Διοικητικό πρόστιμο ύψους 5.000 ευρώ επέβαλε η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα στο Κέντρο Εκπαίδευσης και Αποκατάστασης Τυφλών (ΚΕΑΤ) για πλημμελή εφαρμογή των απαιτήσεων του Γενικού Κανονισμού Προστασίας Δεδομένων στο πλαίσιο αιτήματος πρόσβασης σε υλικό βιντεοεπιτήρησης στον χώρο εργασίας.

Η υπόθεση σχηματίστηκε μετά από καταγγελία εργαζομένου στο ΚΕΑΤ, ο οποίος είχε υποβάλει αιτήματα πρόσβασης στις 28 Ιουνίου και 18 Ιουλίου 2023, ζητώντας αντίγραφο υλικού από κάμερα που κάλυπτε την κεντρική είσοδο του οργανισμού, σε σχέση με περιστατικό που είχε λάβει χώρα στον προαύλιο χώρο. Παρά τα αιτήματα αυτά, δεν έλαβε απάντηση ούτε το αιτούμενο υλικό, γεγονός που οδήγησε στην υποβολή καταγγελίας στην Αρχή τον Ιανουάριο του 2024.

Στο πλαίσιο διερεύνησης της υπόθεσης, το ΚΕΑΤ ανέφερε ότι το περιστατικό αποτέλεσε αντικείμενο Ένορκης Διοικητικής Εξέτασης και ότι η χορήγηση του υλικού δεν πραγματοποιήθηκε άμεσα λόγω της εκκρεμότητας της διαδικασίας αυτής. Υποστήριξε επίσης ότι το υλικό δεν είχε διαβιβαστεί σε τρίτους, πέραν της χρήσης του στο πλαίσιο της εξέτασης, και ότι δεν υπήρχε πρόθεση συγκάλυψης. Μεταγενέστερα, ενημέρωσε ότι προχώρησε στη χορήγηση του υλικού στον καταγγέλλοντα, κατόπιν επεξεργασίας με θόλωση προσώπων.

Ο καταγγέλλων, ωστόσο, επανήλθε, υποστηρίζοντας ότι το υλικό που του χορηγήθηκε αφενός ήταν παραποιημένο και επεξεργασμένο, αφετέρου ότι δεν περιελάμβανε δεδομένα από τη δεύτερη κάμερα, το υλικό της οποίας είχε επίσης ζητηθεί.

Από την πλευρά του, το ΚΕΑΤ ανέφερε ότι το σχετικό υλικό δεν ήταν πλέον διαθέσιμο, καθώς αυτό τηρείτο για ένα έτος, χρονικό διάστημα που στη συνέχεια διευκρίνισε πως είχε αναφερθεί εκ παραδρομής, με τον χρόνο διατήρησης να είναι οι οκτώ ημέρες. Παράλληλα, το ΚΕΑΤ ισχυρίστηκε ότι το επίμαχο περιστατικό μπορούσε να καταγραφεί μόνο από τη συγκεκριμένη κάμερα από την οποία χορηγήθηκε υλικό.

Η απόφαση της Αρχής

Η Αρχή, εξετάζοντας τα στοιχεία του φακέλου και τις απόψεις των εμπλεκομένων, διαπίστωσε ότι ο καταγγέλλων είχε ασκήσει νομίμως και σαφώς το δικαίωμα πρόσβασης, ενώ ο υπεύθυνος επεξεργασίας δεν ανταποκρίθηκε εντός της προβλεπόμενης προθεσμίας του ενός μηνός, ούτε ενημέρωσε για τυχόν παράταση ή για τους λόγους μη ικανοποίησης του αιτήματος. Το γεγονός ότι το αίτημα συνδεόταν με εν εξελίξει διοικητική εξέταση δεν κρίθηκε επαρκές για τη μη τήρηση των υποχρεώσεων του άρθρου 12 ΓΚΠΔ.

Περαιτέρω, η Αρχή έκρινε ότι η εκ των υστέρων χορήγηση υλικού δεν ήταν προσήκουσα, καθώς το υλικό είχε υποστεί επεξεργασία, μεταξύ άλλων με τεχνική ζουμ, γεγονός που επηρέασε το περιεχόμενο των δεδομένων που αφορούσαν τον καταγγέλλοντα. Επιπλέον, η δυνατότητα απλής επιτόπιας θέασης του υλικού, όπως αυτή προτάθηκε στον καταγγέλλοντα, δεν υποκαθιστά το δικαίωμα λήψης αντιγράφου, το οποίο αποτελεί βασικό στοιχείο του δικαιώματος πρόσβασης.

Ως προς την οργάνωση της επεξεργασίας, η Αρχή διαπίστωσε ότι ο υπεύθυνος επεξεργασίας δεν είχε λάβει τα κατάλληλα τεχνικά και οργανωτικά μέτρα ώστε να διασφαλίζει την ορθή και έγκαιρη ικανοποίηση αιτημάτων πρόσβασης. Όπως χαρακτηριστικά κρίθηκε, «ο καταγγελλόμενος κατά την κλήση, υποστήριξε ότι η επεξεργασία που υπέστη το υλικό από σύστημα βιντεοεπιτήρησης σε σχέση με την τεχνική zoom που χρησιμοποιήθηκε, οφείλεται στο γεγονός ότι από τεχνικής απόψεως ο υπεύθυνος για την απομόνωση του εν λόγω υλικού υπάλληλος, δεν γνώριζε πώς να το υλοποιήσει. Ο εν λόγω ισχυρισμός δεν τεκμηριώθηκε, δεδομένου ότι το υλικό υπέστη επεξεργασία, η οποία προϋποθέτει γνώσεις επεξεργασίας του οπτικού υλικού. Ως εκ τούτου, ο καταγγελλόμενος ως υπεύθυνος επεξεργασίας δεν έλαβε ως όφειλε τα κατάλληλα τεχνικά και οργανωτικά μέτρα συμπεριλαμβανομένης της κατάρτισης και της ενημέρωσης των υπαλλήλων ώστε να διασφαλιστεί το κατάλληλο επίπεδο ασφάλειας της επεξεργασίας και η γενικότερη συμμόρφωση του προς τον ΓΚΠΔ σύμφωνα με την αρχή της λογοδοσίας».

Κατόπιν των ανωτέρω, η Αρχή διαπίστωσε παραβίαση των άρθρων 15 και 12 ΓΚΠΔ ως προς την εκπρόθεσμη και μη προσήκουσα ικανοποίηση του δικαιώματος πρόσβασης, καθώς και παράβαση του άρθρου 24 ΓΚΠΔ σχετικά με την υποχρέωση λήψης κατάλληλων μέτρων συμμόρφωσης.

Λαμβάνοντας υπόψη τα κριτήρια επιμέτρησης του προστίμου, μεταξύ των οποίων την καθυστέρηση στην ικανοποίηση του αιτήματος, την ελλιπή παροχή υλικού, την απουσία δόλου και το γεγονός ότι επηρεάστηκε ένα μόνο υποκείμενο δεδομένων, η Αρχή επέβαλε διοικητικό πρόστιμο ύψους 5.000 ευρώ. Παράλληλα, απηύθυνε επίπληξη για την παράβαση του άρθρου 24 και διέταξε τον υπεύθυνο επεξεργασίας να προβεί εντός 15 ημερών στην πλήρη ικανοποίηση του δικαιώματος πρόσβασης, ενημερώνοντας σχετικά την Αρχή.