Αθήνα, 24-06-2025 Αριθ. Πρωτ.: 2238 ΑΠΟΦΑΣΗ 31/2025 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε μετά από πρόσκληση του Προέδρου της σε συνεδρίαση την Τρίτη 03-06-2025 και ώρα 08:30 π.μ., προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος, τα τακτικά μέλη Σπυρίδων Βλαχόπουλος, Κωνσταντίνος Λαμπρινουδάκης, Χαράλαμπος Ανθόπουλος, Χρήστος Καλλονιάτης, Αικατερίνη Ηλιάδου ως εισηγήτρια και Γρηγόριος Τσόλιας. Παρόντες χωρίς δικαίωμα ψήφου ήταν η Καλλιόπη Καρβέλη, ειδική επιστήμονας νομικής και ο Παντελής Καμμάς, ειδικός επιστήμονας πληροφορικής, ως βοηθοί εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. H Αρχή έλαβε υπόψη τα παρακάτω: Υποβλήθηκε ενώπιον της Αρχής η υπ’ αριθ. πρωτ. Γ/ΕΙΣ/7983/15-10-2024 καταγγελία, της A και του B (εφεξής «καταγγέλλοντες»), κατά του Σωματείου για άτομα με διαταραχές αυτιστικού φάσματος «Η ΑΣΠΙΔΑ ΤΟΥ ΔΑΥΪΔ» (εφεξής «καταγγελλόμενο Σωματείο»). Η ανωτέρω καταγγελία υποβλήθηκε, κατόπιν εξουσιοδότησης των καταγγελλόντων, μέσω της Αστικής Επαγγελματικής Δικηγορικής Εταιρείας με την επωνυμία «ΟΙΚΟΝΟΜΑΚΗΣ ΧΡΗΣΤΟΣ ΔΙΚΗΓΟΡΙΚΗ ΕΤΑΙΡΕΙΑ». Σύμφωνα με την καταγγελία, το καταγγελλόμενο Σωματείο δεν ικανοποίησε το δικαίωμα πρόσβασης το οποίο άσκησαν με εξώδικη επιστολή οι καταγγέλλοντες, ως ασκούντες την γονική μέριμνα του ανήλικου τέκνου τους (άρθ. 128 και 1510 ΑΚ). Το ανωτέρω δικαίωμα ασκήθηκε στις … και είχε ως αντικείμενο την παράδοση βιντεοληπτικού υλικού για συγκεκριμένες ημερομηνίες από το κλειστό κύκλωμα καμερών το οποίο είναι εγκατεστημένο και λειτουργεί στις εγκαταστάσεις του Σωματείου και Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr συγκεκριμένα από τους χώρους όπου βρισκόταν το ανήλικο τέκνο τους, με σκοπό να διαπιστώσουν πως προκλήθηκαν, εντός των εγκαταστάσεων του Σωματείου, σημάδια από αμυχές και χτυπήματα στο κεφάλι και τα χέρια του τέκνου τους. Στην συνέχεια, η Αρχή με το υπ’ αριθ. πρωτ. Γ/ΕΞΕ/2931/25-10-2024 έγγραφο, ζήτησε από το καταγγελλόμενο Σωματείο να εκθέσει τις απόψεις του σχετικά με την καταγγελία και τον ενημέρωσε ότι ως υπεύθυνος επεξεργασίας οφείλει να ικανοποιεί χωρίς καθυστέρηση τα δικαιώματα του υποκειμένου των δεδομένων και το αργότερο σε ένα μήνα από την υποβολή του αιτήματος, καθώς και να φροντίσει ώστε να μην διαγραφεί το τμήμα εγγραφής εικόνας το οποίο ζήτησαν οι καταγγέλλοντες από τον σκληρό δίσκο του καταγραφικού τους συστήματος. Το καταγγελλόμενο Σωματείο, μέσω της εκπροσώπου του Γ , απάντησε με το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/8439/04-11-2024 έγγραφο στο οποίο αναφέρεται ότι οι καταγραφές διαγράφονται αυτόματα από το σύστημα μετά από 48 ώρες. Περαιτέρω, αναφέρεται ότι ο εν λόγω ωφελούμενος έχει επιθετική και αυτοτραυματική συμπεριφορά και για την αποκοπή τμημάτων καταγραφών της συμπεριφοράς του αντιμετωπίζουν «την άρνηση των εμπλεκόμενων εργαζομένων στο να επιτρέψουν την αποκοπή των τμημάτων αυτών, διότι εμφανίζονται και αυτοί». Στην συνέχεια, οι καταγγέλλοντες υπέβαλαν στην Αρχή τα υπ’ αριθ. πρωτ. Γ/ΕΙΣ/8682/12-11-2024 και Γ/ΕΙΣ/8683/12-11-2024 συμπληρωματικά έγγραφα, στα οποία αναφέρεται, μεταξύ άλλων, ότι το καταγγελλόμενο Σωματείο διαβίβασε στην εταιρεία «ΒΑΛΚΑΝΙΚΗ ΕΠΕ» ευαίσθητα προσωπικά δεδομένα του ανηλίκου τέκνου τους, χωρίς την προηγούμενη ενημέρωση και συναίνεση των γονέων. Συγκεκριμένα, διαβίβασαν πληροφορίες σχετικά με το πρόγραμμα παρέμβασης που ακολουθούσε το ανήλικο τέκνο τους, γνωμάτευση του Κέντρου Διαφοροδιάγνωσης, Διάγνωσης & Υποστήριξης Υ και το πλήρες κοινωνικό ιστορικό που λήφθηκε κατά την είσοδο του τέκνου τους στο θεραπευτικό πρόγραμμα, με σκοπό την εξωτερική αξιολόγηση του υφιστάμενου προγράμματος παρέμβασης καθώς και να διερευνηθούν σημεία βελτίωσης αναφορικά με την λειτουργικότητα του μαθητή. Η Αρχή, με τα υπ’ αριθ. πρωτ. Γ/ΕΞΕ/3220/19-11-2024 και Γ/ΕΞΕ/3395/03-12-2024 έγγραφα, ενημέρωσε το καταγγελλόμενο Σωματείο ότι εφόσον δεν έχει ικανοποιηθεί το δικαίωμα πρόσβασης, το οποίο άσκησαν νόμιμα οι γονείς του υποκειμένου των δεδομένων, με επίκληση την άρνηση των εμπλεκομένων προσώπων στην χορήγηση των τμημάτων 2 καταγραφής, θα πρέπει ως υπεύθυνος επεξεργασίας να αποδείξει ότι στην συγκεκριμένη περίπτωση θα επηρεαστούν πράγματι τα δικαιώματα ή οι ελευθερίες των εμπλεκόμενων εργαζομένων. Διαφορετικά, θα πρέπει να ικανοποιήσει το δικαίωμα πρόσβασης παραδίδοντας στους αιτούντες ακριβή αντίγραφα των τμημάτων καταγραφής, είτε τμήματα κατόπιν επεξεργασίας μέσω κατάλληλων τεχνικών μέτρων, π.χ. θόλωσης των εμπλεκομένων υπαλλήλων, αφού προηγουμένως έχει σταθμίσει τα δικαιώματα και τις ελευθερίες τους. Επίσης, κάλεσε το καταγγελλόμενο Σωματείο να γνωστοποιήσει στην Αρχή για ποιον λόγο διαβιβάστηκαν προσωπικά δεδομένα του ανήλικου τέκνου στην εταιρεία «ΒΑΛΚΑΝΙΚΗ ΕΠΕ», με ποια νομική βάση πραγματοποιήθηκε η εν λόγω διαβίβαση και τέλος εάν προηγουμένως ενημερώθηκαν οι καταγγέλλοντες σχετικώς. Στην υπ’ αριθ. πρωτ. Γ/ΕΙΣ/9353/03-12-2024 απάντηση του καταγγελλόμενου Σωματείου, αναφέρεται ότι στο ιδιωτικό συμφωνητικό το οποίο υπογράφεται από τους γονείς καθώς και από τους θεραπευτές που απασχολούνται στον φορέα, αναγράφεται ότι είναι δυνατή η αποκοπή και παράδοση τμημάτων καταγραφής εικόνων σε ενδιαφερόμενα μέλη οικογενειών, όταν οι αιτούμενες αποκοπές αφορούν α) θεραπευτικές παρεμβάσεις στον ωφελούμενο, β) λόγους επιστημονικούς και γ) νομικούς λόγους που αποδεικνύουν την επιτυχία της εφαρμοζόμενης επιστήμης στους ωφελούμενους. Τέλος, ζητούσε τις προτάσεις της Αρχής για την διαχείριση του συγκεκριμένου ζητήματος. Όμως, στην ανωτέρω απάντηση το καταγγελλόμενο σωματείο δεν παρέχει στοιχεία, όπως όφειλε ως υπεύθυνος επεξεργασίας, με τα οποία να αποδεικνύεται ότι με την χορήγηση του βιντεοσκοπικού υλικού επηρεάζονται δυσμενώς τα δικαιώματα ή οι ελευθερίες των εμπλεκόμενων εργαζομένων. Για τον λόγο αυτό, η Αρχή με το υπ’ αριθ. πρωτ. Γ/ΕΞΕ/3465/05-12-2024 έγγραφο ενημέρωσε το καταγγελλόμενο Σωματείο ότι οφείλει να επανεξετάσει την άμεση ικανοποίηση του δικαιώματος πρόσβασης των καταγγελλόντων. Στην συνέχεια, το καταγγελλόμενο Σωματείο με το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/9614/11-122024 έγγραφο, ενημέρωσε την Αρχή ότι η άρνηση των εργαζομένων για την παράδοση τμημάτων καταγραφής εικόνας είναι απαραβίαστη και, κατά την άποψή τους, απόλυτα τεκμηριωμένη, επισυνάπτοντας αντίγραφο της φωτογραφίας αναχώρησης του ωφελούμενου στις …, στην οποία φαίνεται ότι το μέτωπό του είναι καθαρό, και μήνυμα ηλεκτρονικού ταχυδρομείου (email), με το οποίο το Σωματείο ενημερώνει τους καταγγέλλοντες ότι οφείλουν να εξετάζουν προσεχτικά το παιδί πριν το παραλάβουν και να ενημερώνουν άμεσα εάν υπάρχει ελάχιστο σημάδι. 3 Όσον αφορά το ζήτημα της διαβίβασης ευαίσθητων προσωπικών δεδομένων, κατόπιν του υπ’ αριθ. πρωτ. Γ/ΕΞΕ/236/17-01-2025 εγγράφου υπόμνησης της Αρχής, το καταγγελλόμενο Σωματείο με το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/443/17-01-2025 έγγραφο απάντησε ότι δεν γνωρίζουν οτιδήποτε και να απευθυνθεί η Αρχή στην Βαλκανική ΕΠΕ. Στις …, οι καταγγέλλοντες υπέβαλαν στην Αρχή την υπ’ αριθ. πρωτ. Γ/ΕΙΣ/819/29-012025 συμπληρωματική αναφορά, στην οποία αναφέρεται ότι ο καταγγελλόμενος φορέας προσκόμισε κατά την εκδίκαση ασφαλιστικών μέτρων στο Μονομελές Πρωτοδικείο Υ, αποθηκευμένο βιντεοληπτικό υλικό από ημερομηνίες προγενέστερες των ημερομηνιών για τις οποίες ασκήθηκε το δικαίωμα πρόσβασης. Μέρος του εν λόγω υλικού, έχει ληφθεί από το εσωτερικό κλειστό κύκλωμα καμερών το οποίο είναι εγκατεστημένο και λειτουργεί στους χώρους του φορέα, ενώ κάποιο υλικό έχει ληφθεί από συσκευή κινητού τηλεφώνου δίχως προηγούμενη ενημέρωση και συγκατάθεση των γονέων. Στις … το καταγγελλόμενο Σωματείο με το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/908/31-01-2025 έγγραφο ενημέρωσε την Αρχή ότι ο πατέρας του ωφελούμενου δήλωσε προφορικά ότι ήταν η τελευταία μέρα του τέκνου του στα Προγράμματα του Φορέα. Τέλος, με τα υπ’ αριθ. πρωτ. Γ/ΕΙΣ/1304/13-02-2025 και Γ/ΕΙΣ/1306/13-02-2025 έγγραφα, οι καταγγέλλοντες και ο καταγγελλόμενος φορέας, αντιστοίχως, ενημέρωσαν την Αρχή για την απόφαση του Μονομελούς Πρωτοδικείου Υ (Ασφαλιστικά Μέτρα), σύμφωνα με την οποία ο καταγγελλόμενος φορέας, ως νομικό πρόσωπο ιδιωτικού δικαίου, δεν είναι υποχρεωμένος να δεχτεί το ανήλικο τέκνο των καταγγελλόντων. Στη συνέχεια, ο καταγγελλόμενος φορέας κοινοποίησε την ανωτέρω Απόφαση σε πληθώρα παραληπτών, στους οποίους αναφέρει ότι ο λόγος κοινοποίησης της Απόφασης είναι ότι διευκρινίζεται το δικαίωμα του κάθε Φορέα Ψυχικής Υγείας να κρίνει την υποχρεωτική ανάγκη απομάκρυνσης ωφελούμενου. Σε συνέχεια των ανωτέρω, η Αρχή κάλεσε με τις υπ’ αριθ. πρωτ. Γ/ΕΞΕ/1062/26-03-2025 και Γ/ΕΞΕ/1061/26-03-2025 κλήσεις το καταγγελλόμενο Σωματείο και τους καταγγέλλοντες (κοινοποιώντας τους τα συμπληρωματικά έγγραφα που είχαν υποβληθεί και δεν ήταν ήδη σε γνώση τους), να παραστούν στη συνεδρίαση της Ολομέλειας της Αρχής στις …, προκειμένου να εκθέσουν τις απόψεις τους για την υπόθεση. Στην εν λόγω συνεδρίαση παρουσιάστηκε η Α, ενώ ο καταγγελλόμενος φορέας, κατά την ημέρα της συνεδρίασης και μόλις λίγο πριν την έναρξη αυτής, υπέβαλε μέσω της εκπροσώπου του Γ τα υπ’ αριθ. πρωτ. Γ/ΕΙΣ/2887/07-04-2025 και Γ/ΕΙΣ/2913/08-04-2025 συμπληρωματικά έγγραφα στα οποία δηλώνει ότι δεν δύναται να παραστεί και ζητάει 4 αναβολή για νέα συνεδρίαση. Επίσης, αναφέρεται ότι δεν υπάρχει διαθέσιμο το ζητούμενο καταγεγραμμένο υλικό διότι οι καταγραφές διαγράφονται αυτόματα μετά από σαρανταοκτώ
(48)ώρες, καθώς επίσης οι καταγγέλλοντες επιθυμούν να δημιουργήσουν προβλήματα στους εργαζόμενους του φορέα. Επιπλέον, επισυνάπτεται φωτογραφία του ωφελούμενου στις …, στην οποία διακρίνεται ότι δεν υπάρχει τραυματισμός στο μέτωπό του όπως ισχυρίζονται οι γονείς του. Τέλος, σχετικά με το θέμα της διαβίβασης προσωπικών δεδομένων στην εταιρεία Βαλκανική, αναφέρεται ότι δεν γνωρίζουν αν υφίσταται σχέση του Δ, ο οποίος έχει διατελέσει Επιστημονικά Υπεύθυνος του φορέα με την εν λόγω εταιρεία, η οποία είναι η μοναδική εταιρεία στην Ελλάδα που προμηθεύει τους δημόσιους και ιδιωτικούς φορείς με Ηλεκτρονική Υποστηρικτική Τεχνολογία για ΑμεΑ. Σε συνέχεια των ανωτέρω, η Αρχή κάλεσε εκ νέου με τις υπ’ αριθ. πρωτ. Γ/ΕΞΕ/1233/0804-2025 και Γ/ΕΞΕ/1232/08-04-2025 κλήσεις το καταγγελλόμενο Σωματείο και τους καταγγέλλοντες (κοινοποιώντας τα υπ’ αριθ. πρωτ. Γ/ΕΙΣ/2887/07-04-2025 και Γ/ΕΙΣ/2913/08-04-2025 συμπληρωματικά έγγραφα που είχαν υποβληθεί και δεν ήταν ήδη σε γνώση τους), να παραστούν στη συνεδρίαση της Ολομέλειας της Αρχής στις …, προκειμένου να εκθέσουν τις απόψεις τους για την υπόθεση. Στην ανωτέρω συνεδρίαση, δεν παρουσιάστηκε εκπρόσωπος από τον καταγγελλόμενο φορέα, ο οποίος με τα υπ’ αριθ. πρωτ. Γ/ΕΙΣ/3513/28-04-2025 και Γ/ΕΙΣ/3526/28-04-2025 έγγραφα ενημέρωσε την Αρχή ότι η Υπεύθυνη Προστασίας Δεδομένων του φορέα Γ δεν δύναται να παραστεί, καθώς επίσης ότι με το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/2913/08-04-2025 υπόμνημα θεωρούν ότι έχουν απαντήσει ολοκληρωμένα και με σαφήνεια σε όλα τα ερωτήματα τα οποία ετέθησαν από την Αρχή. Αντιθέτως, η Α καθώς και η πληρεξούσια δικηγόρος της Αιμιλία Καλυβιανάκη (Α.Μ.Δ.Σ.Θ ….) παρέστησαν στην συνεδρίαση και επανέλαβαν τις θέσεις τις οποίες έχουν προβάλει με την ανωτέρω καταγγελία και τα συμπληρωματικά έγγραφα. Μετά τη συνεδρίαση, οι καταγγέλλοντες υπέβαλαν, εντός της ταχθείσας προθεσμίας, το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/3910/08-05-2025 υπόμνημα, στο οποίο αναφέρουν τα εξής: α) οι καταγγέλλοντες απέστειλαν το αρχικό αίτημα στο φορέα για χορήγηση βιντεοληπτικού υλικού στις … μέσω εξώδικης δήλωσης – πρόσκλησης και ουδέποτε έλαβαν απάντηση, β) το τελευταίο συμβάν για το οποίο οι ανωτέρω αιτήθηκαν βιντεοληπτικό υλικό έλαβε χώρα στις …, ήτοι σε χρονικό διάστημα μικρότερο των 48 ωρών, το οποίο, σύμφωνα με τους 5 ισχυρισμούς του καταγγελλόμενου φορέα, είναι το χρονικό διάστημα κατά το οποίο διατηρούνται τα δεδομένα και στην συνέχεια διαγράφονται αυτόματα, γ) αναφορικά με την διαβίβαση των ευαίσθητων προσωπικών δεδομένων του τέκνου στην «Βαλκανική ΕΠΕ», δεν υπέγραψαν έντυπο ενημέρωσης και συναίνεσης καθώς επίσης ουδέποτε έλαβαν ενημέρωση για την εν λόγω διαβίβαση. Περαιτέρω, μετά από έρευνα στο διαδίκτυο, διαπίστωσαν ότι η ανωτέρω εταιρεία συνδέεται με πρώην μέλος του φορέα ο οποίος, ενώ είχε υπογράψει γνωματεύσεις για τους γονείς και το ανήλικο τέκνο, ουδέποτε είχε οποιαδήποτε επικοινωνία ή συνεργασία μαζί τους, δ) κατά την εκδίκαση ασφαλιστικών μέτρων ενώπιων του Μονομελούς Πρωτοδικείου Υ στις …, προσκομίστηκε από τον καταγγελλόμενο φορέα ψηφιακό μέσο αποθήκευσης (USB stick) το οποίο περιείχε υλικό από τις κάμερες για τα χρονικά διαστήματα τα οποία οι ανωτέρω είχαν αιτηθεί, και ο φορέας ισχυρίζεται ότι έχουν διαγραφεί. Επίσης, προσκομίστηκε πληθώρα φωτογραφιών καθώς και βιντεοληπτικό υλικό καταγεγραμμένο από φορητή κάμερα, ενδεχομένως από συσκευή κινητού τηλεφώνου, αγνώστου κατόχου. Συνεπώς, διαπιστώνεται πως υπήρχε διαθέσιμο και αρχειοθετημένο βιντεοληπτικό υλικό από τον φορέα, κοντά σε ημερομηνίες που είχαν ζητήσει, ε) στις … ενημερώθηκαν οι καταγγέλλοντες τηλεφωνικώς από το Ειδικό Δημοτικό Σχολείο Φ ότι κάποια εταιρεία ζήτησε ενημέρωση για το Εξατομικευμένο Πρόγραμμα Εκπαίδευσης του τέκνου της, ως μαθητή στο εν λόγω σχολείο. Στην συνέχεια οι καταγγέλλοντες διαπίστωσαν ότι ο καταγγελλόμενος φορέας είχε κοινοποιήσει στην εταιρεία την γνωμάτευση του Κέντρου Διαφοροδιάγνωσης, Διάγνωσης και Υποστήριξης Υ, καθώς επίσης είχε χορηγήσει το πλήρες ιστορικό που έλαβε ο φορέας κατά την είσοδο του τέκνου στο θεραπευτικό πρόγραμμα. Η Αρχή, μετά από εξέταση όλων των στοιχείων του φακέλου και των διαμειφθέντων στην από … συνεδρίαση, αφού άκουσε την εισηγήτρια και τις διευκρινίσεις από τους βοηθούς εισηγητή, οι οποίοι παρέστησαν χωρίς δικαίωμα ψήφου μετά από διεξοδική συζήτηση ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
- Η εγκατάσταση και λειτουργία συστημάτων βιντεοεπιτήρησης, μονίμως εγκατεστημένων σε ένα χώρο, τα οποία έχουν τη δυνατότητα λήψης ή/και μετάδοσης εικόνας ή και ήχου προς 6 οθόνες προβολής ή μηχανήματα καταγραφής1 δια της συλλογής, διατήρησης, αποθήκευσης, πρόσβασης και διαβίβασης δεδομένων προσωπικού χαρακτήρα, συνιστούν ως επιμέρους πράξεις επεξεργασίας, επέμβαση στα ατομικά δικαιώματα του σεβασμού της ιδιωτικής ζωής κατ’ άρθ. 9 Σ., 7 ΧΘΔΕΕ και 8 ΕΣΔΑ καθώς και της προστασίας των δεδομένων προσωπικού χαρακτήρα κατ’ άρθ. 9Α Σ., 8 ΕΣΔΑ και 8 ΧΘΔΕΕ , όπως έκρινε η Αρχή με την υπ’ αριθ. 3/2020 Γνωμοδότησή της
- Η εγκατάσταση και λειτουργία του σχετικού συστήματος βιντεοεπιτήρησης είναι νόμιμη, εφόσον, κατ’ αρχάς, πληρούνται σωρευτικά οι προϋποθέσεις των άρθρων 5 (γενικές αρχές) και 6 (νόμιμη βάση) ΓΚΠΔ. Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (εφεξής, ΕΣΠΔ) εξέδωσε τις κατευθυντήριες γραμμές 3/20193 σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα, μέσω συσκευών λήψης βίντεο. Το κείμενο αυτό παρέχει αναλυτική καθοδήγηση για την εφαρμογή του ΓΚΠΔ σε σχέση με τη χρήση καμερών για διαφόρους σκοπούς. Περαιτέρω, οι διατάξεις της Οδηγίας 1/2011 της Αρχής σχετικά με το ζήτημα της χρήσης συστημάτων βιντεοεπιτήρησης για το σκοπό της προστασίας προσώπων και αγαθών πρέπει να λαμβάνονται υπόψη σε συνδυασμό με τις ανωτέρω διατάξεις του ΓΚΠΔ. Εξάλλου, η συμμόρφωση προς τις ανωτέρω προϋποθέσεις πρέπει να λαμβάνει χώρα σε χρόνο προ της εγκατάστασης και λειτουργίας του συστήματος, τη συναφή δε υποχρέωση απόδειξης της νομιμότητας φέρει ο υπεύθυνος επεξεργασίας κατ’ εφαρμογή της αρχής της λογοδοσίας (βλ. και Απόφαση 43/2019 της Αρχής).
- Σύμφωνα με το σημείο 1α του άρθρου 5 του ΓΚΠΔ, «τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»)».
- Σύμφωνα με το σημείο γ της παραγράφου 1 του άρθρου 5 του ΓΚΠΔ, «τα δεδομένα προσωπικού χαρακτήρα είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων»).
- Σύμφωνα με την παράγραφο 2 του άρθρου 5 του ΓΚΠΔ, «Ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 («λογοδοσία»).» 1 2 https://www.dpa.gr/el/enimerwtiko/thematikes_enotites/eisagwgi_videoepitirisi Διαθέσιμη σε https://www.dpa.gr/sites/default/files/2023-01/60_2022%20anonym.pdf 3 Βλ. Κατευθυντήριες Γραμμές υπ’ αρ. 3/2019 ΕΣΠΔ on processing of personal data through video devices σελ.
- 7
- Σύμφωνα με το άρθρο 15 παρ. 1 και 3 ΓΚΠΔ : «
- Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και στις ακόλουθες πληροφορίες: α) τους σκοπούς της επεξεργασίας, β) τις σχετικές κατηγορίες δεδομένων προσωπικού χαρακτήρα, γ) τους αποδέκτες ή τις κατηγορίες αποδεκτών στους οποίους κοινολογήθηκαν ή πρόκειται να κοινολογηθούν τα δεδομένα προσωπικού χαρακτήρα, ιδίως τους αποδέκτες σε τρίτες χώρες ή διεθνείς οργανισμούς, δ) εάν είναι δυνατόν, το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα προσωπικού χαρακτήρα ή, όταν αυτό είναι αδύνατο, τα κριτήρια που καθορίζουν το εν λόγω διάστημα, ε) την ύπαρξη δικαιώματος υποβολής αιτήματος στον υπεύθυνο επεξεργασίας για διόρθωση ή διαγραφή δεδομένων προσωπικού χαρακτήρα ή περιορισμό της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που αφορά το υποκείμενο των δεδομένων ή δικαιώματος αντίταξης στην εν λόγω επεξεργασία, στ) το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή, ζ) όταν τα δεδομένα προσωπικού χαρακτήρα δεν συλλέγονται από το υποκείμενο των δεδομένων, κάθε διαθέσιμη πληροφορία σχετικά με την προέλευσή τους, η) την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που προβλέπεται στο άρθρο 22 παράγραφοι 1 και 4 και, τουλάχιστον στις περιπτώσεις αυτές, σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων.» και «
- Ο υπεύθυνος επεξεργασίας παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία. Για επιπλέον αντίγραφα που ενδέχεται να ζητηθούν από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας μπορεί να επιβάλει την καταβολή εύλογου τέλους για διοικητικά έξοδα. Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα και εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό, η ενημέρωση παρέχεται σε ηλεκτρονική μορφή που χρησιμοποιείται συνήθως.»
- Σύμφωνα με το άρθρο 15 παρ. 4 του ΓΚΠΔ, το δικαίωμα να λαμβάνεται αντίγραφο δεδομένων προσωπικού χαρακτήρα δεν επηρεάζει δυσμενώς τα δικαιώματα και τις ελευθερίες άλλων.
- Σύμφωνα με το άρθρο 12 παρ. 3 και 4 ΓΚΠΔ : «
- Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν 8 αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. Η εν λόγω προθεσμία μπορεί να παραταθεί κατά δύο ακόμη μήνες, εφόσον απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας του αιτήματος και του αριθμού των αιτημάτων. Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για την εν λόγω παράταση εντός μηνός από την παραλαβή του αιτήματος, καθώς και για τους λόγους της καθυστέρησης. Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα, η ενημέρωση παρέχεται, εάν είναι δυνατόν, με ηλεκτρονικά μέσα, εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό.
- Εάν ο υπεύθυνος επεξεργασίας δεν ενεργήσει επί του αιτήματος του υποκειμένου των δεδομένων, ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων, χωρίς καθυστέρηση και το αργότερο εντός μηνός από την παραλαβή του αιτήματος, για τους λόγους για τους οποίους δεν ενήργησε και για τη δυνατότητα υποβολής καταγγελίας σε εποπτική αρχή και άσκησης δικαστικής προσφυγής.»
- Στο σημείο 173 των κατευθυντήριων γραμμών 01/2022 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων σχετικά με τα δικαιώματα των υποκειμένων των δεδομένων – Δικαίωμα πρόσβασης4, αναφέρεται ότι τα συμφέροντα όλων των συμμετεχόντων πρέπει να σταθμίζονται λαμβανομένων υπόψη των ειδικών περιστάσεων της περίπτωσης και ιδίως της πιθανότητας και της σοβαρότητας των κινδύνων που ενέχει η κοινοποίηση των δεδομένων. Ο υπεύθυνος επεξεργασίας θα πρέπει να προσπαθήσει να συμβιβάσει τα συγκρουόμενα δικαιώματα, για τον μετριασμό του κινδύνου για τα δικαιώματα και τις ελευθερίες άλλων. Όπως αναφέρεται στην αιτιολογική σκέψη 63 του ΓΚΠΔ, «... Το δικαίωμα αυτό δεν θα πρέπει να επηρεάζει αρνητικά τα δικαιώματα ή τις ελευθερίες άλλων, όπως το επαγγελματικό απόρρητο…Ωστόσο, οι παράγοντες αυτοί δεν θα πρέπει να έχουν ως αποτέλεσμα την άρνηση παροχής πληροφορίας στο υποκείμενο των δεδομένων…». Επίσης σύμφωνα με το άρθρο 15 παρ. 4 του ΓΚΠΔ, το δικαίωμα να λαμβάνεται αντίγραφο δεδομένων προσωπικού χαρακτήρα δεν επηρεάζει δυσμενώς τα δικαιώματα και τις ελευθερίες άλλων. Αυτό σημαίνει, για παράδειγμα, όταν εφαρμόζεται ο περιορισμός, ότι οι πληροφορίες που αφορούν άλλους πρέπει να καθίστανται δυσανάγνωστες στο μέτρο του δυνατού αντί να υπάρχει άρνηση παροχής αντιγράφου των δεδομένων προσωπικού χαρακτήρα. Ωστόσο, εάν είναι αδύνατον 4 https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012022-data-subject-rightsright-access_el 9 να βρεθεί λύση για τον συμβιβασμό των σχετικών δικαιωμάτων, ο υπεύθυνος επεξεργασίας πρέπει να αποφασίζει ποια από τα συγκρουόμενα δικαιώματα και ελευθερίες υπερισχύουν.
- Σύμφωνα με το σημείο 172 των κατευθυντήριων γραμμών 01/2022 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων, η γενική ανησυχία ότι τα δικαιώματα και οι ελευθερίες άλλων ενδέχεται να θιγούν από την ανταπόκριση στο αίτημα πρόσβασης δεν αρκεί για να γίνει επίκληση του άρθρου 15 παρ. 4 του ΓΚΠΔ. Ο υπεύθυνος επεξεργασίας πρέπει να μπορεί να αποδείξει ότι, στη συγκεκριμένη περίπτωση, θα επηρεαστούν πράγματι τα δικαιώματα ή οι ελευθερίες άλλων.
- Περαιτέρω σύμφωνα με τις διατάξεις των άρθρων 13 παρ. 1 στοιχ. ε’ και 24 του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας οφείλει να ενημερώνει το υποκείμενο των δεδομένων για τυχόν αποδέκτες ή τις κατηγορίες αποδεκτών στους οποίους κοινολογήθηκαν ή πρόκειται να κοινολογηθούν τα δεδομένα προσωπικού χαρακτήρα, καθώς και να εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζει και να μπορεί να αποδεικνύει ότι η επεξεργασία διενεργείται σύμφωνα με τον ΓΚΠΔ.
- Ακόμη, σύμφωνα με το άρθρο 31 ΓΚΠΔ, ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία και, κατά περίπτωση, οι εκπρόσωποί τους συνεργάζονται, κατόπιν αιτήματος, με την εποπτική αρχή για την άσκηση των καθηκόντων της.
- Σε περίπτωση επεξεργασίας δεδομένων προσωπικού χαρακτήρα η οποία τελείται κατά παράβαση των διατάξεων του ΓΚΠΔ, η Αρχή, διαθέτει την εξουσία, συμφώνως προς το άρθρο 58 παρ. 2 στοιχ. θ), να επιβάλλει διοικητικό πρόστιμο δυνάμει του άρθρου 83 ΓΚΠΔ.
- Στην προκειμένη περίπτωση, σύμφωνα με όσα εκτίθενται ανωτέρω, από τα στοιχεία του φακέλου και κατόπιν όσων προέκυψαν κατά την ακροαματική διαδικασία, διαπιστώνεται: α) η μη ικανοποίηση του δικαιώματος πρόσβασης των καταγγελλόντων στο βιντεοληπτικό υλικό, σύμφωνα με το σχετικό αίτημά τους, χωρίς να τεκμηριώνεται από τον καταγγελλόμενο φορέα ότι με την χορήγηση του ζητούμενου υλικού, επηρεάζονται δυσμενώς τα δικαιώματα ή οι ελευθερίες των εμπλεκόμενων εργαζομένων. Συνεπώς, στοιχειοθετείται παράβαση των άρθρων 5, 12 και 15 ΓΚΠΔ. β) η διαβίβαση των προσωπικών δεδομένων του ανήλικου τέκνου των καταγγελλόντων στην εταιρεία «ΒΑΛΚΑΝΙΚΗ ΕΠΕ», χωρίς προηγούμενη σχετική ενημέρωσή τους. Συνεπώς, στοιχειοθετείται παράβαση των άρθρων 5, 13 και 24 ΓΚΠΔ. γ) η κοινοποίηση από τον καταγγελλόμενο φορέα σε πληθώρα παραληπτών της απόφασης του Μονομελούς Πρωτοδικείου Υ (Ασφαλιστικά Μέτρα), σύμφωνα με την οποία ο 10 καταγγελλόμενος φορέας, ως νομικό πρόσωπο ιδιωτικού δικαίου, δεν είναι υποχρεωμένος να δεχτεί το ανήλικο τέκνο των καταγγελλόντων, χωρίς προηγούμενη ενημέρωσή τους και χωρίς τήρηση των αρχών της αναλογικότητας και νομιμότητας της επεξεργασίας για τη διαβίβαση αυτή. Συνεπώς, στοιχειοθετείται παράβαση των άρθρων 5 και 13 ΓΚΠΔ. δ) η έλλειψη συνεργασίας με την Αρχή, κατά παράβαση του άρθρου 31 ΓΚΠΔ.
- Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 58 παρ. 2 του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες παραβάσεις και ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 του ΓΚΠΔ.
- Περαιτέρω η Αρχή, έλαβε υπόψη τα κριτήρια επιμέτρησης του προστίμου που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ, τις παραγράφους 4 εδ. α) και 5 εδ. α) και β) του ίδιου άρθρου που έχουν εφαρμογή στην παρούσα υπόθεση, τις Κατευθυντήριες γραμμές για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του Κανονισμού 2016/679 που εκδόθηκαν στις 03-10-2017 από την Ομάδα Εργασίας του άρθρου 29 (WP 253) και τις Κατευθυντήριες γραμμές 04/2022 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων για τον υπολογισμό των διοικητικών προστίμων στο πλαίσιο του Γενικού Κανονισμού, καθώς και τα πραγματικά δεδομένα της εξεταζόμενης υπόθεσης, ιδίως δε τα κριτήρια και τις ειδικές περιστάσεις που παρατίθενται στη συνέχεια και, συγκεκριμένα, το γεγονός: • ότι η φύση της παράβασης αφορά βασικές αρχές του ΓΚΠΔ, • ότι το δικαίωμα πρόσβασης που δεν ικανοποιήθηκε αφορά στα προσωπικά δεδομένα ανηλίκου τέκνου • ότι οι κατηγορίες των προσωπικών δεδομένων που αφορά η επεξεργασία, ενέχουν υψηλό κίνδυνο, εφόσον πρόκειται για ευαίσθητα προσωπικά δεδομένα υγείας ανηλίκου • ότι διαβιβάστηκαν προσωπικά δεδομένα ανήλικου τέκνου σε τρίτον χωρίς την προηγούμενη σχετική ενημέρωση των καταγγελλόντων, ως ασκούντων τη γονική μέριμνα του ανηλίκου τέκνου τους • ότι κοινοποιήθηκε από τον καταγγελλόμενο φορέα σε πληθώρα παραληπτών η απόφαση του Μονομελούς Πρωτοδικείου Υ (Ασφαλιστικά Μέτρα) που αφορά προσωπικά δεδομένα ανηλίκου, χωρίς προηγούμενη ενημέρωση των καταγγελλόντων ως ασκούντων την γονική μέριμνα του ανήλικου τέκνου τους και χωρίς τήρηση των αρχών της αναλογικότητας και 11 νομιμότητας της επεξεργασίας για τη διαβίβαση αυτή • ότι ο καταγγελλόμενος φορέας δεν συνεργάστηκε άμεσα και αποτελεσματικά με την Αρχή, καθώς καθυστέρησε να παρέχει εξηγήσεις και η ενημέρωση της Αρχής ήταν ελλιπής και τέλος, • ότι ο καταγγελλόμενος φορέας είναι μη κερδοσκοπικό σωματείο εποπτευόμενο και χρηματοδοτούμενο εξ’ ολοκλήρου από το Υπουργείο Υγείας. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η ΑΡΧΗ Επιβάλλει στο Σωματείο «Η ΑΣΠΙΔΑ ΤΟΥ ΔΑΥΙΔ» ως υπεύθυνο επεξεργασίας, με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ Α. διοικητικό πρόστιμο ύψους τριών χιλιάδων ευρώ (3.000€), για τη διαπιστωθείσα παράβαση των άρθρων 5, 12 και 15 του ΓΚΠΔ, σύμφωνα με όσα αναφέρονται στη σκέψη 14 περίπτωση α’ ανωτέρω. Β. διοικητικό πρόστιμο ύψους τριών χιλιάδων ευρώ (3.000€), για τη διαπιστωθείσα παράβαση των άρθρων 5, 13 και 24 του ΓΚΠΔ, σύμφωνα με όσα αναφέρονται στη σκέψη 14 περίπτωση β’ ανωτέρω. Γ. διοικητικό πρόστιμο ύψους τριών χιλιάδων ευρώ (3.000€), για τη διαπιστωθείσα παράβαση των άρθρων 5 και 13 του ΓΚΠΔ, σύμφωνα με όσα αναφέρονται στη σκέψη 14 περίπτωση γ’ ανωτέρω. Δ. διοικητικό πρόστιμο ύψους χιλίων ευρώ (1.000€), για τη διαπιστωθείσα παράβαση του άρθρου 31 ΓΚΠΔ, σύμφωνα με όσα αναφέρονται στη σκέψη 14 περίπτωση δ’ ανωτέρω. Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 12