Συστάσεις σε εργοδότη για τη νόμιμη λειτουργία συστήματος βιντεοεπιτήρησης και συστήματος γεωεντοπισμού

Αθήνα, 08-10-2019 Αριθ. Πρωτ.: Γ/ΕΞ/6778/08-10-2019 ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ∆Ε∆ΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΑΠΟΦΑΣΗ 37/2019 (Τµήµα) Η Αρχή Προστασ ας ∆εδοµένων Προσωπικού Χαρακτήρα συνεδρ ασε σε σύνθεση Τµήµατος στην έδρα της την 13-02-2019 και ώρα 10:00 µετά από πρόσκληση του Προέδρου της, προκειµένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Αναπληρωτής Πρόεδρος, Γ. Μπατζαλέξης, κωλυοµένου του Προέδρου της Αρχής, Κ. Μενουδάκου, το τακτικό µέλος της Αρχής Αντ. Συµβώνης και το αναπληρωµατικό µέλος της Αρχής Γρ. Τσόλιας, ως εισηγητής, σε αντικατάσταση του τακτικού µέλους Χ. Ανθόπουλου. Το τακτικό µέλος της Αρχής Κ. Λαµπρινουδάκης και το αναπληρωµατικό του µέλος Ε. Παπακωνσταντ νου, αν και εκλήθησαν νοµ µως εγγράφως, δεν παρέστησαν λόγω κωλύµατος. Παρούσες χωρ ς δικα ωµα ψήφου ήταν η Γ. Παναγοπούλου, ειδική επιστήµονας ελέγκτρια, ως βοηθός εισηγητή, η οπο α αποχώρησε µετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη απόφασης και η Ε. Παπαγεωργοπούλου, υπάλληλος του τµήµατος διοικητικών υποθέσεων, ως γραµµατέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: H Αρχή έλαβε την µε αρ. πρωτ. Γ/ΕΙΣ/165/11-01-2017 καταγγελ α του Α κατά της Landscape M&S M. EΠΕ (εφεξής «υπεύθυνος επεξεργασ ας») σχετικά µε παράνοµη λειτουργ α συστήµατος γεωντοπισµού σε οχήµατα που χρησιµοποιούσε ως εργαζόµενος καθώς και παράνοµη λειτουργ α συστήµατος βιντεοεπιτήρησης, µέσω των οπο ων πραγµατοποιήθηκε επιτήρηση των εργαζοµένων. Ο καταγγέλλων υπήρξε εργαζόµενος στην καταγγελλόµενη εταιρε α από τις 04-3-2014 έως 09-11-

1. Η Αρχή απέστειλε στον υπεύθυνο επεξεργασ ας τo µε αρ. πρωτ. Γ/ΕΞ/165-1/10-022017 έγγραφο, µε το οπο ο τον ενηµέρωσε σχετικά µε τις µε αρ. 162/2014, 163/2014 165/2014 αποφάσεις µε τις οπο ες εξειδικεύτηκαν σε συγκεκριµένες περιπτώσεις οι όροι Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ.: 210-6475600, Fax: 210-6475628, contact@dpa.gr, www.dpa.gr -1- και οι προϋποθέσεις εγκατάστασης και λειτουργ ας συστηµάτων γεωγραφικού εντοπισµού στον τοµέα των εργασιακών σχέσεων, αναφορικά µε την προστασ α των προσωπικών δεδοµένων των εργαζοµένων. Ενηµέρωσε επ σης για την υπ’ αριθ. 1/2011 Οδηγ α της Αρχής στο άρθρο 7 της οπο ας προβλέπεται ότι απαγορεύεται, καταρχήν, η επιτήρηση στους χώρους εργασ ας και επισηµα νεται ότι δεν θα πρέπει να πραγµατοποιε ται µε τον τρόπο αυτό η επιτήρηση των εργαζοµένων εντός των χώρων εργασ ας, εκτός από ειδικές εξαιρετικές περιπτώσεις. Ζητήθηκαν οι απόψεις της εταιρ ας επ της ως άνω καταγγελ ας. Ο υπεύθυνος επεξεργασ ας απάντησε µε το µε αρ. πρωτ. Γ/ΕΙΣ/1565/24-02-2017 έγγραφο στο οπο ο ανέφερε ότι υπήρχαν κάµερες εγκατεστηµένες στην κεντρική ε σοδο, σε αποθήκη της επιχε ρησης, περιµετρικά του κτιρ ου καθώς και σε χώρο στάθµευσης. Η λειτουργ α του συστήµατος γεωεντοπισµού των οχηµάτων της εταιρε ας ε χε ανατεθε σε εκτελούσα την επεξεργασ α εταιρε α και τηρούνταν τα απαιτούµενα µέτρα ασφάλειας κατά την πρόσβαση εξουσιοδοτηµένων προς τούτο υπαλλήλων στα δεδοµένα του συστήµατος. Η εταιρε α διέθετε προκαθορισµένο ηµερήσιο πρόγραµµα δροµολογ ων, το οπο ο καταρτιζόταν µε βάση τα συµφωνηµένα ραντεβού µε τους πελάτες της αφού δεσµεύεται χρονικά έναντι των πελατών που αναµένουν στο χώρο τους την µετάβαση του συνεργε ου για την εκτέλεση εργασιών φύτευσης, συντήρησης χώρων και έργων πρασ νου, µυοκτονιών και απεντοµώσεων. Ο καταγγέλλων ε ναι πρώην εργαζόµενος µε τον οπο ο η εταιρε α βρ σκεται σε δικαστική διαµάχη. Σε συνέχεια του εγγράφου της Αρχής η εταιρε α υπέβαλε τη µε αρ. πρωτ. Γ/ΕΙΣ/586/07-03-2017 γνωστοπο ηση τήρησης αρχε ου για το σύστηµα γεωεντοπισµού καθώς και τη µε αρ. πρωτ. Γ/ΕΙΣ/566/06-03-2017 γνωστοπο ηση για το σύστηµα βιντεοεπιτήρησης. Στη συνέχεια, η Αρχή µε τη µε αρ. πρωτ. Γ/ΕΞ/8683/02-11-2018 κλήση κάλεσε τον υπεύθυνο επεξεργασ ας να παραστε στη συνεδρ αση του Τµήµατος της Αρχής την 14-112018, προκειµένου να συζητηθε το ανωτέρω ζήτηµα. Κατά την ακρόαση της 14-11-2018 παρέστησαν εκ µέρους του υπευθύνου επεξεργασ ας οι Β, ∆ιαχειριστής, η δικηγόρος Ελεούσα Σακελλαροπούλου µε ΑΜ∆ΣΑ … και η Γ, υπάλληλος. Παρέστη επ σης ο καταγγέλλων Α. Αφού αναπτύχθηκαν προφορικά οι απόψεις των παρισταµένων, στη συνέχεια υπεβλήθη εκ µέρους του υπευθύνου επεξεργασ ας το µε αρ. πρωτ. Γ/ΕΙΣ/ 9378/26-11-2018 υπόµνηµα και εκ µέρους του καταγγέλλοντος το µε αρ. πρωτ. Γ/ΕΙΣ/9350/26-11-2018 υπόµνηµα. Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ.: 210-6475600, Fax: 210-6475628, contact@dpa.gr, www.dpa.gr -2- Ο υπεύθυνος επεξεργασ ας, δια του υποµνήµατός του, υποστηρ ζει τα εξής: Κατά το διάστηµα στο οπο ο ο καταγγέλλων εργαζόταν στην καταγγελλόµενη εταιρε α τα δροµολόγια των οχηµάτων της εταιρε ας ήταν προκαθορισµένα βάσει προγραµµατισµού των εργασιών της ηµέρας. Τα δεδοµένα του συστήµατος χρησιµοποιούνταν για την βελτιστοπο ηση των διαδροµών και τον έλεγχο δαπανών αλλά και την ανταπόκριση σε έκτακτα αιτήµατα. Η εταιρε α δεν έκανε χρήση των δεδοµένων γεωεντοπισµού τα οπο α αποθηκεύονταν µετά το τέλος του ωραρ ου εργασ ας, ενώ οι εργαζόµενοι δεν ε χαν δικα ωµα να χρησιµοποιούν τα οχήµατα για προσωπικές µετακινήσεις. ∆ιευκριν ζεται ότι ουδέποτε έγινε χρήση των δεδοµένων γεωεντοπισµού για έλεγχο παραγωγικότητας και καταγγελ α συµβάσεως εργαζοµένου. Αναφορικά µε τη λειτουργ α συστήµατος βιντεοεπιτήρησης, στο διο υπόµνηµα επισηµα νεται ότι οι κάµερες δεν ήταν τοποθετηµένες σε χώρους εργασ ας, το σύστηµα πληρούσε τις προϋποθέσεις της Οδηγ ας 1/2011 της Αρχής, δεν έχει υπάρξει διαµαρτυρ α από εργαζόµενους και η επιτήρηση των χώρων στάθµευσης των οχηµάτων δεν σηµα νει επιτήρηση χώρων εργασ ας. Ενηµερωτικές πινακ δες ε χαν τοποθετηθε στην ε σοδο των γραφε ων και της αποθήκης. Ο καταγγέλλων στο υπόµνηµά του αναφέρει ότι το σύστηµα γεωεντοπισµού χρησιµοποιήθηκε για επιπλήξεις σε σχέση µε την παραγωγικότητά του και ότι δεν ε χε ενηµερωθε κατά τη σύναψη της σύµβασής του για τη λειτουργ α του συστήµατος. Στοιχε α από το σύστηµα σχετικά µε τις µετακινήσεις του δόθηκαν σε τρ το πρόσωπο και προκλήθηκε οικογενειακό επεισόδιο. ∆ιευκριν ζει ότι υπήρχε µεν πρόγραµµα εργασιών των συνεργε ων τα οπο α µετακινούνται µε τα οχήµατα της εταιρε ας, αλλά δεν υπήρχε προδιαγεγραµµένο δροµολόγιο. Σχετικά µε τη λειτουργ α συστήµατος βιντεοεπιτήρησης, ο καταγγέλλων αναφέρει ότι οι κάµερες ελάµβαναν εικόνα από χώρο που περιβάλλει το κτ ριο στο ισόγειο του οπο ου στεγάζεται η επιχε ρηση. Κάµερες ήταν τοποθετηµένες και στον τρ το όροφο και έβλεπαν στην περ µετρο του κτιρ ου εστιάζοντας στα παρκαρισµένα οχήµατα της εταιρε ας. Επειδή γ νονταν εργασ ες συντήρησης και καθαρισµού του εξοπλισµού των οχηµάτων, ο ιδιοκτήτης της εταιρε ας έλεγχε την εικόνα από τις κάµερες και έκανε παρατηρήσεις στους εργαζόµενους. Αναφέρει επ σης ότι δεν υπήρχε ενηµερωτική πινακ δα. Επισυνάπτονται, τέλος, µαρτυρ ες πέντε πρώην εργαζοµένων οι οπο ες συµφωνούν µε τους ισχυρισµούς του καταγγέλλοντος. Η Αρχή, µετά από εξέταση των στοιχε ων του φακέλου, την ακροαµατική διαδικασ α και αφού άκουσε τον εισηγητή και τη βοηθό εισηγητή, η οπο α αποχώρησε µετά τη Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ.: 210-6475600, Fax: 210-6475628, contact@dpa.gr, www.dpa.gr -3- συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη απόφασης, µετά από διεξοδική συζήτηση Σ ΕΦΤΗ Ε ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
2. Σύµφωνα µε το άρθρο 2 στοιχ. α΄ του ν. 2472/1997, η πληροφορ α σχετικά µε τη γεωγραφική θέση, στην οπο α βρ σκεται ένα άτοµο σε µ α ή περισσότερες χρονικές στιγµές, αποτελε προσωπικό δεδοµένο, εφόσον το εν λόγω άτοµο µπορε να αναγνωριστε µε άµεσο ή έµµεσο τρόπο από τον υπεύθυνο επεξεργασ ας ή από τρ το µε εύλογα µέσα. Ειδικότερα, η ανωτέρω πληροφορ α µπορε να οδηγήσει στον εντοπισµό ή/και στην παρακολούθησή του ατόµου σε πραγµατικό ή µη χρόνο, ενώ µέσω της σύνδεσης της γεωγραφικής θέσης ενός ατόµου µε συγκεκριµένες ενέργειες ή δραστηριότητές του, ε ναι δυνατό να αποκαλύπτονται προσωπικά δεδοµένα σχετικά µε τις συνήθειες ή τις προτιµήσεις του, επιτρέποντας τον χαρακτηρισµό του και τη δηµιουργ α προφ λ συµπεριφοράς. Ο προσδιορισµός της γεωγραφικής θέσης µπορε να γ νει µέσω ηλεκτρονικών συστηµάτων γεωγραφικού εντοπισµού που στηρ ζονται σε πολλαπλές διαθέσιµες τεχνολογ ες, την πιο συνήθη εκ των οπο ων αποτελε το Παγκόσµιο ∆ κτυο Εντοπισµού Θέσης (GPS)
3. Συνεπώς πρόκειται για επεξεργασ α σύµφωνα µε το άρθρο 2 στοιχ. δ΄ του ν. 2472/
4. Τα δεδοµένα αυτά περιλαµβάνουν δεδοµένα γεωγραφικής θέσης, καθώς και άλλα σχετικά µε τη θέση δεδοµένα ατόµων ή/και αντικειµένων που σχετ ζονται άµεσα µε άτοµα, των οπο ων η ταυτότητα µπορε να προσδιοριστε άµεσα ή έµµεσα από τον υπεύθυνο επεξεργασ ας ή τρ το. Η δια θέση υιοθετε ται και από την Γνώµη 5/2005 της Οµάδας Εργασ ας του άρθρου 29 για τη χρήση δεδοµένων θέσης µε σκοπό την παροχή υπηρεσιών προστιθέµενης αξ ας, όπου στην παρ. 2.2 τον ζεται ότι η επεξεργασ α δεδοµένων που επιτρέπει στον εργοδότη να συλλέγει στοιχε α σχετικά µε τον εντοπισµό της θέσης του εργαζόµενου, ε τε άµεσα (εντοπισµός της θέσης του διου του εργαζόµενου) ε τε έµµεσα (εντοπισµός της θέσης του οχήµατος που χρησιµοποιε ο εργαζόµενος ή προϊόντος ή περιουσιακού στοιχε ου που του έχει χρεωθε ) συνεπάγεται τη 1 Το δ κτυο GPS ε ναι ένα παγκόσµιο σύστηµα προσδιορισµού γεωγραφικής θέσης που βασ ζεται στη λειτουργ α δορυφόρων, οι οπο οι περιστρέφονται γύρω από τη γη και εκπέµπουν ένα συγκεκριµένο ραδιοσήµα σε κάθε σηµε ο της τροχιάς τους. Ένας δέκτης GPS, µπορε να λαµβάνει τα παραπάνω ραδιοσήµατα και να υπολογ ζει βάσει αυτών κατά προσέγγιση τη γεωγραφική του θέση. Τέτοιοι δέκτες µπορε να ε ναι ενσωµατωµένοι σε οχήµατα ή/και ψηφιακές συσκευές. Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ.: 210-6475600, Fax: 210-6475628, contact@dpa.gr, www.dpa.gr -4- χρήση δεδοµένων προσωπικού χαρακτήρα και υπόκειται στις διατάξεις της Οδηγ ας 95/46/EΚ.
5. Η νοµιµότητα της επεξεργασ ας δεδοµένων προσωπικού χαρακτήρα µέσω συστηµάτων γεωγραφικού εντοπισµού εξετάζεται µε βάση τις διατάξεις των άρθρων 4 και 5 ν. 2472/1997 στο πλα σιο του νόµιµου σκοπού που επιδιώκει ο υπεύθυνος επεξεργασ ας και µε βάση την αρχή της αναλογικότητας. Ως εκ τούτου, η εν λόγω επεξεργασ α πρέπει να ε ναι πρόσφορη και αναγκα α σε σχέση µε τον επιδιωκόµενο σκοπό, ο οπο ος δεν µπορε να επιτυγχάνεται µε ηπιότερα και εξ σου αποτελεσµατικά µέσα. Το υποκε µενο των δεδοµένων πρέπει να ενηµερώνεται από τον υπεύθυνο επεξεργασ ας εκ των προτέρων για την συλλογή και την επικε µενη επεξεργασ α στο πλα σιο της κατ’ αρ. 4 παρ. 1 εδ. α’ ν. 2472/1997 υποχρέωσης για θεµιτή συλλογή και επεξεργασ α, η οπο α βαρύνει τον υπεύθυνο επεξεργασ ας κατ’ αρ. 4 παρ. 2 ν. 2472/1997 (∆ΕΕ, C-201/14, Smaranda Bara, απόφαση της 01-10-2015). Όταν η λειτουργ α συστηµάτων γεωγραφικού εντοπισµού αφορά στο πεδ ο των εργασιακών σχέσεων, το βασικό ζήτηµα που εγε ρεται, κατά την εφαρµογή της αρχής της αναλογικότητας, ε ναι ο βαθµός θεµιτής παρακολούθησης και εποπτε ας, στον οπο ο επιτρέπεται να υποβάλλεται ο εργαζόµενος κατά τη διάρκεια της εργασ ας του (µέσω της παρακολούθησης της γεωγραφικής του θέσης).
6. Η Αρχή έχει εκδώσει την Οδηγ α 115/2001 αναφορικά µε την επεξεργασ α των προσωπικών δεδοµένων των εργαζοµένων, στην οπο α έχει καθορ σει τις γενικές γραµµές νόµιµης επεξεργασ ας προσωπικών δεδοµένων των εργαζοµένων. Ειδικότερα, σύµφωνα µε την ενότητα Ε (προστασ α των εργαζοµένων από τη χρήση συστηµάτων ελέγχου και παρακολούθησης) παρ. 1 της ανωτέρω Οδηγ ας, «η συλλογ δεδοµένων προσωπικού χαρακτ ρα µε τη χρ ση µεθόδων ελέγχου και παρακολούθησης των εργαζοµένων πρέπει να περιορίζεται στα δεδοµένα που συνδέονται άµεσα µε τη σχέση απασχόλησης και να µην επεκτείνεται κατά το δυνατόν στην προσωπικ συµπεριφορά, στα προσωπικά χαρακτηριστικά στις προσωπικές εσωτερικές και εξωτερικές επαφές των εργαζοµένων. Πρέπει επίσης να προβλέπεται η ύπαρξη χώρων που δεν ελέγχονται ούτε παρακολουθούνται, καθώς και η διάθεση προσιτών στους εργαζόµενους τηλεπικοινωνιακών µέσων για τις προσωπικές επικοινωνίες τους». Τα παραπάνω εφαρµόζονται και στην περ πτωση των συστηµάτων γεωγραφικού εντοπισµού. Σύµφωνα δε µε τις παραγράφους 6-8 της Οδηγ ας, τα δεδοµένα που συλλέγονται µέσω ενός τέτοιου συστήµατος δεν επιτρέπεται να χρησιµοποιηθούν ως Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ.: 210-6475600, Fax: 210-6475628, contact@dpa.gr, www.dpa.gr -5- αποκλειστικά κριτήρια για την αξιολόγηση της συµπεριφοράς και της αποδοτικότητας των εργαζοµένων.
7. Σύµφωνα µε τη Γνώµη 2/2017 της Οµάδας Εργασ ας του άρθρου 292 σπαν ως ο εργαζόµενος δύναται να παρέχει έγκυρη συγκατάθεση στον εργοδότη για την επεξεργασ α των δεδοµένων προσωπικού του χαρακτήρα (βλ. σελ. 4) και σε τέτοιες επεξεργασ ες ως νοµική βάση δεν θα πρέπει να εφαρµόζεται η συγκατάθεση εξαιτ ας της φύσης της εργασιακής σχέσης (βλ. σελ. 6 και 7), όπως οµο ως ε χε υποστηριχθε από την ΟΕ29 στην υπ’ αρ. 8/2011 (σελ. 23) παλαιότερη Γνώµη της
8. Με το ειδικότερο ζήτηµα της νοµιµότητας της λειτουργ ας συστηµάτων γεωγραφικού εντοπισµού στον τοµέα των εργασιακών σχέσεων, έχει ασχοληθε η Οµάδα Εργασ ας του άρθρου 29 στη Γνώµη 5/
9. Εκε αναφέρεται ότι η νοµιµότητα της συγκεκριµένης επεξεργασ ας δεν θα πρέπει να βασ ζεται αποκλειστικά στη συγκατάθεση των εργαζοµένων και ότι, ενδεχοµένως, ο πιο ενδεδειγµένος τρόπος εξασφάλισης της συγκατάθεσης θα ήταν µέσω συλλογικών συµβάσεων. Το θέµα αυτό εξετάζεται και στη νεότερη Γνώµη 13/20115 της Οµάδας Εργασ ας, όπου, αφού αναγνωρ ζεται ότι η συγκατάθεση, ως θεµιτός λόγος για την επεξεργασ α, ε ναι προβληµατική στο εργασιακό πλα σιο6, τον ζεται ότι οι εργοδότες, αντ να επιζητούν τη συγκατάθεση, θα πρέπει να διερευνούν αν µπορούν να αποδε ξουν ότι η εποπτε α της ακριβoύς θέσης των εργαζοµένων τους ε ναι αναγκα α και εξυπηρετε θεµιτό σκοπό, καθώς επ σης και να εξετάζουν αν αυτή η αναγκαιότητα παραβιάζει τα θεµελιώδη δικαιώµατα και τις ελευθερ ες των εργαζοµένων. Στις περιπτώσεις που η αναγκαιότητα αιτιολογε ται κατά τρόπο επαρκή, η νοµική βάση αυτής της επεξεργασ ας θα µπορούσε να βασ ζεται στο έννοµο συµφέρον του υπευθύνου της επεξεργασ ας (άρθρο 7 στοιχε ο στ’) της Οδηγ ας 95/46/ΕΚ (βλ. απόφαση Αρχής 165/2015). Από το σύνολο των ανωτέρω προκύπτει ότι ειδικά στο πεδ ο των εργασιακών σχέσεων και ειδικότερα στην περ πτωση της επεξεργασ ας δεδοµένων προσωπικού χαρακτήρα που αποκαλύπτουν πληροφορ ες όπως η γεωγραφική θέση των εργαζοµένων που αφορά θεµελιώδη δικαιώµατα και ελευθερ ες, η συγκατάθεση συνιστά νόµιµη 2 3 Γνώµη 2/17 για την επεξεργασ α δεδοµένων στην εργασ α. Γνώµη 8/11 για την επεξεργασ α δεδοµένων στην εργασ α 4 Γνώµη 5/2005 της Οµάδας Εργασ ας του άρθρου 29 σχετικά µε τη χρήση δεδοµένων γεωγραφικής θέσης για την παροχή υπηρεσιών προστιθέµενης αξ ας. 5 Γνώµη 13/2011 της Οµάδας Εργασ ας του άρθρου 29 σχετικά µε τις υπηρεσ ες γεωγραφικού εντοπισµού που παρέχονται µέσω έξυπνων κινητών τηλεφώνων. 6 Βλ. και Οδηγ α 115/2001 της Αρχής, τµήµα Γ, παρ.
10. Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ.: 210-6475600, Fax: 210-6475628, contact@dpa.gr, www.dpa.gr -6- προϋπόθεση επεξεργασ ας κατ’ αρ. 5 παρ.1 ν. 2472/1997 κατ’ εξα ρεση, ήτοι αφού πρώτα εξετασθε και αποκλειστε η εφαρµογή των λοιπών προϋποθέσεων του άρθρου 5 παρ. 2 ν. 2472/1997, υπό την αυτονόητη προϋπόθεση ότι πληρούνται και οι λοιπές αρχές νοµιµότητας που προβλέπονται από τις διατάξεις του άρθρου 4 ν. 2472/
11. Επιπλέον, από τα ανωτέρω και ιδ ως από το συνδυασµό των παραπάνω Γνωµών της Οµάδας Εργασ ας του άρθρου 29, αλλά και της Οδηγ ας 115/2001 της Αρχής προκύπτει ότι στην έννοια της επεξεργασ ας που ε ναι απολύτως αναγκα α για την ικανοπο ηση του εννόµου συµφέροντος που επιδιώκει ο υπεύθυνος επεξεργασ ας κατ’ αρ. 5 παρ. 2 εδ. ε’ ν. 2472/1997 εµπ πτουν οι περιπτώσεις της παρακολούθησης της µεταφοράς ατόµων ή αγαθών ή της βελτ ωσης της διανοµής πόρων για υπηρεσ ες σε διασκορπισµένες περιοχές ή όταν επιδιώκεται ένας στόχος που αφορά στην ασφάλεια του διου του εργαζοµένου ή των εµπορευµάτων ή των οχηµάτων που έχουν ανατεθε στους εργαζοµένους (βλ. Αποφάσεις Αρχής 162/2014, 163/2014, 165/2015). Αντ θετα, η επεξεργασ α προσωπικών δεδοµένων µέσω συστήµατος γεωεντοπισµού κρ νεται υπέρµετρη, όταν οι εργαζόµενοι δεν ε ναι ελεύθεροι να οργανώσουν τις λεπτοµέρειες του ταξιδιού τους ή όταν αυτή πραγµατοποιε ται µε αποκλειστικό σκοπό την παρακολούθηση της εργασ ας του εργαζοµένου, αν αυτή µπορε να πραγµατοποιηθε µε ηπιότερα µέσα. Σε κάθε περ πτωση, τον ζεται ότι η συλλογή προσωπικών δεδοµένων δεν πρέπει να πραγµατοποιε ται πέραν του ωραρ ου απασχόλησης, ενώ οι εργοδότες δεν θα πρέπει να χρησιµοποιούν τις συσκευές για τον εντοπισµό ή την παρακολούθηση της συµπεριφοράς ή της θέσης οδηγών ή άλλων µελών του προσωπικού (βλ. Αποφάσεις Αρχής 162/2014, 163/2014, 165/2015). Τις παραπάνω θέσεις έχουν υποστηρ ξει και εθνικές Αρχές Προστασ ας ∆εδοµένων Προσωπικού Χαρακτήρα µε την έκδοση ανάλογων οδηγιών – κατευθυντήριων γραµµών προς τους υπεύθυνους επεξεργασ ας για το διο θέµα
13. Η Αρχή έχει εκδώσει σχετικά τις αποφάσεις 162/2014, 163/2014, 165/2014, τα βασικά σηµε α των οπο ων περιγράφονται στην Ετήσια Έκθεση 2014 ως εξής: «… η Αρχ έκρινε ότι για να είναι σύµφωνη η λειτουργία συστ µατος γεωεντοπισµού µε τις διατάξεις για την προστασία δεδοµένων προσωπικού χαρακτ ρα, πρέπει ο εργαζόµενος να ακολουθεί µια προκαθορισµένη διαδροµ εντός συγκεκριµένων ωρών εργασίας, ο 7 Βλ. Απόφαση 66/2006 της Γαλλικής Αρχής Προστασ ας ∆εδοµένων για την εγκατάσταση συστηµάτων γεωγραφικού εντοπισµού σε οχήµατα. Βλ. επ σης, Κατευθυντήριες γραµµές της Σουηδικής Αρχής Προστασ ας ∆εδοµένων για τον γεωγραφικό εντοπισµό στο πεδ ο των εργασιακών σχέσεων (Positioning Technology in Working Life, 2011) Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ.: 210-6475600, Fax: 210-6475628, contact@dpa.gr, www.dpa.gr -7- γεωεντοπισµός να λαµβάνει χώρα εντός των ορίων της συγκεκριµένης προκαθορισµένης διαδροµ ς και ο εργαζόµενος να µη χρησιµοποιεί το όχηµα εκτός των ωρών εργασίας. Περαιτέρω, ο χρόνος τ ρησης των δεδοµένων δεν θα πρέπει να είναι µεγαλύτερος από αυτόν που απαιτείται για την πραγµατοποίηση του σκοπού επεξεργασίας και σε κάθε περίπτωση να µην ξεπερνά τον ένα µ να. Ο υπεύθυνος επεξεργασίας οφείλει να λαµβάνει τα απαραίτητα µέτρα ασφάλειας για την προστασία των δεδοµένων και να εξασφαλίζει ότι η πρόσβαση στα τηρούµενα δεδοµένα θα γίνεται από εξουσιοδοτηµένα προς τούτο πρόσωπα. Επιπροσθέτως, πρέπει να εφαρµόζονται οι κατάλληλες τεχνικές ψευδωνυµοποίησης/κωδικοποίησης κρυπτογράφησης. Ο εργοδότης οφείλει να ενηµερώνει τους εργαζοµένους για το σκοπό επεξεργασίας, το είδος των καταγραφόµενων δεδοµένων, το χρόνο τ ρησ ς τους και τη διαδικασία άσκησης εκ µέρους του εργαζόµενου του δικαιώµατος πρόσβασης. Η ενηµέρωση πρέπει να είναι ατοµικ και να πιστοποιείται µε εύλογο τρόπο. Τέλος, ο εργαζόµενος έχει δικαίωµα πρόσβασης στα συλλεγόµενα δεδοµένα. Ως εκ τούτου, η Αρχ λειτουργίας GPS σε εταιρικά οχ µατα του ΟΠΑΠ (απόφαση παρείχε άδεια 162/2014) και απορριµµατοφόρα του ∆ µου Πειραιά (απόφαση 163/2014), υπό την προϋπόθεση ότι τα οχ µατα τηρούν προκαθορισµένη διαδροµ και η εγκατάσταση του συστ µατος λαµβάνει χώρα για τη βελτιστοποίηση της ακολουθούµενης διαδροµ ς και όχι την παρακολούθηση των εργαζοµένων. Αντιθέτως, η Αρχ επέβαλε αυστηρ προειδοποίηση σε φαρµακευτικ εταιρεία για τη λειτουργία GPS σε οχ µατα ιατρικών επισκεπτών µε την αιτιολογία ότι η διαδροµ η οποία ακολουθείται από τους ιατρικούς επισκέπτες δεν είναι προκαθορισµένη και δεν υπάρχει λόγος να είναι, αφού το ζητούµενο είναι η διεκπεραίωση του προγράµµατος επισκέψεων µέσα στην ηµέρα. Για τη φύση των υπηρεσιών που παρέχουν οι ιατρικοί επισκέπτες δεν είναι κρίσιµη η γνώση εκ µέρους του εργοδότη της συνεχούς θέσης του οχ µατος που οδηγούν. Επίσης, η χρ ση του συστ µατος GPS φαίνεται σε πολλές περιπτώσεις να µην είναι και πρόσφορο µέσο, αφού από τη θέση στην οποία έχει σταθµεύσει το όχηµά του ο ιατρικός επισκέπτης δεν προκύπτει η ζητούµενη πληροφορία σχετικά µε την πραγµατοποίηση µη της συγκεκριµένης επίσκεψης. Θα πρέπει, συνεπώς, ο υπεύθυνος επεξεργασίας να προσφύγει σε άλλα µέσα, περισσότερο αποτελεσµατικά, αλλά λιγότερο επαχθ που δεν παραβιάζουν την ιδιωτικότητα του εργαζοµένου (π.χ. έλεγχος παραδοτέων, αριθµός παραγγελιών, υπολογισµός µέσου χρόνου εκτέλεσης συγκεκριµένων διαδροµών και επισκέψεων). Η Αρχ έκρινε επίσης ότι ο προβαλλόµενος από τη φαρµακευτικ εταιρεία σκοπός της εξυπηρέτησης επείγουσας παραγγελίας επείγοντος ραντεβού είναι καταρχ ν θεµιτός, το σύστηµα GPS όµως εξετάζεται ως προς την αναγκαιότητά του εν γένει, δεδοµένου ότι οι έκτακτες αυτές περιπτώσεις είναι µεµονωµένες, ο δε αριθµός των οχηµάτων Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ.: 210-6475600, Fax: 210-6475628, contact@dpa.gr, www.dpa.gr -8- του στόλου είναι µικρός. Τέλος, η Αρχ τόνισε ότι η οικειοθελ ς παροχ εκ µέρους του εργοδότη του οχ µατος δεν µπορεί να αποτελέσει νόµιµο λόγο υποχρεωτικ ς εγκατάστασης συστ µατος γεωεντοπισµού, καθώς αυτ συνιστά µέρος του συνόλου των παροχών του εργοδότη προς τον εργαζόµενο, οι οποίες αποτελούν µέρος των απολαβών του. Το αυτό ισχύει και στην περίπτωση παροχ ς συγκατάθεσης εκ µέρους του εργαζοµένου, η οποία όταν υπάρχει σχέση εργαζοµένου προς εργοδότη δεν µπορεί να εκληφθεί ως έγκυρη συναίνεση (απόφαση 165/2014)».
14. Σύµφωνα µε το άρθρο 5 της Οδηγ ας 1/2011 της Αρχής, η νοµιµότητα της επεξεργασ ας εξετάζεται στο πλα σιο του σκοπού που επιδιώκει ο υπεύθυνος επεξεργασ ας και σύµφωνα µε την αρχή της αναλογικότητας, η οπο α επιβάλλει τα συστήµατα βιντεοεπιτήρησης να ε ναι πρόσφορα και αναγκα α σε σχέση µε τον επιδιωκόµενο σκοπό, ο οπο ος θα πρέπει να µη δύναται να επιτευχθε µε ηπιότερα µέσα (άρθρο 4 του ν. 2472/1997). Η προσφορότητα και η αναγκαιότητα της βιντεοεπιτήρησης εκτιµάται µε βάση τον κ νδυνο που ο υπεύθυνος επεξεργασ ας θέλει να αντιµετωπ σει, σε σχέση µε τον επιδιωκόµενο σκοπό. Περαιτέρω, τα σηµε α εγκατάστασης των καµερών και ο τρόπος λήψης των δεδοµένων πρέπει να προσδιορ ζονται µε τέτοιο τρόπο, ώστε τα δεδοµένα που συλλέγονται να µην ε ναι περισσότερα από όσα ε ναι απολύτως αναγκα α για την εκπλήρωση του σκοπού της επεξεργασ ας και να µη θ γονται τα θεµελιώδη δικαιώµατα των προσώπων που ευρ σκονται στο χώρο που επιτηρε ται και ιδ ως να µην παραβιάζεται αυτό το οπο ο µπορε να θεωρηθε ως «νόµιµη προσδοκ α ορισµένου βαθµού προστασ ας της ιδιωτικής ζωής» σε συγκεκριµένο χώρο.
15. Επιπλέον, σύµφωνα µε το άρθρο 7 της υπ’ αριθµ. 1/2011 Οδηγ ας της Αρχής, το σύστηµα βιντεοεπιτήρησης δεν θα πρέπει να χρησιµοποιε ται για την επιτήρηση των εργαζοµένων εντός των χώρων εργασ ας, εκτός από ειδικές εξαιρετικές περιπτώσεις.
16. Επ σης, σύµφωνα µε το άρθρο 6 της υπ’ αριθµ. 1/2011 Οδηγ ας της Αρχής, «[…] κατά την επιτ ρηση της περιµέτρου κτιρίων µε σκοπό την ασφάλεια προσώπων /και αγαθών (π.χ. προστασία από φθορές), απαγορεύεται η λ ψη εικόνας από παράπλευρες οδούς και πεζοδρόµια, καθώς ενυπάρχει ο κίνδυνος παρακολούθησης των περαστικών […]».
17. Λαµβάνοντας υπόψη τα όσα εξέθεσαν τόσο ο καταγγέλλων όσο και ο υπεύθυνος επεξεργασ ας κατά την εµφάνισή τους ενώπιον του Τµήµατος της Αρχής και τα οπο α Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ.: 210-6475600, Fax: 210-6475628, contact@dpa.gr, www.dpa.gr -9- ανέπτυξαν περαιτέρω µε τα υποµνήµατα που κατέθεσαν, η Αρχή διαπιστώνει ότι, κατά το χρονικό διάστηµα στο οπο ο αναφέρεται η καταγγελ α και υπήρξε ο καταγγέλλων εργαζόµενος του υπευθύνου επεξεργασ ας: α) Η λειτουργ α του συστήµατος γεωεντοπισµού δεν ε χε περιοριστε αυστηρά εντός του ωραρ ου εργασ ας, παραβιάζοντας έτσι την αρχή της νόµιµης και αναγκα ας επεξεργασ ας των συναφών και απαρα τητων δεδοµένων (αρχή της συνάφειας, ελαχιστοπο ησης – περιορισµού σκοπού) του καταγγέλλοντος σε σχέση µε τον επιδιωκόµενο σκοπό κατ’ αρ. 4 παρ. 1 εδ. α’ και β’ ν. 2472/1997 αφού η επεξεργασ α δεδοµένων προσωπικού χαρακτήρα του καταγγέλλοντος εκτός του ωραρ ου εργασ ας υπήρξε αντ θετη προς τον σκοπό του συστήµατος γεωεντοπισµού, δεν ήταν αναγκα α για την επ τευξη των σκοπών του υπευθύνου επεξεργασ ας και αφορούσε προσωπικά δεδοµένα, µη αναγκα α και συναφή προς τον σκοπό επεξεργασ ας. β) Ο υπεύθυνος επεξεργασ ας δεν προσκόµισε ενώπιον της Αρχής και άρα δεν απέδειξε µε βάση την από το άρθρο 4 παρ. 2 ν. 2472/1997 υποχρέωση λογοδοσ ας που τον βαρύνει, την προηγούµενη ενηµέρωση του καταγγέλλοντος ότι πρόκειται να συλλέξει και να επεξεργαστε προσωπικά δεδοµένα του µέσω της λειτουργ ας συστήµατος γεωεντοπισµού, παραβιάζοντας έτσι την αρχή της θεµιτής επεξεργασ ας κατ’ αρ. 4 παρ. 1 εδ. α’ ν. 2472/
18. γ) Ο υπεύθυνος επεξεργασ ας δήλωσε ότι µέσω του συστήµατος βιντεοεπιτήρησης επιτηρε τους χώρους στάθµευσης των οχηµάτων της επιχε ρησης, τα οπο α όµως σταθµεύουν και σε δηµόσιο δρόµο, µη µπορώντας έτσι να αποκλε σει τη λήψη εικόνας από το πεζοδρόµιο και το δηµόσιο δρόµο, και λαµβάνοντας έτσι εικόνα διερχοµένων φυσικών προσώπων και αυτοκινήτων που δύναται να οδηγήσει σε ταυτοπο ηση φυσικών προσώπων. Έτσι, παραβ ασε την αρχή της νόµιµης και αναγκα ας επεξεργασ ας των συναφών και απαρα τητων δεδοµένων (αρχή της συνάφειας, ελαχιστοπο ησης – περιορισµού σκοπού) σε σχέση µε τον επιδιωκόµενο σκοπό κατ’ αρ. 4 παρ. 1 εδ. α’ και β’ ν. 2472/1997 αφού η επεξεργασ α δεδοµένων προσωπικού χαρακτήρα διερχόµενων φυσικών προσώπων υπήρξε αντ θετη προς τον σκοπό του συστήµατος βιντεοεπιτήρησης, δεν ήταν αναγκα α για την επ τευξη των σκοπών του υπευθύνου επεξεργασ ας και αφορούσε προσωπικά δεδοµένα, µη αναγκα α και συναφή προς τον σκοπό επεξεργασ ας ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ.: 210-6475600, Fax: 210-6475628, contact@dpa.gr, www.dpa.gr -10- Η Αρχή λαµβάνοντας υπόψη τα παραπάνω καθώς και ότι ο υπεύθυνος επεξεργασ ας υπέβαλε γνωστοπο ηση τήρησης αρχε ου για το σύστηµα γεωεντοπισµού και για το σύστηµα βιντεοεπιτήρησης απευθύνει κατά το αρ. 19 παρ. γ’ ν. 2472/1997 σύσταση για προσαρµογή των ανωτέρω συστηµάτων στις νόµιµες απαιτήσεις που περιγράφονται στα σηµε α α), β), γ) της Σκέψης 10 της παρούσας. Ο Αναπληρωτής Πρόεδρος Η Γραµµατέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ.: 210-6475600, Fax: 210-6475628, contact@dpa.gr, www.dpa.gr -11-