ΕΣΩΤΕΡΙΚΟΣ ΚΑΝΟΝΙΣΜΟΣ

ΛΕΙΤΟΥΡΓΙΑΣ ΣΥΣΤΗΜΑΤΟΣ ΒΙΝΤΕΟΕΠΙΤΗΡΗΣΗΣ

ΚΑΙ ΠΡΟΣΤΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ

 

Ο παρών Κανονισμός θεσπίζεται από την ΒΙΠΑΣ ΑΕ (εφεξής ΕΑΔΕΠ), υπό την ιδιότητά της ως φορέα διαχείρισης του Επιχειρηματικού Πάρκου και των κοινόχρηστων χώρων του σύμφωνα με το ν. 4982/2022, με σκοπό τη ρύθμιση της λειτουργίας του συστήματος βιντεοεπιτήρησης που καλύπτει τους κοινόχρηστους και κοινωφελείς χώρους του Πάρκου, καθώς και του συστήματος αναγνώρισης πινακίδων κυκλοφορίας στην πύλη εισόδου-εξόδου του Πάρκου, σύμφωνα με τον Κανονισμό (ΕΕ) 2016/679 (ΓΚΠΔ), τον ν. 4624/2019, την Οδηγία 1/2011 της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) και το ν. 4982/2022 περί Επιχειρηματικών Πάρκων, όπως ισχύουν.

Ο Κανονισμός δεσμεύει τη Διοίκηση και το προσωπικό της ΕΑΔΕΠ, τις εγκατεστημένες επιχειρήσεις-μέλη, τους εργαζομένους, τους επισκέπτες, τους προμηθευτές και κάθε τρίτο που εισέρχεται στον χώρο του Πάρκου.

Άρθρο 1 – Ορισμοί και Πεδίο Εφαρμογής

1.1 Ως «Πάρκο» νοείται η συνολική εδαφική έκταση 188 στρεμμάτων που διαχειρίζεται η ΕΑΔΕΠ, εντός της οποίας εδρεύουν 81 επιχειρήσεις-μέλη.

1.2 Ως «Κοινόχρηστοι Χώροι» νοούνται η κεντρική πύλη εισόδου, το οδικό δίκτυο, οι χώροι στάθμευσης κοινής χρήσης, η περίφραξη και κάθε άλλος χώρος που δεν ανήκει αποκλειστικά σε συγκεκριμένη επιχείρηση-μέλος.

1.3 Ως «Ιδιωτικοί Χώροι Επιχειρήσεων» νοούνται τα οικόπεδα, κτίρια και εγκαταστάσεις που ανήκουν ή μισθώνονται από τις επιχειρήσεις-μέλη, για τα οποία η κάθε επιχείρηση έχει τη δική της, αυτοτελή ευθύνη ως υπεύθυνος επεξεργασίας.

1.4 Ο παρών Κανονισμός αφορά αποκλειστικά το σύστημα βιντεοεπιτήρησης και αναγνώρισης πινακίδων κυκλοφορίας που εγκαθιστά και λειτουργεί η ΕΑΔΕΠ στους Κοινόχρηστους Χώρους. Δεν ρυθμίζει τα συστήματα βιντεοεπιτήρησης που τυχόν λειτουργούν αυτοτελώς εντός των Ιδιωτικών Χώρων κάθε επιχείρησης-μέλους, για τα οποία ισχύει ξεχωριστή πολιτική ευθύνης της κάθε επιχείρησης.

Άρθρο 2 – Υπεύθυνος Επεξεργασίας

2.1 Υπεύθυνος επεξεργασίας για το σύστημα βιντεοεπιτήρησης των Κοινόχρηστων Χώρων είναι αποκλειστικά η ΕΑΔΕΠ, ως το νομικό πρόσωπο που έχει την αυτοδιαχείριση του Πάρκου, ανεξαρτήτως της ιδιότητας των μετόχων της ΕΑΔΕΠ ως ιδιοκτητών κτιρίων εντός του Πάρκου.

2.2 Καθήκοντα υπευθύνου προστασίας δεδομένων (DPO) εκτελεί το φυσικό πρόσωπο που έχει δηλωθεί από την ΕΑΔΕΠ ως τέτοιο στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.

2.3 Η ιδιότητα φυσικού ή νομικού προσώπου ως μετόχου της ΕΑΔΕΠ δεν του παρέχει, αυτή καθ’ εαυτήν, δικαίωμα πρόσβασης στο υλικό βιντεοεπιτήρησης ή σε πληροφορίες που προκύπτουν από αυτό. Κάθε αίτημα πρόσβασης, από μέτοχο ή μη, εξετάζεται αποκλειστικά βάσει της διαδικασίας του Άρθρου 8 του παρόντος.

2.4 Η Διοίκηση της ΕΑΔΕΠ ορίζει με απόφασή της τα φυσικά πρόσωπα (υπάλληλοι ασφαλείας, διαχειριστές συστήματος) που έχουν εξουσιοδοτημένη πρόσβαση στο σύστημα, σύμφωνα με το Άρθρο 7.

Άρθρο 3 – Σκοπός Επεξεργασίας και Νομική Βάση

3.1 Το σύστημα βιντεοεπιτήρησης και αναγνώρισης πινακίδων κυκλοφορίας λειτουργεί αποκλειστικά για τους ακόλουθους σκοπούς:

• Προστασία προσώπων, εγκατεστημένων επιχειρήσεων και περιουσίας εντός του Πάρκου (εγκαταστάσεων, οχημάτων, υποδομών).
• Έλεγχο πρόσβασης και ασφάλεια της κεντρικής πύλης εισόδου-εξόδου.
• Πρόληψη και διερεύνηση περιστατικών κλοπής, βανδαλισμού ή παράνομης / μη εξουσιοδοτημένης εισόδου.
• Έλεγχο τυχόν παράνομης ή ανεξέλεγκτης απόρριψης ρύπων και αποβλήτων εντός του Πάρκου.
• Διαχείριση έκτακτων περιστατικών (π.χ. ατυχήματα, πυρκαγιά) στους κοινόχρηστους χώρους.
• Διασφάλιση της εύρυθμης και ασφαλούς λειτουργίας των κοινόχρηστων υποδομών.
• Διαχείριση της κυκλοφορίας οχημάτων εντός του Πάρκου.

3.2 Νομική βάση της επεξεργασίας αποτελεί το άρθρο 6 παρ. 1 στοιχ. στ’ ΓΚΠΔ (έννομο συμφέρον του υπευθύνου επεξεργασίας), κατόπιν στάθμισης με τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων.

3.3 Απαγορεύεται ρητά η χρήση του συστήματος για σκοπούς παρακολούθησης και αξιολόγησης της εργασιακής απόδοσης εργαζομένων, συνδικαλιστικής δράσης, ή για κάθε σκοπό πέραν των αναφερομένων στην παρ. 3.1.

Άρθρο 4 – Χωροθέτηση Καμερών

4.1 Οι κάμερες τοποθετούνται σε σημεία που εξυπηρετούν αποκλειστικά τους σκοπούς του Άρθρου 3, ενδεικτικά: κεντρική πύλη, περιμετρική περίφραξη, κεντρικοί οδικοί άξονες και κοινόχρηστοι χώροι στάθμευσης.

4.2 Απαγορεύεται:

• Η λήψη εικόνας από το εσωτερικό ιδιωτικών κτιρίων ή εγκαταστάσεων επιχειρήσεων-μελών, πέραν του απολύτως αναγκαίου τμήματος εισόδου προς κοινόχρηστο χώρο.
• Η λήψη εικόνας από δημόσιο δρόμο, πεζοδρόμιο ή όμορες ιδιοκτησίες εκτός των ορίων του Πάρκου.
• Η τοποθέτηση καμερών σε χώρους εστίασης/ανάπαυσης προσωπικού, χώρους υγιεινής ή άλλους χώρους ιδιαίτερα ευαίσθητους ως προς την ιδιωτικότητα.

4.3 Η εμβέλεια, ανάλυση και γωνία λήψης κάθε κάμερας ελέγχεται περιοδικά ώστε να διασφαλίζεται η τήρηση της αρχής της ελαχιστοποίησης δεδομένων.

Άρθρο 5 – Ενημέρωση των Υποκειμένων των Δεδομένων

5.1 Πρώτο επίπεδο ενημέρωσης: Σε όλα τα σημεία εισόδου στο Πάρκο (κεντρική πύλη και λοιπές είσοδοι) έχουν τοποθετηθεί ευδιάκριτες προειδοποιητικές πινακίδες πριν από το σημείο εισόδου στον βιντεοσκοπούμενο χώρο, οι οποίες αναγράφουν κατ’ ελάχιστον: την ύπαρξη συστήματος βιντεοεπιτήρησης και αναγνώρισης πινακίδων κυκλοφορίας, την ταυτότητα και στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας (ΕΑΔΕΠ), τον σκοπό επεξεργασίας, τα στοιχεία επικοινωνίας του Υπευθύνου Προστασίας Δεδομένων και παραπομπή στο αναλυτικό ενημερωτικό κείμενο που έχει αναρτηθεί στην ιστοσελίδα της ΕΑΔΕΠ.

5.2 Δεύτερο επίπεδο ενημέρωσης: Το πλήρες ενημερωτικό κείμενο (πολιτική βιντεοεπιτήρησης) είναι διαθέσιμο στην ιστοσελίδα της ΕΑΔΕΠ και περιλαμβάνει όλα τα στοιχεία του άρθρου 13 ΓΚΠΔ (σκοπός, νομική βάση, χρόνος τήρησης, αποδέκτες, δικαιώματα, δυνατότητα προσφυγής στην ΑΠΔΠΧ).

5.3 Η ΕΑΔΕΠ μεριμνά ώστε το κείμενο ενημέρωσης να κοινοποιείται και σε κάθε νέα επιχείρηση-μέλος κατά την εγκατάστασή της στο Πάρκο.

Άρθρο 6 – Χρόνος Τήρησης Δεδομένων

6.1 Το υλικό βιντεοεπιτήρησης τηρείται για χρονικό διάστημα δεκαπέντε (15) ημερών από τη λήψη, μετά την πάροδο του οποίου διαγράφεται αυτόματα και μη αναστρέψιμα, εκτός εάν συντρέχει περίπτωση της παρ. 6.2.

6.2 Σε περίπτωση καταγεγραμμένου περιστατικού (π.χ. κλοπή, βανδαλισμός, ατύχημα) το σχετικό απόσπασμα υλικού δύναται να τηρείται πέραν των 15 ημερών, αποκλειστικά για όσο διάστημα απαιτείται για τη διερεύνηση του περιστατικού ή τη διαβίβασή του σε αρμόδια αρχή, και τηρείται ξεχωριστά από το λοιπό υλικό, με καταγραφή του λόγου παράτασης.

Άρθρο 7 – Πρόσβαση στο Υλικό και Εξουσιοδοτημένο Προσωπικό

7.1 Πρόσβαση στο σύστημα και στο καταγεγραμμένο υλικό με χρήση ατομικών διαπιστευτηρίων έχουν αποκλειστικά τα φυσικά πρόσωπα που έχουν οριστεί εγγράφως από τη Διοίκηση της ΕΑΔΕΠ (π.χ. υπεύθυνος ασφαλείας, διαχειριστής συστήματος), τα οποία έχουν δεσμευτεί με υποχρέωση εχεμύθειας/εμπιστευτικότητας.

7.2 Τηρείται αρχείο καταγραφής (log) κάθε πρόσβασης στο υλικό, με αναφορά ημερομηνίας, ώρας, ταυτότητας του προσώπου που προσπέλασε το υλικό και του λόγου πρόσβασης.

7.3 Απαγορεύεται η πρόσβαση, αντιγραφή, αναπαραγωγή ή διάχυση του υλικού από μη εξουσιοδοτημένα πρόσωπα, συμπεριλαμβανομένων μετόχων, μελών Διοικητικού Συμβουλίου ή εκπροσώπων επιχειρήσεων-μελών που δεν εμπίπτουν στην παρ. 7.1.

Άρθρο 8 – Αιτήματα Πρόσβασης και Διαβίβαση Υλικού

8.1 Κάθε επιχείρηση-μέλος, εργαζόμενος ή τρίτος που επικαλείται έννομο συμφέρον (π.χ. θύμα ή ζημιωθείς από περιστατικό σε κοινόχρηστο χώρο) δύναται να υποβάλει έγγραφο αίτημα πρόσβασης ή διαβίβασης αποσπάσματος υλικού προς την ΕΑΔΕΠ.

8.2 Το αίτημα εξετάζεται από τον υπεύθυνο ασφαλείας/διαχείρισης σε συνεργασία με τον Υπεύθυνο Προστασίας Δεδομένων, ο οποίος αξιολογεί τη νομιμότητα του αιτήματος, το εύρος του αποσπάσματος που θα διαβιβαστεί (περιοριζόμενο στο απολύτως αναγκαίο) και τυχόν ανάγκη συγκάλυψης (blurring) τρίτων προσώπων που εμφανίζονται στο πλάνο χωρίς σχέση με το αίτημα.

8.3 Διαβίβαση υλικού σε αστυνομικές ή δικαστικές αρχές πραγματοποιείται άμεσα, κατόπιν σχετικού αιτήματος αυτών, σύμφωνα με την ισχύουσα νομοθεσία.

8.4 Απορρίπτονται αιτήματα που δεν τεκμηριώνουν συγκεκριμένο έννομο συμφέρον ή που υποβάλλονται με μοναδικό έρεισμα τη μετοχική ιδιότητα του αιτούντος στην ΕΑΔΕΠ.

Άρθρο 9 – Δικαιώματα Υποκειμένων Δεδομένων

9.1 Κάθε φυσικό πρόσωπο του οποίου η εικόνα έχει καταγραφεί δικαιούται να ασκήσει τα δικαιώματα πρόσβασης, διόρθωσης, διαγραφής, περιορισμού της επεξεργασίας και εναντίωσης, σύμφωνα με τα άρθρα 15-22 ΓΚΠΔ, απευθυνόμενο εγγράφως στην ΕΑΔΕΠ ή στον Υπεύθυνο Προστασίας Δεδομένων.

9.2 Η ΕΑΔΕΠ απαντά εντός των προθεσμιών του ΓΚΠΔ (κατ’ αρχήν εντός ενός μηνός) και ενημερώνει το υποκείμενο για τη δυνατότητα προσφυγής στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (www.dpa.gr), σε περίπτωση που θεωρεί ότι θίγονται τα δικαιώματά του.

Άρθρο 10 – Τεχνικά και Οργανωτικά Μέτρα Ασφάλειας

• Το κεντρικό σύστημα καταγραφής (DVR/NVR) φυλάσσεται σε χώρο περιορισμένης πρόσβασης, κλειδωμένο.
• Πρόσβαση στο λογισμικό διαχείρισης γίνεται με ατομικούς κωδικούς πρόσβασης ανά εξουσιοδοτημένο χρήστη.
• Το υλικό δεν αποθηκεύεται σε φορητά μέσα ή υπηρεσίες cloud τρίτων χωρίς κρυπτογράφηση και σχετική συμβατική δέσμευση του παρόχου.
• Τηρούνται αντίγραφα ασφαλείας μόνο για τον χρόνο τήρησης του Άρθρου 6, με αντίστοιχη αυτόματη διαγραφή.

Άρθρο 11 – Υπεύθυνος Προστασίας Δεδομένων (DPO)

11.1 Η ΕΑΔΕΠ έχει ορίσει Υπεύθυνο Προστασίας Δεδομένων (DPO), τα στοιχεία επικοινωνίας του οποίου γνωστοποιούνται στις πινακίδες ενημέρωσης, στο αναλυτικό ενημερωτικό κείμενο και είναι διαθέσιμα σε κάθε ενδιαφερόμενο κατόπιν αιτήματος.

11.2 Ο DPO γνωμοδοτεί επί των αιτημάτων πρόσβασης/διαβίβασης υλικού, επιβλέπει την τήρηση του παρόντος Κανονισμού, ενημερώνει τη Διοίκηση για τυχόν ανάγκη Εκτίμησης Αντικτύπου (DPIA) λόγω μεταβολών στην έκταση ή τον τρόπο λειτουργίας του συστήματος, και αποτελεί σημείο επικοινωνίας με την ΑΠΔΠΧ.

Άρθρο 12 – Σχέση με Μετόχους και Επιχειρήσεις-Μέλη

12.1 Η ιδιότητα μετόχου της ΕΑΔΕΠ ή ιδιοκτήτη κτιρίου εντός του Πάρκου δεν συνιστά αυτοτελή νομική βάση πρόσβασης στο υλικό βιντεοεπιτήρησης κοινόχρηστων χώρων· κάθε πρόσβαση διέπεται αποκλειστικά από τα Άρθρα 7 και 8.

12.2 Κάθε επιχείρηση-μέλος παραμένει αποκλειστικά υπεύθυνη, ως αυτοτελής υπεύθυνος επεξεργασίας, για τυχόν δικό της σύστημα βιντεοεπιτήρησης εντός του Ιδιωτικού της Χώρου, οφείλει δε να μεριμνά η ίδια για τη συμμόρφωσή του με τον ΓΚΠΔ, ανεξάρτητα από τον παρόντα Κανονισμό.

12.3 Σε περίπτωση αλληλεπικάλυψης πεδίου λήψης μεταξύ συστήματος ΕΑΔΕΠ και συστήματος επιχείρησης-μέλους σε σημείο εισόδου ιδιωτικού χώρου, η οριοθέτηση ευθύνης προσδιορίζεται εγγράφως μεταξύ ΕΑΔΕΠ και της οικείας επιχείρησης.

Άρθρο 13 – Διαδικασία Διαχείρισης Παραβίασης Δεδομένων

13.1 Σε περίπτωση συμβάντος παραβίασης ασφάλειας δεδομένων (π.χ. μη εξουσιοδοτημένη πρόσβαση, απώλεια ή διαρροή υλικού), ο διαχειριστής συστήματος ενημερώνει άμεσα τον DPO και τη Διοίκηση της ΕΑΔΕΠ.

13.2 Ο DPO αξιολογεί τον κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων και, εφόσον απαιτείται, προβαίνει σε γνωστοποίηση προς την ΑΠΔΠΧ εντός 72 ωρών κατ’ άρθρο 33 ΓΚΠΔ, καθώς και σε ενημέρωση των θιγόμενων προσώπων κατ’ άρθρο 34 ΓΚΠΔ, όπου απαιτείται.

Άρθρο 14 – Τελικές Διατάξεις

14.1 Ο παρών Κανονισμός εγκρίνεται από το Διοικητικό Συμβούλιο της ΕΑΔΕΠ και ισχύει από την ημερομηνία έγκρισής του.

14.2 Ο Κανονισμός επανεξετάζεται περιοδικά, τουλάχιστον ανά διετία ή νωρίτερα εφόσον μεταβληθούν ουσιωδώς οι συνθήκες λειτουργίας του συστήματος βιντεοεπιτήρησης, το νομοθετικό πλαίσιο ή οι κατευθυντήριες γραμμές της ΑΠΔΠΧ/ΕΣΠΔ.

14.3 Ο παρών Κανονισμός κοινοποιείται σε όλες τις επιχειρήσεις-μέλη του Πάρκου και αναρτάται στην ιστοσελίδα της ΕΑΔΕΠ.