Οι κάμερες είχαν τοποθετηθεί στις αποθήκες του καταστήματος για να εντοπίσουν εργαζόμενους που έκλεβαν και ξηλώθηκαν όταν έγιναν αντιληπτές ...
Οι κάμερες είχαν τοποθετηθεί στις αποθήκες του καταστήματος για να εντοπίσουν εργαζόμενους που έκλεβαν και ξηλώθηκαν όταν έγιναν αντιληπτές από αυτούς.
Η υπόθεση ήλθε στη δημοσιότητα στα τέλη του Νοεμβρίου του 2023, όταν σχετικό δημοσίευμα αναφέρθηκε στην εγκατάσταση των καμερών αυτών, ενώ λίγες ημέρες αργότερα, στις 28 Νοεμβρίου, η CNIL δέχθηκε και την καταγγελία εργαζόμενου για την υπόθεση αυτή.
Από τον έλεγχο της γαλλικής αρχής και την έρευνα που αυτή διεξήγαγε προέκυψε πως, πράγματι, η καταγγελλόμενη εταιρεία SAMARITAINE SAS είχε εγκαταστήσει πέντε κρυφές κάμερες στις αποθήκες του πολυκαταστήματος «La Samaritaine», που αυτή λειτουργεί στο Παρίσι. Οι κάμερες αυτές έφεραν την εξωτερική μορφή ανιχνευτών καπνού και λειτουργούσαν αυτόνομα, χωρίς να συνδέονται με το κεντρικό σύστημα βιντεοεπιτήρησης του καταστήματος. Παράλληλα, ήταν εφοδιασμένες με μικρόφωνα, καταγράφοντας και τους διαλόγους των εργαζομένων που βρίσκονταν στον επιτηρούμενο χώρο.
Το σύστημα των κρυφών καμερών παρέμεινε σε λειτουργία για λίγες μόνο εβδομάδας, από τον Αύγουστο 2023 μέχρι και τον Σεπτέμβριο του ίδιου έτους, όταν οι εργαζόμενοι το ανακάλυψαν και το ξήλωσαν, κρατώντας μάλιστα τις SD κάρτες μνήμης του, ενέργεια η οποία οδήγησε και στη διαπίστωση μη δηλωθείσας παραβίασης δεδομένων.
Η γαλλική αρχή ζήτησε πληροφορίες από την εταιρεία ως προς την τεκμηρίωση της νομιμότητας της εγκατάστασης και λειτουργίας του συστήματος αυτού, χωρίς όμως να λάβει καμία ουσιαστική απάντηση. Η εταιρεία επικαλέστηκε την έκτακτη ανάγκη και τον άμεσο κίνδυνο που αντιμετώπισε μέσα στην καρδιά της καλοκαιρινής περιόδου, λόγω περιστατικών κλοπής από τις αποθήκες της, ως τον λόγο για τον οποίο οι κάμερες αυτές τοποθετήθηκαν χωρίς καμία απολύτως νομική διασφάλιση.
Η συλλογή του ήχου αποδόθηκε σε άγνοια ως προς τα χαρακτηριστικά των καμερών, ο τύπος των οποίων επελέγη από έκτακτο ανάδοχο και όχι από τον κύριο συνεργάτη της στα συστήματα βιντεοεπιτήρησης. Η μη καταγραφή του συστήματος στο αρχείο δραστηριοτήτων και η μη ενσωμάτωση αυτού στην εκτίμηση αντικτύπου του υπάρχοντος συστήματος αποδόθηκαν στον «δοκιμαστικό» χαρακτήρα της λειτουργίας των καμερών, σκοπός των οποίων δεν ήταν ευθύς εξαρχής η παρακολούθηση των εργαζομένων, αλλά ο εντοπισμός των κατάλληλων σημείων εγκατάστασης για τις κάμερες που θα τοποθετούνταν μελλοντικά και με την προβλεπόμενη τεκμηρίωση. Η μη συμμετοχή της DPO της εταιρείας στη διαδικασία εγκατάστασης των καμερών ομοίως αποδόθηκε στην περίοδο των συμβάντων: σύμφωνα με την εταιρεία, η DPO δεν ενημερώθηκε ποτέ και δεν παρέσχε ποτέ τη γνώμη της ως προς τη νομιμότητα της εγκατάστασης αυτής διότι βρισκόταν σε καλοκαιρινές διακοπές. Ατυχώς για την εταιρεία, η DPO ρωτήθηκε από την CNIL και απάντησε πως, αν είχε ζητηθεί η γνώμη της, θα είχε απαντήσει αρνητικά.
Η γαλλική αρχή διαπίστωσε πολλαπλές παραβάσεις των απαιτήσεων νομιμότητας του Γενικού Κανονισμού Προστασίας Δεδομένων:
- παραβίαση της αρχής της θεμιτής επεξεργασίας και της λογοδοσίας (άρθρα 5 παρ.1α’ και 5 παρ.2 ΓΚΠΔ). Η CNIL, παραπέμποντας στην απόφαση Lopez Ribalda του ΕΔΔΑ, υπενθύμισε πως η εγκατάσταση κρυφών καμερών δεν είναι σε κάθε περίπτωση παράνομη, προϋποθέτει όμως την εκπλήρωση πολύ αυστηρών κριτηρίων και προϋποθέσεων. Στη συγκεκριμένη περίπτωση, οι πέντε κρυφές κάμερες τοποθετήθηκαν σε δύο αποθήκες επειδή είχαν διαπιστωθεί κλοπές στους χώρους αυτούς, ωστόσο η εταιρεία δεν απέδειξε τον προσωρινό χαρακτήρα της λειτουργίας τους, αφού αυτή δεν διεκόπη παρά μόνο όταν τις ξήλωσαν οι εργαζόμενοι, ενώ παράλληλα ενεργοποίησε και ήχο, καθιστώντας την επέμβαση στα δικαιώματα των υποκειμένων ακόμη πιο έντονη.
- παραβίαση της αρχής της ελαχιστοποίησης (άρθρο 5 παρ.1γ’ ΓΚΠΔ). Η ηχογράφηση συνομιλιών κρίθηκε εντελώς δυσανάλογη σε σχέση με τον προβαλλόμενο σκοπό της εταιρείας, δηλαδή την ανίχνευση «νεκρών σημείων» για μελλοντική τοποθέτηση καμερών. Η CNIL επεσήμανε ότι η συλλογή ήχου αποτελεί εξαιρετικά παρεμβατικό μέτρο, επιτρεπτό μόνο υπό αυστηρές προϋποθέσεις, οι οποίες δεν ίσχυαν εν προκειμένω.
- παραβίαση της υποχρέωσης γνωστοποίησης παραβίασης δεδομένων στην εποπτική αρχή (άρθρο 33 ΓΚΠΔ). Η αφαίρεση καρτών SD από εργαζομένους ισοδυναμούσε με απώλεια ελέγχου σε δεδομένα προσωπικού χαρακτήρα. Η εταιρεία όφειλε να ειδοποιήσει την CNIL εντός εβδομήντα δύο ωρών, αλλά καθυστέρησε, επικαλούμενη ότι αντιλήφθηκε τον χαρακτηρισμό της πράξης ως παραβίασης μόνο αφότου ήλθε σε επαφή με τη γαλλική αρχή. Ο ισχυρισμός της απορρίφθηκε, καθώς η απώλεια υλικού φορέα εμπίπτει σαφώς στον ορισμό της παραβίασης του άρθρου 4 στοιχ. 12 ΓΚΠΔ.
- παραβίαση της υποχρέωσης συμμετοχής του Υπευθύνου Προστασίας Δεδομένων (άρθρο 38 παρ.1 ΓΚΠΔ). Η Υπεύθυνη Προστασίας Δεδομένων της εταιρείας ενημερώθηκε για την εγκατάσταση αυτή αρκετές εβδομάδες μετά το ξήλωμα των καμερών και αφότου είχε ήδη επιληφθεί η CNIL, γεγονός που την εμπόδισε από το να προσφέρει τις υπηρεσίες της ως συμβούλου συμμόρφωσης. Η CNIL έκρινε ότι η παράλειψη αυτή στέρησε από την εταιρεία την ευκαιρία να απόσχει από μια πρωτοβουλία που ήταν σαφώς παράνομη.
Για τις παραβάσεις αυτές, η γαλλική αρχή επέβαλε συνολικό πρόστιμο ύψους 100.000 ευρώ, ενώ ταυτόχρονα αποφάσισε τη δημοσίευση της απόφασης και τη δημοσιοποίηση των στοιχείων της εταιρείας.
www.lawspot.gr
Δεν υπάρχουν σχόλια