ΑΠΔΠΧ: Επίπληξη για την λειτουργία συστήματος βιντεοεπιτήρησης σε μονάδα φροντίδας ηλικιωμένων (41/2021)

Με απόφασή της η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα απηύθυνε επίπληξη σε υπεύθυνο επεξεργασίας, σε σχέση με τη λειτουργία συστήματος βιντεοεπιτήρησης σε μονάδα φροντίδας ηλικιωμένων, κατόπιν υποβολής καταγγελίας ενός εργαζομένου στην μονάδα. Έδωσε δε εντολή να ρυθμίσει τις κάμερες, ώστε να εστιάζουν αποκλειστικά σε χώρους εισόδου και εξόδου, καθώς και να καταστρέψει πλήρως οποιοδήποτε υλικό έχει συλλεχθεί μέχρι τότε (απόφαση 41/2021).

Πιο αναλυτικά, προέκυψε πως η εγκατάσταση των καμερών ήδη από το 2012 είχε πραγματοποιηθεί χωρίς να τηρηθούν οι προϋποθέσεις της προϊσχύσασας νομοθεσίας (π.χ. γνωστοποίηση). Μετά την εφαρμογή του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας ενήργησε προς την κατεύθυνση της γενικότερης συμμόρφωσής του με το ΓΚΠΔ, αναθέτοντας σε σύμβουλο (δικηγορική εταιρεία) σχετικές υπηρεσίες.

Το σύνολο των δραστηριοτήτων επεξεργασίας που αφορούν τα δεδομένα εργαζομένων και το σύστημα βιντεοεπιτήρησης βασίστηκε, κατά το χρονικό διάστημα αυτό, στη νομική βάση της συγκατάθεσης. Η συγκατάθεση, ωστόσο, στο πλαίσιο των εργασιακών σχέσεων, όπως τόνισε η Αρχή, δεν μπορεί να θεωρηθεί ως ελεύθερη, λόγω της εγγενούς ανισότητας των μερών. Ο υπεύθυνος επεξεργασίας αναγνώρισε την παράβαση του άρ. 6 παρ. 1 του ΓΚΠΔ, προχωρώντας σε αντιμετώπιση της παράβασης και διόρθωση των νομικών βάσεων.

Όσον αφορά το σύστημα βιντεοεπιτήρησης, νομική βάση πλέον είναι η ύπαρξη υπέρτερου εννόμου συμφέροντος. Η Αρχή διαπίστωσε, ωστόσο, πως το σύστημα βιντεοεπιτήρησης λειτουργούσε κατά παράβαση της αρχής της ελαχιστοποίησης των δεδομένων (άρ. 5 παρ. 1 γ’ ΓΚΠΔ). Και τούτο, διότι λαμβανόταν εικόνα από θέσεις εργαζομένων (π.χ. εφημερεία νοσηλευτών), ενώ αυτό δεν είναι απαραίτητο για την επιδίωξη του σκοπού της επεξεργασίας. Ο υπεύθυνος επεξεργασίας θα μπορούσε εύκολα να λάβει εναλλακτικά μέτρα ασφάλειας (π.χ. κλειδωμένοι χώροι για τα φάρμακα), να μην λαμβάνεται εικόνα από τους χώρους αυτούς ή/και οι κάμερες να εστιάζουν σε αγαθά που προστατεύονται είτε με επανατοποθέτηση των καμερών, είτε με χρήση τεχνολογιών προστασίας των προσωπικών δεδομένων (masking, θόλωση κλπ).

Περαιτέρω, διαπιστώθηκε πως η εγκατάσταση των καμερών έλαβε χώρα χωρίς απόφαση επιτροπής, αποτελούμενη από αρμόδιο ιατρικό και νοσηλευτικό προσωπικό, όπως αναφέρεται στην οδηγία 1/2011 της Αρχής. Με δεδομένο ότι στους επιτηρούμενους χώρους περιλαμβάνονται χώροι οι οποίοι σχετίζονται με παροχή υπηρεσιών υγείας, η λήψη εικόνας ενδέχεται να αποκαλύπτει και δεδομένα υγείας. Συνεπώς, μετά την εφαρμογή του ΓΚΠΔ, η τεκμηρίωση της αναγκαιότητας της επιτήρησης από αρμόδιο ιατρικό και νοσηλευτικό προσωπικό είναι αναγκαία προϋπόθεση για την επεξεργασία δεδομένων υγείας και τη δυνατότητα εφαρμογής της διάταξης του αρ. 9 παρ. 2 εδαφ. η’.

Διαπιστώθηκε, επιπλέον, πως η εγκατάσταση και λειτουργία των καμερών, έλαβε χώρα χωρίς να έχει προηγηθεί ενημέρωση των εργαζομένων σε γραπτή ή ηλεκτρονική μορφή. Σύμφωνα με το σκεπτικό της Αρχής, η ενημέρωση που παρασχέθηκε δεν καλύπτει τις υποχρεώσεις του αρ. 13, καθώς είναι γενική και δεν συνδέεται ο εκάστοτε σκοπός επεξεργασίας με τη νομική βάση και το είδος των δεδομένων, συνεπώς υπήρξε παράβαση του άρθρου 13 του ΓΚΠΔ.

Όσον αφορά στο ειδικότερο ζήτημα της επιβολής πειθαρχικής ποινής (προστίμου) στον καταγγέλλοντα, βασιζόμενης – σύμφωνα με τους ισχυρισμούς του τελευταίου – σε υλικό που προέρχεται από το σύστημα βιντεοεπιτήρησης, η Αρχή επεσήμανε πως, κατά το χρόνο της καταγγελίας, δεν είχε ψηφιστεί ο Ν. 4624/2019.

Συνεπώς, ενώ τα δεδομένα που συλλέχθηκαν από το σύστημα βιντεοεπιτήρησης δεν ήταν επιτρεπτό να χρησιμοποιηθούν ως αποκλειστικά κριτήρια για την αξιολόγηση της συμπεριφοράς και της αποδοτικότητας των εργαζομένων, ο υπεύθυνος επεξεργασίας είχε τη δυνατότητα να χρησιμοποιήσει για την αξιολόγηση του εργαζόμενου δεδομένα τα οποία συλλέχθηκαν από το σύστημα βιντεοεπιτήρησης και λειτουργούσε για διαφορετικό σκοπό επεξεργασίας, μετά από στάθμιση με βάση τα κριτήρια του άρθρου 6 παρ. 4 του ΓΚΠΔ.

Εν προκειμένω, βέβαια, εφόσον ο υπεύθυνος επεξεργασίας αρνείται ότι έγινε τέτοια χρήση και ο καταγγέλλων δεν προσκομίζει σχετικά αποδεικτικά στοιχεία, η Αρχή δεν έχει επαρκή στοιχεία ώστε να διαπιστώσει αν έχουν χρησιμοποιηθεί προσωπικά δεδομένα από το σύστημα βιντεοεπιτήρησης με μη νόμιμο τρόπο.

Ενδιαφέρον παρουσιάζουν οι παράγοντες που έλαβε υπόψη η Αρχή για την επιβολή κυρώσεων. Μεταξύ άλλων, η Αρχή αναφέρει ότι ο υπεύθυνος επεξεργασίας, ήδη πριν από την υποβολή της καταγγελίας είχε ξεκινήσει ενέργειες συμμόρφωσης με το ΓΚΠΔ. Αν και διαπιστώθηκε ότι τα συνταχθέντα κείμενα και διαδικασίες συμμόρφωσης περιείχαν λάθη τα οποία οδηγούσαν σε παραβάσεις του ΓΚΠΔ, αποδεικνύεται ότι ο υπεύθυνος επεξεργασίας ενεργούσε καλόπιστα θεωρώντας ότι η (εσφαλμένη) καθοδήγηση των συμβούλων του ήταν ορθή.

Επιπρόσθετα η Αρχή συνυπολόγισε ότι ο υπεύθυνος επεξεργασίας συνεργάστηκε με την Αρχή, ότι δεν είχε προηγούμενες καταγγελίες, ότι είναι φιλανθρωπικό σωματείο μη κερδοσκοπικού χαρακτήρα, καθώς και τη "δύσκολη συγκυρία για τις μονάδες που παρέχουν υπηρεσίες που σχετίζονται με την υγεία και τους ηλικιωμένους, λόγω της πανδημίας COVID19".

Δείτε αναλυτικά την απόφαση της Αρχής στο dpa.gr.