Ενημέρωση Β’ Επιπέδου για την επεξεργασία Προσωπικών Δεδομένων μέσω συστήματος CCTV

1. Υπεύθυνος επεξεργασίας

Υπεύθυνος Επεξεργασίας των Προσωπικών Δεδομένων σας είναι η εταιρεία με την επωνυμία «ΠΑΠΑΣΤΡΑΤΟΣ ΑΝΩΝΥΜΗ ΒΙΟΜΗΧΑΝΙΚΗ ΕΤΑΙΡΕΙΑ ΣΙΓΑΡΕΤΤΩΝ» και διακριτικό τίτλο «ΠΑΠΑΣΤΡΑΤΟΣ Α.Β.Ε.Σ.», (εφεξής η «ΠΑΠΑΣΤΡΑΤΟΣ ΑΒΕΣ» ή η «Εταιρεία») που εδρεύει στον Ασπρόπυργο, Ήμερος Τόπος, Θέση Κορορέμι, με αρ. μητρώου ΓΕΜΗ 227601000, ΑΦΜ 094011481, ΔΟΥ ΦΑΕ ΑΘΗΝΩΝ, αρ. τηλεφώνου 210 4193000, διεύθυνση ηλεκτρονικού ταχυδρομείου για θέματα Προσωπικών Δεδομένων gr.cctv@pmi.com. Η παρούσα ενημέρωση είναι συμπληρωματική της σήμανσης που υπάρχει στα σημεία τοποθέτησης των καμερών και περιλαμβάνει αναλυτικότερη ενημέρωσή σας γενικά για την εγκατάσταση και λειτουργία των καμερών από την Εταιρεία μας και την επεξεργασία των Προσωπικών σας Δεδομένων στο πλαίσιο της λειτουργίας του συστήματος CCTV.

2. Εγκατάσταση και Λειτουργία συστήματος CCTV

2.1. Το σύστημα CCTV της Εταιρείας αποτελείται από ειδικά καταγραφικά μηχανήματα και σταθερές κάμερες καθώς και κάμερες ζωντανής αναμετάδοσης, οι οποίες λαμβάνουν εικόνα χωρίς τη δυνατότητα εστίασης ή λήψης ήχου και χωρίς τη δυνατότητα βιομετρικής αναγνώρισης, με χρόνο λειτουργίας κατά 24 ώρες το εικοσιτετράωρο/ επτά (7) ημέρες την εβδομάδα.

2.2. Ο εξοπλισμός του συστήματος CCTV διακρίνεται σε ομάδες καμερών, τοποθετημένες στα εξής σημεία των εγκαταστάσεων της Εταιρείας:

- στους εξωτερικούς χώρους των εγκαταστάσεων,
- στις εισόδους και εξόδους των εγκαταστάσεων της Εταιρείας,
- σε γενικούς εσωτερικούς χώρους των εγκαταστάσεων της Εταιρείας

- σε εσωτερικούς χώρους όπου εξυπηρετείται η εφοδιαστική αλυσίδα παραγωγής και διάθεσης των προϊόντων μας (supply chain) συμπεριλαμβανομένων των χώρων όπου πραγματοποιείται η επικόλληση του φορολογικού στοιχείου.

2.3. Η τοποθέτηση της κάθε ομάδας καμερών είναι ανάλογη της αναγκαιότητας για τη διασφάλιση της εκτάσεως, του χώρου και των αγαθών που εποπτεύουν. Για την εγκατάσταση των καμερών του συστήματος CCTV έχουν ληφθεί τα κατάλληλα μέτρα βάσει των οδηγιών της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) και των ευρωπαϊκών αρχών και οργάνων, ως αυτά αναλύονται ειδικότερα στην Εκτίμηση Αντικτύπου (DPIA), η οποία έχει εκπονηθεί σχετικά.

3. Σκοπός επεξεργασίας
Η Εταιρεία έχει εγκαταστήσει και χρησιμοποιεί σύστημα επιτήρησης CCTV για τους εξής νόμιμους σκοπούς: 3.1. Προληπτικά:

Α) Για τους σκοπούς της προστασίας των προσώπων και αγαθών: Η Εταιρεία έχει εγκαταστήσει κάμερες CCTV για την εποπτεία και πρόληψη αδικημάτων προκειμένου: α) να τηρηθεί η ασφάλεια της υγείας και ζωής των εργαζομένων της κατά την παροχή της εργασίας τους ή τρίτων που διέρχονται από τις εγκαταστάσεις της Εταιρείας και β) να διαφυλαχθούν τα προϊόντα της Εταιρείας αλλά και το σύνολο της ιδιοκτησίας και οι μηχανολογικές εγκαταστάσεις που βρίσκονται στο χώρο από κλοπή καθώς και εμπρηστικές ή άλλες παράνομες ενέργειες (όπως π.χ. ενδεικτικά κλοπή, ληστεία, εμπρησμός κλπ).

Β) Για τους σκοπούς λήψης κατάλληλων μέτρων προστασίας και ασφάλειας των εγκαταστάσεων ως «φορολογικής αποθήκης»: Καθόσον η Εταιρεία έχει λάβει άδεια Εγκεκριμένου Οικονομικού Φορέα/ Approved Economic Operator (ΑΕΟ), έχει εγκαταστήσει το σύστημα CCTV προκειμένου να ανταποκριθεί στις αυστηρές απαιτήσεις λήψης των κατάλληλων μέτρων για την αποτροπή τελωνειακών αδικημάτων ή παραβάσεων, ώστε να ανταποκριθεί στις απαιτήσεις της σχετικής άδειας που έχει λάβει (όπως π.χ. ενδεικτικά λαθρεμπορίας των προϊόντων της, κλοπής ένσημων ταινιών φορολογίας καπνού κλπ).

3.2. Κατασταλτικά:

Α) Για τους σκοπούς συλλογής αποδεικτικών στοιχείων στην περίπτωση εκδήλωσης περιστατικού και καταστολής παραβάσεων εν γένει: Στην περίπτωση εκδήλωσης συμβάντος που συνιστά αδίκημα κατά της σωματικής ακεραιότητας φυσικού προσώπου ή κατά ιδιοκτησίας, η Εταιρεία συλλέγει και επεξεργάζεται Προσωπικά Δεδομένα εικόνας και βίντεο, προκειμένου αυτά να αποτελέσουν αποδεικτικά μέσα για την υποστήριξη ή αντίκρουση αστικών, ποινικών υποθέσεων ή διαδικασιών ενώπιον εισαγγελικών ή λοιπών αρμόδιων αρχών.

Β) Για τους σκοπούς καταστολής παραβάσεων ειδικότερα ως Φορολογική Αποθήκη: Η σχετική άδεια Εγκεκριμένου Οικονομικού Φορέας/ Approved Economic Operator (ΑΕΟ) επιτείνει το δικαίωμα της Εταιρείας να εγκαταστήσει το σύστημα CCTV και να πραγματοποιεί ελέγχους, ιδίως στα σημεία των εγκαταστάσεών της Εταιρείας που σχετίζονται με τον ως άνω ρόλο της βάσει της σχετικής άδειας, προκειμένου να χρησιμοποιεί τα αρχεία του εν λόγω συστήματος ως αποδεικτικά μέσα σύμφωνα με τον Εθνικό Τελωνειακό Κώδικα Ν. 2960/2001 για την καταστολή λαθρεμπορίου και τελωνειακών παραβάσεων, . Επιπρόσθετα, στην περίπτωση που στο πλαίσιο έρευνας ποινικής υπόθεσης από τις αρμόδιες δικαστικές ή εισαγγελικές αρχές ζητηθούν τα προσωπικά δεδομένα εικόνας και βίντεο από τις εν λόγω αρχές, η Εταιρεία υποχρεούται να τα διαβιβάσει προκειμένου να ανταποκριθεί στις υποχρεώσεις της σύμφωνα με την νομοθεσία, στο πλαίσιο καταστολής ποινικών ή λοιπών αδικημάτων.

4. Νομική βάση επεξεργασίας - ανάλυση

4.1. Η επεξεργασία των δεδομένων εικόνας και βίντεο μέσω του συστήματος CCTV στο πλαίσιο των ως άνω νόμιμων και καθορισμένων σκοπών, το οποίο έχει εγκατασταθεί σύννομα με τις κείμενες αποφάσεις και οδηγίες της ΑΠΔΠΧ και των αρμόδιων ευρωπαϊκών οργάνων, βασίζεται στις εξής νομικές βάσεις ανάλογα στον σκοπό επεξεργασίας:

α. στο έννομο συμφέρον της Εταιρείας για την προστασία του αγαθού της ζωής και της σωματικής ακεραιότητας των εργαζομένων και φυσικών προσώπων που διέρχονται από τις εγκαταστάσεις της καθώς και της ιδιοκτησίας και προϊόντων της Εταιρείας αλλά και την καταστολή οποιουδήποτε αδικήματος παραβιάζει τα ανωτέρω. Το έννομο συμφέρον της Εταιρείας έχει αξιολογηθεί και σταθμιστεί δίκαια και προσεκτικά με την ιδιωτικότητά σας ως φυσικών προσώπων/εργαζομένων στο χώρο και δεν θίγει τα θεμελιώδη δικαιώματα και ελευθερίες σας ούτε παραβιάζει ή έχει αρνητικές συνέπειες στα δικαιώματά σας για τους σκοπούς των 3.1.Α) και 3.2.Α).

β. στην εκπλήρωση του καθήκοντός της που εκτελείται για το δημόσιο συμφέρον που της έχει ανατεθεί ως Εγκεκριμένου Οικονομικού Φορέα/ Approved Economic Operator (ΑΕΟ) δυνάμει της υπ’ αριθμ. GRAEOF 004019 051 14 (Ενωσιακός Αριθμός) /14 GR 000001 AEOF 00050 (Εθνικός Αριθμός) Άδειας Ε.Ο.Φ.- Τελωνειακές Απλουστεύσεις/Ασφάλεια και Προστασία (AEOF) σύμφωνα με τις διατάξεις του αρ. 23 του Ενωσιακού Τελωνειακού Κώδικα/ Καν. 952/2013 σε συνδυασμό με τις διατάξεις του αρθρ. 15 παρ 1α ́του κατ’ εξουσιοδότηση Κανονισμού 2446/2015, για να ανταποκριθεί στις απαιτήσεις των υποχρεώσεων της ως Εγκεκριμένου Οικονομικού Φορέα με πιστοποίηση σύμφωνα με το άρθρο 38 του Ενωσιακού Τελωνειακού Κώδικα αλλά και του άρθρου 39 αυτού για την πραγματοποίηση ελέγχων και υιοθέτηση των κατάλληλων μέτρων ασφαλείας αλλά και για να λάβει αυξημένα μέτρα και με τη χρήση κατάλληλων επιστημονικών μέσων σύμφωνα με τον Εθνικό Τελωνειακό Κώδικα Ν. 2960/2001 ως εκάστοτε ισχύει για την προστασία και ασφάλεια των εγκαταστάσεών της Εταιρείας ως «φορολογικής αποθήκης», των υλικοτεχνικών διαδικασιών και της διαχείρισης συγκεκριμένων ειδών εμπορευμάτων και την αποτροπή και καταστολή της παράνομης διείσδυσης στις εγκαταστάσεις και πρόσβασης στους χώρους της καθώς και στα προϊόντα της ή κακής διαχείρισης εμπορευμάτων και παραβίασης μονάδων φορτίου για τους σκοπούς των 3.1.Β) και 3.2.Β) καθώς επίσης και αποφυγή ευθύνης για παραβιάσεις του Εθνικού Τελωνειακού Κώδικα Ν. 2960/2001 (ως εκάστοτε ισχύει), π.χ. κατηγορία για λαθρεμπορία.

γ. στην τήρηση της έννομης υποχρέωσής της (σύμφωνα με τις Κατευθυντήριες Γραμμές 3/2019 σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα μέσω βιντεοσυσκευών του ΕΣΠΔ/EDPB) να διαβιβάζει το βιντεοσκοπημένο υλικό σε αρχές επιβολής νόμου στο πλαίσιο της σχετικής υποχρέωσής της να συνεργάζεται με τις εν λόγω αρχές σε περίπτωση τέλεσης αδικήματος σύμφωνα με τον Εθνικό Τελωνειακό Κώδικα Ν. 2960/2001 άρθρο 3 παρ. 7 καθώς και τον Ποινικό Κώδικα ή εν γένει την νομοθεσία.

δ. στην εκπλήρωση του καθήκοντός της που εκτελείται για το δημόσιο συμφέρον, στην περίπτωση που λάβει σχετική εισαγγελική εντολή/παραγγελία για τη διαβίβαση Προσωπικών Δεδομένων ή/και στο πλαίσιο άλλων αρμοδίων Αρχών ή οργάνων, το οποίο θα σταθμιστεί δίκαια με την ιδιωτικότητά σας πριν διαβιβαστούν τα εν λόγω δεδομένα.

4.2. Στις περιπτώσεις που η νομική βάση επεξεργασίας είναι αυτή του έννομου συμφέροντος ή της εκπλήρωσης του καθήκοντος που εκτελείται για το δημόσιο συμφέρον, έχετε το δικαίωμα εναντίωσης ως αναλύεται κατωτέρω στο σημείο 8.1.γ).

4.3. Οι κάμερες έχουν εγκατασταθεί περιοριστικά και μόνο στα σημεία που είναι απαραίτητο και αναλογικό για την εξυπηρέτηση των ανωτέρω νόμιμων σκοπών καθώς και σε χώρους που υπάρχει αυξημένη πιθανότητα τέλεσης ποινικών αδικημάτων που σχετίζονται με την ασφάλεια των προσώπων και αγαθών αλλά και τελωνειακών αδικημάτων.

4.4. Η Εταιρεία συλλέγει και επεξεργάζεται μόνο τα Προσωπικά Δεδομένα εικόνας και βίντεο που είναι απαραίτητα για την εξυπηρέτηση των ανωτέρω σκοπών ως αυτοί περιγράφονται στην παρ. 4.3 ανωτέρω, ενώ οι κάμερες δεν εστιάζουν στα πρόσωπα των εργαζομένων. Τυχόν Προσωπικά Δεδομένα εικόνας και βίντεο που επεξεργάζεται η Εταιρεία κατά τη χρήση του συστήματος CCTV δε χρησιμοποιούνται για την ταυτοποίηση ή αξιολόγησή των εργαζομένων ούτε για την επιτήρηση της συμπεριφοράς τους.

5. Αποδέκτες

Η Εταιρεία συμβάλλεται με τεχνικές εταιρείες εγκατάστασης, τεχνικής υποστήριξης και παροχής υπηρεσιών λειτουργίας και παρακολούθησης real time συστήματος βιντεοεπιτήρησης, με τις οποίες συνάπτει σύμβαση επεξεργασίας Προσωπικών Δεδομένων, διασφαλίζοντας ότι τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται Προσωπικά Δεδομένα κατά την παροχή των εν λόγω υπηρεσιών υπόκεινται σε αυστηρό καθήκον εμπιστευτικότητας. Κατ’ αρχήν τα Προσωπικά Δεδομένα εικόνας και βίντεο δεν διαβιβάζονται σε τρίτους, με εξαίρεση τις ακόλουθες περιπτώσεις: α) προς τις αρμόδιες δικαστικές, εισαγγελικές και αστυνομικές αρχές όταν περιλαμβάνουν στοιχεία απαραίτητα σε ενδεχόμενη διερεύνηση μιας αξιόποινης πράξης, η οποία αφορά σε πρόσωπα ή αγαθά στο πλαίσιο της παρούσας, β) προς τις αρμόδιες δικαστικές, εισαγγελικές και αστυνομικές αρχές όταν ζητούν δεδομένα, νομίμως, κατά την άσκηση των καθηκόντων τους, γ) προς το θύμα ή τον δράστη μιας αξιόποινης πράξης, όταν πρόκειται για Προσωπικά Δεδομένα τα οποία ενδέχεται να αποτελούν αποδεικτικά στοιχεία της πράξης.

6. Χρόνος τήρησης

Η Εταιρεία θα τηρεί τα Προσωπικά Δεδομένα εικόνας και βίντεο για δεκαπέντε (15) ημέρες, (λόγω και της φύσης των προϊόντων και των σκοπών εγκατάστασης των καμερών που αναλύθηκαν) εφόσον από τη λήψη των εικόνων ή βίντεο που αποθηκεύονται δεν προκύπτει η επέλευση αδικήματος. Στην περίπτωση εκδήλωσης περιστατικού (π.χ. κλοπή ή ληστεία) σε βάρος του προσώπου ή προϊόντων/αγαθών της Εταιρείας, οι εικόνες ή βίντεο στο οποίο έχει καταγραφεί το συγκεκριμένο συμβάν τηρείται σε χωριστό αρχείο για τριάντα (30) ημέρες με σκοπό τη διερεύνηση του περιστατικού και την έναρξη νομικών διαδικασιών για την υπεράσπιση των νομίμων δικαιωμάτων της Εταιρείας. Εάν το περιστατικό αφορά σε τρίτο, η Εταιρεία θα τηρεί τις εικόνες ή βίντεο για τρεις (3) μήνες, επίσης σε διακριτό ασφαλές αρχείο.

7. Μέτρα ασφαλείας συστήματος CCTV

7.1. Η Εταιρεία έχει εκπονήσει την κατάλληλη Εκτίμηση Αντικτύπου (DPIA) για την εγκατάσταση και χρήση του συστήματος CCTV πριν την εγκατάσταση του συστήματος, προκειμένου να εκτιμήσει τον σχετικό κίνδυνο που δύναται να προκύψει για την ιδιωτικότητα των φυσικών προσώπων από την επεξεργασία των Προσωπικών τους Δεδομένων στο πλαίσιο αυτό. Έχετε τη δυνατότητα να λάβετε γνώση του περιεχομένου έπειτα από την υποβολή σχετικού αιτήματος στα στοιχεία επικοινωνίας της, ως αυτά εμφανίζονται ανωτέρω στην παρ. 1 της παρούσας.

7.2. Επιπρόσθετα, η Εταιρεία έχει λάβει τα κατάλληλα τεχνικά και οργανωτικά μέτρα κατά τη λειτουργία του εν λόγω συστήματος, προκειμένου να τηρείται το επίπεδο ασφάλειας των Προσωπικών Δεδομένων κατά την επεξεργασία τους από το σύστημα σύμφωνα με την κείμενη νομοθεσία για την επεξεργασία των Προσωπικών Δεδομένων. Τα εν λόγω τεχνικά και οργανωτικά μέτρα εξασφαλίζουν ιδίως από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή προσπέλαση των Προσωπικών Δεδομένων στο πλαίσιο της λειτουργίας του συστήματος CCTV.

8. Δικαιώματα

8.1. Ως υποκείμενα των Προσωπικών Δεδομένων, είτε αποτελείτε εργαζόμενους στην Εταιρεία είτε φυσικά πρόσωπα τα οποία διέρχονται από τις εγκαταστάσεις της Εταιρείας, όπου έχει τοποθετηθεί το σύστημα CCTV, διαθέτετε τα εξής δικαιώματα αναφορικά με τα Προσωπικά σας Δεδομένα:

α) Δικαίωμα Πρόσβασης: να επιβεβαιώσετε ότι η Εταιρεία επεξεργάζεται τα Προσωπικά Δεδομένα εικόνας και βίντεο, να λάβετε αντίγραφο αυτών, εφόσον διαπιστωθεί η σχετική επεξεργασία και να λάβετε επιπρόσθετες πληροφορίες που δε διαθέτετε ήδη σχετικά με την επεξεργασία των Προσωπικών σας Δεδομένων. Απαραίτητη προϋπόθεση αποτελεί να υπάρχει δυνατότητα να ταυτοποιήσουμε ότι είστε εσείς στην εικόνα ή βίντεο και να μην επηρεάζονται δυσμενώς τα δικαιώματα έτερων φυσικών προσώπων. Στην περίπτωση που δεν πληρούνται οι προαναφερόμενες προϋποθέσεις η Εταιρεία διατηρεί το δικαίωμα να περιορίσει το εν λόγω δικαίωμά σας, αφού σας ενημερώσει έγκαιρα σχετικά.

β) Δικαίωμα Περιορισμού: να περιορίσετε την επεξεργασία των Προσωπικών Δεδομένων σας, δηλαδή να υποβάλετε αίτημα να διατηρηθούν αυτά αλλά να μη χρησιμοποιηθούν, όταν η ακρίβειά τους αμφισβητείται, όταν η επεξεργασία τους δεν είναι πλέον απαραίτητη για τους σκοπούς για τους οποίους συλλέχθηκαν αλλά η Εταιρεία μας τα τηρεί για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων ή όταν έχει εναντιωθεί στην επεξεργασία τους και αναμένει την επαλήθευση του αποτελέσματός της (βλ. κατωτέρω Δικαίωμα Εναντίωσης).

γ) Δικαίωμα Εναντίωσης: να εναντιωθείτε στην επεξεργασία των Προσωπικών σας Δεδομένων, στην περίπτωση που η νομική βάση επεξεργασίας είναι το έννομο συμφέρον ή η εκπλήρωση του καθήκοντος που εκτελείται για το δημόσιο συμφέρον. Στην περίπτωση αυτή η Εταιρεία, ωστόσο, έχει δικαίωμα να αντιταχθεί έναντι του δικαιώματος εναντίωσής σας και να συνεχίσει την επεξεργασία, δεδομένου ότι έχει σχετική υποχρέωση να λαμβάνει κατάλληλα μέτρα στο πλαίσιο του ρόλου της ως «φορολογική αποθήκη».

δ) Δικαίωμα Διαγραφής: να υποβάλετε αίτημα να διαγραφούν τα Προσωπικά σας Δεδομένα. Η Εταιρεία διατηρεί το δικαίωμα να μην ικανοποιήσει το σχετικό αίτημα και να αρνηθεί την άσκηση του παραπάνω δικαιώματος εάν η επεξεργασία τους είναι απαραίτητη: α) για τον σκοπό για τον οποίο έχουν συλλεχθεί, β) για τη συμμόρφωση με μία νομική υποχρέωση, γ) για τη σύσταση, άσκηση ή υπεράσπιση νομικών απαιτήσεων. Η άσκηση δικαιώματος εναντίωσης ή διαγραφής δεν συνεπάγεται την άμεση διαγραφή δεδομένων ή την τροποποίηση της επεξεργασίας.

ε) Δικαίωμα Καταγγελίας: Έχετε το δικαίωμα να υποβάλλετε καταγγελία στην τοπική αρμόδια Εποπτική Αρχή για οποιοδήποτε ζήτημα προκύψει σχετικά με τα Προσωπικά σας Δεδομένα. Για την Ελλάδα αρμόδια είναι η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, https://www.dpa.gr/. Ωστόσο, καθόσον η ιδιωτικότητά σας αποτελεί προτεραιότητα για την Εταιρεία, σας συνιστούμε να επικοινωνήσετε σχετικά στα στοιχεία επικοινωνίας της ως αυτά εμφανίζονται στην παρ. 1 της παρούσας για να επιλυθεί οποιοδήποτε θέμα σας με φιλική διαδικασία. Επιπρόσθετα, η Εταιρεία ενθαρρύνει την Εναλλακτική Επίλυση Διαφορών μεταξύ υμών και αυτής, με προσφυγή στην ευέλικτη διαδικασία Εξωδικαστικής Επίλυσης Διαφορών/Διαμεσολάβησης.

8.2. Η άσκηση των ως άνω δικαιωμάτων σας δύναται να πραγματοποιηθεί με συγκεκριμένα, σαφή και αληθινά αιτήματα, με επικοινωνία στα στοιχεία διεύθυνσης και επικοινωνίας της Εταιρείας ως αυτά εμφανίζονται στην παρ. 1 της παρούσας αποστέλλοντας e-mail ή επιστολή ή καταθέτοντάς το αίτημα αυτοπροσώπως.

8.3. Προκειμένου να έχει τη δυνατότητα η Εταιρεία να εξετάσει κάποιο αίτημα που σχετίζεται με τα Προσωπικά Δεδομένα σας, θα πρέπει να μας προσδιορίσετε πότε περίπου βρεθήκατε στην εμβέλεια των καμερών και να μας δώσετε μια εικόνα σας, ώστε να μας διευκολύνει στον εντοπισμό των Προσωπικών Δεδομένων που ανήκουν σε εσάς. Η Εταιρεία επιφυλάσσεται να σας ζητήσει ορισμένα στοιχεία επιπρόσθετης ταυτοποίησης σας προκειμένου να διαφυλάξει την ακεραιότητα των Προσωπικών Δεδομένων που επεξεργάζεται.

8.4. Η Εταιρεία στοχεύει στην απάντηση των έγκυρων αιτημάτων σας το αργότερο εντός ενός (1) μήνα από την παραλαβή τους, εκτός εάν το αίτημα είναι εξαιρετικά περίπλοκο ή έχετε υποβάλλει πολλαπλά αιτήματα, οπότε και η εταιρεία δύναται να σας απαντήσει εντός τριών (3) μηνών. Στην περίπτωση που η Εταιρεία χρειάζεται περισσότερο από ένα (1) μήνα για τους λόγους που αναφέρονται παραπάνω, θα σας ενημερώσει αναλόγως εντός του μήνα.

8.5. Η Εταιρεία δε θα σας χρεώσει για κάποιο αίτημά σας για την άσκηση δικαιώματός σας εκτός εάν αυτό είναι αβάσιμο ή υπερβολικό ή εάν ο νόμος προβλέπει διαφορετικά, οπότε και η σχετική χρέωση θα είναι εύλογη για τις συνθήκες, έπειτα από ενημέρωσή σας.

9. Τροποποίηση

Η Εταιρεία στο πλαίσιο της διαρκούς παρακολούθησης της συμμόρφωσής της στην ισχύουσα νομοθεσία για την προστασία των προσωπικών δεδομένων, προτίθεται να αναθεωρεί περιοδικά την παρούσα Ενημέρωση, ώστε να αντανακλά τις αλλαγές στη νομοθεσία αλλά και στις τυχόν πρακτικές που δύναται να υιοθετήσει. Η ημερομηνία τροποποίησης της παρούσας θα εμφανίζεται στο τέλος του κειμένου αυτής.

Ημερομηνία ισχύος Δεκέμβριος 2023

Second Layer Notice

For the processing of Personal Data through CCTV system

1. Data Controller

The Data Controller of your Personal Data is the company with the name "PAPASTRATOS CIGARETTES SOCIETE ANONYME" and the distinctive title "PAPASTRATOS S.A.", (hereinafter referred to as "PAPASTRATOS" or the "Company") located in Aspropyrgos, Imeros Topos, Kororremi, with Geranral Commercial Registration Number 227601000, VAT number 094011481, Tax Office of S.A. ATHENS, telephone number 210 4193000, e-mail address for personal data gr.cctv@pmi.com. This Notice is supplementary to the signage at the camera installation points and includes more detailed general information on the installation and operation of the cameras by our Company and the processing of your Personal Data in the context of the operation of the CCTV system.

2. CCTV system Installation and Function

2.1. The Company's CCTV system consists of special recording devices and fixed cameras as well as live broadcast cameras, which receive images without the ability to focus or record sound and without the possibility of biometric identification, operating 24 hours a day/seven (7) days a week.

2.2. The equipment of the CCTV system is divided into groups of cameras, located at the following points of the Company's premises:

- in the outdoor areas of the premises,

- the entrances and exits of the Company's premises,

- general indoor areas of the Company's premises

- indoor areas where the supply chain of the production and distribution of our products is serviced, including the areas where the tax stripes are affixed.

2.3. The placement of each group of cameras is proportional to the necessity to secure the area, space and goods they monitor. Appropriate measures have been taken for the installation of the CCTV system cameras in accordance with the guidelines of the Hellenic Data Protection Authority (HDPA) and the European authorities and institutions, as detailed in particular in the DPIA, which has been conducted respectively.

3. Purpose of processing
The Company has installed and uses a CCTV surveillance system for the following lawful purposes: 3.1. Preventively:

Α) For the purposes of the protection of persons and property: The Company has installed CCTV cameras for the surveillance and prevention of offences in order to: a) maintain the health and life safety of its employees during the provision of their work or third parties passing through the Company's premises and b) safeguard the Company's products and all property and mechanical installations located on the premises from theft and arson or other illegal actions (such as, for example, theft, robbery, arson, etc.).

Β) For the purposes of taking appropriate measures to protect and secure the premises as a "tax warehouse": As the Company has obtained an Approved Economic Operator (AEO) license, it has installed the CCTV system in order to meet the strict requirements of taking appropriate measures to prevent customs offences or violations in order to meet the requirements of the relevant license it has obtained (e.g. indicative of smuggling of its products, theft of tobacco tax stripes, etc.).

3.2. Suppressively:

Α) For the purposes of collecting evidence in the event of an incident and for the suppression of infringements in general: In the event of an incident that constitutes an offence against the physical integrity of a natural person or against property, the Company collects and processes Personal Data of image and video, in order to provide evidence to support or refute civil, criminal cases or proceedings before prosecutors or other competent authorities.

Β) For the purposes of suppression of infringements in particular as a Tax Warehouse: The relevant Approved Economic Operator (AEO) license increases the Company's right to install the CCTV system and to carry out checks, in particular at the points of the Company's premises related to its aforementioned role under the relevant license, in order to use the records of the said system as evidence in accordance with the National Customs Code no. 2960/2001 for the suppression of smuggling and customs offences. In addition, in the event that in the context of a criminal investigation by the competent judicial or prosecutorial authorities the personal image and video data are requested by these authorities, the Company is obliged to forward them in order to meet its obligations under the law, in the context of suppression of criminal or other offences.

4. Legal base of processing- analysis

4.1. The processing of image and video data through the CCTV system in the context of the above lawful and defined purposes, which has been installed in compliance with the applicable decisions and guidelines of the HDPA and the competent European institutions, is based on the following legal bases depending on the purpose of processing:

a. the legitimate interest of the Company in protecting the life and physical integrity of employees and natural persons passing through its premises as well as the property and products of the Company and the suppression of any offence that violates the above. The Company's legitimate interest has been fairly and carefully assessed and balanced against your privacy as natural persons/employees on the premises and does not infringe your fundamental rights and freedoms or violate or adversely affect your rights for the purposes of 3.1.A) and 3.2.A).

b. necessary for the performance of its task carried out in the public interest entrusted to the Company as an Approved Economic Operator (AEO) by virtue of its Authorisation No. GRAEOF 004019 051 14 (Union Number) /14 GR 000001 AEOF 00050 (National Number) - Customs Simplifications/Security and Protection (AEOF) in accordance with the provisions of Article 23 of the Union Customs Code/Reg. 952/2013 in conjunction with the provisions of Article 15 (1a) of the Delegated Regulation 2446/2015, in order to meet the requirements of its obligations as an Authorized Economic Operator with certification in accordance with Article 38 of the Union Customs Code and Article 39 thereof for carrying out controls and adopting appropriate security measures, but also to take increased measures and using appropriate scientific means in accordance with the National Customs Code Law. 2960/2001, as amended, to protect and secure the Company's premises as a "tax warehouse", logistical procedures and management of specific types of goods and to prevent and suppress illegal intrusion into the premises and access to its premises and products or mismanagement of goods and tampering with cargo units for the purposes of 3.1.B) and 3.2.B) as well as avoidance of responsibility for breaches of the National Customs Code Law. 2960/2001 (as amended), for example charge of smuggling.

c. necessary for compliance with a legal obligation to which the Company is subject to (in accordance with the Guidelines 3/2019 on the processing of personal data through video devices of the EDPB) to disclose the video footage to law enforcement authorities in the context of its obligation to cooperate with these authorities in case of an offence under the National Customs Code Law 2960/2001 article 3 par. 7 and the Criminal Code or the legislation in general.

d. necessary for the performance of its task carried out in the public interest, in case it receives a relevant prosecution order/complaint for the disclosure of Personal Data and/or in the context of other competent authorities or bodies, which will be fairly balanced with your privacy before such data is transferred.

4.2. Where the legal basis for processing is that of the legitimate interest or the performance of a task carried out in the public interest, you have the right to object as analyzed below in point 8.1.c).

4.3. The cameras have been installed restrictively and only at points that are necessary and proportionate to serve the above legal purposes and in areas where there is an increased likelihood of committing criminal offences related to the security of persons and goods as well as customs offences.

4.4. The Company collects and processes only the Personal Data of image and video that are necessary to serve the above purposes as described in para. 4.3 above, while the cameras do not focus on the faces of employees. Any Personal Data of image and video processed by the Company, when using the CCTV system, shall not be used for the identification or evaluation of employees or for the surveillance of their behaviour.

5. Recipients

The Company contracts with technical companies for the installation, technical support and provision of real- time video surveillance system operation and monitoring services, with which it enters into a contract for the processing of Personal Data, ensuring that the persons authorized to process Personal Data in the provision of these services are subject to a strict duty of confidentiality. In principle, Personal Data of image and video shall not be disclosed to third parties, with the exception of the following cases: a) to the competent judicial, prosecutorial and police authorities when they include data necessary for a possible investigation of a criminal offence concerning persons or property in the context described herein, b) to the competent judicial, prosecutorial and police authorities when they legitimately request data in the exercise of their duties, c) to the victim or the perpetrator of a criminal offence, when it concerns Personal Data which may constitute evidence of the offence.

6. Time retention

The Company will retain the Personal Data of image and video for fifteen (15) days, (due to the nature of the products and the purposes of installation of the cameras as analyzed above) as long as the reception of the images or videos stored does not indicate the occurrence of an offence. In the event of an incident (e.g. theft or robbery) against a person that belongs to the staff or products/property of the Company, the images or videos in which the incident has been recorded are saved in a distinct file for thirty (30) days for the purpose of investigating the incident and initiating legal proceedings to defend the Company's legal rights. If the incident involves a third party, the Company will retain the images or videos for three (3) months, also in a distinct secure file.

7. CCTV security measures

7.1. The Company has conducted the appropriate Data Protection Impact Assessment (DPIA) for the installation and use of the CCTV system prior to the installation of the system, in order to assess the relevant risk that may arise for the privacy of natural persons regarding the processing of their Personal Data in this context. You may be informed of the content of the DPIA by submitting a request to the Company’s contact details as indicated in para. 1 above.

7.2. In addition, the Company has taken the appropriate technical and organizational measures during the operation of this CCTV system in order to maintain the level of security of Personal Data during their processing by the system in accordance with the applicable legislation on the processing of Personal Data. Those technical and organisational measures shall in particular ensure that Personal Data are protected against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access in the course of the operation of the CCTV system.

8. Data subjects’ rights

8.1. As data subjects of the Personal Data processed as above, whether you are employees of the Company or natural persons passing through the Company's premises, where the CCTV system has been installed, you have the following rights in relevance with your Personal Data:

a) Right of Access: to confirm that the Company is processing the Personal Data of image and video, to receive a copy of them, if the processing is detected and to receive additional information that you do not already have regarding the processing of your Personal Data. As a prerequisite, it is necessary that the Company has the possibility to identify that it is you appearing in the image or video and that the rights of other natural persons are not adversely affected. In the event that the aforementioned conditions are not met, the Company reserves the right to restrict this right, after timely informing you.

b) Right of Restriction: to restrict the processing of your Personal Data, i.e. to request that they be kept but not used, when their accuracy is contested, when their processing is no longer necessary for the purposes for which they were collected but our Company keeps them for the establishment, exercise or support of legal claims or when you have objected to their processing and are awaiting verification of its effect (see the Right to Object below).

c) Right to Object: to object to the processing of your Personal Data, where the legal basis for processing is the legitimate interest or the performance of a task carried out in the public interest. In this case, however, the Company has the right to oppose your right to object and to continue processing, as it has a relevant obligation to take appropriate measures in its role as a "tax warehouse".

d) Right to erasure: to submit a request to have your Personal Data erased. The Company reserves the right not to comply with the request and to refuse to exercise the above right, if the processing is necessary: a) for the purpose for which it was collected; b) to comply with a legal obligation; c) to establish, exercise or defend legal claims. The exercise of the right to object or erasure does not entail the immediate erasure of data or the modification of processing.

e) Right to lodge a complaint: You have the right to lodge a complaint against the local competent supervisory authority about any issue that arises in relation to your Personal Data. You have the right to lodge a complaint to the competent supervisory authority in Greece, which is the HDPA https://www.dpa.gr/. However, as your privacy is a priority for the Company, we encourage you to contact the Company's contact details as shown in para.1 herein to resolve any issue you may have in an amicable manner. In addition, the Company encourages Alternative Dispute Resolution between you and it by resorting to the flexible Alternative Dispute Resolution/Mediation process.

8.2. The exercise of the above rights can be carried out by specific, clear and genuine requests, by contacting the Company's address and contact details as they appear in para. 1 herein by sending an e-mail or letter or by submitting the request in person.

8.3. In order for the Company to be able to process a request relevant to your Personal Data, you will need to specify approximately when you were in range of the cameras and provide us with a picture of you, so as to help us identify the Personal Data belonging to you. The Company reserves the right to ask you for certain additional identification details in order to preserve the integrity of the Personal Data it processes.

8.4. The Company aims to respond to your valid requests no later than one (1) month from receipt, unless the request is extremely complex or you have submitted multiple requests, in which case the Company may respond within three (3) months. In the event that the Company requires more than one (1) month for the reasons stated above, it will notify you accordingly within that month.

8.5. The Company will not charge you for a request to exercise a right unless it is unfounded or excessive or unless the law provides otherwise, in which case the charge will be reasonable in the circumstances, after informing you.

9. Amendments

The Company, as part of its ongoing monitoring of its compliance with applicable legislation on the protection of personal data, intends to periodically review this Notice to reflect changes in legislation and any practices it may adopt. The date of amendment of this Notice will appear at the end of it.

Effective date December 2023