Αίτηση θεραπείας κατά αποφάσεως 61/2016 (Χορήγηση ευαίσθητων προσωπικών δεδομένων σε τρίτο χωρίς άδεια της Αρχής και ενημέρωση του υποκειμένου)

ΕΛΛΗΝΙΚΗ ∆ΗΜΟΚΡΑΤΙΑ Αθήνα, 30-09-2016 Αριθ. Πρωτ.: Γ/ΕΞ/1502-3/30-09-2016 ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ∆Ε∆ΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Ταχ. ∆/νση: ΚΗΦΙΣΙΑΣ 1-3 115 23 ΑΘΗΝΑ ΤΗΛ.: 210-6475600 FAX: 210-6475628 Α Π Ο Φ Α Σ Η 93/2016 Η Αρχή Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τµήµατος στην έδρα της την 28.9.2016 και ώρα 10:00 µετά από πρόσκληση του Προέδρου της, προκειµένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Αναπληρωτής Πρόεδρος, Γεώργιος Μπατζαλέξης, κωλυοµένου του Προέδρου της Αρχής, Κωνσταντίνου Μενουδάκου, και τα αναπληρωµατικά µέλη Παναγιώτης Ροντογιάννης, Χαράλαµπος Τσιλιώτης και Γρηγόριος Τσόλιας, ως εισηγητής, σε αναπλήρωση των τακτικών µελών Αντωνίου Συµβώνη, Σπυρίδωνα Βλαχόπουλου και Χαράλαµπου Ανθόπουλου, αντίστοιχα, οι οποίοι, αν και εκλήθησαν νοµίµως εγγράφως, δεν παρέστησαν λόγω κωλύµατος. Παρούσες χωρίς δικαίωµα ψήφου ήταν η Φερενίκη Παναγοπούλου, νοµικός ελεγκτής - δικηγόρος, ως βοηθός εισηγήτρια και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τµήµατος διοικητικών και οικονοµικών υποθέσεων, ως γραµµατέας. Η Αρχή έλαβε υπόψη της τα παρακάτω:

1. Με την υπ’αριθ. 61/2016 απόφασή της η Αρχή α) Έκρινε ότι η διαβίβαση δεδοµένων υγείας της A στην B από το Γενικό Νοσοκοµείο X χωρίς προηγούµενη άδεια της Αρχής και χωρίς προηγούµενη ενηµέρωση για τη διαβίβαση αυτή συνιστά παραβίαση των άρθρων 7 παρ. 2 και 11 παρ. 3 του ν. 2472/
2. Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 1 β) Απηύθυνε σύσταση στο Νοσοκοµείο X, ως υπεύθυνο επεξεργασίας, όπως στο µέλλον διαβιβάζει τις αιτήσεις για την επεξεργασία ευαίσθητων δεδοµένων στην Αρχή για λήψη της απαιτούµενης από το νόµο άδειας. γ) Επέβαλε στο Νοσοκοµείο X, ως υπεύθυνο επεξεργασίας, πρόστιµο συνολικού ύψους χιλίων ευρώ (1.000€) για την παραβίαση της υποχρεώσεως της προηγούµενης ενηµερώσεως του υποκειµένου των δεδοµένων.
3. Με το υπ’αριθ. πρωτ. ΑΠ∆ΠΧ/Γ/ΕΙΣ/5425/6.9.2016 (αρ. πρωτ. νοσοκ. …) έγγραφό του Γενικού Νοσοκοµείου X προς την Αρχή το Νοσοκοµείο υπέβαλε αίτηση θεραπείας κατά της υπ’αριθ. 61/2016 αποφάσεως της Αρχής µε την αιτιολογία ότι η χορήγηση δεδοµένων υγείας της Α στην B από το Γενικό Νοσοκοµείο X έγινε κατόπιν εισαγγελικής παραγγελίας, στην οποία όφειλε το Νοσοκοµείο να συµµορφωθεί. Η Αρχή, µετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωµα ψήφου και αποχώρησε µετά τη συζήτηση της υποθέσεως και πριν από τη διάσκεψη και τη λήψη αποφάσεως, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
4. Επειδή, το άρθρο 24 παρ. 1 του Κώδικα ∆ιοικητικής ∆ιαδικασίας (Κ∆∆ιαδ), που κυρώθηκε µε το πρώτο άρθρο του ν.2690/1999 (ΦΕΚ Α΄45) ορίζει τα εξής: «Αν από τις σχετικές διατάξεις δεν προβλέπεται η δυνατότητα άσκησης της, κατά το επόµενο άρθρο, ειδικής διοικητικής, ή ενδικοφανούς προσφυγής, ο ενδιαφερόµενος, για την αποκατάσταση υλικής ή ηθικής βλάβης των έννοµων συµφερόντων του που προκαλείται από ατοµική διοικητική πράξη µπορεί, για οποιονδήποτε λόγο, µε αίτησή του, να ζητήσει, είτε από τη διοικητική αρχή η οποία εξέδωσε την πράξη, την ανάκληση ή την τροποποίησή της (αίτηση θεραπείας), είτε, από την αρχή η οποία προΐσταται εκείνης που εξέδωσε την πράξη, την ακύρωσή της (ιεραρχική προσφυγή). (…)». Εξάλλου, το άρθρο 21 του Κ∆∆ιαδ προβλέπει ότι: «
5. Αρµόδιο για την ανάκληση ατοµικής διοικητικής πράξης όργανο είναι εκείνο που την εξέδωσε ή που είναι αρµόδιο για την έκδοσή της.
6. Για την ανάκληση δεν είναι απαραίτητο να τηρείται η διαδικασία που προβλέπεται για την έκδοση της πράξης, εκτός αν ανακαλείται πράξη νόµιµη ή πράξη παράνοµη ύστερα από εκτίµηση πραγµατικών περιστατικών». 2 Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr
7. Επειδή, στην κρινόµενη υπόθεση, το Γενικό Νοσοκοµείο X ζητεί µε την αναφερόµενη στο ιστορικό αίτησή του την ανάκληση ή την τροποποίηση (αίτηση θεραπείας) της υπ’ αρ. 61/2016 αποφάσεως της Αρχής.
8. Επειδή, η Αρχή µε την απόφαση 61/2016 ερµηνεύοντας τις διατάξεις των άρθρων 7 παρ. 2 στοιχ. γ΄ και 11 παρ. 3 του ν.2472/1997, υπό το πρίσµα του άρθρου 9Α του Συντάγµατος και της Οδηγίας 95/46/ΕΚ, καθώς και τη διάταξη του άρθρου 25 παρ. 4 εδ. β΄ του ν.1756/1988 έκρινε ότι η διαβίβαση από τον υπεύθυνο επεξεργασίας ευαίσθητων προσωπικών δεδοµένων σε τρίτο, σε εκτέλεση σχετικής εισαγγελικής παραγγελίας, χωρίς τη λήψη προηγούµενης άδειας της Αρχής και χωρίς την προηγούµενη ενηµέρωση του υποκειµένου των δεδοµένων συνιστά παράνοµη επεξεργασία προσωπικών δεδοµένων. Με την προαναφερόµενη αίτηση θεραπείας κατά της αποφάσεως 61/2016 το Γενικό Νοσοκοµείο Χ υποστηρίζει ότι η χορήγηση ευαίσθητων δεδοµένων της A στην Β έγινε κατόπιν εισαγγελικής παραγγελίας και µάλιστα επικαλείται και τη σχετική επί του ζητήµατος αυτού Γνωµοδότηση ΕισΑΠ 4/
9. Ωστόσο, η Αρχή µε σειρά αποφάσεών της έχει αποφανθεί ότι όταν πρόκειται για ευαίσθητα προσωπικά δεδοµένα η εισαγγελική παραγγελία δεν απαλλάσσει από την υποχρέωση λήψεως άδειας εκ µέρους της Αρχής (βλ. Αποφάσεις 148/2011, 56/2014 και 58/2014 της Αρχής).
10. Επειδή, το Γενικό Νοσοκοµείο Χ δεν θέτει υπόψη της Αρχής νέα πραγµατικά περιστατικά ικανά να θεµελιώσουν την ανάκληση ή τροποποίηση της προσβαλλόµενης αποφάσεως της Αρχής. Εξάλλου, η αίτηση θεραπείας του Γενικού Νοσοκοµείο Χ κατά το ένα σκέλος της ερείδεται επί εσφαλµένης ερµηνείας ότι η εκ του άρθρου 19 παρ. 1 στοιχ. γ΄ του ν.2472/1997 αρµοδιότητα της Αρχής να απευθύνει συστάσεις στους υπευθύνους επεξεργασίας συνιστά δυσµενή διοικητική κύρωση.
11. Επειδή, η υποχρέωση ενηµερώσεως του υποκειµένου των δεδοµένων είναι αυτοτελής και έπεται χρονικά της αποφάσεως περί χορηγήσεως των αιτούµενων στοιχείων, έχει δε ως δικαιολογητικό λόγο την γνώση εκ µέρους του υποκειµένου των δεδοµένων του γεγονότος ότι συγκεκριµένα προσωπικά του δεδοµένα θα χορηγηθούν στον αιτούντα τρίτο για να χρησιµοποιηθούν, σύµφωνα µε το σκοπό της χορηγήσεώς τους, δηλαδή για τη δικαστική χρήση. Με τον τρόπο αυτό το υποκείµενο των δεδοµένων είναι σε θέση να εκτιµήσει την βαρύτητα των χορηγούµενων προσωπικών του δεδοµένων, να προετοιµάσει την άµυνά του και να ασκήσει τα δικαιώµατά του, ιδίως, των άρθρων 12, 13 και 14 του ν.2472/
12. Από τα ανωτέρω συνάγεται ότι η Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 3 τυχόν προβλεπόµενη από το νόµο υποχρέωση του Νοσοκοµείου να χορηγήσει στον τρίτο τα αιτούµενα προσωπικά δεδοµένα δεν καθιστά την υποχρέωση ενηµερώσεως του υποκειµένου άνευ αντικειµένου, εφόσον αυτή δεν στερείται σηµασίας για το υποκείµενο των δεδοµένων και οποιοσδήποτε συσχετισµός της υποχρεώσεως χορηγήσεως των αιτούµενων στοιχείων κατόπιν της εισαγγελικής παραγγελίας µε την παράλειψη ενηµερώσεως του υποκειµένου είναι αλυσιτελής και στερείται νοµικής βάσεως. Συνεπώς, η µη αναφορά στην εισαγγελική παραγγελία της υποχρεώσεως ενηµερώσεως του υποκειµένου των δεδοµένων δεν απαλλάσσει τον υπεύθυνο επεξεργασίας από την νόµιµη υποχρέωσή του (άρθρο 11 παρ. 3 του ν.2472/1997) να ενηµερώσει πριν από τη χορήγηση των αιτούµενων από τον τρίτο στοιχείων το υποκείµενο των δεδοµένων, τοσούτω µάλλον καθόσον η σχετική εισαγγελική παραγγελία δεν ανεφέρθη καθόλου στο θέµα της ενηµερώσεως του υποκειµένου των δεδοµένων και δεν διέλαβε – ούτε άλλωστε ηδύνατο να διαλάβει – ρητά απαλλαγή του υπευθύνου επεξεργασίας από την υποχρέωση ενηµερώσεως του υποκειµένου των δεδοµένων. Εξάλλου, η επιβολή του προστίµου µε την απόφαση 61/2016 της Αρχής, λαµβανοµένων υπόψη των συγκεκριµένων στοιχείων του φακέλου της υποθέσεως, κινήθηκε στο κατώτατο όριο του πλαισίου που ορίζει η διάταξη του άρθρου 21 παρ. 1 στοιχ. β΄ του ν. 2472/
13. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή απορρίπτει την αίτηση του Γενικού Νοσοκοµείου Χ για την ανάκληση ή την τροποποίηση (αίτηση θεραπείας) της αποφάσεως 61/2016 της Αρχής. 4 Ο Αν. Πρόεδρος Η Γραµµατέας Γεώργιος Μπατζαλέξης Eιρήνη Παπαγεωργοπούλου Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr