Επιβολή προστίμου σε ασφαλιστική εταιρεία για παράνομη διαβίβαση ευαίσθητων δεδομένων υγείας τρίτου. (H ΑΠΟΦΑΣΗ ΑΝΑΚΛΗΘΗΚΕ ΜΕ ΤΗΝ ΥΠ` ΑΡΙΘΜ. 120/2011

ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ∆Ε∆ΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Αθήνα 16.11.2006 Αριθ. Πρωτ.: 7736 Α Π Ο Φ Α Σ Η 61/2006 Η Αρχή Προστασ ας ∆εδοµένων Προσωπικού Χαρακτήρα, συνήλθε µετά από πρόσκληση του Προέδρου της σε τακτική συνεδρ αση την 28-9-2006 στο κατάστηµά της αποτελούµενη από τον ∆. Γουργουράκη, Πρόεδρο, και τα τακτικά µέλη της Ν. Φραγκάκη, Λ .Κοτσαλή, Φ. ∆ωρή και Α.Παπανεοφύτου. Επ σης παρέστησαν τα αναπληρωµατικά µέλη Α. Πράσσος και Γ.Πάντζιου σε αντικατάσταση των τακτικών µελών Σ. Σαρηβαλάση και Α.Ποµπόρτση αντ στοιχα, οι οπο οι αν και εκλήθησαν νοµ µως, δεν παρέστησαν λόγω κωλύµατος. Στη συνεδρ αση, χωρ ς δικα ωµα ψήφου παρέστησαν η Κ. Λωσταράκου, νοµική ελέγκτρια ως εισηγήτρια και η Γ. Παλαιολόγου, ως γραµµατέας, µετά από εντολή του Προέδρου. Η υπόθεση συζητήθηκε αρχικά στη συνεδρ αση της 6.7.2006 όπου ε χαν προσκληθε νοµ µως και παρέστησαν οι Β. Μ. πληρεξούσιος δικηγόρος της ασφαλιστικής εταιρ ας και οι Ι. Τ., Σ. Π. και Ν. Κ. εκ µέρους του νοσοκοµε ου. Η Αρχή έλαβε υπόψη τα παρακάτω: 1) Τις µε αριθµ. πρωτ. ….2004, …..2005 και ..2005 προσφυγές (και τα συµπληρωµατικώς υποβληθέντα έγγραφα) του Α. Γ. µε τις οπο ες αυτός ζητε από την Αρχή να αποφανθε σχετικά µε αν α) νοµ µως το Νοσοκοµε ο …διαβ βασε στην ασφαλιστική εταιρ α … έγγραφο, το οπο ο περιέχει ευα σθητα προσωπικά δεδοµένα σχετικά µε την υγε α του, β) ικανοποιήθηκε το δικα ωµα ενηµέρωσής του από το ανωτέρω νοσοκοµε ο, όπως προβλέπεται στο άρθρο 11 του Ν. 2472/97 και γ) Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr ) διαβιβάστηκαν νοµ µως από την ανωτέρω ασφαλιστική εταιρ α τα έγγραφα που ε χε ζητήσει να του δοθούν. 2) Τα υπ΄ αριθµ.πρωτ…..2006 και ….2006 υποµνήµατα της ασφαλιστικής εταιρ ας …. 3) Τις καταθέσεις των κληθέντων προσώπων κατά την συνεδρ αση. ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ Σύµφωνα µε το άρθρο 4 παρ.1α του ν.2472/97, τα δεδοµένα προσωπικού χαρακτήρα για να τύχουν νόµιµης επεξεργασ ας πρέπει να συλλέγονται κατά τρόπο θεµιτό και νόµιµο για καθορισµένους, σαφε ς και νόµιµους σκοπούς και να υφ στανται θεµιτή και νόµιµη επεξεργασ α ενόψει των σκοπών αυτών. Κατά το άρθρο 7 παρ.1α, επιτρέπεται κατ΄εξα ρεση η επεξεργασ α ευα σθητων δεδοµένων όταν τα υποκε µενο έδωσε τη γραπτή συγκατάθεσή του. Σύµφωνα µε το άρθρο 2 περ. ια, “Συγκατ θεση” του υποκειµένου των δεδοµένων, είναι κ θε ελεύθερη, ρητή και ειδική δήλωση βουλήσεως, που εκφρ ζεται µε τρόπο σαφή, και µε πλήρη επίγνωση, και µε την οποία, το υποκείµενο των δεδοµένων, αφού προηγουµένως ενηµερωθεί, δέχεται να αποτελέσουν αντικείµενο επεξεργασίας τα δεδοµένα προσωπικού χαρακτήρα που το αφορούν. Σύµφωνα µε το άρθρο 10 παρ. 3, ο υπεύθυνος επεξεργασίας οφείλει να λαµβ νει τα κατ λληλα οργανωτικ και τεχνικ µέτρα για την ασφ λεια των δεδοµένων και την προστασία τους από τυχαία ή αθέµιτη καταστροφή, τυχαία απώλεια, αλλοίωση, απαγορευµένη δι δοση ή πρόσβαση και κ θε λλη µορφή αθέµιτης επεξεργασίας. Αυτ τα µέτρα πρέπει να εξασφαλίζουν επίπεδο ασφαλείας αν λογο προς τους κινδύνους που συνεπ γεται η επεξεργασία και η φύση των δεδοµένων που είναι αντικείµενο της επεξεργασίας. Σύµφωνα µε το άρθρο 11 παρ.3, ε ν τα δεδοµένα ανακοινώνονται σε τρίτους, το υποκείµενο ενηµερώνεται για την ανακοίνωση πριν από αυτούς. Όπως ορ ζεται στην παράγραφο 6 του άρθρου 12, δεδοµένα που αφορούν την υγε α γνωστοποιούνται στο υποκε µενο µέσω ιατρού. Από τα στοιχε α του φακέλου και τις καταθέσεις των κληθέντων προσώπων προέκυψε ότι: Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr ) Ο προσφεύγων συµβλήθηκε µε την ασφαλιστική εταιρε α την ...1998, αντικε µενο δε της σύµβασης αυτής υπήρξε η ασφάλιση της υγε ας του (“νοσοκοµειακό πρόγραµµα περ θαλψης µε απεριόριστο ποσό αποζηµ ωσης και απαλλαγή πληρωµής ασφαλ στρων λόγω ανικανότητος”). Από …2002 έως …2002 ο προσφεύγων νοσηλεύτηκε στο Νοσοκοµε ο …µε διάγνωση (δι γνωση). Στη συνέχεια, µε “∆ήλωση ασθενείας και νοσοκοµειακής περίθαλψης” που απηύθυνε προς την εταιρ α στις …2003, ο προσφεύγων δήλωσε την ως άνω ασθένειά του, συµπλήρωσε τις ερωτήσεις που περιλαµβάνονταν στο σχετικό έντυπο (περιγραφή της ασθένειας, πότε παρουσιάστηκαν τα πρώτα συµπτώµατα, αν ε χε παρόµοια συµπτώµατα για την δια πάθηση προηγουµένως, τα ονόµατα των ιατρών και τις ηµεροµην ες που εξετάστηκε, τις εξετάσεις που συνέστησε ο θεράπων ιατρός) αναφέροντας ότι τα πρώτα συµπτώµατα της νόσου παρουσιάστηκαν αρχές Φεβρουαρ ου του 2002 και ζήτησε να απαλλαγε από την υποχρέωση πληρωµής των ασφαλ στρων. Η ασφαλιστική εταιρε α, µε την συγκατάθεση του προσφεύγοντα που αναγράφεται στην ανωτέρω έγγραφη δήλωση, ζήτησε στις …2004 από τον Εισαγγελέα Πρωτοδικών Αθηνών να δώσει εντολή να της χορηγηθούν στοιχε α σχετικά µε τη νοσηλε α του προσφεύγοντα στο ανωτέρω νοσοκοµε ο καθώς και στοιχε α του ιατρικού ιστορικού-ατοµικού αναµνηστικού του. Το Νοσοκοµε ο… απέστειλε στις …2004 στην αιτούσα ασφαλιστική εταιρε α µετά από αντ στοιχη εισαγγελική παραγγελ α. αντ γραφο της βεβα ωσης του ιατρού του Ν. Κ. που πιστοποιούσε ότι ο προσφεύγων έπασχε από (ασθένεια) και ότι τα πρώτα συµπτώµατα της νόσου άρχισαν από το

1. Το διο Νοσοκοµε ο ενηµέρωσε τον προσφεύγοντα για την χορήγηση της βεβα ωσης που προαναφέρθηκε στις …2005 και µετά από την άσκηση του δικαιώµατος πρόσβασης που άσκησε ο προσφεύγων. Στις …2005 η εν λόγω ασφαλιστική εταιρε α κατήγγειλε εξωδ κως το ασφαλιστήριο συµβόλαιο υποστηρ ζοντας ότι ο ασφαλισµένος δεν δήλωσε κατά την υποβολή της α τησης προς ασφάλιση ότι τα συµπτώµατα της νόσου από την οπο α πάσχει άρχισαν ήδη από το
2. Στις ….2005 θυροκολλήθηκαν, µετά από εντολή της διας εταιρ ας από δικαστικό επιµελητή, εξώδικη δήλωσή της µε τα συνηµµένα σε αυτήν έγγραφα στην κεντρική ε σοδο της οικ ας του προσφεύγοντα στην οδό …. Η θυροκόλληση έγινε για την ικανοπο ηση του δικαιώµατος πρόσβασης και αντ ρρησης που άσκησε ο τελευτα ος για την ανεπ τρεπτη επεξεργασ α των δεδοµένων της υγε ας του. Συγκεκριµένα θυροκολλήθηκαν γιατ η επ δοση στον διο τον προσφεύγοντα δεν ήταν εφικτή : α) η εξώδικη δήλωση, β) η από ….1998 α τησή του προς ασφάλιση, γ) η από ….2003 δήλωση ασθενε ας και νοσοκοµειακής Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr ) περ θαλψης, δ) φύλλα του βιβλιαρ ου υγε ας του, ε) το από ….2002 ιατρικό πιστοποιητικό του ιατρού Ν. Κ., στ) η υπ' αριθµ. πρωτ. …2002 γνωµάτευση-απόφαση της Πρωτοβάθµιας Υγειονοµικής Επιτροπής… τ) το από ….2004 ακριβές αντ γραφο της από ….2004 βεβαιώσεως του ιατρού Κ.. Το εξώδικο µε τα συνηµµένα έγγραφα, τα οπο α δεν βρ σκονταν εσώκλειστα σε φάκελο, παρέλαβε ο προσφεύγων από το µέρος που ε χαν θυροκολληθε . Η διαβ βαση από το Νοσοκοµε ο… αντιγράφου βεβαιώσεως του ιατρού πραγµατοποιήθηκε µετά από τη λήψη γραπτής συγκατάθεσης του καταγγέλλοντα στο προαναφερόµενο έγγραφο της δήλωσης ασθενε ας όπου ο ανωτέρω δηλώνει ότι οι πιο πάνω απαντήσεις του ε ναι αληθε ς και ορθές και εξουσιοδοτε “όλους τους ιατρούς που καθ΄οιονδήποτε χρόνο εξέτασαν τον ασθενή να εφοδι σουν την ασφαλιστική εταιρία µε οποιαδήποτε πιστοποιητικ ή πληροφορίες τους ζητήσει”. Η συγκατάθεση αυτή δόθηκε από τον προσφεύγοντα στο διο έντυπο µε τη δήλωση ασθενε ας, διατυπωµένη µε τα δια γράµµατα του υπόλοιπου κειµένου και ευανάγνωστη. Γνώριζε δε ο προσφεύγων από την ασφαλιστική σύµβαση που ε χε υπογράψει ότι βάσει αυτής της συγκεκριµένης δήλωσης που υπέγραψε µετά την επέλευση της συγκεκριµένης ζηµ ας, που σηµειωτέον, πρέπει να ε ναι αληθής, σαφής και χωρ ς παραλε ψεις, ενεργοποιε ται η ασφαλιστική κάλυψη που στην περ πτωση αυτή ήταν η απαλλαγή πληρωµής ασφαλ στρων. Ήταν δε προφανές στον προσφεύγοντα ότι ο σκοπός της ασφαλιστικής εταιρ ας για τη χορήγηση των επ δικων στοιχε ων από το νοσοκοµε ο συνδέεται µε τη δήλωση που κάνει ο διος για τη συγκεκριµένη ασθένεια, της οπο ας η ύπαρξη, η έκταση και η µορφή κρ νονται από τα στοιχε α του ιατρικού φακέλου. Από τα δεδοµένα αυτά ουδαµώς προκύπτει ότι ο προσφεύγων εξαναγκάστηκε να συγκατατεθε ή να συναινέσει για τη συγκέντρωση από την ασφαλιστική των απαιτούµενων στοιχε ων νοσηλε ας του για τον έλεγχο της αλήθειας της κατά την επέλευση της ασφαλιστικής περ πτωσης δήλωσής του. Εποµένως, η συγκατάθεση που δόθηκε από τον προσφεύγοντα κατά τον τρόπο που προαναφέρθηκε ε ναι ρητή, ειδική και ελεύθερη. Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr ) Η βεβα ωση του ιατρού Ν. Κ. που χορήγησε στην εταιρ α το νοσοκοµε ο αναφερόταν στη διάγνωση της ασθένειας του προσφεύγοντα, στη διάρκεια της νοσηλε ας του στο νοσοκοµε ο και στο χρόνο εµφάνισης των πρώτων συµπτωµάτων της νόσου. Η δε αναφορά στη σχετική βεβα ωση ότι “σύµφωνα µε τα στοιχεία που περιέχονται στον ιατρικό φ κελο του ασθενούς τα πρώτα συµπτώµατα της νόσου ρχισαν το 1995” αποτελε µια πιστοπο ηση από τον ιατρό ότι προο µιο της διαπιστωθε σας ασθένειας ήταν τα συµπτώµατα που παρουσιάστηκαν το
3. Η κρ ση αυτή του ιατρού δεν αποτελε επεξεργασ α νέου προσωπικού δεδοµένου, αλλά µια εκτ µηση στοιχε ων που υπήρχαν ήδη στον ιατρικό φάκελο και έγινε στο πλα σιο της εισαγγελικής παραγγελ ας και µετά από τη δοθε σα ως άνω συγκατάθεση του προσφεύγοντος. Ωστόσο, το γεγονός ότι η χορήγηση της ιατρικής βεβα ωσης έγινε επιτρεπτώς και νοµ µως, δεν απαλλάσσει τον υπεύθυνο επεξεργασ ας από την υποχρέωση να ενηµερώσει το υποκε µενο, δηλ. τον προσφεύγοντα, πριν την ανακο νωσή της σε τρ τον. Στην υπό εξέταση περ πτωση, η ενηµέρωση του προσφεύγοντα από το νοσοκοµε ο για την διαβ βαση του αντιγράφου της βεβαιώσεως του ιατρού στην ασφαλιστική του εταιρε α πραγµατοποιήθηκε µετά τη διαβ βαση και αφού ε χε προηγουµένως ασκηθε το δικα ωµα πρόσβασης και, ως εκ τούτου, δεν αποτελε προσήκουσα εκπλήρωση της υποχρέωσης ενηµέρωσης του υποκειµένου, διότι δεν προηγήθηκε του σταδ ου της διαβ βασης στην ασφαλιστική εταιρ α των επ δικων δεδοµένων.(“το υποκε µενο ενηµερώνεται για την ανακο νωση πριν από αυτούς [τους τρ τους]”, άρθρο 11 παρ. 3) Ανεξάρτητα από την αλήθεια των ισχυρισµών των δύο πλευρών σχετικά µε τις συνθήκες υπό τις οπο ες έγινε η θυροκόλληση, ο συγκεκριµένος τρόπος αποστολής που επέλεξε η εταιρ α προφανώς δεν προστατεύει τα σχετικά δεδοµένα από τυχόν αθέµιτη επεξεργασ α, αλλά αντιθέτως την διευκολύνει, αφού τα δεδοµένα εκτέθηκαν σε κοινή θέα µε κ νδυνο να διαδοθούν αυτά σε τρ τους. Πολύ περισσότερο δε, όταν αντικε µενο επεξεργασ ας ε ναι ευα σθητα δεδοµένα υγε ας για τα οπο α το επ πεδο ασφαλε ας πρέπει να ε ναι κατά το νόµο αυξηµένο (άρθρο 7 σε συνδυασµό µε το άρθρο 10). Ως εκ τούτου, η διαβ βαση δεν ήταν νόµιµη. Γνώριζε δε η εταιρ α ότι ο συγκεκριµένος τρόπος ανακο νωσης δεν ήταν ούτε αναγκα ος ούτε ο µόνος για να ικανοποιήσει το δικα ωµα πρόσβασης του προσφεύγοντα και, παρά ταύτα, αµέλησε να επιλέξει άλλο τρόπο αποστολής ανάλογο µε τους κινδύνους και τη φύση των συγκεκριµένων δεδοµένων, κατά τα οριζόµενα στα άρθρα 10 παρ.3 και 12 παρ.6 του Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr ) Ν.2472/97, ώστε να προστατεύσει το απαραβ αστο της ιδιωτικής σφα ρας του προσφεύγοντος. Επειδή, κατά τα προεκτεθέντα, το Νοσοκοµε ο…., ως υπεύθυνος επεξεργασ ας, δεν ενηµέρωσε νοµ µως, ως όφειλε, τον προσφεύγοντα, η δε ασφαλιστική εταιρ α … , ως υπεύθυνος επεξεργασ ας και αυτή, διαβ βασε παρανόµως στον προσφεύγοντα ευα σθητα δεδοµένα υγε ας που τον αφορούν, η Αρχή κρ νει οµόφωνα ότι ενόψει της βαρύτητας των πράξεων που αποδε χθηκαν και της προσβολής που επήλθε από αυτές στο υποκε µενο δηλ. στον προσφεύγοντα, πρέπει να επιβληθούν στους υπευθύνους της επεξεργασ ας οι προβλεπόµενες στο άρθρο 21 παρ.1 εδαφ.β του ν.2472/97 κυρώσεις που αναφέρονται στο διατακτικό και οι οπο ες κρ νονται ανάλογες µε τη βαρύτητα των παραβάσεων. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ
4. Επιβάλλει χρηµατικό πρόστιµο τριών χιλιάδων (3.000) Ευρώ στο Νοσοκοµε ο… για παράβαση της υποχρέωσης ενηµέρωσης του προσφεύγοντα.
5. Επιβάλλει χρηµατικό πρόστιµο δέκα πέντε χιλιάδων (15.000) Ευρώ στην εταιρ α …. για παράνοµη διαβ βαση ευα σθητων προσωπικών δεδοµένων του προσφεύγοντα. Ο Π όεδ ος ∆ηµήτ ιος Γου γου άκης Η Γ αµµατέας Γεω γία Παλαιολόγου Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr )