Αθήνα, 16-02-2024 Αριθ. Πρωτ.: 587 ΑΠΟΦΑΣΗ 7/2024 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, συνήλθε, μετά από πρόσκληση του Προέδρου της, σε τακτική συνεδρίαση σε σύνθεση Τμήματος στην έδρα της την 10/01/2024, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Στη συνεδρίαση μετείχε μέσω τηλεδιάσκεψης ο Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής, Κωνσταντίνου Μενουδάκου, και παρέστησαν το αναπληρωματικό μέλος Γεώργιος Κόντης, ως εισηγητής, καθώς και τα αναπληρωματικά μέλη Δημοσθένης Βουγιούκας και Μαρία Ψάλλα, σε αντικατάσταση των τακτικών μελών Κωνσταντίνου Λαμπρινουδάκη και Γρηγόριου Τσόλια οι οποίοι δεν παρέστησαν λόγω κωλύματος αν και κλήθηκαν νομίμως εγγράφως. Στη συνεδρίαση παρέστη, με εντολή του Προέδρου χωρίς δικαίωμα ψήφου, η Γεωργία Παναγοπούλου, ειδική επιστήμονας – ελέγκτρια ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. H Αρχή έλαβε υπόψη τα παρακάτω: Με το με αριθ. πρωτ Γ/ΕΙΣ/8815/08-11-2018 έγγραφο, όπως συμπληρώθηκε με το με αρ. πρωτ. Γ/ΕΙΣ/7048/16-05-2022 έγγραφο, ο Α (στο εξής καταγγέλλων) στρέφεται κατά της εταιρείας «Χ», (στο εξής καταγγελλόμενη) σχετικά με παράνομη λειτουργία συστήματος γεωεντοπισμού σε όχημα που του είχε παραχωρηθεί από τον εργοδότη του. Σύμφωνα με την καταγγελία στοιχεία από το σύστημα χρησιμοποιήθηκαν από την καταγγελλόμενη για να αποδείξουν ότι ο υπάλληλος χρησιμοποίησε το όχημα εκτός ωραρίου, κατά παράβαση των όρων παραχώρησης Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr και ότι δεν είχε ενημερωθεί προσηκόντως για την επεξεργασία των προσωπικών του δεδομένων μέσω του συστήματος αυτού. Η Αρχή απέστειλε στην καταγγελλόμενη το με αρ. πρωτ. Γ/ΕΞΕ/1163/18-052022 έγγραφο με το οποίο ενημέρωσε για το περιεχόμενο της υποβληθείσας καταγγελίας και την κάλεσε να υποβάλει εγγράφως τις απόψεις της σχετικά με την καταγγελία, με ειδική αναφορά στα ζητήματα ενημέρωσης των εργαζομένων και λειτουργίας του συστήματος εκτός ωραρίου εργασίας. Η καταγγελλόμενη απάντησε με το με αρ. πρωτ. Γ/ΕΙΣ/7664/02-06-2022 έγγραφο, στο οποίο αναφέρει ότι σκοπός και μοναδικός στόχος ήταν πρωτίστως η ασφάλεια και η προστασία της υγείας και σωματικής ακεραιότητας του ως άνω εργαζόμενου, ο ακριβής έλεγχος και η εν γένει ασφάλεια του εταιρικού οχήματος αλλά και των φορτίων της επιχείρησης, η επαλήθευση των δρομολογίων και η πιστή και απρόσκοπτη τήρηση του προγράμματος που έχει κάθε φορά προαποφασιστεί από τον προϊστάμενο, καθώς και ο εξορθολογισμός των δαπανών με τον πλέον ορθό σχεδιασμό των διαδρομών , καθώς ο καταγγέλλων στα πλαίσια των εργασιακών του υποχρεώσεων, εκινείτο και εκτός του τόπου της κατοικίας του στην Αθήνα. Του προτάθηκε επιπλέον σε περίπτωση οιασδήποτε επιφύλαξης του για οιοδήποτε σχετικό θέμα: 1) είτε να παραλαμβάνει το ως επαγγελματικό αυτοκίνητο στις 09:00 και να το επιστρέφει μετά το πέρας της εργασίας του περί ώρα 17:00 στα γραφεία στην …, 2) είτε να συνεχίσει να παρέχει τις υπηρεσίες του με παλαιότερο όχημα, 3) είτε να συνεχίσει να παρέχει τις υπηρεσίες του με το δικό του Ι.Χ , το οποίο θα εντασσόταν στην επιχείρηση προς εξυπηρέτηση του σε καθεστώς πάγιας αντιμισθίας. Ο καταγγέλλων, αφού ενημερώθηκε προφορικά για τον τρόπο λειτουργίας του συστήματος, συνεκτίμησε ελεύθερα και αβίαστα τις ανωτέρω επιλογές που του δόθηκαν, και όχι μόνον δεν αντιτάχθηκε στην εγκατάσταση της συσκευής γεωγραφικού εντοπισμού, αλλά αντιθέτως με πλήρη επίγνωση συγκατατέθηκε και τελικώς συμφωνήθηκε η παράδοση του συγκεκριμένου καινούργιου αυτοκινήτου και για τον λόγο αυτό υπεγράφη το από 05/03/2015 πρωτόκολλο παράδοσης αυτοκινήτου στο οποίο αναφέρεται ρητά ότι το συγκεκριμένο όχημα έφερε «συσκευή ανίχνευσης». Για τεχνικούς λόγους ο εκτελών την επεξεργασία ανάδοχος παρακολούθησης του γεωγραφικού στίγματος, όπως είχε 2 ενημερώσει, δεν μπορούσε να διακόπτει επιλεκτικά τη λειτουργία του συστήματος για συγκεκριμένες ώρες και ότι ο καταγγέλλων θα είχε την δυνατότητα ανά πάσα στιγμή με σχετικό αίτημα του να έχει απρόσκοπτη πρόσβαση στα δεδομένα αυτά. Στο υπόμνημα επισυνάπτεται και απόφαση του Μονομελούς Πρωτοδικείου Ψ (…), που εξέτασε αγωγή του καταγγέλλοντος, στην οποία δεν εντοπίζει κάποια παρανομία σχετικά με λειτουργία του συστήματος γεωεντοπισμού. Στη συνέχεια η Αρχή, προκειμένου να ολοκληρώσει την εξέταση της υπόθεσης, κάλεσε με τα με αρ. πρωτ. Γ/ΕΞΕ/2740/31-10-2022, Γ/ΕΞΕ/2743/31-102022 έγγραφα, τον καταγγέλλοντα και την καταγγελλόμενη εταιρεία, αντίστοιχα, στη συνεδρίαση του Τμήματος στις 16/11/
- Στη συνεδρίαση της 16/11/2022 παρέστησαν, μέσω τηλεδιάσκεψης, οι εκ μέρους του Α η Χρύσα ΚαρακοΪδα με ΑΜΔΣ … και εκ μέρους της εταιρείας «Χ» ο Γεώργιος Α. Κατριτσέας με ΑΜΔΣ … . Κατά την ακρόαση τα μέρη ανέπτυξαν τις απόψεις τους και έλαβαν προθεσμία για την υποβολή υπομνήματος. Στη συνέχεια η καταγγελλόμενη κατέθεσε εμπρόθεσμα το με αριθ. πρωτ. Γ/ΕΙΣ/12191/30-11-2022 υπόμνημά της και ο καταγγέλλων το με αριθ. πρωτ. Γ/ΕΙΣ/12196/01-12-2022 υπόμνημα. Κατά την ακρόαση, ο καταγγέλλων επανέλαβε τα αναφερόμενα στην καταγγελία του τα οποία συμπεριέλαβε και στο υπόμνημά του. Η καταγγελλόμενη, τόσο κατά την ακρόαση όσο και με το με αριθ. πρωτ. Γ/ΕΙΣ/12191/30-11-2022 υπόμνημά της επανέλαβε τους ισχυρισμούς που είχαν αναπτυχθεί στο με αρ. πρωτ. Γ/ΕΙΣ/7664/0206-2022 απαντητικό έγγραφο. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου και αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ 3
- Από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού (ΕΕ) 2016/679 – εφεξής, ΓΚΠΔ) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας του καταγγέλλοντος κατά της καταγγελλόμενης και να ασκήσει, αντίστοιχα, τις εξουσίες που της απονέμονται από τις διατάξεις των άρθρων 58 του ΓΚΠΔ και 15 του νόμου 4624/
- Με το άρθρο 5 παρ. 1 του Γενικού Κανονισμού (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα (εφεξής ΓΚΠΔ) τίθενται οι αρχές που πρέπει να διέπουν μια επεξεργασία. Σύμφωνα με το άρθρο 5 παρ. 1 α) και στ) ΓΚΠΔ «
- Τα δεδομένα προσωπικού χαρακτήρα: α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»), […] στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»)», ενώ όπως επισημαίνεται στο Προοίμιο του Κανονισμού, «Τα δεδομένα προσωπικού χαρακτήρα θα πρέπει να υφίστανται επεξεργασία κατά τρόπο που να διασφαλίζει την ενδεδειγμένη προστασία και εμπιστευτικότητα των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων και για να αποτρέπεται κάθε ανεξουσιοδότητη πρόσβαση σε αυτά τα δεδομένα προσωπικού χαρακτήρα και στον εξοπλισμό που χρησιμοποιείται για την επεξεργασία τους ή η χρήση αυτών των δεδομένων προσωπικού χαρακτήρα και του εν λόγω εξοπλισμού» (Αιτ. Σκ. 39 in fine). Περαιτέρω, σύμφωνα με την αρχή της λογοδοσίας που ορίζεται ρητώς στην δεύτερη παράγραφο του ιδίου άρθρου και συνιστά ακρογωνιαίο λίθο του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας «φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με 4 την παράγραφο 1 («λογοδοσία»)». Η αρχή αυτή συνεπάγεται την υποχρέωση του υπευθύνου επεξεργασίας να δύναται να αποδείξει συμμόρφωση με τις αρχές του άρθ. 5 παρ.
- Επειδή σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 4 στοιχ. 7) ΓΚΠΔ, ως υπεύθυνος επεξεργασίας νοείται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους». Σύμφωνα με τις Κατευθυντήριες γραμμές 07/2020 του ΕΣΠΔ αναφορικά με τις έννοιες , κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα που εκτελείται από υπαλλήλους στο πεδίο των δραστηριοτήτων ενός οργανισμού μπορεί να θεωρηθεί ότι εκτελείται υπό τον έλεγχο του εν λόγω οργανισμού. Οι υπάλληλοι που έχουν πρόσβαση σε δεδομένα προσωπικού χαρακτήρα στο πλαίσιο ενός οργανισμού δεν θεωρούνται εν γένει «υπεύθυνοι επεξεργασίας» ή «εκτελούντες την επεξεργασία», αλλά «πρόσωπα που ενεργούν υπό την εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία» κατά την έννοια του άρθρου 29 του ΓΚΠΔ, επομένως εν προκειμένω η καταγγελλόμενη αποτελεί την υπεύθυνη επεξεργασίας.
- Όσον αφορά τη διαφάνεια της επεξεργασίας, το άρθρο 12 παρ. 1 ΓΚΠΔ ορίζει ότι: «Ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που αναφέρεται στα άρθρα 13 και 14 και κάθε ανακοίνωση στο πλαίσιο των άρθρων 15 έως 22 και του άρθρου 34 σχετικά με την επεξεργασία σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση, ιδίως όταν πρόκειται για πληροφορία απευθυνόμενη ειδικά σε παιδιά. Οι πληροφορίες παρέχονται γραπτώς ή με άλλα μέσα, μεταξύ άλλων, εφόσον ενδείκνυται, ηλεκτρονικώς. Όταν ζητείται από το υποκείμενο των δεδομένων, οι πληροφορίες μπορούν να δίνονται προφορικά, υπό την προϋπόθεση ότι η ταυτότητα του υποκειμένου των δεδομένων είναι αποδεδειγμένη με άλλα μέσα». Οι υποχρεωτικά παρεχόμενες πληροφορίες 5 προβλέπονται στο άρθρο 13 ΓΚΠΔ για την περίπτωση που τα δεδομένα συλλέγονται από το υποκείμενο και στο άρθρο 14 ΓΚΠΔ για την περίπτωση που τα δεδομένα δεν έχουν συλλεγεί από το υποκείμενο. Ειδικότερα, οι πληροφορίες αυτές περιλαμβάνουν τουλάχιστον «α) την ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και, κατά περίπτωση, του εκπροσώπου του, β) τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων, κατά περίπτωση, γ) τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία, δ) τις σχετικές κατηγορίες δεδομένων προσωπικού χαρακτήρα, ε) τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων προσωπικού χαρακτήρα, στ) κατά περίπτωση, ότι ο υπεύθυνος επεξεργασίας προτίθεται να διαβιβάσει δεδομένα προσωπικού χαρακτήρα σε αποδέκτη σε τρίτη χώρα ή διεθνή οργανισμό και σχετικές πληροφορίες, ζ) το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα, ή, εφόσον αυτό είναι αδύνατον, τα κριτήρια που καθορίζουν το εν λόγω διάστημα, η) πληροφορίες σχετικά με τα δικαιώματα του υποκειμένου σύμφωνα με τα άρθρα 15-22 ΓΚΠΔ. Εφόσον τα δεδομένα δεν έχουν συλλεγεί από το υποκείμενο, σύμφωνα με το άρθρο 14 παρ. 2 εδ. στ) ΓΚΠΔ, απαιτείται να παρέχεται στο υποκείμενο ως πληροφορία «η πηγή από την οποία προέρχονται τα δεδομένα προσωπικού χαρακτήρα και, ανάλογα με την περίπτωση, εάν τα δεδομένα προήλθαν από πηγές στις οποίες έχει πρόσβαση το κοινό». Οι πληροφορίες παρέχονται είτε κατά τη συλλογή των δεδομένων, όταν αυτή γίνεται από το υποκείμενο (άρθρο 13 ΓΚΠΔ) είτε εντός του χρονικού διαστήματος που ορίζεται στην παρ. 3 του άρθρου 14 ΓΚΠΔ, στην περίπτωση που τα δεδομένα δεν έχουν συλλεγεί από το υποκείμενο.
- Στη Γνώμη 2/2017 της Ομάδα Εργασίας του Άρθρου 29 σχετικά με την επεξεργασία δεδομένων στην εργασία1, η παράγραφος 5.7 αναφέρει σχετικά ότι λόγω του ευαίσθητου χαρακτήρα των δεδομένων θέσης, δεν είναι πιθανό να υπάρχει νομική βάση για την παρακολούθηση της θέσης των οχημάτων των εργαζομένων εκτός του 1 https://www.dpa.gr/el/enimerwtiko/thematikes_enotites/eidikoiskopoi/ergasiakess xeseis/sxetika_eur 6 συμφωνημένου ωραρίου εργασίας. Ωστόσο, εάν υπάρχει τέτοια ανάγκη, θα πρέπει να εξετάζεται χρήση που θα είναι ανάλογη των κινδύνων. Για παράδειγμα, αυτό θα μπορούσε να σημαίνει ότι, για την πρόληψη της κλοπής οχημάτων, η θέση του οχήματος δεν καταγράφεται εκτός του ωραρίου εργασίας, εκτός εάν το όχημα εγκαταλείψει μια ευρύτερη τοποθεσία (περιφέρεια ή ακόμα και χώρα). Επιπλέον, η τοποθεσία θα εμφανίζεται μόνο σε περιπτώσεις έκτακτης ανάγκης – ο εργοδότης ενεργοποιεί την ορατότητα της θέσης, προσπελάζοντας δεδομένα που έχουν ήδη αποθηκευτεί από το σύστημα, όταν το όχημα βγαίνει από μια προκαθορισμένη περιοχή.
- Η καταγγελλόμενη, ως υπεύθυνος επεξεργασίας για τα δεδομένα θέσης του οχήματος του εργαζομένου οφείλει να είναι σε θέση να αποδείξει τη συμμόρφωση με τις αρχές του άρθ. 5 παρ. 1 του ΓΚΠΔ, τηρώντας την κατάλληλη προβλεπόμενη τεκμηρίωση. Η Αρχή δεν προέβη σε έλεγχο της τεκμηρίωσης αυτής, αλλά εξέτασε τα διαλαμβανόμενα στην εν λόγω καταγγελία που αφορούν το συγκεκριμένο περιστατικό.
- Στην Ετήσια Έκθεση της Αρχής του 2014, στην παρ. 3.8.2 περί χρήσης συστήματος γεωεντοπισμού σε οχήματα εργαζομένων, αναφέρεται ότι ο εργοδότης οφείλει να ενημερώνει τους εργαζομένους για το σκοπό επεξεργασίας, το είδος των καταγραφόμενων δεδομένων, το χρόνο τήρησής τους και τη διαδικασία άσκησης εκ μέρους του εργαζόμενου του δικαιώματος πρόσβασης. Η ενημέρωση πρέπει να είναι ατομική και να πιστοποιείται με εύλογο τρόπο. Η αναφορά των δεδομένων θέσης που είχαν συλλεγεί εκτός ωρών εργασίας από το όχημα το οποίο δεν έπρεπε να χρησιμοποιεί ο καταγγέλλων αφορά χρονικό διάστημα πριν την ισχύ του ΓΚΠΔ, οπότε θα έπρεπε να έχει ικανοποιηθεί με τρόπο συναφή και πρόσφορο μέχρι τότε η υποχρέωση ενημέρωσης βάσει του ισχύοντος τότε ν. 2472/1997 άρθρο
- Από τα παραπάνω εκτιθέμενα πραγματικά περιστατικά προκύπτει ότι η καταγγελλόμενη κατέγραφε τα δεδομένα γεωεντοπισμού του οχήματος που είχε παραχωρηθεί στον καταγγέλλοντα και εκτός ωρών εργασίας, έχοντας όμως παραχωρήσει το όχημα μόνο για χρήση εντός ωρών εργασίας και έχοντας 7 ενημερώσει τον καταγγέλλοντα για την ύπαρξη και τον τρόπο λειτουργίας του συστήματος αυτού. Η αναλυτική ενημέρωση έχει γίνει προφορικά κατόπιν σχετικού αιτήματος του καταγγέλλοντα με αποτέλεσμα η πιστοποίησή της να μην είναι ευχερής. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η ΑΡΧΗ Α. Επιβάλλει, στην «Χ» ως υπεύθυνο επεξεργασίας, προειδοποίηση με βάση το άρθρο 21 του Ν.2472/2997 για την προσαρμογή της ενημέρωσης για τη λειτουργία του συστήματος γεωεντοπισμού σε οχήματα ώστε να είναι ατομική, πλήρης και σαφής και να πιστοποιείται με εύλογο τρόπο. Β. Δίνει εντολή «Χ» ως υπεύθυνο επεξεργασίας, με βάση το άρθρο 58 παρ. 2 στοιχ. γ΄ ΓΚΠΔ, για προσαρμογή της ενημέρωσης για τη λειτουργία του συστήματος γεωεντοπισμού σε οχήματα ώστε να είναι ατομική, πλήρης και σαφής και να πιστοποιείται με εύλογο τρόπο. Ο Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 8