Yunanistan Veri Koruma Otoritesi (HDPA) — gdprhub/hdpa-greece-43-2019

ΟΡΘΗ ΕΠΑΝΑΛΗΨΗ
ΛΟΓΩ ΤΥΠΟΓΡΑΦΙΚΟΥ
ΛΑΘΟΥΣ ΣΤΗΝ ΑΡΙΘΜΗΣΗ

Αθήνα, 13-01-2020
Αριθ. Πρωτ.: Γ/ΕΞ/8885/13-01-2020
ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ

ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ

Α Π Ο Φ Α Σ Η 43/2019
(Τμήμα)

Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε
σύνθεση Τμήματος στην έδρα της την Τετάρτη 24.7.2019 μετά από πρόσκληση του
Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό
της παρούσας. Παρέστησαν ο Αναπληρωτής Πρόεδρος Γεώργιος Μπατζαλέξης,
κωλυομένου του Προέδρου της Αρχής Κωνσταντίνου Μενουδάκου, και τα
αναπληρωματικά μέλη της Αρχής Παναγιώτης Ροντογιάννης, Ευάγγελος
Παπακωνσταντίνου και Γρηγόριος Τσόλιας, ως εισηγητής, σε αντικατάσταση των
τακτικών μελών Αντωνίου Συμβώνη, Κωνσταντίνου Λαμπρινουδάκη και
Χαράλαμπου Ανθόπουλου αντίστοιχα, οι οποίοι, αν και εκλήθησαν νομίμως
εγγράφως, δεν παρέστησαν λόγω κωλύματος. Παρούσες χωρίς δικαίωμα ψήφου ήταν
η Kάλλη Καρβέλη, ειδική επιστήμονας-δικηγόρος, ως βοηθός εισηγητή, η οποία
αποχώρησε μετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη
απόφασης και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών
υποθέσεων της Αρχής, ως γραμματέας.

Η Αρχή έλαβε υπόψη τα παρακάτω:

Με την υπ’ αριθ. πρωτ. Γ/ΕΙΣ/7748/01.10.2018 καταγγελία του στην Αρχή ο Α
καταγγέλλει ότι η εργοδότρια εταιρία του «ALLSEAS MARINE SA» επεξεργάστηκε
χωρίς την ενημέρωσή του και εξακολουθεί να επεξεργάζεται προσωπικά δεδομένα
του ιδίου και της οικογενείας του, μεταξύ αυτών και ευαισθήτων, παραβιάζοντας το
δικαίωμά του ως εργαζομένου επί των προσωπικών του δεδομένων.
Ειδικότερα, όπως αναφέρει στην καταγγελία του και στα επισυναπτόμενα σε
αυτήν έγγραφα, ο καταγγέλλων εργαζόταν στην καταγγελλομένη εταιρία επί … έτη.
Γνωστοποίησε την παραίτησή του τον … και η παραίτησή του κατά τη συμφωνία του
με τον εργοδότη ιδιοκτήτη της εταιρίας Β, θα ίσχυε για τις … . Πλην όμως, όπως
ισχυρίζεται, ο ιδιοκτήτης της εταιρίας, επικαλούμενος περιστατικό παραβίασης στην
εταιρία, το οποίο δεν γνωστοποίησε, ως όφειλε, στην Αρχή εντός 72 ωρών από τη
διαπίστωσή του, και ενώ ο καταγγέλλων απουσίαζε στο εξωτερικό α) διεξήγαγε
έρευνα και επεξεργάστηκε χωρίς την προηγούμενη ενημέρωση του καταγγέλλοντος,
δεδομένα προσωπικού του χαρακτήρα, στα «ηλεκτροεπικοινωνιακά συστήματα» που
χειριζόταν στην εταιρία, β) του απαγόρευσε την είσοδό του στην εταιρία, θέτοντάς
τον σε υποχρεωτική άδεια και του απέκλεισε την πρόσβαση τόσο στα
«ηλεκτροεπικοινωνιακά μέσα» που χειριζόταν ως γενικός διευθυντής της
καταγγελλομένης εταιρίας (εταιρικό e-mail και απομακρυσμένη δια τηλεφώνου
πρόσβαση στο server της εταιρίας), όσο και στα προσωπικά αρχεία που διατηρούσε
στον υπολογιστή του (προσωπικά οικονομικά στοιχεία τραπεζικών του λογαριασμών,
δεδομένα υγείας του ιδίου και της οικογενείας του, όπως αποτελέσματα ιατρικών
εξετάσεων, προσωπική αλληλογραφία και μέσα κοινωνικής δικτύωσης κ.λπ.).
Επίσης, καταγγέλλει ότι πέραν του προσωπικού του υπολογιστή υπήρχαν προσωπικά
του αρχεία στον υπολογιστή της ιδιαιτέρας γραμματέως του, η οποία απολύθηκε, και
στην οποία απαγόρευσαν την παραλαβή των προσωπικών της αρχείων, με
αποτέλεσμα να μην έχει πρόσβαση ούτε σε αυτά.
Κατόπιν τούτου, με την από … εξώδικη δήλωσή του προς την εταιρία, ζήτησε α)
να παρευρεθεί σε οποιοδήποτε έλεγχο αφορά τα αντικείμενα που βρίσκονται στον
χώρο εργασίας του καθώς και στον έλεγχο των ηλεκτροεπικοινωνιακών μέσων που
χειριζόταν ως εργαζόμενος, ώστε να γίνει ο νόμιμος και απαραίτητος διαχωρισμός
των προσωπικών του από τα αμιγώς επαγγελματικά αρχεία και β) να ενημερωθεί

γραπτώς για την κήρυξή του σε υποχρεωτική άδεια και την τήρηση των νομίμων
διατυπώσεων αυτής, καθώς και για ποια πράξη ελέγχεται. Η εταιρία στην από …
εξώδικη απάντησή της ανέφερε ότι ο καταγγέλλων έλαβε όλα τα προσωπικά του
αντικείμενα και αρχεία από την εταιρία με την αποχώρησή του και ότι από την …
ουδεμία έννομη σχέση συνδέει την εταιρία μαζί του, χωρίς όπως αναφέρει ο
καταγγέλλων να απαντά επί του αιτήματός του για πρόσβαση στα στοιχεία που
περιλαμβάνονται στον ηλεκτρονικό υπολογιστή που χρησιμοποιεί και που τον
αφορούν. Επίσης, καταγγέλλει ότι η εταιρία δεν διαθέτει πολιτική απορρήτου ούτε
πολιτική διαχείρισης περιστατικού παραβίασης και εσωτερικό κανονισμό για την
ορθή χρήση και λειτουργία του εξοπλισμού και του δικτύου πληροφορικής και
επικοινωνιών με τους εργαζομένους, από το περιεχόμενο του οποίου θα προέκυπτε,
αφενός, ότι απαγορευόταν η χρήση των ηλεκτρονικών υπολογιστών για προσωπικούς
σκοπούς, αφετέρου, θα προβλεπόταν ρητά η δυνατότητα και το ενδεχόμενο ελέγχου
αυτών, οι προϋποθέσεις, οι όροι, η διαδικασία, η έκταση και οι εγγυήσεις διενέργειας
ελέγχου, ενώ διατηρούνται συστήματα βιντεοεπιτήρησης σε όλους τους χώρους
εργασίας ακόμα και αναψυχής (καφετέρια) εν αγνοία των εργαζομένων. Με την από
… δεύτερη εξώδικη δήλωσή του ο καταγγέλλων δηλώνει ότι θα προβεί σε καταγγελία
στην ΑΠΔΠΧ και ότι εξακολουθούν να υπάρχουν προσωπικά του δεδομένα εντός της
εταιρίας που παρανόμως δεν του αποδίδονται.
Για τους λόγους αυτούς ο καταγγέλλων ζητά την παρέμβαση της Αρχής, ώστε να
παύσει η επεξεργασία των προσωπικών του δεδομένων, να του επιστραφούν τα
προσωπικά του δεδομένα ηλεκτρονικά και σε φυσική μορφή και να επιβληθούν στην
καταγγελλομένη εταιρία οι δέουσες κυρώσεις.
Η Αρχή στο πλαίσιο διερεύνησης των καταγγελλομένων απέστειλε την
18.10.2018 το υπ’ αρ. πρωτ. Γ/ΕΞ/7748-1 έγγραφο προς την καταγγελλομένη για
παροχή διευκρινίσεων σχετικά με την καταγγελία, η οποία στην υπ’ αρ. πρωτ.
Γ/ΕΙΣ/8933/13.11.2018 απάντησή της ανέφερε ότι η εταιρία τον … μετά τη
διαπίστωση διαγραφής σημαντικού αριθμού ηλεκτρονικών αρχείων και μηνυμάτων
ηλεκτρονικής αλληλογραφίας της εταιρίας από τα συστήματα ιδιοκτησίας της,
διενήργησε εσωτερική έρευνα στο πλαίσιο της οποίας, τα ανέκτησε με τη βοήθεια
τεχνικής εταιρίας και ανακάλυψε την τέλεση παράνομων πράξεων από τον
καταγγέλλοντα. Ειδικότερα, όπως αναφέρεται στο κατατεθέν στην Αρχή υπόμνημα, ο
Β διαπίστωσε ότι κατά το χρονικό διάστημα … , ο καταγγέλλων και η Γ, εργαζόμενη
στην εταιρία συμφερόντων του στη …, συνέπρατταν στην τέλεση αξιόποινων

πράξεων, καθώς μετέφεραν χρηματικά ποσά της εταιρίας προς τρίτα πρόσωπα ή προς
τον καταγγέλλοντα. Για τον λόγο αυτό ο ιδιοκτήτης και μέτοχος της εταιρίας Β
υπέβαλε την από … αίτηση ασφαλιστικών μέτρων με αίτημα προσωρινής διαταγής,
το οποίο έγινε δεκτό, η δε αίτηση ασφαλιστικών μέτρων εκδικάστηκε την … ενώπιον
του Μονομελούς Πρωτοδικείου Αθηνών.
Κατόπιν των προαναφερομένων, η Αρχή με τις υπ’ αριθμ. πρωτ. Γ/ΕΞ/7748-
2/7.12.2018 και Γ/ΕΞ/7748-3/7.12.2018 κλήσεις αντίστοιχα κάλεσε τον
καταγγέλλοντα και την εταιρία ALLSEAS MARINE S.A., να παραστούν στη
συνεδρίαση του Τμήματος της Αρχής την 19.12.2018, προκειμένου να λάβει χώρα
ακρόαση της εταιρίας επί του ενδεχομένου παραβίασης της κείμενης νομοθεσίας για
την προστασία των δεδομένων προσωπικού χαρακτήρα, σύμφωνα με τις διατάξεις
των άρθρων 57 και 58 ΓΚΠΔ σε συνδυασμό με τις διατάξεις των άρθρων 19 και 21 ν.
2472/1997, καθώς και με εκείνες του άρθρου 14 παρ. 10 ΚΔΔ (ν. 2690/1999).
Κατά την ακρόαση της 23.01.2019 εξ αναβολής από την 19.12.2018 παρέστησαν
ο καταγγέλλων Α μετά των πληρεξουσίων δικηγόρων του Θεόδωρου Γιαννατσή και
Γεωργίου Πανταζή και εκ μέρους της εταιρείας ALLSEAS MARINE S.A. οι Σοφός
Θεμιστοκλής, πληρεξούσιος δικηγόρος, Γκριτζά Ζαφειρία Νομική Σύμβουλος της
εταιρείας και ο B, βασικός μέτοχος και ιδιοκτήτης της εταιρείας, οι οποίοι, αφού
ανέπτυξαν προφορικά τις απόψεις τους, στη συνέχεια υπέβαλαν τα σχετικά
υπομνήματά τους στην Αρχή.

Ο καταγγέλλων κατά την ακρόαση της 23.01.2019 εξ αναβολής της 19.12.2018,
αλλά και με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/1178/12.02.2019 υπόμνημά του στην Αρχή
ανέφερε ότι α) η καταγγελλομένη εταιρία ALLSEAS MARINE S.A. και ο Β
επεξεργάστηκαν παρανόμως τα προσωπικά δεδομένα του ως υπεύθυνοι
επεξεργασίας, β) εργοδότης του καταγγέλλοντος υπήρξε η εταιρία και όχι ο Β, ούτε
θίγεται κάποιο έννομο συμφέρον του προκειμένου να επεξεργάζεται τα προσωπικά
του δεδομένα, δημοσιοποιώντας τα μάλιστα σε συνεργάτες, εσωτερικούς,
εξωτερικούς καθώς και ενώπιον δικαστηρίου, γ) επί … χρόνια εργοδότρια εταιρία του
υπήρξε η ALLSEAS MARINE S.A., στην οποία ο Β είχε την απλή ιδιότητα του
μετόχου, δ) ουδέποτε γνωστοποιήθηκε από την καταγγελλομένη η λειτουργία
συστημάτων βιντεοεπιτήρησης στην Αρχή, ε) η ALLSEAS παρέλειψε να
γνωστοποιήσει το περιστατικό παραβίασης εντός 72 ωρών στην Αρχή χωρίς να
αιτιολογεί γιατί καθυστέρησε τόσο και χωρίς να καταθέτει κανένα συμπληρωματικό

έγγραφο που να αποδεικνύει την παραβίαση, στ) παρέλειψε να καταγράψει το
περιστατικό στα αρχεία δραστηριοτήτων επεξεργασίας που υποχρεούται να τηρεί, να
ενημερώσει τα εμπλεκόμενα άτομα και δεν διενήργησε μελέτη εκτίμησης αντικτύπου,
για να εκτιμήσει τους κινδύνους που θα δημιουργήσει ο εν αγνοία και χωρίς τη
συγκατάθεση του καταγγέλλοντος έλεγχος των προσωπικών του δεδομένων, ζ) η
ελεγχόμενη εταιρία μεθοδευμένα χαρακτηρίζει τη συνέπεια του περιστατικού
παραβίασης ως μικρή, προκειμένου να επωφεληθεί από την εξαίρεση του νόμου και
να δικαιολογήσει την καθυστερημένη κατάθεση της γνωστοποίησης του περιστατικού
παραβίασης, η) ο Β ομολόγησε ότι ενημέρωσε τον καταγγέλλοντα για πρώτη φορά με
την επίδοση των ασφαλιστικών μέτρων, θ) η ελεγχόμενη εταιρία μέχρι σήμερα δεν
εξήγησε γιατί προέβη στην παράνομη επεξεργασία των προσωπικών δεδομένων του
καταγγέλλοντος, γιατί δεν τον ενημέρωσαν ποτέ για τους διενεργούμενους ελέγχους
στα προσωπικά του δεδομένα, καθώς και γιατί τον απέκοψαν από κάθε πρόσβαση
στα δεδομένα του και δεν απευθύνθηκαν προηγουμένως σε αρμόδια διοικητική ή
δικαστική αρχή για τη διεκπεραίωση των ερευνών που επιθυμούσαν και τέλος ι) με
την υπ’ αρ. … απόφαση του Μονομελούς Πρωτοδικείου Αθηνών απορρίφθηκε ως
αόριστη η από … αίτηση ασφαλιστικών μέτρων του Β, με την οποία αιτείτο τη
δέσμευση της ακίνητης και κινητής περιουσίας του καταγγέλλοντος λόγω
αδικοπραξίας.
Η ελεγχόμενη εταιρία κατά την ακρόαση της 23.01.2019, αλλά και με το υπ’ αρ.
πρωτ. Γ/ΕΙΣ/1176/12.02.2019 υπόμνημά της στην Αρχή ανέφερε ότι α) ουδέν
στοιχείο εξήχθη από προσωπικό λογαριασμό ηλεκτρονικής αλληλογραφίας του
καταγγέλλοντος, αλλά οτιδήποτε ανεσύρθη, εκ των διαγεγραμμένων αρχείων στον
εταιρικό εξυπηρετητή (server), προερχόταν από τον εταιρικό λογαριασμό
ηλεκτρονικής αλληλογραφίας του καταγγέλλοντος, β) διαπιστώθηκε από τις κάμερες
ασφαλείας ότι ο καταγγέλλων είχε εισέλθει αυθαίρετα στο αρχείο του νομικού
τμήματος της εταιρίας, νυχτερινές ώρες της … και μεταμεσονύχτιες ώρες της … και
αναζητούσε αρχεία και στοιχεία της εταιρίας, το δε σχετικό υλικό επισυνάφθηκε με
εκτυπώσεις φωτογραφιών στο μετ’ ακρόαση υπόμνημα της ελεγχόμενης εταιρίας, η
οποία και είχε προβάλλει τμήμα αυτού κατά την ακρόασή της χωρίς αντίρρηση του
καταγγέλλοντος, γ) από τη στιγμή που εμφανίσθηκαν υπόνοιες για τέλεση
παρανόμων πράξεων αποκλείσθηκαν όλοι από την απομακρυσμένη πρόσβαση, και
ήταν άμεση και επιτακτική η ανάγκη διενέργειας ελέγχου του εξυπηρετητή (server)
χωρίς την παρουσία του καταγγέλλοντος, χωρίς να είναι δυνατό να επιλεγεί ένα

λιγότερο επαχθές μέτρο, δ) η έρευνα και η ανάσυρση αρχείων έγινε μόνον στον
εξυπηρετητή (server) της εταιρίας και όχι στον υπολογιστή που χρησιμοποιούσε ο
καταγγέλλων, ε) το περιστατικό παραβίασης των αρχείων της εταιρίας από τον κατ’
ουσία υπεύθυνο αυτής, δηλ. τον καταγγέλλοντα, γνωστοποιήθηκε στην Αρχή όταν
έφθασε σε γνώση του μετά από έρευνα που διενεργήθηκε από τους εξειδικευμένους
συμβούλους, στ) η εγκατάσταση συστήματος βιντεοεπιτήρησης έχει γνωστοποιηθεί
στους εργαζομένους της εταιρίας και ειδικότερα περιλαμβάνεται στο εγχειρίδιο
ενημέρωσης των εργαζομένων για την επεξεργασία των προσωπικών τους
δεδομένων, και το οποίο γνώριζε και ο καταγγέλλων, ζ) στο εν λόγω εγχειρίδιο
αναφέρεται ρητώς η υποχρέωση να χρησιμοποιούνται οι ηλεκτρονικές επικοινωνίες
αποκλειστικώς για επαγγελματικούς λόγους και όχι για προσωπικούς καθώς και η
υποχρέωση των εργαζομένων να μην αναρτούν υλικό ή φωτογραφίες σε προσωπικές
σελίδες σε μέσα κοινωνικής δικτύωσης, η) σε αντίθεση με τον ισχυρισμό του
καταγγέλλοντος, η εταιρία διαθέτει πολιτική απορρήτου και πολιτική διαχείρισης
περιστατικού παραβίασης καθώς και εσωτερικό κανονισμό για την ορθή χρήση και
λειτουργία εξοπλισμού και επικοινωνιών με τους εργαζομένους και, τέλος, θ) η
εταιρία διαθέτει πολιτική πρόσβασης και ελέγχου των εταιρικών ηλεκτρονικών
υπολογιστών που χρησιμοποιούν οι εργαζόμενοι στην οποία περιγράφονται κατ’
ελάχιστον οι συναφείς σκοποί πρόσβασης και ελέγχου, τηρουμένης της αρχής της
αναλογικότητας, η φύση και η έκταση του ελέγχου, η διαδικασία, ο τρόπος και οι
όροι πρόσβασης τόσο σε περίπτωση παρουσίας όσο και τυχόν απουσίας του
εργαζομένου, οι διαδικαστικές εγγυήσεις που αφορούν την πρόσβαση και τον έλεγχο,
ο τρόπος ενημέρωσης του εργαζομένου για τα ευρήματα του ελέγχου, η διαδικασία
που ακολουθείται μετά την ολοκλήρωση του ελέγχου με την οποία τυχόν διενεργείται
επεξεργασία προσωπικών δεδομένων, η προηγούμενη ενημέρωση των εργαζομένων
για το ενδεχόμενο πρόσβασης και ελέγχου στους εταιρικούς υπολογιστές που
χρησιμοποιούν καθώς και τις περιπτώσεις εξαίρεσης από την υποχρέωση ενημέρωσης
και η προβλεπόμενη δυνατότητα προσφυγής των εργαζομένων σε έννομη προστασία.
Επίσης, με την υπ’ αρ. πρωτ. Γ/ΕΙΣ/2384/28.03.2019 αίτησή του ο πληρεξούσιος
δικηγόρος του καταγγέλλοντος Γ. Πανταζής γνωστοποίησε στην Αρχή την υπ’ αρ. …
απόφαση του Μονομελούς Πρωτοδικείου Αθηνών, με την οποία απορρίφθηκε ως
αόριστη η από … αίτηση ασφαλιστικών μέτρων του Β για δέσμευση της ακίνητης και
κινητής περιουσίας του καταγγέλλοντος λόγω αδικοπραξίας.

Κατόπιν της υποβολής των, μετά την ακροαματική διαδικασία, υπομνημάτων, η
Αρχή έκρινε, εν όψει των εκ διαμέτρου αντίθετων ισχυρισμών των δυο πλευρών και
των προσκομισθέντων εγγράφων ως αποδεικτικού υλικού, αναγκαία την παροχή
πρόσθετων συμπληρωματικών διευκρινίσεων και με τα υπ’ αρ. πρωτ.
Γ/ΕΞ/4780/5.7.2019 και Γ/ΕΞ/4781/5.7.2019 έγγραφά της, ζήτησε την παροχή αυτών,
αντίστοιχα από τον καταγγέλλοντα και από την ελεγχόμενη εταιρία, προκειμένου να
προβεί στη λήψη απόφασης.
Κατόπιν αυτού, ο καταγγέλλων στο υπ’ αρ. πρωτ. Γ/ΕΙΣ/5119/22.07.2019
συμπληρωματικό του υπόμνημα υποστήριξε ότι: α) κατά τον χρόνο απουσίας του σε
άδεια, η καταγγελλομένη αφού ερεύνησε τον εταιρικό ηλεκτρονικό υπολογιστή του,
αφαίρεσε τον σκληρό δίσκο προς περαιτέρω έλεγχό του, χωρίς να έχει προηγουμένως
ενημερωθεί σχετικά ο ίδιος, χωρίς να έχει δώσει τη συγκατάθεσή του και χωρίς να
είναι παρών κατά την αφαίρεση του σκληρού δίσκου και τον έλεγχό του β) η
καταγγελλομένη ανέσυρε παρανόμως προσωπικά του δεδομένα κατόπιν ελέγχου του
ηλεκτρονικού του e-mail, της προσωπικής φυσικής αλληλογραφίας του, των
ιδιωτικών του εγγράφων που ευρίσκονταν στον χώρο εργασίας του καθώς και του
προσωπικού κινητού τηλεφώνου της ιδιαιτέρας γραμματέως του γ) στον εταιρικό
υπολογιστή περιλαμβάνονταν και προσωπικά του δεδομένα, στα οποία επιθυμούσε να
έχει πρόσβαση, πλην όμως οι καταγγελλόμενοι αρνήθηκαν να ικανοποιήσουν το
αίτημά του, είχαν δε αποκλείσει την πρόσβασή του στον εργασιακό χώρο,
κηρύσσοντάς τον σε υποχρεωτική άδεια δ) στην καταγγελλόμενη εταιρία τηρείται
εφεδρικό αρχείο αποθήκευσης των διαγραφέντων αρχείων (back up), γεγονός που
αποδεικνύει την παραβίαση της αρχής της αναλογικότητας στην επίμαχη επεξεργασία
των προσωπικών του δεδομένων ε) στην εταιρία λειτουργεί σύστημα
βιντεοεπιτήρησης που ουδέποτε γνωστοποιήθηκε στην Αρχή στ) δεν υφίσταται
ειδικό, υπέρτερο έννομο συμφέρον των καταγγελλομένων, που δικαιολογεί την
επέμβασή τους στα προσωπικά δεδομένα του καταγγέλλοντος, όπως συνάγεται και
από την απόρριψη ως αόριστου του αιτήματος λήψης ασφαλιστικών μέτρων με την
μεταγενέστερη υπ’ αρ. … απόφαση του Μονομελούς Πρωτοδικείου Αθηνών ζ)
ψεύδεται η ελεγχόμενη εταιρία με τον ισχυρισμό ότι ο ίδιος κατά την ακροαματική
διαδικασία ενώπιον της Αρχής ομολόγησε ότι αποθήκευε σε σκληρό δίσκο τα αρχεία
της εταιρίας, ενώ η αλήθεια είναι ότι αποθήκευε σε σκληρό δίσκο μέρος των
προσωπικών του δεδομένων (back up) για λόγους ασφάλειας των αρχείων και επίσης
τα ίδια αρχεία κρατούσε και σε back up, αποθηκευμένα σε δίσκο το Τμήμα

Μηχανοργάνωσης της εταιρίας η) η ελεγχόμενη εταιρία ψευδώς ανέφερε ότι είχε ο
ίδιος την ευθύνη της πολιτικής ασφαλείας της εταιρίας, παρά το ότι ο ίδιος την
υπέγραφε. Σε όλα τα εγχειρίδια της εταιρίας αναφέρεται ότι υπεύθυνος της πολιτικής
ασφάλειας της εταιρίας είναι ο managing director, ήτοι ο Β, και όχι ο καταγγέλλων, ο
οποίος ως γενικός διευθυντής είναι υπεύθυνος εφαρμογής αυτών που ο Β εγκρίνει θ)
οι καταγγελλόμενοι (εταιρία και Β) δεν επικαλούνται και δεν προσκομίζουν κανένα
αποδεικτικό μέσο που να επιβεβαιώνει τη μη επέμβασή τους στον ηλεκτρονικό
υπολογιστή του καταγγέλλοντος και να αποδεικνύει την πρότερη ενημέρωση και
συγκατάθεση του καταγγέλλοντος στην επεξεργασία των προσωπικών του δεδομένων
ι) στην Πολιτική Ασφάλειας που προσκομίζουν οι καταγγελλόμενοι, οι όροι για την
παρακολούθηση των επικοινωνιών των εργαζομένων είναι αόριστοι και ασαφείς ως
προς τα κριτήριά τους, δημιουργώντας κίνδυνο για την ιδιωτικότητά τους και κ) στο
κατατεθέν στην Αρχή ανυπόγραφο σχέδιο «Ενημέρωση και προστασία για την
επεξεργασία δεδομένων προσωπικού χαρακτήρα για τους εργαζόμενους γραφείου»
δεν γίνεται ειδική αναφορά για τα συστήματα βιντεοεπιτήρησης, τι καταγράφουν, για
πόσο χρονικό διάστημα και σε ποιους χώρους.
Η ελεγχόμενη εταιρία στο υπ’ αρ. πρωτ. Γ/ΕΙΣ/5110/22.07.2019 συμπληρωματικό
υπόμνημά της υποστήριξε ότι: α) ο καταγγέλλων ήταν ο νόμιμος εκπρόσωπος της
εταιρίας και Υπεύθυνος Προστασίας Δεδομένων (ΥΠΔ) -DPO αυτής, β) στο 4ο
Τμήμα του από 2.01.2017 Εγχειριδίου Επιχειρηματικής Πολιτικής της εταιρίας
(Policy Manual), το οποίο ο ίδιος ο καταγγέλλων είχε υπογράψει, αναφέρεται ρητά
ότι όλες οι ηλεκτρονικές επικοινωνίες πρέπει να χρησιμοποιούνται για
επαγγελματικούς σκοπούς μόνο καθώς και ότι η εταιρία διατηρεί το δικαίωμα να
ελέγχει όλες τις ηλεκτρονικές επικοινωνίες στις οποίες χρησιμοποιείται ο εξοπλισμός,
το λογισμικό και τα συστήματα της εταιρίας, μέσα στα όρια του εφαρμοστέου
εθνικού δικαίου, και συνεπώς οι εργαζόμενοι δεν θα πρέπει να αναμένουν
ιδιωτικότητα όταν χρησιμοποιούν τα συστήματα της εταιρίας γ) στην Πολιτική
Ασφαλείας των συστημάτων μηχανοργάνωσης της εταιρίας, η οποία συνετάγη την
5/12/2012 και τροποποιήθηκε την 5.11.2013 και 19.6.2015, όπως επικαιροποιήθηκε
και ισχύει μέχρι και σήμερα, και φέρει την υπογραφή του καταγγέλλοντος,
αναφέρεται ότι όλα τα μηνύματα που αποστέλλονται μέσω των συστημάτων
πληροφορικής και επικοινωνίας της ALLSEAS MARINE S.A. είναι ιδιοκτησίας της
και ότι η εταιρία θα παρακολουθεί, θα προσεγγίζει, θα ανακτά, θα διαβάζει και/ή θα
αποκαλύπτει τις επικοινωνίες των εργαζομένων, όταν υπάρχει νόμιμη εταιρική

ανάγκη, που δεν μπορεί να ικανοποιηθεί με άλλα μέσα, ο υπάλληλος δεν είναι
διαθέσιμος και το χρονοδιάγραμμα είναι κρίσιμο για την επιχειρηματική
δραστηριότητα της εταιρίας, υπάρχει εύλογη αιτία ύποπτης εγκληματικής
δραστηριότητας ή παραβίασης εσωτερικής πολιτικής ή η επιτήρηση απαιτείται από
νόμους, κανονισμούς ή συμφωνίες τρίτων δ) η επεξεργασία ήταν απολύτως αναγκαία
για την ικανοποίηση του υπέρτερου εννόμου συμφέροντος της εταιρίας κατ’
εφαρμογή του άρθ. 5 παρ. ε’ ν. 2472/1997 και της υπ’ αρ. 34/2018 απόφασης της
Αρχής, καθώς και της απόφασης του ΕΔΔΑ Barbulescu κατά Ρουμανίας της 05-9-
2017, ε) το ότι η αίτηση ασφαλιστικών μέτρων απορρίφθηκε για τυπικούς λόγους δεν
επηρεάζει την ουσία της υπόθεσης, η οποία θα λάβει τον δρόμο της ποινικής
διερεύνησης στ) η έρευνα και η ανάσυρση των αρχείων έγινε μόνον στον
εξυπηρετητή (server) της εταιρίας που ανήκει στην αποκλειστική κυριότητα της
εταιρίας και χρησιμοποιείται μόνο για τη διατήρηση και επεξεργασία δεδομένων που
αφορούν αποκλειστικά τις δραστηριότητες της εταιρίας ζ) ουδέν στοιχείο εξήχθη από
προσωπικό λογαριασμό ηλεκτρονικής αλληλογραφίας του καταγγέλλοντος, αλλά
οτιδήποτε ανεσύρθη εκ των διαγεγραμμένων αρχείων στον εταιρικό εξυπηρετητή
προερχόταν από τον εταιρικό λογαριασμό ηλεκτρονικής αλληλογραφίας του, η) όπως
ο ίδιος ο καταγγέλλων ομολόγησε ενώπιον της Αρχής, έχει λάβει back up του αρχείου
της εταιρίας μέχρι τον … και άλλες φορές παλαιότερα, άρα έχει λάβει όλα τα
προσωπικά του δεδομένα θ) ο καταγγέλλων είναι ύποπτος παράνομης επεξεργασίας
δεδομένων και οικονομικών αδικημάτων για αυτόν τον λόγο γνωστοποιήθηκε στην
Αρχή την … από την ALLSEAS MARINE S.A. περιστατικό παραβίασης
προσωπικών δεδομένων ι) τα ανασυρθέντα e-mails ουδόλως αφορούσαν σε δεδομένα
προσωπικού χαρακτήρα του καταγγέλλοντος, αλλά σε δεδομένα της εταιρίας που
αυτός επεξεργάστηκε παράνομα, δηλ. αποθήκευσε σε δικό του ηλεκτρονικό φορέα
αποθήκευσης αρχείων και στη συνέχεια διέγραψε με τη βοήθεια υπαλλήλων της
εταιρίας, οι οποίοι ενεργούσαν υπό τις εντολές του ια) καμία επεξεργασία δεν έγινε
στον προσωπικό υπολογιστή του καταγγέλλοντος για να υπάρχει υπόνοια παράνομης
επεξεργασίας των προσωπικών του δεδομένων που τηρούνταν στην επιφάνεια
εργασίας του προσωπικού υπολογιστή υπό τον φάκελο personal, η δημιουργία και
διατήρηση του οποίου υπήρξε αντίθετη με τις πολιτικές της εταιρίας που την
απαγόρευαν ρητά ιβ) ικανοποιήθηκε το δικαίωμα ενημέρωσης του καταγγέλλοντος
με την από … εξώδικη δήλωση της εταιρίας ιγ) ο καταγγέλλων όφειλε να αποδείξει
ποια προσωπικά δεδομένα είχε αποθηκευμένα στον εταιρικό υπολογιστή που

χειριζόταν ο ίδιος και τέλος ιδ) η εταιρία έχει τοποθετήσει κάμερες ασφαλείας σε
χώρους που είναι κρίσιμοι χώροι εργασίας υπό την έννοια του άρθ. 7 της Οδηγίας
1/2011 (Τμήμα διαχείρισης πληρωμάτων, διαχείρισης ανθρώπινου δυναμικού,
λογιστήριο, νομικό Τμήμα), και έχει αναρτήσει σε επαρκή αριθμό και εμφανές μέρος
ευδιάκριτες πινακίδες, όπου αναγράφεται η εταιρία ως υπεύθυνη επεξεργασίας καθώς
και ο σκοπός λειτουργίας τους.

Η Αρχή, από την ακροαματική διαδικασία, από τα στοιχεία του φακέλου της
υπόθεσης, καθώς και από τα υπομνήματα που υποβλήθηκαν στην Αρχή, εκτός του
υλικού που ελήφθη από το σύστημα βιντεοεπιτήρησης της ελεγχόμενη εταιρίας,
τμήμα του οποίου προβλήθηκε κατά την ακρόαση (χωρίς εναντίωση του
καταγγέλλοντος) και εν συνεχεία προσκομίσθηκε από την ελεγχόμενη εταιρία σε
έντυπη μορφή (εκτυπώσεις φωτογραφιών), το οποίο δεν λαμβάνει υπόψη της η Αρχή
κατ’ άρθ. 19 παρ. 3 Σ., όπως αναλυτικότερα αναφέρεται στην υπ’ αρ. 20 αιτιολογική
σκέψη της παρούσας, και αφού άκουσε τον εισηγητή και τη βοηθό εισηγητή, η οποία
αποχώρησε μετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη
απόφασης, μετά από διεξοδική συζήτηση, λαμβάνοντας υπόψη ιδίως:

1. Τις διατάξεις του Συντάγματος, και ιδίως εκείνες των άρθρων 2 παρ. 1, 5 παρ.
1, 5Α, 9, 9Α, 19 παρ. 3, 17, 22, 25 και 28
2. Τις διατάξεις της Ευρωπαϊκής Σύμβασης των Δικαιωμάτων του Ανθρώπου της
04.11.1950 που κυρώθηκε με το ν.δ. 53 της 19.9.1974, όπως ισχύει σήμερα και
ιδίως εκείνες του άρθρου 8
3. Τις διατάξεις Λειτουργίας της Συνθήκης της Ευρωπαϊκής Ένωσης και ιδίως
εκείνες του άρθρου 16
4. Τις διατάξεις του Χάρτη Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκή Ένωσης
(2012/C 326/02) και ιδίως εκείνες των άρθρων 7, 8 και 52
5. Τις διατάξεις της Σύμβασης του Συμβουλίου της Ευρώπης για την προστασία
των προσώπων έναντι της αυτοματοποιημένης επεξεργασίας των δεδομένων
προσωπικού χαρακτήρα της 28.1.1981 («Σύμβαση 108»), που κυρώθηκε με το
ν. 2068/1992, όπως ισχύει σήμερα και ιδίως εκείνες των άρθρων 5 και 6
6. Τις διατάξεις του Γενικού Κανονισμού Προστασίας Δεδομένων (ΓΚΠΔ) υπ’
αρ. 679/2016

7. Τις διατάξεις του ν. 2472/1997 στο μέτρο που δεν έρχονται σε αντίθεση με τον
ΓΚΠΔ (βλ. ΑΠΔΠΧ 46/18 και 52/18)
8. Τις διατάξεις της Οδηγίας υπ’ αρ. 115/2001 της Αρχής Προστασίας Δεδομένων
Προσωπικού Χαρακτήρα με θέμα τα αρχεία των εργαζομένων
9. Την υπ’ αρ. 1/2011 Οδηγία της Αρχής Προστασίας Δεδομένων Προσωπικού
Χαρακτήρα για τη χρήση συστημάτων βιντεοεπιτήρησης για την προστασία
προσώπων και αγαθών
10. Τις Κατευθυντήριες Γραμμές του Ευρωπαϊκού Συμβουλίου Προστασίας
Δεδομένων [ΕΣΠΔ] υπ’ αρ. 3/2019 “on processing of personal data through
video devices” της 10-7-2019 υπό δημόσια διαβούλευση
11. Την υπ’ αρ. 2/2017 Γνώμη της Ομάδας Εργασίας του άρθρου 29, για την
επεξεργασία δεδομένων προσωπικού χαρακτήρα στην εργασία (WP 249)
12. Το από 29-5-2002 Έγγραφο Εργασίας της Ομάδας Εργασίας του άρθρου 29
για την επιτήρηση των ηλεκτρονικών επικοινωνιών στον τόπο εργασίας
(WP55)
13. Την υπ’ αρ. 8/2001 Γνώμη της Ομάδας Εργασίας του άρθρου 29 για την
επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο των εργασιακών
σχέσεων (WP 48)
14. Την υπ’ αρ. 06/2014 Γνώμη της Ομάδας Εργασίας του άρθρου 29 σχετικά με
την έννοια των εννόμων συμφερόντων του υπευθύνου επεξεργασίας (WP 217),
στο μέτρο που είναι ερμηνευτικά χρήσιμη στο πλαίσιο της παρούσας
15. Τις Κατευθυντήριες Γραμμές της Ομάδας Εργασίας του άρθρου 29
«Guidelines on transparency under Regulation 2016/679», WP260 rev.01, στο
μέτρο που είναι ερμηνευτικά χρήσιμες στο πλαίσιο της παρούσας
16. Την υπ’ αρ. 2/2006 Γνώμη της Ομάδας Εργασίας του άρθρου 29 σχετικά με το
απόρρητο κατά την παροχή υπηρεσιών ελέγχου του ηλεκτρονικού
ταχυδρομείου (WP 118), στο μέτρο που είναι ερμηνευτικά χρήσιμη στο
πλαίσιο της παρούσας
17. Το εγκεκριμένο την 21-11-2000 Έγγραφο εργασίας της Ομάδας Εργασίας του
άρθρου 29 για την Προστασία της ιδιωτικής ζωής στο Διαδίκτυο
(5063/00/ΟΕ37), στο μέτρο που είναι ερμηνευτικά χρήσιμο στο πλαίσιο της
παρούσας
18. Την από Αυγούστου 1996 έκθεση και συστάσεις της Διεθνούς Ομάδας
Εργασίας για την προστασία των προσωπικών δεδομένων στον τομέα των

τηλεπικοινωνιών (IWCDPT) για τις τηλεπικοινωνίες και την ιδιωτικότητα στις
εργασιακές σχέσεις
19. Τον Κώδικα Δεοντολογίας της Διεθνούς Οργάνωσης Εργασίας για την
προστασία των δεδομένων προσωπικού χαρακτήρα των εργαζομένων του
1997
20. Την υπ’ αρ. 2015/5 Σύσταση του Συμβουλίου των Υπουργών της 01-4-2015
για την επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο των
εργασιακών σχέσεων
21. Την υπ’ αρ. R (89)2 Σύσταση του Συμβουλίου των Υπουργών της 18-01-1989
για την προστασία των δεδομένων προσωπικού χαρακτήρα που τυγχάνουν
επεξεργασίας στις εργασιακές σχέσεις
22. Τις αναθεωρημένες Κατευθυντήριες Γραμμές σχετικά με του Υπευθύνους
Προστασίας Δεδομένων (DPO) της Ομάδας Εργασίας του άρθρου 29 (WP 243
rev. 01 της 05-4-2017)

ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ

1. Με το άρθρο 94 του Γενικού Κανονισμού Προστασίας Δεδομένων (ΓΚΠΔ) υπ’ αρ.
679/2016 καταργήθηκε από τις 25.5.2018 η Οδηγία 95/46/ΕΚ, οπότε και τέθηκε σε
εφαρμογή ο ΓΚΠΔ κατ’ άρθ. 99 παρ. 2 αυτού. Ο ν. 2472/1997 εξακολουθεί να ισχύει
στο μέτρο που οι διατάξεις του δεν έρχονται σε αντίθεση με τον ΓΚΠΔ (βλ. ΑΠΔΠΧ
46/18 και 52/18).
2. Η επεξεργασία των δεδομένων προσωπικού χαρακτήρα θα πρέπει να προορίζεται
να εξυπηρετεί τον άνθρωπο. Το δικαίωμα στην προστασία δεδομένων προσωπικού
χαρακτήρα δεν είναι απόλυτο δικαίωμα, πρέπει να εκτιμάται σε σχέση με τη
λειτουργία του στην κοινωνία και να σταθμίζεται με άλλα θεμελιώδη δικαιώματα,
σύμφωνα με την αρχή της αναλογικότητας (Αιτ.Σκ. 4 ΓΚΠΔ).
3. Στην αιτιολογική σκέψη 39 του ΓΚΠΔ εξηγούνται οι προϋποθέσεις νόμιμης
επεξεργασίας των δεδομένων προσωπικού χαρακτήρα.
4. Προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν νόμιμης
επεξεργασίας, ήτοι επεξεργασίας σύμφωνα προς τις απαιτήσεις του ΓΚΠΔ, θα πρέπει
να πληρούνται σωρευτικά οι προϋποθέσεις εφαρμογής και τήρησης των αρχών του
άρθρου 5 παρ. 1 ΓΚΠΔ, όπως προκύπτει και από την πρόσφατη απόφαση του

Δικαστηρίου της Ευρωπαϊκής Ένωσης (ΔΕΕ) της 16-01-2019 στην υπόθεση C-
496/2017 Deutsche Post AG κατά Hauptzollamt Köln1. Η ύπαρξη ενός νόμιμου
θεμελίου (άρθ. 6 ΓΚΠΔ) δεν απαλλάσσει τον υπεύθυνο επεξεργασίας από την
υποχρέωση τήρησης των αρχών (άρθ. 5 παρ. 1 ΓΚΠΔ) αναφορικά με τον θεμιτό
χαρακτήρα, την αναγκαιότητα και την αναλογικότητα και την αρχή της
ελαχιστοποίησης2. Σε περίπτωση κατά την οποία παραβιάζεται κάποια εκ των
προβλεπομένων στο άρθρο 5 παρ. 1 ΓΚΠΔ αρχών, η εν λόγω επεξεργασία παρίσταται
ως μη νόμιμη (αντικείμενη στις διατάξεις του ΓΚΠΔ) και παρέλκει η εξέταση των
προϋποθέσεων εφαρμογής των νομικών βάσεων του άρθρου 6 ΓΚΠΔ3. Έτσι, η κατά
παράβαση των αρχών του άρθρου 5 ΓΚΠΔ μη νόμιμη συλλογή και επεξεργασία των
δεδομένων προσωπικού χαρακτήρα δεν θεραπεύεται από την ύπαρξη νόμιμου σκοπού
και νομικής βάσης (πρβλ. ΑΠΔΠΧ 38/2004).
Επιπλέον δε, το ΔΕΕ με την από 01-10-2015 απόφασή του στο πλαίσιο της
υπόθεσης C-201/14 (Smaranda Bara) έκρινε ως προϋπόθεση της θεμιτής και νόμιμης
επεξεργασίας των δεδομένων προσωπικού χαρακτήρα την ενημέρωση του
υποκειμένου των δεδομένων προ της επεξεργασίας αυτών4.
5. Περαιτέρω, ο υπεύθυνος επεξεργασίας, στο πλαίσιο της από μέρους του
τήρησης της αρχής της θεμιτής ή δίκαιης επεξεργασίας των δεδομένων προσωπικού

1
«57. Ωστόσο, κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει να είναι σύμφωνη, αφενός
προς τις αρχές που πρέπει να τηρούνται ως προς την ποιότητα των δεδομένων, τις οποίες θέτει το άρθρο
6 της οδηγίας 95/46 ή το άρθρο 5 του κανονισμού 2016/679 και, αφετέρου, προς τις βασικές αρχές της
νόμιμης επεξεργασίας δεδομένων που απαριθμεί το άρθρο 7 της οδηγίας αυτής ή το άρθρο 6 του
κανονισμού αυτού (πρβλ. αποφάσεις ...C-465/00, C-138/01, C-139/01, C-131/12»..
2
Σχετικά βλ. Λ. Μήτρου, ο γενικός κανονισμός προστασίας προσωπικών δεδομένων [νέο δίκαιο-νέες
υποχρεώσεις-νέα δικαιώματα], εκδ. Σάκκουλα, 2017 σελ. 58 και 69-70).
3
Πρβλ. ΣτΕ 517/2018 παρ. 12: «[...] προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν
νόμιμης επεξεργασίας, απαιτείται σε κάθε περίπτωση να συντρέχουν σωρευτικά οι προϋποθέσεις του
άρθρου 4 παρ. 1 του ν. 2472/1997, που μεταξύ άλλων, ορίζει ότι τα δεδομένα πρέπει να συλλέγονται και
να υφίστανται επεξεργασία κατά τρόπο θεμιτό και νόμιμο, για σαφείς και νόμιμους σκοπούς...Εφόσον
συντρέχουν οι προϋποθέσεις του άρθρου 4 παρ. 1 του ν. 2472/1997 (νόμιμη συλλογή και επεξεργασία
δεδομένων για σαφείς και νόμιμους σκοπούς), εξετάζεται περαιτέρω αν συντρέχουν και οι προϋποθέσεις
της διατάξεως του άρθρου 5 παρ. 2 του ν. 2472/1997 [νομικές βάσεις]». Επίσης, πρβλ. ΣτΕ σε
Ολομέλεια 2285/2001 παρ. 10: «[...] Μόνο δε εάν συντρέχουν οι παραπάνω βασικές προϋποθέσεις,
έχουν εφαρμογή οι διατάξεις των άρθρων 5 και 7 του Ν. 2472/1997, οι οποίες επιβάλλουν ως περαιτέρω
πρόσθετη, κατ’ αρχήν, προϋπόθεση νόμιμης επεξεργασίας δεδομένων προσωπικού χαρακτήρα
συγκεκριμένου προσώπου, τη συγκατάθεση αυτού».
4
«31. ο υπεύθυνος της επεξεργασίας των δεδομένων ή ο εκπρόσωπος του υπέχουν υποχρέωση
ενημερώσεως, το περιεχόμενο της οποίας ορίζεται στα άρθρα 10 και 11 της οδηγίας 95/46 και διαφέρει
αναλόγως του αν τα δεδομένα συγκεντρώνονται από το πρόσωπο το οποίο αφορούν τα δεδομένα ή όχι,
και τούτο υπό την επιφύλαξη των εξαιρέσεων που προβλέπει το άρθρο 13 της εν λόγω οδηγίας [...] 34.
Συνεπώς, η απαίτηση περί θεμιτής επεξεργασίας δεδομένων την οποία προβλέπει το άρθρο 6 της οδηγίας
95/46 υποχρεώνει τη διοικητική αρχή να ενημερώνει τα πρόσωπα τα οποία αφορούν τα δεδομένα
σχετικά με τη διαβίβαση των εν λόγω δεδομένων σε άλλη διοικητική αρχή προς τον σκοπό επεξεργασίας
τους από τη δεύτερη ως αποδέκτρια των εν λόγω δεδομένων».

χαρακτήρα, οφείλει να ενημερώνει το υποκείμενο των δεδομένων ότι πρόκειται να
επεξεργαστεί τα δεδομένα του με νόμιμο και διαφανή τρόπο (σχετικά βλ. ΔΕΕ C-
496/17 οπ.π. παρ. 59 και ΔΕΕ C-201/14 της 01-10-2015 παρ. 31-35 και ιδίως 34) και
να βρίσκεται σε θέση ανά πάσα στιγμή να αποδείξει τη συμμόρφωσή του με τις αρχές
αυτές (αρχή της λογοδοσίας κατ’ άρθ. 5 παρ. 2 σε συνδυασμό με άρθρα 24 παρ. 1 και
32 ΓΚΠΔ).
Η επεξεργασία δεδομένων προσωπικού χαρακτήρα με διαφανή τρόπο συνιστά
έκφανση της αρχής της θεμιτής επεξεργασίας και συνδέεται με την αρχή της
λογοδοσίας, παρέχοντας το δικαίωμα στα υποκείμενα να ασκούν έλεγχο επί των
δεδομένων τους καθιστώντας υπόλογους τους υπεύθυνους επεξεργασίας (βλ.
Κατευθυντήριες Γραμμές ΟΕ 29, Guidelines on transparency under Regulation
2016/679, WP260 rev.01, σελ. 4 και 5).
Η συλλογή και επεξεργασία των δεδομένων προσωπικού χαρακτήρα δεν θα
πρέπει ως κανόνας να λαμβάνει χώρα μυστικά ή με απόκρυψή της από το υποκείμενο
των δεδομένων, καθώς και με απόκρυψη όλων των αναγκαίων πληροφοριών, εκτός
εάν προβλέπεται από τη νομοθεσία, τηρουμένων των προϋποθέσεων του άρθρου 8
ΕΣΔΑ, όπως ερμηνεύεται με τις αποφάσεις του ΕΔΔΑ και πάντοτε υπό το πρίσμα της
αρχής της αναλογικότητας.
6. Εξάλλου, με τον ΓΚΠΔ υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης,
κεντρικό μέγεθος του οποίου συνιστά η αρχή της λογοδοσίας, στο πλαίσιο της οποίας
ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει
λαμβάνει τα αναγκαία μέτρα και πολιτικές προκειμένου η επεξεργασία των
δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον δε, ο
υπεύθυνος επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να αποδεικνύει από
μόνος του και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1
ΓΚΠΔ. Δεν είναι τυχαίο ότι ο ΓΚΠΔ εντάσσει τη λογοδοσία (άρθρο 5 παρ. 2 ΓΚΠΔ)
στη ρύθμιση των αρχών (άρθρο 5 παρ. 1 ΓΚΠΔ) που διέπουν την επεξεργασία,
προσδίδοντας σε αυτήν, τη λειτουργία ενός μηχανισμού τήρησής τους,
αντιστρέφοντας κατ’ ουσίαν το «βάρος της απόδειξης» ως προς τη νομιμότητα της
επεξεργασίας (και εν γένει την τήρηση των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ),
μεταθέτοντάς τη στον υπεύθυνο επεξεργασίας,5 ώστε να υποστηρίζεται βάσιμα ότι

5
Σχετικά βλ. Λ. Μήτρου, Η αρχή της Λογοδοσίας σε Υποχρεώσεις του υπεύθυνου επεξεργασίας [Γ.
Γιαννόπουλος, Λ. Μήτρου, Γ. Τσόλιας], Συλλογικός Τόμος Λ. Κοτσαλή – Κ. Μενουδάκου «Ο ΓΚΠΔ,
Νομική διάσταση και πρακτική εφαρμογή», εκδ. Νομική Βιβλιοθήκη, 2018, σελ. 172 επ.

εκείνος φέρει το βάρος της επίκλησης και απόδειξης της νομιμότητας της
επεξεργασίας6.
Έτσι, συνιστά υποχρέωση του υπευθύνου επεξεργασίας αφενός να λαμβάνει
από μόνος του τα αναγκαία μέτρα προκειμένου να συμμορφώνεται προς τις
απαιτήσεις του ΓΚΠΔ, αφετέρου, να αποδεικνύει ανά πάσα στιγμή την ανωτέρω
συμμόρφωσή του, χωρίς μάλιστα να απαιτείται η Αρχή, στο πλαίσιο άσκησης των
ερευνητικών - ελεγκτικών εξουσιών της, να υποβάλλει επιμέρους – εξειδικευμένα
ερωτήματα και αιτήματα προς διαπίστωση της συμμόρφωσης.
Επισημαίνεται ότι η Αρχή εξαιτίας του ότι διανύεται το πρώτο χρονικό
διάστημα εφαρμογής του ΓΚΠΔ υποβάλλει ερωτήματα και αιτήματα στο πλαίσιο
άσκησης των συναφών ερευνητικών – ελεγκτικών εξουσιών της, ώστε να διευκολύνει
την από μέρους των υπευθύνων επεξεργασίας τεκμηρίωση της λογοδοσίας. Ο
υπεύθυνος επεξεργασίας οφείλει στο πλαίσιο των ελέγχων – ερευνών της Αρχής να
παρουσιάζει από μόνος του και χωρίς σχετικά ερωτήματα και αιτήσεις της Αρχής τα
μέτρα και πολιτικές που υιοθέτησε στο πλαίσιο της εσωτερικής οργάνωσης της
συμμόρφωσής του, καθώς αυτός τελεί σε γνώση τους αφού σχεδίασε και υλοποίησε
τη σχετική οργάνωση.
7. Το Ευρωπαϊκό Δικαστήριο Δικαιωμάτων του Ανθρώπου (ΕΔΔΑ) έχει
καταστήσει σαφές ότι η προστασία της «ιδιωτικής ζωής» που θεμελιώνεται στο
άρθρο 8 ΕΣΔΑ δεν εξαιρεί την επαγγελματική ζωή των εργαζομένων και δεν
περιορίζεται στη ζωή εντός του τόπου κατοικίας (βλ. ΑΠΔΠΧ 34/2018 και ΟΕ29
Έγγραφο εργασίας για την επιτήρηση των ηλεκτρονικών επικοινωνιών στον τόπο
εργασίας της 29-5-2002, WP55, σελ. 8).

8. Οι εργαζόμενοι έχουν μια εύλογη προσδοκία προστασίας της ιδιωτικής ζωής
τους στον τόπο εργασίας, η οποία δεν αίρεται από το γεγονός ότι χρησιμοποιούν
εξοπλισμό, συσκευές επικοινωνιών ή οποιεσδήποτε άλλες επαγγελματικές
εγκαταστάσεις και υποδομές (π.χ. δίκτυο ηλεκτρονικών επικοινωνιών, Wi-Fi,
εταιρικές ηλεκτρονικές διευθύνσεις αλληλογραφίας κ.λπ.) του εργοδότη (βλ. ΑΠΔΠΧ
34/2018, 61/2004, Ομάδα Εργασίας άρθρου 29 WΡ55, όπ.π. σελ. 9, Λ. Μήτρου, όπ.π.
σε συλλογικό τόμο Κοτσαλή, όπ.π., σελ. 204).

6
P. de Hert, V. Papakonstantinou, D. Wright and S. Gutwirth, The proposed Regulation and the
construction of a principles-driven system for individual data protection, σελ. 141.

Το γεγονός ότι ο εργοδότης μπορεί να είναι ο ιδιοκτήτης των ηλεκτρονικών
μέσων επικοινωνίας (π.χ. ηλεκτρονικούς υπολογιστές, tablets, τηλεφωνικές συσκευές,
εταιρικό δίκτυο επικοινωνιών, διακομιστές servers, εταιρικές ηλεκτρονικές
διευθύνσεις αλληλογραφίας κ.λπ.) ή ότι μια ηλεκτρονική επιστολή έχει αποσταλεί
από εταιρική διεύθυνση αλληλογραφίας δεν οδηγεί σε απεμπόληση του δικαιώματος
στον ιδιωτικό βίο (βλ. ΕΔΔΑ, Α’ Τμήμα, George Garamukanwa v. UK απόφαση της
14-5-2019 επί του παραδεκτού, παρ. 25), του δικαιώματος των εργαζομένων στην
προστασία των δεδομένων προσωπικού χαρακτήρα, του δικαιώματος στην προστασία
του απορρήτου των επικοινωνιών και των σχετικών δεδομένων θέσης (βλ. OE29
Γνώμη 2/17, σελ. 22 κ ΟΕ29, WP55, όπ.π., σελ. 22), ούτε βεβαίως μπορεί να γίνει
δεκτό ότι τα δεδομένα προσωπικού χαρακτήρα των εργαζομένων που παράγονται με
τη χρήση των εταιρικών μέσων επικοινωνιών συνιστούν «ιδιοκτησία» ή «περιουσία»
του εργοδότη επειδή είναι ο ιδιοκτήτης των ανωτέρω μέσων επικοινωνίας ή των
ηλεκτρονικών εταιρικών διευθύνσεων αλληλογραφίας, προσέγγιση που υιοθετείται
από τμήμα της νομολογίας των δικαστηρίων των Η.Π.Α., όχι όμως της Ευρωπαϊκής
Ένωσης.

Επιπλέον δε, το γεγονός ότι τα δεδομένα προσωπικού χαρακτήρα τυγχάνουν
επεξεργασίας στον εργασιακό χώρο και άπτονται επαγγελματικής δραστηριότητας,
δεν αναιρεί τον χαρακτηρισμό τους ως προσωπικών (βλ. ΔΕΕ C-398/2015 απόφαση
Salvatore Manni της 09-3-2017 παρ. 34), ούτε συνεπάγεται εξαίρεση από τη συναφή
προστασία.

Εν όψει των ανωτέρω θα πρέπει να διευκρινισθεί ότι υπάγεται στη προστασία
της νομοθεσίας για τα δεδομένα προσωπικού χαρακτήρα η ηλεκτρονική επικοινωνία-
αλληλογραφία (e-mails), ακόμη και όταν λαμβάνει χώρα στο πλαίσιο επαγγελματικής
σχέσης, αρκεί η διεύθυνση της ηλεκτρονικής επικοινωνίας (e-mail address) να
περιλαμβάνει πληροφορίες σε σχέση με το φυσικό πρόσωπο-χρήστη της, που να
καθιστούν δυνατή την ταυτοποίησή του κατ’ άρθ. 4 παρ. 1 ΓΚΠΔ. Έτσι, η διεύθυνση
ηλεκτρονικής επικοινωνίας π.χ. [email protected] συνιστά δεδομένο προσωπικού
χαρακτήρα, όχι όμως, κατ’ αρχήν και εκείνη που αφορά απευθείας το νομικό
πρόσωπο π.χ. [email protected] 7.

7
Αναλυτικά βλ. το περιεχόμενο της από 21-02-2018 απάντησης που δόθηκε από την Ευρωπαϊκή
Επιτροπή στο πλαίσιο της υπ’ αρ/ Ε-007147/17 ερώτησης

9. Όπως πρόσφατα κρίθηκε με την απόφαση ΑΠΔΠΧ 34/2018 η πρόσβαση από
τον εργοδότη σε αποθηκευμένα προσωπικά δεδομένα στον υπολογιστή του
εργαζομένου συνιστά επεξεργασία δεδομένων προσωπικού χαρακτήρα (βλ. και
ΑΠΔΠΧ 61/2004).
Τα ανωτέρω ισχύουν σε περίπτωση πρόσβασης σε δεδομένα προσωπικού
χαρακτήρα που περιέχονται σε κάθε αποθηκευτικό μέσο ή σύστημα ηλεκτρονικών
επικοινωνιών, όπως και σε διακομιστή (server). Επομένως, τυχόν επιχειρηματολογία
κατά την οποία προστασίας τυγχάνουν τα δεδομένα προσωπικού χαρακτήρα που
περιέχονται σε ηλεκτρονικό υπολογιστή που χρησιμοποιεί ο εργαζόμενος, όχι όμως
σε εκείνα που περιέχονται στον εταιρικό server, δεν βρίσκει έρεισμα στην κείμενη
νομοθεσία και έρχεται σε πλήρη αντίθεση με τη φύση των δεδομένων προσωπικού
χαρακτήρα και τον σκοπό προστασίας τους.

10. Ο εργοδότης ασκώντας το διευθυντικό του δικαίωμα για την προστασία της
περιουσίας και της εύρυθμης λειτουργίας της επιχείρησης, υπό την αυτονόητη
προϋπόθεση της τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ8 και επί τη βάσει
προβλεπόμενων προ της επεξεργασίας συγκεκριμένων διαδικασιών και εγγυήσεων
στο πλαίσιο της οργάνωσης της εσωτερικής συμμόρφωσης σύμφωνα με την αρχή της
λογοδοσίας, δικαιούται να ασκεί έλεγχο επί των ηλεκτρονικών μέσων επικοινωνίας
που παρέχει στους εργαζόμενους για την εργασία τους, εφόσον η συναφής
επεξεργασία, τηρουμένης της αρχής της αναλογικότητας, είναι αναγκαία για την
ικανοποίηση του έννομου συμφέροντος που επιδιώκει και υπό τον όρο ότι τούτο
υπερέχει προφανώς των δικαιωμάτων και συμφερόντων του εργαζομένου, χωρίς να
θίγονται οι θεμελιώδεις ελευθερίες αυτού κατ’ άρθ. 6 παρ. 1 εδ. στ’ ΓΚΠΔ και αφού
έχει ενημερωθεί ο τελευταίος έστω και για τη δυνατότητα συναφούς ελέγχου (βλ.
αναλυτικά ΑΠΔΠΧ 34/2018). Η ίδια νομική βάση και προσέγγιση υιοθετείται και
από την πρόσφατη νομολογία του ΕΔΔΑ (βλ. απόφαση Barbulescu v. Romania της
05-9-2017 σε ευρεία σύνθεση, παρ. 127).

http://www.europarl.europa.eu/doceo/document/E-8-2017-007174-ASW_EN.html?redirect
8
Σχετικά βλ. Ομάδα Εργασίας άρθρου 29, Γνώμη 2/2017 για την επεξεργασία δεδομένων στην
εργασία, WP 249, σελ. 7 επ. και Λ. Μήτρου, Η προστασία δεδομένων των εργαζομένων σε Λεωνίδα
Κοτσαλή (επιμ.), Προσωπικά Δεδομένα, Ανάλυση-Σχόλια-Εφαρμογή, Νομική Βιβλιοθήκη, Αθήνα
2016 σελ. 185 επ., ιδίως 197 επ.

Στην περίπτωση αυτή, θα πρέπει να επιτευχθεί η δίκαιη και αναγκαία
ισορροπία μεταξύ των σκοπών επίτευξης των εννόμων συμφερόντων που επιδιώκει ο
υπεύθυνος επεξεργασίας από τη μία (βλ. ΟΕ29, Γνώμη 2/2017 “on data processing at
work”, σελ. 4) και του σεβασμού των εύλογων και νόμιμων προσδοκιών των
εργαζομένων για την προστασία των δεδομένων προσωπικού χαρακτήρα στον
εργασιακό χώρο, από την άλλη. Οι νόμιμες και εύλογες προσδοκίες των εργαζομένων
εν προκειμένω, βρίσκουν έρεισμα στις αρχές της σύννομης και θεμιτής ή δίκαιης με
διαφανή τρόπο επεξεργασίας των δεδομένων προσωπικού χαρακτήρα αυτών,
δημιουργώντας αντίστοιχα στον υπεύθυνο επεξεργασίας τις σχετικές υποχρεώσεις.

11. Ειδικότερα, η ικανοποίηση του έννομου συμφέροντος (για τη σχετική έννοια
βλ. Ομάδα Εργασίας άρθρου 29 Γνώμη 6/2014) που επιδιώκει ο εργοδότης μπορεί να
συνίσταται, ανάμεσα σε άλλα, και στην από μέρους του άσκηση του διευθυντικού
δικαιώματος, από το οποίο απορρέουν οι παρεπόμενες υποχρεώσεις πίστης προς
αυτόν9 και από αυτές συνάγεται και η υποχρέωση παροχής πληροφοριών προς αυτόν,
καθώς και ο έλεγχος διαρροής τεχνογνωσίας, εμπιστευτικών πληροφοριών ή
εμπορικών/επιχειρηματικών απορρήτων (βλ. Λ. Μήτρου, Επιθεώρηση Εργατικού
Δικαίου, 76ος τόμος, 2017, σελ. 137 επ., ιδίως 146-147). Ειδικότερα, τέτοιο έννομο
συμφέρον μπορεί να συνιστά η από τον εργοδότη διασφάλιση της εύρυθμης
λειτουργίας της επιχείρησης με την εγκαθίδρυση μηχανισμών ελέγχου των
εργαζομένων (βλ. ΑΠΔΠΧ 34/2018, ΕΔΔΑ Barbulescu v. Romania, όπ.π., παρ. 127)
καθώς και η ανάγκη του να προστατέψει την επιχείρηση και την περιουσία10 της από
σημαντικές απειλές, όπως το να εμποδίσει τη διαβίβαση εμπιστευτικών πληροφοριών
σε έναν ανταγωνιστή ή να εξασφαλίσει την επιβεβαίωση ή απόδειξη εγκληματικών
δράσεων του εργαζομένου (σχετικά βλ. ΑΠΔΠΧ 34/2018, Ομάδα Εργασίας άρθρου
29 Έγγραφο Εργασίας για την επιτήρηση των ηλεκτρονικών επικοινωνιών στον τόπο
εργασίας της 29-5-2002 WP55, σελ. 18), στο μέτρο βεβαίως που ο εργοδότης, στην

9
Σχετικά βλ. ΑΠ (Ολ) 1/2017 «Από τις διατάξεις των άρθρων 652 και 288 ΑΚ και 16 του ν. 146/1914
προκύπτει ότι ο μισθωτός, ο οποίος έχει καθήκον πίστης προς τον εργοδότη του, υποχρεούται να μην
ενεργεί ανταγωνιστικές πράξεις, οι οποίες βλάπτουν τα συμφέροντα του εργοδότη. Τέτοιες πράξεις, πλην
άλλων, είναι η άσκηση για δικό του λογαριασμό, με άγνοια του εργοδότη, εμπορικών εργασιών, ομοίων
προς τις πράξεις του τελευταίου, ως και η εξυπηρέτηση πελατών του εργοδότη απ’ ευθείας από τον
μισθωτό (ΑΠ 1285/1984)».
10
Το διευθυντικό δικαίωμα του εργοδότη κατοχυρώνεται από το άρθρο 17 Σ. σε συνδυασμό με τις
διατάξεις των άρθρων 5 παρ. 1, 9, 9Α, 22 παρ. 1, αλλά και 106 παρ. 2 Σ (βλ. Φερενίκη Παναγοπούλου-
Κουτνατζή, Οι νέες τεχνολογίες και η προστασία της ιδιωτικής σφαίρας στο χώρο εργασίας,
Ευρωπαίων Πολιτεία 2/2011, σ. 325 επ., 331 επ.), μέσα από τις οποίες συνάγεται η αρχή του
αντικειμενικού συμφέροντος της επιχειρήσεως που επιτρέπει τη στάθμιση από τον δικαστή των
αντιτιθεμένων συμφερόντων κατά τον έλεγχο μίας αποφάσεως του εργοδότη.

τελευταία περίπτωση, δεν υπεισέρχεται στην άσκηση ανακριτικών ενεργειών που
κατά νόμο επιφυλάσσονται αποκλειστικά στις αρμόδιες δικαστικές-εισαγγελικές
αρχές και τις υπηρεσίες που ενεργούν υπό την άμεση εποπτεία τους και ιδίως σε
εκείνες που διενεργούνται υπό καθεστώς μυστικότητας11.
Στην περίπτωση όμως κατά την οποία, από εσωτερικές πολιτικές και
κανονισμούς εργασίας της εταιρίας προβλέπεται η δυνατότητα ελέγχου και έρευνας
ειδικά των ηλεκτρονικών επικοινωνιών και αρχείων των εργαζομένων με βάση
συγκεκριμένες διαδικασίες και εγγυήσεις και εφόσον έχουν προηγουμένως
ενημερωθεί οι εργαζόμενοι, έστω και για τη συναφή δυνατότητα, τότε δεν μπορεί να
γίνει λόγος για άσκηση ανακριτικών ενεργειών που κατά νόμο επιφυλάσσονται
αποκλειστικά στις αρμόδιες δικαστικές-εισαγγελικές αρχές και τις υπηρεσίες που
ενεργούν υπό την άμεση εποπτεία τους12.

12. Η από μέρους του εργαζόμενου χρήση δικτύων, συστημάτων ηλεκτρονικής
επικοινωνίας ή μέσων αποθήκευσης δεδομένων που ανήκουν στον εργοδότη και για
τα οποία έχει προηγουμένως ρητά ενημερωθεί ότι απαγορεύεται η χρήση τους για μη
επαγγελματικούς (δηλ. για μη εταιρικούς) λόγους δεν συνιστά από μόνο του (χωρίς
δηλαδή την ύπαρξη βάσιμων υπονοιών) νόμιμο λόγο διαρκούς επιτήρησης ή
καθολικού ελέγχου των δεδομένων προσωπικού χαρακτήρα που επεξεργάζεται ο
εργαζόμενος, αλλά απαιτείται ειδικότερη ενημέρωση (σχετικά βλ. ΕΔΔΑ, Barbulescu
v Romania, όπ.π., παρ. 77).

Διαφορετική βεβαίως είναι η περίπτωση του ειδικού και στοχευμένου ελέγχου
όταν υπάρχουν βάσιμες υπόνοιες τετελεσμένης παράνομης πράξης. Στην περίπτωση
κατά την οποία από εσωτερικές πολιτικές της εταιρίας απαγορεύεται η χρήση των
ηλεκτρονικών μέσων επικοινωνίας ή του εταιρικού δικτύου, συστημάτων
αποθήκευσης, διακομιστών (servers) κ.λπ. για ιδιωτικούς (προσωπικούς) σκοπούς και
ο εργαζόμενος έχει ενημερωθεί τόσο για τη συναφή απαγόρευση, όσο και για τη
δυνατότητα του εργοδότη, στο πλαίσιο εσωτερικής έρευνας, να αποκτήσει πρόσβαση
στα σχετικά συστήματα και άρα και στα τηρούμενα δεδομένα προσωπικού

11
Αναλυτικά βλ. Ν. Λίβου, Οργανωμένο Έγκλημα και Ειδικές Ανακριτικές Πράξεις, τόμος Ι, τεύχος
α’, Δίκαιο & Οικονομία Π.Ν. Σάκκουλας, σελ. 9.
12
Σχετικά βλ. και άρ. 17 παρ. 16 επ. πρότασης σχεδίου νόμου για τη προστασία δεδομένων
προσωπικού χαρακτήρα σε εφαρμογή του ΓΚΠΔ 679/2016 υπό διαβούλευση της 20-02-2018
http://www.opengov.gr/ministryofjustice/?p=9314

χαρακτήρα, τότε η προσδοκία του εργαζόμενου για μη επέμβαση του εργοδότη
συνιστά έναν σημαντικό, όχι όμως αναγκαστικά αποκλειστικό, παράγοντα (βλ.
ΕΔΔΑ, Barbulescu, όπ.π. παρ. 73 τελ. εδ.).

13. Από τις διατάξεις του άρθρου 5 παρ. 1 εδ. α’ ΓΚΠΔ και εκείνες των άρθρων
12-15 ΓΚΠΔ προκύπτει η υποχρέωση του εργοδότη (υπευθύνου επεξεργασίας) να
ενημερώνει εκ των προτέρων με τρόπο πρόσφορο και σαφή τον εργαζόμενο
(υποκείμενο των δεδομένων) για την εισαγωγή και χρήση μεθόδων ελέγχου και
παρακολούθησης κατά το στάδιο της συλλογής των δεδομένων προσωπικού
χαρακτήρα του (βλ. ΑΠΔΠΧ 34/2018 καθώς και Οδηγία 115/2001 κεφ. Γ’ περ. 3 και
Ε’ περ. 8).

Η εν αγνοία και απουσία του εργαζομένου επιτήρηση και έλεγχος από τον
εργοδότη των αποθηκευμένων, στα συστήματα της εταιρίας, δεδομένων προσωπικού
χαρακτήρα και επικοινωνιών δεν μπορεί να αποκλειστεί a priori, αλλά επιφυλάσσεται
σε εξαιρετικές περιπτώσεις, υπό την προϋπόθεση ότι μια τέτοια ενέργεια είτε
προβλέπεται, είτε δεν αντίκειται στην εθνική νομοθεσία και εφόσον έχουν ληφθεί τα
αναγκαία μέτρα και έχουν προβλεφθεί οι δέουσες διαδικασίες για την πρόσβαση σε
επαγγελματική ηλεκτρονική επικοινωνία (βλ. έγγραφο WP 55, όπ.π. ιδίως σελ. 5, 15,
16, Κώδικα Δεοντολογίας της Διεθνούς Οργάνωσης Εργασίας για την προστασία των
δεδομένων προσωπικού χαρακτήρα των εργαζομένων 1997, ιδίως άρθρα 6.14 και
11.8, Σύσταση 2015/5 του Συμβουλίου των Υπουργών της 01-4-2015 για την
επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο των εργασιακών
σχέσεων, ιδίως άρθρα 14.1-14.5 και 15.6).

Σύμφωνα δε με το άρθρο 11.8 του Κώδικα Δεοντολογίας της Διεθνούς
Οργάνωσης Εργασίας για την προστασία των δεδομένων προσωπικού χαρακτήρα των
εργαζομένων του 1997, ο εργοδότης δικαιούται σε περίπτωση ελέγχου που
διενεργείται σε δεδομένα προσωπικού χαρακτήρα για λόγους ασφαλείας να αρνηθεί
προσωρινά την πρόσβαση του εργαζομένου σε αυτά μέχρι το πέρας του ελέγχου,
προκειμένου να μην τεθεί σε διακινδύνευση η διεξαγωγή της έρευνας.

Επιπλέον, τυχόν έλεγχος του ηλεκτρονικού υπολογιστή ή του διακομιστή
(server) της εταιρίας όπου τηρείται αποθηκευμένη η ηλεκτρονική αλληλογραφία των
εργαζομένων, χωρίς την ύπαρξη εσωτερικής πολιτικής κατά τα ανωτέρω ή σε
περίπτωση έλλειψης σχετικής εσωτερικής πολιτικής, χωρίς προηγούμενη ενημέρωση

των εργαζομένων και χωρίς την παρουσία τους κατά τον έλεγχο θα μπορούσε να
κριθεί ως νόμιμος, αναγκαίος και πρόσφορος για την επίτευξη του επιδιωκόμενου
σκοπού, αν συνέτρεχε επιτακτικός λόγος ανωτέρας βίας (βλ. ΑΠΔΠΧ 37/2007) και
εφόσον πληρούνταν η αρχή της αναλογικότητας.

Η τυχόν προηγούμενη ενημέρωση για παρακολούθηση ή υποκλοπή των
επικοινωνιών του εργαζομένου από τον εργοδότη δεν σημαίνει άνευ ετέρου ότι δεν
παραβιάζεται το άρθρο 8 ΕΣΔΑ (ΟΕ29 WP55, όπ.π. σελ. 9), όταν δεν πληρούνται οι
προϋποθέσεις του κατ’ εξαίρεση νόμιμου περιορισμού του συναφούς ατομικού
δικαιώματος.

Από την άλλη, ο εργοδότης δικαιούται στη λήψη των αναγκαίων, νόμιμων
και αναλογικών μέτρων προκειμένου να λειτουργεί εύρυθμα και αποτελεσματικά η
επιχείρηση και να προστατευθεί από τη ζημιά ή τη βλάβη που μπορούν να
προκαλέσουν οι ενέργειες των εργαζομένων (βλ. ΑΠΔΠΧ 34/2018, ΟΕ29,WP55,
όπ.π., σελ. 4).

Ήδη το Ευρωπαϊκό Δικαστήριο Δικαιωμάτων του Ανθρώπου, μετά την
απόφαση Barbulescu (βλ. ανωτέρω) με τις αποφάσεις Libert κατά Γαλλίας13 και
George Garamukanwa κατά Ηνωμένου Βασιλείου14 έκρινε στις εξεταζόμενες
υποθέσεις ως σύμφωνη προς το άρθρο 8 ΕΣΔΑ τη διενέργεια ελέγχου από τον
εργοδότη στην ηλεκτρονική αλληλογραφία και άλλα ηλεκτρονικά αρχεία που
τηρούσε ο εργαζόμενος στον ηλεκτρονικό υπολογιστή και κινητό του τηλέφωνο, ενώ
εκκρεμεί στην Ολομέλεια του μετά από αίτηση της Ισπανικής Κυβέρνησης η
επανασυζήτηση της υπόθεσης Lopez Ribalda και λοιποί κατά Ισπανίας15 όπου
εξετάζεται η περίπτωση της μυστικής παρακολούθησης των εργαζομένων από τον
εργοδότη με την εγκατάσταση καμερών προκειμένου να διακριβωθεί η τέλεση
αξιόποινων πράξεων.

14. Προκειμένου να εξετασθεί η νομιμότητα της πρόσβασης του υπευθύνου
επεξεργασίας κατ’ αρ. 5 και 6 παρ. 1 ΓΚΠΔ στα δεδομένα προσωπικού χαρακτήρα
των υποκειμένων που τηρούνται στα εταιρικά συστήματά του για λόγους εταιρικού
εσωτερικού ελέγχου, εξετάζεται προηγουμένως η κατ’ άρ. 5 και 6 παρ. 1 ΓΚΠΔ

13
Αρ. προσφυγής 588/2013, απόφαση της 22-10-2018.
14
Αρ. προσφυγής 70573/17, απόφαση επί του παραδεκτού της 14-5-2019.
15
Αρ. προσφυγής 1874/2013 & 8567/13, επί των οποίων είχε εκδοθεί από το Γ’ Τμήμα η από 09-01-
2018 απόφαση με την οποία διαπιστώθηκε παραβίαση του άρθρου 8 ΕΣΔΑ.

νομιμότητα της αρχικής συλλογής και διατήρησης των δεδομένων προσωπικού
χαρακτήρα. Η μη νόμιμη αρχική συλλογή και διατήρηση των δεδομένων προσωπικού
χαρακτήρα π.χ. στον υπολογιστή ή τον διακομιστή της εταιρίας, καθιστά ομοίως
παράνομη την οποιαδήποτε μεταγενέστερη ή και περαιτέρω (με διαφορετικό δηλαδή
σκοπό προς τον αρχικό κατ’ άρ. 6 παρ. 4 ΓΚΠΔ) διακριτή και αυτοτελή επεξεργασία
των ίδιων δεδομένων προσωπικού χαρακτήρα όπως στην περίπτωση της αντιγραφής
και αποθήκευσής τους σε έτερο ψηφιακό αποθηκευτικό μέσο (π.χ. usb stick, server,
pc κ.λπ.), αλλά και σε εκείνη της διαβίβασης και χρήσης τους, ακόμη και στην
περίπτωση κατά την οποία θα πληρούνταν οι προϋποθέσεις εφαρμογής μιας νόμιμης
βάσης του άρθρου 6 παρ. 1 ΓΚΠΔ, όπως π.χ. εκείνης του εδαφίου στ’, αφού η μη
τήρηση των αρχών επεξεργασίας του άρθρου 5 παρ. 1 ΓΚΠΔ δεν θεραπεύεται από
την ύπαρξη νόμιμου σκοπού και νομικής βάσης (βλ. αιτιολογική σκέψη υπ’ αρ. 4 της
παρούσας και πρβλ. ΑΠΔΠΧ 38/2004).

15. Η αποθήκευση και διαβίβαση εικόνας προσώπου, η οποία συλλέγεται από
σύστημα βιντεοεπιτήρησης (βλ. και ΔΕΕ C-212/13 απόφαση Rynes της 11-12-2014
παρ. 22) που λειτουργεί μόνιμα, συνεχώς ή κατά τακτά χρονικά διαστήματα, σε
κλειστό ή ανοικτό χώρο συγκέντρωσης ή διέλευσης προσώπων, συνιστά επεξεργασία
δεδομένων προσωπικού χαρακτήρα, στον βαθμό που παρέχει τη δυνατότητα
ταυτοποιήσεως φυσικού προσώπου (Αναλυτικά βλ. υπ’ αρ. Ευρωπαϊκό Συμβούλιο
Προστασίας Δεδομένων [ΕΣΠΔ] υπ’ αρ. 3/2019 Κατευθυντήριες Γραμμές “on
processing of personal data through video devices” της 10-7-2019 υπό δημόσια
διαβούλευση και ΔΕΕ C-345/2017 απόφαση Sergejs Buividis της 14-02-2019 παρ. 31
και 34). Η εγκατάσταση και λειτουργία του σχετικού συστήματος είναι νόμιμη,
εφόσον πληρούνται σωρευτικά οι προϋποθέσεις των άρθρων 5 (γενικές αρχές) και 6
(νόμιμη βάση) ΓΚΠΔ καθώς και της Οδηγίας 1/2011 ΑΠΔΠΧ, τη συναφή δε
υποχρέωση απόδειξης της νομιμότητας φέρει ο υπεύθυνος επεξεργασίας κατ’
εφαρμογή της αρχής της λογοδοσίας στο πλαίσιο της εσωτερικής συμμόρφωσης και
τεκμηρίωσης αυτής, η οποία πρέπει να λαμβάνει χώρα σε χρόνο προ της
εγκατάστασης και λειτουργίας του συστήματος.

Η διαβίβαση του υλικού που έχει καταγραφεί μέσω του συστήματος συνιστά
διακριτή και αυτοτελή πράξη επεξεργασίας των δεδομένων προσωπικού χαρακτήρα
και επομένως θα πρέπει να διενεργείται από τον υπεύθυνο επεξεργασίας, αντιστοίχως
προς την αρχική νόμιμη συλλογή και διατήρηση του υλικού, έλεγχος της νομιμότητας

κατ’ άρ. 5 και 6 ΕΣΔΑ συνυπολογιζομένου του ενδεχομένου μεταβολής του αρχικού
σκοπού επεξεργασίας κατ’ άρ. 6 παρ. 4 ΓΚΠΔ (αναλυτικά βλ. ΕΣΠΔ 3/2019 όπ.π.
παρ. 48 επ.). Αυτονόητα, η μη νόμιμη αρχική συλλογή και διατήρηση του εν λόγω
υλικού που περιέχει δεδομένα προσωπικού χαρακτήρα καθιστά ομοίως παράνομη την
οποιαδήποτε περαιτέρω επεξεργασία των ίδιων δεδομένων κατά παράβαση του
άρθρου 5 παρ. 1 ΓΚΠΔ, ακόμη και στην περίπτωση κατά την οποία θα πληρούνταν οι
προϋποθέσεις εφαρμογής μιας νόμιμης βάσης του άρθρου 6 παρ. 1 ΓΚΠΔ, όπως π.χ.
εκείνης του εδαφίου στ’, αφού η μη τήρηση των αρχών επεξεργασίας του άρθρου 5
παρ. 1 ΓΚΠΔ δεν θεραπεύεται από την ύπαρξη νόμιμου σκοπού και νομικής βάσης
(βλ. αιτιολογική σκέψη υπ’ αρ. 4 της παρούσας και πρβλ. ΑΠΔΠΧ 38/2004).

16. Στην προκειμένη περίπτωση, η ελεγχόμενη εταιρία, ALLSEAS MARINE
S.A., ως υπεύθυνη επεξεργασίας στο πλαίσιο της παρούσας διαδικασίας, δια του
ιδιοκτήτη-μετόχου της Β, ο οποίος ως φυσικό πρόσωπο δεν απέκτησε την ιδιότητα
του υπευθύνου επεξεργασίας, απορριπτομένου του σχετικού ισχυρισμού του
καταγγέλλοντος, απαγόρευσε στις … στον καταγγέλλοντα, Γενικό Διευθυντή αυτής,
Α την είσοδό του στις εγκαταστάσεις της λόγω χαρακτηριζομένου από την ίδια ως
περιστατικού ασφαλείας για το οποίο διενεργείτο έλεγχος από εξωτερικούς
συνεργάτες, ήτοι της διαγραφής ενός φακέλου από τη νομική υπηρεσία και της
πληροφορίας ότι έχουν διαγραφεί, με ευθύνη του καταγγέλλοντος, από εξυπηρετητές
(servers) της μηνύματα ηλεκτρονικού ταχυδρομείου και ηλεκτρονικά έγγραφα
(εφεξής «ηλεκτρονικά αρχεία»).
Εν συνεχεία, διενεργήθηκε στις … έλεγχος στους εξυπηρετητές (servers)
ιδιοκτησίας της εταιρίας από εξωτερικό συνεργάτη, οπότε και επιβεβαιώθηκε η
πληροφορία και η υπόνοια με τη διαπίστωση της διαγραφής ηλεκτρονικών αρχείων.
Η πρωτοβουλία και καθοδήγηση της διαγραφής των ηλεκτρονικών αρχείων
αποδόθηκε από την ελεγχόμενη εταιρία στον καταγγέλλοντα καθώς κατά την ίδια, με
τον τρόπο αυτό εκείνος αποσκοπούσε στην εξαφάνιση αφενός, αποδεικτικών
στοιχείων υπεξαίρεσης σε βάρος της ελεγχόμενης εταιρίας και εν συνεχεία
διακίνησης των υπεξαιρεθέντων χρηματικών ποσών, αφετέρου, της απόκρυψης
λοιπών αποδεικτικών στοιχείων παράνομης συνεργασίας με έτερα ενεχόμενα
πρόσωπα.
Από τον έλεγχο στους εξυπηρετητές (servers) ανακτήθηκαν διαγραμμένα
ηλεκτρονικά αρχεία, από το περιεχόμενο των οποίων αποδεικνυόταν η από μέρους

του καταγγέλλοντος τέλεση αξιόποινων πράξεων (ιδίως υπεξαίρεσης) σύμφωνα με
τους ισχυρισμούς της ελεγχόμενης εταιρίας και δη αυτά ενδεικτικά περιελάμβαναν
ηλεκτρονική αλληλογραφία μεταφοράς χρηματικών ποσών, αγορά πινάκων τέχνης με
χρήματα της αποδιδόμενης υπεξαίρεσης, ανάλυση τραπεζικών κινήσεων κ.λπ.
Ο καταγγέλλων με την από … εξώδικη δήλωση-διαμαρτυρία προς την
ελεγχόμενη εταιρία παραπονέθηκε για την χωρίς την παρουσία του διεξαγόμενη ήδη
και σε γνώση του, έρευνα της εταιρίας στα «εταιρικά ηλεκτροεπικοινωνιακά μέσα
(εταιρικές συσκευές, υπολογιστή φορητό/σταθερό, εταιρικό τηλέφωνο κ.λπ. και στο
χώρο εργασίας [του]», εξέφρασε την ανησυχία του για τον κίνδυνο παραποίησης των
προσωπικών αρχείων που διατηρούσε στον ηλεκτρονικό του υπολογιστή και ζήτησε
να κληθεί από την ελεγχόμενη εταιρία να παρευρεθεί σε οποιοδήποτε έλεγχο αφορά
τα αντικείμενα που βρίσκονται στον χώρο εργασίας του, αλλά και κατά τον έλεγχο
των «ηλεκτροεπικοινωνιακών μέσων» που χειριζόταν ως εργαζόμενος, ώστε να γίνει ο
νόμιμος και απαραίτητος διαχωρισμός των προσωπικών του από τα αμιγώς
επαγγελματικά αρχεία.
Στις … ο ιδιοκτήτης-μέτοχος της ελεγχόμενης εταιρίας Β υπέβαλε ενώπιον του
Τ.Α. Χ έγκληση κατά αγνώστων δραστών για αφαίρεση και ενδεχομένως παραποίηση
εγγράφων σε φυσική και ηλεκτρονική μορφή.
Εν συνεχεία, και σε απάντηση της από … εξώδικης απάντησης της ελεγχόμενης
εταιρίας, ο καταγγέλλων με την από … εξώδικη δήλωση-διαμαρτυρία ζήτησε να του
αποδοθούν «προσωπικά αντικείμενα και δεδομένα εντός της εταιρίας».
Η ελεγχόμενη εταιρία υπέβαλε στις … ενώπιον του Μονομελούς Πρωτοδικείου
Αθηνών αίτηση λήψης ασφαλιστικών μέτρων κατά του καταγγέλλοντος για τη
διατήρηση της χορηγηθείσας προσωρινής διαταγής με την οποία απαγορεύθηκε η
μεταβολή της περιουσίας του, της χορήγησης άδειας συντηρητικής κατάσχεσης κάθε
κινητής και ακίνητης περιουσίας και της έκδοσης διαταγής δικαστικής μεσεγγύησης
των έργων τέχνης του καταγγέλλοντος. Επί της ανωτέρω αιτήσεως εκδόθηκε η υπ’
αρ. … απόφαση του Μονομελούς Πρωτοδικείου Αθηνών με την οποία απορρίφθηκε
ως απαράδεκτο λόγω αοριστίας το συναφές αίτημα «δεδομένου ότι σε αυτήν δεν
αναφέρεται, κατά τρόπο συγκεκριμένο και εξατομικευμένο, σε τι συνίσταται η επείγουσα
περίπτωση ή ο επικείμενος κίνδυνος, που καθιστούν αναγκαία κατά τον παρόντα χρόνο
τη λήψη των αιτούμενων ασφαλιστικών μέτρων».
Ο καταγγέλλων στις … υπέβαλε την από … έγκλησή του σε βάρος του
αναφερόμενου ως νομίμου εκπροσώπου της ελεγχόμενης εταιρίας και του Β,

ιδιοκτήτη-μετόχου της ίδιας εταιρίας για τα ποινικά αδικήματα των άρθρων 22 παρ. 4
ν. 3472/1997 και 370Α ΠΚ.

17. Ο καταγγέλλων με το από 14-12-2018 συμπληρωματικό υπόμνημά του
(ΑΠΔΠΧ αρ. πρωτ. Γ/ΕΙΣ/10.117/14.12.2018) επαναλαμβάνει την αρχική καταγγελία
του (ΑΠΔΠΧ αρ. πρωτ. Γ/ΕΙΣ/7748/01.10.2018) και ιδίως ότι ουδέποτε ενημερώθηκε
για τον έλεγχο των «ηλεκτροεπικοινωνιακών μέσων που χειριζόταν ως γενικός
διευθυντής», ότι η ελεγχόμενη εταιρία δεν διαθέτει καμία πολιτική απορρήτου,
πολιτική διαχείρισης περιστατικών παραβίασης, εσωτερικό κανονισμό για την ορθή
χρήση και τη λειτουργία του εξοπλισμού και του δικτύου πληροφορικής και
επικοινωνιών από τους εργαζόμενους, ότι δεν έχουν ενημερωθεί για τα δικαιώματά
τους από την επεξεργασία προσωπικών δεδομένων, ούτε και έχει εξασφαλισθεί η
νόμιμη συγκατάθεσή τους για την επεξεργασία αυτών από την εταιρία. Επίσης,
υποστηρίζει ότι η ελεγχόμενη εταιρία δεν είχε υπέρτερο έννομο συμφέρον ούτε
προέκυψε λόγος κατεπείγοντος, προκειμένου να προβεί σε έλεγχο των προσωπικών
δεδομένων του καταγγέλλοντος και ότι παρέβλεψε άλλα προφανώς διαθέσιμα
ηπιότερα μέσα.
Στο από 12-02-2019 μετ’ ακρόαση υπόμνημά του (ΑΠΔΠΧ αρ. πρωτ.
1178/12.02.2019) ο καταγγέλλων επαναλαμβάνει τις ανωτέρω καταγγελίες και
διευκρινίζει ότι «[...] ενώ επίσης εναντιώθηκα σε οποιοδήποτε έλεγχο των προσωπικών
μου δεδομένων (πόσο μάλλον άνευ παρουσίας μου!), αιτούμενος να περιοριστεί ο
οποιοσδήποτε έλεγχος στα αμιγώς επαγγελματικά μου αρχεία...» (σελ. 6) καθώς και ότι
«[...] Από τη στιγμή που είχα ενημερώσει δια των εξωδίκων μου τους καταγγελλόμενους
ότι συγκατατίθεμαι να παρευρεθώ σε οποιοδήποτε έλεγχο εταιρικών δεδομένων κατόπιν
διαχωρισμού τους από τα δεδομένα ιδιωτικής φύσης που υπήρχαν στα
ηλεκτροεπικοινωνιακά συστήματα...» (σελ. 16).

18. Σε αντίθεση όμως προς τον ισχυρισμό του καταγγέλλοντος ότι η εταιρία δεν
διέθετε κατά το επίδικο χρονικό διάστημα εσωτερικές πολιτικές για τη διαχείριση των
δεδομένων προσωπικού χαρακτήρα των εργαζομένων, τη χρήση των ηλεκτρονικών
συστημάτων επικοινωνιών κ.λπ., προκύπτει από τα έγγραφα που προσκόμισε αρχικά
η ελεγχόμενη εταιρία με το από 12-02-2019 μετ’ ακρόαση υπόμνημά της (ΑΠΔΠΧ
1176/12.02.2019) ότι όχι μόνο διέθετε ενδεικτικά Κανονισμό Εργαζομένων
(Employee Handbook) και συναφείς Πολιτικές (IT Systems & Security Policy

05.12.2012, 20.11.2013, 19.6.2015), αλλά και ότι αυτές ήταν υπογεγραμμένες από
τον ίδιο τον καταγγέλλοντα, ο οποίος τελούσε εν γνώσει του περιεχομένου αυτών.
Μετά την ανωτέρω διαπίστωση και τις εκ διαμέτρου αντίθετες θέσεις των
μερών επί του ζητήματος, η Αρχή με τα υπ’ αρ. πρωτ. Γ/ΕΞ/4780/5.7.2019 και
Γ/ΕΞ/4781/5.7.2019 έγγραφά της ζήτησε περαιτέρω διευκρινίσεις από την
ελεγχόμενη εταιρία καθώς και τις απόψεις του καταγγέλλοντος επί των ισχυρισμών
και των αποδεικτικών μέσων που προσκόμισε η ελεγχόμενη εταιρία, δηλαδή ιδίως σε
σχέση με τον ισχυρισμό περί ανυπαρξίας εσωτερικών εταιρικών Πολιτικών, οι οποίες
όμως φέρονταν υπαρκτές και υπογεγραμμένες από τον ίδιο τον καταγγέλλοντα.
Η ελεγχόμενη εταιρία με το από 22-07-2019 υπόμνημά της (ΑΠΔΠΧ
5110/22.07/2019) δεν προσκόμισε καμία απόδειξη σε σχέση με τον χρόνο
προμήθειας, εγκατάστασης και λειτουργίας του συστήματος βιντεοεπιτήρησης, ούτε
όμως και συναφή έγγραφα εσωτερικής τεκμηρίωσης της νομιμότητας του
συστήματος, όπως θα καταδειχθεί κατωτέρω.
Αντιθέτως, προσκόμισε συμπληρωματικό υλικό της συμμόρφωσής της προς
τη νομοθεσία περί προσωπικών δεδομένων από το οποίο προκύπτει η απαγόρευση
χρήσης των συστημάτων τους από τους εργαζομένους για προσωπικούς (μη
εταιρικούς σκοπούς) καθώς και το ενδεχόμενο έρευνας στα συναφή συστήματα και
δεδομένα για λόγους διερεύνησης παράνομων πράξεων και δη Πολιτικές οι οποίες
ήταν ομοίως υπογεγραμμένες από τον καταγγέλλοντα (βλ. Policy Manual της 02-01-
2017 κεφάλαιο Δ’ Κώδικας Ηθικής) καθώς και τον πλήρη πλέον Κανονισμό
Εργαζομένων της 10-10-2007 εγκεκριμένο από τον ίδιο τον καταγγέλλοντα.
Αντίστοιχα, ο καταγγέλλων στο από 22-7-2019 υπόμνημά του δεν επανέλαβε
τους αρχικά υποστηριζόμενους από τον ίδιο ισχυρισμούς περί ανυπαρξίας πολιτικών
και κανονισμών της εταιρίας, αποδέχθηκε εν τέλει την ύπαρξη και από μέρους του
υπογραφή των πολιτικών ασφαλείας, διευκρινίζοντας ότι δεν είχε ο ίδιος ως γενικός
διευθυντής την ευθύνη τους (προφανώς σύνταξής τους) αλλά ήταν υπεύθυνος
εφαρμογής αυτών που ενέκρινε ο B (σελ. 10) και επανέλαβε ότι «οι καταγγελλόμενοι
δεν προσκομίζουν κανένα αποδεικτικό μέσο που να αποδεικνύει την πρότερη σύννομη
ενημέρωσή μου και την εξασφάλιση της συγκατάθεσής μου» (σελ.12).
Από το σύνολο των ανωτέρω προκύπτει ότι αφενός η ελεγχόμενη εταιρία είχε σε
ισχύ και εφάρμοζε εσωτερικές εταιρικές πολιτικές και εσωτερικό κανονισμό
εργαζομένων κατ’ άρθ. 24 παρ. 1 και 2 ΓΚΠΔ (βλ. και Αιτ. Σκ. 78 ΓΚΠΔ), σύμφωνα
με το περιεχόμενο των οποίων τα υπολογιστικά και επικοινωνιακά εταιρικά

συστήματα παρέχονται μόνο για επαγγελματικούς σκοπούς, απαγορεύεται η χρήση
τους για προσωπικούς ιδιωτικούς σκοπούς, η εταιρία έχει το δικαίωμα πρόσβασης
στις επικοινωνίες και τα δεδομένα προσωπικού χαρακτήρα των εργαζομένων για
ρητά προβλεπόμενους λόγους, ανάμεσα στους οποίους η ικανοποίηση του αναγκαίου
έννομου συμφέροντος της επιχείρησης που δεν μπορεί να ικανοποιηθεί με άλλο
τρόπο ή η ύπαρξη υπόνοιας διάπραξης ποινικού αδικήματος.
Αφετέρου, ο καταγγέλλων, τελούσε σε γνώση των ανωτέρω εταιρικών πολιτικών
και κανονισμών, τις οποίες είχε υπογράψει και μάλιστα κατά δήλωσή του ήταν
υπεύθυνος εφαρμογής τους.
Ως εκ τούτου, δεν μπορεί να γίνει δεκτός ο ισχυρισμός του καταγγέλλοντος ότι
αγνοούσε την ύπαρξη δικαιώματος ελέγχου και πρόσβασης σε ηλεκτρονικά αρχεία
που τον αφορούσαν ευρισκόμενα αποθηκευμένα στον εξυπηρετητή (server) της
εταιρίας, τη στιγμή μάλιστα κατά την οποία τα αναφερόμενα από τον ίδιο ως
προσωπικά ηλεκτρονικά αρχεία είχαν αποθηκευθεί από τον ίδιο και είχαν ομοίως από
τον ίδιο τύχει επεξεργασίας στα πληροφορικά και επικοινωνιακά συστήματα της
εταιρίας, εν αγνοία της και μάλιστα κατά παράβαση των εταιρικών κανόνων και
πολιτικών της εταιρίας, τους οποίους όχι μόνο γνώριζε ο καταγγέλλων αλλά ήταν
υπεύθυνος εφαρμογής τους, παρά την από μέρους του αρχική άρνησή του ενώπιον
της Αρχής.
Επιπλέον, η ελεγχόμενη εταιρία με την από … ηλεκτρονική επιστολή της δια του
Προέδρου-μετόχου της Β ενημέρωσε τον καταγγέλλοντα σε απάντηση της από …
ηλεκτρονικής επιστολής του ότι διενεργείται έλεγχος στην εταιρία.
Αλλά και ο ίδιος ο καταγγέλλων συνομολογεί ότι τελούσε σε γνώση του
γενικότερου γεγονότος της σε βάρος του έρευνας, όπως προκύπτει από την από 20-9-
2018 εξώδικη δήλωση-διαμαρτυρία του προς την ελεγχόμενη εταιρία («[...]
Ενημερώθηκα δε ότι διεξάγονται έρευνες εντός του χώρου του γραφείου μου και στον
εταιρικό προσωπικό μου υπολογιστή...». Επιπλέον, από την ίδια εξώδικη δήλωση-
διαμαρτυρία προκύπτει ότι ζήτησε να κληθεί προκειμένου να παρευρεθεί κατά τον
έλεγχο των «ηλεκτροεπικοινωνιακών μέσων που χειριζόταν ως εργαζόμενος, ώστε να
γίνει ο νόμιμος και απαραίτητος διαχωρισμός των προσωπικών [του] από τα αμιγώς
επαγγελματικά [του] αρχεία», χωρίς όμως να ασκήσει τα δικαιώματα διαγραφής,
περιορισμού της επεξεργασίας και εναντίωσης με τη συναφή εξώδικη δήλωση, στα
οποία αναφέρθηκε μεταγενέστερα στο πλαίσιο της από 01-10-2018 καταγγελίας του

ενώπιον της Αρχής (αρ. πρωτ. ΑΠΔΠΧ Γ/ΕΙΣ/7748/01.10.18), συμπληρώνοντας τα
αντίστοιχα πεδία του εντύπου.
Αντιθέτως, με την ανωτέρω εξώδικη δήλωση ο καταγγέλλων άσκησε παραδεκτά
και βάσιμα το δικαίωμα πρόσβασης και ενημέρωσης σε σχέση με τα δεδομένα
προσωπικού χαρακτήρα που περιλαμβάνονται στον ηλεκτρονικό υπολογιστή
ιδιοκτησίας της ελεγχόμενης εταιρίας, που χρησιμοποιούσε ο καταγγέλλων όπως θα
καταδειχθεί κατωτέρω.

19. Από τα κριτήρια που έχει κάνει αποδεκτά η Αρχή με την υπ’ αρ. 34/2018
απόφασή της (βλ. και αιτιολογικές σκέψεις υπ’ αρ. 8-12 της παρούσας) σχετικά με
τον έλεγχο του ηλεκτρονικού υπολογιστή του εργαζομένου από τον εργοδότη, και την
οποία επικαλούνται προς υποστήριξη των ισχυρισμών τους τόσο ο καταγγέλλων όσο
και η ελεγχόμενη εταιρία, παρά το ότι το πραγματικό της διαφέρει ουσιωδώς,
προκύπτει στην προκειμένη περίπτωση ότι η ελεγχόμενη εταιρία νομίμως και
σύμφωνα προς τις διατάξεις των άρθρων 5 και 6 ΓΚΠΔ απέκτησε πρόσβαση σε
διαγεγραμμένα ηλεκτρονικά αρχεία που ανακτήθηκαν από τον διακομιστή (server)
της και τα οποία περιελάμβαναν δεδομένα προσωπικού χαρακτήρα του
καταγγέλλοντος καθώς:
i. Σύμφωνα με τις εταιρικές πολιτικές και κανονισμό εργαζομένων αφενός,
απαγορευόταν η χρήση των πληροφορικών και επικοινωνιακών συστημάτων από
τους εργαζόμενους για ιδιωτικούς σκοπούς, αφετέρου, προβλεπόταν το δικαίωμα της
εταιρίας και το ενδεχόμενο διενέργειας σχετικών ελέγχων.
Θα πρέπει δε να επισημανθεί ότι στο πλαίσιο της παρούσας, η Αρχή δεν
εξετάζει το ζήτημα της υποχρέωσης του εργοδότη να διαθέτει τη δυνατότητα χρήσης
αποθηκευτικού χώρου στον ηλεκτρονικό υπολογιστή ιδιοκτησίας της (πρβλ. ΑΠΔΠΧ
61/2004) δοθέντος ότι η ελεγχόμενη επεξεργασία έλαβε χώρα στον διακομιστή
(server) της εταιρίας και σε κάθε περίπτωση δεν συνιστά αντικείμενο της
καταγγελίας.
ii. Ο καταγγέλλων παρά τους από μέρους του αρχικούς ισχυρισμούς ενώπιον της
Αρχής, κατά τους οποίους η εταιρία στερείτο σχετικών εσωτερικών πολιτικών και
κανονισμού εργασίας, όχι μόνο τελούσε σε γνώση του περιεχομένου αυτών, αλλά
επιπλέον ως Γενικός Διευθυντής της, είχε την ευθύνη εφαρμογής τους και τους είχε
υπογράψει.

iii. Η πρόσβαση της ελεγχόμενης εταιρίας στα ανακτηθέντα, μη οριστικά
διαγραφέντα, ηλεκτρονικά αρχεία που περιείχαν δεδομένα προσωπικού χαρακτήρα
του καταγγέλλοντος και η επεξεργασία τους πληρούσε τις αρχές του άρθρου 5 παρ. 1
ΓΚΠΔ καθώς:
- προβλεπόταν στις εσωτερικές πολιτικές και κανονισμό εργασίας εν γνώσει του
καταγγέλλοντος
-ο καταγγέλλων γνώριζε ότι διενεργείται σε βάρος του έρευνα και ζήτησε την
παρουσία του χωρίς να αντιλέξει στον έλεγχο, χωρίς να ζητήσει τον περιορισμό της
επεξεργασίας ή τη διαγραφή των δεδομένων προσωπικού χαρακτήρα που τον
αφορούσαν (πρβλ. και ΕΔΔΑ Libert κατά Γαλλίας της 22-02-2018 αρ. προσφ. 588/13
με την οποία κρίθηκε ως σύμφωνη με το άρθρο 8 ΕΣΔΑ η πρόσβαση του εργοδότη
στον Η/Υ του εργαζομένου εν απουσία του)
-από την υπ’ αρ. … από 27-9-2018 ένορκη βεβαίωση της Δ, γραμματέα του
καταγγέλλοντος στην ελεγχόμενη εταιρία, την οποία προσκόμισε ο καταγγέλλων,
προκύπτει ότι ο ισχυρισμός της ελεγχόμενης εταιρίας περί διαγραφής αρχείων από
τον διακομιστή (server) δεν υπήρξε προσχηματικός προκειμένου να διενεργηθεί ο
έλεγχος του διακομιστή (server), αλλά ανταποκρινόταν στην πραγματικότητα, καθώς
απαγορεύθηκε η πρόσβαση στον διακομιστή (server) για όλους τους υπαλλήλους
μέχρι του πέρατος της έρευνας (και όχι μόνο του καταγγέλλοντος), ότι δόθηκε εντολή
αλλαγής των κωδικών πρόσβασης για τον διακομιστή (server), ότι χάθηκαν πολύτιμα
έγγραφα και φάκελοι από τα αρχεία και έπρεπε να γίνει ανάκτησή τους, ότι υπήρχαν
σωματοφύλακες παντού, ιδιωτική αστυνόμευση και προσωπική φρουρά του Β, μέχρι
και περιπολικά
- η ελεγχόμενη εταιρία είχε νόμιμο δικαίωμα να αποκλείσει την εξ’ αποστάσεως ή εκ
του εγγύς πρόσβαση κάθε προσώπου, περιλαμβανομένου του καταγγέλλοντος, στα
ηλεκτρονικά αρχεία που περιελάμβαναν δεδομένα προσωπικού χαρακτήρα του μέχρι
το πέρας του ελέγχου προκειμένου να μην τεθεί σε διακινδύνευση η διεξαγωγή της
έρευνας (βλ. άρ. 11.8 Κώδικα Δεοντολογίας της Διεθνούς Οργάνωσης Εργασίας όπ.π.
και ΑΠΔΠΧ 34/2018), συνυπολογίζοντας το γεγονός της διαγραφής των αρχείων
-επιτελούσε καθορισμένο, ρητό και νόμιμο σκοπό, προβλεπόμενο στις εσωτερικές
πολιτικές και κανονισμό εργαζομένου, ήτοι τον έλεγχο πιθανής διάπραξης ποινικών
αδικημάτων σε βάρος της εταιρίας
-η επεξεργασία (έλεγχος) δεν έλαβε χώρα στο σύνολο των ηλεκτρονικών αρχείων του
καταγγέλλοντος, αλλά μόνο σε όσα εντοπίσθηκαν και σημάνθηκαν ως

διαγεγραμμένα, καθώς εκείνα συγκέντρωναν τις περισσότερες υπόνοιες σύνδεσης με
τις αποδιδόμενες παράνομες πράξεις, ώστε να πληρούται η αρχή της ελαχιστοποίησης
των δεδομένων. Πρέπει να συνυπολογισθεί ότι η ελεγχόμενη εταιρία πριν τη
δημιουργία υπονοιών σε βάρος του καταγγέλλοντος για την τέλεση αποδιδόμενων
παράνομων πράξεων, δεν είχε προβεί σε έρευνα και έλεγχο των ηλεκτρονικών
αρχείων του (πρβλ. ΕΔΔΑ KÖPKE κατά Γερμανίας της 05/10/2010, απόφαση επί του
παραδεκτού, αρ. πρ. 420/07 σελ. 11). Μετά τη δημιουργία υπονοιών σε βάρος του
καταγγέλλοντος και τη διαπίστωση της ύπαρξης διαγεγραμμένων αρχείων στον
εταιρικό διακομιστή (server), η ελεγχόμενη εταιρία έκρινε ότι πρέπει να λάβει χώρα
επιτόπια ad hoc έρευνα και έλεγχος στα διαγεγραμμένα μόνο ηλεκτρονικά αρχεία του
καταγγέλλοντος, ενώ δεν διαπιστώθηκε ότι προέβαινε σε μόνιμο, διαρκή και σταθερό
έλεγχο όλων των αρχείων του καταγγέλλοντος ή και όλων των εργαζομένων (πρβλ.
ΕΔΔΑ KÖPKE όπ.π. σελ.12) με την εγκατάσταση και μόνιμη λειτουργία λογισμικών
παρακολούθησης ηλεκτρονικών επικοινωνιών (βλ. αντίστοιχα ΕΔΔΑ Barbulescu
όπ.π.)
- Ο έλεγχος δεν ήταν γενικός, προληπτικός, μόνιμος και διαρκής, όπως στις
περιπτώσεις εγκατάστασης λογισμικού παρακολούθησης π.χ. των ηλεκτρονικών
επικοινωνιών, αλλά ειδικός, στοχευμένος, επιτόπιος, μικρής χρονικής διάρκειας και
επομένως σύμφωνος προς την αρχή της αναλογικότητας, χωρίς να διαπιστώσει η
Αρχή την ύπαρξη ενός αναγκαίου, αλλά λιγότερο επαχθούς μέτρου το οποίο θα
μπορούσε να επιλεγεί
- Ο έλεγχος, σύμφωνα και με την ένορκη βεβαίωση της γραμματέα του
καταγγέλλοντος Δ (βλ. ανωτέρω) περιορίσθηκε στο 2ο και 3ο όροφο της ελεγχόμενης
εταιρίας και αφορούσε τον διακομιστή (server) αυτής
-τα μεταγενεστέρως διαγεγραμμένα αρχεία, συνελέγησαν και αποθηκεύτηκαν αρχικά
από τον καταγγέλλοντα στα συστήματα της εταιρίας, εν αγνοία και κατά παράβαση
των εσωτερικών πολιτικών και κανονισμού εργαζομένων της εταιρίας
- η πρόσβαση και ο έλεγχος στα ηλεκτρονικά αρχεία δεν διενεργήθηκε από την
ελεγχόμενη εταιρία από ανειδίκευτο προσωπικό π.χ. με απλή αντιγραφή τους, αλλά
από τρίτη εξειδικευμένη εταιρία, με βάση ειδική μεθοδολογία, τεχνική και χρήση
εγκληματολογικών εργαλείων τα οποία κατά δήλωσή της είναι εναρμονισμένα με τα
διεθνή πρότυπα, ώστε να πληρούται η αρχή της ασφαλούς επεξεργασίας και να
παρέχονται εγγυήσεις και ως προς τη διαδικασία ελέγχου

iv. Ο ισχυρισμός του καταγγέλλοντος σύμφωνα με τον οποίο η πρόσβαση και ο
έλεγχος στα ηλεκτρονικά αρχεία της εταιρίας που περιελάμβαναν δεδομένα
προσωπικού χαρακτήρα του έλαβε χώρα χωρίς τη συγκατάθεσή του πρέπει να
απορριφθεί, καθώς η ελεγχόμενη εταιρία ορθά εφάρμοσε ως όφειλε τη νομική βάση
του άρθ. 6 παρ. 1 εδ. στ’ ΓΚΠΔ. Ακόμη όμως και εάν ο καταγγέλλων είχε χορηγήσει
τη συγκατάθεσή του προκειμένου η εταιρία να διενεργεί ελέγχους στα ηλεκτρονικά
αρχεία του, εκείνη θα ήταν μη νόμιμη λόγω ανισορροπίας ισχύος μεταξύ εργοδότη
και εργαζομένου. Όπως έχει ήδη κρίνει η Αρχή με αναφορά στη νομολογία του
ΕΔΔΑ και στις Γνωμοδοτήσεις της Ομάδας Εργασίας άρ. 29 – νυν Ευρωπαϊκό
Συμβούλιο Προστασίας Δεδομένων (βλ. αναλυτικά ΑΠΔΠΧ 34/2018) ο εργοδότης
δικαιούται να επεξεργαστεί τα δεδομένα προσωπικού χαρακτήρα των εργαζομένων
του στο πλαίσιο συναφών ελέγχων χωρίς να λάβει τη συγκατάθεσή τους εφόσον η εν
λόγω επεξεργασία είναι απαραίτητη για τους σκοπούς των εννόμων συμφερόντων
που επιδιώκει, όπως εν προκειμένω, η εύρυθμη λειτουργία της επιχείρησης και η
προστασία της περιουσίας της (πρβλ. ΔΕΕ C-13/16 απόφαση Rigas της 04-5-2017
παρ. 29 όπου κρίθηκε ότι η ζημία της περιουσίας και η αποκατάστασή της εμπίπτει
στην επιδίωξη έννομου συμφέροντος) μέσω της εξασφάλισης της επιβεβαίωσης
αποδείξεων στο πλαίσιο ελέγχου υπονοιών διάπραξης παράνομων πράξεων (βλ.
ΕΔΔΑ KÖPKE όπ.π. σελ. 1216, ΟΕ 29 WP 55, σελ. 18 όπ.π.).
Στην προκειμένη περίπτωση, η απόφαση διενέργειας στοχευμένου ελέγχου
(σύμφωνα με τα προεκτεθέντα) στα διαγεγραμμένα αρχικά και εν συνεχεία
ανακτηθέντα ηλεκτρονικά αρχεία του καταγγέλλοντος πληρούσε τις προϋποθέσεις
νόμιμης εφαρμογής της νομικής βάσης επεξεργασίας για σκοπούς υπέρτερου έννομου
συμφέροντος του υπευθύνου επεξεργασίας κατ’ άρ. 6 παρ. 1 εδ. στ’ ΓΚΠΔ, καθώς
ήταν αναγκαία προκειμένου να προστατεύσει την εταιρική περιουσία και να
διασφαλίσει το αναγκαίο αποδεικτικό υλικό, χωρίς όμως να υπεισέλθει στη

16
“The domestic courts further gave weight to the fact that the employer, on the other hand, had a
considerable interest in the protection of its property rights under Article 1 of Protocol no. 1. It must
be considered essential for its employment relationship with the applicant, a person to whom it had
entrusted the handling of a till, that it could rely on her not to steal money contained in that till. The
Court further agrees with the labour courts' finding that the employer's interest in the protection of its
property rights could only be effectively safeguarded if it could collect evidence in order to prove the
applicant's criminal conduct in proceedings before the domestic courts and if it could keep the data
collected until the final determination of the court proceedings brought by the applicant. This also
served the public interest in the proper administration of justice by the domestic courts, which must be
able to establish the truth as far as possible while respecting the Convention rights of all individuals
concerned. Furthermore, the covert video surveillance of the applicant served to clear from suspicion
other employees who were not guilty of any offence”.

διενέργεια ιδιωτικών ανακριτικών πράξεων, που κατά νόμο επιφυλάσσονται
αποκλειστικά στις αρμόδιες δικαστικές-εισαγγελικές αρχές και στις υπηρεσίες που
ενεργούν υπό την άμεση εποπτεία τους και χαρακτηρίζονται από μυστικότητα σε
αντίστοιχες περιπτώσεις.
Θα πρέπει δε να επισημανθεί ότι αυτονόητα, κρίσιμος χρόνος για τη λήψη της
απόφασης για την τυχόν διενέργεια του ελέγχου είναι εκείνος της εμφάνισης των
υπονοιών, οι οποίες θα πρέπει να είναι βάσιμες και επαρκείς.
Επιπλέον δε, το προαναφερόμενο έννομο συμφέρον της ελεγχόμενης εταιρίας
υπήρξε υπέρτερο του συμφέροντος ή των θεμελιωδών δικαιωμάτων και ελευθεριών
του καταγγέλλοντος που επιβάλλουν την προστασία των δεδομένων προσωπικού
χαρακτήρα λαμβάνοντας υπόψη τις θεμιτές προσδοκίες του βάσει της σχέσης του με
την εταιρία (βλ. Αιτ. Σκ. 47 ΓΚΠΔ), καθώς η συναφής επεξεργασία αποσκοπούσε
στην προστασία της περιουσίας της εταιρίας και τη διερεύνηση υπονοιών τέλεσης
αποδιδόμενων αδικημάτων από μέρους του καταγγέλλοντος.
Εξάλλου, όπως συναφώς έκρινε το ΕΔΔΑ στην υπόθεση Barbulescu (βλ.
ανωτέρω αιτιολογική σκέψη υπ’ αρ. 12 της παρούσας), η προσδοκία του εργαζόμενου
για μη επέμβαση του εργοδότη συνιστά έναν σημαντικό, όχι όμως αναγκαστικά,
αποκλειστικό παράγοντα, ώστε τυχόν προσδοκία του για τη μη διερεύνηση των
ηλεκτρονικών αρχείων του εργαζομένου (όταν αυτή διενεργείται νόμιμα), από την
επεξεργασία των οποίων δύναται να προκύψει η από μέρους του τέλεση αδικημάτων
σε βάρος της εταιρίας, να συγκρούεται και να πρέπει να σταθμίζεται με άλλα
θεμελιώδη δικαιώματα, σύμφωνα με την αρχή της αναλογικότητας, δοθέντος ότι η
συναφής προστασία δεν είναι απόλυτη (βλ. Αιτ.Σκ. 4 ΓΚΠΔ). Σε αντίθετη
περίπτωση, το κάθε υποκείμενο των δεδομένων θα επικαλείται την προστασία των
προσωπικών δεδομένων του προκειμένου να αποφύγει την σε βάρος του απόδοση
ευθυνών.
Ομοίως, δεν μπορεί να συνιστά θεμιτή προσδοκία του καταγγέλλοντος η μη
διερεύνηση ηλεκτρονικών αρχείων που περιλαμβάνουν δεδομένα προσωπικού του
χαρακτήρα, όταν αυτά περιλαμβάνονται σε σύστημα του οποίου η σύμφωνη με τους
εσωτερικούς κανονισμούς και πολιτικές της εταιρίας χρήση για ιδιωτικούς-
προσωπικούς σκοπούς παρίσταται ως εν γνώσει του απαγορευμένη.
Τέλος, συνυπολογίζεται ότι ο έλεγχος και η πρόσβαση από μέρους της
ελεγχόμενης εταιρίας έλαβε χώρα σε διαγεγραμμένα αρχεία, τα οποία ανακτήθηκαν
κατόπιν χρήσης ειδικών εγκληματολογικών (forensics) εργαλείων.

Εκ των ανωτέρω προκύπτει αφενός ότι η γενικότερη επεξεργασία δεδομένων
προσωπικού χαρακτήρα των εργαζομένων της εταιρίας που λάμβανε χώρα στον
διακομιστή (server) υπήρξε σύμφωνη με τα άρθρα 5 και 6 ΓΚΠΔ, αφετέρου, ότι η
ειδικότερα εξεταζόμενη από την Αρχή επεξεργασία στο πλαίσιο της παρούσας
καταγγελίας πληροί σωρευτικά τις προϋποθέσεις των άρθρων 5 και 6 παρ. 1 εδ. στ’
ΓΚΠΔ και, επομένως, η από μέρους της ελεγχόμενης εταιρίας επεξεργασία
(πρόσβαση και έλεγχος) των ηλεκτρονικών αρχείων που περιλαμβάνονταν στον
εταιρικό διακομιστή (server) και περιείχαν δεδομένα προσωπικού χαρακτήρα του
καταγγέλλοντος υπήρξε νόμιμη.

20. Ως προς την από μέρους του καταγγέλλοντος άσκηση του δικαιώματος
ενημέρωσης και πρόσβασης πρέπει να επισημανθούν τα εξής:
Στις διατάξεις των άρθρων 13 και 14 ΓΚΠΔ περιλαμβάνονται οι πληροφορίες που
παρέχει ο υπεύθυνος επεξεργασίας στο υποκείμενο όταν συλλέγονται δεδομένα
προσωπικού χαρακτήρα. Σύμφωνα με τις διατάξεις του άρθρου 15 παρ. 1 ΓΚΠΔ, το
υποκείμενο των δεδομένων έχει δικαίωμα να λαμβάνει από τον υπεύθυνο
επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού
χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το
δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και στις πληροφορίες
που αναφέρονται αναλυτικά στις υποπεριπτώσεις της εν λόγω παραγράφου, ενώ από
την παρ. 3 του ίδιου άρθρου προβλέπεται ότι ο υπεύθυνος επεξεργασίας παρέχει στο
υποκείμενο των δεδομένων και αντίγραφο των προσωπικών δεδομένων που
υποβάλλονται σε επεξεργασία.
Για την ικανοποίηση του δικαιώματος ενημέρωσης και πρόσβασης δεν
απαιτείται η επίκληση έννομου συμφέροντος ή των συναφών λόγων αφού αυτό
ενυπάρχει και αποτελεί βάση του δικαιώματος πρόσβασης του υποκειμένου
προκειμένου να λάβει γνώση πληροφοριών που το αφορούν και έχουν καταχωρηθεί
σε αρχείο, το οποίο τηρεί ο υπεύθυνος επεξεργασίας, έτσι ώστε να πραγματώνεται η
βασική αρχή του δικαίου για την προστασία των προσωπικών δεδομένων, που
συνίσταται στη διαφάνεια της επεξεργασίας ως προϋπόθεση κάθε περαιτέρω ελέγχου
της νομιμότητάς της εκ μέρους του υποκειμένου των δεδομένων (βλ. ΑΠΔΠΧ
16/2017).

Εάν ο υπεύθυνος επεξεργασίας δεν ενεργήσει επί του αιτήματος του υποκειμένου
των δεδομένων, ενημερώνει εντός μηνός από την παραλαβή του αιτήματος το
υποκείμενο των δεδομένων για τους λόγους για τους οποίους δεν ενήργησε και για τη
δυνατότητα υποβολής καταγγελίας σε εποπτική αρχή και άσκησης δικαστικής
προσφυγής (άρθρο 12 παρ. 4 ΓΚΠΔ).
Επισημαίνεται ότι ο υπεύθυνος επεξεργασίας ακόμη και όταν δεν τηρεί αρχείο με
δεδομένα του υποκειμένου, δεν απαλλάσσεται εκ του λόγου αυτού από την
υποχρέωσή του να απαντήσει ακόμη και αρνητικά σε συναφές αίτημα ενημέρωσης
και πρόσβασης (ΣτΕ 2627/2017). Επιπλέον δε, ουδεμία υποχρέωση έχει το
υποκείμενο των δεδομένων να υποδείξει στον υπεύθυνο επεξεργασίας ποια δεδομένα
του συγκεκριμένα τηρούνται, προκειμένου να ασκηθεί το δικαίωμα πρόσβασης και
ενημέρωσης, καθώς σε εκείνη την περίπτωση αντιστρέφεται και μεταφέρεται
ανεπίτρεπτα το βάρος τήρησης του αρχείου (ΣτΕ 3154/2017) και άρα και η
υποχρέωση λογοδοσίας κατ’ άρθ. 5 παρ. 2 ΓΚΠΔ.
Τέλος, σύμφωνα με την παράγραφο 4 του άρθρου 13 ΓΚΠΔ η υποχρέωση
ενημέρωσης σύμφωνα με τις παραγράφους 1-3 δεν εφαρμόζεται όταν και εφόσον το
υποκείμενο των δεδομένων έχει ήδη τις πληροφορίες (βλ. και Αιτ.Σκ. 62 ΓΚΠΔ)
Στην προκειμένη περίπτωση, η ελεγχόμενη εταιρία παραβίασε το δικαίωμα
ενημέρωσης και πρόσβασης του καταγγέλλοντος σε σχέση με τα δεδομένα
προσωπικού χαρακτήρα που τηρούσε στον ηλεκτρονικό υπολογιστή που
χρησιμοποιούσε ο καταγγέλλων. Ειδικότερα, ο καταγγέλλων με την από 20-9-2018
και ιδίως την από 28-9-2018 εξώδικη δήλωση-διαμαρτυρία του αιτήθηκε πρόσβασης
στα δεδομένα προσωπικού χαρακτήρα που τηρούνταν στα προσωπικά αρχεία που
βρίσκονταν αποθηκευμένα στον ηλεκτρονικό υπολογιστή που χρησιμοποιούσε και
ανήκε στην εταιρία. Σημειωτέον, ότι η Αρχή έκρινε ανωτέρω (παρ. 19) ότι ο έλεγχος
που διενήργησε η εταιρία αφορούσε τα ηλεκτρονικά αρχεία που βρίσκονταν
αποθηκευμένα στον εξυπηρετητή (server) της εταιρίας και επομένως ως προς την
περίπτωση εκείνη δεν διαπιστώθηκε παραβίαση του δικαιώματος πρόσβασης και
ενημέρωσης κατά τα αναλυτικώς προεκτεθέντα.
Η ελεγχόμενη εταιρία με την από … εξώδικη απάντηση προς τον
καταγγέλλοντα, αφενός, ουδεμία συγκεκριμένη πληροφορία παρείχε σε σχέση με το
αίτημα πρόσβασης και ενημέρωσης, αφετέρου, απάντησε ότι «Επομένως, εσείς έχετε
λάβει όλα τα προσωπικά αντικείμενά σας και ουδέν έχετε αφήσει στην εταιρεία,

αντιθέτως, πρέπει να μας δώσετε λογοδοσία ως προς τα έγγραφα που έχετε μεταφέρει
στη κατοχή σας».
Από την ανωτέρω απάντηση της ελεγχόμενης εταιρίας προκύπτει ότι η
τελευταία θεώρησε ότι δεν υφίστανται πλέον αρχεία προσωπικών δεδομένων του
καταγγέλλοντος επειδή τα παρέλαβε ο ίδιος και τα μετέφερε εκτός της εταιρίας,
επιπλέον δε, δεν διευκρίνισε εάν αναφερόταν στα αρχεία που τηρούνταν στον
προσωπικό υπολογιστή ιδιοκτησίας της που χρησιμοποιούσε ο καταγγέλλων. Σε κάθε
περίπτωση, η ανωτέρω απάντηση δεν συνιστά ικανοποίηση του δικαιώματος
πρόσβασης, επιπλέον δε, η ελεγχόμενη εταιρία δεν απάντησε καθόλου στο ίδιο
αίτημα του καταγγέλλοντος, που υποβλήθηκε δια της … εξώδικης δήλωσης-
διαμαρτυρίας του, ούτε όμως τον ενημέρωσε για τα κατ’ άρθ. 12 παρ. 4 ΓΚΠΔ
δικαιώματά του (δυνατότητα υποβολής καταγγελίας σε εποπτική αρχή και άσκηση
δικαστικής προσφυγής).
Τα ανωτέρω δεν αναιρούνται από τη δήλωση της ελεγχόμενης εταιρίας κατά
την ακρόασή της ενώπιον της Αρχής (βλ. ΑΠΔΠΧ 1176/12-02-2019 Υπόμνημά της,
σελ. 8) σύμφωνα με την οποία «Κατά την διεξαχθείσα ενώπιον υμών διαδικασία, την
23/1/2019 αποσαφηνίσαμε, (α) ότι ο Η/Υ του προσφεύγοντος είναι στη διάθεσή του ανά
πάσα στιγμή, προκειμένου να διαπιστώσει εάν υπάρχουν προσωπικά δεδομένα του».
Ως εκ τούτου η ελεγχόμενη εταιρία παραβίασε τις διατάξεις των άρθρων 12,
13 και 15 ΓΚΠΔ.

21. Ο καταγγέλλων ισχυρίζεται ότι η ελεγχόμενη εταιρία εγκατέστησε σύστημα
βιντεοεπιτήρησης (κλειστό κύκλωμα καμερών) στις εγκαταστάσεις όπου εργαζόταν,
χωρίς άδεια της Αρχής κατά τον χρόνο ισχύος του ν. 2472/1997 αλλά και
εξακολούθησε να το λειτουργεί μετά τις 25-5-2018, οπότε και τέθηκε σε εφαρμογή ο
ΓΚΠΔ κατ’ άρθ. 99, χωρίς τις νόμιμες προϋποθέσεις επεξεργασίας κατά παράβαση
των οριζομένων από την Οδηγία 1/2011 της Αρχής καθώς και την υπ’ αρ. 5/2017
Γνωμοδότησή της. Επιπλέον, σύμφωνα με την ίδια καταγγελία, μέσω του παρανόμως
εγκαταστημένου συστήματος βιντεοεπιτήρησης, κατέγραψε τον καταγγέλλοντα και
εν συνεχεία προβαίνει σε περαιτέρω παράνομη επεξεργασία του εν λόγω υλικού
προσκομίζοντάς το ενώπιον δικαστηρίων, της Αρχής στο πλαίσιο της παρούσας
διαδικασίας κ.λπ.
Σύμφωνα με τις Κατευθυντήριες Γραμμές 3/2019 του ΕΣΠΔ προκειμένου να
κριθεί η νομιμότητα της εγκατάστασης και λειτουργίας του συστήματος πρέπει να

πληρούνται σωρευτικά οι προϋποθέσεις των άρθρων 5 και 6 παρ. 1 ΓΚΠΔ, θα πρέπει
σε προηγούμενο χρόνο της εγκατάστασης και λειτουργίας του συστήματος να
τεκμηριωθεί εσωτερικά η νομιμότητα της επεξεργασίας και μάλιστα κατά τον
προσδιορισμό του σκοπού της επεξεργασίας ενδέχεται να χρειαστεί σχετική
αξιολόγηση για κάθε κάμερα ξεχωριστά, ανάλογα με το σημείο τοποθέτησης της.
Κάθε ελεγχόμενη εταιρία υποχρεούται στο πλαίσιο της αρχής της λογοδοσίας
να αποδείξει κατ’ αρχήν τη νομιμότητα εγκατάστασης και λειτουργίας του
συστήματος βιντεοεπιτήρησης. Κρίσιμο στοιχείο συνιστά ο χρόνος εγκατάστασης του
συστήματος, καθώς εάν έχει εγκατασταθεί και λειτουργήσει προ της 25ης -5- 2018 θα
πρέπει να έχει γνωστοποιηθεί στην Αρχή σύμφωνα με το άρθρο 10 παρ. 1 Οδηγίας
1/2011 ΑΠΔΠΧ σε συνδυασμό με το άρθρο 6 ν. 2472/1997, σε περίπτωση δε που η
επεξεργασία αφορούσε ευαίσθητα προσωπικά δεδομένα απαιτείτο άδεια της Αρχής
κατ’ άρθ. 7 παρ. 2 ν. 2472/1997.
Στην προκειμένη περίπτωση, η ελεγχόμενη εταιρία κατά παράβαση της
αρχής της λογοδοσίας απέτυχε να αποδείξει τη νομιμότητα της εγκατάστασης και
λειτουργίας του συστήματος βιντεοεπιτήρησης, καθώς κατ’ αρχήν δεν προσκόμισε
παραστατικά (π.χ. τιμολόγια, αποδείξεις) ή άλλα έγγραφα (π.χ. υπεύθυνες δηλώσεις
εγκαταστάτη) από τα οποία να αποδεικνύεται ο χρόνος αγοράς, εγκατάστασης και
λειτουργίας του συστήματος, επιπλέον δε, απέφυγε στα υπομνήματά της να
προσδιορίσει τον χρόνο εγκατάστασης και λειτουργίας του συστήματος, από τα οποία
θα προέκυπτε η υποχρέωση γνωστοποίησης ή μη στην Αρχή της εγκατάστασης και
λειτουργίας του συστήματος υπό το κράτος του ν. 2472/1997.
Επίσης, η ελεγχόμενη εταιρία δεν παρείχε πληροφορίες για τον αριθμό
καμερών που περιλαμβάνει το σύστημα, για τις τεχνικές δυνατότητές τους, για τον
τρόπο καταγραφής και διατήρησης του υλικού καταγραφής, ούτε για τα ακριβή
σημεία όπου έχουν τοποθετηθεί οι κάμερες, ενώ δεν προσκόμισε οποιοδήποτε
σχετικό αποδεικτικό στοιχείο.
Επιπλέον, από το Μητρώο Αρχείων και Επεξεργασιών που διατηρεί η Αρχή
κατ’ άρθ. 19 παρ. 4 περ. α’ ν. 2472/1997 προκύπτει ότι η ελεγχόμενη εταιρία δεν είχε
γνωστοποιήσει στην Αρχή την εγκατάσταση και λειτουργία συστήματος
βιντεοεπιτήρησης. Επίσης, από το υπόμνημα του καταγγέλλοντος (ΑΠΔΠΧ αρ. πρωτ.
1178/12-02-2019) προκύπτει ότι «Σχετικά με την εγκατάσταση των συστημάτων
βιντεοεπιτήρησης, που υπάρχουν σε όλους σχεδόν τους χώρους της εταιρίας (ακόμη και
στην καφετέρια), σε εμφανή και κρυφά σημεία (!), διευκρινίζω ότι έχουν τοποθετηθεί

από το έτος 2007, πράγμα που συνομολόγησε και ο Β ενώπιόν σας καθώς και ότι
πρόκειται για καταγραφικές κάμερες εκτεταμένων δυνατοτήτων» (σελ. 31).
Θα πρέπει δε να σημειωθεί ότι η ελεγχόμενη εταιρία ενώ προσκόμισε σε
αποσπασματική μετάφραση στην ελληνική από την αγγλική ως σχετικό 1Α στο
Υπόμνημά της (ΑΠΔΠΧ αρ. πρ. 1176/12-02-2018) τμήμα του «εγχειριδίου
ενημέρωσης εργαζομένου για την επεξεργασία δεδομένων προσωπικού χαρακτήρα»
με αναφορά «στη συλλογή και επεξεργασία δεδομένων προσωπικού χαρακτήρα μέσω
κλειστού κυκλώματος τηλεόρασης (CCTV) που διενεργείται σύμφωνα με τις πολιτικές
και διαδικασίες ασφαλείας της εταιρίας σε συμμόρφωση με τον Κανονισμό (ΕΕ
2016/679) και τις απαιτήσεις της ελληνικής νομοθεσίας», εν τέλει δεν περιέλαβε το
πρωτότυπο τμήμα στην Αγγλική γλώσσα, αν και η Αρχή με το υπ’ αρ.
Γ/ΕΞ/4781/5.7.2019 έγγραφό της ζήτησε από την ελεγχόμενη εταιρία σχετικές
διευκρινίσεις, οι οποίες δεν παρασχέθηκαν.
Το γεγονός της, από μέρους του καταγγέλλοντος, εκ των προτέρων γνώσης
της εγκατάστασης του συστήματος και της καταγραφής της εικόνας του (ακόμη και
των αναφερόμενων από τον ίδιο ως κρυφών καμερών) δεν αναιρεί την παραδοχή περί
παραβίασης των ανωτέρω διατάξεων. Ακόμη όμως και στην περίπτωση κατά την
οποία ο καταγγέλλων είχε χορηγήσει τη συγκατάθεσή του, εκείνη δεν θα ήταν
ελεύθερη και έγκυρη λόγω της ανισορροπίας ισχύος μεταξύ εργοδότη και
εργαζομένου.
Συνακόλουθα, η ελεγχόμενη εταιρία λειτούργησε παράνομα σύστημα
βιντεοεπιτήρησης, καθώς δεν προέβη σε εσωτερική τεκμηρίωση της νομιμότητας της
σχετικής λειτουργίας σύμφωνα με την αρχή της λογοδοσίας κατ’ άρθ. 5 παρ. 2 ΓΚΠΔ
και για τον λόγο αυτό δεν έθεσε υπόψη της Αρχής συναφή έγγραφη τεκμηρίωση της
νόμιμης λειτουργίας του συστήματος κατ’ άρ. 5 και 6 ΓΚΠΔ, αλλά και της Οδηγίας
1/2011 ΑΠΔΠΧ, ούτε όμως στις προσκομισθείσες εταιρικές πολιτικές ή κανονισμό
εργαζομένων περιλαμβάνεται η οποιαδήποτε σχετική πρόβλεψη, ώστε να
αποδεικνύεται η τήρηση των άρθρων 5 και 6 ΓΚΠΔ σε συνδυασμό με τις διατάξεις
της Οδηγίας 1/2011 ΑΠΔΠΧ.
Με δεδομένο ότι συνολικά η εγκατάσταση και η λειτουργία του συστήματος
βιντεοεπιτήρησης μέχρι σήμερα παραβίασε κατ’ άρθ. 5 παρ. 1 εδ. α’ ΓΚΠΔ την αρχή
της νομιμότητας καθώς και την αρχή της λογοδοσίας κατ’ άρθ. 5 παρ. 2 ΓΚΠΔ,
παρέλκει η εξέταση των λοιπών αρχών επεξεργασίας του ίδιου άρθρου, της
εφαρμογής της αρχής της αναλογικότητας καθώς και της εξέτασης της εφαρμογής της

κατάλληλης νομικής βάσης κατ’ άρθ. 6 παρ. 1 ΓΚΠΔ σε συνδυασμό με τις διατάξεις
της Οδηγίας 1/2011 ΑΠΔΠΧ.
Τέλος, με δεδομένο ότι η εγκατάσταση και η λειτουργία του συστήματος
βιντεοεπιτήρησης, μέσω του οποίου συνελέγη σχετικό οπτικό υλικό που
περιλαμβάνει δεδομένα προσωπικού χαρακτήρα (την εικόνα και την καταγραφείσα
δραστηριότητα του καταγγέλλοντος) υπήρξε παράνομη κατά τα ανωτέρω, παρέπεται
ότι κάθε μεταγενέστερη ή και περαιτέρω (με διαφορετικό δηλαδή σκοπό) διακριτή
και αυτοτελής επεξεργασία των ίδιων δεδομένων προσωπικού χαρακτήρα όπως η
αντιγραφή και αποθήκευσή τους σε έτερο ψηφιακό αποθηκευτικό μέσο (π.χ. usb
stick, server, pc κ.λπ.), η διαβίβαση και η χρήση τους, όπως η τελευταία
πραγματοποιήθηκε δια της προσκόμισης του σχετικού υλικού ενώπιον της Αρχής,
παραβίασε τις διατάξεις του αρ. 9Α Σ. Eπομένως, η Αρχή προκειμένου να εκδώσει την
παρούσα απόφαση, δεν λαμβάνει υπόψη και δεν αξιολογεί αποδεικτικά κατ’ άρθ. 19
παρ. 3 Σ. το σχετικό υλικό που προβλήθηκε κατά την ακρόαση (χωρίς εναντίωση του
καταγγέλλοντος) και εν συνεχεία προσκομίσθηκε από την ελεγχόμενη εταιρία σε
έντυπη μορφή (εκτυπώσεις φωτογραφιών), ούτε και οποιαδήποτε άμεση ή έμμεση
αναφορά σε αυτό (πρβλ ΣτΕ 3922/2005 και ΣτΕ [Ολ] 734/2008).

22. Τέλος, επί των ισχυρισμών που υποβλήθηκαν από την ελεγχόμενη εταιρία και με
βάση όσα έγιναν δεκτά ανωτέρω η Αρχή:
i. Απορρίπτει τον ισχυρισμό ότι είχε δικαίωμα ελέγχου και πρόσβασης στα
ηλεκτρονικά αρχεία του καταγγέλλοντος, επειδή τα συστήματα πληροφορικής και
επικοινωνιών ανήκαν στην ιδιοκτησία της και άρα ότι ομοίως τα συναφή
ηλεκτρονικά αρχεία (ιδίως τα ηλεκτρονικά μηνύματα – e-mails) ανήκουν στην
ιδιοκτησία της, σύμφωνα με όσα προαναφέρθηκαν στην υπ’ αρ. 8 αιτιολογική σκέψη
της παρούσας.
ii. Απορρίπτει τον ισχυρισμό ότι ο καταγγέλλων βαρυνόταν με την υποχρέωση
λήψης των κατάλληλων οργανωτικών και τεχνικών μέτρων για την ασφάλεια των
δεδομένων, επειδή ο ίδιος επιμελήθηκε των πολιτικών ασφαλείας τις οποίες και
υπέγραψε καθώς και ότι υπήρξε κατ’ ουσίαν (de facto) ο Υπεύθυνος Προστασίας
Δεδομένων (ΥΠΔ) της ελεγχόμενης εταιρίας καθώς: Από το μητρώο της Αρχής
προκύπτει ότι η ελεγχόμενη εταιρία ουδέποτε ανακοίνωσε κατ’ άρθ. 37 παρ. 7 ΓΚΠΔ
τον ορισμό του καταγγέλλοντος ως ΥΠΔ. Ακόμη όμως και εάν είχε ορισθεί ο
καταγγέλλων ως ΥΠΔ, η σύμπτωση της ιδιότητας του Γενικού Διευθυντή αυτής με

εκείνη του ΥΠΔ θα παραβίαζε τις διατάξεις του άρθρου 38 παρ. 3 ΓΚΠΔ περί
ανεξαρτησίας του ΥΠΔ και του άρθρου 38 παρ. 6 τελ. εδ. ΓΚΠΔ περί σύγκρουσης
συμφερόντων (βλ. Κατευθυντήριες Γραμμές ΟΕ 29 για τον υπεύθυνο προστασίας
δεδομένων, όπ.π. σελ. 22). Σε κάθε περίπτωση, την ευθύνη για τον ορισμό του ΥΠΔ
και επομένως τη σχετική ευθύνη συμμόρφωσης προς τις απαιτήσεις του ΓΚΠΔ την
έχει ο υπεύθυνος επεξεργασίας στον οποίο και μόνον επιβάλλονται από την Αρχή οι
συναφείς διοικητικές κυρώσεις κατ’ άρθ. 83 παρ. 4 περ. α’ ΓΚΠΔ, ώστε αβάσιμα
αλλά και αλυσιτελώς να προβάλλεται ο σχετικός ισχυρισμός.

23. Σύμφωνα με τον ΓΚΠΔ (Αιτ. Σκ. 148) προκειμένου να ενισχυθεί η επιβολή
των κανόνων του παρόντος Κανονισμού, κυρώσεις, συμπεριλαμβανομένων των
διοικητικών προστίμων, θα πρέπει να επιβάλλονται για κάθε παράβαση του παρόντος
κανονισμού, επιπρόσθετα ή αντί των κατάλληλων μέτρων που επιβάλλονται από την
εποπτική αρχή σύμφωνα με τον παρόντα Κανονισμό. Σε περιπτώσεις παράβασης
ελάσσονος σημασίας ή αν το πρόστιμο που ενδέχεται να επιβληθεί θα αποτελούσε
δυσανάλογη επιβάρυνση σε φυσικό πρόσωπο, θα μπορούσε να επιβληθεί επίπληξη
αντί προστίμου.
Η Αρχή μετά τη διαπίστωση της παραβίασης των διατάξεων του ΓΚΠΔ κατά
τα προεκτεθέντα, λαμβάνοντας υπόψη επιπλέον, πέραν των ανωτέρω, ιδίως:

Τις Κατευθυντήριες γραμμές για την εφαρμογή και τον καθορισμό διοικητικών
προστίμων για τους σκοπούς του Κανονισμού 2016/679 που εκδόθηκαν στις 03-10-
2017 από την Ομάδα Εργασίας του άρθρου 29 (WP 253)

και αφού έλαβε δεόντως υπόψη τις διατάξεις των άρθρων 58 παρ. 2 και 83 ΓΚΠΔ στο
μέτρο που εφαρμόζονται στη συγκεκριμένη περίπτωση και ειδικότερα όσα από τα
προβλεπόμενα από την παράγραφο 2 του ίδιου άρθρου κριτήρια αφορούν τη
συγκεκριμένη περίπτωση που εξετάζεται από την Αρχή :

Α. Ως προς την περίπτωση παραβίασης των άρθρων 12, 13 και 15 ΓΚΠΔ σε σχέση με
την παραβίαση του δικαιώματος ενημέρωσης και πρόσβασης, η Αρχή αφού έλαβε
υπόψη της

α) τη φύση, τη βαρύτητα και τη διάρκεια της παράβασης, λαμβάνοντας υπόψη
τη φύση, την έκταση ή τον σκοπό της σχετικής επεξεργασίας, καθώς και τον

αριθμό των υποκειμένων των δεδομένων που έθιξε η παράβαση και τον βαθμό
ζημίας που υπέστησαν και συγκεκριμένα:

i. το γεγονός ότι η εταιρία παραβίασε δικαίωμα ενός (1) υποκειμένου των
δεδομένων που αφορούσε την ενημέρωση και πρόσβασή του στα δεδομένα
προσωπικού χαρακτήρα τα οποία ήταν αποθηκευμένα σε ηλεκτρονικό
υπολογιστή ιδιοκτησίας της εταιρίας, εν αγνοία της και κατά παράβαση των
εσωτερικών πολιτικών και κανονισμών της

ii. το γεγονός ότι από τις διατάξεις του άρθρου 83 παρ. 5 περ. β’ ΓΚΠΔ
προκύπτει ότι η παραβίαση των δικαιωμάτων των υποκειμένων υπάγεται μεν
στην ανώτερη προβλεπόμενη κατηγορία του συστήματος διαβάθμισης
διοικητικών προστίμων, εφόσον κριθεί ως αναγκαία η επιβολή αυτών, πλην
όμως στην προκειμένη περίπτωση δεν πρόκειται περί παραβίασης λόγω
επεξεργασίας δεδομένων (πρβλ. άρθρο 58 παρ. 2 περ. α’ και β’ ΓΚΠΔ) αλλά
περί μη ικανοποίησης του δικαιώματος ενημέρωσης και πρόσβασης ενός (1)
υποκειμένου, ώστε η συναφής παραβίαση να κρίνεται ως μικρότερης
βαρύτητας και μικρής διάρκειας

iii. Το γεγονός ότι, από τα στοιχεία που τέθηκαν υπόψη της Αρχής, δεν προέκυψε
η επέλευση υλικής βλάβης στο υποκείμενο των δεδομένων – καταγγέλλοντα
από την μη ικανοποίηση του δικαιώματός του, ούτε επικαλέσθηκε ο
καταγγέλλων σχετική βλάβη

β) τον δόλο ή την αμέλεια που προκάλεσε την παράβαση

Από την από … εξώδικη απάντηση της ελεγχόμενης εταιρίας προς τον
καταγγέλλοντα προκύπτει ότι σε απάντηση του αιτήματος πρόσβασης και
ενημέρωσης του καταγγέλλοντος διέλαβε ότι «Επομένως, εσείς έχετε λάβει όλα τα
προσωπικά αντικείμενά σας και ουδέν έχετε αφήσει στην εταιρεία, αντιθέτως, πρέπει να
μας δώσετε λογοδοσία ως προς τα έγγραφα που έχετε μεταφέρει στη κατοχή σας». Από
την απάντηση αυτή, η οποία κρίθηκε ήδη ως μη ικανοποιητική, προκύπτει ότι η
ελεγχόμενη εταιρία θεωρώντας ότι δεν υφίστανται πλέον δεδομένα προσωπικού
χαρακτήρα του καταγγέλλοντος στον ηλεκτρονικό υπολογιστή ιδιοκτησίας της,
εσφαλμένα δεν παρείχε ικανοποιητική απάντηση, έστω και αρνητική. Εν όψει των

ανωτέρω η παρασχεθείσα μη ικανοποιητική απάντηση υπήρξε αποτέλεσμα
ανεπαρκούς γνώσης και εφαρμογής των διατάξεων του ΓΚΠΔ και ως εκ τούτου
αποδίδεται σε αμέλεια.
γ) οποιεσδήποτε ενέργειες στις οποίες προέβη ο υπεύθυνος επεξεργασίας για να
μετριάσει τη ζημία που υπέστησαν τα υποκείμενα των δεδομένων και

δ) ως προς τον βαθμό συνεργασίας με την Αρχή για την επανόρθωση της
παράβασης και τον περιορισμό των πιθανών δυσμενών επιπτώσεών της

Πέραν του ότι όπως προαναφέρθηκε δεν διαπιστώθηκε υλική βλάβη του
καταγγέλλοντος από την παραβίαση του δικαιώματος πρόσβασης και ενημέρωσης,
ούτε τέτοια επικαλέσθηκε ο καταγγέλλων, η ελεγχόμενη εταιρία με το μετ’ ακρόαση
υπόμνημά της ενώπιον της Αρχής (ΑΠΔΠΧ αρ.πρωτ. 1176/12-02-2019) δήλωσε:
«Κατά τη διεξαχθείσα ενώπιον υμών διαδικασία, την 23/1/2019, αποσαφηνίσαμε, (α)
ότι ο Η/Υ του προσφεύγοντος είναι στη διάθεσή του ανά πάσα στιγμή, προκειμένου να
διαπιστώσει εάν υπάρχουν προσωπικά δεδομένα του». Η ανωτέρω δήλωση, την οποία
η Αρχή αναγνωρίζει ως ελαφρυντική περίσταση, συνιστά επαρκή ενέργεια
προκειμένου να ικανοποιηθεί έστω και μεταγενέστερα το προσβληθέν ήδη δικαίωμα
ενημέρωσης και πρόσβασης του καταγγέλλοντος, ανεξαρτήτως του εάν ο τελευταίος
ανταποκρίθηκε στη συναφή πρόσκληση.

ε) ως προς τις τυχόν σχετικές προηγούμενες παραβάσεις του υπευθύνου
επεξεργασίας, προκύπτει από σχετικό έλεγχο ότι δεν έχει επιβληθεί μέχρι σήμερα
διοικητική κύρωση από την Αρχή

στ) κάθε άλλο επιβαρυντικό ή ελαφρυντικό στοιχείο που προκύπτει από τις
περιστάσεις της συγκεκριμένης περίπτωσης, όπως τα οικονομικά οφέλη που
αποκομίστηκαν ή ζημιών που αποφεύχθηκαν, άμεσα ή έμμεσα, από την
παράβαση

Η Αρχή, πέραν των ανωτέρω, αναγνωρίζει ως επιπλέον ελαφρυντική
περίσταση από τα στοιχεία που τέθηκαν υπόψη της και με βάση τα οποία διαπίστωσε
την παραβίαση του δικαιώματος ενημέρωσης και πρόσβασης, ότι αφενός ο υπεύθυνος
επεξεργασίας δεν αποκόμισε οικονομικό όφελος, ούτε προκάλεσε υλική ζημία στο
υποκείμενο των δεδομένων, αφετέρου, ότι τα εν λόγω δεδομένα προσωπικού
χαρακτήρα βρίσκονταν αποθηκευμένα από τον καταγγέλλοντα σε ηλεκτρονικό

υπολογιστή ιδιοκτησίας της ελεγχόμενης εταιρίας, εν αγνοία της και κατά παράβαση
των εσωτερικών πολιτικών και κανονισμού εργασίας της.

Β. Ως προς την περίπτωση μη νόμιμης εγκατάστασης και λειτουργίας
συστήματος βιντεοεπιτήρησης καθώς και της μεταγενέστερης ή και περαιτέρω
επεξεργασίας του υλικού κατά παράβαση της αρχής της νομιμότητας κατ’ άρθ. 5 παρ.
1 εδ. α’ ΓΚΠΔ καθώς και της αρχής της λογοδοσίας κατ’ άρθ. 5 παρ. 2 ΓΚΠΔ, σε
συνδυασμό με τις διατάξεις της Οδηγίας 1/2011 ΑΠΔΠΧ, η Αρχή αφού έλαβε υπόψη
της:

α) τη φύση, τη βαρύτητα και τη διάρκεια της παράβασης, λαμβάνοντας υπόψη
τη φύση, την έκταση ή τον σκοπό της σχετικής επεξεργασίας, καθώς και τον
αριθμό των υποκειμένων των δεδομένων που έθιξε η παράβαση και τον βαθμό
ζημίας που υπέστησαν και συγκεκριμένα:

i. το γεγονός ότι η εταιρία παραβίασε τις από το άρθρο 5 παρ. 1 εδ. α’ ΓΚΠΔ
αρχές της νομιμότητας, αντικειμενικότητας και διαφάνειας καθώς και την
υποχρέωση (αρχή) λογοδοσίας κατ’ άρθ. 5 παρ. 2 ΓΚΠΔ, ήτοι παραβίασε
θεμελιώδεις αρχές του ΓΚΠΔ για την προστασία των δεδομένων προσωπικού
χαρακτήρα

ii. το γεγονός ότι η τήρηση των αρχών που προβλέπονται από τις διατάξεις του
άρθρου 5 παρ. 1 εδ. α’ και παρ. 2 ΓΚΠΔ είναι κεφαλαιώδους σημασίας,
πρωτίστως δε, η αρχή της νομιμότητας, ώστε εάν εκλείπει αυτή να καθίσταται
εξ’ αρχής παράνομη η επεξεργασία, ακόμη και εάν έχουν τηρηθεί οι λοιπές
αρχές επεξεργασίας. Ομοίως κεφαλαιώδους σημασίας καθίσταται η αρχή της
λογοδοσίας στο πλαίσιο του νέου μοντέλου συμμόρφωσης που εισήχθη με τον
ΓΚΠΔ, όπου το βάρος συμμόρφωσης και η σχετική ευθύνη βαρύνει τον
υπεύθυνο επεξεργασίας, ο οποίος και έχει εφοδιασθεί από τον ΓΚΠΔ με τα
απαραίτητα εργαλεία συμμόρφωσης

iii. το γεγονός ότι ο υπεύθυνος επεξεργασίας δεν κατάφερε να συμμορφωθεί με
τις επιταγές των αρχών επεξεργασίας του άρθρου 5 παρ. 1 εδ. α’ ΓΚΠΔ,
επιπλέον δε, απέτυχε να τεκμηριώσει στο πλαίσιο της εσωτερικής
συμμόρφωσης τη νομιμότητα του συστήματος βιντεοεπιτήρησης και

αναπόδραστα και της μεταγενέστερης ή και περαιτέρω επεξεργασίας του ίδιου
υλικού

iv. το γεγονός ότι η παραβίαση των ανωτέρω αρχών έλαβε χώρα κατά την
επεξεργασία δεδομένων προσωπικού χαρακτήρα υποκειμένων στον τομέα των
εργασιακών σχέσεων, όπου χαρακτηρίζεται από ανισορροπία ισχύος μεταξύ
εργοδότη και εργαζομένων. Η σημασία που αποδίδεται από τον ΓΚΠΔ στην
επεξεργασία δεδομένων προσωπικού χαρακτήρα στις εργασιακές σχέσεις
καταδεικνύεται από το γεγονός ότι παρέχεται κατά το άρθρο 88 αυτού στον
εθνικό νομοθέτη η δυνατότητα θέσπισης ειδικών κανόνων προκειμένου να
διασφαλιστεί η προστασία των δικαιωμάτων και των ελευθεριών των
εργαζομένων, περιλαμβανομένων κατάλληλων και ειδικών μέτρων για τη
διαφύλαξη της ανθρώπινης αξιοπρέπειας, των εννόμων συμφερόντων και των
θεμελιωδών δικαιωμάτων του προσώπου στο οποίο αναφέρονται τα δεδομένα,
με ιδιαίτερη έμφαση στη διαφάνεια της επεξεργασίας, τη διαβίβαση
δεδομένων εντός ομίλου και τα συστήματα παρακολούθησης στον χώρο
εργασίας. Επομένως, η τήρηση των αρχών που προβλέπονται από το άρθρο 5
παρ. 1 εδ. α’ και παρ. 2 ΓΚΠΔ αποκτά εν προκειμένω ιδιαίτερη και
βαρύνουσα σημασία για τον σεβασμό του δικαιώματος στην προστασία των
δεδομένων προσωπικού χαρακτήρα των εργαζομένων

v. το γεγονός ότι η παραβίαση των ανωτέρω αρχών υπάγεται σύμφωνα με τις
διατάξεις του άρθρου 83 παρ. 5 εδ. α’ ΓΚΠΔ στην ανώτερη προβλεπόμενη
κατηγορία του συστήματος διαβάθμισης διοικητικών προστίμων

vi. το γεγονός ότι το σύστημα βιντεοεπιτήρησης περιελάμβανε και κρυφές
κάμερες, ανεξαρτήτως του γεγονότος ότι ο καταγγέλλων τελούσε σε γνώση
της εγκατάστασης και λειτουργίας αυτών

vii. Το γεγονός ότι η παράνομη εγκατάσταση και λειτουργία του συστήματος
βιντεοεπιτήρησης διήρκεσε για μεγάλο χρονικό διάστημα, σύμφωνα με όσα
έγιναν δεκτά με την παρούσα απόφαση

viii. Το γεγονός ότι, από τα στοιχεία που τέθηκαν υπόψη της Αρχής, δεν προέκυψε
η επέλευση υλικής βλάβης στο υποκείμενο των δεδομένων – καταγγέλλοντα

από την μη ικανοποίηση του δικαιώματός του, ούτε επικαλέσθηκε σχετική
βλάβη

ix. το γεγονός ότι η παραβίαση των αρχών του άρθρου 5 παρ. 1 εδ. α’ και παρ. 2
ΓΚΠΔ δεν αφορούσε, με βάση τα στοιχεία που τέθηκαν υπόψη της Αρχής,
δεδομένα προσωπικού χαρακτήρα των άρθρων 9 και 10 ΓΚΠΔ

x. Το γεγονός ότι η παραβίαση των αρχών του άρθρου 5 παρ. 1 εδ. α’ και παρ. 2
ΓΚΠΔ πέραν του καταγγέλλοντος αφορούσε το σύνολο σχεδόν του
προσωπικού για όλη τη διάρκεια της παροχής της εργασίας του, ώστε να μην
πρόκειται περί μιας μεμονωμένης ή ευκαιριακής παράβασης σε βάρος
κάποιων εκ των εργαζομένων, αλλά για μια παράβαση που έχει συστημικό
(δομικό) χαρακτήρα καθώς αφορά την πολιτική του υπευθύνου επεξεργασίας.

β) τον δόλο ή την αμέλεια που προκάλεσε την παράβαση

Σύμφωνα με τις από … συμπληρωματικές διευκρινίσεις του καταγγέλλοντος
(σελ. 10) ο ίδιος ενημέρωσε τον ιδιοκτήτη – μέτοχο της καταγγελλόμενης εταιρίας
για την ανάγκη συμμόρφωσής της προς τον ΓΚΠΔ και φέρεται ότι τον έπεισε με
μεγάλη δυσκολία να προσληφθούν σύμβουλοι συμμόρφωσης, με τους οποίους εν
συνεχεία διέκοψε τη συνεργασία. Στο πλαίσιο δε της παρούσας διαδικασίας η
ελεγχόμενη εταιρία προσκόμισε έγγραφα από τα οποία προκύπτει ότι σε χρόνο προ
της καταγγελίας επανεκκίνησαν διαδικασίες συμμόρφωσης προς τον ΓΚΠΔ. Ως εκ
τούτου, η από μέρους του υπευθύνου επεξεργασίας εγκατάσταση και λειτουργία του
συστήματος βιντεοεπιτήρησης καθώς και της μεταγενέστερης ή περαιτέρω
επεξεργασίας του ίδιου υλικού κατά παράβαση της αρχής της νομιμότητας και της
λογοδοσίας υπήρξε αποτέλεσμα ανεπαρκούς γνώσης και εφαρμογής των διατάξεων
του ΓΚΠΔ και, επομένως, αποδίδεται σε αμέλεια.

γ) οποιεσδήποτε ενέργειες στις οποίες προέβη ο υπεύθυνος επεξεργασίας για να
μετριάσει τη ζημία που υπέστησαν τα υποκείμενα των δεδομένων και

Πέραν της προσκόμισης εγγράφων στο πλαίσιο της παρούσας διαδικασίας
από τα οποία προκύπτει ότι η ελεγχόμενη εταιρία προέβη σε ενέργειες συμμόρφωσης
προς τις απαιτήσεις του ΓΚΠΔ, δεν διαπιστώθηκε ότι προέβη σε άλλες ενέργειες προς
μετριασμό τυχόν (μη υλικής) ζημίας που υπέστη ο καταγγέλλων, όπως π.χ. στη
διαγραφή του υλικού καταγραφής.

στ) οι κατηγορίες δεδομένων προσωπικού χαρακτήρα που επηρεάζει η
παράβαση και δη ότι δεν πρόκειται για δεδομένα προσωπικού χαρακτήρα των
άρθρων 9 και 10 ΓΚΠΔ, σύμφωνα με τα στοιχεία που τέθηκαν υπόψη της Αρχής.

Η ΑΡΧΗ

Αφού έλαβε υπόψη της τα ανωτέρω

Επειδή αποφάσισε την κατ’ άρθ. 58 παρ. 2 ΓΚΠΔ άσκηση των διορθωτικών της
εξουσιών στις συγκεκριμένες περιπτώσεις α’ και β’ για τις οποίες διαπιστώθηκε
παραβίαση του ΓΚΠΔ.

Επειδή αποφάσισε κατ’ άρθ. 58 παρ. 2 σε συνδυασμό με άρθ. 83 παρ. 2 ΓΚΠΔ ότι
στην α’ περίπτωση για την άσκηση των διορθωτικών μέτρων προς επίτευξη των
σκοπών συμμόρφωσης προς τις διατάξεις του ΓΚΠΔ επαρκεί η επιβολή των
διορθωτικών μέτρων της περίπτωσης γ’ της παρ. 2 του άρθρου 58 ΓΚΠΔ, χωρίς να
χρειάζεται η επιβολή διοικητικού προστίμου.

Επειδή κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. γ’ ΓΚΠΔ η Αρχή
αποφάσισε για την α’ περίπτωση να δώσει εντολή στην εταιρία «ALLSEAS
MARINE S.A.» να συμμορφωθεί προς το αίτημα του καταγγέλλοντος Α για την
άσκηση του δικαιώματός του στην πρόσβαση και ενημέρωσή του για τα δεδομένα
προσωπικού χαρακτήρα που διατηρούνται αποθηκευμένα στον ηλεκτρονικό
υπολογιστή ιδιοκτησίας της εταιρίας, τον οποίο χρησιμοποιούσε ο καταγγέλλων.

Επειδή αποφάσισε κατ’ άρθ. 58 παρ. 2 σε συνδυασμό με το άρθ. 83 παρ. 2 ΓΚΠΔ ότι
στην β’ περίπτωση για την άσκηση των διορθωτικών μέτρων προς επίτευξη των
σκοπών συμμόρφωσης προς τις διατάξεις του ΓΚΠΔ, επιπλέον της επιβολής του
διορθωτικού μέτρου της περίπτωσης δ’ της παρ. 2 του άρθρου 58 ΓΚΠΔ καθίσταται
αναγκαία και η επιβολή διοικητικού προστίμου κατ’ άρθ. 58 παρ. 2 εδ. θ’ σε
συνδυασμό με το άρθρο 83 ΓΚΠΔ.

Επειδή κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. δ’ ΓΚΠΔ η Αρχή
αποφάσισε για την β’ περίπτωση να δώσει εντολή στην εταιρία «ALLSEAS
MARINE S.A.» να καταστήσει τις πράξεις επεξεργασίας που λαμβάνουν χώρα μέσω
του συστήματος βιντεοεπιτήρησης που διατηρεί σύμφωνες προς τις διατάξεις του
ΓΚΠΔ.

Επειδή ειδικότερα ως προς την περίπτωση β’ η εταιρία θα πρέπει να αποκαταστήσει
την ορθή εφαρμογή των διατάξεων του άρθρου 5 παρ. 1 εδ. α’ και παρ. 2 ΓΚΠΔ
σύμφωνα με τα διαλαμβανόμενα στο σκεπτικό της παρούσας.

Επειδή ειδικότερα ως προς την περίπτωση β’ η εταιρία θα πρέπει εν συνεχεία να
αποκαταστήσει και την ορθή εφαρμογή των λοιπών διατάξεων του άρθρου 5 παρ. 1
εδ. β-στ’ ΓΚΠΔ στο μέτρο που η διαπιστωθείσα παραβίαση επηρεάζει την εσωτερική
οργάνωση και συμμόρφωση προς τις διατάξεις του ΓΚΠΔ, λαμβάνοντας κάθε
αναγκαίο μέτρο στο πλαίσιο της αρχής της λογοδοσίας.

Επειδή η ανωτέρω εντολή θα πρέπει να εκτελεστεί εντός ενός (1) μηνός από την
παραλαβή της παρούσας, ενημερώνοντας σχετικά την Αρχή.

Επειδή ως προς την περίπτωση β’ το ανωτέρω διορθωτικό μέτρο δεν επαρκεί από
μόνο του για την αποκατάσταση της συμμόρφωσης με τις παραβιασθείσες διατάξεις
του ΓΚΠΔ.

Επειδή η Αρχή κρίνει ότι στη συγκεκριμένη περίπτωση με βάση τις περιστάσεις που
διαπιστώθηκαν θα πρέπει κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’
ΓΚΠΔ να επιβληθεί επιπλέον και αποτελεσματικό, αναλογικό και αποτρεπτικό

διοικητικό χρηματικό πρόστιμο κατ’ άρθ. 83 ΓΚΠΔ, τόσο προς αποκατάσταση της
συμμόρφωσης, όσο και για την τιμωρία της παράνομης αυτής συμπεριφοράς17.

Επειδή η διαπιστωθείσα από την Αρχή παραβίαση των διατάξεων του άρθρου 5 του
ΓΚΠΔ υπάγεται στις διατάξεις του άρθρου 83 παρ. 5 εδ. α’ ΓΚΠΔ.

ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ

Η ΑΡΧΗ

Α. Δίνει εντολή στην εταιρία «ALLSEAS MARINE S.A.» να συμμορφωθεί
άμεσα προς το αίτημα του καταγγέλλοντος Α για την άσκηση του δικαιώματός του
στην πρόσβαση και ενημέρωσή του για τα δεδομένα προσωπικού χαρακτήρα που
διατηρούνται αποθηκευμένα στον ηλεκτρονικό υπολογιστή ιδιοκτησίας της εταιρίας,
τον οποίο χρησιμοποιούσε ο καταγγέλλων, ενημερώνοντας σχετικά την Αρχή.

Β. Δίνει εντολή στην εταιρία «ALLSEAS MARINE S.A.» όπως εντός ενός (1)
μηνός από την παραλαβή της παρούσας, ενημερώνοντας την Αρχή :

i. να καταστήσει τις πράξεις επεξεργασίας που λαμβάνουν χώρα μέσω του
συστήματος βιντεοεπιτήρησης που διατηρεί σύμφωνες προς τις διατάξεις του ΓΚΠΔ.

ii. να αποκαταστήσει την ορθή εφαρμογή των διατάξεων του άρθρου 5 παρ. 1 εδ.
α’ και παρ. 2 ΓΚΠΔ σύμφωνα με τα διαλαμβανόμενα στο σκεπτικό της παρούσας.

iii. να αποκαταστήσει εν συνεχεία και την ορθή εφαρμογή των λοιπών διατάξεων
του άρθρου 5 παρ. 1 εδ. β-στ’ ΓΚΠΔ στο μέτρο που η διαπιστωθείσα παραβίαση
επηρεάζει την εσωτερική οργάνωση και συμμόρφωση προς τις διατάξεις του ΓΚΠΔ
λαμβάνοντας κάθε αναγκαίο μέτρο στο πλαίσιο της αρχής της λογοδοσίας.

Γ. Επιβάλλει στην εταιρία «ALLSEAS MARINE S.A.» το αποτελεσματικό,
αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αρμόζει στην

17
Βλ. ΟΕ 29, Κατευθυντήριες γραμμές και την εφαρμογή και τον καθορισμό διοικητικών προστίμων
για τους σκοπούς του κανονισμού 2016/679 WP253, σελ. 6

συγκεκριμένη υπό Β’ περίπτωση σύμφωνα με τις ειδικότερες περιστάσεις αυτής,
ύψους δεκαπέντε χιλιάδων (15.000,00) ευρώ.

Ο Αναπληρωτής Πρόεδρος Η Γραμματέας

Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου

HDPA (Greece) - 43/2019

Karar metni