← Ελλάδα

Επιβολή προστίμου για μη ικανοποίηση δικαιώματος πρόσβασης

Αθήνα, 15-02-2022 Αριθ. Πρωτ.: 433 ΑΠΟΦΑΣΗ 61/2021 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τμήματος με τηλεδιάσκεψη την Τετάρτη 17 Φεβρουαρίου 2021, μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Αναπληρωτής Πρόεδρος, Γεώργιος Μπατζαλέξης, κωλυομένου του Προέδρου της Αρχής Κωνσταντίνου Μενουδάκου και τα αναπληρωματικά μέλη Ευάγγελος Παπακωνσταντίνου, ως εισηγητής, και Γρηγόρης Τσόλιας, σε αντικατάσταση των τακτικών μελών Κωνσταντίνου Λαμπρινουδάκη και Χαράλαμπου Ανθόπουλου, οι οποίοι, αν και εκλήθησαν νομίμως εγγράφως δεν παρέστησαν λόγω κωλύματος. Στη συνεδρίαση παρέστησαν, με εντολή του Προέδρου, ο Λεωνίδας Ρούσσος, ειδικός επιστήμονας – ελεγκτής ως βοηθός εισηγητή. Ως Γραμματέας παρέστη η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του Διοικητικού Τμήματος. Η Αρχή έλαβε υπόψη της τα παρακάτω: Υποβλήθηκε στην Αρχή η υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/7720/10-11-2019 καταγγελία του Α, η οποία αφορά την παραβίαση του δικαιώματος πρόσβασής του ως υποκειμένου των δεδομένων από τον ΟΡΓΑΝΙΣΜΟ ΛΙΜΕΝΟΣ ΗΡΑΚΛΕΙΟΥ Α.Ε. (εφεξής, «υπεύθυνος επεξεργασίας» ή «ΟΛΗ»). Σύμφωνα με την καταγγελία, ο καταγγέλλων ζήτησε στις … με την αίτηση υπ’ αριθμ. πρωτ. … μέσω μηνύματος ηλεκτρονικού ταχυδρομείου να του δοθούν εγγράφως πληροφορίες 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr σχετικά με το περιεχόμενο καταγεγραμμένου υλικού από τις κάμερες του Οργανισμού Λιμένος Ηρακλείου που αφορούσε καταγεγραμμένο τροχαίο ατύχημα στο οποίο ενεπλάκη το Ι.Χ. του καταγγέλλοντος και ένα άλλο Ι.Χ. στις … . Στο συγκεκριμένο αίτημα του καταγγέλλοντος, η εταιρεία απάντησε με το έγγραφο υπ’ αριθμ. πρωτ. … και αρνήθηκε τη διαβίβαση οπτικού υλικού από την κάμερα, επικαλούμενη διαδικασίες διερεύνησης των όρων και προϋποθέσεων για τη συμβατή με το νομικό πλαίσιο τοποθέτηση και καταγραφή μέσω του συστήματος βιντεοεπιτήρησης στο πλαίσιο συμμόρφωσης με τον Γενικό Κανονισμό Προστασίας Δεδομένων. Επιπρόσθετα, η εταιρεία δήλωσε ότι είναι διατεθειμένη να συμμορφωθεί σε οποιαδήποτε δικαστική ή εισαγγελική εντολή, εφόσον της ζητηθεί ειδικά και αιτιολογημένα ως προς το επιτρεπτό και νόμιμο της χρήσης από δημόσιες αρχές των σχετικών αποδεικτικών στοιχείων. Ο καταγγέλλων απευθύνθηκε εκ νέου μέσω μηνύματος ηλεκτρονικού ταχυδρομείου στον υπεύθυνο επεξεργασίας στις … και υπέβαλε αίτημα με αριθμ. πρωτ. … για διατήρηση του καταγεγραμμένου υλικού, πρόσβαση σε αυτό και διαβίβασή του σε οπτικό δίσκο (CD) με τυχόν θόλωση άλλων προσώπων όπως ορίζει το άρθρο 11 της Οδηγίας 1/2011 της Αρχής. Στις … απέστειλε εκ νέου e-mail στον υπεύθυνο επεξεργασίας καθώς μέχρι τότε δεν του είχε απαντήσει στο αίτημά του. Σημειώνεται από τον καταγγέλλοντα ότι το σχετικό οπτικό υλικό από τις κάμερες είναι απαραίτητο προκειμένου ο ίδιος να αποδείξει την αποκλειστική υπαιτιότητα του άλλου Ι.Χ. στο αυτοκινητιστικό ατύχημα που έλαβε χώρα στις … στην … του λιμένα Ηρακλείου και να διεκδικήσει αποζημίωση για την υλική ζημία που υπέστη το αυτοκίνητό του από την αρμόδια ασφαλιστική εταιρεία. Η Αρχή, στο πλαίσιο εξέτασης της εν λόγω καταγγελίας, απέστειλε στον ΟΛH το υπ’ αριθμ. πρωτ. Γ/ΕΞ/749/30-01-2020 έγγραφο με το οποίο τον ενημέρωσε για την υποβληθείσα καταγγελία και ζήτησε τις απόψεις του επί των καταγγελλομένων. Παράλληλα, τον κάλεσε να εξετάσει άμεσα τα αιτήματα του καταγγέλλοντος, ικανοποιώντας το δικαίωμα πρόσβασης στο υλικό από το σύστημα βιντεοεπιτήρησης, χωρίς όμως να λάβει απάντηση από τον υπεύθυνο επεξεργασίας. Στη συνέχεια, η Αρχή κάλεσε με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/7471/30-10-2020 έγγραφο τον υπεύθυνο επεξεργασίας σε ακρόαση κατά τη διάρκεια της οποίας συζητήθηκε η εν λόγω καταγγελία. Στη συνεδρίαση της 26-11-2020 παρέστη νομίμως, ως εκπρόσωπος του καταγγελλόμενου, ο Β, ο οποίος εξέθεσε προφορικά τις απόψεις του. Στη συνέχεια, ο καταγγελλόμενος έλαβε προθεσμία και κατέθεσε εμπροθέσμως το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/8565/14-12-2020 υπόμνημα. 2 Στο εν λόγω υπόμνημα ο καταγγελλόμενος υποστηρίζει ότι ο λόγος που δεν ικανοποίησε το δικαίωμα του υποκειμένου αφορούσε το μεγάλο χρονικό διάστημα που μεσολάβησε από το συμβάν μέχρι την άσκηση του εν λόγω δικαιώματος (37 ημέρες μετά), ενώ σύμφωνα με σχετικό έγγραφο της εταιρίας που υποστηρίζει τα συστήματα του ΟΛΗ ΑΕ τα στοιχεία στο καταγραφικό της κάμερας διατηρούνται μόνο για 6 ημέρες. Επικαλείται, δε, την οδηγία 1/2011 της Αρχής, σύμφωνα με την οποία, «δεν δύναται να δοθούν σχετικά στοιχεία μετά την παρέλευση 15 ημερών», με αποτέλεσμα να μην δύναται να ικανοποιήσει το συγκεκριμένο δικαίωμα. Εν κατακλείδι, σύμφωνα με το υπόμνημα, όφειλε ο καταγγέλλων να γνωρίζει την κείμενη νομοθεσία ή να ρωτούσε για το συμβάν την επόμενη ημέρα και όχι 37 ημέρες μετά. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, την ακροαματική διαδικασία και το υποβληθέν υπόμνημα αφού άκουσε τον εισηγητή και τις διευκρινίσεις του βοηθού εισηγητή, ο οποίος στη συνέχεια αποχώρησε πριν από τη διάσκεψη και τη λήψη απόφασης, και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ

  1. Από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (ΕΕ) 2016/679 (εφεξής «ΓΚΠΔ») και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων.
  2. Το άρθρο 5 του ΓΚΠΔ καθορίζει τις αρχές επεξεργασίας που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, ορίζεται στην παράγραφο 1 ότι τα δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων: «α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα, διαφάνεια»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς (…), γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων») δ)είναι ακριβή και, όταν είναι αναγκαίο, επικαιροποιούνται, ε) διατηρούνται υπό μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων των δεδομένων μόνο για το διάστημα που απαιτείται για τους σκοπούς της επεξεργασίας των δεδομένων …(«περιορισμός της περιόδου αποθήκευσης»)». 3
  3. Σύμφωνα με τα οριζόμενα, από τη διάταξη του άρθρου 5 παρ. 2 του ΓΚΠΔ προκύπτει ότι ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην παράγραφο 1 του άρθρου
  4. Όπως έχει ήδη κρίνει η Αρχή 1, με τον ΓΚΠΔ υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό σημείο του οποίου συνιστά η αρχή της λογοδοσίας στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να αποδεικνύει ο ίδιος και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ. Δεν είναι τυχαίο ότι ο ΓΚΠΔ εντάσσει τη λογοδοσία (άρθρο 5 παρ. 2 ΓΚΠΔ) στη ρύθμιση των αρχών (άρθρο 5 παρ. 1 ΓΚΠΔ) που διέπουν την επεξεργασία, προσδίδοντας σε αυτήν, τη λειτουργία ενός μηχανισμού τήρησής τους, αντιστρέφοντας κατ’ ουσίαν το «βάρος της απόδειξης» ως προς τη νομιμότητα της επεξεργασίας (και εν γένει την τήρηση των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ), μεταθέτοντάς τη στον υπεύθυνο επεξεργασίας, 2 ώστε να υποστηρίζεται βάσιμα ότι εκείνος φέρει το βάρος της επίκλησης και απόδειξης της νομιμότητας της επεξεργασίας
  5. Έτσι, συνιστά υποχρέωση του υπευθύνου επεξεργασίας αφενός να λαμβάνει από μόνος του τα αναγκαία μέτρα προκειμένου να συμμορφώνεται προς τις απαιτήσεις του ΓΚΠΔ, αφετέρου, να αποδεικνύει ανά πάσα στιγμή την ανωτέρω συμμόρφωσή του, χωρίς μάλιστα να απαιτείται η Αρχή, στο πλαίσιο άσκησης των ερευνητικών - ελεγκτικών εξουσιών της, να υποβάλλει επιμέρους – εξειδικευμένα ερωτήματα και αιτήματα προς διαπίστωση της συμμόρφωσης (ΑΠΔ 43/2019 σκ. 9).
  6. Σύμφωνα με το άρθρο 15 παρ. 1, 3 και 4 του ΓΚΠΔ «
  7. Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και στις ακόλουθες πληροφορίες: […]
  8. […]
  9. Ο υπεύθυνος επεξεργασίας παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία. […]». 1 Βλ. απόφαση Αρχής 26/2019, σκ. 8, 44/19 σκ. 19 διαθέσιμες στην ιστοσελίδα της. 2 Σχετικά βλ. Λ. Μήτρου, Η αρχή της Λογοδοσίας σε Υποχρεώσεις του υπεύθυνου επεξεργασίας [Γ. Γιαννόπουλος, Λ. Μήτρου, Γ. Τσόλιας], Συλλογικός Τόμος Λ. Κοτσαλή – Κ. Μενουδάκου «Ο ΓΚΠΔ, Νομική διάσταση και πρακτική εφαρμογή», β’ εκδ. Νομική Βιβλιοθήκη, 2021, σελ. 265 επ. 3 P. de Hert, V. Papakonstantinou, D. Wright and S. Gutwirth, The proposed Regulation and the construction of a principles-driven system for individual data protection, σελ.
  10. 4 Στο πλαίσιο του ως άνω δικαιώματος επισημαίνεται πως το υποκείμενο των δεδομένων θα πρέπει να έχει δικαίωμα πρόσβασης σε δεδομένα προσωπικού χαρακτήρα τα οποία συλλέχθηκαν και το αφορούν και να μπορεί να ασκεί το εν λόγω δικαίωμα ευχερώς και σε εύλογα τακτά διαστήματα, προκειμένου να έχει επίγνωση και να επαληθεύει τη νομιμότητα της επεξεργασίας (βλ. αιτ. σκ. 63 ΓΚΠΔ). Ως εκ τούτου, για την ικανοποίηση του δικαιώματος πρόσβασης δεν απαιτείται η επίκληση εννόμου συμφέροντος, αφού αυτό ενυπάρχει και αποτελεί βάση του δικαιώματος πρόσβασης του υποκειμένου να λάβει γνώση πληροφοριών που το αφορούν και οι οποίες έχουν καταχωρηθεί σε σύστημα αρχειοθέτησης που τηρεί ο υπεύθυνος επεξεργασίας, έτσι ώστε να πραγματώνεται η βασική αρχή του δικαίου για την προστασία των προσωπικών δεδομένων, που συνίσταται στη διαφάνεια της επεξεργασίας ως προϋπόθεση κάθε περαιτέρω ελέγχου της νομιμότητάς της εκ μέρους του υποκειμένου των δεδομένων
  11. Ομοίως, δεν απαιτείται η επίκληση των λόγων για τους οποίους το υποκείμενο των δεδομένων επιθυμεί την άσκηση του δικαιώματος πρόσβασης. Εξάλλου, θα πρέπει να επισημανθεί ότι η ικανοποίηση του δικαιώματος πρόσβασης είναι καθολική, αφορά δηλαδή σε όλες τις πληροφορίες που αφορούν στο υποκείμενο των δεδομένων και επιπλέον, δεν προϋποθέτει όχι μόνο επίκληση των λόγων για τους οποίους το υποκείμενο των δεδομένων επιθυμεί την άσκηση του εν λόγω δικαιώματος, όπως προεξετέθη, αλλά ούτε και διαμεσολάβηση
  13. Επειδή σύμφωνα με το άρθρο 12 ΓΚΠΔ «
  14. Ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων […] κάθε ανακοίνωση στο πλαίσιο των άρθρων 15 […]
  15. Ο υπεύθυνος επεξεργασίας διευκολύνει την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων που προβλέπονται στα άρθρα 15 […] 3.Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. Η εν λόγω προθεσμία μπορεί να παραταθεί κατά δύο ακόμη μήνες, εφόσον απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας του αιτήματος και του αριθμού των αιτημάτων. Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για την εν λόγω παράταση εντός μηνός από την παραλαβή του αιτήματος, καθώς και για τους λόγους της καθυστέρησης. […]
  16. Εάν ο υπεύθυνος επεξεργασίας δεν ενεργήσει επί του αιτήματος του υποκειμένου των δεδομένων, ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων, χωρίς καθυστέρηση και το αργότερο εντός μηνός από την παραλαβή του 4 Βλ. ενδεικτικά ΑΠΔ 2/2020, 23/2020, 16/2017, 98/2014, 149/2014, 72/2013 και 71/
  17. 5 Βλ. ΑΠΔ 16/
  18. 5 αιτήματος, για τους λόγους, για τους οποίους δεν ενήργησε και για τη δυνατότητα υποβολής καταγγελίας σε εποπτική αρχή και άσκησης δικαστικής προσφυγής.».
  19. Περαιτέρω, για την ειδικότερη περίπτωση των συστημάτων βιντεοεπιτήρησης, στο άρθρο 13 παρ. 1 της Οδηγίας 1/2011 της Αρχής σχετικά με τη χρήση συστημάτων βιντεοεπιτήρησης για την προστασία προσώπων και αγαθών προβλέπεται ότι «Ο υπεύθυνος επεξεργασίας έχει υποχρέωση να χορηγεί εντός δεκαπέντε

(15)ημερών από την υποβολή της σχετικής αίτησης αντίγραφο του τμήματος της εγγραφής σήματος εικόνας όπου έχει καταγραφεί το υποκείμενο των δεδομένων ή έντυπη σειρά στιγμιοτύπων από τις καταγεγραμμένες εικόνες ή, αναλόγως, να ενημερώσει εγγράφως το ενδιαφερόμενο πρόσωπο μέσα στην ίδια χρονική διορία είτε ότι δεν απεικονίζεται είτε ότι το σχετικό τμήμα της εγγραφής έχει καταστραφεί. Εναλλακτικά, εφόσον συμφωνεί και το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας μπορεί απλώς να επιδείξει, άμεσα, το ανωτέρω τμήμα. Προς τον σκοπό αυτόν το υποκείμενο των δεδομένων οφείλει να υποδείξει την ακριβή ώρα και τον τόπο που ευρέθη στην εμβέλεια των καμερών. Όταν χορηγεί αντίγραφο εικόνας, ο υπεύθυνος επεξεργασίας οφείλει να καλύπτει την εικόνα τρίτων προσώπων (π.χ. με θόλωση τμήματος της εικόνας), εφόσον ενδέχεται να παραβιάζεται το δικαίωμά τους στην ιδιωτική ζωή. Στην περίπτωση της απλής επίδειξης, η κάλυψη της εικόνας τρίτων προσώπων δεν είναι αναγκαία.» Επισημαίνεται ότι η προθεσμία των δεκαπέντε
(15)ημερών, η οποία προβλέπεται στο άρθρο 13 παρ. 1 της Οδηγίας 1/2011 της Αρχής, μετά την εφαρμογή του ΓΚΠΔ έχει επεκταθεί στις τριάντα ημέρες.
  1. Σύμφωνα με το άρθρο 8 της Οδηγίας 1/2011 («Χρόνος τήρησης»): «
  2. Τα δεδομένα πρέπει να τηρούνται για συγκεκριμένο χρονικό διάστημα ενόψει του επιδιωκόμενου κάθε φορά σκοπού επεξεργασίας. Σε κάθε περίπτωση, εφόσον από τη λήψη εικόνων που αποθηκεύονται ή τη λήψη που γίνεται σε πραγματικό χρόνο δεν προκύπτει επέλευση συμβάντος που εκπίπτει στον επιδιωκόμενο σκοπό, τα δεδομένα πρέπει να καταστρέφονται το αργότερο µέσα σε δεκαπέντε
(15)εργάσιμες ημέρες, µε την επιφύλαξη ειδικότερων διατάξεων της κείμενης νομοθεσίας που ισχύουν για συγκεκριμένες κατηγορίες υπεύθυνων επεξεργασίας (π.χ. καζίνο) ή αν στην παρούσα Οδηγία ορίζεται διαφορετικά.
  1. Σε περίπτωση συμβάντος (π.χ. κλοπή, ληστεία, ξυλοδαρμός) σε βάρος του προσώπου ή των αγαθών του υπεύθυνου επεξεργασίας, αυτός επιτρέπεται να τηρεί τις εικόνες στις οποίες έχει καταγραφεί το συγκεκριμένο συμβάν σε χωριστό αρχείο για 30 ημέρες.
  2. Αν το συμβάν αφορά τρίτον, ο υπεύθυνος επεξεργασίας επιτρέπεται να τηρεί τις εικόνες για 3 µήνες».
  3. Πριν την εφαρμογή του Γενικού Κανονισμού (ΕΕ) 2016/679 για την προστασία των φυσικών 6 προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (εφεξής, Κανονισμός), ο οποίος είναι σε εφαρμογή από τις 25 Μαΐου 2018, ως προς το ζήτημα της χρήσης συστημάτων βιντεοεπιτήρησης για τον σκοπό της προστασίας προσώπων και αγαθών, η Αρχή είχε εκδώσει την Οδηγία 1/2011 (διαθέσιμη στο διαδικτυακό της τόπο www.dpa.gr), η οποία πρέπει να ερμηνεύεται σύμφωνα προς τις νέες διατάξεις του Κανονισμού. Τούτο ισχύει ιδίως για τις υποχρεώσεις του υπευθύνου επεξεργασίας που περιλαμβάνονται στο κεφάλαιο Γ’ αυτής (άρθρα 10 έως 13). Για παράδειγμα, οι υπεύθυνοι επεξεργασίας δεν έχουν πλέον υποχρέωση γνωστοποίησης της επεξεργασίας στην Αρχή 6, αλλά οφείλουν να φροντίζουν για την ικανοποίηση των επαυξημένων δικαιωμάτων που προβλέπει ο Κανονισμός.
  4. Στην προκειμένη περίπτωση, όπως προκύπτει από τα στοιχεία του φακέλου της υπόθεσης ο καταγγέλλων επικαλούμενος την ιδιότητά του ως υποκειμένου των δεδομένων προσωπικού χαρακτήρα (δεδομένων εικόνας) τα οποία τον αφορούν και τον ταυτοποιούν ως οδηγό αυτοκινήτου με εμφανή αριθμό κυκλοφορίας που ενεπλάκη σε τροχαίο ατύχημα και τα οποία καταγράφηκαν από το σύστημα βιντεοεπιτήρησης του ΟΛΗ άσκησε νόμιμα στις … το κατ’ άρ. 15 ΓΚΠΔ δικαίωμα πρόσβασης με το οποίο ζητούσε να ενημερωθεί για μια σειρά πληροφοριών που αφορούν το πρόσωπό του αναφορικά με τροχαίο συμβάν που είχε λάβει χώρα στις … . Ο ΟΛΗ απάντησε αρχικά στο ανωτέρω αίτημα με την από … επιστολή του, εμπρόθεσμα μεν, αρνούμενος δε να ικανοποιήσει το δικαίωμα πρόσβασης επικαλούμενος αφενός τη διενεργούμενη διαδικασία συμμόρφωσης προς τις απαιτήσεις του ΓΚΠΔ και την διερεύνηση της νομιμότητας λειτουργίας του συστήματος βιντεοσκόπησης, αφετέρου, ότι είναι διατεθειμένος να συμμορφωθεί σε δικαστική ή εισαγγελική εντολή χορήγησης του υλικού. Από τα ανωτέρω διαπιστώνεται ότι ο ΟΛΗ στις … είχε στη διάθεσή του το επίδικο υλικό που περιελάμβανε προσωπικά δεδομένα του καταγγέλλοντος και δεν το είχε ακόμη διαγράψει. Στη διαπίστωση αυτή καταλήγει η Αρχή καθώς πρώτον, εάν ο ΟΛΗ είχε διαγράψει τα δεδομένα εικόνας κατά τον χρόνο υποβολής του αιτήματος πρόσβασης, θα είχε ενημερώσει σχετικά τον αιτούντα για το γεγονός της διαγραφής και δεν θα χρειαζόταν να επικαλεστεί τη διενεργούμενη διαδικασία συμμόρφωσης, ούτε την ανάγκη έκδοσης δικαστικής ή εισαγγελικής εντολής. Επιπλέον, από την ίδια απάντηση προκύπτει και η Αρχή διαπιστώνει ότι τα εν λόγω δεδομένα εικόνας διατηρούνταν στο σύστημα του ΟΛΗ και δεν είχαν διαγραφεί, αλλά λόγω της θέσης σε εφαρμογή του Γενικού Κανονισμού Προστασίας 6 Βλ. και ανακοίνωση της Αρχής σχετικά με την κατάργηση των γνωστοποιήσεων τήρησης αρχείου/επεξεργασιών και της χορήγησης αδειών (Απόφαση 46/2018). 7 Δεδομένων υπ’ αρ. 679/2016 από τις 25.5.2018 σύμφωνα με το άρθρο 99 διατηρούνταν αμφιβολίες ως προς τη νομιμότητα διατήρησής τους, λόγος για τον οποίο γίνεται αναφορά σε «[…] διαδικασία διερεύνησης των όρων και προϋποθέσεων για τη συμβατή με το νομικό πλαίσιο τοποθέτησης και καταγραφής μέσω συστήματος βιντεοσκόπηση στον ΟΛΗ Α.Ε….Είμαστε διατεθειμένοι να συμμορφωθούμε σε οποιαδήποτε δικαστική ή εισαγγελική εντολή….ως προς το επιτρεπτό και νόμιμο της χρήσης από δημόσιες αρχές των σχετικών αποδεικτικών στοιχείων». Η ειδικότερη αναφορά σε «επιτρεπτό και νόμιμο της χρήσης από δημόσιες αρχές των σχετικών αποδεικτικών στοιχείων» αποδεικνύει ότι τα δεδομένα εικόνας του καταγγέλλοντος, μαζί με όλα βεβαίως τα λοιπά δεδομένα εικόνας που περιλαμβάνονταν στο σύστημα και αφορούσαν έτερα φυσικά πρόσωπα, διατηρούνταν επ’ αόριστον και ο ΟΛΗ διατηρούσε αμφιβολίες, τόσο για τη νομιμότητα λειτουργίας του συστήματος, όσο και για τη νομιμότητα διατήρησής τους ή μη. Θα πρέπει δε να επισημανθεί, ότι ενώ ο ΟΛΗ ως υπεύθυνος επεξεργασίας, όφειλε από τις 25.5.2018 να έχει συμμορφωθεί προς τις απαιτήσεις του ΓΚΠΔ σε σχέση με τη νόμιμη λειτουργία του συστήματος βιντεοσκόπησης, εν τούτοις, δεκαοκτώ
(18)μήνες αργότερα, στις …, χρόνο απάντησης στον καταγγέλλοντα, βρισκόταν ακόμη σε διαδικασία συμμόρφωσης, κατά ρητή παραδοχή του. 10. Με την από … αίτηση του προς τον ΟΛΗ ο καταγγέλλων άσκησε εκ νέου το δικαίωμα πρόσβασης στα προσωπικά δεδομένα του και επιπλέον ζήτησε τη διατήρηση και μη διαγραφή του επίδικου υλικού, ενώ στις … επανέλαβε τα αιτήματά του σημειώνοντας ότι δεν έλαβε καμία απάντηση. Πράγματι, ο ΟΛΗ ουδόλως ανταποκρίθηκε στα επόμενα, του αρχικού, αιτήματα του καταγγέλλοντος. Ο ΟΛΗ με το από 10-12-2020 μετ’ ακρόαση υπόμνημά του προς την Αρχή υποστήριξε για πρώτη φορά και μόνον έναντι της Αρχής (χωρίς ουδέποτε να ενημερώσει τον καταγγέλλοντα) ότι κατά τον χρόνο της υποβολής του πρώτου αιτήματος πρόσβασης του καταγγέλλοντος στα αιτούμενα προσωπικά δεδομένα είχαν ήδη διαγραφεί δοθέντος ότι σύμφωνα με το σχετικό έγγραφο της εταιρίας που υποστηρίζει τις κάμερες διατηρούνται για έξι
(6)ημέρες, ενώ σύμφωνα με την Οδηγία 1/2011 της Αρχής δεν δύναται να δοθούν στοιχεία μετά την παρέλευση 15 ημερών. 11. Από το σύνολο των ανωτέρω προκύπτει ότι ο ΟΛΗ παραβίασε τις διατάξεις των άρθρων 15 παρ. 1 σε συνδυασμό με άρ. 12 παρ. 1, 2 ΓΚΠΔ. Ειδικότερα, ο ΟΛΗ ως υπεύθυνος επεξεργασίας όφειλε να απαντήσει, έστω και αρνητικά, στο αίτημα του καταγγέλλοντος ως υποκειμένου των δεδομένων σχετικά με το εάν έχει συλλέξει και διατηρεί προσωπικά δεδομένα του (ΣτΕ 2627/2017 και ΑΠΔΠΧ 43/2019). Ο ΟΛΗ αντί να απαντήσει με την από … επιστολή του ότι δεν διαθέτει πλέον τις καταγραφές των δεδομένων εικόνας λόγω διαγραφής τους μετά την παρέλευση του χρονικού διαστήματος των έξι
(6)ημερών κατά το 8 οποίο διατηρούνταν τα προσωπικά δεδομένα στο σύστημα βιντεοσκόπησης, σύμφωνα με όσα υποστήριξε μεταγενέστερα στο υπόμνημά του ενώπιον της Αρχής, εν τέλει απάντησε στον καταγγέλλοντα ότι βρίσκεται σε διαδικασία συμμόρφωσης και ότι είναι διατεθειμένος να συμμορφωθεί σε δικαστική ή εισαγγελική εντολή χορήγησης του υλικού. Εάν ο ΟΛΗ είχε διαγράψει τα δεδομένα εικόνας εντός έξι
(6)ημερών από τη συλλογή και την καταγραφή του υλικού, θα είχε απαντήσει στον καταγγέλλοντα ότι αδυνατούσε αντικειμενικά να ικανοποιήσει το δικαίωμα πρόσβασής του καθώς σύμφωνα με την εσωτερική πολιτική του θα είχαν ήδη διαγραφεί, σύμφωνα και με όσα έγιναν δεκτά ανωτέρω στην υπ’ αρ. 10 σκέψη. Διαπιστώθηκε επομένως ότι όσα ισχυρίσθηκε ο ΟΛΗ το πρώτον στο υπόμνημά του ενώπιον της Αρχής δεν ανταποκρίνονταν στην πραγματικότητα και ότι κατά τον χρόνο υποβολής του πρώτου αιτήματος πρόσβασης στα προσωπικά δεδομένα του καταγγέλλοντος δεν είχε διαγράψει τα προσωπικά δεδομένα του, αλλά αντιθέτως τα διατηρούσε και επομένως χωρίς νόμιμο λόγο δεν απάντησε στον καταγγέλλοντα εάν διατηρεί προσωπικά δεδομένα του, ούτε όμως του παρείχε πρόσβαση σε αυτά, χωρίς να συντρέχει ουδεμία νόμιμη περίπτωση και χωρίς να επικαλεστεί έναντι του καταγγέλλοντος οιονδήποτε νόμιμο λόγο άρνησης ικανοποίησης του δικαιώματος πρόσβασής του. Ομοίως, ο ΟΛΗ ουδόλως ανταποκρίθηκε στα δύο
(2)επόμενα αιτήματα πρόσβασης του καταγγέλλοντος, στα οποία ουδεμία απάντηση του χορήγησε. Επομένως διαπιστώνεται ότι ο ΟΛΗ παραβίασε το δικαίωμα πρόσβασης του καταγγέλλοντος κατ’ άρ. 15 παρ. 1 σε συνδυασμό με άρ. 12 παρ. 1, 2 ΓΚΠΔ και 13 παρ. 1 της Οδηγίας 1/
  2. Θα πρέπει δε να επισημανθεί ότι ενώ ο ΟΛΗ επικαλείται ότι σύμφωνα με το σχετικό έγγραφο της εταιρίας που υποστηρίζει τις κάμερες, τα δεδομένα εικόνας διατηρούνται στο σύστημα για έξι
(6)ημέρες και μετά διαγράφονται, εν τούτοις, ουδέποτε το προσκόμισε ενώπιον της Αρχής, ούτε όμως προσκόμισε σχετική τεκμηρίωση της νομιμότητας λειτουργίας του συστήματος βιντεοεπιτήρησης σε σχέση με τον χρόνο διατήρησης των δεδομένων π.χ. με την προσκόμιση αντίστοιχης Πολιτικής Εγκατάστασης και Λειτουργίας Συστήματος Βιντεοεπιτήρησης ή Πολιτικής Διατήρησης Προσωπικών Δεδομένων κατ’ άρ. 24 ΓΚΠΔ, στο πλαίσιο της τήρησης των αρχών της επεξεργασίας κατ’ άρ. 5 παρ. 1 ΓΚΠΔ (ιδίως της περ. γ’ και ε’), όπως οφείλει κατ’ άρ. 5 παρ. 2 ΓΚΠΔ με βάση την υποχρέωση λογοδοσίας του ως υπευθύνου επεξεργασίας, χωρίς να χρειάζεται να ζητηθεί από την Αρχή (βλ. ΑΠΔ 43/2019 σκ. 6).
  1. Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 58 παρ. 2 του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με τη διαπιστωθείσα 9 παράβαση και ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 του ΓΚΠΔ, τόσο προς αποκατάσταση της συμμόρφωσης, όσο και για την τιμωρία της παράνομης συμπεριφοράς
  3. Περαιτέρω η Αρχή, έλαβε υπόψη τα κριτήρια επιμέτρησης του προστίμου που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ, την παράγραφο 5 εδάφιο β’ για την παραβίαση των δικαιωμάτων των υποκειμένων που προβλέπονται από το ίδιο άρθρο και έχει εφαρμογή στην παρούσα υπόθεση, καθώς και τις Κατευθυντήριες γραμμές για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του Κανονισμού 2016/679 που εκδόθηκαν στις 03-10-2017 από την Ομάδα Εργασίας του άρθρου 29 (WP 253) σε συνδυασμό με τα πραγματικά δεδομένα της εξεταζόμενης υπόθεσης και ιδίως: i. Το γεγονός ότι ο ΟΛΗ δεν ικανοποίησε το δικαίωμα πρόσβασης του καταγγέλλοντος ενώ διατηρούσε εν γνώσει του στο σύστημα τα αιτούμενα δεδομένα εικόνας. ii. Το γεγονός ότι ο ΟΛΗ επικαλέσθηκε το πρώτον και μόνον ενώπιον της Αρχής ότι κατά τον χρόνο υποβολής του αιτήματος πρόσβασης είχε διαγράψει τα δεδομένα εικόνας του καταγγέλλοντος ενώ διαπιστώθηκε ότι τα διατηρούσε και δεν τα είχε διαγράψει. iii. Το γεγονός ότι ενώ ο ΟΛΗ ως υπεύθυνος επεξεργασίας, όφειλε από τις 25.5.2018 να έχει συμμορφωθεί προς τις απαιτήσεις του ΓΚΠΔ σε σχέση με τη νόμιμη λειτουργία του συστήματος βιντεοσκόπησης, εν τούτοις, δεκαοκτώ
(18)μήνες αργότερα, στις …, χρόνο απάντησης στον καταγγέλλοντα, βρισκόταν ακόμη σε διαδικασία συμμόρφωσης, κατά ρητή παραδοχή του. iv. Το γεγονός ότι ενώ ο καταγγέλλων μετά το αρχικό αίτημα για την άσκηση του δικαιώματος πρόσβασης επανήλθε άλλες δυο φορές εκ νέου με συμπληρωματικό αίτημα πρόσβασης και διατήρησης – μη διαγραφής των δεδομένων, εν τούτοις ο ΟΛΗ ουδέποτε απάντησε, έστω και αρνητικά. v. Το γεγονός ότι η μη ικανοποίηση του δικαιώματος πρόσβασης εν προκειμένω έθιξε ένα
(1)φυσικό πρόσωπο ως υποκείμενο των προσωπικών δεδομένων. 7 Βλ. ΟΕ 29, Κατευθυντήριες γραμμές και την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του κανονισμού 2016/679 WP253, σελ. 6 10 vi. Το γεγονός ότι η παραβίαση του δικαιώματος πρόσβασης δεν αφορούσε δεδομένα προσωπικού χαρακτήρα των άρθρων 9 και 10 ΓΚΠΔ, σύμφωνα με τα στοιχεία που τέθηκαν υπόψη της Αρχής. vii. Το γεγονός ότι η παραβίαση του δικαιώματος πρόσβασης αποδίδεται σε συνειδητή επιλογή του ΟΛΗ καθώς ενώ τα δεδομένα εικόνας του καταγγέλλοντος διατηρούνταν εν γνώσει του στα συστήματα του, αφενός επέλεξε να μην ικανοποιήσει το δικαίωμα πρόσβασης, αφετέρου, επικαλέστηκε ενώπιον της Αρχής με το μετ’ ακρόαση υπόμνημα του ότι τα εν λόγω δεδομένα είχαν διαγραφεί κατά τον χρόνο άσκησης του δικαιώματος πρόσβασης, ενώ δεν είχαν διαγραφεί και διατηρούνταν στο σύστημα της. viii. Το γεγονός ότι η παράβαση των διατάξεων σχετικά με την παραβίαση των δικαιωμάτων των υποκειμένων υπάγονται, σύμφωνα με τις διατάξεις του άρθρου 83 παρ. 5 εδ. β’ ΓΚΠΔ, στην ανώτερη προβλεπόμενη κατηγορία του συστήματος διαβάθμισης διοικητικών προστίμων. ix. Την απουσία συνεργασίας του ΟΛΗ με την Αρχή καθώς, αφενός, δεν απάντησε στο αρχικό έγγραφο της Αρχής, αφετέρου, με το μετ’ ακρόαση υπόμνημα του παρουσίασε για πρώτη φορά ως λόγο άρνησης της ικανοποίησης του δικαιώματος πρόσβασης του καταγγέλλοντος τη δήθεν διαγραφή των προσωπικών δεδομένων κατά τον χρόνο άσκησης του δικαιώματος, ενώ στην πραγματικότητα τα δεδομένα εικόνας δεν είχαν διαγραφεί και διατηρούνταν εν γνώσει στο σύστημα του. x. Την απουσία προηγούμενων διαπιστωμένων παραβάσεων της καταγγελλόμενης καθώς από σχετικό έλεγχο προκύπτει ότι δεν της έχει επιβληθεί μέχρι σήμερα διοικητική κύρωση από την Αρχή. xi. Το γεγονός ότι από τα στοιχεία που τέθηκαν υπόψη της Αρχής και με βάση τα οποία διαπίστωσε την παραβίαση του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας δεν αποκόμισε οικονομικό όφελος, ούτε προκάλεσε υλική ζημία στον καταγγέλλοντα. xii. Το γεγονός ότι σύμφωνα με τις δημοσιευμένες χρηματοοικονομικές καταστάσεις της εταιρίας για τη χρήση από 01-01-2020 έως 31-12-2020 ο κύκλος εργασιών του ΟΛΗ ανήλθε στο ποσό των 4.585.382 ευρώ. Βάσει των ανωτέρω, η Αρχή κρίνει ομόφωνα ότι πρέπει να επιβληθεί στον ΟΛΗ Α.Ε. ως υπεύθυνο επεξεργασίας, η αναφερόμενη στο διατακτικό διοικητική κύρωση, η οποία 11 κρίνεται ανάλογη με τη βαρύτητα της παραβάσεως. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η ΑΡΧΗ Επιβάλλει στον Οργανισμό Λιμένος Ηρακλείου Α.Ε. το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αρμόζει στη συγκεκριμένη περίπτωση, σύμφωνα με τις ειδικότερες περιστάσεις αυτής, ύψους τριάντα χιλιάδων (30.000,00) ευρώ για τις ως άνω διαπιστωθείσες παραβιάσεις των άρθρων 15 παρ. 1 συνδ. 12 παρ. 1, 2 ΓΚΠΔ και 13 παρ. 1 της Οδηγίας 1/2011 και σύμφωνα με τα άρθρα 58 παρ. 2 στοιχ. θ’ και 83 παρ. 5 στοιχ. β’ ΓΚΠΔ. Ο Αναπληρωτής Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 12

🔗 Στην επίσημη πηγή

Επεξήγηση AI βάσει του επίσημου κειμένου του νόμου. Ενδεικτική, δεν υποκαθιστά νομική συμβουλή.