Η εγκατάσταση και λειτουργία καμερών έχει κανόνες, ειδικά όταν αυτός που τις εγκαθιστά είναι δημόσιος φορέας και η λήψη τους περιλαμβάνει εργαζόμενους. Αυτό υπενθύμισε, για μια ακόμη φορά, η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, επιβάλλοντας πρόστιμο 10.000 ευρώ στον Δήμο Μοσχάτου – Ταύρου για την παράνομη λειτουργία συστήματος βιντεοεπιτήρησης στο αμαξοστάσιό του.
Η Αρχή δέχθηκε δύο αναφορές από το πρωτοβάθμιο συνδικαλιστικό σωματείο με την επωνυμία «ΣΥΛΛΟΓΟΣ ΕΡΓΑΖΟΜΕΝΩΝ ΔΗΜΟΥ ΤΑΥΡΟΥ» και «ΣΥΛΛΟΓΟΣ ΥΠΑΛΛΗΛΩΝ ΔΗΜΟΥ ΜΟΣΧΑΤΟΥ», σχετικά με την τοποθέτηση αρχικά πέντε και στη συνέχεια άλλων δύο καμερών στους χώρους του αμαξοστασίου, την πρόσβαση στο υλικό βιντεοεπιτήρησης από τον Αντιδήμαρχο και κάποιους προϊσταμένους, καθώς και τη χρήση του για την παρακολούθηση των εργαζομένων.
Η παρακολούθηση των εργαζομένων δεν αποδείχθηκε από την έρευνα που διεξήγαγε η Αρχή, αυτό όμως που αποδείχθηκε ήταν τα πολλά λάθη που είχαν γίνει κατά την εγκατάσταση του συστήματος βιντεοεπιτήρησης.
Το πρώτο λάθος υπήρξε η απουσία τεκμηρίωσης ως προς την αναλογικότητα και αναγκαιότητα του συστήματος, εν όψει των σημείων εγκατάστασης των καμερών και των χαρακτηριστικών του συστήματος αυτού. Όπως παρατηρήθηκε, για την εγκατάσταση του συστήματος δεν είχε προηγηθεί σχετική μελέτη ώστε να διασφαλιστεί ότι οι κάμερες που θα αγοραστούν και θα τοποθετηθούν, θα επαρκούν και θα εγκατασταθούν στα σωστά σημεία ώστε να εξυπηρετούν τον επιδιωκόμενο σκοπό. Ο Δήμος είχε αρχικά αποφασίσει την τοποθέτηση πέντε (5) καμερών, οι οποίες στη συνέχεια έγιναν επτά (7) μετά από «χορηγία» υπαλλήλου του αρμοδίου Τμήματος και έγκριση από τον Προϊστάμενό του και εν τέλει οκτώ (8), όπως φάνηκε από τη μελέτη εκτίμησης αντικτύπου που διενεργήθηκε μετά την υποβολή των αναφορών.
Επομένως, σύμφωνα με την Αρχή, «ο υπεύθυνος επεξεργασίας δεν εξέτασε, ως όφειλε, πριν από την εγκατάσταση τη νομιμότητα του συστήματος βιντεοεπιτήρησης, η οποία αποτελεί προϋπόθεση της νομιμότητας της σχετικής επεξεργασίας προσωπικών δεδομένων αλλά ούτε εξέτασε τις ανάγκες ασφάλειας ώστε να περιορίσει την επιτήρηση μόνο στα σημεία που είναι κατάλληλα, συναφή και αναγκαία για την εκπλήρωση του σκοπού της επεξεργασίας καθώς δεν εγκατέστησε τον ελάχιστο απαιτούμενο αριθμό καμερών και στα σωστά σημεία».
Το δεύτερο λάθος ήταν η θεμελίωση της επεξεργασίας σε εσφαλμένη νομική βάση. Ο ελεγχόμενος Δήμος επικαλέστηκε το έννομο συμφέρον του, σύμφωνα με το άρθρο 6 παρ.1στ’ ΓΚΠΔ, η Αρχή όμως παρατήρησε πως η νομική βάση αυτή δεν ήταν κατάλληλη, αφού δεν εφαρμόζεται στις περιπτώσεις που η επεξεργασία διενεργείται από δημόσιες αρχές κατά την άσκηση των καθηκόντων τους. Ορθή νομική βάση, σύμφωνα με την απόφαση, θα ήταν η εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας, του άρθρου 6 παρ.1ε’ ΓΚΠΔ.
Το τρίτο λάθος ήταν η ανεπαρκής ενημέρωση των εργαζομένων, ως υποκειμένων των δεδομένων. Η ενημέρωσή τους είχε γίνει προφορικά, χωρίς αυτό να μπορεί να αποδειχθεί, ενώ ως ενημέρωση αρχικά είχαν τοποθετηθεί σελίδες Α4 στα σημεία προσέλευσης-αποχώρησης των εργαζομένων και αργότερα πινακίδες με τα στοιχεία επικοινωνίας του Υπευθύνου Προστασίας Δεδομένων του Δήμου. Η ενημέρωση β’ επιπέδου βρισκόταν στο γραφείο του Προϊσταμένου, ενώ μάλιστα η μελέτη εκτίμησης αντικτύπου πρότεινε την αποστολή της μέσω email σε κάθε εργαζόμενο.
Η πρακτική αυτή υπήρξε πολλαπλώς εσφαλμένη, όπως έκρινε η Αρχή, η οποία παρατήρησε πως οι εργαζόμενοι θα έπρεπε να έχουν ενημερωθεί πριν την έναρξη λειτουργίας του συστήματος και όχι με πινακίδες και ενημερώσεις β’ επιπέδου, οι οποίες είναι πρόσφορες για επισκέπτες, αλλά όχι για εργαζόμενους.
Το τέταρτο λάθος ήταν η δυνατότητα απομακρυσμένης πρόσβασης στο υλικό των καμερών, που είχε δοθεί στον Προϊστάμενο. Σύμφωνα με την Αρχή, η ανάγκη της παρακολούθησης αυτής σε πραγματικό χρόνο δεν τεκμηριώθηκε, ενώ μάλιστα ο σκοπός που έτυχε επίκλησης (έκτακτη ανάγκη) αφορούσε μάλλον τους φύλακες, παρά τον Προϊστάμενο. Όπως μάλιστα αναφέρθηκε στην απόφαση, «η δυνατότητα παρακολούθησης καμερών του συστήματος από τον Προϊστάμενο συνιστά χρήση οθόνης προβολής ανεξαρτήτως της συχνότητας χρήσης που επικαλείται ο υπεύθυνος επεξεργασίας», η οποία αφενός είναι περισσότερο παρεμβατική από την απλή αποθήκευση του υλικού, αφετέρου ενέχει τον κίνδυνο της χρήσης των δεδομένων για σκοπό άλλον από αυτόν που έχει δηλωθεί.
Το πέμπτο λάθος υπήρξε η πλημμελής καταγραφή πληροφοριών στο αρχείο δραστηριοτήτων του Δήμου, όπως αυτό προσκομίστηκε στην Αρχή. Το επίμαχο αρχείο δραστηριοτήτων κρίθηκε αφενός ελλιπές, αφού δεν αναγράφονταν πληροφορίες σχετικά με το όνομα και τα στοιχεία του υπευθύνου επεξεργασίας και του υπεύθυνου προστασίας δεδομένων, αφετέρου ανακριβές, καθώς διαπιστώνονταν αντιφάσεις σχετικά με το σκοπό της επεξεργασίας, ο οποίος στο αρχείο δραστηριοτήτων αναγραφόταν μόνο ως η προστασία της περιουσίας του υπεύθυνου επεξεργασίας, ενώ στην μελέτη εκτίμησης αντικτύπου αναγραφόταν ότι ο σκοπός της επεξεργασίας είναι και η προστασία του προσωπικού ή τρίτων που βρίσκονται στον επιτηρούμενο χώρο.
Για τις παραβάσεις αυτές, η Αρχή επέβαλε στον Δήμο Ταύρου – Μοσχάτου διοικητικό πρόστιμο συνολικού ύψους 10.000 ευρώ, εκ των οποίων 7.000 ευρώ για την παραβίαση της ελαχιστοποίησης, της λογοδοσίας και της προστασίας δεδομένων από τον σχεδιασμό και 3.000 ευρώ για την παραβίαση της ασφάλειας, της διαφάνειας και της υποχρέωσης ενημέρωσης των υποκειμένων. Για τα ελαττώματα του αρχείο δραστηριοτήτων, η Αρχή απηύθυνε επίπληξη.