Άρθρο 5.1.β : Αρχή του περιορισμού του σκοπού

Η Αρχή επέβαλε πρόστιμο ύψους 15.000,00 ευρώ σε εταιρεία για παράνομη εγκατάσταση και λειτουργία συστήματος βιντεοεπιτήρησης στους χώρους γραφείων των εργαζομένων και στην κουζίνα του χώρου εργασίας κατά παράβαση των άρθρων 5 παρ. 1 α’ και γ’ και 5 παρ. 2 του Κανονισμού (ΕΕ) 2016/679. Επιπλέον, η Αρχή διέταξε την απεγκατάσταση των καμερών και τη διαγραφή τυχόν συλλεγέντος υλικού.

Η μετάδοση της εικόνας των προσώπων που βρίσκονται στην εμβέλεια των καμερών στην οθόνη προβολής του ηλεκτρονικού υπολογιστή του διαχειριστή της εταιρείας, ο οποίος είχε την τεχνική δυνατότητα να εμφανίσει στην οθόνη την πλήρη εικόνα ή να την καλύψει μαυρίζοντας την οθόνη, ανά πάσα στιγμή και με εύκολο τρόπο μέσω σχετικής ρύθμισης από το καταγραφικό, ακόμα και αν για τη ρύθμιση αυτή χρειαζόταν η συνδρομή του εγκαταστάτη των καμερών, συνιστά επεξεργασία προσωπικών δεδομένων η οποία παραβιάζει τις διατάξεις του ΓΚΠΔ. Περαιτέρω, η ύπαρξη και μόνο καμερών σε χώρους για τους οποίους έχει ήδη κριθεί με την υπ’ αριθμ. 1/2011 Οδηγία της Αρχής ότι απαγορεύεται εγκατάσταση και λειτουργία συστημάτων βιντεοεπιτήρησης, όπως χώρους γραφείων και εστίασης, προσβάλλει υπέρμετρα τα δικαιώματα των εργαζομένων και παραβιάζει τις διατάξεις του ΓΚΠΔ.

Η Αρχή επέβαλε σε εταιρεία ιδιωτικού ΙΕΚ πρόστιμο 5.000 ευρώ για μη νόμιμη επεξεργασία δεδομένων και μη ορθή ανταπόκριση σε δικαιώματα πρόσβασης και διαγραφής. Ο καταγγέλλων αφού έλαβε μήνυμα ηλεκτρονικού ταχυδρομείου από την εταιρεία άσκησε τα δικαιώματά του ζητώντας να ενημερωθεί για τη νομιμότητα των ενεργειών της εταιρείας και επίσης τη διαγραφή των στοιχείων. Η εταιρεία δεν απάντησε στον καταγγέλλοντα. Μετά την παρέμβαση της Αρχής, η εταιρεία δήλωσε ότι είχε διαγράψει τα στοιχεία του καταγγέλλοντα, χωρίς να τον ενημερώσει. Τα στοιχεία του καταγγέλλοντα είχαν αποκτηθεί στο πλαίσιο επαφής του με την εταιρεία για άλλο, μη συναφή, σκοπό, ενώ εμπλουτίστηκαν με περαιτέρω πληροφορίες για σκοπό στοχευμένης προώθησης υπηρεσιών. Η Αρχή έκρινε ότι υπήρχε παράβαση των αρχών της νομιμότητας και του περιορισμού του σκοπού, παράβαση του δικαιώματος πρόσβασης και μη ενημέρωση σε σχέση με την ικανοποίηση του δικαιώματος διαγραφής.

Η Αρχή εξέδωσε τη γνωμοδότηση 5/2020, κατόπιν αιτήματος του Υπουργείου Εθνικής Άμυνας, επί σχεδίου νόμου αναφορικά με την επεξεργασία προσωπικών δεδομένων από τις αποστολές των Ενόπλων Δυνάμεων (ΕΔ) εκτός επικράτειας, με κύριο σκοπό τη  συλλογή και περαιτέρω επεξεργασία προσωπικών δεδομένων για την αναγνώριση - αποκάλυψη και ταυτοποίηση ατόμων που συνιστούν απειλή για τις εθνικές και τις συμμαχικές δυνάμεις, καθώς και εν γένει για την άμυνα και ασφάλεια της χώρας.

Η Αρχή, με την εν λόγω Γνωμοδότηση, έκρινε ότι καίτοι το ειδικότερο αντικείμενο του νομοσχεδίου, στον βαθμό που αφορά τον τομέα της εθνικής ασφάλειας, είναι σαφώς εκτός πεδίου εφαρμογής τόσο του ΓΚΠΔ όσο και της Οδηγίας 2016/680, εν τούτοις με το εν λόγω νομοσχέδιο διαφαίνεται η βούληση του εθνικού νομοθέτη να εντάξει εκούσια στο νομικό καθεστώς του ΓΚΠΔ και στην εποπτεία από την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα την σκοπούμενη επεξεργασία και η Αρχή αποτιμά ως θετική των εν λόγω επιλογή του νομοθέτη. Εξάλλου, η επεξεργασία προσωπικών δεδομένων που συντελείται στον τομέα της Εθνικής Άμυνας ουδόλως εκφεύγει συνολικά από το πεδίο εφαρμογής της νομοθεσίας για την προστασία δεδομένων προσωπικού χαρακτήρα.

Βάσει των ανωτέρω, η Αρχή προσδιόρισε συγκεκριμένα σημεία του σχεδίου νόμου τα οποία χρήζουν βελτίωσης ή/και αποσαφήνισης.