Στον ιστότοπο της Αρχής Προστασίας Δεδομένων αναρτήθηκε η υπ’ αριθμ. 23/2021 απόφασή της επί καταγγελίας εργαζομένων για παρακολούθησή τους από τον πρώην εργοδότη τους.

Η απόφαση είναι εξαιρετικά σημαντική, καθώς είναι η πρώτη φορά που η Αρχή επιχειρεί να θέσει τα όρια υπαγωγής ή μη στις απαιτήσεις νομιμότητας του ΓΚΠΔ για ένα σύστημα βιντεοεπιτήρησης, που δεν βρίσκεται σε πλήρη λειτουργία.

Το ιστορικό

Η Αρχή έλαβε καταγγελίες από δύο πρώην εργαζόμενους ιδιωτικής εταιρείας, με τις οποίες αυτοί παραπονέθηκαν για την παρακολούθηση και τον έλεγχό τους μέσω συστήματος βιντεοεπιτήρησης. Επί των καταγγελιών αυτών, ζητήθηκαν οι απόψεις της εταιρείας.

Η καταγγελλόμενη εταιρεία ισχυρίστηκε ότι στους χώρους των γραφείων τους υπήρχαν: α) μια θυροτηλεόραση στην κεντρική είσοδο της πολυκατοικίας, β) ένα σύστημα βιντεοεπιτήρησης περιμετρικά του κτιρίου, το οποίο είχε εγκατασταθεί με απόφαση της Γενικής Συνέλευσης των ενοίκων και γ) σύστημα βιντεοεπιτήρησης στους κοινόχρηστους χώρους, και πάλι κατόπιν απόφασης της Γενικής Συνέλευσης.

Ως προς τη λειτουργία καμερών στους εσωτερικούς χώρους των γραφείων της, η εταιρεία ισχυρίστηκε ότι «δεν υπάρχουν κάμερες λήψεως εικόνας και ήχου σε λειτουργία». Σύμφωνα με την εταιρεία, κάμερες είχαν εγκατασταθεί το έτος 2008, πριν αυτή προβεί σε προσλήψεις προσωπικού, για την ασφάλεια των μελών της, που ενίοτε διανυκτέρευαν εκεί, ενώ «έκτοτε και πριν προβεί η εταιρεία σε προσλήψεις προσωπικού οι κάμερες απενεργοποιήθηκαν και παραμένουν απενεργοποιημένες μέχρι και σήμερα».

Η Αρχή ζήτησε πρόσθετες διευκρινίσεις, μεταξύ άλλων ως προς «τον τρόπο απενεργοποίησης των καμερών αυτών και τους λόγους για τους οποίους δεν αφαιρέθηκαν οι κάμερες από τα σημεία τοποθέτησης αφού δεν βρίσκονται σε λειτουργία από το 2008».

Η καταγγελλόμενη εταιρεία επανήλθε ισχυριζόμενη, μεταξύ άλλων, ότι:

– Δεν υπάρχει καμία εν λειτουργία κάμερα στο εσωτερικό του 4ου ορόφου καθώς και όλων των χώρων εργασίας.

– Οι κάμερες που είναι εγκατεστημένες στα γραφεία της εταιρείας στον 4ο όροφο είναι συνολικά έξι (6) και βρίσκονται στους εξής χώρους: αίθουσα συνεδριάσεων, γραφείο 1, γραφείο 2, γραμματεία, κουζινάκι και μπαλκόνι. Οι κάμερες είναι τοποθετημένες ανάποδα από τις θέσεις εργασίας ακόμα και αν ήθελε υποτεθεί ότι θα μπορούσαν να τεθούν σε λειτουργία. Όλες οι κάμερες είναι απομονωμένες και κλειδωμένες μέσα από το μενού του καταγραφικού και λαμβάνουν μόνο «μαύρη» εικόνα.

– Οι κάμερες απενεργοποιούνται με παρέμβαση του τεχνικού εγκατάστασης.

– Οι κάμερες δεν αφαιρέθηκαν από τα σημεία τοποθέτησης προς αποφυγή κατά κύριο λόγο των “μερεμετιών” που θα προέκυπταν στο χώρο καθώς και για το ενδεχόμενο σε περίπτωση αλλαγής της χρήσης του χώρου να υπάρχει η δυνατότητα εκ νέου λειτουργίας τους αν και εφόσον κριθεί κάποια στιγμή απαραίτητο.

Παράλληλα, η καταγγελλόμενη προσκόμισε ενημερωτική πινακίδα για τη βιντεοεπιτήρηση, καθώς και φωτογραφίες, οι οποίες «ελήφθησαν σε πραγματικό χρόνο από τον Υπεύθυνο Επεξεργασίας κατά την παρακολούθηση των καμερών από τον υπολογιστή του με printscreen», προκειμένου να αποδείξει ότι η εικόνα που εμφανίζεται στην οθόνη είναι «μαυρισμένη».

Η κρίση της ΑΠΔΠΧ

Αφού πρώτα επεσήμανε τους κανόνες νομιμότητας της επεξεργασίας, κατά τα άρθρα 5 και 6 ΓΚΠΔ, καθώς και τη σημασία της λογοδοσίας, η Αρχή υπενθύμισε τις Κατευθυντήριες Γραμμές 3/2019 του ΕΣΠΔ, στις οποίες αναφέρεται ότι: «προκειμένου να κριθεί η νομιμότητα της εγκατάστασης και λειτουργίας του συστήματος βιντεοεπιτήρησης πρέπει να πληρούνται σωρευτικά οι προϋποθέσεις των άρθρων 5 και 6 παρ. 1 ΓΚΠΔ, θα πρέπει σε προηγούμενο χρόνο της εγκατάστασης και λειτουργίας του συστήματος να τεκμηριωθεί εσωτερικά η νομιμότητα της επεξεργασίας και μάλιστα κατά τον προσδιορισμό του σκοπού της επεξεργασίας ενδέχεται να χρειαστεί σχετική αξιολόγηση για κάθε κάμερα ξεχωριστά, ανάλογα με το σημείο τοποθέτησης της». Παράλληλα, η Αρχή διατύπωσε και πάλι τους όρους νομιμότητας συστημάτων βιντεοεπιτήρησης, που έχει θέσει με την Οδηγία 1/2011.

Επί της εξεταζόμενης υπόθεσης και ελλείψει αντίθετων αποδεικτικών μέσων, η Αρχή δέχθηκε τους ισχυρισμούς της καταγγελλόμενης ως προς τους όρους λειτουργίας του συστήματος βιντεοεπιτήρησης στους χώρους των γραφείων της, καταλήγοντας ότι υπό τους όρους αυτούς, το σύστημα αυτό είναι πλήρως λειτουργικό.

Ειδικότερα, η Αρχή διαπίστωσε ότι (οι επισημάνσεις από τον συντάκτη του παρόντος):

«από το έτος 2008 έως σήμερα, οι πέντε (5) κάμερες στους χώρους γραφείων και το κουζινάκι του 4ου ορόφου (καθώς και η μια (1) κάμερα στο μπαλκόνι του ορόφου αυτού) παραμένουν μόνιμα εγκατεστημένες στη θέση τους και σε σύνδεση με το καταγραφικό μηχάνημα του ενιαίου εν λειτουργία συστήματος βιντεοεπιτήρησης, λαμβάνοντας εικόνα, η οποία όμως δεν εμφανίζεται κατ’ αρχήν στην οθόνη λόγω σχετικής ρύθμισης από το μενού του καταγραφικού με αποτέλεσμα η οθόνη να είναι «μαυρισμένη». Διαπιστώνεται δηλαδή ότι ενώ λαμβάνει χώρα συλλογή και μετάδοση της εικόνας, εκείνη λαμβάνεται μεν στην οθόνη, πλην όμως, καλύπτεται από «μαύρο καμβά», με βάση ρύθμιση του συστήματος. Επιπλέον, ανά πάσα στιγμή και με βάση αντίστροφη ρύθμιση, αφαιρείται ο «μαύρος καμβάς» και είναι δυνατή η θέαση της εικόνας του χώρου ή των προσώπων χωρίς «μεταμφίεση» (masked). Επίσης, παρά τους ισχυρισμούς της καταγγελλόμενης εταιρείας ότι δεν υπάρχει οθόνη παρακολούθησης του συστήματος βιντεοεπιτήρησης, η δυνατότητα παρακολούθησης όλων των καμερών του συστήματος από τον διαχειριστή Ε στην οθόνη του προσωπικού υπολογιστή του συνιστά χρήση οθόνης προβολής, ανεξαρτήτως των μέτρων ασφαλείας και ελέγχου της πρόσβασης στον υπολογιστή αυτόν όπως η επικαλούμενη χρήση ισχυρών κωδικών πρόσβασης. Συνεπώς, οι εν λόγω κάμερες αποτελούν τμήμα ενός πλήρως λειτουργικού συστήματος βιντεοεπιτήρησης, λαμβάνουν και μεταδίδουν το σήμα της εικόνας από το χώρο εγκατάστασής τους στην οθόνη προβολής, η οποία εικόνα, λόγω της ως άνω σχετικής ρύθμισης, δύναται να προβάλλεται με «μαύρη» απεικόνιση και όχι στην αυτούσια μορφή της αρχικής συλλογής, ανάλογα με τη ρύθμιση που θα επιλέξει ανά πάσα στιγμή ο χειριστής του συστήματος. Δηλαδή, η εικόνα των υποκειμένων των δεδομένων που τυχόν εισέρχονται ή ήδη βρίσκονται στο πεδίο εμβέλειας του εν λόγω συστήματος συλλέγεται και μεταδίδεται κανονικά στον αποδέκτη, ο οποίος έχει την τεχνική δυνατότητα να εμφανίσει στην οθόνη την πλήρη εικόνα ή να την καλύψει μαυρίζοντας την οθόνη, ακόμα και αν για αυτό χρειάζεται η συνδρομή του εγκαταστάτη κατά τους ισχυρισμούς της καταγγελλόμενης εταιρείας.»

Υπό τις ανωτέρω παραδοχές, η Αρχή κατέληξε ότι «μέσω του εν λόγω συστήματος καθίσταται δυνατή η ταυτοποίηση των φυσικών προσώπων, ανάλογα με την ρύθμιση του χειριστή του συστήματος», το δε σύστημα εμπίπτει στον ορισμό των συστημάτων βιντεοεπιτήρησης «καθόσον είναι μόνιμα εγκατεστημένο στον χώρο του 4ου ορόφου και έχει τη δυνατότητα λήψης ή/και μετάδοσης σήματος εικόνας από τον χώρο αυτό προς την οθόνη προβολής του ηλεκτρονικού υπολογιστή του Ε ή/και το συνδεδεμένο μηχάνημα καταγραφής, το οποίο βρίσκεται σε κοινόχρηστο χώρο. Η λήψη και μετάδοση του σήματος της εικόνας από τους χώρους γραφείων και της κουζίνας, στους οποίους βρίσκονται εγκατεστημένες οι κάμερες, στην οθόνη προβολής, ακόμα και χωρίς να γίνεται καταγραφή ή αποθήκευση στο καταγραφικό, συνιστά αυτοματοποιημένη επεξεργασία προσωπικών δεδομένων και συγκεκριμένα συλλογή και διαβίβαση της λαμβανόμενης εικόνας (βλ. σκέψη 12 της παρούσας, ΑΠΔ 87/2015, ΑΠΔ Γνωμοδότηση 3/2020), είτε εμφανίζεται στην οθόνη, είτε επιλέγεται η μη εμφάνιση με τη χρήση της σχετικής ρύθμισης ώστε να καλύπτεται από «μαύρο καμβά» στην οθόνη. Η δε παραμετροποίηση από το μενού του καταγραφικού ώστε η λαμβανόμενη εικόνα να προβάλλεται στην οθόνη με «μαύρη» απεικόνιση δεν αναιρεί την αρχική επεξεργασία της συλλογής και διαβίβασης. Μάλιστα, η παραμετροποίηση αυτή μπορεί ανά πάσα στιγμή και με εύκολο τρόπο να αλλαχθεί, επίσης από τις ρυθμίσεις του συστήματος και του καταγραφικού, ώστε η εικόνα που λαμβάνεται από τις κάμερες να προβάλλεται στην οθόνη προβολής χωρίς κάλυψη ή με κάλυψη μέρους αυτής (πρβλ. ΑΠΔ 87/2015). Ο ισχυρισμός της εταιρείας ότι οι κάμερες ήταν πρωτοτοποθετημένες σε θέσεις ανάποδα από τις θέσεις εργασίας, δεν αναιρεί την λήψη εικόνας από τους χώρους γραφείων όπου και όταν εισέρχονται ή εξέρχονται και εν γένει κινούνται οι εργαζόμενοι προς και από τα γραφεία τους».

Ενισχυτική της κρίσης αυτής, ως αποδοχής της λειτουργίας συστήματος βιντεοεπιτήρησης, υπήρξε η ανάρτηση από την καταγγελλόμενη εταιρεία πινακίδων ενημέρωσης, από την οποία, «σε συνδυασμό με την ύπαρξη των εγκατεστημένων καμερών καθίσταται σαφές ότι το σύστημα βιντεοεπιτήρησης βρίσκεται σε λειτουργία και ο χώρος βιντεοσκοπείται».

Σύμφωνα με την Αρχή, εάν το σύστημα δεν λειτουργούσε, η εταιρεία, όχι μόνο θα έπρεπε να μην έχει αναρτήσει πινακίδες ενημέρωσης, αλλά αντιθέτως θα έπρεπε να έχει ενημερώσει τους εργαζομένους της περί της μη λειτουργίας του συστήματος, «δοθέντος ότι η ύπαρξη εγκατεστημένων καμερών στον χώρο δημιουργεί την εύλογη πεποίθηση ότι οι κάμερες λειτουργούν, με όσες συνέπειες προκαλεί η αίσθηση αυτή (ανάμεσα στις οποίες και το “chilling effect”), που επιτείνεται από την ανάρτηση προειδοποιητικών πινακίδων που ενημερώνουν σχετικά για τη λειτουργία των καμερών».

Η απόφαση της Αρχής

Η Αρχή διαπίστωσε την παραβίαση των αρχών της νομιμότητας και διαφάνειας (5.1α ΓΚΠΔ), περιορισμού του σκοπού (5.2 ΓΚΠΔ), καθώς και της λογοδοσίας (5.2 ΓΚΠΔ).

Σύμφωνα με την απόφαση, «η καταγγελλόμενη εταιρεία δεν εξέτασε, ως όφειλε, τη νομιμότητα της εγκατάστασης του συστήματος βιντεοεπιτήρησης, η οποία προηγείται, προϋποτίθεται και απαιτείται της νομιμότητας της επεξεργασίας προσωπικών δεδομένων ώστε να μην εγκαταστήσει καθόλου κάμερες σε χώρους γραφείων και σε χώρο εστίασης εργαζομένων λαμβάνοντας υπόψη την εκ προοιμίου στάθμιση της Οδηγίας 1/2011 υπέρ των υπέρτερων δικαιωμάτων των υποκειμένων των δεδομένων έναντι των έννομων συμφερόντων του υπευθύνου επεξεργασίας βάσει της οποίας δεν επιτρέπονται κάμερες σε τυπικό χώρο γραφείων (άρθρο 7 Οδηγίας 1/2011) ούτε σε χώρο εστίασης (άρθρο 19 παρ. 4 Οδηγίας 1/2011). Επιπλέον, μετά την αρχική εγκατάσταση, η εταιρεία δεν προέβη σε επαναξιολόγηση της νομιμότητας της επεξεργασίας, ώστε να πληρούνται οι απαιτήσεις του θεσμικού πλαισίου, το οποίο τροποποιήθηκε (ΓΚΠΔ και ν. 4624/2019) εισάγοντας περισσότερες υποχρεώσεις για τους υπευθύνους επεξεργασίας. Η εν λόγω υποχρέωση βαρύνει την καταγγελλόμενη εταιρεία τόσο σε χρόνο πριν την εγκατάσταση, κατά τη λήψη της σχετικής απόφασης, όσο και σε μεταγενέστερο χρόνο επαναξιολόγησης αυτής, στο πλαίσιο της διαρκούς υποχρέωσης για συμμόρφωση με τη νομοθεσία και πλέον, μετά την εφαρμογή του ΓΚΠΔ και για τεκμηρίωση της νομιμότητας της επεξεργασίας. Εάν η καταγγελλόμενη εταιρεία δεν λειτουργούσε το εγκατεστημένο σύστημα βιντεοεπιτήρησης, όφειλε να το είχε απεγκαταστήσει (πρβλ. ΣτΕ 1137/2020 σκ. 9) ή τουλάχιστον να είχε προβεί σε ενημέρωση των εργαζομένων της για τη μη λειτουργία του».

Με βάση τα ανωτέρω, η Αρχή αποφάσισε:

α. να δώσει εντολή στην καταγγελλόμενη εταιρία να απεγκαταστήσει τις κάμερες εντός ενός (1) μηνός και να καταστρέψει πλήρως οποιοδήποτε υλικό τυχόν έχει συλλεχθεί μέχρι τότε,

β. να επιβάλλει στην εταιρεία διοικητικό πρόστιμο 15.000 ευρώ.

Επισημαίνεται ότι η Αρχή δεν διερεύνησε εκτενέστερα την τυχόν παρακολούθηση των καταγγελλόντων, αφενός διότι δεν προέκυψε χωρίς αμφιβολία πως η αποστολή sms, με το οποίο ζητήθηκε σε έναν εξ αυτών «να καθίσει πιο καλά» βασίστηκε σε παρακολούθησή του μέσω βιντεοεπιτήρησης και όχι με φυσικό τρόπο, αφετέρου διότι εφόσον διαπιστώθηκε η παράνομη εγκατάσταση και λειτουργία του συστήματος, παρέπεται ότι κάθε μεταγενέστερη επεξεργασία καθίσταται παράνομη.

Περαιτέρω, η Αρχή δεν διερεύνησε τη νομιμότητα των συστημάτων βιντεοεπιτήρησης εκτός των χώρων της εταιρείας, ως μη σχετιζομένων με την καταγγελία, επιφυλασσόμενη να την εξετάσει αυτεπαγγέλτως σε δεύτερο χρόνο.