Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα εξέδωσε την Απόφαση 38/2025, επιβάλλοντας συνολικά 10.000 ευρώ πρόστιμο σε Δήμο για σοβαρές παραβάσεις της νομοθεσίας περί προστασίας προσωπικών δεδομένων σχετικά με τη λειτουργία συστήματος βιντεοεπιτήρησης στο δημοτικό αμαξοστάσιο.
Η υπόθεση ξεκίνησε μετά από καταγγελίες εργαζομένων
Το θέμα έφτασε στην Αρχή μετά από αναφορές δύο σωματείων εργαζομένων, τα οποία κατήγγειλαν ότι τοποθετήθηκαν κάμερες στο αμαξοστάσιο και ότι το υλικό χρησιμοποιείται για έλεγχο των ωρών προσέλευσης και αποχώρησης, αλλά και της εργασιακής συμπεριφοράς των εργαζομένων.
Οι καταγγελίες αυτές οδήγησαν σε πολύμηνη διερεύνηση με σειρά εγγράφων, διευκρινίσεων και ακροάσεων εκ μέρους της Αρχής.
Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα επέβαλε συνολικό πρόστιμο 10.000 ευρώ στον Δήμο Μοσχάτου–Ταύρου, κρίνοντας ότι η εγκατάσταση και λειτουργία του συστήματος βιντεοεπιτήρησης στο δημοτικό αμαξοστάσιο δεν συμμορφώθηκε με τις βασικές αρχές του Γενικού Κανονισμού Προστασίας Δεδομένων (ΓΚΠΔ).
Η απόφαση (Απόφαση 38/2025), την οποία έδωσε στη δημοσιότητα η ΠΟΕ-ΟΤΑ, εκδόθηκε μετά από έλεγχο που προκλήθηκε από αναφορές εργαζομένων και συνδικαλιστικών σωματείων. Η Αρχή διαπίστωσε ότι το σύστημα εγκαταστάθηκε χωρίς επαρκή σχεδιασμό για τα σημεία τοποθέτησης των καμερών και χωρίς προηγούμενη τεκμηρίωση αναγκαιότητας.
Αν και αρχικά είχε εγκριθεί η τοποθέτηση πέντε (5) καμερών, στην πράξη το δίκτυο αυξήθηκε σε επτά (7) και, σύμφωνα με αποσπάσματα του φακέλου, φτάνει έως και τις οκτώ (8) κάμερες, χωρίς να έχει προηγηθεί η απαιτούμενη μελέτη για την αναγκαία κάλυψη.
Η Αρχή κρίνει ότι δεν τηρήθηκε η αρχή της ελαχιστοποίησης των δεδομένων ούτε η υποχρέωση της προστασίας δεδομένων από το σχεδιασμό.
Ο Δήμος επικαλέστηκε ως νομική βάση το «έννομο συμφέρον» (άρθρο 6 παρ.1 στοιχ. στ΄ ΓΚΠΔ). Η Αρχή, όμως, έκρινε ότι σε περίπτωση δημόσιου φορέα που επιτελεί καθήκοντα προς το δημόσιο συμφέρον, η κατάλληλη νομική βάση είναι η εκπλήρωση δημόσιου καθήκοντος (άρθρο 6 παρ.1 στοιχ. ε΄). Η λανθασμένη επιλογή νομικής βάσης αποτέλεσε ένα από τα κρίσιμα σημεία της απόφασης. (για να δείτε την απόφαση της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα κάντε κλικ εδώ)
Ενημέρωση εργαζομένων και διαφάνεια
Ο έλεγχος έδειξε ότι περίπου 200 εργαζόμενοι που σχετίζονται με τη λειτουργία του αμαξοστασίου δεν είχαν λάβει έγγραφη και επαρκή ενημέρωση όπως ορίζει ο ΓΚΠΔ και ο ελληνικός νόμος (άρθρο 27 παρ. 7 ν.4624/2019). Η πληροφόρηση περιορίστηκε σε προφορικές ανακοινώσεις και σε σημάνσεις Α4, ενώ δεν υπήρχε αποδεδειγμένη διανομή ενημέρωσης β’ επιπέδου στα προσωπικά ηλεκτρονικά τους μέσα. Η Αρχή χαρακτήρισε την πρακτική αυτή ανεπαρκή και αντίθετη προς την αρχή της λογοδοσίας.
Πρόσβαση στο υλικό και αρχεία δραστηριότητας
Στο επίκεντρο βρέθηκε επίσης η δυνατότητα απομακρυσμένης σύνδεσης στο σύστημα μέσω λογισμικού, χωρίς επαρκή τεκμηρίωση της αναγκαιότητας και χωρίς σύστημα καταγραφής προσβάσεων. Επίσης, το αρχείο δραστηριοτήτων επεξεργασίας που όφειλε να τηρεί ο Δήμος ήταν ελλιπές και περιείχε αντιφάσεις ως προς τον σκοπό της επεξεργασίας. Η Αρχή επέδειξε ιδιαίτερη ανησυχία για την απουσία ελέγχων που να αποκλείουν τη χρήση του συστήματος για παρακολούθηση εργαζομένων.
Τι διαπίστωσε η Αρχή – Κενά, λάθη και παραβάσεις
Μετά από δύο χρόνια εξέτασης, η Αρχή κατέληξε ότι ο Δήμος υπέπεσε σε σημαντικές παραβάσεις του Γενικού Κανονισμού Προστασίας Δεδομένων (ΓΚΠΔ), μεταξύ των οποίων:
- Έλλειψη σχεδιασμού και ελέγχου πριν την εγκατάσταση
Δεν υπήρξε καμία μελέτη αναγκαιότητας ή σωστής χωροθέτησης των καμερών.
Ο Δήμος τοποθέτησε αρχικά 5 κάμερες, στη συνέχεια 7 – και τελικά η μελέτη έδειξε ότι λειτουργούσαν 8.
Η Αρχή σημειώνει ότι η εγκατάσταση έγινε χωρίς αξιολόγηση αναγκαιότητας, χωρίς εκτίμηση κινδύνου και χωρίς την αρχή της ελαχιστοποίησης, κάτι που παραβιάζει το άρθρο 25 του ΓΚΠΔ («προστασία από τον σχεδιασμό»).
- Λανθασμένη επιλογή νομικής βάσης
Ο Δήμος δήλωσε ως νομική βάση το «έννομο συμφέρον» – κάτι που απαγορεύεται για δημόσιες αρχές όταν εκτελούν δημόσια καθήκοντα.
Η Αρχή υπογράμμισε ότι η μόνη επιτρεπτή βάση ήταν η εκπλήρωση καθήκοντος προς το δημόσιο συμφέρον.
- Ελλιπής και μη αποδεδειγμένη ενημέρωση εργαζομένων
Η ενημέρωση των περίπου 200 εργαζομένων έγινε «προφορικά», χωρίς γραπτό αποδεικτικό, και με πρόχειρες πινακίδες Α4.
Η Αρχή έκρινε ότι αυτό παραβιάζει τα άρθρα 12 και 13 του ΓΚΠΔ και το άρθρο 27 του νόμου 4624/2019 που απαιτεί υποχρεωτική έγγραφη ενημέρωση για κάμερες στον χώρο εργασίας.
- Πρόσβαση μέσω εφαρμογής απομακρυσμένης παρακολούθησης
Υπήρχε δυνατότητα real-time πρόσβασης από εφαρμογή (RXCamView). Την είχε μόνο ο προϊστάμενος, αλλά:
- δεν υπήρχε καταγραφή των προσβάσεων,
- δεν υπήρχε τεκμηριωμένη ανάγκη για ζωντανή παρακολούθηση,
- δεν είχαν ληφθεί μέτρα για να αποτραπεί η χρήση για άλλους σκοπούς (π.χ. έλεγχος εργαζομένων).
Η Αρχή προειδοποίησε ότι η live παρακολούθηση είναι συχνά πιο παρεμβατική από την απλή καταγραφή.
- Ελλιπές αρχείο δραστηριοτήτων
Το υποχρεωτικό αρχείο του άρθρου 30 ΓΚΠΔ ήταν ελλιπές και με αντιφάσεις ως προς τον σκοπό επεξεργασίας.
Τα πρόστιμα
Η Αρχή επέβαλε δύο πρόστιμα:
- 000€ για έλλειψη σχεδιασμού, ελαχιστοποίησης και λογοδοσίας
- 000€ για μη επαρκή ενημέρωση εργαζομένων και έλλειψη διαφάνειας
Σύνολο: 10.000 ευρώ
Επιπλέον απηύθυνε επίπληξη για το ελλιπές αρχείο δραστηριοτήτων.
Η σημασία της απόφασης
Η υπόθεση αποτελεί ένα από τα πιο χαρακτηριστικά παραδείγματα όπου:
- ένας δήμος χρησιμοποιεί τεχνολογίες επιτήρησης χωρίς επαρκή σχεδιασμό,
- αγνοεί υποχρεώσεις ενημέρωσης εργαζομένων,
- εφαρμόζει λανθασμένα νομική βάση,
- και θέτει σε κίνδυνο τα δικαιώματα των εργαζομένων.
Η Αρχή υπενθυμίζει ότι τα CCTV στους δήμους επιτρέπονται, αλλά μόνο:
- με αυστηρή τήρηση της ελαχιστοποίησης,
- με πλήρη και αποδείξιμη ενημέρωση προσωπικού και επισκεπτών,
- με ορθή επιλογή νομικής βάσης,
- με τεχνικά μέτρα που αποτρέπουν κατάχρηση ή επιτήρηση εργαζομένων.
Η απόφαση αναμένεται να λειτουργήσει ως καθοδηγητικό προηγούμενο για όλους τους ΟΤΑ που χρησιμοποιούν ή σκοπεύουν να τοποθετήσουν συστήματα βιντεοεπιτήρησης.
