By Kleio Kondi & Panagiota Papageorgiou

The Hellenic Data Protection Authority imposed a fine of 30.000 euros on a port management company for infringing the right of access to video surveillance system material.

Below you may find the full article in Greek

GDPR: Πρόστιμο 30.000 ευρώ για μη ικανοποίηση του δικαιώματος πρόσβασης σε υλικό συστήματος βιντεοεπιτήρησης

Της Κλειούς Κόνδη και της Παναγιώτας Παπαγεωργίου

Η ελληνική Αρχή Προστασίας Δεδομένων επέβαλε πρόστιμο σε εταιρία  διαχείρισης λιμένα  λόγω παραβίασης του δικαιώματος πρόσβασης κατ’ άρθρο 15.1 σε συνδυασμό με το αρ. 12.1,2  του Γενικού Κανονισμού Προστασίας Δεδομένων και του αρ. 13.1 της Οδηγίας 1/2011 (δικαίωμα πρόσβασης και υποχρέωση απάντησης στα αιτήματα εντός συγκεκριμένης προθεσμίας).

Ειδικότερα, η  εταιρεία με την ιδιότητά της ως υπεύθυνης επεξεργασίας αρνήθηκε να ικανοποιήσει το δικαίωμα πρόσβασης του υποκειμένου σε υλικό από σύστημα βιντεοεπιτήρησης, που αφορούσε καταγεγραμμένο συμβάν αυτοκινητιστικού ατυχήματος σε χώρο ευθύνης της.

Αρχικά, ο υπεύθυνος επεξεργασίας αποκρίθηκε εμπρόθεσμα, αρνήθηκε ωστόσο την ικανοποίηση του δικαιώματος, καθώς επικαλέστηκε διαδικασία συμμόρφωσης με τον Κανονισμό και την ανάγκη έκδοσης εισαγγελική ή δικαστικής εντολής για χορήγηση του υλικού. Ενώπιον της Αρχής και ενώ στο ενδιάμεσο διάστημα δεν υπήρξε ανταπόκριση στα επανειλημμένα αιτήματα του υποκειμένου,  ο υπεύθυνος επεξεργασίας επικαλέστηκε για πρώτη φορά ότι τα δεδομένα αυτά είχαν ήδη διαγραφεί κατά τον χρόνο υποβολής του πρώτου αιτήματος.

Η Αρχή διαπίστωσε ότι στην πραγματικότητα τα επίδικα δεδομένα εικόνας δεν είχαν διαγραφεί και διατηρούνταν εν γνώσει του υπευθύνου επεξεργασίας, καθώς ο τελευταίος δεν προέβη σε σχετική ενημέρωση του υποκειμένου περί της διαγραφής του σχετικού υλικού. Άλλωστε, σε σχέση με τον υποτιθέμενο χρόνο διατήρησης των δεδομένων ο υπεύθυνος επεξεργασίας δεν προσκόμισε ενώπιον της Αρχής κανένα αποδεικτικό  (πχ Πολιτική Εγκατάστασης και Λειτουργίας  Συστήματος Βιντεοεπιτήρησης ή  Πολιτικής Διατήρησης) που να τεκμηριώνει τους ισχυρισμούς του.

Σε συνέχεια των ανωτέρω, η Αρχή επέβαλε πρόστιμο ύψους 30.000 ευρώ λαμβάνοντας ιδιαίτερα υπόψη ότι ο υπεύθυνος επεξεργασίας κατά ρητή παραδοχή του βρισκόταν ακόμη σε διαδικασία συμμόρφωσης με τον Κανονισμό, ότι δεν ικανοποίησε το δικαίωμα κατόπιν συνειδητής επιλογής  και χωρίς νόμιμη αιτία, ενώ δεν ανταποκρίθηκε στα επανειλημμένα αιτήματα του καταγγέλλοντος αλλά και εν γένει δεν συνεργάστηκε με την Αρχή.

Συμπεράσματα

• Η εν λόγω απόφαση αναδεικνύει τη σημασία ικανοποίησης των δικαιωμάτων των υποκειμένων. Οι εμπρόθεσμες απαντήσεις, καθώς και οι ανάλογες ενημερώσεις που πρέπει να χορηγούνται στα υποκείμενα ακόμα και σε περίπτωση μη ουσιαστικής ικανοποίησης των αιτημάτων συνιστούν βασική υποχρέωση των υπευθύνων επεξεργασίας. Οι σχετικές επιπτώσεις σε περίπτωση παραβίασης πυροδοτούνται ακόμα και από μία μόλις καταγγελία ενός υποκειμένου.
• Η ολοκλήρωση των έργων συμμόρφωσης των υπόχρεων από τον Κανονισμό επανέρχεται πιο επίκαιρη από ποτέ, καθώς τυχόν παραλείψεις και κενά αποτυπώνονται στη λειτουργία και τις διαδικασίες των υπευθύνων επεξεργασίας και επισύρουν ανάλογα πρόστιμα.