Εξέταση αναφορών κατά Δήμου για την εγκατάσταση συστήματος βιντεοεπιτήρησης σε αμαξοστάσιο

(5)καμερών και εν συνεχεία δύο

(2)επιπλέον κατόπιν απόφασης του Δημάρχου, το δε καταγραφικό υλικό φυλάσσεται στο χώρο του αμαξοστασίου, στο οποίο φαίνεται να έχει πρόσβαση ο Αντιδήμαρχος και ορισμένοι εκ των προϊστάμενων. Επιπλέον, σύμφωνα με τα όσα αναφέρονται στις ίδιες αναφορές, το σύστημα βιντεοεπιτήρησης χρησιμοποιείται για παρακολούθηση των εργαζομένων, αφού οι εργαζόμενοι έχουν γίνει αποδέκτες σχολίων και Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr παρατηρήσεων σχετικά με την ώρα προσέλευσης – αποχώρησης και με την εκτέλεση των καθηκόντων τους κατ’ επίκληση του καταγραφικού υλικού. Η Αρχή, αφού εξέτασε τις ανωτέρω σχετικές αναφορές απέστειλε το υπ’ αρ. πρωτ. Γ/ΕΞΕ/1033/06-04-2023 έγγραφο στον Δήμο Μοσχάτου-Ταύρου (εφεξής, υπεύθυνος επεξεργασίας), ζητώντας διευκρινίσεις επί των αναφορών αυτών σχετικά με την εγκατάσταση του συστήματος βιντεοεπιτήρησης στο χώρο του αμαξοστασίου. Με το ανωτέρω έγγραφο, η Αρχή ζήτησε από τον υπεύθυνο επεξεργασίας, όπως αποστείλει και κάθε σχετικό έγγραφο προς τεκμηρίωση των απαντήσεών του. Ο υπεύθυνος επεξεργασίας απάντησε με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/4154/01-06-2023 έγγραφο στο οποίο περιλαμβάνονται τα ακόλουθα: 1. Έγγραφη απάντηση για παροχή διευκρινίσεων, στην οποία αναφέρονται τα εξής: • Ο σκοπός της επεξεργασίας είναι η προστασία της δημόσιας περιουσίας με μεγάλη αξία, καθώς ο υπεύθυνος επεξεργασίας είναι εγκατεστημένος σε μια επικίνδυνη περιοχή, ενώ έχουν προηγουμένως παρατηρηθεί περιστατικά κατά του Δήμου. Λειτουργεί συμπληρωματικά στο μέτρο της φύλαξης του χώρου από τους δύο

(2)φύλακες, οι οποίοι σύμφωνα με την ανωτέρω απάντηση έχουν ρόλο επισήμανσης της φύλαξης του χώρου και δεν επεμβαίνουν αποτρεπτικά για να αντιμετωπίσουν παραβατικά γεγονότα λόγω επικινδυνότητας. • Το σύστημα βιντεοεπιτήρησης εγκαταστάθηκε κατόπιν της υπ’ αριθμ. … απόφασης του Δημάρχου με ΘΕΜΑ: «Τοποθέτηση κλειστού κυκλώματος βιντεοσκόπησης (CCTV) υπαίθριου χώρου στάθμευσης οχημάτων του Δήμου στο Δημοτικό Αμαξοστάσιο» που εκδόθηκε στις 22-12-2022, και της υπ’ αριθμ. … μελέτης της Διεύθυνσης Περιβάλλοντος Κυκλικής Οικονομίας και Ανακύκλωσης για την προμήθεια συστήματος κλειστού κυκλώματος καταγραφής CCTV, βάση της οποίας κάθε υποσύστημα θα έπρεπε να διαθέτει συγκεκριμένες προδιαγραφές και τεχνικά χαρακτηριστικά και βάσει αυτής εκδόθηκε στις 28-5-2021 και η υπ’ αριθμ. … απόφαση για ανάθεση προμήθειας του συστήματος βιντεοεπιτήρησης το οποίο, σύμφωνα με την απάντηση, τέθηκε σε λειτουργία. Επιπλέον, σύμφωνα με τις προδιαγραφές που ορίζονται στην ανωτέρω απόφαση, το καταγραφικό πρέπει να είναι τοποθετημένο σε ειδικά φυλασσόμενο χώρο, καθώς επίσης πρέπει να γίνει ενημέρωση του 2 προσωπικού με σχετική σήμανση και κοινοποίηση της συγκεκριμένης απόφασης, ενώ το σύστημα θα πρέπει μεταξύ άλλων να απαρτίζεται από κάμερες που έχουν τη δυνατότητα χρήσης τεχνολογιών face blurring και redaction, ενώ ο χρόνος τήρησης πρέπει να δύναται να παραμετροποιείται για δέκα

(10)ημέρες. • Το σύστημα βιντεοεπιτήρησης δεν χρησιμοποιείται για παρακολούθηση των εργαζομένων, καθώς για το σκοπό ελέγχου του προσωπικού σχετικά με τις ώρες προσέλευσης-αποχώρησης, ο υπεύθυνος επεξεργασίας έχει προμηθευτεί με συστήματα ελέγχου παρουσίας προσωπικού. • Δεν έχει πραγματοποιηθεί πριν την εγκατάσταση μελέτη σχετικά με τα σημεία που πρέπει να τοποθετηθούν οι κάμερες. Η υπάρχουσα μελέτη αφορά μόνο στην ποσοτική καταγραφή των αναγκών (όπως αριθμός καμερών, τροφοδοτικό κ.α.) για την προμήθεια του συστήματος κλειστού κυκλώματος καταγραφής CCTV. • Δεν υπήρξε προηγούμενη συγκατάθεση των εργαζομένων, καθότι η εγκατάσταση του συστήματος βιντεοεπιτήρησης έγινε με σκοπό την προστασία της δημόσιας περιουσίας. • Τοποθετήθηκε ενημερωτική πινακίδα στην είσοδο του χώρου εργασίας, ενώ η σχετική ενημέρωση β’ επιπέδου βρίσκεται στο γραφείου του Προϊσταμένου που έχει οριστεί ως υπεύθυνος. • Το καταγραφικό βρίσκεται κλειδωμένο σε ερμάριο (rack), στο οποίο πρόσβαση έχει ο Προϊστάμενος. • Λόγω του μικρού αποθηκευτικού χώρου, ο χρόνος τήρησης των δεδομένων είναι τρεις

(3)ημέρες, τα οποία εν συνεχεία διαγράφονται αυτόματα. • Κατόπιν των ανωτέρω αναφορών, πραγματοποιήθηκε έκθεση για το σύστημα βιντεοεπιτήρησης στο αμαξοστάσιο του Δήμου Μοσχάτου – Ταύρου, από την οποία μεταξύ άλλων προέκυψε ότι η θέση των καμερών δεν παρέχει τη βέλτιστη αποτελεσματική προστασία του χώρου. 2. Το αρχείο δραστηριοτήτων. Στη συνέχεια, η Αρχή, αφού εξέτασε την ανωτέρω απάντηση, ζήτησε με το υπ’ αρ. Γ/ΕΞΕ/1610/22-06-2023 έγγραφό της επιπλέον διευκρινίσεις και αναλυτικότερη περιγραφή 3 σχετικά με ζητήματα, όπως ποιος έχει δυνατότητα απομακρυσμένης σύνδεσης, πώς γίνεται αυτή και πώς πραγματοποιήθηκε η ενημέρωση των εργαζομένων. Επιπλέον, η Αρχή ζήτησε διευκρινίσεις σχετικά με τον ακριβή αριθμό των καμερών που έχουν εγκατασταθεί καθώς από την ανωτέρω απάντηση του υπεύθυνου επεξεργασίας προέκυψε ότι έχουν τοποθετηθεί συνολικά επτά

(7)κάμερες αντί των πέντε

(5)που αρχικά είχαν εγκριθεί με τη σχετική απόφαση. Επιπροσθέτως, η Αρχή με το ανωτέρω έγγραφό της, ζήτησε διευκρινίσεις σχετικά με το πεδίο λήψης των εγκατεστημένων καμερών καθώς από την ανωτέρω απάντηση του υπεύθυνου επεξεργασίας προέκυψε ότι η τοποθέτησή τους δεν είναι εξ ολοκλήρου σύμφωνη προς τον αρχικό επιδιωκόμενο σκοπό και υπάρχει σε εξέλιξη διαδικασία αξιολόγησης των σημείων που πρέπει να επανατοποθετηθούν οι κάμερες. Ακολούθως, ο υπεύθυνος επεξεργασίας, απάντησε με τα υπ’ αρ. πρωτ. Γ/ΕΙΣ/4908/0307-2023 και υπ’ αρ. πρωτ. Γ/ΕΙΣ/6057/28-08-2023 έγγραφα στις διευκρινίσεις που ζήτησε η Αρχή με το ανωτέρω έγγραφό της ως εξής: • Οι δύο

(2)επιπλέον κάμερες στο αμαξοστάσιο τοποθετήθηκαν μετά την τοποθέτηση ενός στεγάστρου στο αμαξοστάσιο με ευαίσθητο εξοπλισμό. Σύμφωνα με την ως άνω απάντηση, χορηγήθηκαν και τοποθετήθηκαν εθελοντικά από υπάλληλο του Τμήματος Περιβάλλοντος μετά από έγκριση του Προϊσταμένου του με σκοπό την καλύτερη εποπτεία των οχημάτων. • Έγινε δοκιμαστική χρήση της δυνατότητας της χρήσης μάσκας στις περιπτώσεις που είχε διαπιστωθεί αυξημένη διέλευση ατόμων από συγκεκριμένο σημείο. • Υπάρχει δυνατότητα χρήσης του λογισμικού “RXCamView” για απομακρυσμένη σύνδεση στο σύστημα βιντεοεπιτήρησης, η οποία μπορεί να γίνεται εφόσον κάποιος γνωρίζει τους κωδικούς του διαχειριστή (admin), την IP διεύθυνση και το Media Port. • Έχει ξεκινήσει η διαδικασία εκπόνησης μελέτης με τίτλο «Σχεδιασμός συστημάτων βιντεοεπιτήρησης κρίσιμων υποδομών και περιουσίας του Δήμου Μοσχάτου-Ταύρου και δημιουργία Κέντρου Επιχειρήσεων Πολιτικής Προστασίας» με σκοπό μεταξύ άλλων την αναδιαμόρφωσή των σημείων τοποθέτησης των καμερών με σκοπό τη διασφάλιση της περιουσίας του Δήμου και της ασφάλειας των εργαζομένων σύμφωνα με τις απαιτήσεις του Γενικού Κανονισμού Προστασίας δεδομένων (εφεξής, ΓΚΠΔ). 4 • Πρόσβαση στο υλικό από το σύστημα βιντεοεπιτήρησης δεν πραγματοποιείται παρά μόνο σε περιπτώσεις περιστατικού. Η είσοδος στον φυλασσόμενο χώρο επιτρέπεται μόνο στον Προϊστάμενο του Τμήματος (Προϊστάμενος Διεύθυνσης Περιβάλλοντος, Κυκλικής Οικονομίας και Ανακύκλωσης), ενώ πρόκειται να εγκατασταθεί σύστημα ελέγχου εισόδου-εξόδου στον ως άνω φυλασσόμενο χώρο καθώς στην παρούσα χρονική περίοδο δεν υφίσταται καταγραφή πρόσβασης στο καταγραφικό του συστήματος βιντεοεπιτήρησης. • Υπήρξε προφορική ενημέρωση των εργαζομένων για την εγκατάσταση του συστήματος βιντεοεπιτήρησης, καθώς και τοποθέτηση δυο

(2)ενημερωτικών πινακίδων Α4 στο σημείο προσέλευσης-αποχώρησης των εργαζομένων. Ακολούθως, η Αρχή απέστειλε το υπ’ αρ. πρωτ. Γ/ΕΞΕ/2444/27-09-2023 έγγραφο με το οποίο ζήτησε επιπλέον διευκρινίσεις σχετικά με το εύρος χρήσης μάσκας (masking), τη δοκιμαστική λειτουργία της μάσκας, το σκοπό και τη συχνότητα της εποπτείας στο καταγραφικό μηχάνημα, την αιτιολόγηση της αναγκαιότητας της εφαρμογής για απομακρυσμένη πρόσβαση εφόσον δεν χρησιμοποιείται από κάποιον και τις αντιφάσεις μεταξύ της μελέτης εκτίμησης αντικτύπου και του αρχείου δραστηριοτήτων σχετικά με το σκοπό της επεξεργασίας. Καθώς μετά την πάροδο πλέον του ενός μηνός ο υπεύθυνος επεξεργασίας δεν είχε απαντήσει, η Αρχή απέστειλε το υπ’ αρ. πρωτ. Γ/ΕΞΕ/525/12-02-2024 έγγραφο προς υπενθύμιση. Ο υπεύθυνος επεξεργασίας απάντησε με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/1469/23-02-2024 έγγραφο, στο οποίο αναφέρονται τα εξής: • Ο σκοπός της εγκατάστασης του συστήματος βιντεοεπιτήρησης είναι η προστασία δημόσιας περιουσίας και η νομική βάση που χρησιμοποιείται είναι η 6 παρ. 1 περ στ’. • Έχουν τοποθετηθεί ενημερωτικές πινακίδες για προειδοποίηση της λειτουργίας του συστήματος βιντεοεπιτήρησης τόσο στην είσοδο-έξοδο του αμαξοστασίου, όσο και σε κάθε σημείο που είναι τοποθετημένες οι κάμερες. Σε κάθε ενημερωτική πινακίδα υπάρχει και ο σχετικός σύνδεσμος που αφορά στην ενημέρωση β’ επιπέδου, η οποία και είναι διαθέσιμη σε όλους τους εργαζόμενους στο γραφείο του Προϊσταμένου. • Έγινε αξιολόγηση για επανατοποθέτηση των καμερών σε σημεία τέτοια ώστε να παρέχεται καλύτερη προστασία του στόλου του υπεύθυνου επεξεργασίας. 5 • Δεν υφίσταται ζήτημα παρακολούθησης των εργαζομένων από το σύστημα βιντεοεπιτήρησης καθώς υπάρχει χωριστό σύστημα ελέγχου εισόδου – εξόδου των εργαζομένων από τον εργασιακό χώρο για την τήρηση ωραρίου. • Ο χρόνος τήρησης των δεδομένων είναι τρεις

(3)ημέρες. Μετά το πέρας του ανωτέρω χρονικού διαστήματος το υλικό από το σύστημα βιντεοεπιτήρησης διαγράφεται αυτόματα. • Οι κάμερες διαθέτουν κατάλληλα τεχνικά και οργανωτικά μέτρα, όπως μηχανισμό κρυπτογράφησης, λειτουργία face mask, ενώ σύμφωνα με την μελέτη που έχει εκπονηθεί θα τοποθετηθεί μηχανισμός ελέγχου καταγραφής εισόδου-εξόδου στο χώρο που φυλάσσεται το καταγραφικό. • Οι ήδη εγκατεστημένες κάμερες, όπως η κάμερα CH1 και η κάμερα CH2, των οποίων το πεδίο λήψης τους καλύπτεται και από τις κάμερες CH5 και CH8, είναι εφεδρικές στην περίπτωση καταστροφής μιας εκ των καμερών. Επιπλέον, η αρχική τοποθέτηση των καμερών είχε λάβει χώρα εμπειρικά και χωρίς προηγούμενο κατάλληλο σχεδιασμό. • Ο Προϊστάμενος αποκτά πρόσβαση στο καταγραφικό μηχάνημα μόνο σε περίπτωση περιστατικού. Επιπλέον μόνον ο Προϊστάμενος διαθέτει τους κωδικούς για την απομακρυσμένη σύνδεση με σκοπό την εποπτεία του χώρου σε περιπτώσεις έκτακτης ανάγκης, όπως σε περίπτωση εκδήλωσης πυρκαγιάς. • Αντιφατικά σημεία μεταξύ της εκτίμησης αντικτύπου και του αρχείου δραστηριοτήτων ελήφθησαν υπόψη, αξιολογήθηκαν και διορθώθηκαν. • Έχει αναπτυχθεί η πολιτική «Πολιτική Λειτουργίας και Χρήσης Κλειστού Κυκλώματος Τηλεόρασης (CCTV)», στην οποία γίνεται αναφορά σε ζητήματα του σκοπού και του πεδίου εφαρμογής του συστήματος βιντεοεπιτήρησης, των αρμοδιοτήτων, της εγκατάστασης και λειτουργίας του συστήματος βιντεοεπιτήρησης, της διαδικασίας καταγραφής δεδομένων, του περιοδικού ελέγχου, της επικοινωνίας και του χειρισμού περιστατικών παραβίασης της ανωτέρω πολιτικής. Στη συνέχεια και αφού η Αρχή εξέτασε τα στοιχεία του φακέλου, απέστειλε την υπ’ αριθ. πρωτ. Γ/ΕΞΕ/182/14-01-2025 κλήση προς τον υπεύθυνο επεξεργασίας ενώπιον της Ολομέλειας της Αρχής την Τρίτη 21 Ιανουαρίου 2025. Στην εν λόγω συνεδρίαση, η οποία 6 πραγματοποιήθηκε μέσω τηλεδιάσκεψης, ήταν παρόντες εκ μέρους του υπεύθυνου επεξεργασίας οι Α, Αντιδήμαρχος Περιβάλλοντος, Καθαριότητας και κυκλικής Οικονομίας, Β, Γενικός Γραμματέας Δήμου, Γ, Προϊστάμενος Διεύθυνσης του Περιβάλλοντος, Καθαριότητας και κυκλικής Οικονομίας, Στέργιος Γαβριήλ του Κωνσταντίνου, δικηγόρος με ΑΜΔΣΑ …, ενώ παρών ήταν και ο Δ, Υπεύθυνος Προστασίας Δεδομένων. Κατά τη συνεδρίαση ο υπεύθυνος επεξεργασίας έλαβε προθεσμία για υποβολή υπομνήματος και υπέβαλε το υπ΄ αριθ. πρωτ. Γ/ΕΙΣ/977/03-02-2025 υπόμνημα, με το οποίο επανέλαβε κατ’ ουσίαν τους ισχυρισμούς που εξέθεσε και προηγουμένως ενώπιον της Αρχής. Συγκεκριμένα, στο υπόμνημα αναφέρεται ότι το σύστημα βιντεοεπιτήρησης εγκαταστάθηκε ως συμπληρωματικό μέτρο στην τοποθέτηση των φυλάκων για την προστασία της δημόσιας περιούσιας. Επιλέχθηκε το ανωτέρω μέτρο λόγω χαμηλότερου κόστους σε σχέση με την ανάθεση της φύλαξης του χώρου σε εταιρεία φύλαξης σε ετήσια βάση. Επισημαίνει ότι οι κάμερες πληρούν τα κριτήρια περί προσωπικών δεδομένων, ενώ ισχυρίζεται ότι έχει διαμορφωθεί ενημέρωση α’ και β’ επιπέδου, ενώ δεν πραγματοποιείται λήψη εικόνας από παράπλευρες οδούς και γειτονικές οικίες και έχουν εφαρμοστεί τεχνικές για την προστασία των φυσικών προσώπων (όπως face blurring). Το καταγραφικό του συστήματος βιντεοεπιτήρησης βρίσκεται σε φυλασσόμενο χώρο στον οποίο πρόσβαση έχει μόνον ο προϊστάμενος της υπηρεσίας και τα δεδομένα τηρούνται για τρεις

(3)ημέρες. Τέλος αναφέρει ότι έχει ξεκινήσει εκπόνηση μελέτης ασφάλειας και εκτίμησης αντικτύπου. Η Αρχή, έπειτα από εξέταση των στοιχείων του φακέλου και όσων προέκυψαν από την ενώπιόν της ακροαματική διαδικασία και το υπόμνημα του υπεύθυνου επεξεργασίας, με τα συμπληρωματικά έγγραφα αυτού, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από την βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ

1. Επειδή, από τις διατάξεις των άρθρων 51 και 55 του ΓΚΠΔ και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. 7
2. Επειδή, περαιτέρω, η εικόνα ενός ατόμου η οποία συλλέγεται δια της χρήσης συστήματος βιντεοεπιτήρησης συνιστά δεδομένο προσωπικού χαρακτήρα, στο βαθμό που παρέχεται η δυνατότητα ταυτοποίησης του συγκεκριμένου φυσικού προσώπου1 άμεσα ή έμμεσα, ενώ η λήψη ή και καταγραφή της εικόνας η οποία αποθηκεύεται και διατηρείται σε μηχανισμό βιντεοσκόπησης συνεχούς ροής, όπως π.χ. σε σκληρό δίσκο του συστήματος, συνιστά αυτοματοποιημένη επεξεργασία δεδομένων
3. Με βάση τον ορισμό του άρθρου 4 περ 1 του Γενικού Κανονισμού για την Προστασία Δεδομένων (Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, εφεξής ΓΚΠΔ) δεδομένα προσωπικού χαρακτήρα είναι «κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων»)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου». Συνεπώς, ταυτοποίηση ενός προσώπου μέσω οπτικού υλικού μπορεί να πραγματοποιηθεί με βάση την εμφάνισή του ή άλλα ειδικά στοιχεία
5. Επειδή, η εγκατάσταση και λειτουργία συστημάτων βιντεοεπιτήρησης με τη λήψη ή και καταγραφή εικόνας ή και ήχου δια της συλλογής, διατήρησης, αποθήκευσης, πρόσβασης και διαβίβασης δεδομένων προσωπικού χαρακτήρα, ακόμη και από δημόσιο χώρο4, συνιστούν ως επιμέρους πράξεις επεξεργασίας, επέμβαση στα ατομικά δικαιώματα του σεβασμού της ιδιωτικής ζωής κατ’ άρθρα 9 του Συντάγματος, 7 ΧΘΔΕΕ5 και 8 ΕΣΔΑ καθώς και της προστασίας των δεδομένων προσωπικού χαρακτήρα κατ’ άρθρα 9Α του Συντάγματος, 8 ΕΣΔΑ και 8 ΧΘΔΕΕ
6. 1 ΔΕΕ C-212/13 απόφαση Rynes παρ. 22, ΔΕΕ C-345/17 απόφαση Sergejs Buivids παρ. 31, ΔΕΕ C-708/18 απόφαση TK κατά M5A παρ.
7. 2 ΔΕΕ Rynes παρ. 23, 25, Sergejs Buivids παρ. 34, ΤΚ παρ. 34 3 Βλ. ΕΣΠΔ ΚΓ 3/2019 σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα μέσω βιντεοσυσκευών – σελ. 7 4 ΕΔΔΑ Vukota-Bojic v Switzerland, 61838/10, 18.10.2016, § 52 επ., Lopez Ribalda v Spain (GC), 1874/13 & 8567/13, 17.10.2019, §§ 89, 93, Antovic & Mirkovic v Montenegro, 70838/13, 28.11.2017, § 42, Uzun v. Germany, 35623/05, 2.9.2010, §46, Peck v UK, 44647/98, 28.01.2003, §59 5 ΔΕΕ Digital Rights Ireland παρ. 29 6 ΔΕΕ Digital Rights Ireland παρ. 38 8
8. Επειδή, η εγκατάσταση και λειτουργία σχετικού συστήματος βιντεοεπιτήρησης είναι νόμιμη, εφόσον, κατ΄ αρχάς, πληρούνται σωρευτικά οι προϋποθέσεις των άρθρων 5 (γενικές αρχές) και 6 (νόμιμη βάση) ΓΚΠΔ. Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (εφεξής, ΕΣΠΔ) εξέδωσε τις κατευθυντήριες γραμμές 3/20197 σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα, μέσω συσκευών λήψης βίντεο. Το κείμενο αυτό παρέχει αναλυτική καθοδήγηση για τον τρόπο εφαρμογής του ΓΚΠΔ σε σχέση με τη χρήση καμερών για διαφόρους σκοπούς. Περαιτέρω, οι διατάξεις της Οδηγίας 1/2011 της Αρχής σχετικά με το ζήτημα της χρήσης συστημάτων βιντεοεπιτήρησης για το σκοπό της προστασίας προσώπων και αγαθών πρέπει να λαμβάνονται υπόψη ως καθοδήγηση, σε συνδυασμό με τις ανωτέρω διατάξεις του ΓΚΠΔ. Τη συναφή δε υποχρέωση απόδειξης της νομιμότητας φέρει ο υπεύθυνος επεξεργασίας κατ’ εφαρμογή της αρχής της λογοδοσίας στο πλαίσιο της συμμόρφωσης και τεκμηρίωσης αυτής, η οποία πρέπει να λαμβάνει χώρα σε χρόνο προ της εγκατάστασης και λειτουργίας του συστήματος (βλ. και απόφαση 43/2019 της Αρχής).
9. Επειδή, σύμφωνα με το άρθρο 5 παρ. 1 στ. α’ του ΓΚΠΔ τα δεδομένα προσωπικού χαρακτήρα «υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»)».
10. Επειδή, σύμφωνα με το άρθρο 5 παρ. 1 στ. γ’ του ΓΚΠΔ τα δεδομένα προσωπικού χαρακτήρα «είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων»).
11. Επειδή, σύμφωνα με το άρθρο 5 παρ. 2 του ΓΚΠΔ, «Ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 («λογοδοσία»)».
12. Επειδή, σύμφωνα με το άρθρο 6 του ΓΚΠΔ, «Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις: α) το υποκείμενο των δεδομένων έχει συναινέσει στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς, 7 Βλ. Κατευθυντήριες Γραμμές υπ’ αρ. 3/2019 ΕΣΠΔ on processing of personal data through video devices σελ.
13. 9 β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ' αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης, γ) η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας, δ) η επεξεργασία είναι απαραίτητη για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου, ε) η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας, στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί. Το στοιχείο στ) του πρώτου εδαφίου δεν εφαρμόζεται στην επεξεργασία που διενεργείται από δημόσιες αρχές κατά την άσκηση των καθηκόντων τους.».
14. Επειδή, σύμφωνα με το άρθρο 25 παρ. 1 και 2 του ΓΚΠΔ «
15. Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων από την επεξεργασία, ο υπεύθυνος επεξεργασίας εφαρμόζει αποτελεσματικά, τόσο κατά τη στιγμή του καθορισμού των μέσων επεξεργασίας όσο και κατά τη στιγμή της επεξεργασίας, κατάλληλα τεχνικά και οργανωτικά μέτρα, όπως η ψευδωνυμοποίηση, σχεδιασμένα για την εφαρμογή αρχών προστασίας των δεδομένων, όπως η ελαχιστοποίηση των δεδομένων, και την ενσωμάτωση των απαραίτητων εγγυήσεων στην επεξεργασία κατά τρόπο ώστε να πληρούνται οι απαιτήσεις του παρόντος κανονισμού και να προστατεύονται τα δικαιώματα των υποκειμένων των δεδομένων.
16. Ο υπεύθυνος επεξεργασίας εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα για να διασφαλίζει ότι, εξ ορισμού, υφίστανται επεξεργασία μόνο τα δεδομένα προσωπικού χαρακτήρα που είναι απαραίτητα για τον εκάστοτε σκοπό της επεξεργασίας. Αυτή η υποχρέωση ισχύει για το εύρος των δεδομένων προσωπικού 10 χαρακτήρα που συλλέγονται, τον βαθμό της επεξεργασίας τους, την περίοδο αποθήκευσης και την προσβασιμότητά τους. Ειδικότερα, τα εν λόγω μέτρα διασφαλίζουν ότι, εξ ορισμού, τα δεδομένα προσωπικού χαρακτήρα δεν καθίστανται προσβάσιμα χωρίς την παρέμβαση του φυσικού προσώπου σε αόριστο αριθμό φυσικών προσώπων.».
17. Επειδή, σύμφωνα με το άρθρο 12 παρ. 1 του ΓΚΠΔ «Ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που αναφέρεται στα άρθρα 13 και 14 και κάθε ανακοίνωση στο πλαίσιο των άρθρων 15 έως 22 και του άρθρου 34 σχετικά με την επεξεργασία σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση, ιδίως όταν πρόκειται για πληροφορία απευθυνόμενη ειδικά σε παιδιά. Οι πληροφορίες παρέχονται γραπτώς ή με άλλα μέσα, μεταξύ άλλων, εφόσον ενδείκνυται, ηλεκτρονικώς. Όταν ζητείται από το υποκείμενο των δεδομένων, οι πληροφορίες μπορούν να δίνονται προφορικά, υπό την προϋπόθεση ότι η ταυτότητα του υποκειμένου των δεδομένων είναι αποδεδειγμένη με άλλα μέσα».
18. Επειδή, σύμφωνα με το άρθρο 13 του ΓΚΠΔ «
19. Όταν δεδομένα προσωπικού χαρακτήρα που αφορούν υποκείμενο των δεδομένων συλλέγονται από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων όλες τις ακόλουθες πληροφορίες: α) την ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και, κατά περίπτωση, του εκπροσώπου του υπευθύνου επεξεργασίας, β) τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων, κατά περίπτωση, γ) τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία, δ) εάν η επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο στ), τα έννομα συμφέροντα που επιδιώκονται από τον υπεύθυνο επεξεργασίας ή από τρίτο, ε) τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων προσωπικού χαρακτήρα, εάν υπάρχουν, στ) κατά περίπτωση, την πρόθεση του υπευθύνου επεξεργασίας να διαβιβάσει δεδομένα προσωπικού χαρακτήρα σε τρίτη χώρα ή διεθνή οργανισμό και την ύπαρξη ή την απουσία απόφασης επάρκειας της Επιτροπής ή, όταν πρόκειται για τις διαβιβάσεις που αναφέρονται στο άρθρο 11 46 ή 47 ή στο άρθρο 49 παράγραφος 1 δεύτερο εδάφιο, αναφορά στις ενδεδειγμένες ή κατάλληλες εγγυήσεις και τα μέσα για να αποκτηθεί αντίγραφό τους ή στο πού διατέθηκαν.
20. Εκτός από τις πληροφορίες που αναφέρονται στην παράγραφο 1, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων τις εξής επιπλέον πληροφορίες που είναι αναγκαίες για την εξασφάλιση θεμιτής και διαφανούς επεξεργασίας: α) το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα προσωπικού χαρακτήρα ή, όταν αυτό είναι αδύνατο, τα κριτήρια που καθορίζουν το εν λόγω διάστημα, β) την ύπαρξη δικαιώματος υποβολής αιτήματος στον υπεύθυνο επεξεργασίας για πρόσβαση και διόρθωση ή διαγραφή των δεδομένων προσωπικού χαρακτήρα ή περιορισμό της επεξεργασίας που αφορούν το υποκείμενο των δεδομένων ή δικαιώματος αντίταξης στην επεξεργασία, καθώς και δικαιώματος στη φορητότητα των δεδομένων, γ) όταν η επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο α) ή στο άρθρο 9 παράγραφος 2 στοιχείο α), την ύπαρξη του δικαιώματος να ανακαλέσει τη συγκατάθεσή του οποτεδήποτε, χωρίς να θιγεί η νομιμότητα της επεξεργασίας που βασίστηκε στη συγκατάθεση πριν από την ανάκλησή της, δ) το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή, ε) κατά πόσο η παροχή δεδομένων προσωπικού χαρακτήρα αποτελεί νομική ή συμβατική υποχρέωση ή απαίτηση για τη σύναψη σύμβασης, καθώς και κατά πόσο το υποκείμενο των δεδομένων υποχρεούται να παρέχει τα δεδομένα προσωπικού χαρακτήρα και ποιες ενδεχόμενες συνέπειες θα είχε η μη παροχή των δεδομένων αυτών, στ) την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που αναφέρεται στο άρθρο 22 παράγραφοι 1 και 4 και, τουλάχιστον στις περιπτώσεις αυτές, σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων.
21. Όταν ο υπεύθυνος επεξεργασίας προτίθεται να επεξεργαστεί περαιτέρω τα δεδομένα προσωπικού χαρακτήρα για άλλο σκοπό από εκείνο για τον οποίο τα δεδομένα προσωπικού χαρακτήρα συλλέχθηκαν, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων, πριν από την εν λόγω περαιτέρω επεξεργασία, πληροφορίες για τον σκοπό αυτόν και άλλες τυχόν αναγκαίες πληροφορίες, όπως αναφέρεται στην παράγραφο
22. 4 …». 12
23. Επειδή, σύμφωνα με άρθρο 27 παρ. 7 του ν. 4624/2019 «… Οι εργαζόμενοι ενημερώνονται εγγράφως, είτε σε γραπτή είτε σε ηλεκτρονική μορφή για την εγκατάσταση και λειτουργία κλειστού κυκλώματος οπτικής καταγραφής εντός των χώρων εργασίας.»
24. Επειδή, σύμφωνα με το άρθρο 30 του ΓΚΠΔ, «
25. Κάθε υπεύθυνος επεξεργασίας και, κατά περίπτωση, ο εκπρόσωπός του, τηρεί αρχείο των δραστηριοτήτων επεξεργασίας για τις οποίες είναι υπεύθυνος. Το εν λόγω αρχείο περιλαμβάνει όλες τις ακόλουθες πληροφορίες: α) το όνομα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και, κατά περίπτωση, του από κοινού υπευθύνου επεξεργασίας, του εκπροσώπου του υπευθύνου επεξεργασίας και του υπευθύνου προστασίας δεδομένων, β) …».
26. Εν προκειμένω, στην υπό εξέταση περίπτωση όπως προκύπτει από τα στοιχεία του φακέλου: α) Για την εγκατάσταση του συστήματος βιντεοεπιτήρησης δεν είχε προηγηθεί σχετική μελέτη ώστε να διασφαλιστεί ότι οι κάμερες που θα αγοραστούν και θα τοποθετηθούν, θα επαρκούν και θα εγκατασταθούν στα σωστά σημεία ώστε να εξυπηρετούν τον επιδιωκόμενο σκοπό. Ο υπεύθυνος επεξεργασίας αρχικά είχε αποφασίσει για την τοποθέτηση πέντε

(5)καμερών, ενώ φαίνεται από τα στιγμιότυπα οθονών ότι χρησιμοποιούνται επτά

(7)κάμερες, αφού οι δύο

(2)επιπλέον τοποθετήθηκαν αργότερα με χορηγία απλώς υπαλλήλου του αρμόδιου τμήματος και έγκριση από τον Προϊστάμενό του. Σύμφωνα δε με την μελέτη εκτίμησης αντικτύπου που εκπονήθηκε κατόπιν της εξέτασης των σχετικών αναφορών, ήδη φαίνεται να χρησιμοποιούνται οκτώ

(8)κάμερες. Επομένως, ο υπεύθυνος επεξεργασίας δεν εξέτασε, ως όφειλε, πριν από την εγκατάσταση τη νομιμότητα του συστήματος βιντεοεπιτήρησης, η οποία αποτελεί προϋπόθεση της νομιμότητας της σχετικής επεξεργασίας προσωπικών δεδομένων αλλά ούτε εξέτασε τις ανάγκες ασφάλειας ώστε να περιορίσει την επιτήρηση μόνο στα σημεία που είναι κατάλληλα, συναφή και αναγκαία για την εκπλήρωση του σκοπού της επεξεργασίας καθώς δεν εγκατέστησε τον ελάχιστο απαιτούμενο αριθμό καμερών και στα σωστά σημεία. Εξάλλου, πριν από τη λειτουργία του συστήματος βιντεοεπιτήρησης, ο υπεύθυνος επεξεργασίας είναι υποχρεωμένος να αξιολογεί 13 πότε και πού τα μέτρα βιντεοεπιτήρησης είναι απολύτως αναγκαία.8 Επιπλέον, η απόφαση για την εγκατάσταση προκύπτει ότι λήφθηκε στις 12/12/2022, μεταγενέστερα της ίδιας της εγκατάστασης που έλαβε χώρα στις 28/05/2021. Συνεπώς, από τα ανωτέρω προκύπτει ότι ο υπεύθυνος επεξεργασίας δεν έλαβε υπόψη του την αρχή της ελαχιστοποίησης και δεν διερεύνησε την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων προτού ξεκινήσει τη συλλογή και επεξεργασία υλικού από το σύστημα βιντεοεπιτήρησης ώστε να διασφαλίσει την προστασία προσωπικών δεδομένων εξ ορισμού και από τη φάση του σχεδιασμού. β) Ο υπεύθυνος επεξεργασίας επικαλείται ως νομική βάση το έννομο συμφέρον που επιδιώκει ο υπεύθυνος επεξεργασίας σύμφωνα με το άρθρο 6 παρ. 1 στοιχ. στ του ΓΚΠΔ. Το ανωτέρω όμως δεν εφαρμόζεται στις περιπτώσεις που η επεξεργασία διενεργείται από δημόσιες αρχές κατά την άσκηση των καθηκόντων τους και επομένως ο υπεύθυνος επεξεργασίας δεν επέλεξε την κατάλληλη νομική βάση. Αντίθετα, κατάλληλη νομική βάση αποτελεί η εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας σύμφωνα με το άρθρο 6 παρ. 1 στοιχ. ε. γ) Ως προς το ειδικότερο ζήτημα της βιντεοεπιτήρησης με σκοπό την παρακολούθηση των εργαζομένων κατά το χρόνο εργασίας τους, από τα στοιχεία που έχει στη διάθεσή της η Αρχή, δεν μπορεί να διαπιστώσει χωρίς αμφιβολίες ότι έλαβε χώρα η παρακολούθησή τους. δ) Ο υπεύθυνος επεξεργασίας απασχολεί περίπου διακόσιους

(200)εργαζόμενους στον συγκεκριμένο τομέα. Η ενημέρωσή τους είχε γίνει προφορικά, σύμφωνα με τους ισχυρισμούς του υπευθύνου επεξεργασίας, οι οποίοι όμως δεν αποδεικνύονται και άρα δεν μπορεί να γίνουν δεκτοί με βάση την αρχή της λογοδοσίας του άρθρου 5 παρ. 2 ΓΚΠΔ, ενώ προς ενημέρωση επίσης είχαν τοποθετηθεί ενημερώσεις σε σελίδες Α4 στα σημεία προσέλευσης-αποχώρησης των εργαζομένων στα διάφορα σημεία που αυτά είναι τοποθετημένα εντός του δημοτικού αμαξοστασίου. Αργότερα τοποθετήθηκαν ενημερωτικές πινακίδες από 8 Βλ. αιτ. σκ. 26 Κατευθυντήριες Γραμμές 3/2019 σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα μέσω βιντεοσυσκευών https://www.edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201903_video_devices_el.pdf 14 την εξέταση των οποίων φαίνεται ότι στο σημείο με τα στοιχεία επικοινωνίας του υπεύθυνου επεξεργασίας έχουν δοθεί τα στοιχεία του ΥΠΔ, ενώ η ενημέρωση β’ επιπέδου βρίσκεται στο γραφείο του Προϊσταμένου. Σύμφωνα με την μελέτη εκτίμησης αντικτύπου που διενεργήθηκε, συνιστάται η αποστολή ενημέρωσης β’ επιπέδου στις προσωπικές ηλεκτρονικές διευθύνσεις (email) των εργαζομένων. Με τα παραπάνω δεδομένα στοιχειοθετείται παράβαση της υποχρέωσής του υπευθύνου επεξεργασίας να ενημερώσει τους εργαζομένους για την εγκατάσταση και λειτουργία κλειστού κυκλώματος οπτικής καταγραφής εντός των χώρων εργασίας συμφώνως με τα όσα προβλέπονται στο άρθρο 12 παρ. 1 του ΓΚΠΔ «(…λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία)» εν όψει και της διάταξης του άρθρου 27 παράγραφο 7 του ν. 4624/2019, κατά την οποία ο υπεύθυνος επεξεργασίας όφειλε να ενημερώσει για τα στοιχεία του άρθρου 13 εγγράφως είτε σε γραπτή είτε σε ηλεκτρονική μορφή. Μάλιστα η ενημέρωση αυτή έπρεπε να είχε γίνει πριν την έναρξη λειτουργίας του συστήματος. Εξάλλου, η ενημέρωση μέσω πινακίδας και ενημέρωσης β’ επιπέδου δεν είναι πρόσφορη για τις περιπτώσεις εργαζομένων, ενώ είναι πρόσφορη για τις περιπτώσεις επισκεπτών, ανεξαρτήτως του ζητήματος αν η πρόσβαση για την ενημέρωση β’ επιπέδου γίνεται μέσω του γραφείου του προϊσταμένου το οποίο δεν αποτελεί ορθή πρακτική καθώς δεν βρίσκεται σε εύκολα προσβάσιμο χώρο. ε) Ο καταγγελλόμενος υπεύθυνος επεξεργασίας διαθέτει μια εφαρμογή για απομακρυσμένη σύνδεση με το σύστημα βιντεοεπιτήρησης, η οποία μπορεί να χρησιμοποιηθεί, σύμφωνα με όσα αναφέρονται από τον υπεύθυνο επεξεργασίας, μόνον από τον Προϊστάμενο κάνοντας χρήση των κωδικών διαχειριστή (admin) και μόνο σε περιπτώσεις έκτακτης ανάγκης, όπως σε περίπτωση πυρκαγιάς. Σύμφωνα με τα όσα αναφέρονται στην μελέτη εκτίμησης αντικτύπου «Η επεξεργασία σε σχέση με τις κάμερες στο Δημοτικό Αμαξοστάσιο θα πραγματοποιηθεί από το Δήμο Μοσχάτου - Ταύρου και τους εξουσιοδοτημένους για την συγκεκριμένη επεξεργασία υπαλλήλους του. Πρόσβαση στις κάμερες στο Δημοτικό Αμαξοστάσιο και στο υλικό που μεταδίδεται (χωρίς καταγραφή) για στιγμιαίες θεάσεις προς διαπίστωση της καλής λειτουργίας των καμερών, θα έχουν, μέσω του web based διαχειριστικού συστήματος και με πρόσβαση σε συγκεκριμένη διεύθυνση url και χρήση ειδικών κωδικών πρόσβασης, αποκλειστικά οι εξουσιοδοτημένοι υπάλληλοι 15 του Δήμου Μοσχάτου – Ταύρου. Η επεξεργασία σε σχέση με τις κάμερες στο Δημοτικό Αμαξοστάσιο θα πραγματοποιηθεί από τον ίδιο το Δήμο Μοσχάτου Ταύρου και τους εξουσιοδοτημένους για την επεξεργασία αυτή υπαλλήλους του.». Από τα στοιχεία που προσκομίζει ο υπεύθυνος επεξεργασίας δεν τεκμηριώνεται η ανάγκη της παρακολούθησης των καμερών σε πραγματικό χρόνο από τον Προϊστάμενο καθώς ο σκοπός που αναφέρεται (έκτακτη ανάγκη) εξυπηρετείται από τους υφιστάμενους φύλακες (οι οποίοι μάλιστα θα έπρεπε να έχουν πρόσβαση στις εικόνες καθώς τα καθήκοντά τους περιλαμβάνουν την ασφάλεια του χώρου), ενώ δεν έχει ληφθεί κανένα μέτρο ώστε να διασφαλίζεται ότι η χρήση των καμερών περιορίζεται στο σκοπό της ασφάλειας. Σε κάθε περίπτωση, η δυνατότητα παρακολούθησης καμερών του συστήματος από τον Προϊστάμενο συνιστά χρήση οθόνης προβολής ανεξαρτήτως της συχνότητας χρήσης που επικαλείται ο υπεύθυνος επεξεργασίας. H παρακολούθηση σε πραγματικό χρόνο μπορεί να είναι περισσότερο παρεμβατική από την αποθήκευση με αυτόματη διαγραφή υλικού μετά την παρέλευση ορισμένου χρόνου και ενέχει κίνδυνο χρήσης των δεδομένων που λαμβάνονται από το σύστημα για σκοπό διαφορετικό από τον δηλωμένο, κατά παράβαση της αρχής της προστασίας των δεδομένων από το σχεδιασμό. Ενδεικτικά αναφέρεται ότι δεν υπάρχει καταγραφή των προσβάσεων στην εφαρμογή ούτε και στο καταγραφικό που βρίσκεται κλειδωμένο σε ειδικό ερμάριο. στ) Ο υπεύθυνος επεξεργασίας έχει καταγεγραμμένο αρχείο δραστηριοτήτων επεξεργασίας, το οποίο κατά τη διάρκεια εξέτασης του φακέλου ήταν ελλιπές καθώς δεν αναγράφονταν πληροφορίες που ορίζονται στο άρθρο 30 ΓΚΠΔ σχετικά με το όνομα και τα στοιχεία του υπευθύνου επεξεργασίας και του υπεύθυνου προστασίας δεδομένων. Επιπλέον ήταν ανακριβές, καθώς είχαν εντοπιστεί αντιφάσεις σχετικά με το σκοπό της επεξεργασίας, ο οποίος στο αρχείο δραστηριοτήτων αναγραφόταν μόνο ως η προστασία της περιουσίας του υπεύθυνου επεξεργασίας, ενώ στην μελέτη εκτίμησης αντικτύπου αναγραφόταν ότι ο σκοπός της επεξεργασίας είναι και η προστασία του προσωπικού ή τρίτων που βρίσκονται στον επιτηρούμενο χώρο.

1. Συνεπώς βάσει των ανωτέρω, η Αρχή διαπιστώνει τις εξής παραβάσεις για τον υπεύθυνο επεξεργασίας: α) Παράβαση του άρθρου 25 παρ.1 του ΓΚΠΔ σε συνδυασμό με το άρθρο 5 παρ. 1 16 στοιχ. γ’ του ΓΚΠΔ και το άρθρο 5 παρ. 2 του ΓΚΠΔ αναφορικά με την προστασία των δεδομένων ήδη από το σχεδιασμό, αφού δεν είχε σχεδιαστεί εξ αρχής η σωστή τοποθέτηση των καμερών, ενώ δεν τεκμηριώνεται ότι η λαμβανόμενη εικόνα από τις κάμερες είναι η ελάχιστη αναγκαία για την εξυπηρέτηση του επιδιωκόμενου σκοπού, β) Παράβαση του άρθρου 13 του ΓΚΠΔ, σε συνδυασμό με το άρθρο 12 παρ. 1 και το άρθρο 5 παρ. 1 στοιχ. α’ (λαμβάνοντας υπόψη και το άρθρο 27 παρ. 7 του ν. 4624/2019), αναφορικά με τη διαφάνεια της επεξεργασίας και την ενημέρωση των εργαζομένων σχετικά με την εγκατάσταση του συστήματος βιντεοεπιτήρησης, τον κατά τον ΓΚΠΔ σκοπό της επεξεργασίας και το μη προσδιορισμό του προσώπου στο οποίο μπορεί να απευθυνθούν οι εργαζόμενοι όπως αυτά προκύπτουν από τα σχετικά έγγραφα, γ) Παράβαση του άρθρου 30 παρ. 1 στοιχ. α’ και στοιχ. β’ του ΓΚΠΔ, αναφορικά με τη μη ορθή συμπλήρωση του αρχείου δραστηριοτήτων επεξεργασίας καθώς το αρχικό αρχείο δραστηριοτήτων που είχε διαμορφωθεί δεν ήταν συμπληρωμένο σωστά ή ελλιπές καθώς είχαν εντοπιστεί αρκετές αντιφάσεις σε σχέση με τον σκοπό επεξεργασίας, οι οποίες όμως ελήφθησαν υπόψη και διορθώθηκαν κατά την διάρκεια της εξέτασης του φακέλου από τον υπεύθυνο επεξεργασίας. Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση άσκησης των εκ του άρθρου 58 παρ. 2 ΓΚΠΔ διορθωτικών εξουσιών της σε σχέση με τις διαπιστωθείσες παραβάσεις.
2. Η Αρχή κρίνει περαιτέρω ότι πρέπει, με βάση τις παραβάσεις που διαπιστώθηκαν, να επιβληθεί, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ ΓΚΠΔ, αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο, συμφώνως προς τα άρθρα 83 ΓΚΠΔ και 39 του Ν. 4624/2019, στον υπεύθυνο επεξεργασίας.
3. Περαιτέρω η Αρχή έλαβε υπόψη τα κριτήρια επιμέτρησης του προστίμου που ορίζονται στο άρθρο 39, παρ. 2 του ν. 4624/2019 και αφορά την επιβολή διοικητικών κυρώσεων στους φορείς του δημόσιου τομέα και τις Κατευθυντήριες Γραμμές 04/2022 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων9 για τον 9 https://www.edpb.europa.eu/system/files/2024-01/edpb_guidelines_042022_calculationofadministrativefines_el_0.pdf 17 υπολογισμό των διοικητικών προστίμων υπό τον ΓΚΠΔ οι οποίες εγκρίθηκαν στις 24/5/2023, καθώς και τα πραγματικά δεδομένα της εξεταζόμενης υπόθεσης και ιδίως τα εξής: i) Οι ανωτέρω διαπιστωθείσες παραβάσεις σύμφωνα με το άρθρο 39 του ν. 4624 μπορούν να επιφέρουν διοικητικό πρόστιμο έως 10.000.000 ευρώ. ii) Το γεγονός ότι η επεξεργασία αφορά σε υποκείμενα των δεδομένων που είναι εργαζόμενοι του υπεύθυνου επεξεργασίας και επομένως αφορά σε ευάλωτα υποκείμενα των δεδομένων. iii) Το γεγονός ότι η επεξεργασία δεδομένων προσωπικών χαρακτήρα δεν εμπίπτει στις βασικές δραστηριότητες του υπεύθυνου επεξεργασίας. iv) Το γεγονός ότι ο καταγγελλόμενος υπεύθυνος επεξεργασίας δεν ενημέρωσε κατά τον προβλεπόμενο τρόπο τους εργαζομένους για την εγκατάσταση και λειτουργία του συστήματος βιντεοεπιτήρησης καθώς και τον σκοπό της ανωτέρω επεξεργασίας. v) Το γεγονός ότι ο καταγγελλόμενος υπεύθυνος επεξεργασίας δεν συμμορφώθηκε προς τις υποχρεώσεις του εκ του ΓΚΠΔ, αλλ’ αντιθέτως παραβίασε τις υποχρεώσεις του αυτές με ενέργειες του, οι οποίες, ενόψει της ιδιότητάς του ως οργανισμού τοπικής αυτοδιοίκησης έχουν ιδιαίτερη βαρύτητα, προχωρώντας αρχικά σε επεξεργασία δεδομένων χωρίς απόφαση αρμόδιου οργάνου, ενώ η μεταγενέστερη απόφαση ελήφθη χωρίς ουσιαστική εκτίμηση αναγκαιότητας και αναλογικότητας κατά παράβαση των διατάξεων του ΓΚΠΔ σχετικά με την προστασία των δεδομένων από τον σχεδιασμό και εξορισμού vi) Το γεγονός ότι ο υπεύθυνος επεξεργασίας επιλήφθηκε άμεσα της εξέτασης των ζητημάτων που προέκυψαν κατόπιν των ανωτέρω αναφορών και έναρξης της διερεύνησής τους από την Αρχή, αλλά χωρίς να αναλάβει μέτρα για να αντιμετωπίσει την παράβαση καθ’ όλη τη διάρκεια εξέτασης της υπόθεσης (δηλαδή επί περίπου δύο έτη) καθώς ο υπεύθυνος επεξεργασίας δεν εφάρμοσε μέτρα για τη διασφάλιση της σύννομης επεξεργασίας προσωπικών δεδομένων, 18 σύμφωνα με τα όσα προβλέφθηκαν στον επανασχεδιασμό λειτουργίας του συστήματος βιντεοεπιτήρησης, παρά το ότι εκκίνησε μελέτη για την αντιμετώπιση των ζητημάτων. vii) Το γεγονός ότι ο αριθμός των υποκειμένων των δεδομένων ο οποίος φαίνεται να επηρεάστηκε δεν θεωρείται αρκετά μεγάλος, καθώς το σύνολο των εργαζομένων που ενδεχομένως επηρεάστηκε είναι περίπου διακόσια

(200)υποκείμενα δεδομένων που δεν βρίσκονται στο δημοτικό αμαξοστάσιο που είναι εγκατεστημένο το σύστημα βιντεοεπιτήρησης καθ’ όλη τη διάρκεια των ωρών εργασίας τους. viii) Το γεγονός ότι η επεξεργασία αφορά κυρίως «απλά» προσωπικά δεδομένα, δεν αποδείχθηκε υλική βλάβη για τα υποκείμενα των δεδομένων, χωρίς όμως να έχουν ληφθεί μέτρα ώστε να διασφαλίζεται ότι το σύστημα βιντεοεπιτήρησης δεν χρησιμοποιείται για την επιτήρηση εργαζομένων. ix) Το γεγονός ότι ο υπεύθυνος επεξεργασίας προχώρησε στην επεξεργασία προσωπικών δεδομένων χωρίς την απόφαση αρμόδιου οργάνου, ενώ και με τις ενέργειες στις οποίες προέβη στη συνέχεια δεν συμμορφώθηκε προς τις υποχρεώσεις του που απορρέουν από τον ΓΚΠΔ αφού η μεταγενέστερη απόφαση ελήφθη χωρίς να διενεργηθεί ουσιαστική εκτίμηση αναγκαιότητας και αναλογικότητας. 18. Η Αρχή κρίνει ότι πρέπει να επιβληθούν στον καταγγελλόμενο υπεύθυνο επεξεργασίας οι κυρώσεις που αναφέρονται στο διατακτικό της απόφασης, οι οποίες κρίνονται ανάλογες με τη βαρύτητα των παραβάσεων, ενώ επιπλέον, συνιστούν μέτρα αποτελεσματικά ως προ την κατεύθυνση συμμόρφωσης με τις διατάξεις περί προστασίας προσωπικών δεδομένων, παράλληλα δε, έχουν χαρακτήρα αποτρεπτικό προς αποφυγή περαιτέρω παραβιάσεων της σχετικής νομοθεσίας εκ μέρους του καταγγελλόμενου. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή 19 α) Επιβάλλει στον καταγγελλόμενο υπεύθυνο επεξεργασίας με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, διοικητικό πρόστιμο συνολικού ύψους 7.000 ευρώ, για την παραβίαση των άρθρων 5 παρ. 1 στοιχ. γ’, 5 παρ. 2 και 25 παρ.1 του ΓΚΠΔ. β) Επιβάλλει στον καταγγελλόμενο υπεύθυνο επεξεργασίας με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, διοικητικό πρόστιμο συνολικού ύψους 3.000 ευρώ, για την παραβίαση των άρθρων 5 παρ. 1 στ. α’, 12 παρ. 1 και 13 του ΓΚΠΔ. γ) Απευθύνει στον καταγγελλόμενο υπεύθυνο επεξεργασίας με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, επίπληξη για την παραβίαση του άρθρου 30 του ΓΚΠΔ. Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 20