Αθήνα, 03-08-2022 Αριθ. Πρωτ.: 1963 ΑΠΟΦΑΣΗ 36/2022 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε μετά από πρόσκληση του Προέδρου της σε συνεδρίαση Τμήματος μέσω τηλεδιάσκεψης την Τετάρτη 08.06.2022 και ώρα 10:00, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος της Αρχής και τα τακτικά μέλη της Αρχής Κωνσταντίνος Λαμπρινουδάκης και Γρηγόριος Τσόλιας, ως εισηγητής. Παρούσες, χωρίς δικαίωμα ψήφου, ήταν η Χαρίκλεια Λάτσιου, ΔΝ - νομικός ελεγκτής, ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Με την από 31.05.2021 (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/3559/31.05.2021) καταγγελία η Α ενημέρωσε την Αρχή ότι υπέβαλε στο διαγνωστικό κέντρο ΙΔΙΩΤΙΚΟ ΠΟΛΥΙΑΤΡΕΙΟ ΚΑΙ ΔΙΑΓΝΩΣΤΙΚΟ ΚΕΝΤΡΟ ΠΥΛΗΣ ΑΞΙΟΥ Ι.Α.Ε το από 08.02.2021 αίτημα, με το οποίο ζητούσε να λάβει αντίγραφα των απεικονίσεων που περιλαμβάνονται στο ιατρικό αρχείο του Κέντρου και αφορούσαν στην ψηφιακή μαστογραφία που διενεργήθηκε την ...01.2018, πέραν του πορίσματος αυτής. Το Κέντρο με την από 09.02.2021 απάντησή του ενημέρωσε την Α ότι: «δεν υπάρχει η δυνατότητα επανεκτύπωσης εικόνων από το μηχάνημα που πραγματοποιήσατε την εξέταση τον Ιανουάριο του 2018. Το συγκεκριμένο μηχάνημα είχε την δυνατότητα αποθήκευσης αρχείου 3 μηνών και για το λόγο αυτό προβήκαμε στην αντικατάστασή του». Κατόπιν τούτων, η Α κατήγγειλε στην Αρχή ότι παραβιάστηκε το δικαίωμα πρόσβασης σε δεδομένα προσωπικού χαρακτήρα που την αφορούν, και 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr συγκεκριμένα, ότι δεν της χορηγήθηκαν αντίγραφα των απεικονιστικών εξετάσεων της ψηφιακής μαστογραφίας που διενεργήθηκε την ...01.2018, υπογραμμίζοντας, επιπλέον, ότι πρόκειται για μια σημαντική γυναικολογική εξέταση, η οποία χρησιμεύει, λόγω ηλικίας και κατάστασης υγείας, ως εξέταση αναφοράς. Η Αρχή, κατά την εξέταση της ανωτέρω καταγγελίας, κάλεσε με το υπ’ αρ. πρωτ. ΑΠΔ Γ/ΕΞΕ/1496/15.06.2021 έγγραφο το ΙΔΙΩΤΙΚΟ ΠΟΛΥΙΑΤΡΕΙΟ ΚΑΙ ΔΙΑΓΝΩΣΤΙΚΟ ΚΕΝΤΡΟ ΠΥΛΗΣ ΑΞΙΟΥ Ι.Α.Ε. (εφεξής διαγνωστικό κέντρο) όπως υποβάλει συγκεκριμένες διευκρινίσεις επί των καταγγελλομένων. Ακολούθως, το διαγνωστικό κέντρο με το από 01.07.2021 (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/4330/01.07.2021) αίτημα ζήτησε να γίνει δεκτό το αίτημα αναβολής για την υποβολή απόψεων σε δήλη ημέρα. Κατόπιν τούτου, η Αρχή με το υπ’ αρ. πρωτ. ΑΠΔ Γ/ΕΞΕ/1717/15.07.2021 έγγραφο έκανε δεκτό το αίτημα αναβολής απόψεων, και κάλεσε το διαγνωστικό Κέντρο: « (…) αν στο μεσοδιάστημα ανευρεθεί η επίμαχη από ...01.2018 ψηφιακή μαστογραφία, όπως προβείτε αμελλητί στην χορήγηση αντιγράφου αυτής στην καταγγέλλουσα, σε ικανοποίηση του δικαιώματος πρόσβασης σε δεδομένα προσωπικού της χαρακτήρα». Σε απάντηση των ανωτέρω εγγράφων της Αρχής, το διαγνωστικό κέντρο με το από 31.07.20221 (και υπ’ αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/5068/02.08.2021) έγγραφο ενημέρωσε την Αρχή, μεταξύ άλλων, ότι: « (…) Το μηχάνημα με το οποίο πραγματοποιήθηκε την ...01.2018 η εξέταση της ψηφιακής μαστογραφίας της καταγγέλλουσας, πράγματι, όπως απαντήσαμε στην ίδια την καταγγέλλουσα δεν έχει τη δυνατότητα επανεκτύπωσης εικόνων. Οι παραγόμενες εικόνες αποθηκεύονταν τοπικά στο συγκεκριμένο μηχάνημα για χρονικό διάστημα τριών
(3)περίπου μηνών από την ημερομηνία διενέργειάς τους και παράλληλα αποθηκεύονταν σε συστήματα σκληρών δίσκων, τα οποία φυλάσσονταν σε αποθήκη εντός του διαγνωστικού κέντρου. Αναζητήσαμε το σύστημα σκληρού δίσκου στο οποίο είναι αποθηκευμένη η εικόνα της ψηφιακής μαστογραφίας της καταγγέλλουσας και το εντοπίσαμε. Πρόκειται για ένα σύστημα σκληρών δίσκων NAS, το οποίο περιέχει εικόνες από αξονικές τομογραφίες, μαγνητικές τομογραφίες, μαστογραφίες και ακτινογραφίες, οι οποίες έχουν πραγματοποιηθεί κατά το χρονικό διάστημα από το Μάρτιο του 2017 έως το Μάρτιο του 2018 στο διαγνωστικό κέντρο μας (…)». Επιπλέον, το διαγνωστικό κέντρο ενημέρωσε την Αρχή ότι έχει απευθυνθεί στις εταιρείες Northwind Data Recovery και 2 Stellar προκειμένου, όπως υποστηρίζει, να εξαντλήσει όλες τις δυνατότητες που προσφέρει η τεχνολογία για την ανάκτηση των αρχείων που περιέχονταν στο σύστημα σκληρών δίσκων της εταιρείας στην καλύτερη δυνατή μορφή και ποιότητα. Ακολούθως, η Αρχή με τα υπ’. αρ. πρωτ. Γ/ΕΞΕ/263/02.02.2022 και Γ/ΕΞΕ/264/02.02.2022 έγγραφα κάλεσε την Α και το διαγνωστικό κέντρο, αντίστοιχα, όπως παρουσιαστούν σε συνεδρίαση του Τμήματος της Αρχής την Τετάρτη 09.02.2022, προκειμένου να συζητηθεί η προαναφερόμενη καταγγελία. Επιπλέον, με το ανωτέρω υπ’ αρ. πρωτ. Γ/ΕΞΕ/264/02.02.2022 έγγραφο η Αρχή ενημέρωσε το διαγνωστικό κέντρο ότι στο πλαίσιο εξέτασης της καταγγελίας ελέγχεται αυτεπαγγέλτως σε σχέση με το γεγονός της έλλειψης διαθεσιμότητας των προσωπικών δεδομένων της καταγγέλλουσας η εν γένει συμμόρφωσή του προς τις υποχρεώσεις τήρησης της ασφάλειας της επεξεργασίας, η υποχρέωση γνωστοποίησης ή μη τυχόν παραβίασης δεδομένων προσωπικού χαρακτήρα, και υποχρέωσης ή μη ανακοίνωσης τυχόν παραβίασης δεδομένων προσωπικού χαρακτήρα των άρθρων 32-34 ΓΚΠΔ, αντίστοιχα, στο πλαίσιο της υποχρέωσης τήρησης της αρχής της λογοδοσίας κατ’ αρ. 5 παρ. 2 ΓΚΠΔ. Στη συνεδρίαση αυτή, κατά την οποία παρέστησαν ενώπιον της Αρχής η Α, ο Στέφανος Τοπάλης ως πληρεξούσιος δικηγόρος και ο Δημήτριος Γκανάκης, Δ/νων Σύμβουλος του διαγνωστικού κέντρου, η Αρχή έκανε δεκτό το αίτημα αναβολής εξέτασης της υπόθεσης που υποβλήθηκε από τον πληρεξούσιο δικηγόρο και νομικό σύμβουλο του διαγνωστικού κέντρου, Άγγελο Γεωργιάδη, με την από 08.02.2022 (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/1933/08.02.2022)) αίτησή του και όρισε νέα ημερομηνία συνεδρίασης την 02α.03.2022 και ώρα 10:
- Κατά τη νέα συνεδρίαση παρέστησαν ενώπιον της Αρχής η Α και ο Στέφανος Τοπάλης ως πληρεξούσιος δικηγόρος της καταγγέλλουσας (ΑΜ..), καθώς και ο Άγγελος Γεωργιάδης, πληρεξούσιος δικηγόρος του διαγνωστικού κέντρου (ΑΜ..), ενώ παρευρέθη και η Β, Υπεύθυνος Προστασίας Δεδομένων του διαγνωστικού κέντρου. Κατά τη συνεδρίαση αυτή, οι παριστάμενοι, αφού ανέπτυξαν τις απόψεις τους, έλαβαν προθεσμία για την υποβολή εγγράφων υπομνημάτων. Κατόπιν τούτου, το διαγνωστικό κέντρο με το από 17.03.2022 (υπ’ αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/4475/21.03.2022) υπόμνημά του υποστήριξε, μεταξύ άλλων, ότι: α) εξάντλησε κάθε δυνατότητα 3 ανάκτησης της επίμαχης απεικονιστικής εξέτασης, η οποία και δεν κατέστη δυνατόν να ανακτηθεί, β) σύμφωνα με την ιατρική επιστήμη κρίσιμο έγγραφο είναι το πόρισμα της απεικονιστικής εξέτασης, το οποίο χορηγήθηκε στην καταγγέλλουσα, και όχι οι απεικονιστικές εξετάσεις καθεαυτές, γ) έχει ενημερώσει εγκαίρως εγγράφως την καταγγέλλουσα για την έλλειψη της διαθεσιμότητας της απεικονιστικής εξέτασης, δ) σε κάθε περίπτωση η καταγγέλλουσα έχει ενημερωθεί πλήρως και αναλυτικά στο πλαίσιο κατάθεσης της από … (με Γενικό Αριθμό … και αριθμό κατάθεσης δικογράφου …) αγωγής της σε βάρος του ενώπιον του Ειρηνοδικείου [περιοχής] Χ, ενώ ε) υπέβαλε τις απόψεις του για τα ζητήματα της συμμόρφωσής του με τις υποχρεώσεις των άρθρων 32-34 ΓΚΠΔ. Αντίστοιχα, η Α με το από 15.03.2022 (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/4423/16.03.2022) υπόμνημά της, υποστήριξε, μεταξύ άλλων, ότι πέραν της παραβίασης του δικαιώματος πρόσβασης κατά την αδυναμία χορήγησης της αιτούμενης απεικονιστικής εξέτασης υπήρξε και παραβίαση του δικαιώματος ενημέρωσης, καθώς ουδέποτε ενημερώθηκε από το διαγνωστικό κέντρο για την οριστική απώλεια της διαθεσιμότητάς της. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
- Επειδή, από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού 2016/679) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ.1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας της Α κατά του διαγνωστικού κέντρου, καθόσον η καταγγελλόμενη παραβίαση του δικαιώματος πρόσβασης συνιστά αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα, υπαγόμενη στο ρυθμιστικό πεδίο των άρθρων 2 παρ. 1 του ΓΚΠΔ και 2 του ν.4624/
- Επιπλέον, από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. α’ και η΄ ΓΚΠΔ και 13 παρ. 1 στοιχ. η΄ ν.4624/2019, προκύπτει ότι η Αρχή 4 έχει αυτεπαγγέλτως την αρμοδιότητα να ελέγξει στο πλαίσιο της καταγγελλόμενης παραβίασης του δικαιώματος πρόσβασης της καταγγέλλουσας, την συμμόρφωση του καταγγελλόμενου κέντρου με τις υποχρεώσεις των άρθρων 32-34 ΓΚΠΔ, βάσει της υποχρέωσής του που απορρέει από την αρχή της λογοδοσίας του άρθρου 5 παρ. 2 ΓΚΠΔ.
- Επειδή, το άρθρο 15 του ΓΚΠΔ ορίζει αναφορικά με το δικαίωμα πρόσβασης του υποκειμένου: «
- Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και στις ακόλουθες πληροφορίες: (…).
- Ο υπεύθυνος επεξεργασίας παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία. (…)». Ακολούθως, το άρθρο 14 του ν. 3418/2005 (Κώδικας Ιατρικής Δεοντολογίας) προβλέπει: «
- Ο ιατρός υποχρεούται να τηρεί ιατρικό αρχείο, σε ηλεκτρονική ή μη μορφή, το οποίο περιέχει δεδομένα που συνδέονται αρρήκτως ή αιτιωδώς με την ασθένεια ή την υγεία των ασθενών του. Για την τήρηση του αρχείου αυτού και την επεξεργασία των δεδομένων του εφαρμόζονται οι διατάξεις του ν. 2472/1997 (ΦΕΚ 50 Α΄)». Περαιτέρω, η παράγραφος 3 του ίδιου άρθρου προβλέπει ότι: «Οι κλινικές και τα νοσοκομεία τηρούν στα ιατρικά τους αρχεία και τα αποτελέσματα όλων των κλινικών και παρακλινικών εξετάσεων». Ακόμα, η παράγραφος 4 του άρθρου αυτού ορίζει: « Η υποχρέωση διατήρησης των ιατρικών αρχείων ισχύει: α) στα ιδιωτικά ιατρεία και τις λοιπές μονάδες πρωτοβάθμιας φροντίδας υγείας του ιδιωτικού τομέα, για μία δεκαετία από την τελευταία επίσκεψη του ασθενή (…)». Τέλος, η παράγραφος 8 του ίδιου άρθρου προβλέπει ότι ο ασθενής έχει δικαίωμα πρόσβασης στα ιατρικά αρχεία, καθώς και λήψης αντιγράφων του φακέλου του.
- Λαμβάνοντας υπόψη τα ανωτέρω, η Αρχή διαπιστώνει ότι το καταγγελλόμενο διαγνωστικό κέντρο όφειλε, δυνάμει του άρθρου 14 παρ. 4 στοιχ. α΄ ν. 3418/2005, να τηρεί την αιτούμενη απεικονιστική εξέταση της καταγγέλλουσας για μια δεκαετία, από την τελευταία επίσκεψή της στο διαγνωστικό κέντρο, και είχε υποχρέωση να χορηγήσει αντίγραφό της, ικανοποιώντας το δικαίωμα πρόσβασης της καταγγέλλουσας κατ’ εφαρμογή του άρθρου 15 ΓΚΠΔ. Το ανωτέρω συνομολογείται 5 από το καταγγελλόμενο διαγνωστικό κέντρο, καθώς στην προσκομιζόμενη (με το υπ’ αρ. πρωτ. 5068/02.08.2021 έγγραφο) πολιτική προστασίας δεδομένων προσωπικού χαρακτήρα προβλέπεται στο σημείο 7 με τίτλο «διάρκεια τήρησης δεδομένων» ότι: «Τα δεδομένα προσωπικού χαρακτήρα τηρούνται για όσο χρόνο καθορίζει η σχετική νομοθεσία, σύμφωνα με την ειδικότερη ενημέρωση που παρέχεται ξεχωριστά σε κάθε κατηγορία υποκειμένου. Ειδικότερα για τους ασθενείς, ο χρόνος τήρησης των προσωπικών δεδομένων των ασθενών/εξεταζομένων είναι 10 έτη, σύμφωνα με την υποχρέωση που επιβάλλει η ισχύουσα νομοθεσία, εκτός εάν βρίσκονται σε εξέλιξη δικαστικές ενέργειες, οπότε ο χρόνος τήρησης τους παρατείνεται μέχρι την έκδοση αμετάκλητης δικαστικής απόφασης. Μετά τη χρονική περίοδο τήρησής τους, η Εταιρεία φροντίζει ώστε τα προσωπικά δεδομένα να καταστρέφονται με ασφαλή τρόπο».
- Επειδή, στις πρόσφατες Κατευθυντήριες Γραμμές 1/2022 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (εφεξής ΚΓ 1/2022 ΕΣΠΔ) αναφορικά με τα δικαιώματα των υποκειμένων των δεδομένων – δικαίωμα πρόσβασης επεξηγείται ότι το δικαίωμα πρόσβασης αποτελείται από τρία συστατικά στοιχεία: α) την επιβεβαίωση για το κατά πόσον ή όχι δεδομένα προσωπικού χαρακτήρα υφίστανται επεξεργασία, β) την πρόσβαση σε αυτά και γ) την παροχή πληροφοριών σχετικά με την επεξεργασία
- Διευκρινίζεται, περαιτέρω, ότι κρίσιμος χρόνος για την αξιολόγηση της συνδρομής του πρώτου προαναφερόμενου στοιχείου (δηλ. της επεξεργασίας προσωπικών δεδομένων) από τον υπεύθυνο επεξεργασίας είναι ο χρόνος άσκησής του δικαιώματος και η ικανοποίησή του προϋποθέτει την ύπαρξη των προσωπικών δεδομένων (διαθεσιμότητα) κατά τον χρόνο αυτό
- Εξάλλου, τονίζεται στις ΚΓ 1/2022 ΕΣΠΔ ότι δεν νοείται άρση της υποχρέωσης ικανοποίησης του δικαιώματος πρόσβασης, όταν ο υπεύθυνος επεξεργασίας σκόπιμα διαγράφει ή τροποποιεί προσωπικά δεδομένα κατά τον χρόνο άσκησης του δικαιώματος πρόσβασης
- Βλ. Guidelines 1/2022 on data subject rights - Right of access του ΕΣΠΔ από 18.01.2022 υπό δημόσια https://edpb.europa.eu/our-workδιαβούλευση, σκ. 3, διαθέσιμο στην ιστοσελίδα tools/documents/public-consultations/2022/guidelines-012022-data-subject-rights-right_en 2 ΚΓ 1/2022 ΕΣΠΔ, σκ. 37: 3 ΚΓ 1/2022 ΕΣΠΔ 1/2022, σκ.
- 1 6
- Με βάση τα διαλαμβανόμενα στις ανωτέρω προηγηθείσες σκέψεις η Αρχή διαπιστώνει, εν προκειμένω, ότι δεν δύναται να στοιχειοθετηθεί παραβίαση του δικαιώματος πρόσβασης της καταγγέλλουσας Α, σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 15 ΓΚΠΔ. Και τούτο, διότι κατά τον χρόνο άσκησης του δικαιώματος πρόσβασης το επίμαχο δεδομένο της από ...01.2018 απεικονιστικής εξέτασης είχε καταστεί – έστω και παρανόμως (κατά τα προεκτεθέντα, αλλά και κατά παράβαση των διατάξεων των άρθρων 5 παρ. 1 στοιχ. στ΄ και 32 ΓΚΠΔ, όπως διαλαμβάνεται κατωτέρω) – μη διαθέσιμο. Εξάλλου, διαπιστώνεται ότι το καταγγελλόμενο διαγνωστικό κέντρο ενημέρωσε την καταγγέλλουσα κατά την ανταπόκρισή του στο από 08.02.2021 αίτημά της για την απώλεια της διαθεσιμότητας της αιτηθείσας απεικονιστικής εξέτασης. Για το λόγο αυτό τυγχάνει απορριπτέος ο προβαλλόμενος οψίμως με το από υπ΄ αρ. πρωτ. Γ/ΕΙΣ/4423/16.03.2022 υπόμνημα της καταγγέλλουσας ισχυρισμός ότι παραβιάστηκε το δικαίωμα ενημέρωσης (σελ. 1 -2), για το λόγο ότι παρέλειψε το διαγνωστικό κέντρο να την ενημερώσει για τις (άκαρπες) προσπάθειες ανάκτησης της επίμαχης απεικονιστικής εξέτασης μέσω εταιρειών πληροφορικής και το αποτέλεσμα αυτών, καθώς – και ανεξαρτήτως της αυτοτελούς υποχρέωσης του διαγνωστικού κέντρου για την συμμόρφωσή του ιδίως με την υποχρέωση του άρθρου 33 ΓΚΠΔ έναντι της Αρχής – η παροχή πληροφόρησης στην καταγγέλλουσα, σε απάντηση του αιτήματος πρόσβασης, ότι η ζητηθείσα απεικονιστική εξέταση δεν είναι πλέον διαθέσιμη αρκούσε για την ενημέρωσή της αναφορικά, αφενός, την απώλεια των δεδομένων που την αφορούν (κατ΄ εφαρμογή των διατάξεων του άρθρου 12 παρ. 3 και 4 ΓΚΠΔ και της αιτιολογικής σκέψης 58 ΓΚΠΔ) και αφετέρου για τον μετριασμό του κινδύνου και προς άρση της βλάβης που υπέστη από την απώλειά της, μέσω της επανάληψης της απεικονιστικής εξέτασης. Τέλος, ο ισχυρισμός του καταγγελλόμενου διαγνωστικού κέντρου στο από 17.03.2022 υπόμνημά του (σελ. 3-4), επικαλούμενο την ιατρική επιστήμη ότι κρίσιμο έγγραφο το οποίο είναι ιατρικά απαραίτητο για οποιαδήποτε ιατρική αξιολόγηση και ζητείται από τους ιατρούς όλων των ειδικοτήτων προς εκτίμηση είναι το πόρισμα μιας απεικονιστικής εξέτασης και όχι οι απεικονίσεις τυγχάνει απορριπτέος ως αβάσιμος, καθώς πέραν και ανεξαρτήτως της ορθότητας του προβαλλομένου τούτου 7 ισχυρισμού, κρίσιμο στοιχείο για την ικανοποίηση του δικαιώματος πρόσβασης, όπως προαναφέρθηκε, είναι η ύπαρξη των προσωπικών δεδομένων κατά τον χρόνο άσκησης του δικαιώματος και όχι ο σκοπός χρήσης αυτών
- Επειδή, ακολούθως, το άρθρο 5 του ΓΚΠΔ καθορίζει τις αρχές επεξεργασίας που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, ορίζεται στην παράγραφο 1 ότι τα δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων: «α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα, διαφάνεια»), (…), στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»)». Περαιτέρω, το άρθρο 32 ΓΚΠΔ αναφορικά με την ασφάλεια της επεξεργασίας προβλέπει: «
- Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων, περιλαμβανομένων, μεταξύ άλλων, κατά περίπτωση: (…) γ) της δυνατότητας αποκατάστασης της διαθεσιμότητας και της πρόσβασης σε δεδομένα προσωπικού χαρακτήρα σε εύθετο χρόνο σε περίπτωση φυσικού ή τεχνικού συμβάντος, δ) διαδικασίας για την τακτική δοκιμή, εκτίμηση και αξιολόγηση της αποτελεσματικότητας των τεχνικών και των οργανωτικών μέτρων για τη διασφάλιση της ασφάλειας της επεξεργασίας (…).
- Κατά την εκτίμηση του ενδεδειγμένου επιπέδου ασφάλειας λαμβάνονται ιδίως υπόψη οι κίνδυνοι που απορρέουν από την επεξεργασία, ιδίως από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή προσπέλαση δεδομένων προσωπικού χαρακτήρα που Βλ. ΚΓ 1/2022 ΕΣΠΔ, σκ. 13, καθώς και αποφάσεις της Αρχής 23/2020, 2/2020, 16/2017, 98/2014, 149/2014, 72/2013 και 71/2013, διαθέσιμες στην ιστοσελίδα της. 4 8 διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επεξεργασία. (…)
- Ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία λαμβάνουν μέτρα ώστε να διασφαλίζεται ότι κάθε φυσικό πρόσωπο που ενεργεί υπό την εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία το οποίο έχει πρόσβαση σε δεδομένα προσωπικού χαρακτήρα τα επεξεργάζεται μόνο κατ' εντολή του υπευθύνου επεξεργασίας, εκτός εάν υποχρεούται προς τούτο από το δίκαιο της Ένωσης ή του κράτους μέλους». Από τα ανωτέρω συνάγεται ότι μία από τις απαιτήσεις του ΓΚΠΔ είναι ότι, με τη χρησιμοποίηση κατάλληλων τεχνικών και οργανωτικών μέτρων, τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων, την προστασία τους από παράνομη καταστροφή, απώλεια και αλλοίωση. Κατά συνέπεια, βασικό χαρακτηριστικό οποιασδήποτε πολιτικής ασφάλειας δεδομένων είναι να παρέχει τη δυνατότητα, όταν είναι εφικτό, αποτροπής μιας παραβίασης και, αν παρ’ ελπίδα αυτή συμβεί, έγκαιρης αντίδρασης.
- Λαμβάνοντας υπόψη τα ανωτέρω, από το σύνολο των στοιχείων του φακέλου της υπόθεσης η Αρχή διαπιστώνει ότι το καταγγελλόμενο διαγνωστικό κέντρο, ως υπεύθυνος επεξεργασίας, προέβη στην επεξεργασία (τήρηση) της επίμαχης απεικονιστικής εξέτασης της καταγγέλλουσας, παραβιάζοντας τα απαιτούμενα τεχνικά και οργανωτικά μέτρα προς διασφάλιση της διαθεσιμότητας της, σύμφωνα με τις επιταγές άρθρων 5 παρ. 1 στοιχ. στ’ και 32 ΓΚΠΔ, ώστε να είναι δυνατή η ικανοποίηση του δικαιώματος πρόσβασης της καταγγέλλουσας στο δεδομένο αυτό μέσα στο χρονικό διάστημα νόμιμης διατήρησής της κατά τα ανωτέρω διαλαμβανόμενα. Ειδικότερα, το καταγγελλόμενο κέντρο όφειλε, σε εκπλήρωση της υποχρέωσης λήψης των κατάλληλων τεχνικών και οργανωτικών μέτρων αναφορικά με την τήρηση των ιατρικών αρχείων (απεικονιστικών εξετάσεων), ιδίως, να: α) αποθηκεύει/τηρεί τα δεδομένα σε εξωτερική αποθηκευτική μονάδα, κατά τρόπο που να εξασφαλίζεται η διαθεσιμότητά τους για το χρονικό διάστημα που προβλέπει η διάταξη του άρθρου 14 παρ. 4 στοιχ. α΄ ν.3418/2005, β) λαμβάνει επαρκώς επικαιροποιημένα, εφεδρικά αντίγραφα ασφαλείας των 9 διενεργηθέντων απεικονιστικών εξετάσεων – προσωπικών δεδομένων 5, και γ) δοκιμάζει, αξιολογεί και εκτιμά περιοδικά τα ληφθέντα τεχνικά και οργανωτικά μέτρα κατά τρόπο που να διασφαλίζεται η διαθεσιμότητα στο ως άνω χρονικό διάστημα της δεκαετίας, ώστε να είναι δυνατή η επανεκτύπωση ή η ανάκτησή τους. Εν προκειμένω, από τα στοιχεία του φακέλου της υπόθεσης, προέκυψε ότι το καταγγελλόμενο διαγνωστικό κέντρο θεράπευσε μεν το δημιουργικό κενό που δημιουργήθηκε από την χρήση του συγκεκριμένου απεικονιστικού μηχανήματος, το οποίο παρείχε τη δυνατότητα αποθήκευσης των παραγόμενων αρχείων σ’ αυτό (απεικονίσεων) για χρονικό διάστημα τριών
(3)μηνών, μέσω της τήρησης των απεικονιστικών εξετάσεων σε συστήματα σκληρών δίσκων που φυλάσσονταν σε χώρο του διαγνωστικού κέντρου. Το γεγονός, ωστόσο, ότι ο επιλεγείς τρόπος τήρησης των απεικονιστικών εξετάσεων κατέστησε τα δεδομένα μη διαθέσιμα (προσωρινά ή/και οριστικά) και για την ανάκτησή τους απαιτήθηκαν πρόσθετες ενέργειες εκ μέρους του διαγνωστικού κέντρου δεν αίρει την υποχρέωσή του για την κατ’ άρθρο 32 ΓΚΠΔ λήψη των κατάλληλων τεχνικών και οργανωτικών μέτρων προς διασφάλιση της διαθεσιμότητας των συγκεκριμένων προσωπικών δεδομένων (απεικονιστικών εξετάσεων) σύμφωνα με την γενική αρχή του άρθρου 5 παρ. 1 στοιχ. στ΄ ΓΚΠΔ. Το ανωτέρω συνομολογείται εμμέσως από το καταγγελλόμενο διαγνωστικό κέντρο, καθώς αναγνωρίζοντας το ανωτέρω έλλειμμα στην διασφάλιση της διαθεσιμότητας των απεικονιστικών εξετάσεων που παράγονταν από το συγκεκριμένο απεικονιστικό μηχάνημα, εγκατάστησε τον Μάρτιο του 2019 σύστημα διαχείρισης και αποθήκευσης ιατρικής απεικόνισης εικόνας (PACS), το οποίο – κατά τους ισχυρισμούς του – είναι ικανό να διατηρεί πλήρες και ανακτήσιμο ιστορικό εξετάσεων (απεικονίσεων και πορισμάτων) για το προβλεπόμενο στο νόμο χρονικό διάστημα των δέκα
(10)ετών. Περαιτέρω, προέκυψε ότι το καταγγελλόμενο διαγνωστικό κέντρο δεν τηρούσε ούτε εφεδρικά αντίγραφα ασφαλείας των επίμαχων απεικονιστικών εξετάσεων που φυλάσσονταν σε εξωτερικούς σκληρούς δίσκους, ώστε μέσω αυτών να διασφαλίζεται η διαθεσιμότητα των απεικονιστικών εξετάσεων Πρβλ. σχετικά Γνωμοδότηση 3/2014 της ομάδας εργασίας του άρθρου 29 σχετικά με τη http://ec.europa.eu/justice/articleγνωστοποίηση παραβίασης προσωπικών δεδομένων 29/documentation/opinion-recommendation/files/2014/wp213_el.pdf , σελ.
- 5 10 και να είναι δυνατή η ικανοποίηση σχετικών δικαιωμάτων πρόσβασης, όπως στην εξεταζόμενη καταγγελία
- Η Αρχή, σε σχέση με την διαπιστωθείσα παραβίαση των άρθρων 5 παρ. 1 στοιχ. στ’ και 32 ΓΚΠΔ όσον αφορά την απώλεια της διαθεσιμότητας της επίμαχης απεικονιστικής εξέτασης της καταγγέλλουσας, λόγω της μη τήρησης κατάλληλων τεχνικών και οργανωτικών μέτρων ασφαλείας προκειμένου να διασφαλιστεί το κατάλληλο επίπεδο ασφαλείας εκ μέρους του καταγγελλόμενου διαγνωστικού κέντρου κρίνει ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ ΓΚΠΔ, αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 ΓΚΠΔ σύμφωνα και με τις Κατευθυντήριες Γραμμές «για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του κανονισμού 2016/679» της ομάδας εργασίας του άρθρου
- Κατά την αξιολόγηση των δεδομένων, προκειμένου να επιλεγεί το πρόσφορο και διορθωτικό μέτρο, η Αρχή συνεκτιμά, ότι η συγκεκριμένη παραβίαση αφορούσε, πέραν της καταγγέλλουσας, σε σημαντικό αριθμό ατόμων, ήτοι περίπου 15.445 ατόμων βάσει της υπ’ αρ. Γ/ΕΙΣ/2973/01.03.2022 γνωστοποίησης περιστατικού παραβίασης δεδομένων προσωπικού χαρακτήρα (άρθρο 83 παρ. 2 στοιχ. α΄), ότι το διαγνωστικό κέντρο παρέλειψε να διενεργεί περιοδικά ελέγχους για την αποτελεσματικότητα των τεχνικών και οργανωτικών μέτρων ασφάλειας προς διασφάλιση της ασφάλειας της επεξεργασίας (άρθρο 83 παρ. 2 στοιχ. β΄), ότι το καταγγελλόμενο διαγνωστικό κέντρο δεν είχε λάβει κατάλληλο επίπεδο ασφάλειας σύμφωνα με τα οριζόμενα στο άρθρο 32 ΓΚΠΔ (άρθρο 83 παρ. 2 στοιχ. δ΄), ότι η τήρηση/απώλεια των απεικονιστικών εξετάσεων αφορούσε σε δεδομένα υγείας, δηλ. συνιστά επεξεργασία ειδικής κατηγορίας δεδομένων προσωπικού χαρακτήρα του άρθρου 9 ΓΚΠΔ (άρθρο 83 παρ. 2 στοιχ. ζ΄), ενώ αξιολογεί ως ελαφρυντική περίσταση το γεγονός ότι το καταγγελλόμενο κέντρο κατέβαλε πάντως προσπάθειες μέσω εταιρειών πληροφορικής για την ανάκτηση των απεικονιστικών εξετάσεων που είχαν αποθηκευτεί σε συστήματα εξωτερικών δίσκων, ώστε να μετριάσει τη ζημία που υπέστησαν τα επηρεαζόμενα υποκείμενα των δεδομένων (άρθρο 83 παρ. 2 στοιχ. γ΄). 6 Βλ. ΚΓ 1/2022 του ΕΣΠΔ για το δικαίωμα πρόσβασης, σκ.
- 11
- Επειδή, ακολούθως, σύμφωνα με τα οριζόμενα στην διάταξη του άρθρου 4 στοιχ. 12 ΓΚΠΔ νοείται ως παραβίαση δεδομένων προσωπικού χαρακτήρα «η παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ άδειας κοινολόγηση ή πρόσβαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επεξεργασία». Επεξηγείται δε ο ορισμός αυτός ως προς τις έννοιες «καταστροφήφθορά - απώλεια» στις Κατευθυντήριες γραμμές του άρθρου 29 σχετικά με τη γνωστοποίηση παραβιάσεων δεδομένων προσωπικού χαρακτήρα δυνάμει του κανονισμού 2016/679 ως εξής:« (…) Θα πρέπει να είναι απόλυτα σαφές τι σημαίνει «καταστροφή» δεδομένων προσωπικού χαρακτήρα: πρόκειται για την περίπτωση όπου τα δεδομένα παύουν πλέον να υπάρχουν ή παύουν πλέον να υπάρχουν σε μορφή την οποία μπορεί να χρησιμοποιήσει ο υπεύθυνος επεξεργασίας. Ο όρος «φθορά» θα πρέπει επίσης να είναι σχετικά σαφής: πρόκειται για την περίπτωση όπου τα δεδομένα προσωπικού χαρακτήρα έχουν μεταβληθεί, αλλοιωθεί ή δεν είναι πλέον πλήρη. Όσον αφορά την «απώλεια» δεδομένων προσωπικού χαρακτήρα, ο όρος θα πρέπει να ερμηνεύεται ως μια περίπτωση όπου τα δεδομένα μπορεί να εξακολουθούν να υπάρχουν, αλλά ο υπεύθυνος επεξεργασίας έχει χάσει τον έλεγχό τους ή την πρόσβαση σʼ αυτά ή δεν τα έχει πλέον στην κατοχή του (…) »
- Επειδή, στην εξεταζόμενη καταγγελία, η απώλεια της επίμαχης απεικονιστικής εξέτασης της καταγγέλλουσας συνιστά παράνομη καταστροφή, φθορά και απώλεια δεδομένων προσωπικού χαρακτήρα ή, άλλως, βάσει των αρχών ασφάλειας πληροφοριών σύμφωνα με την Γνωμοδότηση 3/2014 του άρθρου 29 σχετικά με τη γνωστοποίηση παραβίασης προσωπικών δεδομένων 8 και τις Κατευθυντήριες γραμμές του άρθρου 29 σχετικά με τη γνωστοποίηση παραβιάσεων δεδομένων προσωπικού χαρακτήρα δυνάμει του κανονισμού 2016/679 9, παραβίαση της διαθεσιμότητας. WP250rev.01 από 03.10.2017, όπως τελικώς αναθεωρήθηκαν και εκδόθηκαν στις 6 Φεβρουαρίου 2018, διαθέσιμες στον δικτυακό τόπο http://ec.europa.eu/justice/data-protection/index_el.htm, σελ
- 8 Βλ. προαναφερόμενη Γνωμοδότηση 03/2014 της ομάδας εργασίας του άρθρου 29 σχετικά με τη γνωστοποίηση παραβίασης προσωπικών δεδομένων. 9 WP250rev.01 από 03.10.2017, όπως τελικώς αναθεωρήθηκαν και εκδόθηκαν στις 6 Φεβρουαρίου 2018, διαθέσιμες στον δικτυακό τόπο http://ec.europa.eu/justice/data-protection/index_el.htm 7 12
- Επειδή, το άρθρο 33 παρ. 1 ΓΚΠΔ προβλέπει: «Σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα, ο υπεύθυνος επεξεργασίας γνωστοποιεί αμελλητί και, αν είναι δυνατό, εντός 72 ωρών από τη στιγμή που αποκτά γνώση του γεγονότος την παραβίαση των δεδομένων προσωπικού χαρακτήρα στην εποπτική αρχή που είναι αρμόδια σύμφωνα με το άρθρο 55, εκτός εάν η παραβίαση δεδομένων προσωπικού χαρακτήρα δεν ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων. Όταν η γνωστοποίηση στην εποπτική αρχή δεν πραγματοποιείται εντός 72 ωρών, συνοδεύεται από αιτιολόγηση για την καθυστέρηση»
- Εξάλλου, διευκρινίζεται στις Κατευθυντήριες Γραμμές σχετικά με την γνωστοποίηση παραβιάσεων δεδομένων προσωπικού χαρακτήρα δυνάμει του κανονισμού 2016/679 της ομάδας εργασίας του άρθρου 29: «Ενδέχεται να τεθεί το ερώτημα κατά πόσο μια προσωρινή απώλεια της διαθεσιμότητας δεδομένων προσωπικού χαρακτήρα θα πρέπει να θεωρείται ότι συνιστά παραβίαση και, εάν ναι, παραβίαση η οποία πρέπει να γνωστοποιηθεί. Στο άρθρο 32 του ΓΚΠΔ («Ασφάλεια επεξεργασίας») επεξηγείται ότι, κατά την εφαρμογή τεχνικών και οργανωτικών μέτρων προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων, θα πρέπει να λαμβάνονται υπόψη, μεταξύ άλλων, η δυνατότητα διασφάλισης του απορρήτου, της ακεραιότητας, της διαθεσιμότητας και της αξιοπιστίας των συστημάτων και των υπηρεσιών επεξεργασίας σε συνεχή βάση και η δυνατότητα αποκατάστασης της διαθεσιμότητας και της πρόσβασης σε δεδομένα προσωπικού χαρακτήρα σε εύθετο χρόνο σε περίπτωση φυσικού ή τεχνικού συμβάντος. Συνεπώς, ένα περιστατικό ασφάλειας που έχει ως αποτέλεσμα τη μη διαθεσιμότητα δεδομένων προσωπικού χαρακτήρα για ένα χρονικό διάστημα είναι Η σημασία της ικανότητας εντοπισμού μιας παραβίασης με στόχο την αξιολόγηση του κινδύνου για τα πρόσωπα και, στη συνέχεια, η γνωστοποίησή της, εάν απαιτείται, τονίζεται στην αιτιολογική σκέψη 87 ΓΚΠΔ: «Θα πρέπει να εξακριβώνεται κατά πόσον έχουν τεθεί σε εφαρμογή όλα τα κατάλληλα μέτρα τεχνολογικής προστασίας και οργανωτικά μέτρα για τον άμεσο εντοπισμό κάθε παραβίασης δεδομένων προσωπικού χαρακτήρα και την άμεση ενημέρωση της εποπτικής αρχής και του υποκειμένου των δεδομένων. Θα πρέπει να διαπιστώνεται ότι η κοινοποίηση πραγματοποιήθηκε χωρίς αδικαιολόγητη καθυστέρηση, λαμβανομένων υπόψη ιδίως της φύσης και της σοβαρότητας της παραβίασης δεδομένων προσωπικού χαρακτήρα, καθώς και των συνεπειών και των δυσμενών αποτελεσμάτων της για το υποκείμενο των δεδομένων. Η γνωστοποίηση αυτή μπορεί να οδηγεί σε παρέμβαση της εποπτικής αρχής, σύμφωνα με τα καθήκοντα και τις εξουσίες της που ορίζονται στον παρόντα κανονισμό». 10 13 επίσης ένα είδος παραβίασης, δεδομένου ότι η έλλειψη πρόσβασης στα δεδομένα μπορεί να έχει σημαντικό αντίκτυπο στα δικαιώματα και στις ελευθερίες των φυσικών προσώπων. Για λόγους σαφήνειας αναφέρεται ότι, όταν τα δεδομένα προσωπικού χαρακτήρα καθίστανται μη διαθέσιμα λόγω της πραγματοποίησης προγραμματισμένης συντήρησης του συστήματος, αυτό δεν συνιστά «παραβίαση της ασφάλειας», όπως ορίζεται στο άρθρο 4 σημείο 12). Όπως στην περίπτωση της απώλειας ή της καταστροφής δεδομένων προσωπικού χαρακτήρα (ή, ουσιαστικά, οποιουδήποτε άλλου είδους παραβίασης), μια παραβίαση που αφορά την προσωρινή απώλεια της διαθεσιμότητας θα πρέπει να τεκμηριώνεται σύμφωνα με το άρθρο 33 παράγραφος
- Αυτό βοηθάει τον υπεύθυνο επεξεργασίας να αποδεικνύει ότι λογοδοτεί στην εποπτική αρχή, η οποία ενδέχεται να ζητήσει να δει αυτά τα αρχεία. Ωστόσο, ανάλογα με τις περιστάσεις της παραβίασης, ενδέχεται να απαιτείται ή να μην απαιτείται γνωστοποίηση στην εποπτική αρχή και ενημέρωση των επηρεαζόμενων προσώπων. Ο υπεύθυνος επεξεργασίας θα πρέπει να αξιολογεί την πιθανότητα και τη σοβαρότητα του αντικτύπου στα δικαιώματα και τις ελευθερίες των φυσικών προσώπων ως αποτέλεσμα της έλλειψης διαθεσιμότητας των δεδομένων προσωπικού χαρακτήρα. Σύμφωνα με το άρθρο 33, ο υπεύθυνος επεξεργασίας θα πρέπει να προβαίνει σε γνωστοποίηση, εκτός εάν η παραβίαση δεν ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των προσώπων. Βεβαίως, αυτό θα πρέπει να αξιολογείται κατά περίπτωση 11». Ακολούθως, υπογραμμίζεται ότι ένας υπεύθυνος επεξεργασίας θα πρέπει να θεωρείται ότι αποκτά γνώση όταν ο εν λόγω υπεύθυνος επεξεργασίας έχει εύλογο βαθμό βεβαιότητας ότι έχει προκύψει περιστατικό ασφάλειας το οποίο έχει ως αποτέλεσμα να τεθούν σε κίνδυνο τα δεδομένα προσωπικού χαρακτήρα. Επιπλέον επεξηγείται ότι: «(…) η έμφαση θα πρέπει να δίνεται στην έγκαιρη ανάληψη δράση για τη διερεύνηση ενός περιστατικού, ώστε να διαπιστωθεί κατά πόσο τα δεδομένα προσωπικού χαρακτήρα έχουν παραβιαστεί και, σε τέτοια περίπτωση, να λαμβάνονται διορθωτικά μέτρα και να γίνεται γνωστοποίηση, εάν απαιτείται (…)»
- 11 12 Βλ. WP250rev.01 από 03.10.2017, σελ.
- Βλ. WP250rev.01 από 03.10.2017, σελ.
- 14
- Επειδή, εν προκειμένω, το καταγγελλόμενο διαγνωστικό κέντρο προέβη στην γνωστοποίηση του περιστατικού παραβίασης των δεδομένων προσωπικού χαρακτήρα την 01.03.2022 (με αρ. πρωτ. ΑΠΔ 2973/01.03.2022), στην οποία δηλώνεται ότι έλαβε γνώση του εν λόγω περιστατικού απώλειας της διαθεσιμότητας την 28η.09.
- Λαμβάνοντας υπόψη τα ανωτέρω, η Αρχή διαπιστώνει ότι το καταγγελλόμενο διαγνωστικό κέντρο με την από 01.03.2022 (και με αρ. πρωτ. 2973/01.03.2022) γνωστοποίηση του ανωτέρω περιστατικού παραβίασης δεδομένων προσωπικού χαρακτήρα που έχει ως συνέπεια την απώλεια της διαθεσιμότητας των απεικονιστικών εξετάσεων που διενεργηθήκαν στο συγκεκριμένο απεικονιστικό μηχάνημα, στο οποίο έλαβε χώρα και η επίμαχη απεικονιστική εξέταση της καταγγέλλουσας, προέβη σε καθυστερημένη/εκπρόθεσμη εκπλήρωση της υποχρέωσης του άρθρου 33 παρ. 1 ΓΚΠΔ. Συγκεκριμένα, ο ισχυρισμός του καταγγελλόμενου διαγνωστικού κέντρου ότι έλαβε γνώση του γεγονότος της παραβίασης (απώλεια της διαθεσιμότητας) την 25η.09.2021, όταν δηλ. ολοκληρώθηκε ο έλεγχος του παραληφθέντος αρχείου από την δεύτερη εταιρεία πληροφορικής στην οποία απευθύνθηκε για την ανάκτηση των δεδομένων, τυγχάνει απορριπτέος ως αβάσιμος. Και τούτο διότι, ήδη κατά τον χρόνο υποβολής του σχετικού αιτήματος χορήγησης της επίμαχης απεικονιστικής εξέτασης την 08η.02.2021 από την καταγγέλλουσα, την προετοιμασία του για την ικανοποίηση του ανωτέρω αιτήματος εντός της προθεσμίας που τάσσει η διάταξη του άρθρου 12 παρ. 3 ΓΚΠΔ. και πάντως το αργότερο με την παραλαβή του υπ’ αρ. πρωτ. Γ/ΕΞΕ/1496/15.06.2021 εγγράφου της Αρχής, το καταγγελλόμενο διαγνωστικό κέντρο όφειλε να αξιολογήσει βάσει της εκτίμησης αντικτύπου σχετικά με την προστασία δεδομένων τον πιθανό κίνδυνο για τα ενδιαφερόμενα πρόσωπα, σε συνάρτηση με τις ειδικές περιστάσεις της συγκεκριμένης παραβίασης απώλειας της διαθεσιμότητας και να προβεί σε σχετική γνωστοποίηση στην Αρχή
- Για το λόγο αυτό τυγχάνει απορριπτέος και παρέλκει η εξέταση του ισχυρισμού του καταγγελλόμενου διαγνωστικού κέντρου ότι διέλαθε της προσοχής του ότι η γνωστοποίηση δεν είχε υποβληθεί στην Αρχή την 28η.09.2021 ή την 04η.10.2021, από τον τότε Διευθύνοντα 13 WP250rev.01 από 03.10.2017, σελ.
- 15 Σύμβουλο του καταγγελλόμενου, ο οποίος εν τέλει αποχώρησε από το καταγγελλόμενο Κέντρο. Η ανωτέρω διαπίστωση της Αρχής επιρρωνύεται από το γεγονός ότι ακόμα και η προσωρινή απώλεια της διαθεσιμότητας, δηλ. από το χρονικό σημείο της διαπίστωσης απώλειάς της από το διαγνωστικό κέντρο κατά την άσκηση του δικαιώματος πρόσβασης της καταγγέλλουσας και του αιτήματος λήψης αντιγράφου της επίμαχης απεικονιστικής εξέτασης μέχρι του χρονικού σημείου ελέγχου από το διαγνωστικό κέντρο του παραληφθέντος αρχείου από την δεύτερη εταιρεία ανάκτησης και την επιβεβαίωση οριστικής απώλειας των απεικονιστικών εξετάσεων, συνιστά – κατά τα προεκτεθέντα – επίσης ένα είδος παραβίασης 14, το οποίο έπρεπε να γνωστοποιηθεί κατά τον χρόνο εκείνο στην Αρχή.
- Η Αρχή, σε σχέση με την καθυστερημένη/εκπρόθεσμη εκπλήρωση της υποχρέωσης γνωστοποίησης του ανωτέρω περιστατικού παραβίασης δεδομένων προσωπικού χαρακτήρα κατά παράβαση του χρονικού πλαισίου που θέτει η διάταξη του άρθρου 33 παρ. 1 ΓΚΠΔ, αποφάσισε ότι συντρέχει περίπτωση να ασκήσει τις εκ του άρθρου 58 παρ. 2 ΓΚΠΔ διορθωτικές εξουσίες της. Ειδικότερα, η Αρχή, λαμβάνοντας υπόψη κατά την αιτιολογική σκέψη 148 ΓΚΠΔ τον βαθμό ευθύνης του διαγνωστικού κέντρου λόγω του αντικειμένου της δραστηριότητάς του, απευθύνει επίπληξη κατ’ άρθρο 58 παρ. 2 στοιχ. β΄ ΓΚΠΔ για την καθυστερημένη εκπλήρωση της υποχρέωσης του άρθρου 33 ΓΚΠΔ.
- Επειδή, τέλος, το άρθρο 34 ΓΚΠΔ προβλέπει στην παρ. 1: «Όταν η παραβίαση δεδομένων προσωπικού χαρακτήρα ενδέχεται να θέσει σε υψηλό κίνδυνο τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας ανακοινώνει αμελλητί την παραβίαση των δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων (…)
- Η ανακοίνωση στο υποκείμενο των δεδομένων η οποία αναφέρεται στην παράγραφο 1 δεν απαιτείται, εάν πληρείται οποιαδήποτε από τις ακόλουθες προϋποθέσεις: α) ο υπεύθυνος επεξεργασίας εφάρμοσε κατάλληλα τεχνικά και οργανωτικά μέτρα προστασίας, και τα μέτρα αυτά εφαρμόστηκαν στα επηρεαζόμενα από την παραβίαση δεδομένα προσωπικού χαρακτήρα, κυρίως μέτρα που καθιστούν μη κατανοητά τα δεδομένα προσωπικού χαρακτήρα σε όσους δεν διαθέτουν άδεια πρόσβασης σε αυτά, όπως η 14 WP250rev.01 από 03.10.2017, σελ.
- 16 κρυπτογράφηση, β) ο υπεύθυνος επεξεργασίας έλαβε στη συνέχεια μέτρα που διασφαλίζουν ότι δεν είναι πλέον πιθανό να προκύψει ο αναφερόμενος στην παράγραφο 1 υψηλός κίνδυνος για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων, γ) προϋποθέτει δυσανάλογες προσπάθειες. Στην περίπτωση αυτή, γίνεται αντ' αυτής δημόσια ανακοίνωση ή υπάρχει παρόμοιο μέτρο με το οποίο τα υποκείμενα των δεδομένων ενημερώνονται με εξίσου αποτελεσματικό τρόπο (…)». Επιπλέον, η ΟΕ 29 του άρθρου 29 στις Κατευθυντήριες Γραμμές σχετικά με τη γνωστοποίηση παραβιάσεων δεδομένων προσωπικού χαρακτήρα δυνάμει του κανονισμού 2016/679, λαμβάνοντας υπόψη και την αιτιολογική σκέψη 86 του ΓΚΠΔ υπογραμμίζει, μεταξύ άλλων, ότι: «Οι υπεύθυνοι επεξεργασίας θα πρέπει να θυμούνται ότι η γνωστοποίηση στην εποπτική αρχή είναι υποχρεωτική, εκτός εάν είναι απίθανο να δημιουργηθεί κίνδυνος για τα δικαιώματα και τις ελευθερίες των προσώπων ως αποτέλεσμα της παραβίασης. Επιπλέον, όταν ενδέχεται να τεθούν σε υψηλό κίνδυνο τα δικαιώματα και οι ελευθερίες των προσώπων ως αποτέλεσμα μιας παραβίασης, τα πρόσωπα πρέπει επίσης να ενημερώνονται. Το κατώφλι για την ανακοίνωση μιας παραβίασης στα πρόσωπα είναι, συνεπώς, υψηλότερο απ’ ό,τι για τη γνωστοποίηση στις εποπτικές αρχές και, συνακόλουθα, δεν θα απαιτείται για όλες τις παραβιάσεις η ανακοίνωση στα πρόσωπα, γεγονός που τα προστατεύει από περιττή κόπωση λόγω φόρτου γνωστοποιήσεων. Ο ΓΚΠΔ αναφέρει ότι η ανακοίνωση μιας παραβίασης στα πρόσωπα θα πρέπει να γίνεται «αμελλητί», δηλαδή το συντομότερο δυνατόν. Ο κύριος στόχος της ανακοίνωσης στα πρόσωπα είναι η παροχή συγκεκριμένων πληροφοριών σχετικά με τις ενέργειες στις οποίες θα πρέπει να προβούν τα ίδια για να προστατευτούν. Όπως αναφέρεται παραπάνω, ανάλογα με τη φύση της παραβίασης και τον κίνδυνο που τίθεται, η έγκαιρη ανακοίνωση θα βοηθήσει τα πρόσωπα να προβούν σε ενέργειες ώστε να προστατευτούν από τυχόν αρνητικές συνέπειες της παραβίασης»
- Εν προκειμένω, η Αρχή διαπιστώνει ότι ο κίνδυνος για τα δικαιώματα και τις ελευθερίες των επηρεαζόμενων προσώπων από την απώλεια της διαθεσιμότητας 15 Βλ. WP250rev.01 από 03.10.2017, σελ. 23-
- 17 των απεικονίσεων που διενεργήθηκαν στο συγκεκριμένο απεικονιστικό μηχάνημα είναι υψηλός16, καταρχάς διότι η επέλευσή του είναι απότοκος της παράλειψης λήψης των κατάλληλων τεχνικών και οργανωτικών μέτρων προστασίας, τα οποία ιδίως λόγω του αντικειμένου της δραστηριότητάς του και της δικαιολογημένης εμπιστοσύνης που αναμένει κάθε πελάτης/ασθενής από αυτό θα έπρεπε να είχαν ληφθεί και θα μπορούσαν να άρουν την σχετική υποχρέωση ανακοίνωσης (άρθρο 34 παρ. 3 στοιχ. α΄ ΓΚΠΔ). Κατά δεύτερον, διότι το καταγγελλόμενο διαγνωστικό κέντρο κατέβαλε καθυστερημένα – κατά τα ανωτέρω κριθέντα – προσπάθειες προς την κατεύθυνση της ανάκτησης των απεικονιστικών εξετάσεων που είχαν αποθηκευτεί σε συστήματα εξωτερικών δίσκων, ώστε να μετριάσει τη ζημία που υπέστησαν τα επηρεαζόμενα υποκείμενα των δεδομένων (άρθρο 34 παρ. 3 στοιχ. β΄ ΓΚΠΔ). Και τρίτον, διότι το καταγγελλόμενο κέντρο ουδόλως επικαλείται ούτε αποδεικνύει ότι η επικοινωνία με τα επηρεαζόμενα πρόσωπα (ο συνολικός αριθμός των οποίων αριθμεί περί τα 15.445 άτομα βάσει της υπ’ αρ. πρωτ. Γ/ΕΙΣ/2973/01.03.2022 γνωστοποίησης και είναι ικανός) θα συνεπάγονταν εκ μέρους του δυσανάλογες προσπάθειες (άρθρο 34 παρ. 3 στοιχ. γ΄ ΓΚΠΔ). Περαιτέρω, τυγχάνει απορριπτέος ο ισχυρισμός του καταγγελλόμενου διαγνωστικού κέντρου ότι ο κίνδυνος για τα επηρεαζόμενα υποκείμενα των δεδομένων δεν ήταν υψηλός, διότι όλοι οι ασθενείς των οποίων οι απεικονιστικές εξετάσεις συμπεριλαμβάνονταν στον εν λόγω σκληρό δίσκο έχουν παραλάβει ήδη σε dvd τις απεικονίσεις των εξετάσεών τους με την παραλαβή των αποτελεσμάτων τους, επομένως τις διαθέτουν και είναι πολύ σπάνιο να ζητηθούν εκ νέου, καθώς ο ισχυρισμός αυτός έρχεται σε πλήρη αντίθεση με την υποχρέωση τήρησης των αποτελεσμάτων κλινικών και παρακλινικών εξετάσεων, σύμφωνα με τις διατάξεις των άρθρων 14 παρ. 3 και 4 στοιχ. α΄ ν. 3418/2005, αλλά και την προσκομιζόμενη από το διαγνωστικό κέντρο πολιτική προστασίας δεδομένων. Για τον ίδιο λόγο, εξάλλου, τυγχάνει απορριπτέος και ο δεύτερος λόγος που προβάλλει το καταγγελλόμενο διαγνωστικό κέντρο εις επίρρωση του ισχυρισμού ότι ο κίνδυνος δεν ήταν υψηλός, ότι δηλ. τα λεπτομερή πορίσματα όλων των απεικονιστικών εξετάσεων των ασθενών του διαγνωστικού κέντρου είναι διαθέσιμα και εύκολα ανακτήσιμα από το 16 Βλ. WP250rev.01 από 03.10.2017, σελ. 40 παράδειγμα viii. 18 προσωπικό του, καθώς η τήρηση των σχετικών πορισμάτων δεν αίρει ούτε απορροφά την σχετική υποχρέωση τήρησης των απεικονιστικών εξετάσεων κατά τα ανωτέρω. Επιπλέον, τυγχάνει απορριπτέος και ο τρίτος λόγος για την υποστήριξη του ισχυρισμού ότι ο κίνδυνος δεν ήταν υψηλός, ότι δηλ. έχουν παρέλθει 3,5 έτη από την διενέργεια των πιο πρόσφατων απεικονιστικών εξετάσεων που περιλαμβάνονταν στον σκληρό δίσκο, και ότι αφενός οι ασθενείς οι οποίοι με τις εξετάσεις παρακολουθούσαν κάποιο εντοπισμένο πρόβλημά τους το πιο πιθανό είναι ότι έχουν επαναλάβει την εξέταση, και αφετέρου οι ασθενείς οι οποίοι υποβλήθηκαν στις εξετάσεις προληπτικά καλύπτονται από το πόρισμα αυτής, καθώς απλώς η πιθανολόγηση ότι οι ασθενείς οι οποίοι παρουσίαζαν κάποιο ιστορικό που δικαιολογούσε την διενέργεια απεικονιστικής εξέτασης προέβησαν σε επαναληπτική απεικονιστική εξέταση δεν αρκεί για να αποσοβηθεί ο υψηλός κίνδυνος, ούτε εξάλλου υποβάλλει το καταγγελλόμενο διαγνωστικό κέντρο στοιχεία που να αποδεικνύουν ότι από το συνολικό πλήθος των 25.346 αρχείων στα οποία αφορά το γνωστοποιηθέν (με την υπ’ αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/2973/01.03.2022 γνωστοποίηση) περιστατικό παραβίασης, έχει επαναληφθεί ικανός αριθμός αρχείων – απεικονίσεων, ώστε να δύναται να τεκμηριωθεί ότι έχει μετριασθεί η επέλευση του υψηλού κινδύνου. Τέλος, τυγχάνει απορριπτέος ο ισχυρισμός ότι δεν υφίσταται υψηλός κίνδυνος, για τον λόγο ότι κανένας άλλος ασθενής δεν έχει ζητήσει να λάβει τις απεικονιστικές εξετάσεις, που διενεργήθηκαν το χρονικό διάστημα από 16.03.2017 έως και 02.02.2018 τα τελευταία πέντε έτη, καθώς ο ισχυρισμός αυτός δεν υποδηλώνει/συνεπάγεται μετριασμό του υψηλού κινδύνου, ο οποίος πάντως μπορεί να οδηγήσει σε σωματική βλάβη, ούτε συνεπάγεται άρση της υποχρέωσης τήρησης του για μια δεκαετία κατά τα προεκτεθέντα. Αντίθετα, η Αρχή διαπιστώνει, λαμβάνοντας υπόψη και τις αιτιολογικές σκέψεις 75 και 85 ΓΚΠΔ, ότι η φύση των συγκεκριμένων δεδομένων (απεικονιστικών εξετάσεων), η κατηγοριοποίησή τους ως ειδικής κατηγορίας δεδομένων (άρθρο 9 ΓΚΠΔ) και η παράλειψη τήρησης κατάλληλων τεχνικών και οργανωτικών μέτρων προστασίας των δεδομένων ιδίως λόγω του αντικείμενου της δραστηριότητας του καταγγελλόμενου κέντρου και της δικαιολογημένης εμπιστοσύνης που αναμένει κάθε πελάτης – ασθενής από αυτό, συνιστούν ικανά στοιχεία για την αξιολόγηση ότι η παραβίαση της διαθεσιμότητάς τους μπορεί να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες που 19 μπορεί να έχει ως συνέπεια σωματική, ως και ηθική βλάβη, ώστε να δικαιολογείται η υποχρέωση ανακοίνωσης της παραβίασης των δεδομένων στα επηρεαζόμενα υποκείμενα των δεδομένων κατά το άρθρο 34 ΓΚΠΔ. Περαιτέρω και για τους ως άνω λόγους, ήταν εσφαλμένη και παράνομη η επιλογή του διαγνωστικού κέντρου να μην προβεί σε ανακοίνωση στα επηρεαζόμενα υποκείμενα των δεδομένων κατ’ άρθρο 34 ΓΚΠΔ.
- Η Αρχή, σε σχέση με την διαπιστωθείσα παραβίαση της υποχρέωσης ανακοίνωσης εκ μέρους του διαγνωστικού κέντρου, ως υπευθύνου επεξεργασίας, στα επηρεαζόμενα υποκείμενα των δεδομένων της παραβίασης της διαθεσιμότητας των απεικονιστικών εξετάσεων που φυλάσσονταν σε σκληρό δίσκο κατά παράβαση του άρθρου 34 ΓΚΠΔ, αποφάσισε ότι συντρέχει περίπτωση να ασκήσει τις εκ του άρθρου 58 παρ. 2 ΓΚΠΔ διορθωτικές εξουσίες της. Ειδικότερα, η Αρχή, λαμβάνοντας υπόψη κατά την αιτιολογική σκέψη 148 ΓΚΠΔ τον βαθμό ευθύνης του διαγνωστικού κέντρου λόγω του αντικειμένου της δραστηριότητάς του, καθώς και το γεγονός ότι οι προσπάθειες ανάκτησης των επίμαχων απεικονιστικών εξετάσεων μετά από την συνδρομή των δυο εταιρειών πληροφορικής απέβησαν στην πλειονότητα τους άκαρπες δίνει εντολή, κατ’ άρθρο 58 παρ. 2 στοιχ. ε΄ ΓΚΠΔ, στο διαγνωστικό κέντρο, ως υπεύθυνο επεξεργασίας, να ανακοινώσει την παραβίαση των δεδομένων προσωπικού χαρακτήρα (διαθεσιμότητα των τηρούμενων στο διαγνωστικό κέντρο απεικονιστικών εξετάσεων) στα επηρεαζόμενα υποκείμενα των δεδομένων, προκειμένου μέσω αυτής να αξιολογηθεί από τα θιγόμενα πρόσωπα (πελάτες – ασθενείς) η αναγκαιότητα επανάληψης των απολεσθέντων απεικονιστικών εξετάσεων. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή α) απορρίπτει ως αβάσιμη την καταγγελία της Α κατά του διαγνωστικού κέντρου ΙΔΙΩΤΙΚΟ ΠΟΛΥΙΑΤΡΕΙΟ ΚΑΙ ΔΙΑΓΝΩΣΤΙΚΟ ΚΕΝΤΡΟ ΠΥΛΗΣ ΑΞΙΟΥ Ι.Α.Ε., ως υπευθύνου επεξεργασίας, αναφορικά με την παραβίαση του δικαιώματος πρόσβασης για τους λόγους που διεξοδικώς εκτίθενται στις σκέψεις 3 -5 της παρούσης, 20 β) διαπιστώνει ότι η απώλεια της διαθεσιμότητας της επίμαχης απεικονιστικής εξέτασης της Α συνιστά παραβίαση της αρχής του άρθρου 5 παρ. 1 στοιχ. στ΄ ΓΚΠΔ, λόγω της μη λήψης κατάλληλων τεχνικών οργανωτικών μέτρων προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφαλείας κατ’ άρθρο 32 ΓΚΠΔ και επιβάλλει στο ΙΔΙΩΤΙΚΟ ΠΟΛΥΙΑΤΡΕΙΟ ΚΑΙ ΔΙΑΓΝΩΣΤΙΚΟ ΚΕΝΤΡΟ ΠΥΛΗΣ ΑΞΙΟΥ Ι.Α.Ε., ως υπεύθυνο επεξεργασίας, διοικητικό πρόστιμο ύψους τριάντα χιλιάδων (30.000) ευρώ για την παραβίαση αυτή, για τους λόγους που διεξοδικά αναλύονται στις σκέψεις 78 της παρούσης, γ) διαπιστώνει ότι η γνωστοποίηση παραβίασης δεδομένων προσωπικού χαρακτήρα στην Αρχή πραγματοποιήθηκε καθυστερημένα/εκπρόθεσμα κατά παράβαση του άρθρου 33 ΓΚΠΔ και απευθύνει επίπληξη κατ’ άρθρο 58 παρ. 2 στοιχ. β΄ ΓΚΠΔ στο ΙΔΙΩΤΙΚΟ ΠΟΛΥΙΑΤΡΕΙΟ ΚΑΙ ΔΙΑΓΝΩΣΤΙΚΟ ΚΕΝΤΡΟ ΠΥΛΗΣ ΑΞΙΟΥ Ι.Α.Ε., ως υπεύθυνο επεξεργασίας, για τους λόγους που διεξοδικά αναλύονται στις σκέψεις 11 -14 της παρούσης και δ) δίνει εντολή, κατ’ εφαρμογή του άρθρου 58 παρ. 2 στοιχ. ε΄ ΓΚΠΔ, στο ΙΔΙΩΤΙΚΟ ΠΟΛΥΙΑΤΡΕΙΟ ΚΑΙ ΔΙΑΓΝΩΣΤΙΚΟ ΚΕΝΤΡΟ ΠΥΛΗΣ ΑΞΙΟΥ Ι.Α.Ε., ως υπεύθυνο επεξεργασίας, να ανακοινώσει την παραβίαση δεδομένων προσωπικού χαρακτήρα στα επηρεαζόμενα υποκείμενα των δεδομένων, σύμφωνα με τα οριζόμενα στο άρθρο 34 ΓΚΠΔ, για τους λόγους που διεξοδικά αναλύονται στις σκέψεις 15-17 της παρούσης. Ο Αναπληρωτής Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 21