Απόρριψη αίτησης χορήγησης άδειας επεξεργασίας ευαίσθητων προσωπικών δεδομένων σε εταιρεία, καθώς η εταιρεία κρίθηκε ως εκτελούσα την επεξεργασία

Αθήνα, 24-07-2017 Αριθ. Πρωτ.: Γ/ΕΞ/5615/24-07-2017 ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ∆Ε∆ΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Α Π Ο Φ Α Σ Η 88 /2017 ( µήµα) Η Αρχή Προστασ ας ∆εδοµένων Προσωπικού Χαρακτήρα συνεδρ ασε σε σύνθεση Τµήµατος στην έδρα της την Παρασκευή 21-07-2017 και ώρα 10:00, εξ αναβολής της από 12-07-2017 συνεδρ ασης, µετά από πρόσκληση του Προέδρου της, προκειµένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυοµένου του Προέδρου της Αρχής Κωνσταντ νου Μενουδάκου, Χαράλαµπος Τσιλιώτης, ως εισηγητής, και Γρηγόριος Τσόλιας, αναπληρωµατικά µέλη της Αρχής, σε αντικατάσταση των τακτικών µελών Σπυρ δωνα Βλαχόπουλου και Χαράλαµπου Ανθόπουλου αντ στοιχα, οι οπο οι αν και εκλήθησαν νοµ µως εγγράφως δεν παρέστησαν λόγω κωλύµατος. ∆εν παρέστησαν λόγω κωλύµατος, αν και εκλήθησαν νοµ µως εγγράφως οι Αντώνιος Συµβώνης και Παναγιώτης Ροντογιάννης, τακτικό και αναπληρωµατικό µέλος, αντ στοιχα. Στη συνεδρ αση παρέστη, επ σης, µε εντολή του Προέδρου, χωρ ς δικα ωµα ψήφου, η Ευµορφ α – Ιωσηφ να Τσακιρ δου, ειδική επιστήµονας – ελέγκτρια, ως βοηθός εισηγητή, η οπο α αποχώρησε µετά τη συζήτηση και πριν από τη διάσκεψη και τη λήψη απόφασης, και η Γεωργ α Παλαιολόγου, υπάλληλος του ∆ιοικητικού – Οικονοµικού Τµήµατος της Αρχής, ως γραµµατέας. Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -2- Η Αρχή έλαβε υπόψη τα ακόλουθα: Με την υπ’ αριθ. πρωτ. ΓΝ/ΕΙΣ/2400/27-10-2015 γνωστοπο ηση, η εταιρε α µε την επωνυµ α «ΙΑΤΡΟΝΟΜΙΚΕΣ ΥΠΗΡΕΣΙΕΣ ΑΝΩΝΥΜΗ ΕΤΑΙΡΕΙΑ» και διακριτικό τ τλο «EXPERT OPINION SA» (εφεξής «η Εταιρε α»), µε δραστηριότητα την παροχή επιστηµονικών και τεχνικών συµβουλευτικών υπηρεσιών, γνωστοπο ησε στην Αρχή την τήρηση αρχε ου µε προσωπικά δεδοµένα, µε σκοπό, κατά την α τησή της, υπηρεσ ες παροχής συµβούλων (Σ023), και συγκεκριµένα υπηρεσ ες ιατρικής πραγµατογνωµοσύνης, προ-ασφαλιστικού ελέγχου, κλινικού-ιατρικού ελέγχου και διαχε ρισης ιατρικών αποζηµιώσεων προς ασφαλιστικές εταιρε ες και οργανισµούς του κλάδου υγε ας. Σύµφωνα µε την α τηση, η εταιρε α προσφέρει έγκυρες και αξιόπιστες υπηρεσ ες τεχνικού συµβούλου σε ασφαλιστικές εταιρε ες και νοµικά γραφε α που χειρ ζονται υποθέσεις ιατρικής φύσεως και αντιµετωπ ζουν την εγγενή αδυναµ α αποτελεσµατικής αξιολόγησης και χειρισµού των ιατρικών τους δεδοµένων. Ειδικότερα, σύµφωνα µε το καταστατικό της εταιρε ας που υποβλήθηκε µαζ µε την εν λόγω γνωστοπο ηση, σκοπός της εταιρε ας, µεταξύ άλλων, ε ναι «η λήψη αιτηµάτων διενέργειας πραγµατογνωµοσύνης και εν γένει παροχής τεχνικής υποδοµής επ ιατρικών ή άλλων (αναλόγως του επιστηµονικού πεδ ου) θεµάτων από φυσικά και νοµικά πρόσωπα (στο εξής οι <Εντολε ς>), όπως ενδεικτικά δικηγορικά γραφε α, Ασφαλιστικές Εταιρ ες, Επιχειρήσεις του ιδιωτικού ή δηµοσ ου τοµέα, νοµικά και φυσικά πρόσωπα και η εύρεση κατάλληλου ιατρού ή αναλόγως του θέµατος άλλης εξειδ κευσης επιστήµονα εκ των µελών του ∆ικτύου για την ανάθεση καθηκόντων πραγµατογνώµονα / τεχνικού συµβούλου από έκαστο Εντολέα». Επ σης, καταστατικός σκοπός της ε ναι «η παροχή εξειδικευµένων υπηρεσιών προ-ασφαλιστικού ελέγχου ..», καθώς και «η παροχή υπηρεσιών ιατρο-ασφαλιστικού ελέγχου περιστατικών νοσηλε ας, περιλαµβανοµένου και του ελέγχου νοσηλ ων, κατ’ εντολή ασφαλιστικών εταιρειών, ασφαλιστικών οργανισµών ή παροχών υπηρεσιών υγε ας του ιδιωτικού ή δηµοσ ου τοµέα». Σε κάθε περ πτωση, η Εταιρε α, η οπο α αναλαµβάνει, όπως αναφέρει, καθήκοντα πραγµατογνώµονα / τεχνικού συµβούλου, επεξεργάζεται τα σχετικά δεδοµένα που τις χορηγε ο εκάστοτε Εντολέα της, Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -3και παρέχει την εν λόγω υπηρεσ α (ιατρικής πραγµατογνωµοσύνης, προ-ασφαλιστικού ελέγχου, ιατρο-ασφαλιστικού ελέγχου περιστατικών νοσηλε ας) µετά την έγγραφη ανάθεση και κατά την εντολή του. Η Αρχή, µετά από εξέταση όλων των στοιχε ων του φακέλου, αφού άκουσε τον εισηγητή και την βοηθό εισηγήτρια, η οπο α αποχώρησε µετά τη συζήτηση και πριν από τη διάσκεψη και τη λήψη απόφασης, και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦ ΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΟΝ ΝΟΜΟ

1. Σύµφωνα µε το άρθρο 2 στοιχ. ζ΄ ν. 2472/1997, ως υπεύθυνος επεξεργασ ας ορ ζεται «οποιοσδήποτε καθορ ζει τον σκοπό και τον τρόπο επεξεργασ ας των δεδοµένων προσωπικού χαρακτήρα, όπως φυσικό ή νοµικό πρόσωπο, δηµόσια αρχή ή υπηρεσ α ή οποιοσδήποτε άλλος οργανισµός. Όταν ο σκοπός και ο τρόπος της επεξεργασ ας καθορ ζονται µε διατάξεις νόµου ή κανονιστικές διατάξεις εθνικού ή κοινοτικού δικα ου, ο υπεύθυνος επεξεργασ ας ή τα ειδικά κριτήρια βάσει των οπο ων γ νεται η επιλογή του καθορ ζονται αντ στοιχα από το εθνικό ή το κοινοτικό δ καιο». Ενώ µε το άρθρο 2 στοιχ. η΄ ν. 2472/1997, ως εκτελών την επεξεργασ α ορ ζεται «οποιοσδήποτε επεξεργάζεται δεδοµένα προσωπικού χαρακτήρα για λογαριασµό υπεύθυνου επεξεργασ ας, όπως φυσικό ή νοµικό πρόσωπο, δηµόσια αρχή ή υπηρεσ α ή οποιοσδήποτε άλλος οργανισµός».
2. Όπως ορ ζει το άρθρο 6 παρ. 1 ν. 2472/1997, «ο υπεύθυνος επεξεργασ ας υποχρεούται να γνωστοποιήσει εγγράφως στην Αρχή, τη σύσταση και λειτουργ α αρχε ου ή την έναρξη της επεξεργασ ας». Κατά το άρθρο 7 παρ. 3 ν. 2472/1997, «η Αρχή χορηγε άδεια συλλογής και επεξεργασ ας ευα σθητων δεδοµένων, καθώς και άδεια ιδρύσεως και λειτουργ ας σχετικού αρχε ου, ύστερα από α τηση του υπεύθυνου επεξεργασ ας. Εφ’ όσον η Αρχή διαπιστώσει ότι πραγµατοποιε ται επεξεργασ α ευα σθητων δεδοµένων, η γνωστοπο ηση αρχε ου, σύµφωνα µε το άρθρο 6 του παρόντος νόµου, επέχει θέση αιτήσεως για τη χορήγηση άδειας».
3. Με βάση τα προαναφερόµενα, η υποχρέωση γνωστοπο ησης αφορά τον υπεύθυνο Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -4επεξεργασ ας, ο οπο ος στην περ πτωση που συλλέγονται και ευα σθητα δεδοµένα θα πρέπει να έχει την αντ στοιχη άδεια λειτουργ ας αρχε ου µε ευα σθητα δεδοµένα. Στη συγκεκριµένη περ πτωση, η Εταιρε α αναλαµβάνει την επεξεργασ α των δεδοµένων των υποκειµένων για λογαριασµό των Εντολέων της, που ε ναι ασφαλιστικές εταιρε ες και οργανισµο του κλάδου υγε ας, δηλαδή παρέχει στους οργανισµούς αυτούς µια υπηρεσ α µε βάση σχετική σύµβαση. Κατά τον τρόπο αυτό, όπως έχει ήδη κρ νει η Αρχή και µε την µε αριθ. 9/2011 Απόφασή της,1 στο βαθµό που η Εταιρε α επεξεργάζεται δεδοµένα, ευα σθητα ή και µη ευα σθητα, υποκειµένων που δεν ε ναι απευθε ας πελάτες της αλλά ε ναι πελάτες των Εντολέων της, (ασφαλισµένοι σε συνεργαζόµενες µε την Εταιρε α ασφαλιστικές εταιρε ες και οργανισµούς του κλάδου υγε ας), αποκλειστικά για σκοπούς και µε τον τρόπο που καθορ ζουν οι Εντολε ς της (οι ασφαλιστικές εταιρε ες και οργανισµο του κλάδου υγε ας, κλπ), νοε ται ως εκτελούσα την επεξεργασ α για λογαριασµό των παραπάνω υπευθύνων (σύµφωνα µε τον ορισµό του άρθρου 2 στοιχ. η΄ ν. 2472/1997).2 ΓΙΑ ΟΥΣ ΛΟΓΟΥΣ ΑΥ ΟΥΣ Η Αρχή κρ νει ότι η εταιρε α «ΙΑΤΡΟΝΟΜΙΚΕΣ ΥΠΗΡΕΣΙΕΣ Α.Ε.» θεωρε ται εκτελούσα την επεξεργασ α δεδοµένων που αφορούν στους ασφαλισµένους στις συνεργαζόµενες µε αυτήν ασφαλιστικές εταιρε ες και ασφαλιστικά ταµε α. Συνεπώς, δεν υπέχει υποχρέωση γνωστοπο ησης και λήψης άδειας για την επεξεργασ α αυτή. Την εν λόγω υποχρέωση υπέχουν οι συνεργαζόµενες µε την Εταιρε α ασφαλιστικές εταιρε ες και 1 Βλ. Απόφαση 9/2011, διαθέσιµη στην ιστοσελ δα της Αρχής, µε την οπο α κρ θηκε ότι η εταιρε α «Mednet Ελλάς Α.Ε.», µε αντ στοιχη δραστηριότητα παροχής υπηρεσιών διαχε ρισης, βοήθειας και υποστήριξης ασφαλιστικών φορέων του ιδιωτικού ή δηµοσ ου τοµέα, θεωρε ται εκτελούσα την επεξεργασ α για λογαριασµό των συνεργαζόµενων µε αυτήν ασφαλιστικών εταιρειών και ασφαλιστικών ταµε ων, και ότι η ως άνω εταιρε α δεν υπέχει υποχρέωση γνωστοπο ησης και λήψεως αδε ας για την επεξεργασ α αυτή, υποχρέωση που φέρει µόνο ο υπεύθυνος επεξεργασ ας. 2 Βλ. Γνώµη 1/2010 σχετικά µε τις έννοιες του «υπευθύνου της επεξεργασ ας» και του «εκτελούντος την επεξεργασ α» της 16.02.2010 της Οµάδας Εργασ ας του Άρθρου 29 της Οδηγ ας 95/46/ΕΚ (WP169), διαθέσιµη στην ιστοσελ δα http://ec.europa.eu/justice/dataprotection/article-29/documentation/opinion-recommendation/files/2010/wp169_el.pdf. Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -5ασφαλιστικά ταµε α. Η εταιρε α «ΙΑΤΡΟΝΟΜΙΚΕΣ ΥΠΗΡΕΣΙΕΣ Α.Ε.» επ σης θα πρέπει να αναφέρεται ως εκτελούσα στις σχετικές γνωστοποιήσεις προς την Αρχή των υπευθύνων επεξεργασ ας, δηλ. των συνεργαζόµενων ασφαλιστικών εταιρειών και ασφαλιστικών ταµε ων. Ο Αναπληρωτής Πρόεδρος Γεώργιος Μπατζαλέξης Η Γραµµατέας Γεωργία Παλαιολόγου Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr