να παρακολουθούνται μέσω καμερών (βλ. και Γνωμοδότηση 2/2009 της Ομάδας Εργασίας του Άρθρου 29, καθώς επίσης και την Απόφαση 77/2009 της Αρχής. (…)». β. «(…)
11. Το σύστημα βιντεοεπιτήρησης επιτρέπεται να λειτουργεί μόνο κατά τις ώρες που το σχολείο δεν λειτουργεί. Οι ώρες λειτουργίας του συστήματος πρέπει να αναγράφονται με σαφήνεια στις σχετικές ενημερωτικές πινακίδες, έτσι ώστε να γνωρίζουν πλήρως όλοι οι μαθητές και οι φορείς της εκπαιδευτικής κοινότητας ότι καθ’ όλη τη διάρκεια της παρουσίας τους στο σχολείο/φροντιστήριο δεν παρακολουθούνται. (…)». γ. «(…)
12. Κατ’ εξαίρεση σε περιπτώσεις σχολικών εγκαταστάσεων μεγάλης έκτασης, όπου δεν είναι πρακτικός έλεγχος των απομακρυσμένων σημείων των εγκαταστάσεων με ηπιότερα μέσα (π.χ. φύλακες), είναι δυνατόν να επιτραπεί η λειτουργία των καμερών που εστιάζουν στα απομακρυσμένα σημεία και κατά τις ώρες λειτουργίας του σχολείου, μετά από έγκριση της Αρχής. δ. «(…)
13. Η απόφαση για την εγκατάσταση και τη λειτουργία του συστήματος πρέπει να λαμβάνεται από το αρμόδιο όργανο για τη διοίκηση του σχολείου, αφού ληφθεί υπόψη η γνώμη των εκπροσώπων του διδακτικού προσωπικού, του συλλόγου γονέων και των μαθητικών συλλόγων όπου υπάρχουν (…)». Πρακτικά, η Αρχή, έχει παράσχει ειδική καθοδήγηση προς τους υπεύθυνους επεξεργασίας οι οποίοι σχεδιάζουν να χρησιμοποιήσουν Λεωφ. Κηφισίας 1-3, 11523 Αθήνα, Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr συστήματα 6 βιντεοεπιτήρησης σε σχολεία, η οποία, εφόσον ακολουθηθεί, εξασφαλίζει την τήρηση των προϋποθέσεων των άρθρων 5 και 6 παρ. 1 ΓΚΠΔ, όπως εκτέθηκαν στην προηγούμενη σκέψη.
14. Όπως προκύπτει από τα στοιχεία του φακέλου της υπόθεσης, η καταγγελλόμενη εταιρεία έχει το ρόλο του υπευθύνου επεξεργασίας για την επεξεργασία προσωπικών δεδομένων που πραγματοποιείται μέσω του συστήματος βιντεοεπιτήρησης.
15. Για τη συγκεκριμένη επεξεργασία δεν συντρέχουν οι προϋποθέσεις του άρθρου 18 της Οδηγίας 1/2011, αφού το σύστημα είναι ενεργό τις ώρες που το σχολείο λειτουργεί, σε χώρους όπου κινούνται εργαζόμενοι και μαθητές, παραβιάζοντας κατά τον τρόπο αυτό την αρχή του περιορισμού του σκοπού.
16. Περαιτέρω, η απόφαση για την λειτουργία του συστήματος δεν είχε ληφθεί σύμφωνα με το άρθρο 5 της Οδηγίας 1/2011, ούτε είχε τεκμηριωθεί με άλλο τρόπο το επικαλούμενο υπέρτερο έννομο συμφέρον του υπεύθυνου επεξεργασίας, δηλαδή ότι η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί (άρθρο 6 παρ. 1 εδ. στ) του ΓΚΠΔ). Η απόφαση του Συλλόγου Διδασκόντων της 04-03-2022 εκδόθηκε μετά την ακρόαση ενώ το σύστημα λειτουργεί από το
17. Τέλος, η εξαίρεση της περίπτωσης 3 άρθρου 19 της Οδηγίας 1/2011 δεν εφαρμόζεται στην συγκεκριμένη περίπτωση, διότι δεν πρόκειται για περίπτωση σχολικής εγκατάστασης μεγάλης έκτασης, όπου δεν είναι πρακτικός έλεγχος των απομακρυσμένων σημείων των εγκαταστάσεων με ηπιότερα μέσα. Συνεπώς, δεν τεκμηριώνεται η νομιμότητα της επεξεργασίας κατά παράβαση των άρθρων 5 παρ. 2 και 6 του ΓΚΠΔ.
18. Η ενημέρωση γονέων και εργαζομένων σχετικά με τη λειτουργία του συστήματος υπήρξε ελλιπής, διότι κατά δήλωση του υπευθύνου επεξεργασίας γινόταν προφορικά, κατά παράβαση των άρθρων 5 παρ. 1 εδ. α και των άρθρων 12 και 13 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα, Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr 7 και 5 παρ. 2 εδ. β του ΓΚΠΔ, διότι ο καταγγελλόμενος δεν είναι σε θέση να αποδείξει ότι γινόταν τέτοια προφορική ενημέρωση και ακόμα κι αν γίνει δεκτό ότι γινόταν προφορική ενημέρωση, αυτή δεν καλύπτει κάθε κατηγορία υποκειμένων, ιδίως τα παιδιά, τους εργαζόμενους και τους προσερχόμενους στο χώρο, μη ικανοποιώντας τις απαιτήσεις διαφάνειας και λογοδοσίας.
19. Δεν τηρείται η αρχή του περιορισμού του σκοπού, εφόσον μέσω της πρόσβασης στην μεταδιδόμενη εικόνα από τον διευθυντή και εργοδότη δεν προκύπτει σαφώς ούτε διασφαλίζεται τεχνικώς ότι ο σκοπός της επεξεργασίας είναι αποκλειστικά μόνο η προστασία προσώπων και αγαθών.
20. Δεν τηρήθηκε η αρχή της λογοδοσίας όσον αφορά την τεκμηρίωση μέσω της τήρησης αρχείων δραστηριοτήτων, κατά παράβαση των άρθρων 5 παρ. 2 και του άρθρου 30 του ΓΚΠΔ. O υπεύθυνος επεξεργασίας δεν τηρούσε αρχεία δραστηριοτήτων για την επεξεργασία προσωπικών δεδομένων μέσω του συστήματος βιντεοεπιτήρησης, τα προσκόμισε μόνο μετά την ακρόαση.
21. Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 58 παρ. 2 του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες παραβάσεις. Η Αρχή κρίνει επίσης ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ του ΓΚΠΔ το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 του ΓΚΠΔ τόσο προς αποκατάσταση της συμμόρφωσης, όσο και για την τιμωρία της παράνομης συμπεριφοράς.
22. Περαιτέρω η Αρχή, έλαβε υπόψη τα κριτήρια επιμέτρησης του προστίμου που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ, την παράγραφο 5 στοιχ. α’ και β’ του ίδιου άρθρου που έχουν εφαρμογή στην παρούσα υπόθεση και τις Κατευθυντήριες γραμμές για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του Κανονισμού 2016/679 που εκδόθηκαν στις 0310-2017 από την Ομάδα Εργασίας του άρθρου 29 (WP 253), καθώς και τα πραγματικά δεδομένα της εξεταζόμενης υπόθεσης και ιδίως: α) τη φύση, τη βαρύτητα και τη διάρκεια της παράβασης, ενόψει της φύσης, της Λεωφ. Κηφισίας 1-3, 11523 Αθήνα, Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr 8 έκτασης ή του σκοπού της σχετικής επεξεργασίας, καθώς και τον αριθμό των υποκειμένων των δεδομένων που έθιξε η παράβαση και τον βαθμό ζημίας που υπέστησαν και συγκεκριμένα: i. το γεγονός ότι ο υπεύθυνος επεξεργασίας παραβίασε τις από το άρθρο 5 παρ. 1 εδ. α’ του ΓΚΠΔ αρχές της νομιμότητας, αντικειμενικότητας και διαφάνειας, επιπλέον δε την αρχή του περιορισμού του σκοπού κατ’ άρθρο 5 παρ. 1 εδ. β’ καθώς και την υποχρέωση (αρχή) λογοδοσίας κατ’ άρθρο 5 παρ. 2 του ΓΚΠΔ, ήτοι παραβίασε θεμελιώδεις αρχές του ΓΚΠΔ για την προστασία των δεδομένων προσωπικού χαρακτήρα, ii. το γεγονός ότι η τήρηση των αρχών που προβλέπονται από τις διατάξεις του άρθρου 5 παρ. 1 εδ. α’ και παρ. 2 του ΓΚΠΔ είναι κεφαλαιώδους σημασίας, πρωτίστως δε, η αρχή της νομιμότητας, αντικειμενικότητας και διαφάνειας ώστε εάν εκλείπει αυτή να καθίσταται εξ’ αρχής παράνομη η επεξεργασία, ακόμη και εάν έχουν τηρηθεί οι λοιπές αρχές επεξεργασίας. Ομοίως κεφαλαιώδους σημασίας καθίσταται τόσο η αρχή περιορισμού του σκοπού όσο όμως και η αρχή της λογοδοσίας στο πλαίσιο του νέου μοντέλου συμμόρφωσης που εισήχθη με τον ΓΚΠΔ, όπου το βάρος συμμόρφωσης και η σχετική ευθύνη βαρύνει τον υπεύθυνο επεξεργασίας, ο οποίος και έχει εφοδιασθεί από τον ΓΚΠΔ με τα απαραίτητα εργαλεία συμμόρφωσης, iii. το γεγονός ότι ο υπεύθυνος επεξεργασίας δεν κατάφερε να συμμορφωθεί με τις επιταγές των αρχών επεξεργασίας του άρθρου 5 παρ. 1 εδ. α’ και β’ ΓΚΠΔ, επιπλέον δε, απέτυχε να τεκμηριώσει στο πλαίσιο της συμμόρφωσης τη νομιμότητα του συστήματος βιντεοεπιτήρησης, iv. το γεγονός ότι η παραβίαση των ανωτέρω αρχών υπάγεται σύμφωνα με τις διατάξεις του άρθρου 83 παρ. 5 εδ. α’ του ΓΚΠΔ στην ανώτερη προβλεπόμενη κατηγορία του συστήματος διαβάθμισης διοικητικών προστίμων, v. το γεγονός ότι, από τα στοιχεία που τέθηκαν υπόψη της Αρχής, δεν προέκυψε η επέλευση υλικής βλάβης στα υποκείμενα των δεδομένων, vi. το γεγονός ότι η παραβίαση των αρχών του άρθρου 5 παρ. 1 εδ. α’, β’ και παρ. 2 του ΓΚΠΔ δεν αφορούσε, με βάση τα στοιχεία που τέθηκαν υπόψη της Αρχής, Λεωφ. Κηφισίας 1-3, 11523 Αθήνα, Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr 9 δεδομένα προσωπικού χαρακτήρα των άρθρων 9 και 10 του ΓΚΠΔ, αλλά αφορά παιδιά, που απαιτούν ειδική προστασία όσον αφορά τα δεδομένα προσωπικού χαρακτήρα (αιτ. σκέψη 38 και άρθρο 6 παρ. 1 στ) του ΓΚΠΔ). vii. το γεγονός ότι το εν λόγω σύστημα και οι κάμερες είχαν εγκατασταθεί και λειτουργούσαν μη νόμιμα από το έτος 2007, ενώ και μετά την εφαρμογή του ΓΚΠΔ δεν διαπιστώθηκε καμία ενέργεια συμμόρφωσης έως την επέμβαση της Αρχής. β) το βαθμό υπαιτιότητας του υπευθύνου επεξεργασίας. Η εγκατάσταση και λειτουργία του συστήματος βιντεοεπιτήρησης κατά παράβαση της αρχής της νομιμότητας, αντικειμενικότητας και διαφάνειας, του περιορισμού του σκοπού καθώς και της λογοδοσίας υπήρξε αποτέλεσμα ανεπαρκούς γνώσης και εφαρμογής των διατάξεων του ΓΚΠΔ που αποδίδεται σε αμέλεια και επομένως λαμβάνεται υπόψη ελαφρυντικά σε σχέση με το ενδεχόμενο να είχε λάβει χώρα εκ δόλου. γ) τυχόν ενέργειες στις οποίες προέβη ο υπεύθυνος επεξεργασίας για να μετριάσει τη ζημία που υπέστησαν τα υποκείμενα των δεδομένων και τον βαθμό συνεργασίας με την Αρχή για την επανόρθωση της παράβασης και τον περιορισμό των πιθανών δυσμενών επιπτώσεών της. Ο καταγγελλόμενος προέβη σε ενέργειες για την τεκμηρίωση της επεξεργασίας και τη συμμόρφωση με τον ΓΚΠΔ μετά την ακρόαση, η δε συνεργασία του με την Αρχή υπήρξε ικανοποιητική. δ) τυχόν σχετικές προηγούμενες παραβάσεις του υπευθύνου επεξεργασίας. Από σχετικό έλεγχο προκύπτει ότι δεν έχει επιβληθεί στην καταγγελλόμενη εταιρία μέχρι σήμερα διοικητική κύρωση από την Αρχή. ε) τις κατηγορίες δεδομένων προσωπικού χαρακτήρα τα οποία επηρεάζει η παράβαση. Δεν πρόκειται για δεδομένα προσωπικού χαρακτήρα των άρθρων 9 και 10 του ΓΚΠΔ, σύμφωνα με τα στοιχεία που τέθηκαν υπόψη της Αρχής, αλλά αφορά παιδιά, που απαιτούν ειδική προστασία όσον αφορά τα δεδομένα προσωπικού χαρακτήρα (αιτ. σκέψη 38 και άρθρο 6 παρ. 1 στ) του ΓΚΠΔ). στ) το μέγεθος της εταιρείας. Βάσει των ανωτέρω, η Αρχή κρίνει ομόφωνα ότι πρέπει να επιβληθεί στην Λεωφ. Κηφισίας 1-3, 11523 Αθήνα, Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr 10 καταγγελλόμενη εταιρεία ως υπεύθυνο επεξεργασίας η αναφερόμενη στο διατακτικό διοικητική κύρωση, η οποία κρίνεται ανάλογη με τη βαρύτητα της παράβασης. Η Αρχή ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Α. Δίνει εντολή στην καταγγελλόμενη εταιρεία με την επωνυμία «Ιορδανάκειον Σύγχρονα Εκπαιδευτήρια ΑΕ» ως υπεύθυνο επεξεργασίας, όπως εντός ενός