Επιβολή προστίμου για παράνομη λειτουργία συστήματος βιντεοεπιτήρησης

Αθήνα, 31-10-2022 Αριθ. Πρωτ.: 2734 ΑΠΟΦΑΣΗ 60/2022 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε μετά από πρόσκληση του Προέδρου της σε συνεδρίαση μέσω τηλεδιάσκεψης την Τετάρτη 08.06.2022 και ώρα 09:00, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής Κωνσταντίνος Μενουδάκος και τα αναπληρωματικά μέλη Δημοσθένης Βουγιούκας, εισηγητής, και Νικόλαος Λίβος σε αντικατάσταση των τακτικών μελών Κωνσταντίνου Λαμπρινουδάκη και Χαράλαμπου Ανθόπουλου, αντιστοίχως, οι οποίοι αν και εκλήθησαν νομίμως εγγράφως δεν παρέστησαν λόγω κωλύματος. Παρόντες, χωρίς δικαίωμα ψήφου, ήταν οι Παναγιώτης Τσόπελας και Γεωργία Παναγοπούλου, ελεγκτές, ως βοηθοί εισηγητών και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Υποβλήθηκε στην Αρχή η με αρ. πρωτ. Γ/ΕΙΣ/7204/20-10-2020 αίτηση της Α, με την οποία η αιτούσα ζητεί την επανεξέταση της 31/2020 1 απόφασης της Αρχής που εκδόθηκε επί της με αρ. πρωτ. Γ/ΕΙΣ/2527/02-04-2019 καταγγελίας της. Με βάση την 31/2020 απόφασή της , η Αρχή είχε απορρίψει ως αβάσιμη την καταγγελία με αριθμ. πρωτ. Γ/ΕΙΣ/2989/19-4-2019 κατά του υπευθύνου επεξεργασίας και θέμα «ΚΑΤΑΓΓΕΛΙΑ ΓΙΑ ΣΥΣΤΗΜΑ ΒΙΝΤΕΟΕΠΙΤΗΡΗΣΗΣ – Β ΟΕ», επιφυλασσόμενη να την διερευνήσει περαιτέρω σχετικά με τη νομιμότητα εγκατάστασης και λειτουργίας των υπολοίπων καμερών (υπόλοιπα καταστήματα και εγκαταστάσεις του υπευθύνου επεξεργασίας). Το σκεπτικό της απόφασης ήταν πως αφενός πληρούνται οι προϋποθέσεις των άρθρων 5, 6 του ΓΚΠΔ και Οδηγίας 1/2011 της Αρχής και αφετέρου, ότι με βάση το πεδίο κάλυψης όπως αποτυπώνεται στο δείγμα εικόνας που υποβλήθηκε από τον υπεύθυνο επεξεργασίας, διαπιστώνεται ότι, για το κατάστημα στο οποίο εργάζονταν η αιτούσα τη θεραπεία, συλλέγονται τα απολύτως απαραίτητα δεδομένα εικόνας για την επίτευξη του επιδιωκόμενου σκοπού επεξεργασίας, ο οποίος δεν μπορεί να επιτευχθεί με ηπιότερα και εξίσου αποτελεσματικά μέσα. 1 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr Με την απόφαση 31/2020, η Αρχή είχε επιφυλαχθεί για περαιτέρω διερεύνηση του συστήματος βιντεοεπιτήρησης της εταιρίας «Β ΟΕ» (εφεξής «υπεύθυνος επεξεργασίας») όσον αφορά τη νομιμότητα εγκατάστασης και λειτουργίας των καμερών στα καταστήματα και εγκαταστάσεις του υπευθύνου επεξεργασίας. Η αιτούσα με τα με αρ. πρωτ. Γ/ΕΙΣ/7204/20-10-2020 και Γ/ΕΙΣ/2241/31-03-2021, έγγραφα ζήτησε να επανεξεταστεί η καταγγελία της προς το σκοπό θεραπείας της 31/2020 Απόφασης, αναφέροντας, μεταξύ άλλων, τα ακόλουθα:

1. Ο σκοπός της επεξεργασίας υπερέβαινε τα όσα αναφέρει επ’ αυτού ο υπεύθυνος επεξεργασίας ότι δηλαδή «(..) η παρακολούθηση περιορίζεται κατά το δυνατόν, στους ελάχιστους χώρους που έχουν σημασία για τους επιδιωκόμενους σκοπούς της βιντεοεπιτήρησης και συγκεκριμένα της ασφάλειας των προσώπων και των αγαθών και την αποφυγή εγκληματικών ενεργειών(..)». Συγκεκριμένα η αιτούσα ισχυρίζεται πως μέσω του συστήματος βιντεοεπιτήρησης «(..)παρακολουθούνταν και επιτηρούνταν η απόδοση, η συμπεριφορά η εξωτερική εμφάνιση ή η καθυστέρηση εργαζόμενων»(..), προσκομίζοντας ως στοιχεία τεκμηρίωσης του εν λόγω ισχυρισμού, μεταξύ άλλων, φωτογραφικό υλικό και ηλεκτρονικά μηνύματα (στοιχεία 1,4,5,6,7,8).
2. Οι κάμερες στο κατάστημα της οδού … στο … ήταν περισσότερες από μια, σε αντίθεση με όσα αναγράφονται στον πίνακα της σελ. 13 του υπομνήματος με αρ. πρωτ. Αρχής Γ/ΕΙΣ/1955/13-03-2020 του υπευθύνου επεξεργασίας, για την τεκμηρίωση δε του ισχυρισμού αυτού προσκομίζονται σχετικά στοιχεία, όπως φωτογραφικό υλικό, μηνύματα ηλεκτρονικού ταχυδρομείου και απόσπασμα ένορκης βεβαίωσης ενώπιον του Ειρηνοδικείου Αθηνών πρώην εργαζόμενης σε κατάστημα του υπευθύνου επεξεργασίας.
3. Οι κάμερες ήταν εγκατεστημένες πριν το 2018 όταν ακόμη ίσχυε η υποχρέωση γνωστοποίησης του άρθρου 6 του ν. 2472/1997 χωρίς να έχει υποβληθεί η σχετική ενημέρωση στην Αρχή. Επ’ αυτού, η αιτούσα επικαλείται απόσπασμα ένορκης βεβαίωσης ενώπιον του Ειρηνοδικείου Αθηνών (αρ. 2637/27-022019), από την πρώην σύζυγο και εργαζόμενη σε κατάστημα του υπευθύνου επεξεργασίας, στην οποία αναφέρει ότι γνώριζε πως υπήρχαν κάμερες εντός 2 των καταστημάτων για λόγους ασφαλείας. Το ανωτέρω, σε συνδυασμό με το ότι η μάρτυρας εργάζονταν στην εταιρία του υπευθύνου επεξεργασίας έως τον Οκτώβριο του 2016 οδηγεί, σύμφωνα με την αιτούσα, στο συμπέρασμα ότι υπήρχε σε λειτουργία σύστημα βιντεοεπιτήρησης στις εγκαταστάσεις του υπευθύνου επεξεργασίας πριν από το
4. Επισημαίνεται ότι στο υπόμνημα του υπευθύνου επεξεργασίας με αρ. πρωτ. Γ/ΕΙΣ/1955/13-03-2020, αναφέρεται ότι η εγκατάσταση των καμερών ξεκίνησε το
6. Οι κάμερες κατέγραφαν ήχο. Προσκομίζονται ως στοιχεία τεκμηρίωσης του εν λόγω ισχυρισμού, ηλεκτρονικό μήνυμα που έχει σταλεί από τον υπεύθυνο επεξεργασίας μέσω της εφαρμογής Viber καθώς και αναφορά σε απόσπασμα κατάθεσης ενώπιον του Μονομελούς Πρωτοδικείου Αθηνών.
7. Στις ενημερωτικές πινακίδες δεν αναγράφονταν ο υπεύθυνος επεξεργασίας και η σχετική νομοθεσία. Προς απόδειξη της εν λόγω αναφοράς εσωκλείεται φωτογραφικό υλικό (στοιχείο 16).
8. Προς επίρρωση των ισχυρισμών της, προσκόμισε απόσπασμα απόσπασμα video που έχει σταλεί στο κινητό τηλέφωνο της καταγγέλλουσας μέσω της εφαρμογής Viber στο πλαίσιο διερεύνησης περιστατικού απώλειας αντικλεπτικού μαγνήτη, σχετικά με το οποίο ο υπεύθυνος επεξεργασίας στο υπόμνημα με αρ. πρωτ. Γ/ΕΙΣ/1955/13-03-2020 είχε παραθέσει εργαστηριακή ανάλυση από ειδικό εμπειρογνώμονα με την οποία αμφισβητήθηκε η αυθεντικότητά του με βάση συγκεκριμένα τεχνικά ευρήματα.
9. Η Αρχή εξέδωσε απόφαση παρότι τελούσε σε γνώση για την εκκρεμοδικία της ίδιας υπόθεσης ενώπιον του Μονομελούς Πρωτοδικείου Αθηνών για την οποία ήταν ενήμερη από το υπόμνημα με αρ. πρωτ. Αρχής Γ/ΕΙΣ/1955/13-032020 του υπευθύνου επεξεργασίας. Περαιτέρω, η αιτούσα παραπέμπει στην με αριθμό … Απόφαση του Μονομελούς Πρωτοδικείου Αθηνών κατά της οποίας αναφέρει ότι έχει ασκήσει έφεση. Στην εν λόγω απόφαση αναφέρεται μεταξύ άλλων πως ο ισχυρισμός της ενάγουσας (εν προκειμένω αιτούσα τη θεραπεία) ότι «(..) n εναγόμενη (εν προκειμένω ο υπεύθυνος επεξεργασίας) δεν τήρησε τις νόμιμες προϋποθέσεις που απαιτείται να τηρούνται 3 στην περίπτωση εγκατάστασης συστήματος με δυνατότητα λήψης δεδομένων ήχου παραβιάζοντας την αρχή της αναλογικότητας καθώς θα μπορούσε να επιτύχει τον σκοπό της, αποφυγή περιστατικών κλοπής με την εγκατάσταση απλής κάμερας στην είσοδο του καταστήματος (..) είναι απορριπτέος ως ουσία αβάσιμος». Εν συνεχεία, η Αρχή αφού εξέτασε τα υποβαλλόμενα με την αίτηση θεραπείας στοιχεία της αιτούσας και σε συνάφεια με την σχετική επιφύλαξη της απόφασης 31/2020 για περαιτέρω διερεύνηση, διενήργησε στις 19/11/2021 αιφνίδιο επιτόπιο έλεγχο στο κατάστημα του υπευθύνου επεξεργασίας επί της οδού … στο … μετά από την με αρ. πρωτ. Γ/ΕΞΕ/2559/11-11-2021 εντολή του Προέδρου της Αρχής και συνέταξε το με αρ. πρωτ. Γ/ΕΙΣ/8149/14-12-2021 πόρισμα διοικητικού ελέγχου. Μέσω της πρόσβασης που δόθηκε από τον τεχνικό υπεύθυνο του υπευθύνου επεξεργασίας, ελέγχθηκαν από το εν λόγω κατάστημα μέσω απομακρυσμένης σύνδεσης με τα λοιπά καταγραφικά, τα πεδία λήψης, τα αρχεία καταγραφής συμβάντων, οι καταγεγραμμένες βιντεοσκοπήσεις και η διαμόρφωση του συστήματος και για τις εγκαταστάσεις της βιοτεχνίας του υπευθύνου επεξεργασίας στον … . Ακολούθως, η Αρχή με τα με αρ. πρωτ. Γ/ΕΞΕ/2951/20-12-2021 και Γ/ΕΞΕ/2952/20-12-2021 έγγραφα, κάλεσε την αιτούσα τη θεραπεία και τον υπεύθυνο επεξεργασίας όπως παραστούν σε συνεδρίαση του Τμήματος της Αρχής την 09/02/
10. Κατά την ακρόαση της 09/02/2022 παραστάθηκαν εκ μέρους του καταγγελλόμενου οι Γ, Νόμιμος Εκπρόσωπος της εταιρείας Β και ο Ηλίας Τομπαΐδης, δικηγόρος Θεσσαλονίκης (…), καθώς και η καταγγέλλουσα η Α, ο σύζυγός της Δ και η δικηγόρος της Α Μαρία Μακρή με … . Αμφότερα τα μέρη, αφού ανέπτυξαν προφορικά τις απόψεις τους, έλαβαν κατά τη συνεδρίαση αυτή προθεσμία προσκομίσεως υπομνημάτων προς περαιτέρω υποστήριξη των ισχυρισμών τους και υπέβαλαν εμπροθέσμως η μεν καταγγέλλουσα τα με αρ. πρωτ. Γ/ΕΙΣ/2777/25-02-2022 και Γ/ΕΙΣ/2809/28-02-2022 υπομνήματά της, ο δε καταγγελλόμενος τα με αρ. πρωτ. Γ/ΕΙΣ/2775/25-02-2022 και Γ/ΕΙΣ/2776/25-022022 υπομνήματά του, με τα οποία προέβαλαν μεταξύ άλλων, τα ακόλουθα: 4 Ειδικότερα, η αιτούσα δια της πληρεξούσιας δικηγόρου της υπέβαλε στην Αρχή συμπληρωματικό υπόμνημα, στο οποίο περιέλαβε υλικό μαγνητοσκόπησης που, κατά τους ισχυρισμούς της, επιβεβαιώνει το γεγονός ότι το σύστημα βιντεοεπιτήρησης του υπευθύνου επεξεργασίας κατέγραφε ήχο. Ως πρόσθετο στοιχείο τεκμηρίωσης υπέβαλε επίσης και δύο φωτογραφίες που εστάλησαν στο κινητό της τηλέφωνο μέσω της εφαρμογής Viber, στις οποίες η ημερομηνία λήψης ταυτίζεται με την ημερομηνία και την ώρα στην οποία, κατά τον ισχυρισμό της, χάθηκε ο αντικλεπτικός μαγνήτης. Για το εν λόγω υλικό, ο υπεύθυνος επεξεργασίας έχει υποβάλει εργαστηριακή ανάλυση (βλ. σημείο 6 σελ. 4) την οποία η αιτούσα τη θεραπεία αμφισβητεί επί της διαδικασίας και των ευρημάτων και παραθέτει τον κώδικα δεοντολογίας του ΤΕΕ, ισχυριζόμενη ότι βάση αυτού ο πραγματογνώμονας, τον οποίο όρισε ο υπεύθυνος επεξεργασίας όφειλε να καλέσει και τα δύο μέρη να του δείξουν τα κινητά τους και να απαντήσουν σε τυχόν απορίες τους ώστε να συμπληρωθεί μία πλήρης και σωστή ανάλυση τεκμηριωμένη με ένα σωστό πόρισμα. Τέλος, η αιτούσα αναφέρει ότι πρέπει να ληφθεί υπόψιν ότι ο εγκαταστάτης του συστήματος βιντεοεπιτήρησης του υπευθύνου επεξεργασίας, δεν κατέχει τις δύο νόμιμες άδειες που απαιτούνται (κατηγορίας β') (νόμος ΥΠ.ΑΡΙΘ.Β707/2008) και δεν έχει εκδώσει άδεια λειτουργίας ιδιωτικής επιχείρησης παροχής υπηρεσιών ασφαλείας, όπως ο νόμος ορίζει. Ο δε υπεύθυνος επεξεργασίας, αναφορικά με την με αρ. πρωτ. Γ/ΕΙΣ/7204/2010-2020 αίτηση θεραπείας, κατά την ανωτέρω ακρόαση της 09-02-2022, αλλά και με το – εμπροθέσμως κατατεθέν - μετά την ακρόαση υπόμνημά του με αρ. πρωτ. Γ/ΕΙΣ/2775/25-02-2022 υποστήριξε ότι: Η αιτούσα τη θεραπεία, μετά την οικειοθελή αποχώρηση της από την επιχείρηση έχει υποβάλει πληθώρα αγωγών εναντίον του. Οι ισχυρισμοί της αιτούσας τη θεραπεία περί παράνομης εγκατάστασης συστήματος βιντεοεπιτήρησης έχουν απορριφθεί ως αβάσιμοι με την με αρ. … απόφαση του Μονομελούς Πρωτοδικείου Αθηνών. Η αιτούσα τη θεραπεία με στόχο την παραπλάνηση της Αρχής επικαλέστηκε ηλεκτρονικά μηνύματα και Πρακτικά Συνεδρίασης του Μονομελούς Πρωτοδικείου Αθηνών (βλ. σημείο 4.2 σελ. 7) που αφορούσαν σύστημα βιντεοεπιτήρησης που ήταν εγκατεστημένο στην οικία του ιδιοκτήτη του υπευθύνου επεξεργασίας για προσωπική του χρήση και όχι στην 5 επιχείρηση στην οποία εργάζονταν. Το video που προσκόμισε η αιτούσα τη θεραπεία στην Αρχή είναι επεξεργασμένο με βάση ενημερωτικό σημείωμα εργαστηριακής ανάλυσης του ειδικού πραγματογνώμονα. Στο σύστημα βιντεοεπιτήρησης δεν έχει προγραμματιστεί η δυνατότητα καταγραφής ήχου. Αναφορικά με τα γραπτά μηνύματα που έχει καταθέσει η αιτούσα τη θεραπεία στην Αρχή με τη μορφή στιγμιοτύπων οθόνης επιφυλάσσεται της γνησιότητας τους. Παρά ταύτα, θεωρεί ότι ακόμη και εάν αυτά ήταν αυθεντικά δεν προκύπτει από το περιεχόμενο τους η παρακολούθηση εργαζομένων μέσω του συστήματος βιντεοεπιτήρησης. Δεν υπήρξε ποτέ εγκατεστημένη δεύτερη κάμερα στο κατάστημα του … που εργάζονταν η καταγγέλλουσα όπως αυτή ισχυρίζεται. Επ΄ αυτού, επισημαίνεται ότι εφόσον δεν έχει γίνει από το 2017 κάποια ανακαίνιση, μερική η ολική στο κατάστημα, θα διακρίνονταν ίχνη της εν λόγω εγκατάστασης όταν πραγματοποιήθηκε ο αιφνίδιος επιτόπιος έλεγχος της Αρχής. Αναφορικά με το με αρ. πρωτ. Γ/ΕΙΣ/8149/14-12-2021 πόρισμα διοικητικού ελέγχου της Αρχής ο υπεύθυνος επεξεργασίας, κατά την ανωτέρω ακρόαση της 09/02/2022, αλλά και με το – εμπροθέσμως κατατεθέν- μετά την ακρόαση υπόμνημα του με αρ. πρωτ. Γ/ΕΙΣ/2776/25-02-2022 υποστήριξε ότι: Ο σκοπός της επεξεργασίας του συστήματος βιντεοεπιτήρησης στις εγκαταστάσεις της μονάδας του … είναι η ασφάλεια του εξοπλισμού από βλάβες/καταστροφές/δυσλειτουργίες/κλοπές αλλά και η προστασία των ίδιων των εργαζομένων. Η κάμερα του χώρου εργασίας δεν καλύπτει το σύνολο του χώρου αλλά των σημείων όπου βρίσκονται τα μηχανήματα και το σύστημα πυρασφάλειας, δεν υπάρχει παρακολούθηση σε χώρους αναψυχής ή ξεκούρασης και δεν καταγράφονται τα πρόσωπα και τα χέρια των εργαζομένων ώστε να διαπιστωθεί ποιοι εργαζόμενοι βρίσκονται στον χώρο. Η χρήση μη αυτοματοποιημένης διαδικασίας διαγραφής των δεδομένων βιντεοεπιτήρησης πέραν των δεκαπέντε ημερών οφείλεται σε περιορισμό του συστήματος που προσδιορίζει την διάρκεια της κυκλικής εγγραφής σε συνδυασμό με την εξάντληση της φυσικής χωρητικότητας των σκληρών και όχι με το πλήθος των ημερών εγγραφής. Ως εκ τούτου, δεδομένου ότι τα μέσα αποθήκευσης του εν λόγω συστήματος έχουν φυσική δυνατότητα αποθήκευσης για περισσότερες από δεκαπέντε ημέρες, η συγκεκριμένη μεθοδολογία δε δύναται να εφαρμοστεί. Ο λόγος της υπέρβασης του 6 χρόνου των δεκαπέντε ημερών στο κατάστημα του … οφείλεται σε τεχνικό πρόβλημα του τηλεπικοινωνιακού δικτύου για το οποίο ευθύνεται ο πάροχος υπηρεσιών διαδικτύου. Προς τεκμηρίωση του εν λόγω ισχυρισμού ο υπεύθυνος επεξεργασίας υπέβαλε την με αρ. πρωτ. … βεβαίωση του ομίλου ΟΤΕ ΑΕ. Ο περιηγητής που χρησιμοποιείται ανήκει στην εταιρία Microsoft μια από τις μεγαλύτερες εταιρίες ανάπτυξης λογισμικού παγκοσμίως. Οι νεότερες εκδόσεις άλλων περιηγητών δεν παρέχουν την δυνατότητα ζωντανής προβολής της λήψης των καμερών ή αναπαραγωγής παλιών video. Τα πρωτόκολλα «https» και «sttp» δεν είναι συμβατά με τους τρόπους επικοινωνίας των καταγραφικών συστημάτων της εταιρίας, με αποτέλεσμα να είναι αδύνατη η χρήση αυτών κατά την πρόσβαση σε αυτά. Η ασφάλεια της πρόσβασης εξασφαλίζεται απολύτως μέσω όλων των μοναδικών και απόρρητων στοιχείων αυθεντικοποίησης χρήστη, τα οποία γνωρίζουν o υπεύθυνος και ο εκτελών την επεξεργασία. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου και αφού άκουσε τους εισηγητές και τις διευκρινίσεις από τους βοηθούς εισηγητές, οι οποίοι παρέστησαν χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
11. Η εγκατάσταση και λειτουργία συστημάτων βιντεοεπιτήρησης με τη λήψη ή και καταγραφή εικόνας ή και ήχου δια της συλλογής, διατήρησης, αποθήκευσης, πρόσβασης και διαβίβασης δεδομένων προσωπικού χαρακτήρα, συνιστούν ως επιμέρους πράξεις επεξεργασίας, επέμβαση στα ατομικά δικαιώματα του σεβασμού της ιδιωτικής ζωής κατ’ άρθ. 9 Σ., 7 ΧΘΔΕΕ 2 και 8 ΕΣΔΑ καθώς και της προστασίας των δεδομένων προσωπικού χαρακτήρα κατ’ άρθ. 9Α Σ., 8 ΕΣΔΑ και 8 ΧΘΔΕΕ 3, όπως έκρινε η Αρχή με την υπ’ αριθμ. 3/2020 Γνωμοδότησή της. 2 3 ΔΕΕ Digital Rights Ireland παρ.
12. ΔΕΕ Digital Rights Ireland παρ.
13. 7
14. Σύμφωνα με τις Κατευθυντήριες Γραμμές 3/2019 του ΕΣΠΔ σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα μέσω βιντεοσυσκευών 4, προκειμένου να κριθεί η νομιμότητα της εγκατάστασης και λειτουργίας του συστήματος βιντεοεπιτήρησης πρέπει να πληρούνται σωρευτικά οι προϋποθέσεις των άρθρων 5 και 6 παρ. 1 ΓΚΠΔ και θα πρέπει σε προηγούμενο χρόνο της εγκατάστασης και λειτουργίας του συστήματος να τεκμηριωθεί εσωτερικά η νομιμότητα της επεξεργασίας και μάλιστα κατά τον προσδιορισμό του σκοπού της επεξεργασίας ενδέχεται να χρειαστεί σχετική αξιολόγηση για κάθε κάμερα ξεχωριστά, ανάλογα με το σημείο τοποθέτησής της. Ειδικότερα στις Κατευθυντήριες αυτές Γραμμές ορίζονται τα εξής: «α (…)
15. Η βιντεοεπιτήρηση δεν είναι εξ ορισμού αναγκαία εφόσον υπάρχουν άλλα μέσα για την επίτευξη του υποκείμενου σκοπού. Στην αντίθετη περίπτωση, υπάρχει ο κίνδυνος να μεταβληθούν οι πολιτισμικοί κανόνες και επομένως να εδραιωθεί ως γενική αρχή η έλλειψη της ιδιωτικότητας (…)». β «(…)
16. Το έννομο συμφέρον πρέπει να υφίσταται πραγματικά και να αφορά παρόν ζήτημα (δηλαδή το συμφέρον δεν πρέπει να είναι πλασματικό ή υποθετικό). Πρέπει να υφίσταται πραγματική κατάσταση κινδύνου –όπως ζημιές ή σοβαρά συμβάντα στο παρελθόν– πριν από την έναρξη της επιτήρησης. (…)». γ. «(…)
17. Τα δεδομένα προσωπικού χαρακτήρα θα πρέπει να είναι κατάλληλα, συναφή και να περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων»), βλέπε άρθρο 5 παράγραφος 1 στοιχείο γ). Πριν από την εγκατάσταση συστήματος βιντεοεπιτήρησης, ο υπεύθυνος επεξεργασίας θα πρέπει πάντα να εξετάζει ενδελεχώς αν αυτό το μέτρο είναι, κατά πρώτον, κατάλληλο για την επίτευξη του επιθυμητού στόχου και, κατά δεύτερον, επαρκές και αναγκαίο για την επίτευξη των σκοπών του. Μέτρα βιντεοεπιτήρησης θα πρέπει να επιλέγονται μόνον εάν ο σκοπός της επεξεργασίας δεν θα μπορούσε εύλογα να εκπληρωθεί με άλλα μέσα, τα οποία θίγουν σε μικρότερο βαθμό τα θεμελιώδη δικαιώματα και τις ελευθερίες του υποκειμένου των δεδομένων».
18. Σύμφωνα με το άρθρο 27 παρ. 7 του ν.4624/2019 «Η επεξεργασία δεδομένων προσωπικού χαρακτήρα μέσω κλειστού κυκλώματος οπτικής καταγραφής εντός των χώρων εργασίας, είτε είναι δημοσίως προσβάσιμοι είτε μη, επιτρέπεται μόνο εάν https://edpb.europa.eu/our-worktools/ourdocuments/guidelines/guidelines-32019-processingpersonal-data-through-video_el 4 8 είναι απαραίτητη για την προστασία προσώπων και αγαθών. Τα δεδομένα που συλλέγονται μέσω κλειστού κυκλώματος οπτικής καταγραφής δεν επιτρέπεται να χρησιμοποιηθούν ως κριτήριο για την αξιολόγηση της αποδοτικότητας των εργαζομένων. Οι εργαζόμενοι ενημερώνονται εγγράφως, είτε σε γραπτή είτε σε ηλεκτρονική μορφή για την εγκατάσταση και λειτουργία κλειστού κυκλώματος οπτικής καταγραφής εντός των χώρων εργασίας».
19. Η Αρχή έχει εκδώσει για το ζήτημα της χρήσης συστημάτων βιντεοεπιτήρησης για το σκοπό της προστασίας προσώπων και αγαθών την υπ’ αριθμ. 1/2011 Οδηγία, οι διατάξεις της οποίας πρέπει να εφαρμόζονται σε συνδυασμό με τις διατάξεις του ΓΚΠΔ και του ν. 4624/2019, με τον οποίο ορίζονται μέτρα εφαρμογής του ΓΚΠΔ. Τούτο ισχύει ιδίως για τις υποχρεώσεις του υπευθύνου επεξεργασίας που περιλαμβάνονται στο κεφάλαιο Γ’ αυτής (άρθρα 10 έως 13 της Οδηγίας 1/2011). Για παράδειγμα, οι υπεύθυνοι επεξεργασίας δεν έχουν πλέον υποχρέωση γνωστοποίησης της επεξεργασίας στην Αρχή 5, αλλά οφείλουν να λαμβάνουν τα απαραίτητα μέτρα συμμόρφωσης προς τις απαιτήσεις του ΓΚΠΔ και να φροντίζουν για την ικανοποίηση των επαυξημένων δικαιωμάτων που προβλέπει ο ΓΚΠΔ.
20. Σύμφωνα με το άρθρο 7 της Οδηγίας 1/2011 της Αρχής η εφαρμογή της αρχής της αναλογικότητας έχει ιδιαίτερη σημασία στις περιπτώσεις λειτουργίας συστημάτων βιντεοεπιτήρησης σε χώρους εργασίας. Το σύστημα δεν θα πρέπει να χρησιμοποιείται για την επιτήρηση των εργαζομένων εντός των χώρων αυτών, εκτός από ειδικές εξαιρετικές περιπτώσεις όπου αυτό δικαιολογείται από τη φύση και τις συνθήκες εργασίας και είναι απαραίτητο για την προστασία της υγείας και της ασφάλειας των εργαζομένων ή την προστασία κρίσιμων χώρων εργασίας (π.χ. στρατιωτικά εργοστάσια, τράπεζες, εγκαταστάσεις υψηλού κινδύνου). Επίσης, σε ειδικούς χώρους, όπως χώροι µε ηλεκτρομηχανολογικές εγκαταστάσεις, ο υπεύθυνος βάρδιας ή ο υπεύθυνος ασφαλείας μπορεί να παρακολουθεί σε πραγματικό χρόνο τους χειριστές μηχανημάτων υψηλής επικινδυνότητας, µε σκοπό να επέμβει άμεσα αν συμβεί κάποιο περιστατικό ασφαλείας. Σε κάθε περίπτωση, τα δεδομένα που συλλέγονται µέσω συστήματος βιντεοεπιτήρησης δεν επιτρέπεται να 5 Βλ. και ανακοίνωση της Αρχής σχετικά με την κατάργηση των γνωστοποιήσεων τήρησης αρχείου/επεξεργασιών και της χορήγησης αδειών (απόφαση 46/2018). 9 χρησιμοποιηθούν ως αποκλειστικά κριτήρια για την αξιολόγηση της συμπεριφοράς και της αποδοτικότητας των εργαζομένων (βλ. Οδηγία υπ' αρ. 115/2001 για την επεξεργασία των προσωπικών δεδομένων των εργαζομένων, τμήμα Ε', παρ. 6 – 8).
21. Σύμφωνα με το άρθρο 32 του ΓΚΠΔ λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων.
22. Όπως προκύπτει από τα στοιχεία του φακέλου της υπόθεσης, η καταγγελλόμενη εταιρεία έχει το ρόλο του υπευθύνου επεξεργασίας για την επεξεργασία προσωπικών δεδομένων που πραγματοποιείται μέσω του συστήματος βιντεοεπιτήρησης.
23. Κατά τον επιτόπιο έλεγχο διαπιστώθηκε ότι στο κατάστημα του … επί της οδού … υπάρχει εγκατεστημένη μια κάμερα, όπως ισχυρίζεται ο υπεύθυνος επεξεργασίας στο υπόμνημα του, και όχι δύο όπως ισχυρίζεται η αιτούσα τη θεραπεία και δεν μπορεί να διαπιστωθεί εάν η κάμερα στην οποία αναφέρεται η αιτούσα ήταν εγκατεστημένη στο συγκεκριμένο σημείο στο παρελθόν.
24. Κατά τον επιτόπιο έλεγχο διαπιστώθηκε περαιτέρω ότι η δυνατότητα λήψης ήχου από τις κάμερες ήταν απενεργοποιημένη σε όλες τις συσκευές καταγραφής, στο δε κατάστημα του … η κάμερα δεν είχε ενσωματωμένο μικρόφωνο και ως εκ τούτου δεν είναι εφικτή η δυνατότητα καταγραφής ήχου σε επίπεδο υλικού.
25. Δεν υπάρχει δυνατότητα, από το βιντεοσκοπημένο υλικό που υπέβαλε η αιτούσα, να θεμελιωθεί η απόδειξη της καταγραφής ήχου στο σύστημα βιντεοεπιτήρησης του υπευθύνου επεξεργασίας. Συγκεκριμένα, από την εξέταση του αρχείου πολυμέσων που υπέβαλε η αιτούσα με το με αρ. πρωτ. Γ/ΕΙΣ/2809/28-02-2022 υπόμνημά της, η Αρχή διαπίστωσε ότι ισχύουν τα ευρήματα της εργαστηριακής ανάλυσης του εν λόγω υλικού που περιλαμβάνονται στο με αρ. πρωτ. Γ/ΕΙΣ/1955/13-03-2020 υπόμνημα του υπευθύνου επεξεργασίας. Ωστόσο, επειδή στην τρέχουσα ανάλυση δεν περιέχεται αντιπαραβολή του εν λόγω αρχείου με αντίστοιχο που να έχει εξαχθεί από τον ίδιο εξοπλισμό και δεδομένου ότι η Αρχή δεν έχει την δυνατότητα παραγωγής τέτοιου τύπου αρχείου, εφόσον δεν έχει πρόσβαση σε κάμερα και σε καταγραφικό μηχάνημα 10 ιδίων δυνατοτήτων, δεν είναι δυνατή η εξαγωγή συμπερασμάτων για την αυθεντικότητα ή μη του αρχείου βιντεοσκόπησης με βάση τα ευρήματα της εργαστηριακής ανάλυσης που υπέβαλε ο υπεύθυνος επεξεργασίας.
26. Στο κατάστημα επί της οδού … στο … όπου πραγματοποιήθηκε ο αιφνίδιος επιτόπιος έλεγχος υπήρχαν δύο ενημερωτικές πινακίδες, μία στην είσοδο του καταστήματος, στην οποία αναφέρεται η ύπαρξη συστήματος βιντεοεπιτήρησης και μια δίπλα στο ταμείο η οποία βασίζεται στο πρότυπο της Οδηγίας 1/2011 της Αρχής. Δεν μπορεί να διαπιστωθεί εάν οι πινακίδες είχαν ανάλογη μορφή στο παρελθόν.
27. Από την εξέταση των αντιγράφων των ηλεκτρονικών μηνυμάτων που κατέθεσε η αιτούσα τη θεραπεία δεν μπορεί να διαπιστωθεί με βεβαιότητα ότι το μέσο ηχογράφησης της αναφερόμενης συνομιλίας είναι η παρανόμως εγκατεστημένη κάμερα και ότι το περιεχόμενο του μηνύματος προκύπτει από την επεξεργασία δεδομένων από το σύστημα βιντεοεπιτήρησης.
28. Δεν μπορεί να επιβεβαιωθεί από τα υποβαλλόμενα στοιχεία ο ισχυρισμός της αιτούσας ότι το σύστημα βιντεοεπιτήρησης ήταν εγκατεστημένο πριν το 2018 δεδομένου ότι έχει παρέλθει σημαντικό χρονικό διάστημα από το έτος αυτό.
29. Ο ισχυρισμός της αιτούσας αναφορικά με την σημασία που είχε για τη διαδικασία ενώπιον της Αρχής το γεγονός ότι εκκρεμούσε σχετική διαφορά στα πολιτικά δικαστήρια, είναι αβάσιμος διότι το γεγονός αυτό δεν παρεμποδίζει ούτε αναστέλλει την άσκηση της αρμοδιότητας της Αρχής (βλ. απόφαση ΣτΕ …)
30. Σχετικά με το σύστημα βιντεοεπιτήρησης που λειτουργεί στις εγκαταστάσεις της βιοτεχνίας στον …, ο αναφερόμενος από τον υπεύθυνο επεξεργασίας σκοπός επεξεργασίας θα μπορούσε να επιτευχθεί με ηπιότερα και εξίσου αποτελεσματικά μέσα, όπως με την τοποθέτηση καμερών στις εισόδους/εξόδους των εγκαταστάσεων, η δε προστασία των εργαζομένων από ατυχήματα με την λήψη άλλων τεχνικών και οργανωτικών μέτρων. Επίσης υπάρχουν ισχυρές επιφυλάξεις για το εάν τα μηχανήματα (ραπτομηχανές) που παρακολουθούνται μπορούν να χαρακτηριστούν ως υψηλής επικινδυνότητας. Από την εξέταση των στοιχείων προκύπτει μεν ότι η παρακολούθηση των μηχανημάτων δεν γίνεται μόνο σε πραγματικό χρόνο από τον υπεύθυνο βάρδιας ή τον υπεύθυνο ασφαλείας με στόχο την άμεση επέμβαση αν συμβεί κάποιο περιστατικό ασφαλείας, αλλά λαμβάνει χώρα και αποθήκευση του βιντεοσκοπημένου υλικού 11 στο οποίο έχει πρόσβαση ο ιδιοκτήτης της καταγγελλόμενης εταιρίας. Ο ισχυρισμός του υπευθύνου επεξεργασίας ότι από το εν λόγω υλικό δεν μπορούν να ταυτοποιηθούν τα πρόσωπα που εργάζονται είναι αβάσιμος, δεδομένου ότι οι θέσεις των καμερών σε συνδυασμό με τεχνικές δυνατότητες, όπως η ψηφιακή μεγέθυνση (zoom) εντός του πεδίου λήψης των καμερών, επιτρέπουν τον προσδιορισμό της ταυτότητας των εργαζομένων. Κατά συνέπεια με τη λειτουργία του εν λόγω συστήματος βιντεοεπιτήρησης παραβιάζεται το άρθρο 5 παρ. 1 εδ. α’ και β’ του ΓΚΠΔ.
31. Περαιτέρω, η μη αυτόματη διαγραφή των δεδομένων του συστήματος βιντεοεπιτήρησης μετά από 15 μέρες, που διαπιστώθηκε κατά τον επιτόπιο έλεγχο στο κατάστημα του …, συνιστά παραβίαση του άρθρου 5 παρ. 1 εδ. ε’ του ΓΚΠΔ δεδομένου ότι ο υπεύθυνος επεξεργασίας θα μπορούσε να είχε επιλύσει το αναφερόμενο πρόβλημα του περιορισμού που υπάρχει στις συσκευές καταγραφής σε σχέση με τη δημιουργία διαδικασίας αυτοματοποιημένης διαγραφής των καταγεγραμμένων δεδομένων λαμβάνοντας τεχνικά μέτρα (λ.χ. δημιουργία partitions κατάλληλου μεγέθους στους σκληρούς δίσκους του συστήματος ή χρήση άλλης μεθοδολογίας αυτοματοποιημένης διαγραφής, όπως εκτέλεση script διαγραφής αρχείων με χρονοδιακόπτη).
32. Όσον αφορά το ζήτημα της ασφάλειας κατά την πρόσβαση μέσω διαδικτύου στα μεταδιδόμενα δεδομένα, ο ισχυρισμός του υπευθύνου επεξεργασίας ότι ο περιηγητής που χρησιμοποιείται για την πρόσβαση στις κάμερες είναι ασφαλής επειδή ανήκει στην εταιρία Microsoft δεν ευσταθεί, διότι η ίδια η κατασκευάστρια εταιρία αποδέχεται ότι ο εν λόγω περιηγητής έχει κενό ασφαλείας 6, δεν υποστηρίζεται πλέον από την Microsoft, ούτε κυκλοφορούν πλέον περιοδικές αναβαθμίσεις ασφαλείας, αφού έχει αντικατασταθεί από το λογισμικό Microsoft Edge. Επίσης, υπάρχουν μεθοδολογίες μέσω των οποίων η πρόσβαση σε οποιαδήποτε ιστοσελίδα μπορεί να γίνεται με κρυπτογραφημένο τρόπο άσχετα με το περιεχόμενο της και υπάρχουν διαθέσιμες τεχνικές λύσεις μέσω των οποίων η πρόσβαση θα μπορούσε να γίνεται με την χρήση του πρωτοκόλλου https ανεξάρτητα από τους όποιους περιορισμούς έχει το εν λόγω σύστημα. Η https://support.microsoft.com/en-us/topic/microsoft-security-advisory-vulnerability-in-internetexplorer-could-allow-remote-code-execution-fc5c609d-f9a9-909e-c227-45ef70da6dff 6 12 είσοδος στο σύστημα μέσω αυθεντικοποίησης των χρηστών είναι μια μόνο από τις παραμέτρους που προστατεύουν από μη εξουσιοδοτημένη πρόσβαση, ενώ στη συγκεκριμένη περίπτωση δεν φαίνεται να υπάρχει διαδικασία ελεγχόμενης πρόσβασης του υπευθύνου επεξεργασίας και του εκτελούντα την επεξεργασία με την χρήση ρόλων χρηστών, καθώς οι χρήστες εισέρχονται στο σύστημα με τα διαπιστευτήρια του διαχειριστή (admin). Ενόψει των ανωτέρω διαπιστώνεται ότι η εταιρεία δεν έχει λάβει τα αναγκαία τεχνικά και οργανωτικά μέτρα για την ασφάλεια της επεξεργασίας κατά παράβαση του άρθρου 32 του ΓΚΠΔ.
33. Με βάση τα ανωτέρω, η Αρχή κρίνει ότι για την επεξεργασία που αφορά τη λειτουργία συστήματος βιντεοεπιτήρησης στο κατάστημα στο … και στη βιοτεχνία στο …, συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 58 παρ. 2 του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες παραβάσεις. Η Αρχή κρίνει επίσης ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ του ΓΚΠΔ το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 του ΓΚΠΔ τόσο προς αποκατάσταση της συμμόρφωσης, όσο και για την τιμωρία της παράνομης συμπεριφοράς που αφορά τη λειτουργία του συστήματος βιντεοεπιτήρησης στη βιοτεχνία στο … .
34. Περαιτέρω η Αρχή, έλαβε υπόψη τα κριτήρια επιμέτρησης του προστίμου που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ, την παράγραφο 5 στοιχ. α’ και β’ του ίδιου άρθρου που έχουν εφαρμογή στην παρούσα υπόθεση και τις Κατευθυντήριες γραμμές για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του Κανονισμού 2016/679 που εκδόθηκαν στις 03-10-2017 από την Ομάδα Εργασίας του άρθρου 29 (WP 253), καθώς και τα πραγματικά δεδομένα της εξεταζόμενης υπόθεσης και ιδίως: α) τη φύση, τη βαρύτητα και τη διάρκεια της παράβασης, ενόψει της φύσης, της έκτασης ή του σκοπού της σχετικής επεξεργασίας, καθώς και τον αριθμό των υποκειμένων των δεδομένων που έθιξε η παράβαση και τον βαθμό ζημίας που υπέστησαν και συγκεκριμένα: i. το γεγονός ότι ο υπεύθυνος επεξεργασίας παραβίασε τις από το άρθρο 5 παρ. 1 εδ. α’ του ΓΚΠΔ αρχές της νομιμότητας, αντικειμενικότητας και διαφάνειας, επιπλέον δε την αρχή του περιορισμού του σκοπού κατ’ άρθρο 5 13 παρ. 1 εδ. β’, ήτοι παραβίασε θεμελιώδεις αρχές του ΓΚΠΔ για την προστασία των δεδομένων προσωπικού χαρακτήρα, ii. το γεγονός ότι η τήρηση των αρχών που προβλέπονται από τις διατάξεις του άρθρου 5 παρ. 1 εδ. α’ και β’ του ΓΚΠΔ είναι κεφαλαιώδους σημασίας, πρωτίστως δε, η αρχή της νομιμότητας, αντικειμενικότητας και διαφάνειας ώστε εάν εκλείπει αυτή να καθίσταται εξ αρχής παράνομη η επεξεργασία, ακόμη και εάν έχουν τηρηθεί οι λοιπές αρχές επεξεργασίας. Ομοίως κεφαλαιώδους σημασίας καθίσταται τόσο η αρχή περιορισμού του σκοπού όσο όμως και η αρχή της λογοδοσίας στο πλαίσιο του νέου μοντέλου συμμόρφωσης που εισήχθη με τον ΓΚΠΔ, όπου το βάρος συμμόρφωσης και η σχετική ευθύνη βαρύνει τον υπεύθυνο επεξεργασίας, ο οποίος και έχει εφοδιασθεί από τον ΓΚΠΔ με τα απαραίτητα εργαλεία συμμόρφωσης, iii. το γεγονός ότι ο υπεύθυνος επεξεργασίας δεν επέτυχε να συμμορφωθεί με τις επιταγές των αρχών επεξεργασίας του άρθρου 5 παρ. 1 εδ. α’ και β’ ΓΚΠΔ, επιπλέον δε, απέτυχε να τεκμηριώσει στο πλαίσιο της συμμόρφωσης τη νομιμότητα του συστήματος βιντεοεπιτήρησης, iv. το γεγονός ότι η παραβίαση των ανωτέρω αρχών υπάγεται σύμφωνα με τις διατάξεις του άρθρου 83 παρ. 5 εδ. α’ του ΓΚΠΔ στην ανώτερη προβλεπόμενη κατηγορία του συστήματος διαβάθμισης διοικητικών προστίμων, v. το γεγονός ότι, από τα στοιχεία που τέθηκαν υπόψη της Αρχής, δεν προέκυψε η επέλευση υλικής βλάβης στα υποκείμενα των δεδομένων, vi. το γεγονός ότι η παραβίαση των αρχών του άρθρου 5 παρ. 1 εδ. α’ και β’ δεν αφορούσε, με βάση τα στοιχεία που τέθηκαν υπόψη της Αρχής, δεδομένα προσωπικού χαρακτήρα των άρθρων 9 και 10 του ΓΚΠΔ, αλλά αφορά εργαζόμενους, που απαιτούν ειδική προστασία όσον αφορά τα δεδομένα προσωπικού χαρακτήρα. β) το γεγονός ότι από σχετικό έλεγχο προκύπτει ότι δεν έχει επιβληθεί στην καταγγελλόμενη εταιρία μέχρι σήμερα διοικητική κύρωση από την Αρχή. γ) το μέγεθος της εταιρείας Βάσει των ανωτέρω, η Αρχή κρίνει ομόφωνα ότι πρέπει να επιβληθεί στην καταγγελλόμενη εταιρεία ως υπεύθυνο επεξεργασίας η αναφερόμενη στο διατακτικό 14 διοικητική κύρωση, η οποία κρίνεται ανάλογη με τη βαρύτητα της παράβασης. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή Α. Επιβάλλει στην καταγγελλόμενη εταιρεία με την επωνυμία «Β ΟΕ» το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αρμόζει στην συγκεκριμένη περίπτωση, σύμφωνα με τις ειδικότερες περιστάσεις αυτής, ύψους δέκα χιλιάδων (10.000,00) ευρώ για τις ως άνω διαπιστωθείσες παραβιάσεις των άρθρων 5 παρ. 1 εδ. α’ και β’ όσον αφορά το σύστημα βιντεοεπιτήρησης στη βιοτεχνία στο …, για τους λόγους που εκτενώς αναλύονται στη σκέψη 15, και δίνει εντολή όπως εντός ενός