Απόφαση

Σε συνέχεια της απόφασης 5/2020, με την οποία εκδόθηκαν Κατευθυντήριες Γραμμές αναφορικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της διαχείρισης του κορωνοϊού COVID-19, των Κατευθυντήριων Γραμμών 2/2020 για τη λήψη μέτρων ασφάλειας στο πλαίσιο της τηλεργασίας και της Οδηγίας 115/2001 για την προστασία των προσωπικών δεδομένων στο πλαίσιο των εργασιακών σχέσεων, λαμβάνοντας υπόψη την ένταση και την έκταση που έχει λάβει η εξ αποστάσεως παροχή εργασίας −προεχόντως λόγω της επιδημίας που οφείλεται στην COVID-19− και τους κινδύνους που ελλοχεύουν μέσω της χρήσης τεχνολογιών πληροφορικής και επικοινωνιών (ΤΠΕ) για τα δικαιώματα των εμπλεκομένων σε αυτήν προσώπων και την ασφάλεια των υποδομών και υπηρεσιών που χρησιμοποιούνται, η Αρχή, στο πλαίσιο της ενημέρωσης των υποκειμένων των δεδομένων καθώς και των υπευθύνων επεξεργασίας και των εκτελούντων την επεξεργασία, εξέδωσε Κατευθυντήριες Γραμμές ειδικά για την επεξεργασία δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται κατά την παροχή εργασίας εξ αποστάσεως, ανεξαρτήτως μορφής και είδους απασχόλησης, τόσο στον ιδιωτικό όσο και στον δημόσιο τομέα, με σκοπό να εξειδικευθούν αφενός οι κίνδυνοι, οι κανόνες, οι εγγυήσεις και τα δικαιώματα των υποκειμένων των δεδομένων, και αφετέρου οι υποχρεώσεις των δημοσίων αρχών και ιδιωτικών φορέων, ως υπευθύνων επεξεργασίας, σε συμμόρφωση προς το θεσμικό πλαίσιο προστασίας δεδομένων προσωπικού χαρακτήρα.

Η Αρχή εκδίδει κείμενο Κατευθυντήριων Γραμμών αναφορικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της διαχείρισης του COVID-19, με το οποίο, οριοθετώντας την αρμοδιότητά της βάσει ΓΚΠΔ 2016/679 και νόμου 4624/2019, προδιαγράφει τις νομικές βάσεις επεξεργασίας από τις αρμόδιες δημόσιες αρχές και τους ιδιωτικούς φορείς, ως υπευθύνους επεξεργασίας. Ειδικά για το θέμα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα εκ μέρους των εργοδοτών για τον σκοπό του περιορισμού διάδοσης του COVID-19 η Αρχή υπογραμμίζει συγκεκριμένα ζητήματα σύννομης επεξεργασίας δεδομένων προσωπικού χαρακτήρα των εργαζομένων. Ακόμα, η Αρχή επισημαίνει τους κανόνες επεξεργασίας συγγενών ή οικείων ατόμων θανόντων από τον κορωνοϊό COVID-19, καθώς και τους κανόνες επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα ίδια τα υποκείμενα νοσούντες του κορωνοϊού. Τέλος, η Αρχή ασχολείται με το ζήτημα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα για δημοσιογραφικούς σκοπούς. Εν όψει των ανωτέρω, η Αρχή επισημαίνει ότι: 1) Το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δεν είναι απόλυτο αλλά πρέπει να εκτιμάται σε σχέση με τη λειτουργία του στην κοινωνία και να σταθμίζεται σε σχέση με άλλα θεμελιώδη δικαιώματα, όπως η ζωή και η υγεία. 2) Ο υπεύθυνος επεξεργασίας, τόσο στο δημόσιο, όσο και στον ιδιωτικό τομέα, λαμβάνοντας τα αναγκαία μέτρα για την αποτροπή της διάδοσης του COVID-19 ενδέχεται να προβεί σε επεξεργασία δεδομένων προσωπικού χαρακτήρα σύμφωνα προς τα άρθρα 5 και 6 ΓΚΠΔ, χωρίς να μπορεί εκ προοιμίου να αποκλειστεί ως απαγορευμένη οποιαδήποτε πράξη επεξεργασίας, ιδίως στην παρούσα χρονική κρίσιμη και πρωτόγνωρη συγκυρία. 3) Η νομοθεσία για την προστασία των δεδομένων προσωπικού χαρακτήρα, στο πλαίσιο λήψης μέτρων για την προστασία της δημόσιας υγείας εν γένει αλλά και της υγείας των υποκειμένων των δεδομένων στους εργασιακούς χώρους, αφενός, παρέχει τις κατάλληλες νομικές βάσεις για την επεξεργασία δεδομένων προσωπικού χαρακτήρα, αφετέρου, παρέχει τη δυνατότητα στον εθνικό νομοθέτη να εξειδικεύσει πράξεις επεξεργασίας που είναι απαραίτητες για λόγους δημοσίου συμφέροντος περιλαμβανομένου του τομέα της δημόσιας υγείας κατ’ εξουσιοδότηση και σύμφωνα προς τις διατάξεις του ΓΚΠΔ.

Η Αρχή εξέτασε αίτηση θεραπείας κατά πράξεως αρχειοθέτησης καταγγελίας που εξεδόθη αρμοδίως.  

Λαμβάνοντας υπόψη τα άρθρα 2 παρ. 8 του ν. 3051/2002 και 24 παρ. 1 του ν. 2690/1999, η Αρχή απέρριψε την αίτηση θεραπείας καθώς, αφενός, με αυτήν εισήχθησαν κατ’ ουσίαν ακυρωτικοί ισχυρισμοί, αφετέρου, δεν υποβλήθηκε κανένα νεότερο στοιχείο από τον προσφεύγοντα.

Η Αρχή εξέτασε καταγγελία κατά υπευθύνου επεξεργασίας ιατρού για μη ικανοποίηση του δικαιώματος πρόσβασης, το οποίο άσκησε ο πατέρας για λογαριασμό του ανήλικου τέκνου του αφού διαπίστωσε ότι έλαβε χώρα παραβίαση των άρθρων 12 παρ. 1, 2 και 15 παρ. 1 ΓΚΠΔ και επέβαλε χρηματικό πρόστιμο ύψους 5.000 χιλιάδων ευρώ.

Η Αρχή, εξετάζοντας καταγγελία σχετικά με παράνομη λήψη και αποστολή φωτογραφιών με ηλεκτρονικό ταχυδρομείο, επιφυλάσσεται στο πλαίσιο των αρμοδιοτήτων της (βλ. άρθρ. 19 παρ. 1 περ. α΄, θ΄, ι΄ του ν. 2472/1997) να οριοθετήσει την έννοια της προσωπικής χρήσης του άρθρ. 3 § 2 του ν. 2472/97, όπως αυτή προσιδιάζει σε ειδικότερες κατηγορίες επεξεργασίας προσωπικών δεδομένων, π.χ. σε μηνύματα μέσω κινητού που περιλαμβάνουν εικόνα και/ή ήχο και/ή κείμενο. Η συγκεκριμένη επεξεργασία (λήψη και αποστολή φωτογραφιών με ηλεκτρονικό ταχυδρομείο) δεν αποδεικνύεται ότι έγινε από τον καταγγελλόμενο και ως εκ τούτου η αίτηση απορρίπτεται και τίθεται στο αρχείο. Επίσης, η καταγγελία από τον καταγγελλόμενο, η οποία και συνεξετάζεται, σύμφωνα με την οποία παρακολουθείτο ο ηλεκτρονικός του υπολογιστής μέχρι την αναβάθμισή του από τον πρώτο καταγγέλλοντα ή άλλον απορρίπτεται ως αβάσιμη.

Η Αρχή εξέτασε καταγγελία κατά της ανώνυμης εταιρείας με την επωνυμία ΕΚΔΟΣΕΙΣ ΠΡΩΤΟ ΘΕΜΑ ΕΚΔΟΤΙΚΗ ΑΕ, σχετικά με τη δημοσιοποίηση άρθρου σε έντυπη έκδοση της εφημερίδας ΠΡΩΤΟ ΘΕΜΑ, με λεπτομερή αναφορά των κατασχεθέντων κινητών πραγμάτων της καταγγέλλουσας.

Λαμβάνοντας υπόψη το άρθρο 85 του ΓΚΠΔ και το άρθρο 28 του ν. 4624/2019, η Αρχή απηύθυνε επίπληξη για τη διαπιστωθείσα υπέρβαση των ορίων της αρχής της αναλογικότητας.

Απόφαση του Προέδρου της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα περί παράτασης της αναστολής των δημοσίων συνεδριάσεων της Ολομέλειας και του Τμήματος αυτής για το χρονικό διάστημα από 01.07.2021 έως 02.08.2021. Δυνάμει της αυτής αποφάσεως, οι εν λόγω συνεδριάσεις θα διεξάγονται μέσω τηλεδιάσκεψης.

Η Αρχή επέβαλε πρόστιμο ύψους 15.000,00 ευρώ σε εταιρεία για παράνομη εγκατάσταση και λειτουργία συστήματος βιντεοεπιτήρησης στους χώρους γραφείων των εργαζομένων και στην κουζίνα του χώρου εργασίας κατά παράβαση των άρθρων 5 παρ. 1 α’ και γ’ και 5 παρ. 2 του Κανονισμού (ΕΕ) 2016/679. Επιπλέον, η Αρχή διέταξε την απεγκατάσταση των καμερών και τη διαγραφή τυχόν συλλεγέντος υλικού.

Η μετάδοση της εικόνας των προσώπων που βρίσκονται στην εμβέλεια των καμερών στην οθόνη προβολής του ηλεκτρονικού υπολογιστή του διαχειριστή της εταιρείας, ο οποίος είχε την τεχνική δυνατότητα να εμφανίσει στην οθόνη την πλήρη εικόνα ή να την καλύψει μαυρίζοντας την οθόνη, ανά πάσα στιγμή και με εύκολο τρόπο μέσω σχετικής ρύθμισης από το καταγραφικό, ακόμα και αν για τη ρύθμιση αυτή χρειαζόταν η συνδρομή του εγκαταστάτη των καμερών, συνιστά επεξεργασία προσωπικών δεδομένων η οποία παραβιάζει τις διατάξεις του ΓΚΠΔ. Περαιτέρω, η ύπαρξη και μόνο καμερών σε χώρους για τους οποίους έχει ήδη κριθεί με την υπ’ αριθμ. 1/2011 Οδηγία της Αρχής ότι απαγορεύεται εγκατάσταση και λειτουργία συστημάτων βιντεοεπιτήρησης, όπως χώρους γραφείων και εστίασης, προσβάλλει υπέρμετρα τα δικαιώματα των εργαζομένων και παραβιάζει τις διατάξεις του ΓΚΠΔ.

Η Αρχή εξέτασε καταγγελία για αποστολή ανεπιθύμητου σύντομου ευχετήριου γραπτού μηνύματος (SMS) σε κινητό τηλέφωνο από βουλευτή. Επειδή προκύπτει η ανάγκη για ενδελεχή έρευνα και περαιτέρω ανάλυση, η υπόθεση παραπέμπεται στην Ολομέλεια προκειμένου να αποφασισθεί εάν επικοινωνία με περιεχόμενο ηλεκτρονικού μηνύματος συναφές με το επίμαχο που δεν αφορά, τουλάχιστον ευθέως και άμεσα, την πολιτική επικοινωνία εμπίπτει στη σχετική νομοθεσία για την επεξεργασία προσωπικών δεδομένων για λόγους πολιτικής επικοινωνίας.

Η Αρχή εξέτασε καταγγελία κατά ενημερωτικού ιστοτόπου, αναφορικά με ανάρτηση δεδομένων υποκειμένου που είχε αναφέρει υπόθεση σχετική με το αντικείμενο της εν λόγω ιστοσελίδας. Έκρινε ότι με βάση τα άρθρα 85 του ΓΚΠΔ και 28 του ν. 4624/2019, η δημοσιοποίηση των στοιχείων της δημοσιογραφικής έρευνας με προσωπικά δεδομένα, ήταν απολύτως αναγκαία  για την ενημέρωση του κοινού ως προς το γεγονός της καταγγελίας, αλλά και ότι η αφαίρεση του πλήρους ονόματος της καταγγέλλουσας από το άρθρο της ιστοσελίδας, μετά από μεταγενέστερη άσκηση δικαιώματός της, είναι σύμφωνη με την αρχή της αναγκαιότητας και αναλογικότητας, αρχές που πρέπει να διέπουν την επεξεργασία προσωπικών δεδομένων.