ΑΠΟΦΑΣΗ 25/2024
Αθήνα, 04-09-2024
Αριθ. Πρωτ.: 2320
(Τμήμα)
Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση
Τμήματος μέσω τηλεδιασκέψεως την 24-07-2024 μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής Κωνσταντίνου Μενουδάκου, το τακτικό μέλος Χρήστος Καλλονιάτης ως εισηγητής, και τα αναπληρωματικά μέλη Δημοσθένης Βουγιούκας και Μαρία Ψάλλα σε αντικατάσταση των τακτικών μελών Κωνσταντίνου Λαμπρινουδάκη και Γρηγορίου Τσόλια αντιστοίχως οι οποίοι αν και εκλήθησαν νομίμως εγγράφως δεν παρέστησαν λόγω κωλύματος. Στη συνεδρίαση παρέστησαν, με εντολή του Προέδρου, ο Τσόπελας Παναγιώτης, πληροφορικός ελεγκτής, ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας.
Η Αρχή έλαβε υπόψη τα παρακάτω:
Υποβλήθηκε στην Αρχή η με αριθ. πρωτ. .../21-12-2021 καταγγελία του Α (εφεξής και «καταγγέλλοντας»), … και … του σωματείου εργαζομένων στον Αγροτικό Ελαιουργικό Συνεταιρισμό ... (εφεξής και «...» ή «καταγγελλόμενος»), αναφορικά με τη λειτουργία συστήματος βιντεοεπιτήρησης σε χώρο όπου δραστηριοποιούνται εργαζόμενοι.
Ο καταγγέλλων με την εν λόγω καταγγελία ισχυρίζεται, μεταξύ άλλων, τα ακόλουθα:
1. Ο ... δεν απεγκατέστησε την κάμερα της εισόδου του κτηρίου των γραφείων στη ... μετά τη με αριθ. πρωτ. .../01-11-2021 έγγραφη σύσταση της Αρχής.
2. Ο Πρόεδρος και ο διευθυντής του ... παρακολουθούσαν από το κινητό τους τηλέφωνο τον χώρο μέσω του συστήματος βιντεοεπιτήρησης και έκαναν τηλεφωνικές επιπλήξεις στους εργαζομένους.
3. Οι εργαζόμενοι στον συνεταιρισμό δεν έχουν δώσει την συγκατάθεση τους για την λειτουργία του συστήματος βιντεοεπιτήρησης.
4. Η κάμερα στον χώρο παραγωγής, που ο ... υποστηρίζει ότι είναι εικονική, στην πραγματικότητα λειτουργεί κανονικά και καταγράφει τις κινήσεις και την απόδοση των εργαζομένων.
5. Η κάμερα στην κύρια πύλη εισόδου στον εξωτερικό χώρο, εκτός από τον περίγυρο των εγκαταστάσεων καταγράφει και την κίνηση προς την ... .
6. Η κάμερα που βρίσκεται στο πάρκινγκ, εποπτεύει εκτός από τα οχήματα του παρκινγκ και τον διάδρομο που κατευθύνεται προς την κύρια είσοδο του κτηρίου των εγκαταστάσεων.
7. Μέσω της κάμερας του χώρου μηχανογράφησης εποπτεύεται ο θάλαμος για τις τουαλέτες και τα αποδυτήρια.
8. Οι κάμερες στο χώρο παραλαβής καλύπτουν προαύλιο τμήμα του χώρου παραλαβής των ελαιών και τις δεξαμενές με άλμη και σόδα όπου δεν συντρέχουν λόγοι ασφάλειας.
9. Δεν έχουν ανακοινωθεί σε κανένα εργαζόμενο, αλλά ούτε και στο σωματείο εργαζομένων τα πρόσωπα του υπευθύνου και των εκτελούντων την επεξεργασία όπως αυτά ορίστηκαν στο πρακτικό με αριθ. 1019 της συνεδρίασης του Διοικητικού Συμβουλίου του Αγροτικού Ελαιουργικού Συνεταιρισμού ... που έλαβε χώρα στις 25/09/2019.
H Αρχή απέστειλε το με αριθ. πρωτ. .../01-02-2022 έγγραφο ζητώντας τις απόψεις του ... ο οποίος ανταποκρίθηκε με τις υπ’ αριθ. πρωτ. .../02-02-2022 και .../07-02-2022 απαντήσεις υποβάλλοντας, τα ακόλουθα:
1. Υπόμνημα στο οποίο αναφέρονται, μεταξύ άλλων, τα εξής:
α. Το Διοικητικό Συμβούλιο ενημέρωσε για την απόφαση εγκατάστασης του συστήματος τον διευθυντή και τους προϊσταμένους των τμημάτων με σκοπό την να ενημερώσουν προφορικά τους υφισταμένους τους. Περαιτέρω, οι εργαζόμενοι είναι ενήμεροι για το σύστημα βιντεοεπιτήρησης μέσω των πινακίδων οι οποίες είναι αναρτημένες σε εμφανή σημεία.
β. Μετά την παρέλευση του 7ημέρου διαγράφονται αυτόματα τα αρχεία από τον σκληρό δίσκο του συστήματος.
γ. Η πρόσβαση στα πεδία λήψης των καμερών και στα αποθηκευμένα δεδομένα είναι δυνατή μόνο σε επίπεδο δικτύου τοπικής πρόσβασης. Εξαίρεση αποτελεί η δυνατότητα πρόσβασης στο σύστημα βιντεοεπιτήρησης της μονάδας της ... από το απομακρυσμένο δίκτυο της Βιομηχανικής Περιοχής ... (εφεξής «ΒΙ.ΠΕ.» ) ούτως ώστε o Πρόεδρος να συνδέεται στις κάμερες της ... από το γραφείο του.
δ. Για την αυθεντικοποίηση στο σύστημα έχουν δημιουργηθεί δυο χρήστες των οποίων τα διαπιστευτήρια έχει στην κατοχή του ο Πρόεδρος του Συνεταιρισμού.
2. Απαντήσεις σε ερωτηματολόγιο της Αρχής.
3. Φωτογραφίες από την κάμερα του χώρου παραγωγής.
Στη συνέχεια, η Αρχή απέστειλε το με αριθ. πρωτ. .../31-03-2022 έγγραφο της ρωτώντας αν ο ... διαθέτει προσωπικό ασφαλείας και ζητώντας να υποβληθούν το αρχείο δραστηριοτήτων και το αντίγραφο της απόφασης για εγκατάσταση συστήματος βιντεοεπιτήρησης. Ο ... απάντησε με το υπ’ αριθ. πρωτ. .../07-04-2022 έγγραφο υποβάλλοντας τα σχετικά αρχεία καταγραφής και αναφέροντας ότι δεν υπάρχει έγγραφη απόφαση για την εγκατάσταση συστήματος βιντεοεπιτήρησης. Επιπλέον, σε απάντηση στο με αριθ. πρωτ. .../19-05-2022 αίτημα της Αρχής για αποστολή του παραστατικού της εικονικής κάμερας που βρίσκεται στον χώρο παραγωγής ο ... υπέβαλε υπεύθυνη δήλωση της εταιρίας που εγκατέστησε το σύστημα στην οποία αναφέρεται ότι η εικονική κάμερα παραχωρήθηκε δωρεάν λόγω ευτελούς αξίας. Συμπληρωματικά, στην ανωτέρω απάντηση, υποβλήθηκε και τεχνική έκθεση καλωδίωσης του εγκαταστάτη.
Η Αρχή πραγματοποίησε στις 16-06-2023 έλεγχο στο σύστημα βιντεοεπιτήρησης του ... μέσω απομακρυσμένης σύνδεσης, κατόπιν του υπ’ αρ. πρωτ. .../14-11-2022 σχετικού εγγράφου. Στο πλαίσιο του ελέγχου ζητήθηκε από τον υπεύθυνο επεξεργασίας να εισέλθει στα δύο καταγραφικά συστήματα που διέθετε και εξέτασε τα πεδία λήψης των καμερών, το αποθηκευμένο βιντεοληπτικό υλικό, τα αρχεία καταγραφής και τις λοιπές ρυθμίσεις του συστήματος (μεθοδολογία αυθεντικοποίησης και εξουσιοδότησης, τεχνολογία και δυνατότητες καμερών κλπ.). Σε συνέχεια του ως άνω ελέγχου η Αρχή συνέταξε το με αριθ. πρωτ. .../12-03-2024 πόρισμα διοικητικού ελέγχου.
Επισημαίνεται ότι η Αρχή είχε εξετάσει και στο παρελθόν, με αυτεπάγγελτη δράση, το εν λόγω σύστημα με αφορμή την με αριθ. πρωτ. .../14-04-2021 καταγγελία και είχε επιδώσει την με αριθ. πρωτ. .../01-11-2021 έγγραφη σύσταση στον υπεύθυνο επεξεργασίας αναφέροντας, μεταξύ άλλων, τα ακόλουθα:
1. Από το στιγμιότυπο του πεδίου λήψης της κάμερας εισόδου του κτηρίου των γραφείων στη ..., προκύπτει ότι το εύρος λήψης της εν λόγω κάμερας είναι μεγαλύτερο από αυτό που απαιτείται για την επίτευξη του επιδιωκόμενου σκοπού (η εικόνα να περιορίζεται στην είσοδο του κτηρίου), διότι καλύπτει και ένα μέρος του προθάλαμου της εισόδου που περιλαμβάνει καρέκλες και γραφείο. Συνεπώς, θα πρέπει να ληφθούν τα κατάλληλα τεχνικά και οργανωτικά μέτρα που αποσκοπούν στην περαιτέρω ελαχιστοποίηση της επεξεργασίας δεδομένων προσωπικού χαρακτήρα σύμφωνα με τις αρχές της αναλογικότητας, λαμβάνοντας υπ’ όψιν τα όσα αναφέρονται στο Άρθρο 7 της Οδηγίας 1/2011 .
2. Με βάση τα πεδία κάλυψης των καμερών του συστήματος βιντεοεπιτήρησης όπως αποτυπώνονται στα δείγματα εικόνας που υποβλήθηκαν και τα όσα αναφέρονται στο υπόμνημα και την τεχνική έκθεση, και με επιφύλαξη ως προς τα ανωτέρω αναφερόμενα, δεν φαίνεται ότι συλλέγονται περισσότερα δεδομένα εικόνας από όσα είναι απαραίτητα για την επίτευξη του επιδιωκόμενου σκοπού επεξεργασίας και ο οποίος δεν μπορεί να επιτευχθεί με ηπιότερα και εξίσου αποτελεσματικά μέσα.
3. Δεν διαπιστώθηκε απόκλιση από τα όσα ορίζει το άρθρο 9 της οδηγίας 1/2011 σε σχέση με την διαβίβαση δεδομένων σε τρίτουςδιότι η σχετική διαβίβαση αφορά δικαστική έρευνα που αφορά αξιόποινη πράξη.
Ενόψει των ανωτέρω, η Αρχή με τις με αριθ. πρωτ. .../14-03-2024 και .../14-03-2024 κλήσεις, κάλεσε αμφότερα τα μέρη ενώπιον του Τμήματος της Αρχής στις 27.03.2024 προκειμένου να συζητηθεί η ως άνω καταγγελία. Κατά την ακρόαση της 27.03.2024 παραστάθηκαν εκ μέρους του καταγγέλλοντα οι Α και ο δικηγόρος του Δημήτριος Κριτσάνος με Α.ΜΔΣΛ … (ΛΑΡΙΣΑΣ) και εκ μέρους του ... ο Β Πρόεδρος, ο Γ Εγκαταστάτης ηλεκτρονικών, ο Δ, Δ/ντης ΑΕΣ ... ο Ε Μηχανογράφος ΑΕΣ ... και ο δικηγόρος Αστρακάς Μιχαήλ ΑΜ … ΔΣ Λαμίας. Αμφότερα τα μέρη, αφού ανέπτυξαν προφορικά τις απόψεις τους, έλαβαν κατά τη συνεδρίαση αυτή προθεσμία προσκομίσεως υπομνημάτων προς περαιτέρω υποστήριξη των ισχυρισμών τους και υπέβαλαν εμπροθέσμως ο μεν καταγγελλόμενος το με αριθ. πρωτ. .../11-04-2024 υπόμνημα, ο δε καταγγέλλων τα με αριθ. πρωτ. .../12-04-2024 υπόμνημα. Στην διαδικασία της ακρόασης και στα ανωτέρω υπομνήματα, αναφέρθηκαν, μεταξύ άλλων, τα ακόλουθα:
1. Ο καταγγέλλων ισχυρίστηκε ότι όταν εργαζόμενοι(ες) απουσιάσουν από την εργασία τους ο καταγγελλόμενος το γνωρίζει μέσω του συστήματος βιντεοεπιτήρησης και συνεπώς το σύστημα χρησιμοποιείται για παρακολούθηση και αξιολόγηση των εργαζομένων.
2. Ο καταγγέλλων ισχυρίστηκε ότι είχε αντιταχθεί στην λειτουργία των καμερών κατά την εγκατάσταση του συστήματος.
3. Ο καταγγέλλων ισχυρίστηκε ότι η κάμερα του χώρου παραγωγής είναι σε λειτουργία ενώ ο ... ότι είναι ψεύτικη. Προς επίρρωση του εν λόγω ισχυρισμού, ο καταγγέλλων ανέφερε ότι επειδή στον χώρο που επιτηρεί η κάμερα δεν υπάρχει απογευματινή βάρδια επιτήρησης, η επίβλεψη των εργαζομένων του χώρου γίνεται μέσω του συστήματος βιντεοεπιτήρησης.
4. Ο καταγγέλλων ισχυρίστηκε ότι οι κάμερες δεν είναι τοποθετημένες σε κρίσιμα σημεία όπως λ.χ. το χρηματοκιβώτιο ή το χημείο και ότι η ασφάλεια προσώπων και αγαθών θα μπορούσε να επιτευχθεί με πιο ήπια και αποτελεσματικότερα μέσα.
5. Ο ... ισχυρίστηκε ότι το κίνητρο της καταγγελίας είναι η απόλυση τρίτου εργαζομένου. Ο απολυμένος εργαζόμενος προκάλεσε, μετά την ανακοίνωση της απόλυσης του, δολιοφθορά που καταγράφηκε από το σύστημα βιντεοεπιτήρησης. Το καταγεγραμμένο υλικό αποτελεί στοιχείο σε δικαστική διένεξη μεταξύ των δύο μερών.
6. Ο ... ισχυρίστηκε ότι ο χώρος είναι μεγάλος σε έκταση και συνεπώς το σύστημα βιντεοεπιτήρησης είναι απαραίτητο για σκοπούς ασφαλείας και αποτροπής ατυχημάτων/δολιοφθοράς.
7. Ο καταγγέλλων ισχυρίστηκε ότι έχει λάβει χώρα, εκ των υστέρων, παραμετροποίηση των καμερών όσον αφορά τα πεδία λήψης.
8. Ο ... ισχυρίστηκε ότι η αξιολόγηση των εργαζομένων μπορεί να προκύψει από μετρήσιμους δείκτες παραγωγικότητας, συνεπώς δεν χρειάζεται η χρήση συστήματος βιντεοεπιτήρησης για την επίτευξη αυτού του σκοπού.
9. Ο ... ισχυρίστηκε ότι η εικονική κάμερα παραμένει στη θέση της προκειμένου να μην δώσει στον καταγγέλλοντα την δυνατότητα να χρησιμοποιήσει το επιχείρημα ότι αφαιρέθηκε «εκ του πονηρού» προκειμένου να μην μπορέσει η Αρχή να εξετάσει το ζήτημα.
10. Ο ... ισχυρίστηκε ότι η απεγκατάσταση της εικονικής κάμερας θα πρέπει να ζητηθεί από την Αρχή.
11. Ο ... ισχυρίστηκε ότι η εγκατάσταση των καμερών έγινε σε ώρα εργασίας και ότι ενημερώθηκαν οι προϊστάμενοι οι οποίοι στη συνέχεια είναι υπεύθυνοι να ενημερώσουν το προσωπικό.
Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τον βοηθό εισηγητή, ο οποίος παρέστη χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως,
ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
1. Η εγκατάσταση και λειτουργία συστημάτων βιντεοεπιτήρησης με τη λήψη ή και καταγραφή εικόνας ή και ήχου διά της συλλογής, διατήρησης, αποθήκευσης, πρόσβασης και διαβίβασης δεδομένων προσωπικού χαρακτήρα, συνιστούν ως επιμέρους πράξεις επεξεργασίας, επέμβαση στα ατομικά δικαιώματα του σεβασμού της ιδιωτικής ζωής κατ’ άρθ. 9 Σ., 7 ΧΘΔΕΕκαι 8 ΕΣΔΑ καθώς και της προστασίας των δεδομένων προσωπικού χαρακτήρα κατ’ άρθ. 9Α Σ., 8 ΕΣΔΑ και 8 ΧΘΔΕΕ, όπως έκρινε η Αρχή με την υπ’ αριθ. 3/2020 Γνωμοδότησή της.
2. Σύμφωνα με τις Κατευθυντήριες Γραμμές 3/2019 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (εφεξής ΕΣΠΔ), σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα μέσω βιντεοσυσκευών, προκειμένου να κριθεί η νομιμότητα της εγκατάστασης και λειτουργίας του συστήματος βιντεοεπιτήρησης πρέπει να πληρούνται σωρευτικά οι προϋποθέσεις των άρθρων 5 και 6 υπ’ αριθμ. 1 του Κανονισμού (ΕΕ) 2016/679 Προστασίας Δεδομένων (Γενικός κανονισμός προστασίας δεδομένων – εφεξής ΓΚΠΔ) και θα πρέπει σε προηγούμενο χρόνο της εγκατάστασης και λειτουργίας του συστήματος να τεκμηριωθεί εσωτερικά η νομιμότητα της επεξεργασίας και μάλιστα κατά τον προσδιορισμό του σκοπού της επεξεργασίας ενδέχεται να χρειαστεί σχετική αξιολόγηση για κάθε κάμερα ξεχωριστά, ανάλογα με το σημείο τοποθέτησής της. Ειδικότερα στις Κατευθυντήριες αυτές Γραμμές ορίζονται τα εξής: «5: Η βιντεοεπιτήρηση δεν είναι εξ ορισμού αναγκαία εφόσον υπάρχουν άλλα μέσα για την επίτευξη του υποκείμενου σκοπού. Στην αντίθετη περίπτωση, υπάρχει ο κίνδυνος να μεταβληθούν οι πολιτισμικοί κανόνες και επομένως να εδραιωθεί ως γενική αρχή η έλλειψη της ιδιωτικότητας (…)», «20: Το έννομο συμφέρον πρέπει να υφίσταται πραγματικά και να αφορά παρόν ζήτημα (δηλαδή το συμφέρον δεν πρέπει να είναι πλασματικό ή υποθετικό). Πρέπει να υφίσταται πραγματική κατάσταση κινδύνου –όπως ζημιές ή σοβαρά συμβάντα στο παρελθόν– πριν από την έναρξη της επιτήρησης. (…)» και «24. Τα δεδομένα προσωπικού χαρακτήρα θα πρέπει να είναι κατάλληλα, συναφή και να περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων»), βλέπε άρθρο 5 παράγραφος 1 στοιχείο γ). Πριν από την εγκατάσταση συστήματος βιντεοεπιτήρησης, ο υπεύθυνος επεξεργασίας θα πρέπει πάντα να εξετάζει ενδελεχώς αν αυτό το μέτρο είναι, κατά πρώτον, κατάλληλο για την επίτευξη του επιθυμητού στόχου και, κατά δεύτερον, επαρκές και αναγκαίο για την επίτευξη των σκοπών του. Μέτρα βιντεοεπιτήρησης θα πρέπει να επιλέγονται μόνον εάν ο σκοπός της επεξεργασίας δεν θα μπορούσε εύλογα να εκπληρωθεί με άλλα μέσα, τα οποία θίγουν σε μικρότερο βαθμό τα θεμελιώδη δικαιώματα και τις ελευθερίες του υποκειμένου των δεδομένων».
3. Σύμφωνα με το άρθρο 27 υπ’ αριθμ. 7 του ν.4624/2019 «Η επεξεργασία δεδομένων προσωπικού χαρακτήρα μέσω κλειστού κυκλώματος οπτικής καταγραφής εντός των χώρων εργασίας, είτε είναι δημοσίως προσβάσιμοι είτε μη, επιτρέπεται μόνο εάν είναι απαραίτητη για την προστασία προσώπων και αγαθών. Τα δεδομένα που συλλέγονται μέσω κλειστού κυκλώματος οπτικής καταγραφής δεν επιτρέπεται να χρησιμοποιηθούν ως κριτήριο για την αξιολόγηση της αποδοτικότητας των εργαζομένων. Οι εργαζόμενοι ενημερώνονται εγγράφως, είτε σε γραπτή είτε σε ηλεκτρονική μορφή για την εγκατάσταση και λειτουργία κλειστού κυκλώματος οπτικής καταγραφής εντός των χώρων εργασίας».
4. Η Αρχή έχει εκδώσει για το ζήτημα της χρήσης συστημάτων βιντεοεπιτήρησης για το σκοπό της προστασίας προσώπων και αγαθών την υπ’ αριθ. 1/2011 Οδηγία, οι διατάξεις της οποίας πρέπει να εφαρμόζονται σε συνδυασμό με τις διατάξεις του ΓΚΠΔ και του ν. 4624/2019, με τον οποίο ορίζονται μέτρα εφαρμογής του ΓΚΠΔ. Τούτο ισχύει ιδίως για τις υποχρεώσεις του ... που περιλαμβάνονται στο κεφάλαιο Γ’ αυτής (άρθρα 10 έως 13 της Οδηγίας 1/2011). Για παράδειγμα, οι υπεύθυνοι επεξεργασίας δεν έχουν πλέον υποχρέωση γνωστοποίησης της επεξεργασίας στην Αρχή, αλλά οφείλουν να λαμβάνουν τα απαραίτητα μέτρα συμμόρφωσης προς τις απαιτήσεις του ΓΚΠΔ και να φροντίζουν για την ικανοποίηση των επαυξημένων δικαιωμάτων που προβλέπει ο ΓΚΠΔ.
5. Σύμφωνα με το άρθρο 7 της Οδηγίας 1/2011 της Αρχής η εφαρμογή της αρχής της αναλογικότητας έχει ιδιαίτερη σημασία στις περιπτώσεις λειτουργίας συστημάτων βιντεοεπιτήρησης σε χώρους εργασίας. Το σύστημα δεν θα πρέπει να χρησιμοποιείται για την επιτήρηση των εργαζομένων εντός των χώρων αυτών, εκτός από ειδικές εξαιρετικές περιπτώσεις όπου αυτό δικαιολογείται από τη φύση και τις συνθήκες εργασίας και είναι απαραίτητο για την προστασία της υγείας και της ασφάλειας των εργαζομένων ή την προστασία κρίσιμων χώρων εργασίας (π.χ. στρατιωτικά εργοστάσια, τράπεζες, εγκαταστάσεις υψηλού κινδύνου). Επίσης, σε ειδικούς χώρους, όπως χώροι µε ηλεκτρομηχανολογικές εγκαταστάσεις, ο υπεύθυνος βάρδιας ή ο υπεύθυνος ασφαλείας μπορεί να παρακολουθεί σε πραγματικό χρόνο τους χειριστές μηχανημάτων υψηλής επικινδυνότητας, µε σκοπό να επέμβει άμεσα αν συμβεί κάποιο περιστατικό ασφαλείας. Σε κάθε περίπτωση, τα δεδομένα που συλλέγονται µέσω συστήματος βιντεοεπιτήρησης δεν επιτρέπεται να χρησιμοποιηθούν ως αποκλειστικά κριτήρια για την αξιολόγηση της συμπεριφοράς και της αποδοτικότητας των εργαζομένων (βλ. Οδηγία υπ' αριθ. 115/2001 για την επεξεργασία των προσωπικών δεδομένων των εργαζομένων, τμήμα Ε', παρ. 6 – 8).
6. Σύμφωνα με το άρθρο 32 του ΓΚΠΔ λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων.
7. Η Αρχή εξέτασε περαιτέρω το σύστημα βιντεοεπιτήρησης του ... λαμβάνοντας υπ’ όψιν ότι, σε αυτή την περίπτωση, η σχετική καταγγελία υποβλήθηκε από άμεσα θιγόμενο πρόσωπο ήτοι εργαζόμενο του ... και ότι στην εν λόγω καταγγελία υποβλήθηκαν κάποια νεότερα στοιχεία όπως το ζήτημα της έγγραφης ενημέρωσης των εργαζομένων, η τήρηση της αρχής της ελαχιστοποίησης των δεδομένων και η αναφορά ότι η κάμερα του χώρου παραγωγής δεν είναι εικονική όπως ισχυρίζεται ο υπεύθυνος επεξεργασίας.
8. Η Αρχή πραγματοποίησε στις 16-06-2023 απομακρυσμένο έλεγχο στο σύστημα βιντεοεπιτήρησης του ..., συνέλεξε τα με αριθ. πρωτ. .../18-07-2023 πειστήρια και συνέταξε το με αριθ. πρωτ. .../12-03-2024 πόρισμα διοικητικού ελέγχου
9. Από την εξέταση των ευρημάτων του ανωτέρω ελέγχου και των λοιπών στοιχείων του φακέλου, προκύπτει ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα μέσω κλειστού κυκλώματος οπτικής καταγραφής στους χώρους του ... είναι απαραίτητη για την προστασία προσώπων και αγαθών όπως ορίζει το άρθρο 27 υπ’ αριθμ. 7 του ν.4624/2019 και εξειδικεύονται περαιτέρω στον πίνακα του παραρτήματος στο τέλος της παρούσας.
10. Από την εξέταση των ευρημάτων του ανωτέρω ελέγχου και των λοιπών στοιχείων του φακέλου, δεν αποδεικνύεται ο ισχυρισμός του καταγγέλλοντος ότι το σύστημα χρησιμοποιείται για την επιτήρηση εργαζομένων και ότι τίθεται ζήτημα παραβίασης της αρχής της αναλογικότητας σύμφωνα με το άρθρο 7 της Οδηγίας 1/2011, για τους ακόλουθους λόγους:
α. Από τα ευρήματα του ελέγχου και την εξέταση των στοιχείων του φακέλου, η τοπολογία των καμερών εξυπηρετεί τον σκοπό της αποτροπής κλοπών και απόπειρας δολιοφθοράς, όπως αναφέρεται στο παράρτημα που βρίσκεται στο τέλος της παρούσας. Συνεπώς, τυγχάνει απορριπτέος ως αβάσιμος ο ισχυρισμός του καταγγέλλοντος ότι οι θέσεις των καμερών δεν δικαιολογούνται από τον σκοπό της επεξεργασίας.
β. Από τον έλεγχο των αρχείων καταγραφής δεν παρατηρήθηκε κάποια είσοδος χρήστη σε ώρες και ημέρες που να υποδηλώνει χρήση του συστήματος επιτήρησης για σκοπό διαφορετικό από αυτόν της ασφάλειας προσώπων και αγαθών.
γ. Δεν προέκυψαν επαρκή στοιχεία που να τεκμηριώνουν τον ισχυρισμό του καταγγέλλοντος ότι οι υπεύθυνοι του ... παρακολουθούσαν τους εργαζόμενους από απομακρυσμένα σημεία μέσω φορητών συσκευών, ούτε ότι προέβησαν σε επιπλήξεις στους εργαζόμενους.
δ. Λαμβάνοντας υπ’ όψιν την ιδιαιτερότητα των εγκαταστάσεων (μέγεθος και διαμόρφωση του χώρου) και τον κίνδυνο πρόκλησης εκτεταμένης ζημιάς σε περίπτωση δολιοφθοράς, ο ισχυρισμός του καταγγέλλοντος ότι ο επιδιωκόμενος σκοπός επεξεργασίας μπορεί να επιτευχθεί με ηπιότερα και εξίσου αποτελεσματικά μέσα (όπως λ.χ. αισθητήρες κίνησης) δεν είναι βάσιμος, διότι στην προκειμένη περίπτωση, τα μέσα αυτά δεν μπορούν να λειτουργήσουν εξίσου αποτρεπτικά και δεν παρέχουν αντίστοιχης αξιοπιστίας στοιχεία στο πλαίσιο της διερεύνησης κάποιου περιστατικού.
11. Εντούτοις, προκύπτει ζήτημα περιορισμού στο αναγκαίο των δεδομένων προσωπικού χαρακτήρα («ελαχιστοποίηση των δεδομένων»), όπως αυτή ορίζεται από το άρθρο 5 παράγραφος 1 στοιχείο γ) του ΓΚΠΔ. Συγκεκριμένα τα πεδία λήψης των καμερών 1,2,4 και 5 θα πρέπει να περιοριστούν περαιτέρω όπως αναφέρεται στον πίνακα του παραρτήματος στο τέλος της παρούσας είτε με χρήση της δυνατότητας σκίασης που δίνει το λογισμικό καταγραφής, είτε με μετακίνηση των καμερών. Ιδιαίτερη προσοχή θα πρέπει να δοθεί στην κάμερα 2 για την οποία, ενώ ο ... αναφέρει ότι λαμβάνει εικόνα μόνο από την ράμπα της κύριας εισόδου και την είσοδο της αποθήκης λιπασμάτων, στην πραγματικότητα το εύρος της λήψης περιλαμβάνει μέρος του χώρου στάθμευσης και μικρό τμήμα του δημόσιου δρόμου.
12. Σε σχέση με την κάμερα του χώρου παραγωγής, η Αρχή δεν μπορεί να διαπιστώσει από την εξέταση των ευρημάτων του ελέγχου και των στοιχείων του φακέλου της υπόθεσης εάν στην προκείμενη περίπτωση λαμβάνει χώρα επεξεργασία δεδομένων προσωπικού χαρακτήρα. Ο λόγος είναι ότι δεν μπορεί να αποδειχθεί ότι η εν λόγω κάμερα είναι πραγματική αλλά ούτε και μπορεί να θεμελιωθεί η άποψη ότι η κάμερα είναι εικονική, για τις ακόλουθες αιτίες:
α. Από το φωτογραφικό υλικό που υπέβαλε ο ... προκύπτει ότι η κάμερα είναι εικονική. Εντούτοις, η παρουσία καναλιού προς την εν λόγω κάμερα χωρίς να υπάρχει η ανάγκη ύπαρξης υποδομής καλωδίωσης αφού η κάμερα λειτουργεί με μπαταρία, δημιουργεί ερωτήματα σχετικά με το εν λόγω φωτογραφικού υλικού.
β. Ο ... απαντώντας σε σχετικό αίτημα της Αρχής, δεν υπέβαλε κάποιο τιμολόγιο που να τεκμηριώνει την αγορά της εικονικής κάμερας, διότι, όπως ανέφερε, η κάμερα παρασχέθηκε ως δωρεά από τον εγκαταστάτη. Προς επίρρωση αυτού του ισχυρισμού υπέβαλε σχετική υπεύθυνη δήλωση.
γ. Από την ανίχνευση των εγγραφών του πρωτοκόλλου απόδοσης διευθύνσεων (Address Resolution Protocol, ARP) που έλαβε χώρα στο πλαίσιο του διοικητικού ελέγχου, δεν διαπιστώθηκε να υπάρχουν στη λανθάνουσα μνήμη των πινάκων ARP, ίχνη από διευθύνσεις δικτύου ή υλικού που να παραπέμπουν σε κρυφές Internet of Things (IoT) συσκευές. Εντούτοις, το εύρημα αυτό δεν μπορεί να οδηγήσει με ασφαλή τρόπο στο συμπέρασμα ότι η κάμερα του χώρου παραγωγής είναι πραγματική ή εικονική διότι μέρος του συστήματος βιντεοεπιτήρησης δεν είναι συνδεδεμένο σε δίκτυο που να βασίζεται σε πρωτόκολλο Internet (IP).
Πρέπει να επισημανθεί ότι ενώ με τις ψεύτικες κάμερες δεν γίνεται επεξεργασία προσωπικών δεδομένων, ένα τέτοιο σύστημα που προσομοιάζει με κλειστό κύκλωμα τηλεόρασης, παρ’ ότι δεν λειτουργεί, ενδέχεται να δημιουργεί στους πολίτες την πεποίθηση ότι λαμβάνει χώρα επεξεργασία δεδομένων προσωπικού χαρακτήρα. Η αίσθηση του πολίτη ότι είναι πολύ πιθανό να βρίσκεται υπό παρακολούθηση επηρεάζει τη συμπεριφορά του, επομένως η εγκατάσταση ενός τέτοιου συστήματος είναι αρκετά πιθανό να προσβάλλει το συνταγματικά κατοχυρωμένο δικαίωμα της ελεύθερης ανάπτυξης της προσωπικότητας του ατόμου (άρθρο 5 § 1 Σ).
13. Από τα ευρήματα του ελέγχου διαπιστώθηκαν εκ μέρους του ..., ελλείψεις σε σχέση με την εφαρμογή των κατάλληλων τεχνικών και οργανωτικών μέτρων προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων σύμφωνα με το άρθρο 32 του ΓΚΠΔ. Συγκεκριμένα, όπως εκτενώς αναφέρεται στο πόρισμα ελέγχου προέκυψαν ζητήματα αναφορικά με τα εξής θέματα:
α. Δικαιοδοσίες χρηστών συστήματος (ευρήματα 3 και 4): Ο Πρόεδρος του ... συνδέεται στο σύστημα με αυξημένη δικαιοδοσία (λογαριασμός διαχειριστή). Για λόγους ασφαλείας η σύνδεση με ρόλους διαχειριστή θα πρέπει να επιτρέπεται μόνο στον τεχνικό υπεύθυνο του συστήματος.
β. Χρονοδιαγράμματα αποθήκευσης (εύρημα 5): Το σύστημα δεν περιορίζει την καταγραφή σε συγκεκριμένες ώρες (λ.χ. σε ώρες που απαιτούνται για την ασφάλεια προσώπων και αγαθών), ούτως ώστε να διασφαλίζεται η αρχή της ελαχιστοποίησης των δεδομένων αναφορικά με την εν λόγω διαδικασία.
γ. Διαμεταγωγή των δεδομένων (εύρημα 6): Το σύστημα δεν χρησιμοποιεί κρυπτογράφηση SSL ή TLS (αρχείο Β.10) κατά τη ανταλλαγή δεδομένων ισοτόπων, παρά το γεγονός ότι παρέχεται από το λογισμικό η σχετική δυνατότητα.
δ. Πρόσβαση Universal Plug and Play (εύρημα 7): Είναι ενεργοποιημένη η επιλογή του πρωτοκόλλου UPnP, το οποίο εγείρει κενό ασφαλείας.
14. Κατά τον απομακρυσμένο έλεγχο του συστήματος διαπιστώθηκε ότι η δυνατότητα λήψης ήχου από τις κάμερες ήταν απενεργοποιημένη σε όλες τις συσκευές καταγραφής.
15. Αναφορικά με το ζήτημα της ενημέρωσης των εργαζομένων για την λειτουργία συστήματος βιντεοεπιτήρησης, από την εξέταση του φακέλου προκύπτει ότι δεν υπάρχει έγγραφη ενημέρωση των εργαζομένων. Ως εκ τούτου, στην προκειμένη περίπτωση διαπιστώνεται παραβίαση της αρχής της διαφάνειας του άρθρου 5 παράγραφος 1 του ΓΚΠΔ. Εντούτοις, έχει λάβει χώρα σχετική προφορική ενημέρωση των μελών του ... στο πλαίσιο λήψης της απόφασης για την εγκατάσταση συστήματος βιντεοεπιτήρησης και έχουν αναρτηθεί σε εμφανή σημεία πινακίδες που ενημερώνουν ότι ο χώρος παρακολουθείται με την ύπαρξη συστήματος βιντεοεπιτήρησης.
16. Σχετικά με τον ισχυρισμό του καταγγέλλοντος ότι ο αναφερόμενος από τον υπεύθυνο επεξεργασίας σκοπός επεξεργασίας θα μπορούσε να επιτευχθεί με ηπιότερα και εξίσου αποτελεσματικά μέσα, όπως με την τοποθέτηση συστήματος συναγερμού, αισθητήρων κίνησης, ή την εγκατάσταση των καμερών σε άλλα σημεία όπου δεν υπάρχουν εργαζόμενοι, διαπιστώνεταιότι, στην προκειμένη περίπτωση, οι σκοποί παρακολούθησης τεκμηριώνονται εγγράφως και διευκρινίζονται για κάθε κάμερα επιτήρησης που χρησιμοποιείται, συνεπώς η εν λόγω εγκατάσταση είναι σύννομη. Ως εκ τούτου, εφόσον η εν λόγω επιλογή συμβάλλει στην προστασία της ιδιοκτησίας και άλλων περιουσιακών στοιχείων, στην προστασία της ζωής και της σωματικής ακεραιότητας των ατόμων και στη συλλογή αποδεικτικών στοιχείων για αγωγές αστικού χαρακτήρα ο υπεύθυνος επεξεργασίας, φέρει την ευθύνη της διαμόρφωσης της μορφολογίας και της τοπολογίας του συστήματος.
17. Αναφορικά με τον ισχυρισμό του καταγγελλόμενου ότι το σύστημα βιντεοεπιτήρησης στους χώρους αποθήκευσης βρώσιμων ελαίων έχει σκοπό την προστασία της υγείας δεδομένου ότι λειτουργεί αποτρεπτικά σε ενδεχόμενη απόπειρα δολιοφθοράς μέσω της προσθήκης κάποιας επικίνδυνης ουσίας στο παραγόμενο προϊόν ή την πρώτη ύλη, επισημαίνεται ότι σύμφωνα με το άρθρο 7 της Οδηγίας 1/2011 της Αρχής η εφαρμογή της αρχής της αναλογικότητας έχει ιδιαίτερη σημασία στις περιπτώσεις λειτουργίας συστημάτων βιντεοεπιτήρησης σε χώρους εργασίας. Το σύστημα δεν θα πρέπει να χρησιμοποιείται για την επιτήρηση των εργαζομένων εντός των χώρων αυτών, εκτός από ειδικές εξαιρετικές περιπτώσεις όπου αυτό είναι απαραίτητο για την προστασία της υγείας και της ασφάλειας των εργαζομένων ή την προστασία κρίσιμων χώρων εργασίας (π.χ. στρατιωτικά εργοστάσια, τράπεζες, εγκαταστάσεις υψηλού κινδύνου). Σε κάθε περίπτωση, τα δεδομένα που συλλέγονται µέσω συστήματος βιντεοεπιτήρησης δεν επιτρέπεται να χρησιμοποιηθούν ως αποκλειστικά κριτήρια για την αξιολόγηση της συμπεριφοράς και της αποδοτικότητας των εργαζομένων (βλ. Οδηγία υπ' αριθ. 115/2001 για την επεξεργασία των προσωπικών δεδομένων των εργαζομένων, τμήμα Ε', παρ. 6 – 8).
18. Από την εξέταση του φακέλου της υπόθεσης δεν μπορεί να διαπιστωθεί ο ισχυρισμός του καταγγέλλοντα ότι ο ... παρακολουθούσε τις εγκαταστάσεις μέσω εφαρμογής-πελάτη του συστήματος καταγραφής σε φορητή συσκευή από απομακρυσμένα σημεία και έκανε υποδείξεις σε εργαζόμενους, διότι δεν προσκομίστηκε κανένα στοιχείο που να τεκμηριώνει την άποψη αυτή και διότι, ακόμα και αν η εν λόγω παρακολούθηση λάμβανε χώρα, αυτή θα μπορούσε να επιτευχθεί και με άλλα μέσα όπως λ.χ. αναφορές από άλλους εργαζόμενους χρήση δεικτών παραγωγικότητας κοκ.
19. Για την επιμέτρηση των προστίμων, με βάση το άρθρο 83 του ΓΚΠΔ η Αρχή, λαμβάνει υπόψη τις κατευθυντήριες γραμμές 4/2022 του ΕΣΠΔ για τον υπολογισμό των διοικητικών προστίμων καθώς και τα εξής:
α. Η βαρύτητα των διαπιστωμένων παραβάσεων κρίνεται σε όλες τις περιπτώσεις ως μικρή, λαμβάνοντας υπόψη ότι δεν τεκμηριώνεται πως το σύστημα βιντεοεπιτήρησης χρησιμοποιείται για την παρακολούθηση των εργαζομένων και ότι ο σκοπός της εγκατάστασης είναι η προστασία προσώπων και αγαθών και έχει αιτιολογηθεί από τον υπεύθυνο επεξεργασίας όπως αναλύεται στις σκέψεις 9 και 10 της παρούσης.
β. Η Αρχή λαμβάνει υπόψη ως ελαφρυντικά στοιχεία τα εξής:
i. Δεν θεμελιώνεται η κατηγορία της παρακολούθησης των εργαζομένων μέσω του συστήματος βιντεοεπιτήρησης.
ii. Ο σκοπός της επεξεργασίας δεν μπορεί να επιτευχθεί με ηπιότερα και εξίσου αποτελεσματικά μέσα.
iii. Το σύστημα βιντεοεπιτήρησης συμβάλλει στην προστασία της υγείας των εργαζομένων και των καταναλωτών των παραγομένων προϊόντων.
iv. Οι αγροτικοί συνεταιρισμοί, είναι αυτόνομες εθελοντικές ενώσεις προσώπων.
v. Οι παραβάσεις του ΓΚΠΔ που διαπιστώθηκαν είναι ήσσονος σημασίας.
γ. Η Αρχή λαμβάνει υπόψη ως επιβαρυντικά στοιχεία τα εξής:
i. Την παραβίαση της αρχής της ελαχιστοποίησης των δεδομένων αναφορικά με το εύρος κάλυψης κάποιων καμερών.
ii. Την παραβίαση της αρχής της διαφάνειας αναφορικά με την ενημέρωση των εργαζομένων.
iii. Το ότι ο υπεύθυνος και οι εκτελούντες την επεξεργασίας δεν εφαρμόζουν επαρκή τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων.
ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ
Η Αρχή:
Α. Επιβάλλει, στον Αγροτικό Ελαιουργικό Συνεταιρισμό ... με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αρμόζει στην συγκεκριμένη περίπτωση σύμφωνα με τις ειδικότερες περιστάσεις αυτής, ύψους δύο χιλιάδων (2.000,00) ευρώ, για την ως άνω διαπιστωθείσες παραβιάσεις των άρθρων 5 παράγραφος 1 στοιχεία α) και γ) και 32 του ΓΚΠΔ όπως αναλύεται στις σκέψεις 11 και 14 της παρούσης.
Β. Με βάση το άρθρο 58 παρ. 2 εδαφ. δ’ του ΓΚΠΔ, δίνει εντολή ώστε, εντός χρονικού διαστήματος δύο μηνών από την κοινοποίηση της απόφασης, να τροποποιήσει τα πεδία λήψης των καμερών 1,2,4 και 5 ούτως ώστε να παρακολουθούν αποκλειστικά και μόνο τον χώρο που απαιτείται για την επίτευξη του σκοπού για τον οποίο προορίζονται. Συγκεκριμένα, το πεδίο λήψης της κάμερας 1 θα πρέπει να μην περιλαμβάνει σημεία εκτός των εγκαταστάσεων του υπευθύνου επεξεργασίας, το πεδίο λήψης της κάμερας 2 θα πρέπει να περιοριστεί στην είσοδο της αποθήκης λιπασμάτων και τα πεδία λήψης των καμερών 4 και 5 θα πρέπει να περιλαμβάνουν μόνο τις εισόδους του κτιρίου των εγκαταστάσεων.
Γ. Με βάση το άρθρο 58 παρ. 2 εδαφ. δ’ του ΓΚΠΔ, δίνει εντολή ώστε, εντός χρονικού διαστήματος ενός μηνός από την κοινοποίηση της απόφασης, να ενημερώσει εγγράφως τους εργαζόμενους στον χώρο για τη λειτουργία συστήματος βιντεοεπιτήρησης αναφέροντας, μεταξύ άλλων, τα ακόλουθα:
α. Την πλήρη ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας.
β. Τον σκοπό της επεξεργασίας καθώς και τη νομική βάση για την επεξεργασία.
γ. Τους αποδέκτες των δεδομένων προσωπικού χαρακτήρα.
δ. Το χρονικό διάστημα για το οποίο αποθηκεύονται τα δεδομένα.
ε. Τον τρόπο με τον οποίο το υποκείμενο των δεδομένων μπορεί να ασκήσει τα δικαιώματά του τα οποία απορρέουν από τη νομοθεσία για την προστασία των προσωπικών δεδομένων, προσδιορίζοντας ποια δικαιώματα εφαρμόζονται.
Ο Αναπληρωτής Πρόεδρος
Γεώργιος Μπατζαλέξης
Η Γραμματέας
Ειρήνη Παπαγεωργοπούλου