Πρόστιμο 2.000 ευρώ σε Αγροτικό Συνεταιρισμό για κάμερες (ΑΠΔΠΧ 25/2024)

Διοικητικό πρόστιμο 2.000 ευρώ επέβαλε η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα σε Αγροτικό Ελαιουργικό Συνεταιρισμό για παραβάσεις που διαπιστώθηκαν κατά τον έλεγχο της λειτουργίας συστήματος βιντεοεπιτήρησης στις εγκαταστάσεις του.

Η Αρχή δέχθηκε την καταγγελία υποκειμένου των δεδομένων, αλλά και του σωματείου εργαζομένων στον Συνεταιρισμό, σχετικά με τη λειτουργία συστήματος βιντεοεπιτήρησης σε χώρους όπου δραστηριοποιούνται εργαζόμενοι.

Ειδικότερα, με την καταγγελία προβλήθηκε, μεταξύ άλλων, ότι:

α. ο Συνεταιρισμός δεν είχε απεγκαταστήσει την κάμερα στην είσοδο του κτιρίου των γραφείων του, μετά την έγγραφη σύσταση της Αρχής που είχε προηγηθεί.

β. Ο Πρόεδρος και ο Διευθυντής παρακολουθούσαν από το κινητό τους τηλέφωνο το βιντεοληπτικό υλικό των καμερών, κάνοντας μάλιστα τηλεφωνικές επιπλήξεις στους εργαζόμενους.

γ. Η εγκατάσταση και λειτουργία του συστήματος είχε γίνει χωρίς τη συγκατάθεση των εργαζομένων.

δ. Η κάμερα στον χώρο παραγωγής δεν ήταν εικονική, όπως υποστήριζε ο Συνεταιρισμός, αλλά κανονική κάμερα.

ε. Η κάμερα στην πύλη εισόδου κατέγραφε και δημόσιο χώρο, πέραν των εγκαταστάσεων του Συνεταιρισμού.

Απαντώντας σε σχετικό έγγραφο της Αρχής, ο Συνεταιρισμός ισχυρίστηκε πως οι εργαζόμενοι ήταν ενήμεροι για τη λειτουργία των καμερών, καθώς αφενός είχαν ενημερωθεί προφορικά, κατόπιν απόφασης του Διοικητικού Συμβουλίου, αφετέρου υπήρχαν αναρτημένες πινακίδες σε εμφανή σημεία. Παράλληλα, και ως προς την πρόσβαση στο υλικό βιντεοεπιτήρησης, ο Συνεταιρισμός ανέφερε ότι η πρόσβαση στα δεδομένα είναι δυνατή μόνο σε επίπεδο δικτύου τοπικής πρόσβασης, ενώ για την αυθεντικοποίηση στο σύστημα έχουν δημιουργηθεί δυο χρήστες των οποίων τα διαπιστευτήρια έχει στην κατοχή του ο Πρόεδρος. Ως προς την εικονική κάμερα που αναφέρθηκε στην καταγγελία, ο Συνεταιρισμός δεν προσκόμισε παραστατικό αγοράς, όπως του ζητήθηκε από την Αρχή, αλλά υπέβαλε υπεύθυνη δήλωση της εταιρίας που εγκατέστησε το σύστημα στην οποία αναφέρεται ότι η εικονική κάμερα παραχωρήθηκε δωρεάν λόγω ευτελούς αξίας.

Η κρίση της Αρχής

Με βάση τα στοιχεία και τους ισχυρισμούς που τέθηκαν υπόψιν της, καθώς και το πόρισμα διοικητικού ελέγχου, το οποίο συντάχθηκε μετά από πραγματοποίηση απομακρυσμένου ελέγχου στο επίμαχο σύστημα βιντεοεπιτήρησης, η Αρχή έκρινε ότι:

1, Η επεξεργασία δεδομένων προσωπικού χαρακτήρα μέσω «κλειστού κυκλώματος οπτικής καταγραφής» στους χώρους του Συνεταιρισμού είναι απαραίτητη για την προστασία προσώπων και αγαθών «όπως ορίζει το άρθρο 27 υπ’ αριθμ. 7 του ν.4624/2019», το οποίο ρυθμίζει τη λειτουργία «κλειστών κυκλωμάτων οπτικής καταγραφής» σε χώρους εργασίας.

2. Δεν αποδείχθηκε η επιτήρηση εργαζομένων, όπως ισχυρίστηκε ο καταγγέλλων, όπως επίσης δεν αποδείχθηκε η παραβίαση της αρχής της αναλογικότητας, καθώς:

α. «η τοπολογία των καμερών εξυπηρετεί τον σκοπό της αποτροπής κλοπών και απόπειρας δολιοφθοράς»,

β. «Από τον έλεγχο των αρχείων καταγραφής δεν παρατηρήθηκε κάποια είσοδος χρήστη σε ώρες και ημέρες που να υποδηλώνει χρήση του συστήματος επιτήρησης για σκοπό διαφορετικό από αυτόν της ασφάλειας προσώπων και αγαθών»,

γ. «Δεν προέκυψαν επαρκή στοιχεία που να τεκμηριώνουν τον ισχυρισμό του καταγγέλλοντος ότι οι υπεύθυνοι του Α.Ε.Σ.Σ. παρακολουθούσαν τους εργαζόμενους από απομακρυσμένα σημεία μέσω φορητών συσκευών, ούτε ότι προέβησαν σε επιπλήξεις στους εργαζόμενους»,

δ. Ο ισχυρισμός του καταγγέλλοντος περί επίτευξης των επιδιωκόμενων σκοπών με ηπιότερα μέσα είναι αβάσιμος, καθώς «λαμβάνοντας υπ’ όψιν την ιδιαιτερότητα των εγκαταστάσεων (μέγεθος και διαμόρφωση του χώρου) και τον κίνδυνο πρόκλησης εκτεταμένης ζημιάς σε περίπτωση δολιοφθοράς», «τα μέσα αυτά δεν μπορούν να λειτουργήσουν εξίσου αποτρεπτικά και δεν παρέχουν αντίστοιχης αξιοπιστίας στοιχεία στο πλαίσιο της διερεύνησης κάποιου περιστατικού».

3. Παρά τη μη παραβίαση της αρχής της αναλογικότητας, υπήρξε ζήτημα με την αρχή της ελαχιστοποίησης και περιορισμού στο αναγκαίο των δεδομένων που συλλέγονται από τέσσερις κάμερες, το πεδίο λήψης των οποίων θα πρέπει να περιοριστεί περαιτέρω.

4. Ως προς την εικονική κάμερα, η Αρχή δεν κατάφερε να διαπιστώσει κατά πόσον αυτή είναι πράγματι εικονική, όπως ισχυρίστηκε ο Συνεταιρισμός ή πραγματική, όπως αναφέρθηκε στην καταγγελία.

5. Διαπιστώθηκαν ελλείψεις σε σχέση με την εφαρμογή των κατάλληλων τεχνικών και οργανωτικών μέτρων προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων σύμφωνα με το άρθρο 32 ΓΚΠΔ και ειδικότερα σχετικά με τις δικαιοδοσίες χρηστών συστήματος, τα χρονοδιαγράμματα αποθήκευσης, τη διαμεταγωγή των δεδομένων και την πρόσβαση universal plug and play.

6. Ως προς το ζήτημα της ενημέρωσης των εργαζομένων, σύμφωνα με τις απαιτήσεις του άρθρου 13 ΓΚΠΔ, η Αρχή διαπίστωσε ότι ελλείψει έγγραφης ενημέρωσης έχει τελεστεί παραβίαση της αρχής της διαφάνειας του άρθρου 5 παρ.1α ΓΚΠΔ. Ωστόσο, η Αρχή αναγνώρισε πως οι εργαζόμενοι ήταν ενήμεροι τόσο προφορικά, όσο και μέσω πινακίδων που είχαν αναρτηθεί.

Για τις ως άνω διαπιστωθείσες παραβάσεις των άρθρων 5 παρ.1α, 5 παρ.1γ και 32 ΓΚΠΔ, η Αρχή επέβαλε στον Συνεταιρισμό διοικητικό πρόστιμο ύψους 2.000 ευρώ. Παράλληλα, του έδωσε εντολή όπως αφενός τροποποιήσει εντός 2 μηνών τα πεδία λήψης των τεσσάρων καμερών, «ούτως ώστε να παρακολουθούν αποκλειστικά και μόνο τον χώρο που απαιτείται για την επίτευξη του σκοπού για τον οποίο προορίζονται», αφετέρου όπως ενημερώσει εγγράφως εντός 1 μηνός τους εργαζόμενους, παρέχοντάς τους τις πληροφορίες του άρθρου 13 ΓΚΠΔ, εξαιρουμένων των εννόμων συμφερόντων που επιδιώκει ο Συνεταιρισμός.

Το πλήρες κείμενο της απόφασης ΑΠΔΠΧ 25/2024 είναι διαθέσιμο εδώ.