Επεξεργασία προσωπικών δεδομένων ασφαλισμένων από ασφαλιστική εταιρία

Αθήνα, 25-02-2021 Αριθ. Πρωτ.: 711 ΑΠΟΦΑΣΗ [5/2021] (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τμήματος στην έδρα της την 20.01.2021 μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Αναπληρωτής Πρόεδρος Γ. Μπατζαλέξης, κωλυομένου του Προέδρου της Αρχής Κ. Μενουδάκου, και τα αναπληρωματικά μέλη της Αρχής Γ. Τσόλιας, ως εισηγητής, και Ε. Παπακωνσταντίνου, σε αντικατάσταση των τακτικών μελών Χ. Ανθόπουλου και Κ. Λαμπρινουδάκη, αντίστοιχα, οι οποίοι, αν και εκλήθησαν νομίμως εγγράφως, δεν παρέστησαν λόγω κωλύματος. Το τακτικό μέλος της Αρχής Σ. Βλαχόπουλος, αν και εκλήθη νομίμως εγγράφως, δεν παρέστη λόγω κωλύματος. Παρούσες χωρίς δικαίωμα ψήφου ήταν οι K. Καρβέλη και Χ. Λάτσιου, ειδικοί επιστήμονες-δικηγόροι, ως βοηθοί εισηγητή, οι οποίες αποχώρησαν μετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη απόφασης και η Ε. Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα ακόλουθα: Με την υπ’ αριθ. πρωτ. Γ/ΕΙΣ/340/17.01.2019 καταγγελία του στην Αρχή, ο Α καταγγέλλει ότι μετά από ένα έκτακτο περιστατικό του τέκνου του τον …, συνεπεία του οποίου, επισκέφτηκε εσπευσμένα το Νοσοκομείο ΜΗΤΕΡΑ, κατέθεσε τα δικαιολογητικά δαπανών στην ασφαλιστική του εταιρία GENERALI HELLAS A.A.E., καθώς και το έντυπο αναγγελίας αποζημίωσης, όπου, προκειμένου να γίνει δεκτή η αίτησή του αποζημίωσης, θα έπρεπε να συναινέσει υποχρεωτικά σε όλα τα πεδία του, και ειδικότερα α) στην πρόσβαση της ασφαλιστικής εταιρίας στη βάση 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr δεδομένων του συνταγολογίου και στο ηλεκτρονικό σύστημα συνταγογράφησης του ΕΟΠΠΥ με χρήση του ΑΜΚΑ του, β) στην πρόσβαση στον ιατρικό φάκελο γ) και στην πρόσβαση τόσο σε παρούσες, όσο και σε παρελθούσες ή μελλοντικές ιατρικές εξετάσεις όχι μόνον των δικών του αλλά και όλων των μελών του ασφαλιστικού συμβολαίου, ενώ, όπως υποστηρίζει, θα έπρεπε να αρκεί για τη διαδικασία αποζημίωσης μόνον η κατάθεση των αποδείξεων δαπάνης και οι γνωματεύσεις των ιατρών, όχι η κατάθεση και των αποτελεσμάτων των εξετάσεων. Η μη συναίνεση σε οποιαδήποτε από τα πεδία, αποτελεί λόγο για μη τήρηση των γενικών και ειδικών όρων του ασφαλιστήριου συμβολαίου και της ασφαλιστικής κάλυψης και αποζημίωσης. Κατόπιν της εναντίωσής του, η GENERALI υποστήριξε ότι κατά τη διάρκεια της σύναψης της σύμβασης δεν έγινε πλήρης έλεγχος ιατρικού ιστορικού και δεν προέβη σε οποιοδήποτε έλεγχο της ακρίβειας των απαντήσεων που δόθηκαν στο ερωτηματολόγιο, και ότι αυτός ο έλεγχος γίνεται στο πρώτο αίτημα αποζημίωσης, το οποίο όμως, όπως υποστηρίζει ο καταγγέλλων, δεν είναι ακριβές, καθώς η GENERALI προέβη σε ενδελεχή έλεγχο της ακρίβειας των απαντήσεων που δόθηκαν στο ερωτηματολόγιο, μάλιστα του ζητήθηκαν και αποτελέσματα εξετάσεων σχετικά με όσα δήλωσε στο ερωτηματολόγιο, καθώς και αντίγραφα των βιβλιαρίων υγείας και των 3 ασφαλισμένων μελών της οικογένειας. Στο πλαίσιο διερεύνησης της καταγγελίας η Αρχή απέστειλε το από 21.03.2019 και με αριθ. πρωτ. Γ/ΕΞ/340-1 έγγραφο προς παροχή διευκρινίσεων στην καταγγελλόμενη ασφαλιστική εταιρία GENERALI, η οποία στο με αριθ. πρωτ. Γ/ΕΙΣ/2642/08.04.2019 απαντητικό έγγραφό της ανέφερε τα εξής: α) επειδή η αναγγελία της αποζημίωσης του καταγγέλλοντος παραλήφθηκε από τα γραφεία της εταιρίας στη Χ, χρησιμοποιήθηκε ατυχώς σχέδιο εντύπου το οποίο είχε διανεμηθεί περί τα μέσα του 2018, για τους σκοπούς της επικείμενης συμμόρφωσης της εταιρίας με τον ΓΚΠΔ, πλην όμως δεν ήταν οριστικό, δεδομένου ότι αναμένονταν η ψήφιση του εφαρμοστικού νόμου του ΓΚΠΔ, αλλά και οι νομολογιακές/ερμηνευτικές εξελίξεις γύρω από το ζήτημα των δεδομένων υγείας, β) το επίμαχο έντυπο χρησιμοποιήθηκε κατά το μεταβατικό στάδιο της προσαρμογής στον ΓΚΠΔ και γι’ αυτό φέρει στοιχεία της προϊσχύουσας νομοθεσίας, γ) ήδη η εταιρία έχει πλήρως αναμορφώσει τα έντυπα και τις διαδικασίες για την υποβολή αιτήματος αποζημίωσης και τις αιτούμενες 2 συναινέσεις, δ) η εταιρία τηρώντας την αρχή της ελαχιστοποίησης αρκέστηκε μόνον στα αναγκαία δεδομένα, τα οποία προσκόμισε ο καταγγέλλων για την εκτίμηση της συγκεκριμένης ασφαλιστικής περίπτωσης, η εταιρία δεν υφαρπάζει δεδομένα, αφού πάντοτε υπάρχει η επιλογή της μη συναίνεσης, σε καμία δε περίπτωση η προβλεπόμενη μη συναίνεση δεν συσχετίστηκε με την υπόλοιπη λειτουργία της ασφαλιστικής σύμβασης, ε) η εταιρία εν αναμονή του εφαρμοστικού νόμου και στο πλαίσιο της συμμόρφωσής της, είχε επιλέξει τη νομική βάση της συγκατάθεσης για την επεξεργασία ειδικών κατηγοριών δεδομένων των υποκειμένων - ασφαλισμένων της, εξάλλου και η σχετική εγκύκλιος του Υπουργείου Υγείας αποδέχεται ότι οι ασφαλιστικές εταιρίες μπορούν να επικαλεστούν την εν λόγω νομική βάση για τη λήψη, στο όνομα και για λογαριασμό του υποκειμένου, από φορέα παροχής υπηρεσιών υγείας, ως υπεύθυνο επεξεργασίας, δεδομένων σχετικών με την υγεία του, για τον σκοπό αποζημίωσης του υποκειμένου και στ) σε κάθε περίπτωση δεν έλαβε χώρα κάποια παραβίαση της νομοθεσίας. Κατόπιν τούτου, η Αρχή με τις υπ’ αριθ. πρωτ. Γ/ΕΞ/4816/10.07.20 και Γ/ΕΞ/4817/10.07.20 κλήσεις κάλεσε αντίστοιχα τον καταγγέλλοντα και την καταγγελλόμενη ασφαλιστική εταιρία GENERALI HELLAS A.A.E. να παραστούν στη συνεδρίαση της Αρχής την 15η.07.2020, προκειμένου να συζητηθεί η ως άνω καταγγελία. Κατά την ακρόαση της 15ης.07.2020 παρέστησαν ο καταγγέλλων Α, ενώ εκ μέρους της ασφαλιστικής εταιρείας GENERALI HELLAS A.A.E. παρέστη ο πληρεξουσιος δικηγόρος Γρηγόριος Λαζαράκος. Ο Α κατά την ανωτέρω ακρόαση της 15ης.07.2020 αλλά και με το με αριθ. πρωτ. Γ/ΕΙΣ/5094/20.07.20 υπόμνημά του ανέφερε τα εξής : α) το αντικείμενο της καταγγελίας του δεν είναι η αρχική απόρριψη του αιτήματος αποζημίωσης από την GENERALI, αλλά η απαίτηση συναίνεσης σε όλα τα πεδία της δήλωσης συναίνεσης και της δήλωσης πολιτικής προστασίας προσωπικών δεδομένων, η οποία συμπεριλαμβανόταν στο έντυπο αναγγελίας αποζημίωσης που του δόθηκε να συμπληρώσει και να υπογράψει, β) ένα από τα πεδία στη δήλωση συναίνεσης ανέφερε ότι ο ασφαλισμένος οφείλει να συναινέσει στην πρόσβαση στο ηλεκτρονικό σύστημα συνταγογράφησης του ΕΟΠΠΥ, χρησιμοποιώντας τον ΑΜΚΑ, γ) η ηλεκτρονική αλληλογραφία που έχει προωθηθεί στην Αρχή αποδεικνύει ότι τόσο ο 3 εργαζόμενος, υπεύθυνος για την παραλαβή και διεκπεραίωση της αίτησης, όσο και ο τότε DPO δήλωσαν ότι θα πρέπει όλα τα πεδία να είναι συμπληρωμένα και να έχει χορηγηθεί η συναίνεση, προκειμένου να προβεί η εταιρία στην επεξεργασία της αίτησης του καταγγέλλοντος και στην αποζημίωση του περιστατικού, δ) επίσης, η επιστολή που έλαβε στις …, την οποία υπογράφει τόσο η Νομική Σύμβουλος, όσο και ο DPO, δεν αναφέρει ότι συμπληρώθηκε λάθος έντυπο, και αναφέρει ότι πρέπει να υπάρχει συναίνεση «...για τη σύννομη επεξεργασία των προσωπικών δεδομένων που είναι αναγκαία για την εκτίμηση του αιτήματός σας, αλλά και τη γενικότερη ομαλή λειτουργία του ασφαλιστήριου και την παροχή των καλύψεων και των υπηρεσιών που προβλέπονται σε αυτό...», ε) κατά την ακροαματική διαδικασία, η GENERALI παραδέχτηκε ότι το έντυπο που του ζητήθηκε να υπογράψει και να συναινέσει σε όλα τα πεδία δεν ήταν το τελικό, τροποποιήθηκε στη συνέχεια και ότι έχει αφαιρεθεί ο όρος για πρόσβαση στον Ιατρικό Φάκελο μέσω ΑΜΚΑ, οπότε παραδέχεται ότι δεν θα έπρεπε να του προωθηθεί το εν λόγω έντυπο και να του ζητηθεί να συναινέσει σε όλα τα πεδία, συμπεριλαμβανομένου και σε αυτού με τη συναίνεση για πρόσβαση στον Ιατρικό Φάκελο μέσω ΑΜΚΑ, ωστόσο το συγκεκριμένο έντυπο χρησιμοποιήθηκε για κάποιο χρονικό διάστημα και κάποιοι ασφαλισμένοι συναίνεσαν στην πρόσβαση στον Ιατρικό τους Φάκελο, ενώ δεν όφειλαν, στ) αν δεν είχε εναντιωθεί στη συναίνεση, η GENERALI θα είχε λάβει συναίνεση για πρόσβαση στον Ιατρικό Φάκελο του ασφαλισμένου, κατά παράβαση της αρχής της αναλογικότητας ζ) η πρόσβαση στον Ιατρικό Φάκελο μέσω ΑΜΚΑ θα έπρεπε να γίνεται σε χρονική στιγμή μέχρι τη σύναψη του ασφαλιστηρίου συμβολαίου, και καθώς η πρόσβαση είναι συνολική και δεν περιορίζεται χρονικά, δεν θα έπρεπε να γίνεται μετά τη σύναψη του ασφαλιστηρίου, καθώς η ασφαλιστική εταιρία θα έχει πρόσβαση και σε μεταγενέστερα της χρονικής στιγμής σύναψης σύμβασης ιατρικά προσωπικά δεδομένα που δεν δικαιούται να επεξεργάζεται, και η) τόσο οι ασφαλιστικοί φορείς, όσο και τα διαγνωστικά κέντρα βασίζονται στην Εγκύκλιο του Υπουργείου Υγείας του Ιουλίου 2018, όπου εσφαλμένα δεν γίνεται διαχωρισμός των ιατρικών δεδομένων, οπότε όλα τα ιατρικά δεδομένα τυγχάνουν ίδιας μεταχείρισης, ενώ θα έπρεπε να γίνεται διαχωρισμός των άκρως απαραιτήτων ιατρικών δεδομένων, προκειμένου να γίνει επιτυχής διαχείριση του περιστατικού για όποια επικοινωνία με τον Ασφαλιστικό Φορέα, σε επίπεδο εγκρίσεων και καλύψεων προς αποζημίωση και των 4 υπόλοιπων ιατρικών δεδομένων που δεν θα πρέπει να ζητούνται και τα οποία δεν είναι απαραίτητα για την εκτέλεση ασφαλιστικού συμβολαίου για διαχείριση και αποζημίωση περιστατικού. Ο πληρεξούσιος δικηγόρος της ασφαλιστικής εταιρίας GENERALI HELLAS A.A.E. κατά την ανωτέρω ακρόαση της 15ης.07.2020, αλλά και με το με αριθ. πρωτ. Γ/ΕΙΣ/5314/29.07.20 υπόμνημά του ανέφερε τα εξής: α) ο καταγγέλλων δεν επικαλείται ούτε αποδεικνύει παράνομη επεξεργασία των προσωπικών του δεδομένων από τη GENERALI , β) ουδεμία επιρροή στην αρχική απόφαση της εταιρίας περί μη κάλυψης του αιτήματος αποζημίωσης του καταγγέλλοντος άσκησε η μη συναίνεσή του σε ορισμένα από τα πεδία συναινέσεων που περιέχονταν στο Έντυπο Αναγγελίας Αποζημίωσης που υπέβαλε ο καταγγέλλων στις … στην εταιρία, όπως αποδεικνύεται από το γεγονός ότι αποζημιώθηκε πλήρως ως προς το ασφαλιστικό συμβάν που ανήγγειλε, παρότι αρνήθηκε να δώσει τη συγκατάθεσή του σε ορισμένα από τα πεδία του ειδικού εντύπου, γ) η σχετική καθυστέρηση καταβολής της ασφαλιστικής αποζημίωσης οφείλεται στο γεγονός ότι ο καταγγέλλων δεν ακολούθησε τη διαδικασία που προβλέπεται στο ασφαλιστήριο συμβόλαιό του, δ) παρά το γεγονός ότι ο ασφαλισμένος δεν ακολούθησε την προβλεπόμενη στο ασφαλιστήριο συμβόλαιό του διαδικασία, η εταιρία αρκέστηκε στα στοιχεία που της προσκόμισε και με βάση αυτά αποζημιώθηκε, ουδέποτε δε του ζήτησε ή του «υφάρπαξε» επιπλέον δεδομένα, ε) η συμπλήρωση όλων των πεδίων των συναινέσεων της Δήλωσης Συναίνεσης ήταν και είναι προαιρετική, στο πλαίσιο πάντοτε του ισχύοντος νομοθετικού και κανονιστικού πλαισίου και η μη συναίνεση δεν επηρέασε την κάλυψη του ασφαλιστικού συμβάντος και στ) η εφαρμογή της αρχής της ελαχιστοποίησης αποτυπώνεται με σαφήνεια στις σχετικές εσωτερικές διαδικασίας της εταιρίας. Ειδικότερα, όπως προκύπτει από το σχετικό έντυπο της «Διαδικασίας Απευθείας Αποζημίωσης Νοσοκομειακών Εξόδων», τα έγγραφα που συλλέγονται σχετίζονται με την κάλυψη του συγκεκριμένου ασφαλιστικού κινδύνου, και σε καμία περίπτωση δεν ζητείται γενική συγκατάθεση για ολοκληρωτική πρόσβαση στον ιατρικό φάκελο ενός ασφαλισμένου ή στον ηλεκτρονικό φάσκελο δαπάνης ασφάλισης υγείας που τηρείται στον ΕΟΠΠΥ. 5 Η Αρχή, μετά από την ακροαματική διαδικασία και την εξέταση των στοιχείων του φακέλου και αφού άκουσε τον εισηγητή και τις βοηθούς εισηγητή, οι οποίες αποχώρησαν μετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη απόφασης, μετά από διεξοδική συζήτηση ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ

1. Επειδή, από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού 2016/679) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ.1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας του Α κατά της ασφαλιστικής εταιρίας GENERALI HELLAS A.A.E. και να ασκήσει, αντίστοιχα, τις εξουσίες που της απονέμονται από τις διατάξεις των άρθρων 58 του ΓΚΠΔ και 15 του νόμου 4624/
3. Επειδή, το άρθρο 5 του ΓΚΠΔ καθορίζει τις αρχές επεξεργασίας που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, ορίζεται στην παράγραφο 1 ότι τα δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων: «α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα, διαφάνεια»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς, γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων»), (…)».
4. Επειδή, σύμφωνα με τα οριζόμενα, στη διάταξη του άρθρου 5 παρ. 2 του ΓΚΠΔ ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην παράγραφο 1 του άρθρου
5. Όπως έχει κρίνει η Αρχή 1, με τον ΓΚΠΔ υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό μέγεθος του οποίου συνιστά η αρχή της 1 Βλ. απόφαση Αρχής 26/2019, σκέψη 8, διαθέσιμη στην ιστοσελίδα της. 6 λογοδοσίας στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να αποδεικνύει από μόνος του και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ.
6. Επειδή, σύμφωνα και με το άρθρο 8 παρ. 1 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, το άρθρο 9Α του Συντάγματος και την αιτιολογική σκέψη 4 του ΓΚΠΔ, το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δεν είναι απόλυτο, αλλά πρέπει να εκτιμάται σε σχέση με τη λειτουργία του στην κοινωνία και να σταθμίζεται με άλλα θεμελιώδη δικαιώματα, σύμφωνα με την αρχή της αναλογικότητας. Ο ΓΚΠΔ σέβεται όλα τα θεμελιώδη δικαιώματα και τηρεί τις ελευθερίες και αρχές που αναγνωρίζονται στον Χάρτη, ιδίως τον σεβασμό της ιδιωτικής και οικογενειακής ζωής, της κατοικίας και των επικοινωνιών, την προστασία των δεδομένων προσωπικού χαρακτήρα, την ελευθερία σκέψης, συνείδησης και θρησκείας, την ελευθερία έκφρασης και πληροφόρησης, την επιχειρηματική ελευθερία, το δικαίωμα πραγματικής προσφυγής και αμερόληπτου δικαστηρίου και την πολιτιστική, θρησκευτική και γλωσσική πολυμορφία.
7. Επειδή, το άρθρο 9 παρ. 1 ΓΚΠΔ εισάγει, καταρχήν, απαγόρευση επεξεργασίας πληροφοριών που εμπίπτουν σε ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα, δηλ. δεδομένων προσωπικού χαρακτήρα που αφορούν, μεταξύ άλλων, την υγεία. Ακολούθως, η παράγραφος 2 του ίδιου άρθρου ορίζει ότι: «Η παράγραφος 1 δεν εφαρμόζεται στις ακόλουθες περιπτώσεις: α) το υποκείμενο των δεδομένων έχει παράσχει ρητή συγκατάθεση για την επεξεργασία αυτών των δεδομένων προσωπικού χαρακτήρα για έναν ή περισσότερους συγκεκριμένους σκοπούς, εκτός εάν το δίκαιο της Ένωσης ή κράτους μέλους προβλέπει ότι η απαγόρευση που αναφέρεται στην παράγραφο 1 δεν μπορεί να αρθεί από το υποκείμενο των δεδομένων, β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ’ απαίτηση του υποκειμένου των δεδομένων πριν τη σύναψη της σύμβασης (…). 7
8. Επειδή, στην εξεταζόμενη υπόθεση, από τα στοιχεία του φακέλου της υπόθεσης και την ακροαματική διαδικασία, προκύπτει ότι ο καταγγέλλων ασφαλισμένος στην ασφαλιστική εταιρία GENERAL HELLAS A.A.E. κατά την επέλευση της ασφαλιστικής περίπτωσης, κατ’ άρθρο 7 του νόμου 2496/1997 (ΦΕΚ Α΄ 87), αρνήθηκε να παράσχει θετική δήλωση βουλήσεως στην ασφαλιστική εταιρεία, ως υπεύθυνο επεξεργασίας, σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 4 στοιχ. 7 του ΓΚΠΔ, όπου, προκειμένου να γίνει δεκτή η αίτησή του αποζημίωσης, θα έπρεπε να συναινέσει υποχρεωτικά σε όλα τα πεδία του εντύπου αναγγελίας αποζημίωσης και ειδικότερα α) στην πρόσβαση της ασφαλιστικής εταιρίας στη βάση δεδομένων του συνταγολογίου και στο ηλεκτρονικό σύστημα συνταγογράφησης του ΕΟΠΠΥ με χρήση του ΑΜΚΑ του, β) στην πρόσβαση στον ιατρικό φάκελο γ) και στην πρόσβαση τόσο σε παρούσες, όσο και σε παρελθούσες ή μελλοντικές ιατρικές εξετάσεις όχι μόνον των δικών του αλλά και όλων των μελών του ασφαλιστικού συμβολαίου. Κατόπιν της άρνησης παροχής θετικής δηλώσεως βουλήσεως εκ μέρους του ασφαλισμένου προκύπτει ότι δεν πραγματοποιήθηκε οποιαδήποτε επεξεργασία προσωπικών δεδομένων από την καταγγελλόμενη ασφαλιστική εταιρεία, ενώ η ασφαλιστική εταιρεία αποδέχθηκε την κάλυψη της ασφαλιστικής περίπτωσης, παρά την άρνηση παροχής σχετικής θετικής δήλωσης βουλήσεως του ασφαλισμένου. Συνακόλουθα, από τα στοιχεία του φακέλου της υπόθεσης, προκύπτει ότι δεν επήλθε παραβίαση δικαιώματος του ασφαλισμένου – υποκειμένου των δεδομένων από την ασφαλιστική εταιρεία GENERALI HELLAS A.A.E.
9. Επειδή, περαιτέρω, όσον αφορά τη δήλωση βουλήσεως στην αίτηση ασφάλισης, η Αρχή με την απόφαση 46/2011 2 έχει κρίνει ότι η συγκατάθεση παροχής πληροφοριών του ενδιαφερόμενου ασφαλισμένου από οποιαδήποτε πηγή αφορά μόνον τα στοιχεία που υφίστανται κατά το χρόνο σύναψης αυτής και όχι σε όσα ενδεχομένως προκύψουν σε μεταγενέστερο χρόνο από την έναρξη ισχύος της ασφαλιστικής σύμβασης. Κατά συνέπεια, τo ζήτημα της συγκατάθεσης ως νομικής βάσης στην αρχική αίτηση ασφάλισης για την κάλυψη ή μη της ασφαλιστικής περίπτωσης κατά την επέλευση του ασφαλιστικού κινδύνου εγείρει ζητήματα νομιμότητας της συγκεκριμένης επεξεργασίας, σύμφωνα με τα οριζόμενα στη Σκέψη 6 αποφάσεως 46/2011, διαθέσιμη στην ιστοσελίδα της Αρχής και απόφαση ΣτΕ 292/2019 (σκ. 10). 2 8 διατάξεις του άρθρου 5 παρ. 1 στοιχ. α΄, β΄ και γ΄ του ΓΚΠΔ. Αναφορικά με το ζήτημα της πρόσβασης της ασφαλιστικής εταιρείας στο Σύστημα Ηλεκτρονικής Συνταγογράφησης για τη διαχείριση των αποζημιώσεων/καλύψεων προς τους ασφαλισμένους η Αρχή με την απόφαση 138/2013 3 έχει προδιαγράψει ειδικούς όρους αναφορικά με την επεξεργασία δεδομένων υγείας. Ενόψει των ανωτέρω και δεδομένου ότι η Ένωση Ασφαλιστικών Εταιρειών έχει υποβάλει προς την Αρχή προς έγκριση Σχέδιο Κώδικα Δεοντολογίας, στον οποίο διαλαμβάνονται και τα ανωτέρω ζητήματα, ο οποίος μπορεί να χρησιμοποιηθεί ως στοιχείο για την απόδειξη της συμμόρφωσής της με το ΓΚΠΔ, εφόσον εγκριθεί από την Αρχή, σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 24 παρ. 3 του ΓΚΠΔ, η Αρχή, όπως ήδη έκρινε και με τις αποφάσεις 21/20 και 22/20, επιφυλάσσεται να κρίνει τη νομιμότητα της ανωτέρω περιγραφόμενης επεξεργασίας σε σχέση και με την εξέταση του ανωτέρω Σχεδίου Κώδικα Δεοντολογίας. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή α) απορρίπτει την καταγγελία του Α κατά της ασφαλιστικής εταιρείας GENERALI HELLAS A.A.E., για τους λόγους που αναφέρονται στο σκεπτικό της παρούσας και β) επιφυλάσσεται να εξετάσει συνολικά την ακολουθούμενη πρακτική και να κρίνει επί της νομιμότητας της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα των ασφαλισμένων στο πλαίσιο της ασφαλιστικής σύμβασης για τη διαχείριση των αποζημιώσεων/καλύψεων προς τους ασφαλισμένους στο πλαίσιο της εξέτασης του σχεδίου Κώδικα Δεοντολογίας της Ένωσης Ασφαλιστικών Εταιρειών που έχει υποβληθεί προς έγκριση στην Αρχή, σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 40 παρ. 5 του ΓΚΠΔ. Ο Αναπληρωτής Πρόεδρος Γεώργιος Μπατζαλέξης 3 Η Γραμματέας Ειρήνη Παπαγεωργοπούλου Σκέψη 3 απόφαση 138/2013, διαθέσιμη στην ιστοσελίδα της Αρχής. 9