Κοινολόγηση βιντεοληπτικού υλικού για δικαστική χρήση: 160.000 ευρώ πρόστιμο από την Αρχή Προστασίας Δεδομένων (ΑΠΔΠΧ 10/2026)

Διοικητικό πρόστιμο συνολικού ύψους 160.000 ευρώ επέβαλε η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα σε δύο εταιρείες για την παραβίαση σειράς απαιτήσεων του Γενικού Κανονισμού Προστασίας Δεδομένων. Σύμφωνα με την απόφαση της Αρχής, οι δύο εταιρείες δεν ικανοποίησαν προσηκόντως το δικαίωμα πρόσβασης υποκειμένου των δεδομένων σχετικά με υλικό από τα συστήματα βιντεοεπιτήρησής τους, δεν παρείχαν την απαιτούμενη ενημέρωση για την επεξεργασία και τη χρήση του βιντεοληπτικού υλικού, ενώ διαπιστώθηκαν και παραβάσεις των αρχών της διαφάνειας και του περιορισμού του σκοπού. Επιπλέον, σε μία από τις δύο εταιρείες αποδόθηκε παράβαση της υποχρέωσης συνεργασίας με την εποπτική αρχή.

Το ιστορικό της υπόθεσης

Η υπόθεση ξεκίνησε έπειτα από δύο καταγγελίες φυσικού προσώπου κατά των εταιρειών ΜΕΔΕ ΑΕ και ΜΑΡΚΕΤ ΙΝ ΑΕΒΕ. Ο καταγγέλλων υποστήριξε ότι οι εταιρείες δεν ικανοποίησαν προσηκόντως το δικαίωμα πρόσβασής του, επεξεργάστηκαν παράνομα προσωπικά δεδομένα του μέσω συστημάτων βιντεοεπιτήρησης και κοινολόγησαν βιντεοληπτικό υλικό σε τρίτους χωρίς προηγούμενη ενημέρωσή του.

Στο πλαίσιο άσκησης του δικαιώματος πρόσβασης του άρθρου 15 ΓΚΠΔ, ο καταγγέλλων απέστειλε στις δύο εταιρείες αιτήματα συνοδευόμενα από φωτογραφίες που προέρχονταν από τα αντίστοιχα συστήματα βιντεοεπιτήρησης, ζητώντας, μεταξύ άλλων, πληροφορίες για την πολιτική προστασίας δεδομένων, τους αποδέκτες στους οποίους είχαν κοινολογηθεί τα δεδομένα, αντίγραφα του υλικού που είχε διαβιβαστεί, καθώς και τα σχετικά αιτήματα και τις αξιολογήσεις που οδήγησαν στην κοινολόγηση. Οι εταιρείες απάντησαν αρχικά ζητώντας διευκρινίσεις και στη συνέχεια υποστήριξαν ότι δεν είχαν προβεί σε κοινολόγηση υλικού σε τρίτους, χωρίς όμως να παράσχουν το σύνολο των πληροφοριών που ζητήθηκαν.

Κατά τη διερεύνηση της υπόθεσης η Αρχή ζήτησε επανειλημμένα εξηγήσεις από τις δύο εταιρείες. Η δεύτερη εξ αυτών ανταποκρίθηκε μόνο μετά από διαδοχικές οχλήσεις και την παρέλευση μεγάλου χρονικού διαστήματος, ενώ αμφότερες κλήθηκαν σε ακρόαση και έλαβαν προθεσμία για την υποβολή υπομνημάτων, τα οποία τελικά δεν κατέθεσαν.

Οι ισχυρισμοί των εταιρειών

Η ΜΕΔΕ ΑΕ υποστήριξε ότι οι μόνες ενεργές κάμερες βρίσκονταν στην είσοδο του εκθεσιακού κέντρου και στο ισόγειο του κτιρίου, χωρίς καταγραφή ήχου, ενώ οι κάμερες που είχαν τοποθετηθεί παλαιότερα στον πρώτο όροφο είχαν τεθεί εκτός λειτουργίας. Ισχυρίστηκε επίσης ότι μέρος του φωτογραφικού υλικού που προσκόμισε ο καταγγέλλων δεν προερχόταν από το δικό της σύστημα βιντεοεπιτήρησης, ενώ παράλληλα παραδέχθηκε ότι είχε χρησιμοποιήσει φωτογραφίες από το σύστημα στο πλαίσιο δικαστικής διαδικασίας ασφαλιστικών μέτρων, υποστηρίζοντας ότι το υλικό περιήλθε στην κατοχή τρίτου μέσω της σχετικής δικαστικής δικογραφίας και όχι μέσω απευθείας κοινολόγησης από την ίδια.

Η ΜΑΡΚΕΤ ΙΝ ΑΕΒΕ, από την πλευρά της, υποστήριξε ότι στις φωτογραφίες που προσκομίστηκαν δεν απεικονίζονταν προσωπικά δεδομένα του καταγγέλλοντος αλλά μόνο το όχημά του, το οποίο, κατά την άποψή της, δεν αποτελούσε προσωπικό δεδομένο. Επιπλέον, ανέφερε ότι οι κάμερες δεν κατέγραφαν σταθερά δημόσιο χώρο, αλλά ότι σε συγκεκριμένο περιστατικό φύλακες ασφαλείας έστρεψαν χειροκίνητα τις κάμερες προς το όχημα του καταγγέλλοντος, εκτύπωσαν τις σχετικές φωτογραφίες και τις παρέδωσαν στις εισαγγελικές αρχές, ενεργώντας χωρίς παρέμβαση της εταιρείας.

Η κρίση της Αρχής

Η Αρχή υπενθύμισε ότι η εικόνα φυσικού προσώπου που καταγράφεται από σύστημα βιντεοεπιτήρησης αποτελεί δεδομένο προσωπικού χαρακτήρα, ενώ ως προσωπικό δεδομένο μπορεί να θεωρηθεί και ο αριθμός κυκλοφορίας οχήματος όταν, σε συνδυασμό με άλλα στοιχεία, καθιστά ταυτοποιήσιμο το φυσικό πρόσωπο. Για τον λόγο αυτό απέρριψε τον ισχυρισμό της δεύτερης εταιρείας ότι οι φωτογραφίες του οχήματος δεν αφορούσαν προσωπικά δεδομένα.

Ως προς τη ΜΕΔΕ ΑΕ, η Αρχή διαπίστωσε ότι, παρά τους αρχικούς ισχυρισμούς της, η εταιρεία χρησιμοποίησε φωτογραφικό υλικό από το σύστημα βιντεοεπιτήρησης για την προάσπιση των δικαιωμάτων της ενώπιον δικαστηρίου. Έκρινε ότι, μολονότι η δικαστική χρήση μπορούσε να συνδέεται με θεμιτό σκοπό, τα υποκείμενα των δεδομένων δεν είχαν ενημερωθεί ότι το υλικό θα μπορούσε να χρησιμοποιηθεί και για τον συγκεκριμένο σκοπό. Η ενημέρωση που παρεχόταν μέσω των πινακίδων περιοριζόταν στην προστασία προσώπων και αγαθών και δεν συνοδευόταν από ενημέρωση δεύτερου επιπέδου, όπως απαιτείται για τα συστήματα βιντεοεπιτήρησης.

Όσον αφορά τη ΜΑΡΚΕΤ ΙΝ ΑΕΒΕ, η Αρχή έκρινε ότι οι ισχυρισμοί περί αυτόβουλης ενέργειας των φυλάκων ασφαλείας δεν τεκμηριώθηκαν επαρκώς. Επιπλέον, επισήμανε ότι ο υπεύθυνος επεξεργασίας οφείλει να λαμβάνει τα κατάλληλα τεχνικά και οργανωτικά μέτρα, συμπεριλαμβανομένης της εκπαίδευσης και εποπτείας του προσωπικού, ώστε να διασφαλίζεται η συμμόρφωση με τον ΓΚΠΔ και να αποτρέπονται μη εξουσιοδοτημένες πράξεις επεξεργασίας δεδομένων.

Παραβιάσεις του δικαιώματος πρόσβασης

Η Αρχή διαπίστωσε ότι και οι δύο εταιρείες δεν διευκόλυναν αποτελεσματικά την άσκηση του δικαιώματος πρόσβασης. Αντί να παράσχουν πλήρεις πληροφορίες σχετικά με την επεξεργασία των δεδομένων, ζήτησαν πρόσθετες διευκρινίσεις από τον καταγγέλλοντα και δεν απάντησαν επαρκώς στα ερωτήματα σχετικά με την κοινολόγηση των δεδομένων και τους αποδέκτες τους. Παράλληλα, δεν παρείχαν όλες τις πληροφορίες που απαιτούνται από τα άρθρα 13 και 15 του ΓΚΠΔ, όπως στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και του υπευθύνου προστασίας δεδομένων, τη νομική βάση της επεξεργασίας, τους αποδέκτες, τον χρόνο διατήρησης και τα δικαιώματα του υποκειμένου.

Η Αρχή διαπίστωσε επίσης ότι η ΜΕΔΕ ΑΕ δεν είχε γνωστοποιήσει στην εποπτική αρχή τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων, παρά το γεγονός ότι φαινόταν να έχει προχωρήσει στον ορισμό του. Αντίστοιχα, έκρινε ότι η ΜΑΡΚΕΤ ΙΝ ΑΕΒΕ επέδειξε σημαντική δυσχέρεια συνεργασίας, καθώς απάντησε στα αιτήματα της Αρχής μόνο ύστερα από επανειλημμένες οχλήσεις και με καθυστέρηση που ξεπέρασε το ένα έτος.

Οι κυρώσεις

Με την απόφασή της, η Αρχή επέβαλε στη ΜΕΔΕ ΑΕ συνολικά πρόστιμα ύψους 65.000 ευρώ για παραβάσεις των αρχών της διαφάνειας και του περιορισμού του σκοπού, της ενημέρωσης των υποκειμένων, της ικανοποίησης του δικαιώματος πρόσβασης και της υποχρέωσης γνωστοποίησης των στοιχείων του υπευθύνου προστασίας δεδομένων.

Στη ΜΑΡΚΕΤ ΙΝ ΑΕΒΕ επιβλήθηκαν συνολικά πρόστιμα ύψους 95.000 ευρώ για παραβιάσεις των αρχών της διαφάνειας και της ελαχιστοποίησης των δεδομένων, της μη ικανοποίησης του δικαιώματος πρόσβασης και της μη συνεργασίας με την εποπτική αρχή. Συνολικά, τα διοικητικά πρόστιμα που επέβαλε η Αρχή ανήλθαν σε 160.000 ευρώ.

Το πλήρες κείμενο της απόφασης 10/2026 ΑΠΔΠΧ είναι διαθέσιμο στον ιστότοπο της Αρχής.