← Ελλάδα

Χορήγηση υλικού βιντεοεπιτήρησης σε τρίτο και παραβίαση του δικαιώματος πρόσβασης

Αθήνα, 12-06-2026 Αριθ. Πρωτ.: 2681 ΑΠΟΦΑΣΗ 10/2026 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε, μετά από πρόσκληση του εκτελούντος χρέη Προέδρου Αναπληρωτή Προέδρου της, Γεωργίου Μπατζαλέξη, παραιτηθέντος του προέδρου της Κων/νου Μενουδάκου, σε τακτική συνεδρίαση σε σύνθεση Τμήματος μέσω τηλεδιάσκεψης, την Τετάρτη 04/02/2026, προκειμένου να εξετάσει την υπόθεση, που αναφέρεται κατωτέρω στο ιστορικό της παρούσας απόφασης. Παρέστησαν ο Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, και τα αναπληρωματικά μέλη της Αρχής, Δημοσθένης Βουγιούκας και Μαρία Ψάλλα, σε αντικατάσταση των τακτικών μελών Κωνσταντίνου Λαμπρινουδάκη, και Γρηγόρη Τσόλια, οι οποίοι αν και εκλήθησαν νομίμως εγγράφως, δεν παρέστησαν λόγω κωλύματος. Παρέστη επίσης και ο Χρήστος Καλλονιάτης, τακτικό μέλος, ως εισηγητής. Παρόντες χωρίς δικαίωμα ψήφου ήταν οι Ιωάννης Λυκοτραφίτης και Αικατερίνη Χατζηδιάκου, πληροφορικοί ελεγκτές, ως βοηθοί εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα κάτωθι: Με τις υπ’ αρ. πρωτ. Γ/ΕΙΣ/4677/22-06-2023 και Γ/ΕΙΣ/6496/15-09-2023 καταγγελίες, ο Α (εφεξής καταγγέλλων) υπέβαλλε στην Αρχή καταγγελίες κατά των «ΜΕΔΕ ΑΕ» (εφεξής καταγγελλόμενος Α) και «ΜΑΡΚΕΤ ΙΝ ΑΕΒΕ» (εφεξής καταγγελλόμενος Β) αντιστοίχως, για τη μη προσήκουσα ικανοποίηση δικαιώματος πρόσβασης, την παράνομη επεξεργασία δεδομένων προσωπικού χαρακτήρα μέσω συστήματος βιντεοεπιτήρησης και την κοινολόγηση του υλικού από το σύστημα βιντεοεπιτήρησης σε τρίτους. Σύμφωνα με τις ως άνω καταγγελίες, ο καταγγέλλων άσκησε δικαίωμα πρόσβασης προς τους καταγγελλόμενους στέλνοντας μηνύματα ηλεκτρονικού ταχυδρομείου στις 21/07/2023, συνοδευόμενα από Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr φωτογραφικό υλικό από το εκάστοτε σύστημα βιντεοεπιτήρησης και των δυο καταγγελλόμενων και επιστολές με τις οποίες έθετε μια σειρά ερωτημάτων. Μεταξύ άλλων, ζητούσε τη γνωστοποίηση προς αυτόν της πολιτικής προστασίας της εταιρείας και πληροφοριών όπως αυτές προβλέπονται στο δικαίωμα πρόσβασης με έμφαση στους αποδέκτες των δεδομένων που αυτά κοινολογήθηκαν, καθώς και τη χορήγηση αντιγράφου των δεδομένων που κοινολογήθηκαν σε τρίτους, του αιτήματος βάσει του οποίου έγινε η παράνομη κοινολόγηση, ενημέρωση για την περαιτέρω επεξεργασία καθώς και χορήγηση αντιγράφου αξιολόγησης του ανωτέρω αιτήματος, με το οποίο έγινε η κοινολόγηση χωρίς την προηγούμενη ενημέρωσή του. Στις ανωτέρω επιστολές του καταγγέλλοντος απάντησαν και οι δυο καταγγελλόμενοι στις 03/08/2023 κοινοποιώντας τις από 01/08/2023 επιστολές τους, με τις οποίες ζητούσαν διευκρινίσεις επί των ανωτέρω ζητημάτων και στις οποίες ο καταγγέλλων απάντησε με αντίστοιχες επιστολές, όπου αναφέρει ότι σε κάθε περίπτωση το αίτημά του δεν συνιστά αίτημα τρίτου και επομένως επαναλαμβάνει τα ανωτέρω αιτήματα. Αμφότεροι οι καταγγελλόμενοι απάντησαν εκ νέου με τις από 07/08/2023 επιστολές τους, στις οποίες υπάρχει αναφορά σε διευκρινίσεις γύρω από την πολιτική προστασίας σχετικά με το εγκατεστημένο σύστημα βιντεοεπιτήρησης, ενώ υφίσταται και ο ισχυρισμός ότι ουδέποτε έχει προβεί κάποιος εκ των καταγγελλόμενων σε κοινολόγηση σε τρίτα πρόσωπα φωτογραφιών ληφθέντων από το εκάστοτε σύστημα βιντεοεπιτήρησης, στις οποίες απεικονίζεται ο καταγγέλλων ή άλλα τρίτα πρόσωπα, και ως εκ τούτου δεν υπάρχει η δυνατότητα να απαντηθούν και όλα τα σχετικά υπόλοιπα αιτήματα. Η Αρχή, στο πλαίσιο εξέτασης των ανωτέρω σχετικών καταγγελιών, απέστειλε τα υπ’ αρ. πρωτ. Γ/ΕΞΕ/3084/08-11-2024 και Γ/ΕΞΕ/3168/11-12-2023 έγγραφα στον καταγγελλόμενο Α και καταγγελλόμενο Β αντίστοιχα για την παροχή απόψεων, ζητώντας διευκρινίσεις επί των καταγγελιών σχετικά με τη μη επαρκή ικανοποίηση του δικαιώματος πρόσβασης του καταγγέλλοντος, τη μη διευκόλυνση ως προς την άσκησή του και τη μη σύννομη διαβίβαση δεδομένων προσωπικού χαρακτήρα από το εν λόγω σύστημα σε τρίτους. Περαιτέρω, ενόψει του ότι ο καταγγελλόμενος Β δεν ανταποκρίθηκε στο ανωτέρω αίτημα της Αρχής, η Αρχή απέστειλε υπόμνηση με το υπ’ αρ. πρωτ. Γ/ΕΞΕ/3062/05-11-2024 έγγραφό της, στο οποίο επίσης δεν ανταποκρίθηκε. Εν συνεχεία, η Αρχή απέστειλε το υπ’ αρ. πρωτ. Γ/ΕΞΕ/3503/09-12-2024 έγγραφο, με το οποίο ζητούσε από τον καταγγελλόμενο Β όπως απαντήσει εντός αποκλειστικής προθεσμίας πέντε

(5)ημερών. Τελικώς, ένας έκαστος των καταγγελλομένων Α και Β απάντησαν αντίστοιχα με τα υπ’ αριθ. πρωτ. Γ/ΕΙΣ/988/04-022 2025 και Γ/ΕΙΣ/982/04-02-2025 έγγραφα. Στην απάντησή του ο καταγγελλόμενος Α ισχυρίζεται ότι:
  1. Οι μόνες κάμερες που έχουν τοποθετηθεί είναι στην είσοδο του εκθεσιακού κέντρου και στο ισόγειο του κτιρίου, οι οποίες και δε καταγράφουν ήχο. Ο καταγγελλόμενος σημειώνει ότι ουδέποτε τοποθετήθηκαν κάμερες στα γραφεία του πρώτου ορόφου, όπου στεγάζεται η εταιρεία στην οποία εργάζεται ο καταγγέλλων. Στον πρώτο όροφο αρχικά στεγάζονταν τα γραφεία της διοίκησης του καταγγελλόμενου Α, που ωστόσο, μετά από περιστατικά που έλαβαν χώρα μεταξύ του καταγγελλόμενου Α και του καταγγέλλοντα, μεταφέρθηκαν σε άλλο χώρο του εκθεσιακού κέντρου και έκτοτε το σύστημα βιντεοεπιτήρησης της εισόδου, που είχε εγκατασταθεί στα γραφεία του ορόφου τέθηκε σε αχρηστία και σταμάτησε να λειτουργεί. Σύμφωνα επίσης με την ίδια απάντηση, οι προσκομισθείσες φωτογραφίες δε φαίνεται να καταγράφουν εικόνα από τον πρώτο όροφο του εκθεσιακού κέντρου, χώρο στον οποίο ουδέποτε έλαβε χώρα κάποια καταγραφή.
  2. Το υλικό από το σύστημα βιντεοεπιτήρησης περιήλθε στην κατοχή τρίτου όχι απευθείας από τον καταγγελλόμενο αλλά μέσω φακέλου υπόθεσης, στην οποία διάδικοι είναι ο εν λόγω τρίτος, ο καταγγελλόμενος Α και ο καταγγέλλων (κοινή αίτηση ασφαλιστικών μέτρων που κατετέθη κατά του καταγγέλλοντος από τον τρίτο και τον καταγγελλόμενο Α).
  3. Ο καταγγέλλων προσκομίζει στην καταγγελία του και φωτογραφίες που συνέλεξε ο ίδιος, μαζί με φωτογραφίες που ο καταγγελλόμενος Α νόμιμα χρησιμοποίησε στο πλαίσιο δίκης ασφαλιστικών μέτρων κατά του καταγγέλλοντος. Στην απάντησή του ο καταγγελλόμενος Β επαναφέρει τους ισχυρισμούς, που είχαν εκτεθεί με την αρχική επιστολή του προς τον καταγγέλλοντα, ενώ αναφέρει και τα ακόλουθα:
  4. Στο σύνολο των φωτογραφιών που προσκομίσθηκαν δεν υπάρχουν δεδομένα προσωπικού χαρακτήρα του καταγγέλλοντος και επομένως δεν τίθεται ζήτημα σχετικά με τη συλλογή και επεξεργασία αυτών. Περαιτέρω, σύμφωνα με τους ισχυρισμούς του, στις φωτογραφίες απεικονίζεται το καταγγέλλοντος, το οποίο δεν αποτελεί προσωπικό δεδομένο. 3 αυτοκίνητο του
  5. Καμία από τις κάμερες του συστήματος βιντεοεπιτήρησης δεν καταγράφει δημόσιο χώρο σε σταθερή βάση. Με αφορμή περιστατικό, που έλαβε χώρα με τον καταγγέλλοντα έξωθεν της έδρας του καταγγελλόμενου Β, οι φύλακες ασφαλείας έστρεψαν χειροκίνητα τις κάμερες χωρίς την παρέμβαση του καταγγελλόμενου Β, προκειμένου να φωτογραφίσουν το αυτοκίνητο του καταγγέλλοντα. Εν συνεχεία, οι φύλακες εκτύπωσαν το ανωτέρω φωτογραφικό υλικό, το οποίο και παρέδωσαν στις εισαγγελικές αρχές, και επομένως δεν τίθεται ζήτημα παράνομης επεξεργασίας και κοινολόγησης σε τρίτους χωρίς την προηγούμενη ενημέρωση του υποκειμένου των δεδομένων. Σε συνέχεια των ανωτέρω, η Αρχή απέστειλε την υπ’ αρ. πρωτ. Γ/ΕΞΕ/531/07-02-2025 κλήση προς τον καταγγελλόμενο Α, την υπ’ αρ. πρωτ. Γ/ΕΞΕ/537/07-02-2025 κλήση προς τον καταγγελλόμενο Β και την υπ’ αρ. πρωτ. Γ/ΕΞΕ/538/07-02-2024 κλήση προς τον καταγγέλλοντα να παραστούν στη συνεδρίαση του Τμήματος της Αρχής την Τετάρτη 05 Μαρτίου 2025, προκειμένου να εκθέσουν τις απόψεις τους για την υπόθεση. Στην εν λόγω συνεδρίαση, η οποία πραγματοποιήθηκε μέσω τηλεδιάσκεψης, ήταν παρόντες ο Α με τον δικηγόρο του Δημήτριο Βέρρα με ΑΜ ΔΣ … . Συνδέθηκαν επίσης εκ μέρους των ως άνω δύο καταγγελλομένων εταιρειών οι δικηγόροι Νικόλαος Κακολιάς με ΑΜ 27061/Δ.Σ…, Ελένη Γκλεγκλέ με ΑΜ 19347/ΔΣ… και Αντίοπος Σελιανίτης με ΑΜ 25336/ΔΣ…, προκειμένου να παράσχουν διευκρινίσεις επί της υπόθεσης. Μετά τη συνεδρίαση οι εμπλεκόμενοι έλαβαν προθεσμία για υποβολή υπομνήματος, για την ανάπτυξη των ισχυρισμών τους οποίους προέβαλαν κατά τη συνεδρίαση καθώς και για την παροχή διευκρινίσεων στα θέματα, για τα οποία υποβλήθηκαν ερωτήσεις κατά τη διάρκεια της συνεδρίασης. Εν συνεχεία, ο καταγγέλλων υπέβαλε το υπ΄ αρ. πρωτ. Γ/ΕΙΣ/2364/21-03-2025 υπόμνημα, με το οποίο επανέλαβε κατ’ ουσίαν τους ισχυρισμούς που έθεσε και προηγουμένως ενώπιον της Αρχής, στο οποίο παραθέτει μια σειρά ερωτημάτων σχετικά με το σύστημα βιντεοεπιτήρησης που χρησιμοποιείται από αμφότερους καταγγελλόμενους, τη νομιμότητα αυτού και το γεγονός ότι κατά τη διάρκεια της συνεδρίασης δεν απαντήθηκε κανένα εκ ων ερωτημάτων, καθώς επίσης ότι αμφότεροι οι καταγγελλόμενοι δεν έδωσαν διευκρινίσεις σχετικά με τη γενικότερη υποχρέωση τους ως προς τις αρχές του ΓΚΠΔ. Οι δυο καταγγελλόμενοι ζήτησαν παράταση για την αποστολή υπομνήματος με το υπ΄ αρ. πρωτ. Γ/ΕΙΣ/2373/21-03-2025 4 έγγραφό τους, χωρίς τελικά να υποβληθεί τέτοιο στην Αρχή. Η Αρχή, έπειτα από εξέταση των στοιχείων του φακέλου και όσων προέκυψαν από την ενώπιόν της ακροαματική διαδικασία και το υπόμνημα μόνο του καταγγέλλοντος, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τους βοηθούς εισηγητή, οι οποίοι παρέστησαν χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
  6. Επειδή, από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (εφεξής, ΓΚΠΔ) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της εν λόγω καταγγελίας, επομένως για επεξεργασία υπαγόμενη στο ρυθμιστικό πεδίο των άρθρων 2 παρ. 1 του ΓΚΠΔ και 2 του ν. 4624/
  8. Επειδή η εικόνα ενός ατόμου η οποία συλλέγεται διά της χρήσης συστήματος βιντεοεπιτήρησης συνιστά δεδομένο προσωπικού χαρακτήρα, στον βαθμό που παρέχεται η δυνατότητα ταυτοποίησης του συγκεκριμένου φυσικού προσώπου1 άμεσα ή έμμεσα, ενώ η λήψη ή και καταγραφή της εικόνας η οποία αποθηκεύεται και διατηρείται σε μηχανισμό βιντεοσκόπησης συνεχούς ροής, όπως π.χ. σε σκληρό δίσκο του συστήματος, συνιστά αυτοματοποιημένη επεξεργασία δεδομένων
  9. Με βάση τον ορισμό του άρθρου 4 παρ. 1 του ΓΚΠΔ δεδομένα προσωπικού χαρακτήρα είναι «κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων»)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, 1 ΔΕΕ C-212/13 απόφαση Rynes παρ. 22, ΔΕΕ C-345/17 απόφαση Sergejs Buivids παρ. 31, ΔΕΕ C-708/18 απόφαση TK κατά M5A παρ.
  10. 2 ΔΕΕ Rynes παρ. 23, 25, Sergejs Buivids παρ. 34, ΤΚ παρ. 34 5 γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου» και συνεπώς, ταυτοποίηση ενός προσώπου μέσω οπτικού υλικού μπορεί να πραγματοποιηθεί με βάση την εμφάνισή του ή άλλα ειδικά στοιχεία3 και η Αρχή έχει ήδη κρίνει ότι ο αριθμός κυκλοφορίας οχήματος αποτελεί δεδομένο προσωπικού χαρακτήρα, αφού μέσω αυτού καθίσταται αναγνωρίσιμο το φυσικό πρόσωπο (βλ. ΑΠΔ 91/20094) καθώς και ότι η συλλογή και αποθήκευση φωτογραφικού ή βιντεοληπτικού υλικού, στα οποία απεικονίζεται ο αριθμός κυκλοφορίας αυτοκινήτου, όπως εμφαίνεται στην πινακίδα του, σε συνδυασμό με άλλα στοιχεία τα οποία καθιστούν ταυτοποιήσιμο το φυσικό πρόσωπο, έστω και στο πλαίσιο μιας μικρής ομάδας, αποτελούν επεξεργασία δεδομένων προσωπικού χαρακτήρα, αφού ο κάτοχος του αυτοκινήτου είναι δυνατό να καθίσταται αναγνωρίσιμος μέσω του αριθμού κυκλοφορίας του που εμφαίνεται στην πινακίδα του οχήματος (βλ. ΑΠΔ 34/20235).
  11. Επειδή, σύμφωνα με το άρθρο 4 στοιχ. 2 του ΓΚΠΔ, επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι «κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή».
  12. Επειδή, σύμφωνα με το άρθρο 4 στοιχ. 7 του ΓΚΠΔ, ως υπεύθυνος επεξεργασίας ορίζεται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· και όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό 3 Βλ. ΕΣΠΔ ΚΓ 3/2019 σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα μέσω βιντεοσυσκευών – σελ. 7 4 https://www.dpa.gr/el/enimerwtiko/prakseisArxis/ypiresia-eikonikis-periigisis-stoys-dromoys-ellinikonperiohon 5 https://www.dpa.gr/el/enimerwtiko/prakseisArxis/exetasi-kataggelias-fysikoy-prosopoy-kata-etaireias-giaepexergasia 6 του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους».
  13. Επειδή, σύμφωνα με το άρθρο 4 στοιχ. 9 του ΓΚΠΔ, ως αποδέκτης ορίζεται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας, στα οποία κοινολογούνται τα δεδομένα προσωπικού χαρακτήρα, είτε πρόκειται για τρίτον είτε όχι. Ωστόσο, οι δημόσιες αρχές που ενδέχεται να λάβουν δεδομένα προσωπικού χαρακτήρα στο πλαίσιο συγκεκριμένης έρευνας σύμφωνα με το δίκαιο της Ένωσης ή κράτους μέλους δεν θεωρούνται ως αποδέκτες· η επεξεργασία των δεδομένων αυτών από τις εν λόγω δημόσιες αρχές πραγματοποιείται σύμφωνα με τους ισχύοντες κανόνες προστασίας των δεδομένων ανάλογα με τους σκοπούς της επεξεργασίας».
  14. Επειδή, σύμφωνα με το άρθρο 4 στοιχ. 12 του ΓΚΠΔ, ως παραβίαση δεδομένων προσωπικού χαρακτήρα ορίζεται «η παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ άδειας κοινολόγηση ή πρόσβαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επεξεργασία.»
  15. Επειδή, η εγκατάσταση και λειτουργία συστημάτων βιντεοεπιτήρησης με τη λήψη ή και καταγραφή εικόνας ή και ήχου διά της συλλογής, διατήρησης, αποθήκευσης, πρόσβασης και διαβίβασης δεδομένων προσωπικού χαρακτήρα, ακόμη και από δημόσιο χώρο6, συνιστούν ως επιμέρους πράξεις επεξεργασίας, επέμβαση στα ατομικά δικαιώματα του σεβασμού της ιδιωτικής ζωής κατ’ άρθ. 9 του Συντάγματος, 7 ΧΘΔΕΕ7 και 8 ΕΣΔΑ καθώς και της προστασίας των δεδομένων προσωπικού χαρακτήρα κατ’ άρθ. 9Α του Συντάγματος, 8 ΕΣΔΑ και 8 ΧΘΔΕΕ
  17. Επειδή, υπό τον ΓΚΠΔ, υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό σημείο του οποίου συνιστά η αρχή της λογοδοσίας, στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας προσωπικών δεδομένων υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές 6 ΕΔΔΑ Vukota-Bojic v Switzerland, 61838/10, 18.10.2016, § 52 επ., Lopez Ribalda v Spain (GC), 1874/13 & 8567/13, 17.10.2019, §§ 89, 93, Antovic & Mirkovic v Montenegro, 70838/13, 28.11.2017, § 42, Uzun v. Germany, 35623/05, 2.9.2010, §46, Peck v UK, 44647/98, 28.01.2003, §59 7 ΔΕΕ Digital Rights Ireland παρ. 29 8 ΔΕΕ Digital Rights Ireland παρ. 38 7 προβλέψεις, ενώ ο υπεύθυνος επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να αποδεικνύει ο ίδιος και ανά πάσα στιγμή τη συμμόρφωσή του με τις διατάξεις του Κανονισμού
  19. Επειδή, σύμφωνα με το άρθρο 5 παρ. 1 στοιχ. α’, β’ και γ’: «Τα δεδομένα προσωπικού χαρακτήρα: α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»),…, γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς· η περαιτέρω επεξεργασία για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον ή σκοπούς επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς δεν θεωρείται ασύμβατη με τους αρχικούς σκοπούς σύμφωνα με το άρθρο 89 παράγραφος 1 («περιορισμός του σκοπού»), γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων»),…, και άρθρο 5 παρ. 2 «Ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 («λογοδοσία»).»
  20. Επειδή, προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν νόμιμης επεξεργασίας ήτοι επεξεργασίας σύμφωνα προς τις απαιτήσεις του ΓΚΠΔ, θα πρέπει να πληρούνται σωρευτικά οι προϋποθέσεις εφαρμογής και τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ, όπως προκύπτει και από την πρόσφατη απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης (ΔΕΕ) της 16-01-2019 στην υπόθεση C496/2017 Deutsche Post AG κατά Hauptzollamt Köln
  21. Η ύπαρξη ενός νόμιμου θεμελίου (άρθ. 6 ΓΚΠΔ) δεν απαλλάσσει τον υπεύθυνο επεξεργασίας από την υποχρέωση τήρησης των αρχών (άρθ. 5 παρ. 1 ΓΚΠΔ) αναφορικά με τον θεμιτό 9 Βλ. και απόφαση Αρχής 26/2019, σκέψη 8, διαθέσιμη στην ιστοσελίδα της. «
  22. Ωστόσο, κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει να είναι σύμφωνη, αφενός προς τις αρχές που πρέπει να τηρούνται ως προς την ποιότητα των δεδομένων, τις οποίες θέτει το άρθρο 6 της οδηγίας 95/46 ή το άρθρο 5 του κανονισμού 2016/679 και, αφετέρου, προς τις βασικές αρχές της νόμιμης επεξεργασίας δεδομένων που απαριθμεί το άρθρο 7 της οδηγίας αυτής ή το άρθρο 6 του κανονισμού αυτού (πρβλ. αποφάσεις ...C-465/00, C-138/01, C-139/01, C-131/12».. 10 8 χαρακτήρα, την αναγκαιότητα και την αναλογικότητα και την αρχή της ελαχιστοποίησης
  23. Σε περίπτωση κατά την οποία παραβιάζεται κάποια εκ των προβλεπόμενων στο άρθρο 5 παρ. 1 ΓΚΠΔ αρχών, η εν λόγω επεξεργασία παρίσταται ως μη νόμιμη (αντικείμενη στις διατάξεις του ΓΚΠΔ) και παρέλκει η εξέταση των προϋποθέσεων εφαρμογής των νομικών βάσεων του άρθρου 6 ΓΚΠΔ
  24. Έτσι, η κατά παράβαση των αρχών του άρθρου 5 ΓΚΠΔ μη νόμιμη συλλογή και επεξεργασία των δεδομένων προσωπικού χαρακτήρα δεν θεραπεύεται από την ύπαρξη νόμιμου σκοπού και νομικής βάσης (πρβλ. ενδεικ. ΑΠΔΠΧ 26/2019, ΑΠΔΠΧ 12/2022, ΑΠΔΠΧ 25/2022). Επιπλέον δε, το ΔΕΕ με την από 01-10-2015 απόφασή του στο πλαίσιο της υπόθεσης C-201/14 (Smaranda Bara) έκρινε ως προϋπόθεση της θεμιτής και νόμιμης επεξεργασίας των δεδομένων προσωπικού χαρακτήρα την ενημέρωση του υποκειμένου των δεδομένων προ της επεξεργασίας αυτών
  26. Επειδή, σύμφωνα με το άρθρο 12 παρ. 1 και 2 του ΓΚΠΔ: «
  27. Ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που αναφέρεται στα άρθρα 13 και 14 και κάθε ανακοίνωση στο πλαίσιο των άρθρων 15 έως 22 και του άρθρου 34 σχετικά με την επεξεργασία σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση, ιδίως όταν πρόκειται για πληροφορία απευθυνόμενη ειδικά σε παιδιά. Οι πληροφορίες παρέχονται γραπτώς ή με άλλα μέσα, μεταξύ άλλων, εφόσον ενδείκνυται, ηλεκτρονικώς. Όταν ζητείται από το 11 Σχετικά βλ. Λ. Μήτρου, ο γενικός κανονισμός προστασίας προσωπικών δεδομένων [νέο δίκαιο-νέες υποχρεώσεις-νέα δικαιώματα], εκδ. Σάκκουλα, 2017 σελ. 58 και 69-70). 12 Πρβλ. ΣτΕ 517/2018 παρ. 12: «[...] προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν νόμιμης επεξεργασίας, απαιτείται σε κάθε περίπτωση να συντρέχουν σωρευτικά οι προϋποθέσεις του άρθρου 4 παρ. 1 του ν. 2472/1997, που μεταξύ άλλων, ορίζει ότι τα δεδομένα πρέπει να συλλέγονται και να υφίστανται επεξεργασία κατά τρόπο θεμιτό και νόμιμο, για σαφείς και νόμιμους σκοπούς...Εφόσον συντρέχουν οι προϋποθέσεις του άρθρου 4 παρ. 1 του ν. 2472/1997 (νόμιμη συλλογή και επεξεργασία δεδομένων για σαφείς και νόμιμους σκοπούς), εξετάζεται περαιτέρω αν συντρέχουν και οι προϋποθέσεις της διατάξεως του άρθρου 5 παρ. 2 του ν. 2472/1997 [νομικές βάσεις]». Επίσης, πρβλ. ΣτΕ σε Ολομέλεια 2285/2001 παρ. 10: «[...] Μόνο δε εάν συντρέχουν οι παραπάνω βασικές προϋποθέσεις, έχουν εφαρμογή οι διατάξεις των άρθρων 5 και 7 του Ν. 2472/1997, οι οποίες επιβάλλουν ως περαιτέρω πρόσθετη, κατ’ αρχήν, προϋπόθεση νόμιμης επεξεργασίας δεδομένων προσωπικού χαρακτήρα συγκεκριμένου προσώπου, τη συγκατάθεση αυτού» 13 «
  28. ο υπεύθυνος της επεξεργασίας των δεδομένων ή ο εκπρόσωπος του υπέχουν υποχρέωση ενημερώσεως, το περιεχόμενο της οποίας ορίζεται στα άρθρα 10 και 11 της οδηγίας 95/46 και διαφέρει αναλόγως του αν τα δεδομένα συγκεντρώνονται από το πρόσωπο το οποίο αφορούν τα δεδομένα ή όχι, και τούτο υπό την επιφύλαξη των εξαιρέσεων που προβλέπει το άρθρο 13 της εν λόγω οδηγίας [...]
  29. Συνεπώς, η απαίτηση περί θεμιτής επεξεργασίας δεδομένων την οποία προβλέπει το άρθρο 6 της οδηγίας 95/46 υποχρεώνει τη διοικητική αρχή να ενημερώνει τα πρόσωπα τα οποία αφορούν τα δεδομένα σχετικά με τη διαβίβαση των εν λόγω δεδομένων σε άλλη διοικητική αρχή προς τον σκοπό επεξεργασίας τους από τη δεύτερη ως αποδέκτρια των εν λόγω δεδομένων». 9 υποκείμενο των δεδομένων, οι πληροφορίες μπορούν να δίνονται προφορικά, υπό την προϋπόθεση ότι η ταυτότητα του υποκειμένου των δεδομένων είναι αποδεδειγμένη με άλλα μέσα.
  30. Ο υπεύθυνος επεξεργασίας διευκολύνει την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων που προβλέπονται στα άρθρα 15 έως
  31. Στις περιπτώσεις που προβλέπονται στο άρθρο 11 παράγραφος 2, ο υπεύθυνος επεξεργασίας δεν αρνείται να ενεργήσει κατόπιν αιτήσεως του υποκειμένου των δεδομένων για να ασκήσει τα δικαιώματά του βάσει των άρθρων 15 έως 22, εκτός αν ο υπεύθυνος επεξεργασίας αποδείξει ότι δεν είναι σε θέση να εξακριβώσει την ταυτότητα του υποκειμένου των δεδομένων.»
  32. Επειδή, σύμφωνα με το άρθρο 13 του ΓΚΠΔ «
  33. Όταν δεδομένα προσωπικού χαρακτήρα που αφορούν υποκείμενο των δεδομένων συλλέγονται από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων όλες τις ακόλουθες πληροφορίες: α) την ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και, κατά περίπτωση, του εκπροσώπου του υπευθύνου επεξεργασίας, β) τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων, κατά περίπτωση, γ) τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία, δ) εάν η επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο στ), τα έννομα συμφέροντα που επιδιώκονται από τον υπεύθυνο επεξεργασίας ή από τρίτο, ε) τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων προσωπικού χαρακτήρα, εάν υπάρχουν
  34. Εκτός από τις πληροφορίες που αναφέρονται στην παράγραφο 1, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων τις εξής επιπλέον πληροφορίες που είναι αναγκαίες για την εξασφάλιση θεμιτής και διαφανούς επεξεργασίας: α) το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα προσωπικού χαρακτήρα ή, όταν αυτό είναι αδύνατο, τα κριτήρια που καθορίζουν το εν λόγω διάστημα, β) την ύπαρξη δικαιώματος υποβολής αιτήματος στον υπεύθυνο επεξεργασίας για πρόσβαση και διόρθωση ή διαγραφή των δεδομένων προσωπικού χαρακτήρα ή περιορισμό της επεξεργασίας που αφορούν το υποκείμενο των δεδομένων ή δικαιώματος αντίταξης στην επεξεργασία, καθώς και δικαιώματος στη φορητότητα των δεδομένων, γ) όταν η επεξεργασία βασίζεται 10 στο άρθρο 6 παράγραφος 1 στοιχείο α) ή στο άρθρο 9 παράγραφος 2 στοιχείο α), την ύπαρξη του δικαιώματος να ανακαλέσει τη συγκατάθεσή του οποτεδήποτε, χωρίς να θιγεί η νομιμότητα της επεξεργασίας που βασίστηκε στη συγκατάθεση πριν από την ανάκλησή της, δ) το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή, ε) κατά πόσο η παροχή δεδομένων προσωπικού χαρακτήρα αποτελεί νομική ή συμβατική υποχρέωση ή απαίτηση για τη σύναψη σύμβασης, καθώς και κατά πόσο το υποκείμενο των δεδομένων υποχρεούται να παρέχει τα δεδομένα προσωπικού χαρακτήρα και ποιες ενδεχόμενες συνέπειες θα είχε η μη παροχή των δεδομένων αυτών, στ) την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που αναφέρεται στο άρθρο 22 παράγραφοι 1 και 4 και, τουλάχιστον στις περιπτώσεις αυτές, σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων,
  35. Όταν ο υπεύθυνος επεξεργασίας προτίθεται να επεξεργαστεί περαιτέρω τα δεδομένα προσωπικού χαρακτήρα για άλλο σκοπό από εκείνο για τον οποίο τα δεδομένα προσωπικού χαρακτήρα συλλέχθηκαν, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων, πριν από την εν λόγω περαιτέρω επεξεργασία, πληροφορίες για τον σκοπό αυτόν και άλλες τυχόν αναγκαίες πληροφορίες, όπως αναφέρεται στην παράγραφο 2,
  36. Οι παράγραφοι 1, 2 και 3 δεν εφαρμόζονται, όταν και εφόσον το υποκείμενο των δεδομένων έχει ήδη τις πληροφορίες,»
  37. Επειδή, σύμφωνα με το άρθρο 15 παρ. 1 και 3 του ΓΚΠΔ: «
  38. Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και στις ακόλουθες πληροφορίες: α) τους σκοπούς της επεξεργασίας, β) τις σχετικές κατηγορίες δεδομένων προσωπικού χαρακτήρα, γ) τους αποδέκτες ή τις κατηγορίες αποδεκτών στους οποίους κοινολογήθηκαν ή πρόκειται να κοινολογηθούν τα δεδομένα προσωπικού χαρακτήρα, ιδίως τους αποδέκτες σε τρίτες χώρες ή διεθνείς οργανισμούς, δ) εάν είναι δυνατόν, το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα προσωπικού χαρακτήρα ή, όταν αυτό είναι αδύνατο, 11 τα κριτήρια που καθορίζουν το εν λόγω διάστημα, ε) την ύπαρξη δικαιώματος υποβολής αιτήματος στον υπεύθυνο επεξεργασίας για διόρθωση ή διαγραφή δεδομένων προσωπικού χαρακτήρα ή περιορισμό της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που αφορά το υποκείμενο των δεδομένων ή δικαιώματος αντίταξης στην εν λόγω επεξεργασία, στ) το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή, ζ) όταν τα δεδομένα προσωπικού χαρακτήρα δεν συλλέγονται από το υποκείμενο των δεδομένων, κάθε διαθέσιμη πληροφορία σχετικά με την προέλευσή τους, η) την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που προβλέπεται στο άρθρο 22 παράγραφοι 1 και 4 και, τουλάχιστον στις περιπτώσεις αυτές, σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων.» και «
  39. Ο υπεύθυνος επεξεργασίας παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία. Για επιπλέον αντίγραφα που ενδέχεται να ζητηθούν από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας μπορεί να επιβάλει την καταβολή εύλογου τέλους για διοικητικά έξοδα. Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα και εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό, η ενημέρωση παρέχεται σε ηλεκτρονική μορφή που χρησιμοποιείται συνήθως.» Με τις διατάξεις αυτές καθιερώνεται το δικαίωμα πρόσβασης του υποκειμένου στα προσωπικά δεδομένα του. Στο πλαίσιο του δικαιώματος αυτού, το υποκείμενο πρέπει αφενός να έχει πρόσβαση σε δεδομένα προσωπικού χαρακτήρα τα οποία συλλέχθηκαν και το αφορούν, προκειμένου να λαμβάνει γνώση και να βεβαιώνεται για την ακρίβεια και τον χαρακτήρα της επεξεργασίας των δεδομένων του και να επαληθεύει τη νομιμότητα της επεξεργασίας, και αφετέρου να μπορεί να ασκεί το εν λόγω δικαίωμα ευχερώς και σε εύλογα τακτά διαστήματα
  40. Ο δε υπεύθυνος επεξεργασίας πρέπει να παρέχει δυνατότητα πρόσβασης εξ αποστάσεως σε ασφαλές σύστημα μέσω του οποίου το 14 Βλ. αιτιολογική σκέψη 63 του ΓΚΠΔ 12 υποκείμενο των δεδομένων αποκτά άμεση πρόσβαση στα δεδομένα που το αφορούν
  42. Επειδή, σύμφωνα με το άρθρο 31 του ΓΚΠΔ «Ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία και, κατά περίπτωση, οι εκπρόσωποί τους συνεργάζονται, κατόπιν αιτήματος, με την εποπτική αρχή για την άσκηση των καθηκόντων της.»
  43. Επειδή, σύμφωνα με το άρθρο 37 παρ. 7 του ΓΚΠΔ «Ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία δημοσιεύουν τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων και τα ανακοινώνουν στην εποπτική αρχή.»
  44. Στις υπό εξέταση περιπτώσεις, όπως προκύπτει από τα στοιχεία των φακέλων και κατόπιν όσων προέκυψαν κατά την ακροαματική διαδικασία, διαπιστώνεται ότι ο καταγγέλλων άσκησε το δικαίωμα πρόσβασης σε δεδομένα που τον αφορούν προς τους καταγγελλόμενους Α και Β, οι οποίοι εν προκειμένω είναι οι υπεύθυνοι επεξεργασίας, ζητώντας πληροφορίες σχετικά με τη συλλογή και την επεξεργασία προσωπικών δεδομένων μέσα από το σύστημα βιντεοεπιτήρησης που λειτουργεί, ζητώντας τη γνωστοποίηση της πολιτικής προστασίας του υπεύθυνου επεξεργασίας αλλά και πληροφορίες σχετικά με τα προσωπικά δεδομένα που επεξεργάζεται ο εκάστοτε υπεύθυνος επεξεργασίας και ιδίως τους αποδέκτες των δεδομένων αυτών. Ο καταγγέλλων δε, άσκησε το εν λόγω δικαίωμα με τρόπο σαφή και στις δυο περιπτώσεις. Αμφότεροι οι καταγγελλόμενοι δεν ανταποκρίθηκαν πλήρως στα ως άνω αναφερόμενα αιτήματα του καταγγέλλοντα, αλλά ζήτησαν από αυτόν επιπλέον διευκρινίσεις δυσχεραίνοντας κατ' αυτόν τον τρόπο την άσκηση του δικαιώματος πρόσβασης. Κατόπιν σχετικών διευκρινίσεων που έδωσε ο καταγγέλλων, και οι δύο καταγγελλόμενοι απάντησαν στον καταγγέλλοντα σχετικά με την πολιτική που ακολουθείται για το εκάστοτε σύστημα βιντεοεπιτήρησης αναφέροντας ότι χρησιμοποιείται για τον σκοπό της προστασίας προσώπων και αγαθών ενώ η λειτουργία του είναι καθ’ όλα νόμιμη, χωρίς να παρέχουν το σύνολο των πληροφοριών όπως αυτές προβλέπονται στο άρθρο 13 του ΓΚΠΔ, όπως την ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας, τα στοιχεία επικοινωνίας του υπεύθυνου προστασίας δεδομένων σε περίπτωση που αυτός έχει οριστεί, τη νομική βάση για την επεξεργασία, τους αποδέκτες ή τις κατηγορίες 15 Βλ. ωσαύτως αιτιολογική σκέψη 63 του ΓΚΠΔ και Απόφαση της Αρχής 23/2020 13 αποδεκτών, τυχόν διαβιβάσεις, το χρονικό διάστημα τήρησης, το δικαίωμα υποβολής αιτήματος για ικανοποίηση δικαιωμάτων και το δικαίωμα υποβολής καταγγελίας στην αρχή, ενώ επίσης απάντησαν, μέσω των επιστολών τους, με πανομοιότυπο τρόπο ότι δεν κοινολόγησαν το εκάστοτε υλικό από το σύστημα βιντεοεπιτήρησης σε τρίτο πρόσωπο. Περαιτέρω στη σχετική του απάντηση προς την Αρχή ο καταγγελλόμενος Α ισχυρίστηκε ότι δεν υπάρχουν τοποθετημένες κάμερες στα σημεία που αναφέρει ο καταγγέλλων. Αντίθετα ισχυρίζεται ότι οι μόνες κάμερες που υπάρχουν είναι αυτές που είναι τοποθετημένες στην είσοδο του εκθεσιακού κέντρου ενώ η λειτουργία τους είναι νόμιμη. Σύμφωνα με τα όσα αναφέρει ο καταγγελλόμενος Α, οι κάμερες στις οποίες αναφέρεται ο καταγγέλλων είναι αυτές που είχαν αρχικώς τοποθετηθεί και εν συνεχεία τέθηκαν σε αχρηστία και σταμάτησαν να λειτουργούν. Επιπλέον, σύμφωνα με τους ισχυρισμούς του καταγγελλόμενου Α, κάποιο από το υλικό (φωτογραφίες) που προσκόμισε ο καταγγέλλων δεν σχετίζεται με το υλικό που χρησιμοποίησε ο καταγγελλόμενος Α στην ανωτέρω δικαστική διαμάχη, αλλά προκύπτει από άλλες που συνέλεξε ο ίδιος ο καταγγέλλων. Ωστόσο, ο καταγγελλόμενος Α παραδέχεται ότι χρησιμοποίησε φωτογραφίες από το σύστημα βιντεοεπιτήρησης για προάσπιση των δικαιωμάτων του ενώπιον του δικαστηρίου. Ως προς τον εν λόγω σκοπό επεξεργασίας φαίνεται ότι αυτός περιλαμβάνεται στους δηλωθέντες σκοπούς επεξεργασίας στο κείμενο της πολιτικής προστασίας προσωπικών δεδομένων που έχει αναρτήσει ο καταγγελλόμενος Α στην ιστοσελίδα του
  45. Ωστόσο, η εν λόγω πολιτική προστασίας προσωπικών δεδομένων, αν και είναι δημοσίως προσβάσιμη προς ενημέρωση των υποκειμένων των δεδομένων, δεν αφορά σε προσωπικά δεδομένα που τυγχάνουν επεξεργασίας από το σύστημα βιντεοεπιτήρησης. Μέσω των πινακίδων, που έχει αναρτήσει ο καταγγελλόμενος Α στον εποπτευόμενο από το σύστημα βιντεοεπιτήρησης χώρο, παρέχεται ενημέρωση για τον σκοπό επεξεργασίας της προστασίας προσώπων και αγαθών, χωρίς ωστόσο να υπάρχει η κατάλληλη ενημέρωση σύμφωνα με τα όσα προβλέπονται στο άρθρο 13 του ΓΚΠΔ, αλλά ούτε και παραπομπή σε ενημέρωση 16 https://www.mec.gr/wp-content/uploads/2024/06/privacy-policy-mec.pdf 14 β΄ επιπέδου συμφώνως με τις Κατευθυντήριες Γραμμές 3/2019 17
  46. Στην απάντησή του ο καταγγελλόμενος Β ισχυρίστηκε ότι δεν υφίσταται προσωπικό δεδομένο του καταγγέλλοντος καθώς θεωρεί ότι το όχημα του καταγγέλλοντος δεν αποτελεί προσωπικό δεδομένο, επιχείρημα το οποίο όπως αναλύθηκε ανωτέρω δεν γίνεται δεκτό. Αναφέρει δε ότι οι κάμερες δεν είναι σταθερές αλλά έχουν δυνατότητα στρέψης και τροποποιήθηκαν για να καταγράψουν την παραβατική συμπεριφορά του καταγγέλλοντος από τους φύλακες ασφαλείας, οι οποίοι ενήργησαν αυτοβούλως και παρέδωσαν το υλικό απευθείας στις δικαστικές αρχές, επιχείρημα που προβάλλεται χωρίς περαιτέρω τεκμηρίωση. Ως εκ τούτου, κρίνεται ότι αμφότεροι οι καταγγελλόμενοι δεν ικανοποίησαν το δικαίωμα πρόσβασης.
  47. Η Αρχή στο πλαίσιο διερεύνησης της πρώτης καταγγελίας προσπάθησε να επικοινωνήσει με τον καταγγελλόμενο Α μέσω των στοιχείων επικοινωνίας που είναι διαθέσιμα στην ιστοσελίδα του (διεύθυνση ηλεκτρονικού ταχυδρομείου info@mec.gr). Η εν λόγω διεύθυνση ηλεκτρονικού ταχυδρομείου τυγχάνει και το επίσημο σημείο επικοινωνίας, όπως ενημερώνει ο καταγγελλόμενος Α στην πολιτική προστασίας προσωπικών δεδομένων του (βλ. υπ’ αριθμ. 17 Σκέψη – τελευταίος έλεγχος 8-11-2024), με τον υπεύθυνο προστασίας δεδομένων που έχει ορίσει, ο οποίος ωστόσο δεν έχει ανακοινωθεί στην Αρχή. Αντίστοιχα, η Αρχή στο πλαίσιο διερεύνησης της δεύτερης καταγγελίας προσπάθησε να επικοινωνήσει με τον καταγγελλόμενο Β μέσω των στοιχείων επικοινωνίας που είχε στην καταγγελία του ο καταγγέλλων κατά του καταγγελλόμενου Β, αλλά και βάσει των στοιχείων που αναγράφονται στην ιστοσελίδα του (διεύθυνση ηλεκτρονικού ταχυδρομείου gdpr@market-in.gr), χωρίς αποτέλεσμα. Πέραν τούτου, κατόπιν αναζήτησης διαπιστώθηκε ότι δεν υπάρχει σχετική ανακοίνωση των στοιχείων ΥΠΔ του καταγγελλόμενου Β στην Αρχή, όπως επιβάλει το άρθρο 37 παρ. 7 του ΓΚΠΔ σε περίπτωση ορισμού ΥΠΔ.
  48. Και οι δυο καταγγελλόμενοι απάντησαν στην Αρχή επί των καταγγελιών κατόπιν 17 Βλ. ενότητα 7.
  49. Πληροφόρηση δευτέρου επιπέδου σελ. 32 στις ΚΓ 3/2019 σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα μέσω βιντεοσυσκευών https://www.edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201903_video_devices_el.pdf 18 Βλ. Συστάσεις της Αρχής στην ενότητα Συστήματα Βιντεοεπιτήρησης->Υποχρεώσεις Υπευθύνων Επεξεργασίας-> Υποδείγματα Ενημέρωσης στην ιστοσελίδα της https://www.dpa.gr/el/enimerwtiko/thematikes_enotites/eisagwgi_videoepitirisi 15 πολλών επικοινωνιών και μετά την πάροδο μεγάλου χρονικού διαστήματος. Ειδικότερα ο καταγγελλόμενος Β απάντησε σε χρονικό διάστημα πέραν του ενός έτους, επιδεικνύοντας κατ΄ αυτό τον τρόπο ιδιαίτερη δυσχέρεια στη συνεργασία του με την Αρχή. Περαιτέρω, και οι δύο δεν προσκόμισαν υπόμνημα κατόπιν των ακροάσεων παρά το γεγονός ότι ζήτησαν παράταση για την κατάθεσή του (βλ. επικοινωνίες με το υπ’ αριθμ. πρωτ. Γ/ΕΞΕ/1033/24-03-2025 και με το υπ’ αριθμ. πρωτ. Γ/ΕΞΕ/1034/24-03-2025).
  50. Σύμφωνα με τις Κατευθυντήριες Γραμμές 01/2022 σχετικά με τα δικαιώματα των υποκειμένων των δεδομένων και ειδικότερα του δικαιώματος πρόσβασης19, όπως αναφέρεται στην παράγραφο 163 «Το τι συνιστά πολύπλοκο αίτημα ποικίλλει ανάλογα με τις ειδικές περιστάσεις κάθε περίπτωσης. Ορισμένοι από τους παράγοντες που θα μπορούσαν να θεωρηθούν σημαντικοί είναι, για παράδειγμα: ο όγκος των δεδομένων που επεξεργάζεται ο υπεύθυνος επεξεργασίας, ο τρόπος αποθήκευσης των πληροφοριών, ιδίως όταν είναι δύσκολο να ανακτηθούν οι πληροφορίες, για παράδειγμα όταν τα δεδομένα υποβάλλονται σε επεξεργασία από διαφορετικές μονάδες του οργανισμού, η ανάγκη απαλοιφής πληροφοριών όταν εφαρμόζεται εξαίρεση, για παράδειγμα πληροφοριών που αφορούν άλλα υποκείμενα των δεδομένων ή που συνιστούν εμπορικό απόρρητο, και όταν οι πληροφορίες απαιτούν περαιτέρω εργασίες προκειμένου να είναι κατανοητές». Εν προκειμένω, αμφότεροι οι καταγγελλόμενοι δεν τεκμηρίωσαν την καθυστέρηση στην ικανοποίηση του δικαιώματος πρόσβασης κατά παράβαση του άρθρου 12 του ΓΚΠΔ επικαλούμενοι κάποιον από τους ανωτέρω ανασταλτικούς παράγοντες.
  51. Σύμφωνα επίσης με τις Κατευθυντήριες Γραμμές 01/2022 σχετικά με τα δικαιώματα των υποκειμένων των δεδομένων και ειδικότερα του δικαιώματος πρόσβασης20, όπως αναφέρεται στην παράγραφο 108 «Το ΕΣΠΔ επισημαίνει ότι αποτελεί μέρος της ευθύνης του εργοδότη σύμφωνα με το άρθρο 24 του ΓΚΠΔ να κάνει χρήση κατάλληλων μέτρων, τα οποία εκτείνονται από την εκπαίδευση έως την κίνηση πειθαρχικών διαδικασιών, ώστε να διασφαλίζεται ότι η επεξεργασία 19 https://www.edpb.europa.eu/system/files/202404/edpb_guidelines_202201_data_subject_rights_access_v2_el.pdf 20 https://www.edpb.europa.eu/system/files/202404/edpb_guidelines_202201_data_subject_rights_access_v2_el.pdf 16 συμμορφώνεται με τον ΓΚΠΔ και ότι δεν διαπράττεται παράβαση.». Εν προκειμένω ο καταγγελλόμενος Β ισχυρίζεται στην απάντησή του ότι οι φύλακες ασφαλείας ενήργησαν αυτοβούλως και έστρεψαν χειροκίνητα τις κάμερες προκειμένου να φωτογραφίσουν το αυτοκίνητο του καταγγέλλοντος, υλικό το οποίο εκτύπωσαν χωρίς την παρέμβαση από τον υπεύθυνο επεξεργασίας και επομένως επεξεργάστηκαν παρανόμως και κοινολόγησαν στις δικαστικές αρχές, χωρίς όμως αυτό να τεκμηριώνεται και χωρίς να προκύπτει ο τρόπος διαβίβασης στις δικαστικές αρχές. Ως εκ τούτου ο καταγγελλόμενος Β ως υπεύθυνος επεξεργασίας δεν έλαβε ως όφειλε τα κατάλληλα τεχνικά και οργανωτικά μέτρα συμπεριλαμβανομένης της κατάρτισης και της ενημέρωσης των υπαλλήλων ώστε να διασφαλιστεί το κατάλληλο επίπεδο ασφάλειας της επεξεργασίας και η γενικότερη συμμόρφωσή του προς τον ΓΚΠΔ21 σύμφωνα με την αρχή της λογοδοσίας.
  52. Σύμφωνα με τις Κατευθυντήριες Γραμμές 03/2019 σχετικά με τα δικαιώματα των υποκειμένων των δεδομένων και ειδικότερα του δικαιώματος εναντίωσης22, όπως αναφέρεται στην παράγραφο 106 «Στο πλαίσιο της βιντεοεπιτήρησης, αυτή η αντίρρηση θα μπορούσε να διατυπωθεί κατά την είσοδο στον παρακολουθούμενο χώρο, κατά τη διάρκεια της παραμονής σε αυτόν ή μετά την αποχώρηση από αυτόν. Στην πράξη, αυτό σημαίνει ότι, εάν ο υπεύθυνος επεξεργασίας δεν έχει επιτακτικούς και νόμιμους λόγους, η παρακολούθηση χώρου κατά την οποία μπορεί να εξακριβωθεί η ταυτότητα φυσικών προσώπων είναι νόμιμη μόνον εάν
(1)ο υπεύθυνος επεξεργασίας μπορεί να σταματήσει αμέσως την κάμερα από την επεξεργασία δεδομένων προσωπικού χαρακτήρα όταν λάβει σχετικό αίτημα, ή
(2)η πρόσβαση στον παρακολουθούμενο χώρο είναι πολύ αυστηρά ελεγχόμενη ώστε ο υπεύθυνος επεξεργασίας να μπορεί να διασφαλίσει την έγκριση του υποκειμένου των δεδομένων πριν το υποκείμενο των δεδομένων εισέλθει στον χώρο και εφόσον δεν πρόκειται για χώρο στον οποίο το υποκείμενο των δεδομένων έχει δικαίωμα πρόσβασης ως πολίτης.». Επιπλέον σχετικά με την κοινολόγηση αναφέρεται ότι «κάθε κοινολόγηση δεδομένων προσωπικού χαρακτήρα αποτελεί ξεχωριστό είδος 21 Βλ. αιτ. σκ. 19 https://www.edpb.europa.eu/system/files/202310/edpb_guidelines_202007_controllerprocessor_final_el.pdf 22 https://www.edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201903_video_devices_el.pdf 17 επεξεργασίας δεδομένων προσωπικού χαρακτήρα για την οποία ο υπεύθυνος επεξεργασίας πρέπει να διαθέτει νομική βάση στο πλαίσιο του άρθρου 6». 22. Συνεπώς βάσει των ανωτέρω, η Αρχή διαπιστώνει τις εξής παραβάσεις για τον καταγγελλόμενο Α: α) Άρθρο 5 παρ.1 στοιχ. α’ και β’ του ΓΚΠΔ σε συνδυασμό με την παράγραφο 2 του ιδίου άρθρου του ΓΚΠΔ, αναφορικά με τη συλλογή και επεξεργασία προσωπικών δεδομένων για σκοπό διαφορετικό από αυτόν για τον οποίο είχε αρχικά ενημερωθεί το υποκείμενο. Συγκεκριμένα, ενώ έγινε δικαστική χρήση των προσωπικών δεδομένων, η ενημέρωση προς τον καταγγέλλοντα δεν περιλάμβανε αυτόν τον σκοπό επεξεργασίας αλλά μόνο τον σκοπό της προστασίας προσώπων και αγαθών. β) Άρθρο 12 παρ. 1 και παρ. 2 του ΓΚΠΔ αναφορικά με τη μη διευκόλυνση άσκησης δικαιώματος πρόσβασης προς το υποκείμενο των δεδομένων, αφού ο υπεύθυνος επεξεργασίας δεν έλαβε τα κατάλληλα μέτρα ώστε να διασφαλίσει ότι παρέχονται οι πληροφορίες που ζητήθηκαν από το υποκείμενο των δεδομένων σχετικά με το σύστημα βιντεοεπιτήρησης και οι οποίες πληροφορίες αποτελούν στοιχεία που προβλέπονται στο άρθρο 15 του ΓΚΠΔ, καθώς, ιδίως, δεν απάντησε επαρκώς στο ζήτημα περί κοινολόγησης προσωπικών δεδομένων του υποκειμένου των δεδομένων. γ) Άρθρο 13 παρ. 1 και παρ. 3 του ΓΚΠΔ αναφορικά με το γεγονός ότι ο υπεύθυνος επεξεργασίας δεν παρείχε πληροφορίες στο υποκείμενο των δεδομένων σχετικά με την περαιτέρω επεξεργασία των προσωπικών δεδομένων που συλλέχθηκαν. δ) Άρθρο 37 παρ.7 του ΓΚΠΔ, αναφορικά με τη μη ανακοίνωση των στοιχείων επικοινωνίας του υπευθύνου προστασίας δεδομένων στην Αρχή. 23. Περαιτέρω, βάσει των ανωτέρω, η Αρχή διαπιστώνει τις εξής παραβάσεις για τον καταγγελλόμενο Β: α) Άρθρο 5 παρ.1 στοιχ. α’ και γ’ του ΓΚΠΔ σε συνδυασμό με
  1. i)την παράγραφο 2 του ιδίου άρθρου του ΓΚΠΔ, αναφορικά με τη συλλογή και επεξεργασία προσωπικών δεδομένων για σκοπό διαφορετικό του αρχικά καθορισμένου, και
  2. ii)με το άρθρο 13 παρ. 1 και παρ. 3 του ΓΚΠΔ αναφορικά με τη διαφάνεια στην ενημέρωση του υποκειμένου των δεδομένων, καθώς ο υπεύθυνος επεξεργασίας δεν παρείχε πληροφορίες στο υποκείμενο των δεδομένων σχετικά με την 18 περαιτέρω επεξεργασία των προσωπικών δεδομένων που συλλέχθηκαν, ενώ η ηλεκτρονική διεύθυνση gdpr@market-in.gr που έχει ανακοινωθεί στην ιστοσελίδα του καταγγελλόμενου Β gr/information/4820/Prosopika-dedomena/) (https://www.market-in.gr/elείναι παραπλανητική, καθώς φαίνεται ότι δεν τη διαχειρίζεται κάποιο φυσικό πρόσωπο, ώστε να απαντά σε τυχόν αιτήματα όπως αυτό της Αρχής. β) Άρθρο 12 παρ. 1 και παρ. 2 του ΓΚΠΔ, αναφορικά με τη μη διευκόλυνση άσκησης δικαιώματος πρόσβασης προς το υποκείμενο των δεδομένων αφού ο υπεύθυνος επεξεργασίας δεν έλαβε τα κατάλληλα μέτρα ώστε να διασφαλίσει ότι παρέχονται οι πληροφορίες που ζητήθηκαν από το υποκείμενο των δεδομένων σχετικά με το σύστημα βιντεοεπιτήρησης και οι οποίες αποτελούν στοιχεία που προβλέπονται στο άρθρο 15 του ΓΚΠΔ, καθώς, ιδίως, δεν απάντησε επαρκώς στο ζήτημα περί κοινολόγησης προσωπικών δεδομένων του υποκειμένου των δεδομένων. γ) Άρθρο 31 του ΓΚΠΔ, αναφορικά με τη δυσχέρεια που επέδειξε ο υπεύθυνος επεξεργασίας στη συνεργασία του με την Αρχή. 24. Επειδή οι ανωτέρω παραβάσεις, όπως αναλυτικώς εκτέθηκαν, επισύρουν την επιβολή των διοικητικών κυρώσεων του άρθρου 83 παρ. 5 στοιχ. α΄ του ΓΚΠΔ. Σύμφωνα δε με τον ΓΚΠΔ (Αιτιολογική Σκέψη 148) προκειμένου να ενισχυθεί η επιβολή των κανόνων του παρόντος Κανονισμού, κυρώσεις, συμπεριλαμβανομένων των διοικητικών προστίμων, θα πρέπει να επιβάλλονται για κάθε παράβαση του παρόντος Κανονισμού, επιπρόσθετα ή αντί των κατάλληλων μέτρων που επιβάλλονται από την εποπτική αρχή σύμφωνα με τον παρόντα Κανονισμό. 25. Επειδή περαιτέρω η Αρχή, έλαβε υπόψη τα κριτήρια επιμέτρησης του προστίμου που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ, την παράγραφο 5 του ίδιου άρθρου που έχει εφαρμογή στην παρούσα υπόθεση και τις Κατευθυντήριες γραμμές 4/2022 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων23 για τον υπολογισμό διοικητικών προστίμων για τους σκοπούς του Κανονισμού 2016/679, οι οποίες εγκρίθηκαν στις 24/5/2023, καθώς και τα πραγματικά δεδομένα της εξεταζόμενης υπόθεσης και ιδίως τα εξής: 23 https://www.edpb.europa.eu/system/files/202401/edpb_guidelines_042022_calculationofadministrativefines_el_0.pdf 19 Ως προς τον καταγγελλόμενο Α: i. Εντοπίστηκαν οι εξής παραβάσεις: α. ο καταγγελλόμενος Α κοινολόγησε το υλικό από το σύστημα βιντεοεπιτήρησης χωρίς την προηγούμενη ενημέρωση του υποκειμένου των δεδομένων και επομένως ως υπεύθυνος επεξεργασίας παραβίασε την προβλεπόμενη από το άρθρο 5 παρ. 1 εδ. α’ αρχή της διαφάνειας, ήτοι παραβίασε θεμελιώδη αρχή του ΓΚΠ∆ για την προστασία των δεδομένων προσωπικού χαρακτήρα, το άρθρο 13 καθώς και το άρθρο 5 παρ. 2 αφού δεν κατάφερε να αποδείξει την συμμόρφωσή του ως προς τον ΓΚΠΔ. β. ο καταγγελλόμενος Α προχώρησε σε επεξεργασία χωρίς να διασφαλιστεί ότι η επεξεργασία γίνεται κατά τρόπο συμβατό προς τον αρχικά καθορισμένο σκοπό και επομένως ως υπεύθυνος επεξεργασίας παραβίασε την προβλεπόμενη από το άρθρο 5 παρ. 1 εδ. β’ αρχή του περιορισμού του σκοπού, ήτοι παραβίασε θεμελιώδη αρχή του ΓΚΠ∆ για την προστασία των δεδομένων προσωπικού χαρακτήρα, το άρθρο 13 καθώς και το άρθρο 5 παρ. 2 καθώς δεν κατάφερε να αποδείξει την συμμόρφωσή του ως προς τον ΓΚΠΔ. γ. ο καταγγελλόμενος Α δεν διευκόλυνε όπως προβλέπεται στο άρθρο 12 παρ. 1 και παρ. 2 την άσκηση των δικαιωμάτων του υποκειμένου, αφού δεν έλαβε τα κατάλληλα μέτρα ώστε να διασφαλίσει ότι παρέχονται όλες οι πληροφορίες που ζητήθηκαν από το υποκείμενο των δεδομένων σχετικά με την πολιτική που αφορά στο σύστημα βιντεοεπιτήρησης, δεν απάντησε επαρκώς στο ζήτημα περί κοινολόγησης προσωπικών δεδομένων του υποκειμένου των δεδομένων, καθώς επίσης δεν ικανοποίησε το δικαίωμα πρόσβασης σε δεδομένα προσωπικού χαρακτήρα και σε πληροφορίες που ζητήθηκαν από τον καταγγέλλοντα, και δεν παρείχε αντίγραφο δεδομένων προσωπικού χαρακτήρα που υπεβλήθησαν σε επεξεργασία και επομένως ως υπεύθυνος επεξεργασίας παραβίασε όσα προβλέπονται από το άρθρο 15 παρ. 20 1 και παρ. 3, ήτοι παραβίασε διατάξεις του ΓΚΠ∆ που αφορούν στα δικαιώματα των υποκειμένων των δεδομένων. δ. ο καταγγελλόμενος Α φαίνεται να έχει ορίσει υπεύθυνο προστασίας δεδομένων, του οποίου όμως τα στοιχεία δεν κοινοποίησε στην εποπτική αρχή ως όφειλε, σύμφωνα με το άρθρο 37 παρ.7, παραβιάζοντας τις διατάξεις του ΓΚΠΔ που αφορούν στις υποχρεώσεις του υπεύθυνου επεξεργασίας. ii. οι ανωτέρω υπό α, β, γ παραβάσεις επισύρουν, σύμφωνα με την παρ. 2 του άρθρου 83, διοικητικά πρόστιμα έως 20 000 000 EUR ή έως το 4% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους, ενώ η ανωτέρω υπό δ παράβαση επισύρει, σύμφωνα με την παράγραφο 2 του άρθρου 83, διοικητικά πρόστιμα έως 10 000 000 EUR ή, σε περίπτωση επιχειρήσεων, έως το 2 % του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους. iii. Ως προς τον βαθμό σοβαρότητας για τις ανωτέρω παραβάσεις: α. η κοινολόγηση στις δικαστικές αρχές αποτελεί μία επεξεργασία, για την οποία δεν ενημερώθηκε το υποκείμενο των δεδομένων προσηκόντως και η οποία σχετίζεται με τον σκοπό της προστασίας του υπευθύνου επεξεργασίας (παραβάσεις i. α και i. β ανωτέρω). Η εν λόγω επεξεργασία δεν εμπίπτει στις βασικές δραστηριότητες του υπεύθυνου επεξεργασίας, ενώ η έκταση και διάρκειά της φαίνεται να είναι μικρή. Επιπλέον, ο αριθμός των υποκειμένων των δεδομένων που επηρεάστηκαν από την εν λόγω επεξεργασία είναι μικρός, ενώ δεν μπορεί να προσδιοριστεί τυχόν ζημία την οποία υπέστη το επηρεαζόμενο υποκείμενο των δεδομένων. Περαιτέρω, δεν μπορεί να αποκλειστεί αλλά ούτε να τεκμηριωθεί σχετικά με το αν ο καταγγελλόμενος Α ενήργησε με δόλο. Τέλος, δεν προκύπτει ότι επηρεάζονται ευαίσθητα δεδομένα που καλύπτουν τα άρθρα 9 και 10 του ΓΚΠΔ καθώς και δεδομένα εκτός του πεδίου εφαρμογής των εν λόγω άρθρων, η διάδοση των οποίων προκαλεί άμεση ζημία/δυσχέρεια στο υποκείμενο των δεδομένων (π.χ. δεδομένα θέσης, δεδομένα σχετικά με ιδιωτική επικοινωνία, εθνικοί αριθμοί 21 ταυτοποίησης ή χρηματοοικονομικά δεδομένα, όπως επισκοπήσεις συναλλαγών ή αριθμοί πιστωτικών καρτών), καθώς επίσης δεν φαίνεται ο όγκος των δεδομένων να είναι μεγάλος. Ως εκ τούτου, ο βαθμός σοβαρότητας των εν λόγω παραβάσεων κρίνεται μεσαίος. β. ο καταγγελλόμενος Α δεν έλαβε τα κατάλληλα μέτρα για τον περιορισμό της ζημίας του καταγγέλλοντος από την ανωτέρω i. γ παραβίαση, ενώ η έκταση και η διάρκεια της παράβασης είναι μικρή και η εν λόγω επεξεργασία δεν εμπίπτει στις βασικές δραστηριότητες του. Επιπλέον ο αριθμός των ατόμων που επηρεάστηκαν είναι μικρός με ενδεχόμενη δυνατότητα να επηρεαστούν περισσότερα υποκείμενα των δεδομένων λόγω μη επαρκούς ενημέρωσης σε σχέση με την πολιτική που ακολουθείται σχετικά με το σύστημα βιντεοεπιτήρησης που λειτουργεί. Δεν μπορεί να τεκμηριωθεί εάν ο καταγγελλόμενος Α ενήργησε με δόλο. Τέλος, δεν προκύπτει ότι επηρεάζονται ευαίσθητα δεδομένα που καλύπτουν τα άρθρα 9 και 10 του ΓΚΠΔ, καθώς και δεδομένα εκτός του πεδίου εφαρμογής των εν λόγω άρθρων, η διάδοση των οποίων προκαλεί άμεση ζημία/δυσχέρεια στο υποκείμενο των δεδομένων (π.χ. δεδομένα θέσης, δεδομένα σχετικά με ιδιωτική επικοινωνία, εθνικοί αριθμοί ταυτοποίησης ή χρηματοοικονομικά δεδομένα, όπως επισκοπήσεις συναλλαγών ή αριθμοί πιστωτικών καρτών). Ως εκ τούτου, ο βαθμός σοβαρότητας της παράβασης κρίνεται μεσαίος. γ. η μη κοινοποίηση των στοιχείων του υπευθύνου επεξεργασίας δεν συνεπάγεται μεγαλύτερους κινδύνους, συνεπώς η έκταση της παράβασης είναι μικρή. Επιπρόσθετα, η εν λόγω επεξεργασία δεν εμπίπτει στις βασικές δραστηριότητές του, ενώ η διάρκειά της είναι μεγάλη, αφού έως τον χρόνο της κλήσης δεν έχει γίνει ανακοίνωση των στοιχείων του υπευθύνου προστασίας δεδομένων στην Αρχή. Επιπλέον ο αριθμός των ατόμων που επηρεάστηκαν είναι μικρός. Δεν μπορεί να τεκμηριωθεί εάν ο καταγγελλόμενος Α ενήργησε με δόλο. Τέλος, δεν προκύπτει ότι επηρεάζονται ευαίσθητα δεδομένα που καλύπτουν τα άρθρα 9 και 10 του ΓΚΠΔ, καθώς και δεδομένα 22 εκτός του πεδίου εφαρμογής των εν λόγω άρθρων, η διάδοση των οποίων προκαλεί άμεση ζημία/δυσχέρεια στο υποκείμενο των δεδομένων (π.χ. δεδομένα θέσης, δεδομένα σχετικά με ιδιωτική επικοινωνία, εθνικοί αριθμοί ταυτοποίησης ή χρηματοοικονομικά δεδομένα, όπως επισκοπήσεις συναλλαγών ή αριθμοί πιστωτικών καρτών). Ως εκ τούτου, ο βαθμός σοβαρότητας της παράβασης κρίνεται μικρός. iv. Σε όλες τις παραπάνω περιπτώσεις παραβάσεων του καταγγελλόμενου Α, η Αρχή λαμβάνει υπόψη ως επιβαρυντικά στοιχεία τα εξής: Το γεγονός ότι ο καταγγελλόμενος Α δεν προέβη σε ενέργειες με σκοπό τον περιορισμό των συνεπειών της παράβασης. Περαιτέρω, υπάρχει ενδεχόμενη βλάβη του υποκειμένου των δεδομένων εφόσον ο καταγγελλόμενος Α δεν επιτέλεσε τις υποχρεώσεις του εκ του ΓΚΠΔ. Tέλος, το γεγονός ότι ο καταγγελλόμενος Α δεν υπέβαλλε συμπληρωματικό υπόμνημα μετά την ακροαματική διαδικασία, παρά την προηγούμενη επικοινωνία και ενημέρωση της Αρχής για την αποστολή του, συνιστούν επιβαρυντικούς παράγοντες για τον υπολογισμό του προστίμου. Ωστόσο λαμβάνεται υπόψη το γεγονός ότι δεν έχουν διαπιστωθεί πρόσφατες συναφείς παραβάσεις του ΓΚΠΔ από τον καταγγελλόμενο. v. Τον τελευταίο ενοποιημένο διαθέσιμο κύκλο εργασιών του καταγγελλόμενου Α (01/01/2024 - 31/12/2024) που ανέρχεται σε 4.434.670,10. Ως προς τον καταγγελλόμενο Β: i. Εντοπίστηκαν οι εξής παραβάσεις: α. O καταγγελλόμενος Β κοινολόγησε το υλικό από το σύστημα βιντεοεπιτήρησης χωρίς την προηγούμενη ενημέρωση του υποκειμένου των δεδομένων και επομένως ως υπεύθυνος επεξεργασίας παραβίασε την προβλεπόμενη από το άρθρο 5 παρ. 1 εδ. α’ αρχή της διαφάνειας, ήτοι παραβίασε θεμελιώδη αρχή του ΓΚΠ∆ για την προστασία των δεδομένων προσωπικού χαρακτήρα, το άρθρο 13 καθώς και το άρθρο 5 παρ. 2, αφού δεν κατάφερε να αποδείξει την συμμόρφωσή του ως προς τον ΓΚΠΔ. 23 β. Ο καταγγελλόμενος Β προχώρησε σε επεξεργασία χωρίς να διασφαλιστεί ότι τα δεδομένα τα οποία επεξεργάστηκε είναι συναφή και έχουν περιοριστεί στο αναγκαίο για τον σκοπό για τον οποίο είχαν υποβληθεί σε επεξεργασία και επομένως ως υπεύθυνος επεξεργασίας παραβίασε την προβλεπόμενη από το άρθρο 5 παρ. 1 εδ. γ’ αρχή της ελαχιστοποίησης, ήτοι παραβίασε θεμελιώδη αρχή του ΓΚΠ∆ για την προστασία των δεδομένων προσωπικού χαρακτήρα, καθώς και το άρθρο 5 παρ. 2, καθώς δεν κατάφερε να αποδείξει την συμμόρφωσή του ως προς τον ΓΚΠΔ. γ. Ο καταγγελλόμενος Β δεν διευκόλυνε όπως προβλέπεται στο άρθρο 12 παρ. 1 και παρ. 2 την άσκηση των δικαιωμάτων του υποκειμένου, αφού δεν έλαβε τα κατάλληλα μέτρα ώστε να διασφαλίσει ότι παρέχονται όλες οι πληροφορίες που ζητήθηκαν από το υποκείμενο των δεδομένων σχετικά με την πολιτική που αφορά στο σύστημα βιντεοεπιτήρησης, δεν απάντησε επαρκώς στο ζήτημα περί κοινολόγησης προσωπικών δεδομένων του υποκειμένου των δεδομένων, καθώς επίσης δεν ικανοποίησε το δικαίωμα πρόσβασης σε δεδομένα προσωπικού χαρακτήρα και σε πληροφορίες που ζητήθηκαν από τον καταγγέλλοντα, και δεν παρείχε αντίγραφο δεδομένων προσωπικού χαρακτήρα που υπεβλήθησαν σε επεξεργασία, κατά συνέπεια, ως υπεύθυνος επεξεργασίας, παραβίασε όσα προβλέπονται από το άρθρο 15 παρ. 1 και παρ. 3, ήτοι παραβίασε διατάξεις του ΓΚΠ∆ που αφορούν στα δικαιώματα των υποκειμένων των δεδομένων. δ. Ο καταγγελλόμενος Β δεν συνεργάστηκε με την εποπτική αρχή ως όφειλε σύμφωνα με το άρθρο 31, παραβιάζοντας τις διατάξεις που αφορούν στις υποχρεώσεις του υπεύθυνου επεξεργασίας. ii. οι ανωτέρω υπό α, β, γ παραβάσεις επισύρουν, σύμφωνα με την παρ. 2 του άρθρου 83, διοικητικά πρόστιμα έως 20 000 000 EUR ή έως το 4 % του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους, ενώ η ανωτέρω υπό δ παράβαση επισύρει, σύμφωνα με την παράγραφο 2 του άρθρου 83, διοικητικά πρόστιμα έως 10 000 000 EUR 24 ή, σε περίπτωση επιχειρήσεων, έως το 2 % του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους. iii. Ως προς τον βαθμό σοβαρότητας για τις ανωτέρω παραβάσεις: α. η κοινολόγηση στις δικαστικές αρχές αποτελεί μία επεξεργασία, για την οποία δεν ενημερώθηκε το υποκείμενο των δεδομένων προσηκόντως, η οποία σχετίζεται με τον σκοπό της προστασίας του υπευθύνου επεξεργασίας (παράβαση i. α). Η εν λόγω επεξεργασία δεν εμπίπτει στις βασικές δραστηριότητες του υπεύθυνου επεξεργασίας, ενώ η έκταση και διάρκειά της φαίνεται να είναι μικρή. Επιπλέον, ο αριθμός των υποκειμένων των δεδομένων που επηρεάστηκαν από την εν λόγω επεξεργασία είναι μικρός, ενώ δεν μπορεί να προσδιοριστεί τυχόν ζημία την οποία υπέστη το επηρεαζόμενο υποκείμενο των δεδομένων. Περαιτέρω, δεν μπορεί να αποκλειστεί αλλά ούτε να τεκμηριωθεί σχετικά με το αν ο καταγγελλόμενος Β ενήργησε με δόλο. Τέλος, δεν προκύπτει ότι επηρεάζονται ευαίσθητα δεδομένα που καλύπτουν τα άρθρα 9 και 10 του ΓΚΠΔ, καθώς και δεδομένα εκτός του πεδίου εφαρμογής των εν λόγω άρθρων, η διάδοση των οποίων προκαλεί άμεση ζημία/δυσχέρεια στο υποκείμενο των δεδομένων (π.χ. δεδομένα θέσης, δεδομένα σχετικά με ιδιωτική επικοινωνία, εθνικοί αριθμοί ταυτοποίησης ή χρηματοοικονομικά δεδομένα, όπως επισκοπήσεις συναλλαγών ή αριθμοί πιστωτικών καρτών), καθώς επίσης δεν φαίνεται ο όγκος των δεδομένων να είναι μεγάλος. Ως εκ τούτου, ο βαθμός σοβαρότητας των εν λόγω παραβάσεων κρίνεται μεσαίος. β. Ο καταγγελλόμενος Β δεν έλαβε τα κατάλληλα μέτρα για τον περιορισμό της ζημίας του καταγγέλλοντος, ενώ η έκταση και η διάρκεια της παράβασης είναι μικρή και η εν λόγω επεξεργασία δεν εμπίπτει στις βασικές δραστηριότητές του. Επιπλέον ο αριθμός των ατόμων που επηρεάστηκαν είναι μικρός με ενδεχόμενη δυνατότητα να επηρεαστούν περισσότερα υποκείμενα των δεδομένων λόγω μη επαρκούς ενημέρωσης σε σχέση με την πολιτική που ακολουθείται σχετικά με το σύστημα βιντεοεπιτήρησης που λειτουργεί. Δεν 25 μπορεί να τεκμηριωθεί εάν ο καταγγελλόμενος Β ενήργησε με δόλο. Τέλος, δεν προκύπτει ότι επηρεάζονται ευαίσθητα δεδομένα που καλύπτουν τα άρθρα 9 και 10 του ΓΚΠΔ, καθώς και δεδομένα εκτός του πεδίου εφαρμογής των εν λόγω άρθρων, η διάδοση των οποίων προκαλεί άμεση ζημία/δυσχέρεια στο υποκείμενο των δεδομένων (π.χ. δεδομένα θέσης, δεδομένα σχετικά με ιδιωτική επικοινωνία, εθνικοί αριθμοί ταυτοποίησης ή χρηματοοικονομικά δεδομένα, όπως επισκοπήσεις συναλλαγών ή αριθμοί πιστωτικών καρτών). Ως εκ τούτου, ο βαθμός σοβαρότητας της παράβασης κρίνεται μεσαίος. iv. Σε όλες τις παραπάνω περιπτώσεις παραβάσεων του καταγγελλόμενου Β, η Αρχή λαμβάνει υπόψη ως επιβαρυντικά στοιχεία τα εξής: Το γεγονός ότι ο καταγγελλόμενος Β δεν προέβη σε ενέργειες με σκοπό τον περιορισμό των συνεπειών της παράβασης. Περαιτέρω, υπάρχει ενδεχόμενη βλάβη του υποκειμένου των δεδομένων, εφόσον ο καταγγελλόμενος Β δεν επιτέλεσε τις υποχρεώσεις του εκ του ΓΚΠΔ. Τέλος, το γεγονός ότι ο καταγγελλόμενος Β δεν υπέβαλλε συμπληρωματικό υπόμνημα μετά την ακροαματική διαδικασία, παρά την προηγούμενη επικοινωνία και ενημέρωση της Αρχής για την αποστολή του, συνιστούν επιβαρυντικούς παράγοντες για τον υπολογισμό του προστίμου. Ωστόσο λαμβάνεται υπόψη το γεγονός ότι δεν έχουν διαπιστωθεί πρόσφατες συναφείς παραβάσεις του ΓΚΠΔ από τον καταγγελλόμενο. v. Τον τελευταίο ενοποιημένο διαθέσιμο κύκλο εργασιών του καταγγελλόμενου Β (01/01/2024 - 31/12/2024) που ανέρχεται σε 171.179.897,19€. 26. Κατόπιν συνεκτίμησης των ανωτέρω κριτηρίων, καθώς και τον κύκλο εργασιών των υπευθύνων επεξεργασίας, η Αρχή αποφασίζει ομόφωνα ότι πρέπει να επιβληθεί στους καταγγελλόμενους ως υπεύθυνους επεξεργασίας οι αναφερόμενες στο διατακτικό διοικητικές κυρώσεις, οι οποίες κρίνονται ανάλογες με τη βαρύτητα των παραβάσεων. 26 ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή: α) Επιβάλλει στην «ΜΕΔΕ ΑΕ» ως υπεύθυνο επεξεργασίας: i. με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, συμφώνως προς το άρθρο 83 του ΓΚΠΔ, διοικητικό πρόστιμο συνολικού ύψους είκοσι χιλιάδων (20.000) ευρώ, για την παραβίαση των άρθρων 5 παρ. 1 στοιχ. α’, 5 παρ. 1 στοιχ. β’, 13 παρ. 1 και 5 παρ. 2 του Κανονισμού (ΕΕ) 2016/679. ii. με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, συμφώνως προς το άρθρο 83 του ΓΚΠΔ, διοικητικό πρόστιμο συνολικού ύψους είκοσι χιλιάδων (20.000) ευρώ, για την παραβίαση των άρθρων 12 παρ. 1 και παρ. 2 και 15 παρ.1 και παρ. 3 του Κανονισμού (ΕΕ) 2016/679. iii. με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, συμφώνως προς το άρθρο 83 του ΓΚΠΔ, διοικητικό πρόστιμο συνολικού ύψους είκοσι χιλιάδων (20.000) ευρώ, για την παραβίαση του άρθρου 5 παρ. β’ και 13 παρ. 3 του Κανονισμού (ΕΕ) 2016/679. iv. με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, συμφώνως προς το άρθρο 83 του ΓΚΠΔ, διοικητικό πρόστιμο συνολικού ύψους πέντε χιλιάδων (5.000) ευρώ, για την παραβίαση του άρθρου 37 παρ. 7 του Κανονισμού (ΕΕ) 2016/679. β) Επιβάλλει στην «ΜΑΡΚΕΤ ΙΝ ΑΕΒΕ» ως υπεύθυνο επεξεργασίας: i. με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, συμφώνως προς το άρθρο 83 του ΓΚΠΔ, διοικητικό πρόστιμο συνολικού ύψους πενήντα χιλιάδων (50.000) ευρώ, για την παραβίαση του άρθρου 5 παρ. 1 στοιχ. α’, σε συνδυασμό με το άρθρο 13 και το άρθρο 5 παρ. 2 του Κανονισμού (ΕΕ) 2016/679. Ii. με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, συμφώνως προς το άρθρο 83 του ΓΚΠΔ, διοικητικό πρόστιμο συνολικού ύψους είκοσι χιλιάδων (20.000) ευρώ, για την παραβίαση του άρθρου 5 παρ. 1 στοιχ. γ’ σε συνδυασμό με το άρθρο 5 παρ. 2 του Κανονισμού (ΕΕ) 2016/679. iii. με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, συμφώνως προς το άρθρο 83 του ΓΚΠΔ, διοικητικό πρόστιμο συνολικού ύψους είκοσι χιλιάδων (20.000) ευρώ, για την παραβίαση των άρθρων 12 παρ. 1 και παρ. 2 και 15 παρ.1 και παρ. 3 του Κανονισμού (ΕΕ) 2016/679. iv. με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, συμφώνως προς το άρθρο 83 27 του ΓΚΠΔ, διοικητικό πρόστιμο συνολικού ύψους πέντε χιλιάδων (5.000) ευρώ, για την παραβίαση του άρθρου 31 του Κανονισμού (ΕΕ) 2016/679. Ο Εκτελών Χρέη Προέδρου Η Γραμματέας Αν. Πρόεδρος Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 28

🔗 Στην επίσημη πηγή

Επεξήγηση AI βάσει του επίσημου κειμένου του νόμου. Ενδεικτική, δεν υποκαθιστά νομική συμβουλή.