Γραφείο Επιτρόπου Προστασίας Δεδομένων Προσωπικού Χαρακτήρα

Υποβλήθηκε στο Γραφείο της Επιτρόπου Γνωστοποίηση Σύστασης και Λειτουργίας Αρχείου/ Έναρξης Επεξεργασίας αναφορικά με την εγκατάσταση και λειτουργία Κλειστού Κυκλώματος Βιντεο-παρακολούθησης (ΚΚΒΠ) σε γραφεία υπαλλήλων της εταιρείας TD Investments Ltd για σκοπούς προστασίας της εταιρείας. Ύστερα από ανταλλαγή απόψεων με την πιο πάνω εταιρεία η Επίτροπος έκρινε ότι η εγκατάσταση ΚΚΒΠ σε γραφεία δεν ήταν νόμιμη και ζήτησε από την εταιρεία να απεγκαταστήσει το σύστημα ΚΚΒΠ από τα γραφεία των υπαλλήλων της, ενώ οι κάμερες που είχαν εγκατασταθεί στα σημεία υποδοχής κρίθηκαν επαρκείς και εξυπηρετούσαν τους σκοπούς για τους οποίους είχαν εγκατασταθεί.

Η εταιρεία ακολούθως επανήλθε με την εισήγηση όπως οι κάμερες στα γραφεία των υπαλλήλων να ενεργοποιούνται κατά τις ώρες 8.00 μ.μ – 7.30 π.μ, ώρες μη εργάσιμες. Η Επίτροπος αφού θεώρησε την πρακτική αυτή νόμιμη έκρινε ότι υπήρξε εντέλει συμμόρφωση εκ μέρους της εταιρείας και την ενημέρωσε ότι δεν θα ληφθούν οποιαδήποτε μέτρα εναντίον της.

Απόφαση

«1. Η εγκατάσταση και λειτουργία ΚΚΒΠ στο χώρο εργασίας και, ειδικότερα, στα γραφεία των υπαλλήλων για τους σκοπούς που επικαλείστε, την προστασία της επιχείρησής σας, θεωρώ ότι είναι υπερβολική σε σχέση με τον επιδιωκόμενο σκοπό, ενώ ο κίνδυνος χρησιμοποίησης των καταγραφέντων δεδομένων για σκοπούς αξιολόγησης της αποδοτικότητας των υπαλλήλων υπό τις περιστάσεις είναι κάτι περισσότερο από ορατός.

2. Έχοντας υπόψη το είδος των εργασιών της εταιρείας σας ως επενδυτικής εταιρείας (ΕΠΕΥ) υποκείμενης στον έλεγχο και την εποπτεία της Επιτροπής Κεφαλαιαγοράς Κύπρου θεωρώ ότι τα συμφέροντά της διασφαλίζονται σε πολύ ικανοποιητικό βαθμό τόσο από το σχετικό νομοθετικό πλαίσιο της πιο πάνω Επιτροπής (βλ. τον περί Επενδυτικών Υπηρεσιών και Δραστηριοτήτων και Ρυθμιζομένων Αγορών Νόμο του 2007, (Νόμος 144(Ι)/2007) και, συγκεκριμένα, τις διατάξεις του άρθρου 127(2)(α) όπου μεταξύ των εξουσιών της Επιτροπής περιλαμβάνεται και η εξουσία της να ζητά κάθε υπάρχουσα καταγραφή της συνδιάλεξης ή ανταλλαγή δεδομένων), όσο και από μία σειρά Οδηγίες που έχει εκδώσει η Επιτροπή. Για σκοπούς προστασίας των αμοιβαίων συμφερόντων της ΕΠΕΥ και του πελάτη αποτελεί πάγια πρακτική, με βάση το οικείο νομοθετικό πλαίσιο, όλων των εταιρειών που παρέχουν επενδυτικές υπηρεσίες η μαγνητοφώνηση και /ή καταγραφή με οποιοδήποτε άλλο μέσο των συνδιαλέξεων των πελατών με τους υπαλλήλους της ΕΠΕΥ. Το προϊόν της μαγνητοφώνησης δύναται να χρησιμοποιηθεί ως αποδεικτικό στοιχείο για την απόδειξη της λήψης της εντολής από την ΕΠΕΥ, καθώς και το περιεχόμενο της εντολής.

3. Θεωρώ ότι η πιο πάνω πρακτική διασφαλίζει τα συμφέροντά της εταιρείας από τους ενδογενείς κινδύνους που τυχόν προκύπτουν από καταχρηστική και/ή αθέμιτη άσκηση των καθηκόντων των υπαλλήλων της εταιρείας σας.

4. Εξάλλου στην τελευταία σας επιστολή αναφέρετε τα ακόλουθα: «Generally in the Industry we are in (Investment Firms) it is standard practice to protect the workplace against any possible unauthorized use of workstations, computers etc and also protect against any possible theft of company property in general. These protections are possibly both from employees or third parties.» και «We confirm we have not had any such incidents in Cyprus but we would like to be pro- active rather than reactive».

5. Χρήσιμη αναφορά σχετικά με την εγκατάσταση και λειτουργία των συστημάτων ΚΚΒΠ στους χώρους εργασίας, πρώτιστα σε σχέση με την Αρχή της Αναλογικότητας, όπως απορρέει από την Οδηγία 95/46 ΕΚ και την ισχύουσα στην Κύπρο νομοθεσία, μπορεί να γίνει στις πιο κάτω αρχές και πολιτική όπως καθορίζονται από την Οδηγία της Ελληνικής Αρχής Προστασίας Προσωπικών Δεδομένων 115/2001, τις Αποφάσεις της Ελληνικής Αρχής Προστασίας Προσωπικών Δεδομένων, την Οδηγία Επιτρόπου Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Κύπρου) στον Τομέα των Εργασιακών Σχέσεων, τη Γνώμη 4/2004 της Ομάδας Εργασίας του Άρθρου 29 της Οδηγίας 95/46 ΕΚ, τον Κώδικα για ΚΚΒΠ του Άγγλου Επιτρόπου Προστασίας Δεδομένων και το έγγραφο για την Βιντεοεπιτήρηση του Ευρωπαίου Επόπτη για την Προστασία των Προσωπικών Δεδομένων:

5.1 Οι εργαζόμενοι δεν εγκαταλείπουν το δικαίωμα για προστασία της ιδιωτικής τους ζωής στο κατώφλι της εισόδου του χώρου εργασίας τους κάθε πρωί .

5.2 Σε κάθε περίπτωση η χρήση συστημάτων ΚΚΒΠ θα πρέπει να συνάδει με την Αρχή της Αναλογικότητας, δηλαδή τα εν λόγω συστήματα θα πρέπει να είναι αναγκαία / πρόσφορα σε σχέση με τον επιδιωκόμενο σκοπό λαμβάνοντας υπόψη το χώρο στον οποίο εγκαθίστανται.

5.3 Ο διαρκής έλεγχος των χώρων εργασίας με μέσα παρακολούθησης προσβάλλει την αξιοπρέπεια και ιδιωτικότητα των εργαζομένων. Η βαρύτητα της προσβολής επιβάλλει όπως ο διαρκής έλεγχος γίνεται μόνο εφόσον αυτό δικαιολογείται από τη φύση και τις ιδιαίτερες συνθήκες εργασίας και είναι απαραίτητος για την προστασία της υγείας και της ασφάλειας των εργαζομένων και της ασφάλειας των χώρων εργασίας (στρατιωτικές εγκαταστάσεις, τράπεζες, εργοστάσια με εγκαταστάσεις υψηλού κινδύνου).

5.4 Η παρακολούθηση ρουτίνας των εργαζομένων μέσω ΚΚΒΠ θα μπορούσε να δικαιολογηθεί και επιτραπεί στις περιπτώσεις όπου ενέχονται συγκεκριμένοι κίνδυνοι ασφάλειας, οι οποίοι δεν θα μπορούσαν να αντιμετωπιστούν με λιγότερο επαχθή ή ηπιότερα για την ιδιωτική ζωή μέσα.

5.5 Η Αρχή της Αναλογικότητας συνεπάγεται ότι τα εν λόγω συστήματα ενδέχεται να χρησιμοποιηθούν σε περίπτωση που η λήψη άλλων μέτρων πρόληψης, προστασίας και/ή ασφάλειας φυσικού ή και λογικού χαρακτήρα, τα οποία δεν περιλαμβάνουν βιντεοσκόπηση, αποδεικτούν ανεπαρκή ή μη εφαρμόσιμα για την επίτευξη των πιο πάνω στόχων. Με άλλα λόγια είναι αναγκαίο να εφαρμόζεται σε κάθε περίπτωση η αρχή της καταλληλότητας σε σχέση με τον επιδιωκόμενο σκοπό, γεγονός που συνεπάγεται μία «υποχρέωση ελάχιστης παρέμβασης» εκ μέρους του υπεύθυνου επεξεργασίας.

5.6 Τα συστήματα βιντεοεπιτήρησης που έχουν ως άμεσο στόχο τον εξ’αποστάσεως έλεγχο της ποιότητας και ποσότητας των εργασιακών δραστηριοτήτων δεν πρέπει κατά κανόνα να επιτρέπονται.

5.7 Οι εργοδότες δεν πρέπει να χρησιμοποιούν μέσα παρακολούθησης των εργαζομένων σε χώρους όπου οι εργαζόμενοι έχουν λογική προσδοκία για προστασία της ιδιωτικής τους ζωής, όπως για παράδειγμα χώροι όπως τουαλέτες και γραφεία εργαζομένων.

5.8 Σχετικό είναι το έγγραφο για την Βιντεοεπιτήρηση που εξέδωσε ο Ευρωπαίος Επόπτης για την Προστασία των Προσωπικών Δεδομένων σύμφωνα με το οποίο οι ισχυρισμοί ότι η εγκατάσταση συναφών συστημάτων ως ένα αποτελεσματικό εργαλείο για σκοπούς αντιμετώπισης συγκεκριμένων κινδύνων θα πρέπει σε κάθε περίπτωση να τεκμηριώνονται , το ίδιο και ότι δεν υπάρχουν άλλα μέσα λιγότερο επαχθή για την προστασία της ιδιωτικής ζωής που θα μπορούσαν να εξυπηρετήσουν τους σκοπούς αυτούς, καθώς επίσης και ότι τα οφέλη από την εγκατάσταση των συστημάτων αυτών υπερτερούν από οποιαδήποτε τυχόν δυσμενή επακόλουθα. Η λήψη άλλων λιγότερο επαχθών μέτρων τέτοιων όπως: έλεγχοι από προσωπικό ασφαλείας, συστήματα συναγερμού, συστήματα ελέγχου πρόσβασης, κ.α, θα πρέπει να μελετάται προσεκτικά και αν αυτά αποδειχτούν ανεπαρκή τότε ενδείκνυται η λύση της βιντεοεπιτήρησης.

5.9 Όσον αφορά το χρόνο της βιντεοπαρακολούθησης αν το σύστημα έχει εγκατασταθεί για σκοπούς ασφάλειας τότε ο χρόνος λειτουργίας του θα πρέπει να περιορίζεται κατά τις μη εργάσιμες ώρες, δηλαδή κατά το χρόνο όπου μπορεί να παρουσιαστούν περιστατικά κλοπής.

5.10 Χώροι με υψηλή προσδοκία προστασίας της ιδιωτικής ζωής τέτοιοι όπως γραφεία με ένα ή περισσότερους υπαλλήλους, χώροι ανάπαυσης, τουαλέτες και αποδυτήρια δεν θα πρέπει να παρακολουθούνται.

6. Ενόψει των πιο πάνω αναφορών δυνατό να εξαχθούν τα πιο κάτω συμπεράσματα:

6.1 Ο εργοδότης έχει υποχρέωση πριν να εγκαταστήσει ένα συναφές σύστημα παρακολούθησης να σταθμίσει / ισοζυγίσει (strike the balance) την αναγκαιότητα για προστασία της ιδιωτικής ζωής των εργαζομένων στην εταιρεία του με τη διασφάλιση των συμφερόντων και προστασίας των περιουσιακών αγαθών της εταιρείας και του εξοπλισμού της από κάθε πιθανό κίνδυνο έχοντας πάντοτε υπόψη ότι ο διαρκής έλεγχος των χώρων εργασίας με μέσα παρακολούθησης προσβάλλει την αξιοπρέπεια και την ιδιωτικότητα των εργαζομένων. Η βαρύτητα της προσβολής αυτής επιβάλλει όπως ο διαρκής έλεγχος γίνεται μόνο εφόσον αυτό δικαιολογείται από την ιδιαίτερη φύση και τις συνθήκες της εργασίας.

6.2 Η συγκατάθεση των εργαζομένων στην οποία αναφέρεστε στην πιο πάνω επιστολή σας σχετικά με την εγκατάσταση του ΚΚΒΠ στα γραφεία τους τότε μόνο μπορεί να αποτελέσει τη νομική βάση για την επεξεργασία των προσωπικών τους δεδομένων αν είναι ελεύθερη. Ελεύθερη νοείται η συγκατάθεση η οποία μπορεί οποτεδήποτε να αποσυρθεί χωρίς ο υπάλληλος να έχει οποιεσδήποτε επιπτώσεις. Ακόμη όμως και στην περίπτωση αυτή αν η λειτουργία του ΚΚΒΠ προσκρούει σε μία από τις βασικές αρχές επεξεργασίας προσωπικών δεδομένων του άρθρου 4 του περί Επεξεργασίας Δεδομένων Προσωπικού Χαρακτήρα (Προστασία του Ατόμου) Νόμου του 2001 (Νόμος 138(Ι)/2001), όπως τροποποιήθηκε (στο εξής «ο Νόμος»), όπως είναι για παράδειγμα η Αρχή της Αναγκαιότητας και της Αναλογικότητας της επεξεργασίας τότε η τυχόν ληφθείσα συγκατάθεση δεν αίρει την παρανομία αυτή και, ως εκ τούτου, συναφής επεξεργασία προσωπικών δεδομένων δεν είναι νόμιμη.

7. Ενόψει όλων των πιο πάνω έχω καταλήξει ότι η εγκατάσταση και λειτουργία του ΚΚΒΠ στα γραφεία των υπαλλήλων της εταιρείας σας δεν συνάδει και/ή αντίκειται στην Αρχή της Αναλογικότητας του άρθρου 4(1)(γ) του Νόμου.

7.1 Ενόψει της πιο πάνω κατάληξης και με βάση τις εξουσίες που μου παρέχουν οι διατάξεις του άρθρου 25(1)(α) του Νόμου σας παρέχεται αποκλειστική προθεσμία δύο μηνών για άρση της παράβασης κατά την οποία θα πρέπει να απεγκαταστήσετε το σύστημα ΚΚΒΠ από τα γραφεία των υπαλλήλων σας. Οι κάμερες που έχετε εγκαταστήσει στα σημεία υποδοχής θεωρώ ότι είναι επαρκείς και εξυπηρετούν τους σκοπούς για τους οποίους τις έχετε εγκαταστήσει.

7.2 Σας πληροφορώ, επίσης, ότι ενόψει της πιο πάνω κατάληξής μου δεν θα εξεταστεί το αίτημά σας για χορήγηση άδειας διαβίβασης και, ως εκ τούτου, τυχόν διαβίβαση των δεδομένων εκ μέρους της εταιρείας σας στη Ρωσία θα συνιστά παράβαση των διατάξεων του Νόμου.

Παρακαλώ όπως με ενημερώσετε για όλες τις σχετικές ενέργειές σας και προβείτε σε ανάλογη διαμόρφωση της Γνωστοποίησης που έχετε υποβάλει στο Γραφείο μου εντός της ταχθείσας προθεσμίας.»

Τελική έκβαση/κατάληξη της υπόθεσης ύστερα από νέα εισήγηση της καθ’ου η Απόφαση εταιρείας:

«Παρόλο που στην ταυτάριθμη επιστολή μας ημερομηνίας 19 Ιουλίου 2010 σας είχαμε πληροφορήσει σχετικά με την κατάληξη της Επιτρόπου Προστασίας Δεδομένων Προσωπικού Χαρακτήρα ως ακολούθως:

«7. Ενόψει όλων των πιο πάνω έχω καταλήξει ότι η εγκατάσταση και λειτουργία του ΚΚΒΠ στα γραφεία των υπαλλήλων της εταιρείας σας δεν συνάδει και/ή αντίκειται στην Αρχή της Αναλογικότητας του άρθρου 4(1)(γ) του Νόμου.

7.1 Ενόψει της πιο πάνω κατάληξης και με βάση τις εξουσίες που μου παρέχουν οι διατάξεις του άρθρου 25(1)(α) του Νόμου σας παρέχεται αποκλειστική προθεσμία δύο μηνών για άρση της παράβασης κατά την οποία θα πρέπει να απεγκαταστήσετε το σύστημα ΚΚΒΠ από τα γραφεία των υπαλλήλων σας. Οι κάμερες που έχετε εγκαταστήσει στα σημεία υποδοχής θεωρώ ότι είναι επαρκείς και εξυπηρετούν τους σκοπούς για τους οποίους τις έχετε εγκαταστήσει,

ενέργειες στις οποίες έπρεπε να προβείτε για σκοπούς συμμόρφωσης με τον περί Επεξεργασίας Δεδομένων Προσωπικού Χαρακτήρα (Προστασία του Ατόμου) Νόμου του 2001 (Νόμος 138(Ι)/2001), όπως τροποποιήθηκε (στο εξής «ο Νόμος»)»,

εντούτοις η Επίτροπος θεωρεί ικανοποιητικές τις ενέργειές σας σύμφωνα με τις οποίες το ΚΚΒΠ στα γραφεία των υπαλλήλων θα ενεργοποιείται και /ή θα λειτουργεί μόνο κατά τις ώρες 8.00 μ.μ – 7.30 π.μ, ώρες μη εργάσιμες. Η πρακτική αυτή θεωρούμε ότι εξυπηρετεί τους σκοπούς για τους οποίους έχετε εγκαταστήσει το ΚΚΒΠ που είναι η ασφάλεια της εταιρείας σας.

Σημειώνεται ότι η επιστολή σας θα αποτελέσει αναπόσπαστο μέρος της Γνωστοποίησης που έχετε υποβάλει και η οποία διαμορφώνει τόσο την παράγραφο «Θ10» της Γνωστοποίησης «Η λήψη από τις κάμερες είναι περιοδική /λειτουργεί ανά τακτά χρονικά διαστήματα. Προσδιορίστε:» στα γραφεία των υπαλλήλων ως η παράγραφος 2 της επιστολής σας «μόνο κατά τις ώρες 8.00 μ.μ – 7.30 π.μ, ώρες μη εργάσιμες», όσο και την παράγραφο «Η» αυτής που αφορά τους Αποδέκτες των δεδομένων ως η παράγραφος 3 της επιστολής σας «Δεν θα γίνεται διαβίβαση δεδομένων».

Ενόψει όσων έχουν αναφερθεί πιο πάνω έχουμε την άποψη ότι υπήρξε συμμόρφωση και, ως εκ τούτου, δεν θα προβούμε σε οποιαδήποτε ενέργεια εναντίον της εταιρείας σας.».

ΑΠΟΦΑΣΗ: Εγκατάσταση και Λειτουργία Κλειστού Κυκλώματος Βιντεο-παρακολούθησης (ΚΚΒΠ) σε γραφεία υπαλλήλων

Πίσω στην προηγούμενη σελίδα