Η Αρχή απηύθυνε αυστηρή προειδοποίηση προς την εταιρεία «Αθήναιον Ξενοδοχειακές και Τουριστικές Επιχειρήσεις Α.Ε.» και της ζήτησε, μεταξύ άλλων, να αφαιρέσει όλες τις κάμερες από τους διαδρόμους των ορόφων και των υπογείων, από τις εισόδους όλων των ορόφων πλην του ισογείου, από τα διάφορα κλιμακοστάσια του ξενοδοχείου, καθώς και από τον χώρο του γυμναστηρίου και τον χώρο της πισίνας. Ζήτησε όπως οι κάμερες εξωτερικά του ξενοδοχείου να επανατοποθετηθούν και να τροποποιηθεί η εστίαση τους, έτσι ώστε να μην έχουν τη δυνατότητα να λαμβάνουν εικόνα από πρόσωπα και οχήματα τα οποία βρίσκονται στις γύρω οδούς και στα πεζοδρόμια. Απαίτησε, τέλος, όπως η χρήση του κλειστού κυκλώματος τηλεόρασης να γίνεται αποκλειστικά από άτομα που απασχολούνται στο τμήμα ασφαλείας του ξενοδοχείου που διαθέτουν αντίστοιχα επαγγελματικά προσόντα και οι οθόνες παρακολούθησης να βρίσκονται όλες στον ίδιο χώρο (control room).

5.3. Στην Απόφαση της Αρ. 4/2009, με ημερομηνία 27/01/2009, σχετικά με την περίπτωση λειτουργίας κλειστού κυκλώματος τηλεόρασης σε μικροβιολογικό εργαστήριο, το οποίο είχε εγκαταστήσει το κύκλωμα σε χώρους εργαζομένων, όπως σε εργαστήρια και στη γραμματεία, η Ελληνική Αρχή Προστασίας Προσωπικών Δεδομένων έκρινε ότι η διασφάλιση της ποιότητας δεν μπορεί να αποτελεί νόμιμο σκοπό, στη συγκεκριμένη περίπτωση. Το εν λόγω εργαστήριο είχε δηλώσει ως σκοπό της επεξεργασίας την ασφάλεια της εργασίας, των εργαστηριακών δοκιμών, του εξοπλισμού και των εγκαταστάσεων του και επιπλέον την διασφάλιση της ποιότητας. Ο υπεύθυνος επεξεργασίας, που αποτελεί τον εργοδότη, συλλέγει και επεξεργάζεται περισσότερα δεδομένα από εκείνα που απαιτούνται για την επίτευξη των σκοπών της επεξεργασίας, καθώς η χρήση των συγκεκριμένων μέσων οδηγεί στην παρακολούθηση των εργαζομένων κατά την ώρα εργασίας τους. Οι σκοποί που επιδιώκει ο υπεύθυνος επεξεργασίας μπορεί αντιθέτως να επιτευχθούν με ηπιότερα μέτρα όπως, για παράδειγμα, με την πρόσληψη κατάλληλα εκπαιδευμένου προσωπικού ή με την παρουσία ενός επόπτη στους χώρους εργασίας.

5.4. Σε κάθε επεξεργασία προσωπικών δεδομένων μέσω βιντεο-παρακολούθησης πρέπει να ελέγχεται κατά πόσο ο επιδιωκόμενος σκοπός επεξεργασίας μπορεί να επιτευχθεί χρησιμοποιώντας μέσα λιγότερο επαχθή και προσβλητικά της προσωπικότητας του ατόμου, καθώς και σε ποιο βαθμό η χρήση των συγκεκριμένων μέσων (καμερών) επιτυγχάνει τον εν λόγω σκοπό.

5.5. Στην υπό εξέταση περίπτωση έχει δηλωθεί ως σκοπός της επεξεργασίας η ασφάλεια προσώπων και ιδιοκτησίας και η πυρασφάλεια. Οι κάμερες όμως που είναι τοποθετημένες στους χώρους εστίασης, στα bar, μέσα στις αίθουσες δεξιώσεων/ συνεδριάσεων, γύρω από τις πισίνες και στη κουζίνα, δεν φαίνεται να εξυπηρετούν στην αποτροπή των κλοπών/ διαρρήξεων αφού υπάρχουν ήδη κάμερες στις εισόδους, στους διαδρόμους, σε όλες τις εξόδους κινδύνου, στην υποδοχή και στο λόμπι, οι οποίες είναι εκ των πραγμάτων πιο αποτελεσματικές. Αντιθέτως οι κάμερες στους χώρους εστίασης, στις αίθουσες δεξιώσεων, γύρω από τις πισίνες και στην κουζίνα παραβιάζουν το δικαίωμα προστασίας της ιδιωτικής ζωής των πελατών και των εργαζομένων και τα μεμονωμένα περιστατικά κλοπών που έχουν γίνει στο παρελθόν δεν μπορούν να δικαιολογήσουν το υπέρτερο έννομο συμφέρον του ξενοδοχείου έναντι του δικαιώματος προστασίας της ιδιωτικής ζωής των πελατών και των εργαζομένων. Παρόλο που οι πελάτες ή / και το προσωπικό βρίσκονται σε χώρο εξυπηρέτησης κοινού και σε δημόσια θέα (π.χ. σε χώρους εστίασης) δεν αναμένουν ότι θα παρακολουθούνται με κάμερες και θα καταγράφεται η κάθε τους κίνηση.

5.6. Στην απόφαση του, το Ευρωπαϊκό Δικαστήριο των Ανθρωπίνων Δικαιωμάτων (απόφαση Καρολίνα του Ανόβερου κατά Γερμανίας, 24.06.2004) έκρινε ότι στην έννοια της ιδιωτικότητας εμπίπτουν και συμπεριφορές που ακολουθούνται σε δημόσιο χώρο και δικαίωσε την Καρολίνα του Ανόβερου, ανατρέποντας μάλιστα αντίθετη απόφαση του Συνταγματικού Δικαστηρίου της Γερμανίας. Επρόκειτο συγκεκριμένα για τη δημοσίευση φωτογραφιών της, οι οποίες την αποθανάτιζαν όχι απλώς να περπατά στο δρόμο ή να ψωνίζει, αλλά να γευματίζει συνοδευόμενη σε χώρο όπου ήταν αντικειμενικά προφανές ότι ήθελε να αποφύγει τα αδιάκριτα βλέμματα των τρίτων.

5.7. Όσον αφορά το σκοπό της πυρασφάλειας που είχε δηλωθεί στη Γνωστοποίηση σημειώθηκε ότι υπάρχουν άλλοι τρόποι προστασίας έναντι της φωτιάς που είναι πιο αποτελεσματικοί, όπως για παράδειγμα τα συστήματα πυρανίχνευσης τα οποία, εξ όσων παρατήρησαν οι Λειτουργοί του Γραφείου μου στις 23/03/2011, ήταν ήδη εγκατεστημένα σε όλους τους χώρους του ξενοδοχείου. Αναφορικά με τις πισίνες, η προστασία των πελατών στους χώρους αυτούς μπορεί να επιτευχθεί χρησιμοποιώντας μέσα λιγότερο επαχθή και προσβλητικά της προσωπικότητας του ατόμου, όπως για παράδειγμα με την πρόσληψη κατάλληλα εκπαιδευμένου προσωπικού ή με την παρουσία ενός επόπτη στους χώρους της πισίνας.

5.8. Στη ίδια επιστολή ζητήθηκε από τον καθ’ου το παράπονο να αφαιρέσει τις 25 από τις 60 κάμερες που είχε εγκατεστημένες στα εστιατόρια, στα bar, μέσα στις αίθουσες δεξιώσεων, στις κουζίνες, στα ζαχαροπλαστεία και στις πισίνες και του ζητήθηκε περαιτέρω να προσαρμόσει 3 από τις κάμερες που είχε εγκατεστημένες στους εξωτερικούς χώρους ώστε να μην λαμβάνουν εικόνες των εισόδων ή/ και το εσωτερικό γειτονικών κτιρίων και καταστημάτων.

5.9. Του δόθηκε προθεσμία μέχρι τις 31/5/2011 για να συμμορφωθεί και να ενημερώσει το Γραφείου μου σχετικά. Έκτοτε δεν λήφθηκε καμία απάντηση, παρά τις δύο υπενθυμίσεις που του είχαν σταλεί στις 9/6/2011 και 13/7/2011.

6. Σύμφωνα με τις διατάξεις του άρθρου 4(1)(γ) του περί Επεξεργασίας Δεδομένων Προσωπικού Χαρακτήρα (Προστασία του Ατόμου) Νόμου του 2001 (Νόμος 138(Ι)/2001), όπως τροποποιήθηκε (στο εξής «ο Νόμος»), ο υπεύθυνος επεξεργασίας έχει υποχρέωση να διασφαλίζει ότι τα δεδομένα προσωπικού χαρακτήρα είναι συναφή, πρόσφορα και όχι περισσότερα από ότι κάθε φορά απαιτείται ενόψει των σκοπών της επεξεργασίας.

7. Σε κάθε επεξεργασία προσωπικών δεδομένων μέσω βιντεο-παρακολούθησης πρέπει να ελέγχεται κατά πόσο ο επιδιωκόμενος σκοπός επεξεργασίας μπορεί να επιτευχθεί χρησιμοποιώντας μέσα λιγότερο επαχθή και προσβλητικά της προσωπικότητας του ατόμου, καθώς και σε ποιο βαθμό η χρήση των συγκεκριμένων μέσων (καμερών) επιτυγχάνει τον εν λόγω σκοπό.

8. Σε προηγούμενη απόφαση του Γραφείου μου με Αρ. Φακ. 11.17.001. Α/Π 48/2010 και ημερομηνία 10/02/2011 σχετικά με την εγκατάσταση και λειτουργία Κλειστού Κυκλώματος Βίντεο-παρακολούθησης σε γραφεία Τράπεζας, το οποίο λάμβανε εικόνες των εργαζομένων επί μονίμου βάσεως, κατέληξε ότι η τοποθέτηση των πέντε καμερών σε ύψος μισού μέτρου πάνω από τα γραφεία των υπαλλήλων αποτελούσε παράβαση του άρθρου 4(1)(γ) του Νόμου, επειδή ο υπεύθυνος επεξεργασίας/ η Τράπεζα συνέλεγε περισσότερα δεδομένα από όσα απαιτούνται για την ικανοποίηση του σκοπού της επεξεργασίας. Με βάση τις εξουσίες που παρέχει στον Επίτροπο το άρθρο 25 επιβλήθηκε στη Τράπεζα η κύρωση της προειδοποίησης με αποκλειστική προθεσμία για άρση της παράβασης. Η Τράπεζα συμμορφώθηκε με την απόφαση του Γραφείου μου εντός της τακτής προθεσμίας και αφαίρεσε τις κάμερες.

9. Από τα πορίσματα του επιτόπιου ελέγχου που διενέργησαν οι λειτουργοί του Γραφείου μου στις 23/03/2011 και για τους λόγους που αναφέρθηκαν στην επιστολή του Γραφείου μου με ημερομηνία 28/4/2011 πληροφορήθηκε ο καθ’ου το παράπονο ότι, εκ πρώτης όψεως, υπήρχε παράβαση του άρθρου 4(1)(γ) του Νόμου από την εγκατάσταση καμερών (ΚΚΒΠ) στα εστιατόρια, στα bar, μέσα στις αίθουσες δεξιώσεων, στις κουζίνες, στα ζαχαροπλαστεία και στις πισίνες αφού ο υπεύθυνος επεξεργασίας συλλέγει περισσότερα δεδομένα από ότι είναι απαραίτητα για την εκπλήρωση του σκοπού της επεξεργασίας και δεδομένου ότι υπάρχουν άλλοι τρόποι για την επίτευξη των σκοπών που επιδιώκει, οι οποίοι είναι λιγότερο επαχθείς και προσβλητικοί για τη προσωπικότητα του ατόμου.

10. Με νέα επιστολή του Γραφείου μου ημερομηνίας 13/10/2011 πληροφορήθηκε ο καθ’ου το παράπονο σχετικά με τη διαπίστωση ότι υπήρξε παράβαση του άρθρου 4(1)(γ) του Νόμου (αρχή της αναλογικότητας), του παρασχέθηκε η ευκαιρία να ασκήσει το δικαίωμα ακροάσεως και να υποβάλει ενώπιον του Επιτρόπου εντός νέας τακτής προθεσμίας τους λόγους για τους οποίους πιστεύει ότι δεν θα πρέπει να του επιβληθεί οποιαδήποτε διοικητική κύρωση.
Ο καθ’ ου το παράπονο δεν έχει υποβάλει μέχρι σήμερα οποιεσδήποτε θέσεις / απόψεις.

11. Βάσει των διατάξεων του άρθρου 25(1) και (2) του Νόμου «(1) Ο Επίτροπος μπορεί να επιβάλει στους υπευθύνους επεξεργασίας ή στους τυχόν εκπροσώπους τους τις ακόλουθες διοικητικές κυρώσεις, για παράβαση των υποχρεώσεών τους που απορρέουν από τον παρόντα Νόμο και από κάθε άλλη ρύθμιση που αφορά την προστασία του ατόμου από την επεξεργασία δεδομένων προσωπικού χαρακτήρα:

(α) Προειδοποίηση, με αποκλειστική προθεσμία για άρση της παράβασης,
(β) χρηματική ποινή μέχρι €8540,
(γ) προσωρινή ανάκληση άδειας,
(δ) οριστική ανάκληση άδειας,
(ε) καταστροφή αρχείου ή διακοπή επεξεργασίας και καταστροφή των σχετικών δεδομένων.

(2) Οι υπό στοιχεία (β), (γ), (δ) και (ε) διοικητικές κυρώσεις που αναφέρονται στο εδάφιο (1) επιβάλλονται πάντοτε ύστερα από ακρόαση του υπεύθυνου επεξεργασίας ή του εκπροσώπου του. Είναι ανάλογες προς τη βαρύτητα της παράβασης που καταλογίζεται. Οι υπό στοιχεία (γ), (δ) και (ε) διοικητικές κυρώσεις επιβάλλονται σε περιπτώσεις ιδιαίτερα σοβαρής ή καθ’ υποτροπήν παράβασης. Χρηματική ποινή δύναται να επιβληθεί σωρευτικά και με τις υπό στοιχεία (γ), (δ) και (ε) κυρώσεις. Αν επιβληθεί η κύρωση της καταστροφής του αρχείου, για την καταστροφή ευθύνεται ο υπεύθυνος επεξεργασίας αρχείου, στον οποίο δύναται να επιβληθεί και χρηματική ποινή για μη συμμόρφωση.».

12.1. Με βάση τα όσα ανάφερα πιο πάνω και με βάση τις εξουσίες που μου παρέχουν οι διατάξεις του άρθρου 25 του Νόμου αποφάσισα την επιβολή στον καθ’ου το παράπονο /KENNEDY HOTELS LTD, υπό την ιδιότητα του ως υπεύθυνου επεξεργασίας του αρχείου, των ακόλουθων διοικητικών κυρώσεων σωρευτικά:

(1) χρηματική ποινή €3000 (τρεις χιλιάδες ευρώ),

(2) διακοπή της επεξεργασίας και καταστροφή των σχετικών δεδομένων.

12.2. Κατά την επιμέτρηση της χρηματικής ποινής έλαβα υπόψη μου την έλλειψη συνεργασίας του καθ’ου το παράπονο, ο οποίος δεν έχει απαντήσει σε καμία από τις επιστολές μου και ούτε έχει συμμορφωθεί με τις υποδείξεις μου και το γεγονός ότι με τη μη απόσυρση των καμερών από τους χώρους που ανάφερα στην παράγραφο 5.8. πιο πάνω, συνεχίζεται μέχρι σήμερα η καταγραφή των προσωπικών δεδομένων τόσο των πελατών όσο και των εργαζομένων.

12.3. Η διακοπή της επεξεργασίας και η καταστροφή των σχετικών δεδομένων αφορά την καταγραφή των δεδομένων που γίνεται μέσω των 25 καμερών που είναι εγκατεστημένες στα εστιατόρια, στα bar, μέσα στις αίθουσες δεξιώσεων, στις κουζίνες, στα ζαχαροπλαστεία και στις πισίνες και καλείται ο υπεύθυνος επεξεργασίας εντός μιας εβδομάδας από την ημερομηνία επίδοσης της παρούσας απόφασης να αφαιρέσει τις εν λόγω κάμερες, να προσαρμόσει τις κάμερες που είναι τοποθετημένες στο δρόμο πίσω από το ξενοδοχείο ώστε να εστιάζουν μόνο τους χώρους του ξενοδοχείου και να μην λαμβάνουν εικόνες των εισόδων ή/ και το εσωτερικό γειτονικών κτιρίων και καταστημάτων.








Γιάννος Δανιηλίδης
Επίτροπος Προστασίας Δεδομένων
Προσωπικού Χαρακτήρα



28 Νοεμβρίου 2011