Επίπληξη στον ΟΚΑΝΑ για παράνομη συλλογή πιστοποιητικών εμβολιασμού/νόσησης

(90)ημερών, υποχρεούνται, όπως επιδεικνύουν στον προϊστάμενο της οργανικής μονάδας όπου υπηρετούν ή στον εργοδότη τους, αντίστοιχα, Ψηφιακό Πιστοποιητικό COVID-19 της Ε.Ε. (EU Digital COVID Certificate EUDCC) του Κανονισμού (ΕΕ) 2021/953 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 14ης Ιουνίου 2021 και του άρθρου πρώτου της από 30.5.2021 Πράξης Νομοθετικού Περιεχομένου (Α’ 87), η οποία κυρώθηκε με το άρθρο 1 του ν. 4806/2021 (Α’ 95) με πληροφορίες σχετικά με την κατάσταση του φυσικού προσώπου-κατόχου του όσον αφορά στον εμβολιασμό ή στη νόσηση από τον κορωνοϊό COVID-19, ή βεβαίωση εμβολιασμού της παρ. 5 του άρθρου 55 του ν. 4764/2020 (Α’ 256), ή βεβαίωση θετικού διαγνωστικού ελέγχου της παρ. 1 του άρθρου 5 της υπ’ αρ. 2650/10.4.2020 (Β’ 1298) κοινής απόφασης των Υπουργών Υγείας και Επικρατείας, ή ισοδύναμο πιστοποιητικό ή βεβαίωση τρίτης χώρας, εφόσον υφίστανται. Tο πιστοποιητικό ή η βεβαίωση του πρώτου εδαφίου ελέγχεται από τον εργοδότη μέσω της ειδικής ηλεκτρονικής εφαρμογής της παρ. 1α του άρθρου 33 του ν. 4816/2021 (Α` 118), τηρουμένων και των λοιπών διατάξεων του ανωτέρω άρθρου. Η υποχρέωση επίδειξης ισχύει έως την 31η.3.2022».

1. Επειδή, με τις διατάξεις των παρ. 1 και 2 του άρθρου 206 ν.4820/2021 καθιερώθηκε η υποχρεωτικότητα του εμβολιασμού στο προσωπικό των ιδιωτικών, δημοσίων και δημοτικών δομών υγείας. Επιπρόσθετα, η παράγραφος 5 του άρθρου 206 ν. 4820/2021 προβλέπει ότι: «Για την εφαρμογή των παρ. 1 και 2 απαιτείται η επίδειξη Ψηφιακού Πιστοποιητικού COVID-19 της Ε.Ε. (EU Digital COVID Certificate EUDCC) του Κανονισμού (ΕΕ) 2021/953 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 14ης Ιουνίου 2021 και του άρθρου πρώτου της από 30.5.2021 Πράξης Νομοθετικού Περιεχομένου (Α` 87), η οποία κυρώθηκε με το άρθρο 1 του ν. 4806/2021 (Α` 95) με πληροφορίες σχετικά με την κατάσταση του φυσικού προσώπου - κατόχου του όσον αφορά στον εμβολιασμό ή στη νόσηση από τον κορωνοϊό COVID19, ή βεβαίωσης εμβολιασμού της παρ. 5 του άρθρου 55 του ν. 4764/2020 (Α` 256), ή βεβαίωσης θετικού διαγνωστικού ελέγχου της παρ. 1 του άρθρου 5 της υπ` αρ. 2650/10.4.2020 (Β` 1298) κοινής απόφασης των Υπουργών Υγείας και Επικρατείας, ή ισοδύναμου πιστοποιητικού ή βεβαίωσης τρίτης χώρας. Το πιστοποιητικό ή η βεβαίωση του πρώτου εδαφίου ελέγχεται από τον εργοδότη ή τον υπεύθυνο της 6 μονάδας μέσω της ειδικής ηλεκτρονικής εφαρμογής της παρ. 1α του άρθρου 33 του ν. 4816/2021 (Α` 118), τηρουμένων και των λοιπών διατάξεων του ανωτέρω άρθρου.» Ακολούθως, με την υπ’ αρ. Δ1α/ΓΠ.οικ.52796 (ΦΕΚ Β 3959/27.8.2021) ΚΥΑ καθορίστηκαν και εξειδικεύθηκαν ζητήματα αναφορικά με την παρακολούθηση και τον τρόπο ελέγχου της συμμόρφωσης με την υποχρέωση εμβολιασμού κατά του κορωνοϊού. Ειδικότερα, στο άρθρο 1 ορίζεται «
2. Οι διατάξεις της παρούσας εφαρμόζονται για όλα τα φυσικά πρόσωπα που υπόκεινται σε υποχρεωτικό εμβολιασμό κατά τους ορισμούς του άρθρου 206 του ν. 4820/2021 (Α` 130) και της κείμενης νομοθεσίας, καθώς και για όλες τις δημόσιες και ιδιωτικές δομές που έχουν την υποχρέωση ελέγχου συμμόρφωσης της υποχρεωτικότητας του εμβολιασμού (…)». Εν συνεχεία, στο άρθρο 2 προβλέπεται: «
3. Για την υλοποίηση του σκοπού ελέγχου της συμμόρφωσης του υπόχρεου προσωπικού του δημόσιου και του ιδιωτικού τομέα κατά τα οριζόμενα στο άρθρο 206 του ν. 4820/2021 (Α` 130), ο διοικητικός προϊστάμενος κάθε δημόσιας δομής ή ο διοικητικός προϊστάμενος ή ο νόμιμος εκπρόσωπος κάθε ιδιωτικής δομής καταρτίζει λίστα φυσικών προσώπων υποχρέων εμβολιασμού του οικείου φορέα.
4. Η λίστα των υποχρέων ανά φορέα περιέχει τα εξής: α) στοιχεία ταυτοποίησης ως εξής: ονοματεπώνυμο, όνομα πατρός, όνομα μητρός, Αριθμό Φορολογικού Μητρώου (Α.Φ.Μ.), Αριθμό Μητρώου Κοινωνικής Ασφάλισης (Α.Μ.Κ.Α.) ή Προσωρινό Αριθμό Μητρώου Κοινωνικής Ασφάλισης (Π.Α.Μ.Κ.Α.) και β) στοιχεία ως προς τη συμμόρφωσή τους με την υποχρέωση εμβολιασμού ως εξής: βα) εάν είναι πλήρως εμβολιασμένοι, ββ) εάν έχουν νοσήσει και πότε, προκειμένου να διαπιστωθεί η παρέλευση έξι

(6)μηνών από τη θετική διάγνωση, βγ) εάν έχουν προγραμματίσει πρώτη ή δεύτερη δόση εμβολιασμού και σε ποια ημερομηνία, βδ) εάν έχουν υποβάλλει αίτηση εξαίρεσης από τον υποχρεωτικό εμβολιασμό για ιατρικούς λόγους σύμφωνα με την κείμενη νομοθεσία παρέχοντας και κάθε αναγκαίο αποδεικτικό στοιχείο ως προς την κατάθεσή της και βε) εάν έχουν λάβει απάντηση από την αρμόδια υγειονομική επιτροπή ως προς την αίτηση εξαίρεσης από τον υποχρεωτικό εμβολιασμό. 3. Για τη συμπλήρωση των στοιχείων των υποπερ. βα και ββ) της περ. β` της παρ. 2 οι υπόχρεοι του άρθρου 1 υποχρεούνται, όπως παρέχουν κάθε αναγκαία συνδρομή, ειδικότερα υποχρεούνται, όπως προβαίνουν σε επίδειξη προς τον διοικητικό τους προϊστάμενο 7 του Ψηφιακού Πιστοποιητικού COVID-19 της Ε.Ε. (EU Digital COVID Certificate EUDCC) του Κανονισμού (ΕΕ) 2021/953 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 14ης Ιουνίου 2021 και του άρθρου πρώτου της από 30.5.2021 Πράξης Νομοθετικού Περιεχομένου (Α` 87), η οποία κυρώθηκε με το άρθρο 1 του ν. 4806/2021 (Α` 95) με πληροφορίες σχετικά με την κατάσταση του φυσικού προσώπου- κατόχου του όσον αφορά στον εμβολιασμό ή στη νόσηση από τον κορωνοϊό COVID-19, ή βεβαίωσης εμβολιασμού της παρ. 5 του άρθρου 55 του ν. 4764/2020 (Α` 256), ή βεβαίωσης θετικού διαγνωστικού ελέγχου της παρ. 1 του άρθρου 5 της υπ` αρ. 2650/10.4.2020 (Β` 1298) κοινής απόφασης των Υπουργών Υγείας και Επικρατείας, ή ισοδύναμου πιστοποιητικού ή βεβαίωσης τρίτης χώρας, τα οποία ελέγχονται κατά τα οριζόμενα στο άρθρο 205 του ν. 4820/2021. Για την εφαρμογή της υποπερ. βγ) της παρ. 2 κατατίθεται από τον υπόχρεο υπεύθυνη δήλωση για τον προγραμματισμό μοναδικής/πρώτης ή δεύτερης δόσης εμβολιασμού και η ημερομηνία αυτής και επιδεικνύεται το σχετικό αποδεικτικό προγραμματισμού ραντεβού. Η κατά τα ανωτέρω δήλωση υπέχει θέση υπεύθυνης δήλωσης και επισύρει τις νόμιμες κυρώσεις σε περίπτωση ψευδούς δήλωσης». Τέλος, στο άρθρο 3 της προαναφερόμενης ΚΥΑ προβλέπεται: «1. Για την επίτευξη του σκοπού του ελέγχου της συμμόρφωσης προς την υποχρεωτικότητα του εμβολιασμού, μπορούν να πραγματοποιούνται ηλεκτρονικές διασταυρώσεις με τις αντίστοιχες εγγραφές στα μητρώα και πληροφοριακά συστήματα του δημοσίου τομέα. 2. Το πληροφοριακό σύστημα του «Μητρώου Ανθρώπινου Δυναμικού Ελληνικού Δημοσίου» ή το Πληροφοριακό Σύστημα ΕΡΓΑΝΗ του Υπουργείου Εργασίας και Κοινωνικών Υποθέσεων δύνανται να διαλειτουργούν για τον σκοπό αυτό με το «Εθνικό Μητρώο Εμβολιασμών κατά του κορωνοϊού COVID-19», το «Εθνικό Μητρώο Ασθενών από COVID-19», με το σύστημα Προτεραιοποίησης Εμβολιαζομένων κατά του κορωνοϊού COVID-19, καθώς και με το Σύστημα προγραμματισμού συνεδριών εμβολιασμού κατά του κορωνοϊού COVID-19, προκειμένου να υποβάλλονται, μέσω της εφαρμογής του Μητρώου Ανθρώπινου Δυναμικού Ελληνικού Δημοσίου ή του Πληροφοριακού Συστήματος ΕΡΓΑΝΗ, οι υπόχρεοι εμβολιασμού των φορέων και να λαμβάνεται απόκριση ως προς την κατάσταση του εμβολιασμού τους ή τυχόν νόσησής τους. 3. Από το χρονικό σημείο διαλειτουργικότητας των ανωτέρω πληροφοριακών συστημάτων οι διοικητικοί προϊστάμενοι κάθε δημόσιας και ιδιωτικής δομής 8 υποχρεούνται να καταχωρούν στο Μητρώο Ανθρώπινου Δυναμικού του Ελληνικού Δημοσίου ή στο Πληροφοριακό Σύστημα ΕΡΓΑΝΗ του Υπουργείου Εργασίας και Κοινωνικών Υποθέσεων, το σύνολο των υποχρέων προς εμβολιασμό κάθε δομής, επιλέγοντας την ένδειξη Υπόχρεος προς Εμβολιασμό (….). 7. Για το χρονικό διάστημα μέχρι την ολοκλήρωση της διαλειτουργικότητας των ανωτέρω συστημάτων, η παρακολούθηση και ο έλεγχος της συμμόρφωσης με την υποχρέωση εμβολιασμού διενεργούνται σύμφωνα με την παρ. 3 του άρθρου 2». 4. Επειδή, σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 4 στοιχ. 15 ΓΚΠΔ νοούνται ως δεδομένα που αφορούν την υγεία «δεδομένα προσωπικού χαρακτήρα τα οποία σχετίζονται με τη σωματική ή ψυχική υγεία ενός φυσικού προσώπου, περιλαμβανομένης της παροχής υπηρεσιών υγειονομικής φροντίδας, και τα οποία αποκαλύπτουν πληροφορίες σχετικά με την κατάσταση της υγείας του». Περαιτέρω, στην αιτιολογική σκέψη 35 ΓΚΠΔ προβλέπεται ότι τα δεδομένα προσωπικού χαρακτήρα σχετικά με την υγεία πρέπει να περιλαμβάνουν όλα τα δεδομένα που αφορούν την κατάσταση της υγείας του υποκειμένου των δεδομένων και τα οποία αποκαλύπτουν πληροφορίες για την παρελθούσα, τρέχουσα ή μελλοντική κατάσταση της σωματικής ή ψυχικής υγείας του υποκειμένου των δεδομένων. Επεξηγείται δε στην προαναφερθείσα αιτιολογική σκέψη ΓΚΠΔ ότι: «Τούτο περιλαμβάνει πληροφορίες σχετικά με το φυσικό πρόσωπο που συλλέγονται κατά την εγγραφή για υπηρεσίες υγείας και κατά την παροχή αυτών όπως αναφέρεται στην οδηγία 2011/24/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου προς το εν λόγω φυσικό πρόσωπο· έναν αριθμό, ένα σύμβολο ή ένα χαρακτηριστικό ταυτότητας που αποδίδεται σε φυσικό πρόσωπο με σκοπό την πλήρη ταυτοποίηση του φυσικού προσώπου για σκοπούς υγείας· πληροφορίες που προκύπτουν από εξετάσεις ή αναλύσεις σε μέρος ή ουσία του σώματος, μεταξύ άλλων από γενετικά δεδομένα και βιολογικά δείγματα και κάθε πληροφορία, παραδείγματος χάριν, σχετικά με ασθένεια, αναπηρία, κίνδυνο ασθένειας, ιατρικό ιστορικό, κλινική θεραπεία ή τη φυσιολογική ή βιοϊατρική κατάσταση του υποκειμένου των δεδομένων, ανεξαρτήτως πηγής, παραδείγματος χάριν, από ιατρό ή άλλο επαγγελματία του τομέα της υγείας, νοσοκομείο, ιατρική συσκευή ή διαγνωστική δοκιμή in vitro.». 9 5. Επειδή, περαιτέρω, το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων και ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων στην από κοινού Γνώμη 04/2021 από 31.03.2021 «σχετικά με την πρόταση κανονισμού του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου σχετικά με πλαίσιο για την έκδοση, την επαλήθευση και την αποδοχή διαλειτουργικών πιστοποιητικών εμβολιασμού, εξέτασης και ανάρρωσης, με σκοπό να διευκολυνθεί η ελεύθερη κυκλοφορία κατά τη διάρκεια της πανδημίας COVID-19 (ψηφιακό πράσινο πιστοποιητικό)» υπογραμμίζουν ότι το πιστοποιητικό εμβολιασμού χαρακτηρίζεται ως ειδικής κατηγορίας, όχι μόνο λόγω των πληροφοριών που περιλαμβάνονται σ’ αυτό, αλλά και λόγω των συμπερασμάτων που μπορεί να εξάγει κανείς από αυτό, παραθέτοντας ως παράδειγμα ότι η ημερομηνία διενέργειας της πρώτης δόσης εμβολίου σε μια συγκεκριμένη χώρα, βάσει κριτηρίων ηλικιακής ομάδας και χρονικής προτεραιότητας, μπορεί να οδηγήσει στην αποκάλυψη της πληροφορίας ότι λ.χ. ένας νέος άνθρωπος προηγήθηκε συνομηλίκων του στο εμβολιαστικό προγραμματισμό λόγω ανοσοκαταστολής ή χρόνιας πάθησης2. 6. Λαμβάνοντας υπόψη τα διαλαμβανόμενα στις αμέσως προηγούμενες σκέψεις της παρούσας, η Αρχή διαπιστώνει εν προκειμένω ότι τα πιστοποιητικά εμβολιασμού/νόσησης από τον κορωνοϊό COVID-19, ως και των ισοδύναμων πιστοποιητικών ή βεβαιώσεων που προβλέπονται στις διατάξεις των άρθρων 205 και 206 παρ. 5 ν. 4820/2021, συνιστούν δεδομένα που αφορούν την υγεία κατ΄ άρθρο 4 στοιχ. 15 ΓΚΠΔ και η επεξεργασία τους υπόκειται στις διατυπώσεις σχετικά με την επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα των άρθρων 9 ΓΚΠΔ και 22 ν. 4624/2019. 7. Επειδή, περαιτέρω, η καταστροφή των δεδομένων προσωπικού χαρακτήρα συνιστά ένα είδος επεξεργασίας, κατ΄ άρθρο 4 στοιχ. 2 ΓΚΔΠ, η οποία συνίσταται στη μετατροπή δεδομένων προσωπικού χαρακτήρα σε μη προσωπικά δεδομένα και η οποία υπόκειται στους κανόνες προστασίας δεδομένων προσωπικού χαρακτήρα, Από κοινού Γνώμη 04/2021 των ΕΣΠΔ και ΕΕΠΔ από 31.03.2021 «σχετικά με την πρόταση κανονισμού του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου σχετικά με πλαίσιο για την έκδοση, την επαλήθευση και την αποδοχή διαλειτουργικών πιστοποιητικών εμβολιασμού, εξέτασης και ανάρρωσης, με σκοπό να διευκολυνθεί η ελεύθερη κυκλοφορία κατά τη διάρκεια της πανδημίας COVID-19 (ψηφιακό πράσινο πιστοποιητικό)», σκ. 27, σελ. 20, διαθέσιμη στην ιστοσελίδα https://edpb.europa.eu/system/files/2021-07/edpb_edps_joint_opinion_dgc_el.pdf 2 10 όπως απορρέουν από τον ΓΚΠΔ και έχουν εξειδικευθεί από την Οδηγία 1/2005 της Αρχής, διασφαλίζοντας ότι έχουν ληφθεί τα κατάλληλα οργανωτικά και τεχνικά μέτρα, ώστε να αποφεύγεται η ανάκτηση ή καθ’ οιονδήποτε τρόπο αθέμιτη πρόσβαση σε αυτά 3. 8. Επειδή, το άρθρο 5 του ΓΚΠΔ καθορίζει τις αρχές επεξεργασίας που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, ορίζεται στην παράγραφο 1 ότι τα δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων: «α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα, διαφάνεια»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς (…), γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων») (…), στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»)». 9. Επειδή, σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 5 παρ. 2 του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην παράγραφο 1 του άρθρου 5. Όπως έχει κρίνει η Αρχή , με τον ΓΚΠΔ υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό σημείο του οποίου συνιστά η αρχή της λογοδοσίας στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να αποδεικνύει ο ίδιος και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ. 3 Η Οδηγία 1/2005 είναι διαθέσιμη στην ιστοσελίδα της Αρχής. 11 10. Επειδή, όπως έχει κρίνει η Αρχή 4, λαμβάνοντας υπόψη τις αποφάσεις του Δικαστηρίου της Ευρωπαϊκής Ένωσης (ΔΕΕ) 5 και του Συμβουλίου της Επικρατείας 6, προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν νόμιμης επεξεργασίας, ήτοι επεξεργασίας σύμφωνα προς τις απαιτήσεις του ΓΚΠΔ, θα πρέπει να πληρούνται σωρευτικά οι προϋποθέσεις εφαρμογής και τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ. Η ύπαρξη ενός νόμιμου θεμελίου (άρθρα 6 και 9 ΓΚΠΔ) δεν απαλλάσσει τον υπεύθυνο επεξεργασίας από την υποχρέωση τήρησης των αρχών (άρθρου 5 παρ. 1 ΓΚΠΔ) αναφορικά με τον θεμιτό χαρακτήρα, την αναγκαιότητα και την αναλογικότητα και την αρχή της ελαχιστοποίησης 7. Σε περίπτωση κατά την οποία παραβιάζεται κάποια εκ των προβλεπομένων στο άρθρο 5 παρ. 1 ΓΚΠΔ αρχών, η εν λόγω επεξεργασία παρίσταται ως μη νόμιμη (αντικείμενη στις διατάξεις του ΓΚΠΔ) και παρέλκει η εξέταση των προϋποθέσεων εφαρμογής των νομικών βάσεων του άρθρων 6 και 9 ΓΚΠΔ, για την επεξεργασία απλών και ειδικής κατηγορίας δεδομένων προσωπικού χαρακτήρα. Κατ’ ακολουθία, η κατά παράβαση των αρχών του άρθρου 5 ΓΚΠΔ συλλογή και επεξεργασία των δεδομένων προσωπικού χαρακτήρα δεν θεραπεύεται από την ύπαρξη νόμιμου σκοπού και νομικής βάσης 8. 11. Επειδή, η διάταξη της παρ. 5 του άρθρου 206 ν.4820/2021 προβλέπει την υποχρέωση επίδειξης του πιστοποιητικού εμβολιασμού, το οποίο ελέγχεται από τον εργοδότη ή τον υπεύθυνο της μονάδας υγείας, μέσω της ειδικής ηλεκτρονικής εφαρμογής της παρ. 1α του άρθρου 33 ν.4816/2021. Ακολούθως, στην παράγραφο 3α του ανωτέρω άρθρου ν.4816/2021 προβλέπεται ότι: «Κατά τη σάρωση του σχετικού κωδικού QR, στην ηλεκτρονική εφαρμογή εμφανίζονται αποκλειστικά τα εξής στοιχεία:

1. i)το ονοματεπώνυμο του φυσικού προσώπου και
2. ii)ένδειξη σχετικά με την εγκυρότητα, γνησιότητα ή ακεραιότητα ή μη του σαρωθέντος πιστοποιητικού ή βεβαίωσης». Επιπλέον, προβλέπεται στην παρ. 4 του ίδιου άρθρου: «Τα πρόσωπα των παρ. 2α και 2β προβαίνουν στην απολύτως αναγκαία επεξεργασία των Βλ. ιδίως απόφαση 44/2019 της Αρχής, σκ. 17, διαθέσιμη στην ιστοσελίδα της. Βλ. απόφαση ΔΕΕ της 16-01-2019 στην υπόθεση C-496/2017 Deutsche Post AG κατά Hauptzollamt Köln, σκ. 57. 6 Βλ. απόφαση ΣτΕ517/2018, σκ. 12. 7 βλ. Λ. Μήτρου, ο γενικός κανονισμός προστασίας προσωπικών δεδομένων (νέο δίκαιο-νέες υποχρεώσεις-νέα δικαιώματα), εκδ. Σάκκουλα, 2017 σελ. 58 και 69-70. 8 Βλ. ιδίως απόφαση 38/2004 της Αρχής, διαθέσιμη στην ιστοσελίδα της. 4 5 12 δεδομένων προσωπικού χαρακτήρα που περιλαμβάνονται στα πιστοποιητικά ή τις βεβαιώσεις της παρ. 1α για τον σκοπό του ελέγχου της εγκυρότητας, της γνησιότητας και της ακεραιότητας αυτών. Απαγορεύεται, ύστερα από την ολοκλήρωση της διαδικασίας ελέγχου ή επαλήθευσης, η καθ` οιονδήποτε τρόπο αποθήκευση ή τήρηση αντιγράφων των πιστοποιητικών ή βεβαιώσεων της παρ. 1α ή των δεδομένων προσωπικού χαρακτήρα που εμφανίζονται κατά τη σάρωση.». 12. Επειδή, ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων (εφεξής ΕΕΠΔ) στις από 09.08.2021 Συστάσεις για την Επιστροφή στον χώρο εργασίας, επισημαίνει ότι η συλλογή των πιστοποιητικών εμβολιασμού θα μπορούσε να συνιστά παραβίαση της ιδιωτικής ζωής και της απαγόρευσης των διακρίσεων των άρθρων 7 και 21 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης 9. Και τούτο, διότι η επεξεργασία δεδομένων μέσω της συλλογής των πιστοποιητικών μπορεί να οδηγήσει στην αποκάλυψη πληροφοριών υγείας σχετικά με τον χρόνο διενέργειας της πράξης του εμβολιασμού (εγκυμοσύνη, ύπαρξη άλλων ασθενειών κλπ). Επιπλέον, η αποκάλυψη της κατάστασης του εμβολιασμού για την παροχή αυτοπρόσωπης εργασίας πολύ δύσκολα θα μπορούσε να διαφυλαχθεί ως απόρρητη/εμπιστευτική, ενώ παράλληλα θα μπορούσε να οδηγήσει σε διακρίσεις μεταξύ των εργαζομένων. Κατόπιν τούτων, ο ΕΕΠΔ συστήνει στους εργοδότες να αποφεύγουν να ζητούν από τους εργαζομένους τους πληροφορίες σχετικά με την εμβολιαστική του κατάσταση, καθώς και να επεξεργάζονται σχετικά δεδομένα προσωπικού χαρακτήρα, και μάλιστα ανεξαρτήτως υποχρεωτικότητας σχετικού μέτρου 10. 13. Κατ΄ ακολουθία των ανωτέρω, ο έλεγχος της εγκυρότητας των επιδεικνυόμενων πιστοποιητικών/βεβαιώσεων σε εκπλήρωση των διατάξεων των άρθρων 205 και 206 παρ. 5 του ν.4820/2021, πραγματοποιείται μέσω της ειδικής ηλεκτρονικής εφαρμογής του άρθρου 33 ν.4816/2021 και περιορίζεται, λαμβάνοντας υπόψη και τα διαλαμβανόμενα στη Γνωμοδότηση 2/2021 της Αρχής 11, μόνο στην επαλήθευση πληροφοριών του ονοματεπωνύμου του φυσικού προσώπου και της εγκυρότητας, γνησιότητας ή ακεραιότητας ή μη των σαρωθέντων Διαθέσιμες στην ιστοσελίδα https://edps.europa.eu/system/files/2021-08/21-0809_guidance_return_workplace_en_0.pdf 10 Σελ. 5 ανωτέρω Συστάσεων ΕΕΠΠ. 11 Γνωμοδότηση 2/2021 σκ. 6, διαθέσιμη στην ιστοσελίδα της Αρχής. 9 13 πιστοποιητικών/βεβαιώσεων, αποκλειομένης ρητώς, μετά από την ολοκλήρωση της διαδικασίας ελέγχου και επαλήθευσης μέσω της επίδειξης, της αποθήκευσης ή τήρησης αντιγράφων των πιστοποιητικών εμβολιασμού/νόσησης από τον κορωνοϊό. 14. Λαμβάνοντας υπόψη τα ανωτέρω, από το σύνολο των στοιχείων του φακέλου της υπόθεσης, προκύπτει ότι η καταγγελλόμενη επεξεργασία της συλλογής πιστοποιητικών εμβολιασμού/νόσησης απασχολουμένων από τον ΟΚΑΝΑ, τόσο κατ΄ εφαρμογή της διάταξης του άρθρου 205 ν.4820/2021 – ήτοι σε χρόνο πριν διευκρινισθεί αν το προσωπικό του ΟΚΑΝΑ υπάγεται στον υποχρεωτικό εμβολιασμό – όσο και κατ’ εφαρμογή της διάταξης του άρθρου 206 ν.4820/2021, αλλά και μετά από την έκδοση της υπ΄ αρ. Δ1α/ΓΠ.οικ.52796 (ΦΕΚ Β 3959/27.8.2021) ΚΥΑ και προ της διαλειτουργικότητας των σχετικών πληροφοριακών συστημάτων, έγινε κατά παράβαση της αρχής του άρθρου 5 παρ. 1 στοιχ. α΄ του ΓΚΠΔ. Συγκεκριμένα, ο ισχυρισμός του ΟΚΑΝΑ επικαλούμενος την υπ’ αρ. ΔΙΔΑΔ/Φ.69/172/οικ.15287 εγκύκλιο του Υπουργείου Εσωτερικών (53η εγκύκλιος) ότι παρέχονταν η ευχέρεια στις Δ/νσεις Προσωπικού κάθε φορέα να προσδιορίσουν οι ίδιες τον τρόπο και την διαδικασία επίδειξης και ελέγχου γνησιότητας των πιστοποιητικών εμβολιασμού/νόσησης, ανάλογα με την δομή και την οργάνωση κάθε υπηρεσίας, και εκ του λόγου τούτου, καθώς και της διασποράς των δομών του Οργανισμού ανά την επικράτεια, προκρίθηκε η διαδικασία της ηλεκτρονικής/ψηφιακής συλλογής των πιστοποιητικών εμβολιασμού/νόσησης και της καταχώρισής τους στο ηλεκτρονικό σύστημα αρχειοθέτησης ΠΑΠΥΡΟΣ του Οργανισμού ή της αποστολής τους μέσω ηλεκτρονικού ταχυδρομείου, τυγχάνει απορριπτέος ως αβάσιμος. Και τούτο, διότι η επιλεγείσα διαδικασία της συλλογής πιστοποιητικών εμβολιασμού/νόσησης έγινε κατά παράβαση των οριζομένων στις διατάξεις των άρθρων 205 και 206 παρ. 5 του ν. 4820/2021, καθώς και της διάταξης του άρθρου 3 παρ. 7 της υπ’αρ. Δ1α/ΓΠ.οικ. 52795 (ΦΕΚ Β΄3959/27.08.2021) ΚΥΑ, με τις οποίες ρητά καθιερώνεται υποχρέωση επίδειξης του πιστοποιητικού εμβολιασμού/νόσησης και προσδιορίζεται η διαδικασία ελέγχου του επιδεικνυόμενου πιστοποιητικού εμβολιασμού/νόσησης μέσω της ειδικής ηλεκτρονικής εφαρμογής του άρθρου 33 του ν. 4816/2021. Για τον ίδιο λόγο τυγχάνουν απορριπτέοι και δεν δικαιολογούν την κατά τα ανωτέρω παράνομη συλλογή πιστοποιητικών εμβολιασμού/νόσησης οι επιμέρους ισχυρισμοί 14 του καταγγελλόμενου ΟΚΑΝΑ, ότι οι υπεύθυνοι των δομών του Οργανισμού, οι οποίοι είναι στην πλειονότητα τους ιατροί, δεν ήταν πρόθυμοι να αναλάβουν την διαδικασία ελέγχου των πιστοποιητικών μέσω της ειδικής ηλεκτρονικής εφαρμογής, καθώς και ότι διαπιστώθηκε δυσκολία ορισμένων εργαζομένων να επιδείξουν τα πιστοποιητικά τους στον επικεφαλής της μονάδας/τμήματος και ότι οι ίδιοι επέλεξαν να τα αποστείλουν στο Τμήμα … . Περαιτέρω, η Αρχή διαπιστώνει ότι η καταγγελλόμενη επεξεργασία της συλλογής πιστοποιητικών εμβολιασμού/νόσησης έγινε κατά παράβαση της αρχής της ελαχιστοποίησης των δεδομένων (άρθρο 5 παρ. 1 στοιχ. γ’ ΓΚΠΔ), καθώς ακόμα και αν ευσταθούσε ο ισχυρισμός ότι η προκριθείσα διαδικασία υπήρξε επιβεβλημένη λόγω της διασποράς των δομών του Οργανισμού ανά την επικράτεια, μέσω της συλλογής των πιστοποιητικών εμβολιασμού/νόσησης έτυχαν επεξεργασίας και ήταν δυνατόν να συναχθούν εμμέσως περισσότερες από τις αναγκαίες πληροφορίες (δεδομένα υγείας) των κατόχου/απασχολουμένων. Εκτός τούτου, και μόνη η χρονική απόκλιση της αποστολής μέσω πρωτοκόλλου των συλλεγέντων ψηφιακών πιστοποιητικών και του ελέγχου της εγκυρότητάς τους συγκεντρωτικά από το Τμήμα … του Οργανισμού ήταν πιθανό να οδηγεί σε καθυστερήσεις, οι οποίες έχουν ως αποτέλεσμα να μην επιτυγχάνεται ο σκοπός της παρεμπόδισης της διασποράς της COVID – 19 στο χώρο εργασίας. Εξάλλου, εφόσον η Αρχή διαπιστώνει ότι η καταγγελλόμενη επεξεργασία της συλλογής πιστοποιητικών εμβολιασμού/νόσησης είναι αντίθετη προς τις αρχές του άρθρου 5 παρ. 1 στοιχ. α΄ και γ΄ ΓΚΠΔ, παρέλκει η εξέταση τυχόν νόμιμων θεμελίων κατ΄ άρθρα 9 ΓΚΠΔ και 22 ν. 4624/2019, καθώς αφενός η ύπαρξη τυχόν νόμιμων θεμελίων δεν απαλλάσσει τον υπεύθυνο επεξεργασίας από την τήρηση και εφαρμογή των γενικών αρχών επεξεργασίας του άρθρου 5 παρ. 1 ΓΚΠΔ κατά τα ανωτέρω διαλαμβανόμενα, αφετέρου ο έλεγχος της συμμόρφωσης προς την υποχρέωση επίδειξης του πιστοποιητικού εμβολιασμού/νόσησης κατ΄ εφαρμογή των άρθρων 205 και 206 παρ. 5 ν. 4820/2021 ρυθμίζεται ειδικώς από την διάταξη του άρθρου 33 ν. 4816/2021. Εξάλλου, η Αρχή λαμβάνει υπόψη ότι ο ΟΚΑΝΑ με το μετ’ ακρόαση υπ’ αρ. … (αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/166/11.01.2022) υπόμνημα ενημέρωσε την Αρχή, παρέχοντας 15 σχετική τεκμηρίωση με τα υπ’ αρ. πρωτ. …, εμπ. …, …, … και … έγγραφα, ότι όλα τα πιστοποιητικά εμβολιασμού/νόσησης τα οποία συνελέγησαν από τον ΟΚΑΝΑ, σε εκτέλεση του υπ’ αρ. πρωτ. 38128/10.08.2021 εγγράφου του Οργανισμού, κατ΄ εφαρμογή της διάταξης του άρθρου 206 ν.4820/2021 και μέχρι την έκδοση της υπ’ αρ. Δ1α/ΓΠ.οικ. 52795 (ΦΕΚ Β΄3959/27.08.2021) ΚΥΑ και προ της διαλειτουργικότητας των πληροφοριακών συστημάτων «Μητρώου Ανθρώπινου Δυναμικού Ελληνικού Δημοσίου» και ΕΡΓΑΝΗ του Υπουργείου Εργασίας και Κοινωνικών Υποθέσεων με το «Εθνικό Μητρώο Εμβολιασμών κατά του κορωνοϊού COVID-19» και το «Εθνικό Μητρώο Ασθενών από COVID-19», οπότε και παρίσταται μη αναγκαία η κατάρτιση λίστας φυσικών προσώπων υποχρέων εμβολιασμού του οικείου φορέα κατ΄ άρθρο 2 παρ. 1 της προαναφερόμενης ΚΥΑ, σύμφωνα με τα οριζόμενα στην διάταξη της παρ. 7 του άρθρου 3 αυτής, καταστράφηκαν οριστικά κατά τρόπο ασφαλή και μη αναστρέψιμο, λαμβανομένων των κατάλληλων οργανωτικών και τεχνικών μέτρων, ώστε να μην είναι πλέον δυνατή η ανάκτηση ή καθ’ οιονδήποτε τρόπο αθέμιτη πρόσβαση σ΄ αυτά μετά την καταστροφή με τεχνικά ή άλλα μέσα, σύμφωνα με τα οριζόμενα στην Οδηγία 1/2005 της Αρχής. 15. Η Αρχή, σε σχέση με την διαπιστωθείσα παραβίαση των αρχών του άρθρου 5 παρ. 1 στοιχ. α΄ και γ΄ ΓΚΠΔ για την επεξεργασία της συλλογής πιστοποιητικών εμβολιασμού/νόσησης απασχολουμένων του ΟΚΑΝΑ αποφάσισε ότι συντρέχει περίπτωση να ασκήσει τις εκ του άρθρου 58 παρ. 2 ΓΚΠΔ διορθωτικές εξουσίες της. Ειδικότερα, η Αρχή, κατά πλειοψηφία, λαμβάνοντας υπόψη κατά την αιτιολογική σκέψη 148 ΓΚΠΔ την περιορισμένη διάρκεια της παραβίασης από την ψήφιση του νόμου 4820/2021 μέχρι την έκδοση της υπ’ αρ. Δ1α/ΓΠ.οικ. 52795 (ΦΕΚ Β΄3959/27.08.2021) ΚΥΑ και την άντληση των επίμαχων πληροφοριών από την διαλειτουργικότητα των σχετικών πληροφοριακών συστημάτων, καθώς και το γεγονός ότι ο ΟΚΑΝΑ κατέστρεψε με ασφαλή τρόπο τα παρανόμως συλλεγέντα πιστοποιητικά εμβολιασμού/νόσησης, απευθύνει επίπληξη, κατ’ άρθρο 58 παρ. 2 στοιχ. β΄ ΓΚΠΔ, στον ΟΚΑΝΑ, ως υπεύθυνο επεξεργασίας, για την συλλογή πιστοποιητικών εμβολιασμού/νόσησης απασχολουμένων του κατά παράβαση των ανωτέρω αναφερόμενων αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ. Κατά την γνώμη, όμως, του μειοψηφούντος Προέδρου της Αρχής και των μειοψηφούντων μελών Χρήστου 16 Καλλονιάτη και Γρηγόριου Τσόλια το ανωτέρω διορθωτικό μέτρο δεν αρκεί για την αποκατάσταση της συμμόρφωσης με τις διατάξεις του ΓΚΠΔ και του ν. 4624/2019 που έχουν παραβιαστεί και θα έπρεπε με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί, κατ΄ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, επιπλέον και αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 του ΓΚΠΔ, τόσο προς αποκατάσταση της συμμόρφωσης, όσο και για την τιμωρία της παράνομης συμπεριφοράς 12, ύψους πέντε χιλιάδων (5.000) ευρώ, συνεκτιμώντας κατά την αξιολόγηση των περιστάσεων ότι η διαπιστωθείσα παραβίαση, η οποία πάντως είχε περιορισμένη χρονική διάρκεια, αφορούσε σημαντικό αριθμό του προσωπικού του Οργανισμού (άρθρο 83 παρ. 2 στοιχ. α΄), ότι η διαπιστωθείσα συλλογή των επίμαχων πιστοποιητικών ήταν δεδομένα υγείας, δηλ. αφορούσε επεξεργασία ειδικής κατηγορίας δεδομένων προσωπικού χαρακτήρα του άρθρου 9 ΓΚΠΔ (άρθρο 83 παρ. 2 στοιχ. ζ΄), καθώς και ότι ο ΟΚΑΝΑ σε κάθε περίπτωση κατέστρεψε με τρόπο ασφαλή τα παρανόμως συλλεγέντα επίμαχα δεδομένα, μετριάζοντας τη ζημία που υπέστησαν τα ενδιαφερόμενα υποκείμενα των δεδομένων (άρθρο 83 παρ. 2 στοιχ. γ΄). ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή ομόφωνα διαπιστώνει ότι η καταγγελλόμενη επεξεργασία της συλλογής πιστοποιητικών εμβολιασμού/νόσησης απασχολουμένων του ΟΚΑΝΑ έγινε κατά παράβαση της διατάξεων του άρθρου 5 παρ. 1 στοιχ. α΄ και γ΄ ΓΚΠΔ, και απευθύνει, επίπληξη στον ΟΚΑΝΑ, ως υπεύθυνο επεξεργασίας, για την παράνομη αυτή επεξεργασία. 12 Βλ. ΟΕ 29, Κατευθυντήριες γραμμές και την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του κανονισμού 2016/679 WP253, σελ. 6. 17 Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 18