Απόρριψη αίτησης ανανέωσης άδειας επεξεργασίας ευαίσθητων προσωπικών δεδομένων σε εταιρεία, καθώς η εταιρεία κρίθηκε ως εκτελούσα την επεξεργασία

Αθήνα, 26-07-2017 Αριθ. Πρωτ.: Γ/ΕΞ/315-1/26-07-2017 ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ∆Ε∆ΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Α Π Ο Φ Α Σ Η 94/2017 ( µήµα) Η Αρχή Προστασ ας ∆εδοµένων Προσωπικού Χαρακτήρα συνεδρ ασε σε σύνθεση Τµήµατος στην έδρα της τη Παρασκευή 21.07.2017 και ώρα 10:00, εξ’ αναβολής της από 12.07.2017 συνεδρ ασης, µετά από πρόσκληση του Προέδρου της, προκειµένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυοµένου του Προέδρου της Αρχής, Κωνσταντ νου Μενουδάκου, τα αναπληρωµατικά µέλη Χαράλαµπος Τσιλιώτης, ως εισηγητής, και Γρηγόριος Τσόλιας σε αναπλήρωση των τακτικών µελών Αντώνιου Συµβώνη, Σπυρ δωνα Βλαχόπουλου και Χαράλαµπου Ανθόπουλου αντ στοιχα, οι οπο οι, αν και εκλήθησαν νοµ µως εγγράφως, δεν παρέστησαν λόγω κωλύµατος. ∆εν παρέστησαν λόγω κωλύµατος αν και εκλήθησαν νοµ µως εγγράφως οι Αντώνης Συµβώνης και Παναγιώτης Ροντογιάννης, τακτικό και αναπληρωµατικό µέλος, αντ στοιχα. Παρούσες χωρ ς δικα ωµα ψήφου ήταν η Έλενα Μαραγκού, ειδική επιστήµονας - ελέγκτρια, ως βοηθός εισηγητή και η Γεωργ α Παλαιολόγου, υπάλληλος του τµήµατος διοικητικών και οικονοµικών υποθέσεων, ως γραµµατέας. Η Αρχή έλαβε υπόψη τα ακόλουθα: Με το µε αρ. πρωτ. ΓΝ/ΕΙΣ/42485/31.01.2000 έγγραφο, η εταιρε α µε το διακριτικό Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -2τ τλο «ΙΑΤΡΙΚΗ ΠΑΡΕΜΒΑΣΗ Α.Ε.» (εφεξής «η Εταιρε α») γνωστοπο ησε στην Αρχή την τήρηση αρχε ου µε προσωπικά δεδοµένα µε σκοπό επεξεργασ ας την παροχή υπηρεσιών υγε ας. Σύµφωνα δε, µε µεταγενέστερο έγγραφο της εταιρε ας µε αριθµ. πρωτ. Γ/ΕΙΣ/2702/08.06.2005 διευκριν ζεται, ότι η εν λόγω εταιρε α αποτελε εταιρε α παροχής ιατροασφαλιστικών υπηρεσιών προς ιδιωτικές ασφαλιστικές εταιρε ες µε συνέπεια, πελάτες της να ε ναι οι ασφαλιστικές εταιρε ες, οι οπο ες ζητούν ιατροασφαλιστικές υπηρεσ ες από την εταιρε α για τους ασφαλισµένους τους. Στη συνέχεια, η Αρχή κατά τη συνεδρ αση της 02.10.2003, κατόπιν εξέτασης της ως άνω γνωστοπο ησης, αποφάσισε ΓΝ/ΕΞ/2229/03.10.2003 άδεια τη χορήγηση της µε αρ. πρωτ. δρυσης και λειτουργ ας αρχε ου µε ευα σθητα προσωπικά δεδοµένα. Ως ε δος δεδοµένων στην άδεια ορ ζονταν τα «δεδοµένα για την υγε α (φυσική κατάσταση, ιστορικό ασθενούς, χορήγηση φαρµάκων)». Ως αποδέκτες αναφέρονταν «τα δια τα υποκε µενα, τα εξουσιοδοτηµένα από αυτά πρόσωπα και τα ασφαλιστικά ταµε α στο µέτρο που η παροχή των δεδοµένων ε ναι αναγκα α για την ασφαλιστική κάλυψη». Ως σκοπός επεξεργασ ας οριζόταν «η παροχή υπηρεσιών των υπηρεσιών υγε ας». Η Αρχή αποφάσισε αρχικά την ανανέωση της άδειας, όπως προκύπτει από το µε αριθµ. πρωτ. ΓΝ/ΕΞ/241/15.02.2012 έγγραφό της, σε συνέχεια της µε αρ. πρωτ. ΓΝ/ΕΙΣ/534/27.07.2006 α τησης ανανέωσης. Ωστόσο, προέβη εν τέλει, στην έκδοση νέας άδειας µε αριθµ. πρωτ. ΓΝ/ΕΞ/440-1/26.04.2012 καθώς ε χε ήδη, υποβληθε το µε αριθµ. πρωτ. ΓΝ/ΕΙΣ/440/22.03.2012 έγγραφο ενηµέρωσης για την αλλαγή επωνυµ ας της προαναφερθε σας εταιρε ας (η εταιρε α µετονοµάστηκε µε το διακριτικό τ τλο «ACCURATE HEALTH AUDITING AND CONSULTING Α.Ε.»). Επειδή η ισχύς της νέας αυτής άδειας έληγε στις ..-..-…., η Εταιρε α µε το µε αρ. πρωτ. ΓΝ/ΕΙΣ/315/09.02.2017 έγγραφό της προς την Αρχή αιτήθηκε την ανανέωση της σχετικής άδειας, που της έχει χορηγηθε για το αρχε ο µε ευα σθητα προσωπικά δεδοµένα σε σχέση µε ασφαλισµένους στον κλάδο υγε ας ασφαλιστικών εταιρειών. Προς υποστήριξη δε, της α τησης της υπέβαλλε έγγραφο µε αριθµ. πρωτ. ΓΝ/ΕΙΣ/716/21.03.2017, το οπο ο περιλαµβάνει Περιγραφή του Πληροφοριακού της Συστήµατος, Κώδικα Επαγγελµατικής ∆εοντολογ ας και Εγχειρ διο Αντιµετώπισης Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -3Κινδύνων Ασφάλειας Πληροφοριών. Στο έγγραφο αυτό και ειδικότερα, στον Κώδικα Επαγγελµατικής ∆εοντολογ ας περιγράφεται αναλυτικά η ταυτότητα και ο σκοπός της εταιρε ας. Συγκεκριµένα, αναφέρεται ότι η εταιρε α παρέχει ιατροασφαλιστικές, ελεγκτικές και συµβουλευτικές υπηρεσ ες. Σκοπός της ε ναι: «η παροχή ιατρικής πραγµατογνωµοσύνης σχετικά µε την ανάγκη νοσηλε ας ή/και πραγµατοπο ησης εξετάσεων και ιατρικών πράξεων που ο θεράπων ιατρός προτε νει ή έχει ήδη ολοκληρώσει για τον ασφαλισµένο καθώς και η άριστη εξυπηρέτηση και παροχή υπηρεσιών υψηλής ποιότητας προς το σύνολο των ασφαλισµένων και των πελατών της». Η Αρχή, µετά από εξέταση όλων των στοιχε ων του φακέλου, αφού άκουσε τον εισηγητή και τη βοηθό εισηγητή, η οπο α στη συνέχεια αποχώρησε από την α θουσα και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦ ΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΟΝ ΝΟΜΟ

1. Σύµφωνα µε το άρθρο 2 στοιχ. ζ΄ του ν. 2472/1997, ως υπεύθυνος επεξεργασ ας ορ ζεται «οποιοσδήποτε καθορ ζει τον σκοπό και τον τρόπο επεξεργασ ας των δεδοµένων προσωπικού χαρακτήρα, όπως φυσικό ή νοµικό πρόσωπο, δηµόσια αρχή ή υπηρεσ α ή οποιοσδήποτε άλλος οργανισµός. Όταν ο σκοπός και ο τρόπος της επεξεργασ ας καθορ ζονται µε διατάξεις νόµου ή κανονιστικές διατάξεις εθνικού ή κοινοτικού δικα ου, ο υπεύθυνος επεξεργασ ας ή τα ειδικά κριτήρια βάσει των οπο ων γ νεται η επιλογή του καθορ ζονται αντ στοιχα από το εθνικό ή το κοινοτικό δ καιο». Ενώ µε το άρθρο 2 στοιχ. η΄ του ν. 2472/1997, ως εκτελών την επεξεργασ α ορ ζεται «οποιοσδήποτε επεξεργάζεται δεδοµένα προσωπικού χαρακτήρα για λογαριασµό υπεύθυνου επεξεργασ ας, όπως φυσικό ή νοµικό πρόσωπο, δηµόσια αρχή ή υπηρεσ α ή οποιοσδήποτε άλλος οργανισµός».
2. Όπως ορ ζει το άρθρο 6 παρ. 1 του ν. 2472/1997 «ο υπεύθυνος επεξεργασ ας υποχρεούται να γνωστοποιήσει εγγράφως στην Αρχή, τη σύσταση και λειτουργ α αρχε ου ή την έναρξη της επεξεργασ ας». Κατά το άρθρο 7 παρ. 3 του ν. 2472/1997, «η Αρχή χορηγε άδεια συλλογής και επεξεργασ ας ευα σθητων δεδοµένων, καθώς και άδεια ιδρύσεως και λειτουργ ας σχετικού αρχε ου, ύστερα από α τηση του υπεύθυνου Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -4επεξεργασ ας. Εφ’ όσον η Αρχή διαπιστώσει ότι πραγµατοποιε ται επεξεργασ α ευα σθητων δεδοµένων, η γνωστοπο ηση αρχε ου, σύµφωνα µε το άρθρο 6 του παρόντος νόµου, επέχει θέση αιτήσεως για τη χορήγηση άδειας».
3. Ως εκ τούτων, η υποχρέωση γνωστοπο ησης αφορά τον υπεύθυνο επεξεργασ ας, ο οπο ος στην περ πτωση που συλλέγονται και ευα σθητα δεδοµένα θα πρέπει να έχει την αντ στοιχη άδεια λειτουργ ας αρχε ου µε ευα σθητα δεδοµένα. Στη συγκεκριµένη περ πτωση, η Εταιρε α ανέλαβε την επεξεργασ α των δεδοµένων των υποκειµένων για λογαριασµό των ασφαλιστικών εταιρειών και των ασφαλιστικών ταµε ων, δηλαδή παρέχει στους οργανισµούς αυτούς µια υπηρεσ α µε βάση σχετική σύµβαση. Κατά τον τρόπο αυτό, όπως έχει ήδη κρ νει η Αρχή και µε την µε αριθ. 9/2011 Απόφασή της,1 στο βαθµό που η Εταιρε α επεξεργάζεται δεδοµένα, ευα σθητα ή και µη ευα σθητα, υποκειµένων που δεν ε ναι απευθε ας πελάτες της, αλλά ε ναι ασφαλισµένοι σε συνεργαζόµενες µε την Εταιρε α ασφαλιστικές εταιρε ες και ασφαλιστικά ταµε α, αποκλειστικά για σκοπούς και µε τον τρόπο που καθορ ζουν αυτο (οι ασφαλιστικές εταιρε ες και ασφαλιστικά ταµε α), νοε ται ως εκτελούσα την επεξεργασ α για λογαριασµό των παραπάνω υπευθύνων (σύµφωνα µε τον ορισµό του άρθρου 2 στοιχ. η΄ του ν. 2472/1997)
4. ΓΙΑ ΟΥΣ ΛΟΓΟΥΣ ΑΥ ΟΥΣ Η Αρχή κρ νει ότι η εταιρε α «ACCURATE HEALTH AUDITING AND CONSULTING Α.Ε.» θεωρε ται εκτελούσα την επεξεργασ α δεδοµένων που αφορούν 1 Βλ. Απόφαση 9/2011, διαθέσιµη στην ιστοσελ δα της Αρχής, µε την οπο α κρ θηκε ότι η εταιρε α «Mednet Ελλάς Α.Ε.», µε αντ στοιχη δραστηριότητα παροχής υπηρεσιών διαχε ρισης, βοήθειας και υποστήριξης ασφαλιστικών φορέων του ιδιωτικού ή δηµοσ ου τοµέα, θεωρε ται εκτελούσα την επεξεργασ α για λογαριασµό των συνεργαζόµενων µε αυτήν ασφαλιστικών εταιρειών και ασφαλιστικών ταµε ων, και ότι η ως άνω εταιρε α δεν υπέχει υποχρέωση γνωστοπο ησης και λήψεως αδε ας για την επεξεργασ α αυτή, υποχρέωση που φέρει µόνο ο υπεύθυνος επεξεργασ ας. 2 Βλ. Γνώµη 1/2010 σχετικά µε τις έννοιες του «υπευθύνου της επεξεργασ ας» και του «εκτελούντος την επεξεργασ α» της 16.02.2010 της Οµάδας Εργασ ας του Άρθρου 29 της Οδηγ ας 95/46/ΕΚ (WP169), διαθέσιµη στην ιστοσελ δα http://ec.europa.eu/justice/dataprotection/article-29/documentation/opinion-recommendation/files/2010/wp169_el.pdf. Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -5στους ασφαλισµένους στις συνεργαζόµενες µε αυτήν ασφαλιστικές εταιρε ες και ασφαλιστικά ταµε α. Συνεπώς, δεν υπέχει υποχρέωση γνωστοπο ησης και λήψης άδειας για την επεξεργασ α αυτή. Την εν λόγω υποχρέωση υπέχουν οι συνεργαζόµενες µε την «ACCURATE HEALTH AUDITING AND CONSULTING Α.Ε.» ασφαλιστικές εταιρε ες και ασφαλιστικά ταµε α. Η «ACCURATE HEALTH AUDITING AND CONSULTING Α.Ε.» επ σης, θα πρέπει να αναφέρεται ως εκτελούσα στις σχετικές γνωστοποιήσεις προς την Αρχή των υπευθύνων επεξεργασ ας, δηλ. των συνεργαζόµενων ασφαλιστικών εταιρειών και ασφαλιστικών ταµε ων. . Ο Αναπληρωτής Πρόεδρος Η Γραµµατέας Γεώργιος Μπατζαλέξης Γεωργία Παλαιολόγου Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr