Εξέταση καταγγελίας ασθενούς για παραβίαση δικαιωμάτων εκ μέρους ιατρού μέσω της ανάρτησης φωτογραφιών σε μέσο κοινωνικής δικτύωσης

Αθήνα, 18-12-2024 Αριθ. Πρωτ.: 3609 ΑΠΟΦΑΣΗ 50/2024 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε μετά από πρόσκληση του Προέδρου της σε συνεδρίαση Τμήματος μέσω τηλεδιάσκεψης την Τετάρτη 27.11.2024 και ώρα 09:00, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Αναπληρωτής Πρόεδρος της Αρχής, Γεώργιος Μπατζαλέξης, κωλυομένου του Προέδρου της Αρχής Κωνσταντίνου Μενουδάκου και οι Γρηγόριος Τσόλιας, τακτικό μέλος και Δημοσθένης Βουγιούκας, αναπληρωματικό μέλος, ως εισηγητής, σε αντικατάσταση του τακτικού μέλους Κωνσταντίνου Λαμπρινουδάκη, ο οποίος αν και εκλήθη νομίμως δεν παρέστη λόγω κωλύματος. Παρούσες, χωρίς δικαίωμα ψήφου, ήταν η Χαρίκλεια Λάτσιου, ΔΝ – νομικός ελεγκτής, ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Με την από 12.06.2023 (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/4350/12.06.2023) καταγγελία η Α ενημέρωσε την Αρχή ότι ο ιατρός Β προχώρησε σε επεξεργασία (ανάρτηση σε μέσο κοινωνικής δικτύωσης, instagram) προσωπικών της δεδομένων (φωτογραφιών της χωρίς απόκρυψη όλων των διακριτικών της γνωρισμάτων) χωρίς νόμιμη βάση, πέραν των σκοπών για τους οποίους είχε δώσει συγκατάθεση, ενώ είχε τη ρητή διαβεβαίωση του καταγγελλόμενου ιατρού ότι τα δεδομένα της θα χρησιμοποιηθούν μόνο για ιατρικούς σκοπούς και υπέβαλε καταγγελία στην Αρχή για παραβίαση των δικαιωμάτων διαγραφής, περιορισμού της επεξεργασίας και εναντίωσης, των άρθρων 17, 18 και 21 ΓΚΠΔ, αντίστοιχα. 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr Ειδικότερα, η Α ενημέρωσε την Αρχή ότι προσήλθε για πρώτη φορά στο ιατρείο του καταγγελλόμενου ιατρού τον Σεπτέμβριο του …, προκειμένου να ενημερωθεί σχετικά με τη διενέργεια δύο επεμβάσεων (…). Στην πρώτη αυτή επίσκεψη τον Σεπτέμβριο του … η Α υπέγραψε το έντυπο επεξεργασίας προσωπικών δεδομένων, στο οποίο αναφερόταν ότι η επεξεργασία αφορά αποκλειστικά ιατρικούς και επιστημονικούς σκοπούς. Κατά την αρχική αυτή επίσκεψη, η καταγγέλλουσα επέτρεψε στον ιατρό να προχωρήσει στην λήψη φωτογραφιών των χειρουργήσιμων σημείων (…), επειδή η περίπτωση αυτή ήταν ιδιαίτερη ιατρικά (…), με την ρητή διαβεβαίωση του ιατρού ότι οι φωτογραφίες θα χρησιμοποιηθούν μόνο για τους ως άνω ιατρικούς – επιστημονικούς σκοπούς, χωρίς να αποκαλύπτεται η ταυτότητά της. Στις … η καταγγέλλουσα επισκέφθηκε για δεύτερη φορά το ιατρείο του καταγγελλόμενου ιατρού, προκειμένου να γίνει η τελική ιατρική εκτίμηση προ του προγραμματισμένου για την … χειρουργείου. Πριν από την διενέργεια των χειρουργικών επεμβάσεων ο ιατρός σχεδίασε με μαρκαδόρο τα χειρουργήσιμα σημεία και έλαβε εκ νέου φωτογραφίες των σημείων αυτών για το αρχείο του. Τότε, η καταγγέλλουσα, όπως υποστηρίζει, επανέλαβε ότι δεν επιθυμεί καμία δημοσίευση φωτογραφίας της στο διαδίκτυο και τα μέσα κοινωνικής δικτύωσης. Σύμφωνα με την καταγγελία, η βοηθός του καταγγελλόμενου, Γ, την διαβεβαίωσε ότι δεν πρόκειται να δημοσιευθούν φωτογραφίες χωρίς την συναίνεσή της και ότι αυτές προορίζονται για το αρχείο του ιατρού. Στις … η καταγγέλλουσα προσήλθε εκ νέου στο ιατρείο του καταγγελλόμενου για την αφαίρεση των ραμμάτων και τον συνήθη μετεγχειρητικό έλεγχο, οπότε και ο καταγγελλόμενος προέβη εκ νέου στην φωτογράφιση των χειρουργηθέντων σημείων του σώματος. Και τότε, η καταγγέλλουσα, όπως υποστηρίζει δήλωσε εμφατικά – για τρίτη φορά – ότι δεν επιθυμεί την ανάρτηση των φωτογραφιών της στα μέσα κοινωνικής δικτύωσης που διατηρεί ο ιατρός. Παρά ταύτα, την επόμενη ημέρα, ήτοι την … η καταγγέλλουσα διαπίστωσε ότι οι φωτογραφίες που αφορούσαν την μία εκ των δύο επεμβάσεων (…) αναρτήθηκαν στις επίσημες σελίδες (προφίλ) που διατηρεί ο καταγγελλόμενος στο instagram και το facebook. Στις αναρτημένες φωτογραφίες, ο καταγγελλόμενος ιατρός είχε αφαιρέσει το πρόσωπό της, ωστόσο « (…) ενώ λοιπά ταυτοποιήσιμα στοιχεία μου, όπως … ήταν εμφανέστατα, συνοδευόμενα δε από ακριβή περιγραφή της επέμβασής μου! …». Ως εκ τούτου, η καταγγέλλουσα υποστηρίζει ότι: «Οποιοσδήποτε με γνώριζε και 2 θυμόταν ο,τιδήποτε από τα παραπάνω, θα μπορούσε ευχερώς να αντιληφθεί πως στις φωτογραφίες απεικονίζομαι εγώ, δηλαδή να με ταυτοποιήσει και να λάβει γνώση … ευαίσθητων, ιατρικών μου δεδομένων (…)». Αμέσως μόλις είδε τις φωτογραφίες η καταγγέλλουσα επικοινώνησε με την βοηθό του ιατρού μέσω viber, διαμαρτυρήθηκε για το γεγονός ότι ο ιατρός ανήρτησε τις φωτογραφίες χωρίς την ενημέρωση και την συγκατάθεσή της και ζήτησε την διαγραφή τους από όλα τα μέσα κοινωνικής δικτύωσης του ιατρού. Πράγματι, ο ιατρός ικανοποίησε το αίτημά της και οι φωτογραφίες αποαναρτήθηκαν από τα μέσα κοινωνικής δικτύωσης. Σύμφωνα με την καταγγελία οι σελίδες στα μέσα κοινωνικής δικτύωσης του ιατρού είναι ιδιαίτερα δημοφιλείς με … χιλιάδες ακολούθους (followers) instagram και … χιλιάδες στο facebook, ενώ οι φωτογραφίες της καταγγέλλουσας είχαν ήδη συγκεντρώσει … likes στο instagram και … likes με δύο σχόλια στο facebook μόλις μέσα σε λίγες ώρες. Παρά ταύτα, η Α καταγγέλλει ότι ο ιατρός ανήρτησε εκ νέου λίγους μήνες αργότερα (την …), τις φωτογραφίες της από την επέμβαση … στο επίσημο προφίλ του στο instagram, με περιγραφή της περίπτωσής της (π.χ. …), οι οποίες ήδη έχουν συγκεντρώσει … likes, παρά την ρητή εναντίωση και άρνησή της. Κατόπιν τούτου, η Α με την από … εξώδικη διαμαρτυρία – πρόσκληση – δήλωση προς τον χειρουργό τον κάλεσε να: α) « (…) αποσύρετε τις φωτογραφίες μου από τα μέσα κοινωνικής δικτύωσης και διαγράψετε αυτές από το αρχείο σας με βάση το άρ. 17 ΓΚΠΔ, άλλως επικουρικώς περιορίσετε τον σκοπό επεξεργασίας με βάση το άρ. 18 ΓΚΠΔ αποκλειστικά και μόνο σε ιατρικούς σκοπούς (…)» και β) «(…) όπως μου αποστείλετε πλήρες αντίγραφο του ιατρικού αρχείου μου που τηρείτε (μετά των φωτογραφιών και της σύμβασης επεξεργασίας προσωπικών μου δεδομένων (..)». Με την υποβληθείσα καταγγελία η Α διαμαρτύρεται ενώπιον της Αρχής για παραβίαση των δικαιωμάτων διαγραφής, περιορισμού της επεξεργασίας και εναντίωσης των άρθρων 17, 18 και 21 ΓΚΠΔ, αντίστοιχα, με την οποία ενημερώνει, κατ’ ακολουθία των ανωτέρω, την Αρχή ότι ο καταγγελλόμενος: «ανταποκρίθηκε μερικώς, με διαγραφή των δεδομένων μου από τη σελίδα στο instagram. Δεν έχει εισέτι ανταποκριθεί σε σχέση με το αίτημά μου για ικανοποίηση του δικαιώματος διαγραφής/περιορισμού της επεξεργασίας και του δικαιώματος εναντίωσης, ενώ επιπλέον, όπως μού δήλωσε η βοηθός του ιατρού, κα Γ σε σχετική επικοινωνία μας, 3 έχουν διαβιβαστεί τα προσωπικά μου δεδομένα σε τρίτη εταιρεία, η οποία διαχειρίζεται τα μέσα κοινωνικής δικτύωσης του ιατρού, χωρίς καμία προηγούμενη ενημέρωση και συγκατάθεση». Η Αρχή, κατά την εξέταση της καταγγελίας, κάλεσε με το υπ’ αρ. πρωτ. ΑΠΔ Γ/ΕΞΕ/1729/06.07.2023 έγγραφο τον καταγγελλόμενο ιατρό όπως υποβάλει πλήρεις διευκρινίσεις επί των καταγγελλόμενων. Σε απάντηση του ανωτέρω εγγράφου, ο καταγγελλόμενος ιατρός με την υπ’ αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/6332/11.09.2023 απάντησή του ενημέρωσε την Αρχή, μεταξύ άλλων, ότι: 1) η καταγγέλλουσα κατά το προεγχειρητικό στάδιο έλαβε και συμπλήρωσε έντυπο συναίνεσης για την επεξεργασία προσωπικών δεδομένων, στο οποίο υπάρχει συγκεκριμένο πεδίο για την λήψη των φωτογραφιών και την ανάρτησή τους χωρίς να αποκαλύπτεται η ταυτότητα του ασθενούς με άμεσο ή έμμεσο τρόπο. Το σχετικό πεδίο η καταγγέλλουσα συμπλήρωσε θετικά και ως εκ τούτου η ίδια δεν απέκλεισε την χρήση των φωτογραφιών της. 2) «Oι ληφθείσες φωτογραφίες υπέστησαν επεξεργασία προκειμένου να μην είναι δυνατό να προκύψει η ταυτότητα του προσώπου που απεικονίζεται. Έτσι αφαιρέθηκε το πρόσωπό της, περιοριστήκαμε στη δημοσίευση μόνο του … και εφόσον δεν υπήρχε κατά την κρίση μας κάποιο άλλο στοιχείο ικανό να ταυτοποιηθεί η ασθενής δημοσιεύτηκαν. Αδίκως λοιπόν με κατηγορεί η καταγγέλλουσα ότι δήθεν αγνοούσε ότι μας παρείχε το δικαίωμα ανάρτησης των φωτογραφιών της, αφού υπέγραψε σχετική συναίνεση λήψης των φωτογραφιών, χωρίς να απαγορεύσει τη δημοσίευσή τους επισημαίνοντας την άρνησή της στο σχετικό σημείο της αίτησης συναίνεσης». 3) «Μετά από λίγο καιρό, η καταγγέλλουσα επικοινώνησε με το ιατρείο και ζήτησε από τη βοηθό μου να κατέβουν οι φωτογραφίες που είχαν αναρτηθεί, καθώς δεν το επιθυμούσε η ίδια. Πράγματι, όπως και η ίδια ομολογεί (…) άμεσα και παρ’ όλη την προηγούμενη συναίνεσή της για χρήση/δημοσίευση των φωτογραφιών, ζήτησα να αφαιρεθούν από κάθε μέσο, όπως και έγινε. Πρέπει να επισημάνω ότι κατεβάσαμε όλες τις φωτογραφίες της ασθενούς, παρόλο που βρήκαμε το αίτημά της υπερβολικό, καθώς από κανένα στοιχείο των φωτογραφιών δεν μπορούσε να γίνει η ταυτοποίησή της (…)». 4) « (…) Περίπου τέσσερις μήνες αργότερα αναρτήσαμε, εκ παραδρομής και χωρίς να συνδέσουμε τις φωτογραφίες με την προηγούμενη στάση της 4 καταγγέλλουσας, παρόμοια φωτογραφία της, στην οποία όμως δεν υπήρχε ούτε το … της καταγγέλλουσας, ούτε οι … . Τούτο δε όχι προκειμένου να μη δυσαρεστήσουμε την καταγγέλλουσα, αφού δεν υπήρχε πρόθεση να ανεβάσουμε ξανά δικές της φωτογραφίες μετά τη δήλωσή της, αλλά επειδή μετά την αναφερθείσα προηγουμένως δυσαρέσκειά της για τη δημοσίευση των φωτογραφιών, έχω ζητήσει να γίνεται πάντα επεξεργασία όλων των φωτογραφιών των ασθενών και να αφαιρούνται όλα τα στοιχεία που πιθανόν ταυτοποιούν κάποιον ασθενή. Έτσι σεβόμενος απολύτως την επιθυμία της καταγγέλλουσας δεν υπήρξε εκ μέρους μου καμιά πρόθεση δημοσίευσης φωτογραφιών της, αλλά η δεύτερη ανάρτηση έγινε απολύτως εκ παραδρομής. Εξάλλου διαθέτω πολύ μεγάλο φωτογραφικό αρχείο παρόμοιων επεμβάσεων, καθώς και τη συναίνεση των ασθενών, ώστε να μην υπάρχει ανάγκη χρήσης των συγκεκριμένων φωτογραφιών». Καταλήγει δε ο καταγγελλόμενος ιατρός: 5) « Συνοψίζοντας, κατά την πρώτη ανάρτηση των φωτογραφιών είχαμε τη συναίνεση της καταγγέλλουσας και από τις φωτογραφίες ήταν αδύνατο να ταυτοποιηθεί, αφαιρέσαμε άμεσα τις φωτογραφίες ικανοποιώντας την επιθυμία της αν και την κρίναμε ως υπερβολική, εκ παραδρομής και χωρίς πρόθεση να ανεβάσουμε δικές της φωτογραφίες, αναρτήσαμε εκ νέου φωτογραφίες της και με την επίδοση του εξωδίκου ικανοποιήσαμε όλα όσα ζητούσε με αυτό. Έτσι ικανοποιήθηκαν όλα τα αιτήματα της κας Α». Ακολούθως, η καταγγέλλουσα Α, αφού έλαβε γνώση της ανωτέρω απάντησης του καταγγελλόμενου με την υπ’ αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/6790/27.09.2023 συμπληρωματική αίτησή της διερωτάται: «(…) Επίσης, είναι απορίας άξιον, πώς ενώ έχει προβεί σε τόσο εξαιρετική ανωνυμοποίηση (όπως ο ίδιος ισχυρίζεται) κατά την δεύτερη – εκ παραδρομής – ανάρτηση με τη λήψη της εξωδίκου δήλωσής μου, μπόρεσε αμέσως να αντιληφθεί ποιες είναι οι φωτογραφίες που με αφορούν και τις έσβησε από τη σελίδα του την ίδια μέρα; Επιπρόσθετα, γιατί χρειάστηκε να προβώ σε επίδοση εξωδίκου και επιπλέον σε καταγγελία στην ΑΠΔΠΧ ώστε να λάβει τα μέτρα που έπρεπε εξαρχής να εφαρμόσει κατόπιν του πρωτοασκηθέντος δικαιώματος εναντίωσης, ούτε ώστε να αποφευχθεί η δεύτερη – εκ παραδρομής – δημοσίευση;». Επιπλέον, εμμένοντας στο αντικείμενο της καταγγελίας υποστηρίζει, μεταξύ άλλων, ότι: « (…) 1) η συγκατάθεση που δόθηκε στον καταγγελλόμενη ήταν ανεπαρκής 5 (δεδομένου ότι η συγκατάθεση αφορούσε αποκλειστικά χρήση για ιατρικούς σκοπούς), ούτως ώστε να χρησιμοποιήσει τα δεδομένα μου κατά τον τρόπο και για τον σκοπό που τα χρησιμοποίησε (ανάρτηση στο διαδίκτυο για διαφημιστικούς – προωθητικούς σκοπούς), 2) παρά τη ρητή εναντίωσή μου προέβη δις σε ανάρτηση αυτών, έχοντας προχωρήσει σε επεξεργασία στην οποία δεν συναίνεσα και ενώ ήταν δυνατή η ταυτοποίησή μου, 3) διαβίβασε τα ευαίσθητα δεδομένα μου (φωτογραφίες μου και περιγραφή των ιατρικών πράξεων) σε τρίτους (στην αναφερόμενη από την κα Γ, τρίτη εταιρεία) χωρίς τη συγκατάθεσή μου, 4) δε μου γνωστοποίησε την ταυτότητα αυτών των τρίτων αποδεκτών, 5) δεν επιβεβαίωσε τα διαγραφή των δεδομένων μου από το αρχείο του, ούτε μου δήλωσε ότι θα περιορίσει τον σκοπό επεξεργασίας του με βάση το άρ. 18 ΓΚΠΔ αποκλειστικά και μόνο σε ιατρικούς σκοπούς και ως εκ τούτου ο καταγγελλόμενος έχει υποπέσει στις σχετικές εκ του Κανονισμού και του νόμου παραβάσεις». Τέλος, ο καταγγελλόμενος ιατρός, έχοντας λάβει γνώση της ανωτέρω συμπληρωματικής αίτησης της καταγγέλλουσας, με την υπ’ αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/7312/17.10.2023 απάντησή του στην Αρχή εστιάζει στην ιδιότητα της καταγγέλλουσας, ως …, επισημαίνοντας ότι εκ του λόγου τούτου «δεν δικαιούται να αναφέρει περί δήθεν μη ενημέρωσής της» και υποστηρίζει, αντικρούοντας τα καταγγελλόμενα, ότι: «το στοιχείο της αναγνώρισης κρίνεται απολύτως αντικειμενικά και προφανώς ο οποιοσδήποτε νοήμων άνθρωπος θα κατέληγε στο συμπέρασμα ότι η αναγνώριση της καταγγέλλουσας είναι αδύνατη, ιδιαίτερα όταν πρόκειται για τη συγκεκριμένη, η οποία διαμένει μόνιμα … και εκ του λόγου αυτού εξασθενεί απολύτως ακόμα και η απειροελάχιστη περίπτωση να αναγνωρισθεί». Τέλος, υποστηρίζει ο καταγγελλόμενος ότι ουδέποτε διαβίβασε δεδομένα της καταγγέλλουσας σε τρίτη εταιρεία, καθώς και ότι έχει ικανοποιήσει τα αιτήματα της καταγγέλλουσας, με εξαίρεση το αίτημα (υπαλλακτικό) της καταγγέλλουσας για διαγραφή του συνόλου του ιατρικού της φακέλου, καθώς εκ του νόμου οφείλει να το διατηρεί για συγκεκριμένο χρονικό διάστημα. Ακολούθως, η Αρχή κάλεσε με τα υπ’ αρ. πρωτ. Γ/ΕΞΕ/2652/02.10.2024 και Γ/ΕΞΕ/2653/02.10.2024 έγγραφα την Α και τον Β, αντίστοιχα, όπως παρουσιαστούν σε συνεδρίαση του Τμήματος της Αρχής την Τετάρτη 16.10.2024 προκειμένου να 6 συζητηθεί η προαναφερόμενη καταγγελία, καθώς και αυτεπαγγέλτως σε σχέση με το γεγονός της λήψης φωτογραφιών της καταγγέλλουσας και τη σχετική ενημέρωση μέσω του εντύπου της «ενημέρωσης & δήλωσης συναίνεσης αναφορικά με τα προσωπικά δεδομένα» για την εν γένει συμμόρφωση του καταγγελλόμενου ιατρού με τις απαιτήσεις των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ. Στη συνεδρίαση αυτή παρέστησαν οι Β και Α, μετά της πληρεξουσίας δικηγόρου της Νικολέτας Μυλωνά (ΑΜ ΔΣΑ …). Κατά τη συνεδρίαση αυτή, οι παριστάμενοι, αφού ανέπτυξαν τις απόψεις τους, έλαβαν προθεσμία έως τις 30.11.2024 για την υποβολή εγγράφων υπομνημάτων. Κατόπιν τούτου, η Α, διά της πληρεξουσίας δικηγόρου, υπέβαλε το από 30.10.2024 (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/8328/30.10.2024) υπόμνημα, με το οποίο, μεταξύ άλλων, για να ενισχύσει τον ισχυρισμό της ότι οι αναρτημένες φωτογραφίες της εμπίπτουν στην έννοια των δεδομένων προσωπικού χαρακτήρα, προσκομίζει απόφαση της λιθουανικής αρχής προστασίας δεδομένων VDAI, με την οποία η τελευταία δέχτηκε ότι η ανάρτηση φωτογραφιών μέρους του σώματος του καταγγέλλοντος, χωρίς να αποκαλύπτεται το πρόσωπό του, από τα λοιπά στοιχεία της ανάρτησης (εν προκειμένω, μήκος και το χρώμα των μαλλιών του ασθενούς, καθώς και το σημείο στο οποίο βρισκόταν το τατουάζ του) συνιστά επεξεργασία προσωπικών δεδομένων. Αντίστοιχα, ο Β υπέβαλε το από 04.11.2024 (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/8487/05.11.2024), λόγω προσωπικού κωλύματος, υπόμνημα. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ

1. Επειδή, από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού 2016/679, εφεξής ΓΚΠΔ) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. 7 Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ.1 στοιχ. στ΄ ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ ν. 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας της Α για παραβίαση των δικαιωμάτων διαγραφής, περιορισμού της επεξεργασίας και εναντίωσης των άρθρων 17, 18 και 21 ΓΚΠΔ, αντίστοιχα, εκ μέρους του ιατρού Β κατά την ανάρτηση φωτογραφιών μέρους του σώματός της σε μέσο κοινωνικής δικτύωσης του καταγγελλόμενου (instagram) μετά από την ανάκληση της σχετικής συγκατάθεσης που είχε αρχικώς παράσχει (δεύτερη ανάρτηση), στο μέτρο που διαπιστώνεται ότι έλαβε χώρα επεξεργασία δεδομένων ταυτοποιήσιμου προσώπου από τον υπεύθυνο επεξεργασίας και έτσι ιδρύεται αρμοδιότητα της Αρχής κατ΄ άρθρα 2 παρ. 1 ΓΚΠΔ και 2 ν. 4624/2019 να ασκήσει την ανωτέρω αρμοδιότητά της. Επιπλέον, από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. α’ και η΄ ΓΚΠΔ και 13 παρ. 1 στοιχ. η΄ ν.4624/2019, προκύπτει ότι η Αρχή έχει αυτεπαγγέλτως την αρμοδιότητα να ελέγξει στο πλαίσιο της καταγγελλόμενης παραβίασης δικαιωμάτων τη συμμόρφωση του καταγγελλόμενου ιατρού με τις απαιτήσεις των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ σε σχέση με την επεξεργασία προσωπικών δεδομένων της καταγγέλλουσας και τη σχετική ενημέρωση που υποχρεούται να παρέχει στο στάδιο της συλλογής των δεδομένων μέσω του εντύπου της «ενημέρωσης & δήλωσης συναίνεσης αναφορικά με τα προσωπικά δεδομένα» βάσει της υποχρέωσής του που απορρέει από την αρχή της λογοδοσίας του άρθρου 5 παρ. 2 ΓΚΠΔ.
2. Επειδή, το άρθρο 5 του ΓΚΠΔ καθορίζει τις αρχές επεξεργασίας που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, ορίζεται στην παράγραφο 1 ότι τα δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων: «α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα, διαφάνεια»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς (…), γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων») (…) ε) διατηρούνται υπό μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων των δεδομένων μόνο για το διάστημα που απαιτείται για τους σκοπούς της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα· τα δεδομένα προσωπικού χαρακτήρα 8 μπορούν να αποθηκεύονται για μεγαλύτερα διαστήματα, εφόσον τα δεδομένα προσωπικού χαρακτήρα θα υποβάλλονται σε επεξεργασία μόνο για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον, για σκοπούς επιστημονικής ή ιστορικής έρευνας ή για στατιστικούς σκοπούς, σύμφωνα με το άρθρο 89 παράγραφος 1 και εφόσον εφαρμόζονται τα κατάλληλα τεχνικά και οργανωτικά μέτρα που απαιτεί ο παρών κανονισμός για τη διασφάλιση των δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων («περιορισμός της περιόδου αποθήκευσης») (…)».
3. Επειδή, σύμφωνα με τα οριζόμενα, στη διάταξη του άρθρου 5 παρ. 2 του ΓΚΠΔ ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην παράγραφο 1 του άρθρου
4. Όπως έχει κρίνει η Αρχή1, με τον ΓΚΠΔ υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό σημείο του οποίου συνιστά η αρχή της λογοδοσίας στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να αποδεικνύει ο ίδιος και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ.
5. Επειδή, σύμφωνα και με το άρθρο 8 παρ. 1 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, το άρθρο 9Α του Συντάγματος και την αιτιολογική σκέψη 4 ΓΚΠΔ, το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δεν είναι απόλυτο, αλλά πρέπει να εκτιμάται σε σχέση με τη λειτουργία του στην κοινωνία και να σταθμίζεται με άλλα θεμελιώδη δικαιώματα, σύμφωνα με την αρχή της αναλογικότητας. Ο ΓΚΠΔ σέβεται όλα τα θεμελιώδη δικαιώματα και υιοθετεί τις ελευθερίες και αρχές που αναγνωρίζονται στον Χάρτη, ιδίως τον σεβασμό της ιδιωτικής και οικογενειακής ζωής, της κατοικίας και των επικοινωνιών, την προστασία των δεδομένων προσωπικού χαρακτήρα, την ελευθερία σκέψης, συνείδησης και θρησκείας, την ελευθερία έκφρασης και πληροφόρησης, την 1 Βλ. απόφαση Αρχής 26/2019, σκέψη 8, διαθέσιμη στην ιστοσελίδα της. 9 επιχειρηματική ελευθερία, το δικαίωμα πραγματικής προσφυγής και αμερόληπτου δικαστηρίου και την πολιτιστική, θρησκευτική και γλωσσική πολυμορφία.
6. Επειδή, σύμφωνα με τα οριζόμενα στις διατάξεις των άρθρων 2 παρ. 1 ΓΚΠΔ και 2 ν. 4624/2019 οι κανόνες προστασίας δεδομένων προσωπικού χαρακτήρα εφαρμόζονται «στην εν όλω ή εν μέρει, αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς στη μη αυτοματοποιημένη επεξεργασία τέτοιων δεδομένων τα οποία περιλαμβάνονται ή πρόκειται να περιληφθούν σε σύστημα αρχειοθέτησης». Εν προκειμένω, κρίσιμη προϋπόθεση για την εγκαθίδρυση της αρμοδιότητας της Αρχής τυγχάνει η διαπίστωση ότι οι επίμαχες αναρτημένες φωτογραφίες της καταγγέλλουσας μπορούν άμεσα ή έμμεσα να αποδοθούν σε συγκεκριμένο ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο και κατά συνέπεια συνιστούν δεδομένο προσωπικού χαρακτήρα της καταγγέλλουσας (άρθρο 4 στοιχ. 1 ΓΚΠΔ). Στην αιτιολογική σκέψη 26 ΓΚΠΔ επεξηγείται αναφορικά με τον προσδιορισμό της έννοιας αυτής: «Οι αρχές της προστασίας δεδομένων θα πρέπει να εφαρμόζονται σε κάθε πληροφορία, η οποία αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο. Τα δεδομένα προσωπικού χαρακτήρα που έχουν υποστεί ψευδωνυμοποίηση, η οποία θα μπορούσε να αποδοθεί σε φυσικό πρόσωπο με τη χρήση συμπληρωματικών πληροφοριών, θα πρέπει να θεωρούνται πληροφορίες σχετικά με ταυτοποιήσιμο φυσικό πρόσωπο. Για να κριθεί κατά πόσον ένα φυσικό πρόσωπο είναι ταυτοποιήσιμο, θα πρέπει να λαμβάνονται υπόψη όλα τα μέσα τα οποία είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν, όπως για παράδειγμα ο διαχωρισμός του, είτε από τον υπεύθυνο επεξεργασίας είτε από τρίτο για την άμεση ή έμμεση εξακρίβωση της ταυτότητας του φυσικού προσώπου. Για να διαπιστωθεί κατά πόσον κάποια μέσα είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν για την εξακρίβωση της ταυτότητας του φυσικού προσώπου, θα πρέπει να λαμβάνονται υπόψη όλοι οι αντικειμενικοί παράγοντες, όπως τα έξοδα και ο χρόνος που απαιτούνται για την ταυτοποίηση, λαμβανομένων υπόψη της τεχνολογίας που είναι διαθέσιμη κατά τον χρόνο της επεξεργασίας και των εξελίξεων της τεχνολογίας. Οι αρχές της προστασίας δεδομένων δεν θα πρέπει συνεπώς να εφαρμόζονται σε ανώνυμες πληροφορίες, δηλαδή πληροφορίες που δεν σχετίζονται προς ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο ή σε δεδομένα προσωπικού 10 χαρακτήρα που έχουν καταστεί ανώνυμα κατά τρόπο ώστε η ταυτότητα του υποκειμένου των δεδομένων να μην μπορεί ή να μην μπορεί πλέον να εξακριβωθεί. Ο παρών κανονισμός δεν αφορά συνεπώς την επεξεργασία τέτοιων ανώνυμων πληροφοριών, ούτε μεταξύ άλλων για στατιστικούς ή ερευνητικούς σκοπούς». Επιπλέον, στην Γνώμη 4/2007 σχετικά με την έννοια του όρου “δεδομένα προσωπικού χαρακτήρα” της Ομάδας Προστασίας Δεδομένων του άρθρου 29 επεξηγείται, αναφορικά με τα μέσα εξακρίβωσης της ταυτότητας ενός προσώπου ότι δεν αρκεί απλώς να υπάρχει υποθετικά η δυνατότητα διάκρισης ενός ατόμου, προκειμένου η ταυτότητά του να μπορεί να εξακριβωθεί, αλλά εάν, λαμβάνοντας υπόψη το σύνολο των μέσων που μπορεί ευλόγως να χρησιμοποιηθούν είτε από τον υπεύθυνο επεξεργασίας είτε από τρίτο η δυνατότητα αυτή δεν υπάρχει ή είναι αμελητέα, το πρόσωπο δεν θα πρέπει να θεωρείται ως πρόσωπο του οποίου η ταυτότητα μπορεί να εξακριβωθεί και οι πληροφορίες δεν θα πρέπει να θεωρούνται ως δεδομένα προσωπικού χαρακτήρα. Κατά την εφαρμογή του κριτηρίου “το σύνολο των μέσων που μπορούν ευλόγως να χρησιμοποιηθούν, είτε από τον υπεύθυνο επεξεργασίας, είτε από τρίτο" θα πρέπει να λαμβάνονται ειδικότερα υπόψη όλοι οι σχετικοί παράγοντες. Το κόστος εξακρίβωσης της ταυτότητας είναι ένας παράγοντας αλλά όχι ο μοναδικός. Θα πρέπει να λαμβάνονται υπόψη στο σύνολό τους ο επιδιωκόμενος σκοπός, ο τρόπος με τον οποίο διαρθρώνεται η επεξεργασία, το όφελος που προσδοκά ο υπεύθυνος επεξεργασίας, τα υπό διακύβευση συμφέροντα των ατόμων, καθώς και ο κίνδυνος οργανωτικών δυσλειτουργιών (π.χ. παραβιάσεις κανόνων απορρήτου) και οι τεχνικές αστοχίες. Από την άλλη μεριά, ο έλεγχος της εκπλήρωσης του κριτηρίου έχει δυναμικό χαρακτήρα, πράγμα που σημαίνει ότι πρέπει να λαμβάνεται υπόψη η πλέον πρόσφατη τεχνολογία κατά το χρόνο της επεξεργασίας και οι δυνατότητες ανάπτυξής της κατά τη διάρκεια της περιόδου επεξεργασίας των δεδομένων
8. Επειδή, εν προκειμένω, οι επίμαχες δύο φωτογραφίες της καταγγέλλουσας (πριν και μετά …), οι οποίες αναρτήθηκαν σε μέσο κοινωνικής δικτύωσης του καταγγελλόμενου χειρουργού (instagram), στις οποίες απεικονίζεται μέρος του 2 Γνώμη 4/2007 από 20.06.2007, σελ. 18-19 https://ec.europa.eu/justice/article-29/documentation/opinionrecommendation/files/2007/wp136_el.pdf διαθέσιμη στο σύνδεσμο 11 σώματός της με τίτλο «… και επί των οποίων έχουν τεθεί οι αναφορές «…», δεν συνιστούν καταρχήν πληροφορίες οι οποίες μπορούν ευχερώς να αποδοθούν από τρίτους3 (μέσο αναγνώστη/θεατή του συγκεκριμένου μέσου κοινωνικής δικτύωσης) στο πρόσωπο της καταγγέλλουσας. Συγκεκριμένα, οι επίμαχες φωτογραφίες στις οποίες απεικονίζεται μέρος του σώματος της καταγγέλλουσας, χωρίς να τίθεται επί αυτών άλλο προσδιοριστικό στοιχείο, από το οποίο έστω και έμμεσα μπορεί να εξακριβωθεί η ταυτότητα της καταγγέλλουσας (π.χ. μικρό όνομα4, ημερομηνία διενεργηθείσας επέμβασης) δεν συνιστούν καταρχήν δεδομένα ταυτοποιήσιμου προσώπου κατά την έννοια του άρθρου 4 στοιχ. 1 ΓΚΠΔ. Ούτε, εξάλλου, εμφαίνεται επί των αναρτημένων φωτογραφιών άλλο ιδιαίτερο χαρακτηριστικό στοιχείο ή γνώρισμα, όπως ήταν το τατουάζ στο σώμα του καταγγέλλοντος στην απόφαση της ομόλογης λιθουανικής Αρχής που προσκόμισε η καταγγέλλουσα με το υπόμνημά της, από το οποίο θα μπορούσε να προσδιοριστεί η ταυτότητά της από τρίτους. Αβασίμως, συνεπώς, προβάλλει η καταγγέλλουσα ότι η ταυτότητά της μπορούσε να εξακριβωθεί από «(…) λοιπά ταυτοποιήσιμα στοιχεία μου, όπως … ήταν εμφανέστατα, συνοδευόμενα δε από ακριβή περιγραφή της επέμβασής μου! Οποιοσδήποτε με γνώριζε και θυμόταν ο,τιδήποτε από τα παραπάνω, θα μπορούσε ευχερώς να αντιληφθεί πως στις φωτογραφίες απεικονίζομαι εγώ, δηλαδή να με ταυτοποιήσει και να λάβει γνώση … ευαίσθητων, ιατρικών μου δεδομένων», καθώς, πρώτον, τα λοιπά προσδιοριστικά στοιχεία που επικαλείται η καταγγέλλουσα (ήτοι …) δεν αφορούν την δεύτερη εξεταζόμενη ανάρτηση – επί της οποίας ερείδεται η καταγγελλόμενη παραβίαση των δικαιωμάτων – στην οποία, πάντως, όπως προέκυψε ο καταγγελλόμενος είχε προβεί στην απαλοιφή τους. Εξάλλου, δεύτερον, προκύπτει ότι τα ως άνω λοιπά προσδιοριστικά στοιχεία που επικαλείται η καταγγέλλουσα δεν είναι ικανά από μόνα τους και σε συνδυασμό με τα υπόλοιπα τιθέμενα επί των αναρτημένων φωτογραφιών στοιχεία (επωνυμία του ιατρού, μέθοδος επέμβασης που χρησιμοποιήθηκε) να οδηγήσουν ευχερώς στην ευρεία 3 Σύμφωνα με τα οριζόμενο στο άρθρο 4 στοιχ. 10 ΓΚΠΔ ως ««τρίτος» νοείται «οποιοδήποτε φυσικό ή νομικό πρόσωπο, δημόσια αρχή, υπηρεσία ή φορέας, με εξαίρεση το υποκείμενο των δεδομένων, τον υπεύθυνο επεξεργασίας, τον εκτελούντα την επεξεργασία και τα πρόσωπα τα οποία, υπό την άμεση εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, είναι εξουσιοδοτημένα να επεξεργάζονται τα δεδομένα προσωπικού χαρακτήρα», 4 Πρβλ. Γνώμη 4/2007 από 20.06.2007 ό.π. παράδειγμα 12, σελ.
9. 12 αποκάλυψη της ταυτότητάς της από τρίτους. Σε κάθε δε περίπτωση, το γεγονός ότι η καταγγέλλουσα μπορεί να αναγνωρίσει η ίδια τον εαυτό της στην επίμαχη φωτογραφία δεν την καθιστά ταυτοποιήσιμη από τρίτους, ούτε αποδείχθηκε κάτι τέτοιο. Βασίμως υποστηρίζει συναφώς ο καταγγελλόμενος ιατρός: «Επικαλέστηκε [η καταγγέλλουσα] …, στοιχεία που προφανέστατα είναι αδύνατο να ταυτοποιήσουν κάποιον, … . Αν υποθέταμε ότι είχε …, ίσως τίθετο (αν και καθ’ υπερβολή) θέμα ταυτοποίησης. …»
10. Ούτε, εισέτι, η καταγγέλλουσα αποδεικνύει ενώπιον της Αρχής κατά τρόπο αναμφισβήτητο τον ισχυρισμό της ότι: «οποιοσδήποτε με γνώριζε και θυμόταν ο,τιδήποτε από τα παραπάνω, θα μπορούσε ευχερώς να αντιληφθεί πως στις φωτογραφίες απεικονίζομαι εγώ, δηλαδή να με ταυτοποιήσει και να λάβει γνώση … ευαίσθητων, ιατρικών μου δεδομένων (…)», ώστε να μπορεί να γίνει δεκτός ο ισχυρισμός της περί ταυτοποίησης των αναρτημένων φωτογραφιών από τρίτους. Ωστόσο, από το σύνολο του φακέλου της υπόθεσης και λαμβάνοντας υπόψη τις ανωτέρω εννοιολογικές επεξηγήσεις από την αιτιολογική σκέψη 26 ΓΚΠΔ και την Γνώμη 4/2007, ιδίως, σε σχέση με την χρήση μέσων εξακρίβωσης της ταυτότητας ενός προσώπου από τον ίδιο τον υπεύθυνο επεξεργασίας, προκύπτει ότι οι επίμαχες φωτογραφίες της καταγγέλλουσας, οι οποίες αναρτήθηκαν σε μέσο κοινωνικής δικτύωσης του καταγγελλόμενου ιατρού (instagram), προέρχονται από το ιατρικό του αρχείο, στο οποίο είναι απαραίτητος πρωτίστως για λόγους ιατρικής τεκμηρίωσης ο προσδιορισμός και η επαλήθευση της ταυτότητας της καταγγέλλουσας καθ’ όλη την διάρκεια νόμιμης διατήρησής του κατ’ άρθρο 14 παρ. 4 στοιχ. α΄ ν.3418/2005 (ΦΕΚ Α΄287), ήτοι επί τουλάχιστον δεκαετίας. Εξάλλου, καθοριστικής σημασίας είναι, εν προκειμένω, ότι η επεξεργασία της ανάρτησης των φωτογραφιών επί της οποίας ερείδεται η καταγγελλόμενη παραβίαση δικαιωμάτων πραγματοποιήθηκε σε μέσο κοινωνικής δικτύωσης του ιδίου καταγγελλόμενου χειρουργού, ο οποίος σε κάθε περίπτωση ως υπεύθυνος επεξεργασίας του αρχείου που τηρεί λόγω της παροχής ιατρικής φροντίδας στην καταγγέλλουσα (πρωταρχικός σκοπός της αρχικής συλλογής των φωτογραφιών), έχει πάντως την δυνατότητα προσδιορισμού και επαλήθευσης της ταυτότητας της πελάτισσας/ασθενούς του, ακόμα και στις ανωνυμοποιημένες/ψευδωνυμοποιημένες (για το ευρύ διαδικτυακό κοινό) 5 Υπ’ αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/6332/11.09.2023 απάντηση στην Αρχή. 13 πληροφορίες που ανήρτησε
11. Η διαπίστωση αυτή ενισχύεται και από τον ισχυρισμό του καταγγελλόμενου ιατρού, ότι «(…) ερευνώντας τις εφαρμογές αντιληφθήκαμε ότι πράγματι εκ παραδρομής είχαμε ανεβάσει εκ νέου τις φωτογραφίες, χωρίς να τις συνδέσουμε με την συγκεκριμένη ασθενή και άμεσα (αυθημερόν) τις αποσύραμε και πάλι (…) επεξεργασμένες όμως κατά την πάγια πλέον τακτική μας, ώστε να εξαλειφθεί έστω και η παραμικρή περίπτωση ταυτοποίηση των ασθενών», καθώς και ότι «(…) ο δε εντοπισμός της φωτογραφίας της καταγγέλλουσας που έπρεπε να διαγραφεί κατόπιν επιθυμίας της, προφανέστατα έγινε με αντιπαραβολή των ανηρτημένων φωτογραφιών με τα αρχικά αρχεία τα οποία διατηρώ στους ιατρικούς φακέλους των ασθενών (…)». Συνεπώς, αβασίμως υποστηρίζει ο καταγγελλόμενος ιατρός ότι η δεύτερη (από …) ανάρτηση των επίμαχων φωτογραφιών, επί της οποίας ερείδεται η καταγγελλόμενη παραβίαση των δικαιωμάτων της καταγγέλλουσας, έγινε εκ παραδρομής, καθώς όπως και ο ίδιος συνομολογεί μπορούσε ευχερώς, ως υπεύθυνος επεξεργασίας, να ταυτοποιήσει τις φωτογραφίες που ανήρτησε (σε σχέση με τις πληροφορίες που ο ίδιος έθεσε επί αυτών - ιατρική μέθοδος που εφαρμόστηκε …), εκ του ιατρικού αρχείου και σε συνδυασμό με τις υπόλοιπες πληροφορίες που περιλαμβάνονται στον ιατρικό φάκελο της συγκεκριμένης ασθενούς7 και να τις αποδώσει στο πρόσωπο της καταγγέλλουσας, η δε πρόσθετη επεξεργασία (απαλοιφή … και λοιπών στοιχείων) σε σχέση με την πρώτη ανάρτηση δεν ήταν ικανή να αποκλείσει την δυνατότητα προσδιορισμού της ταυτότητας της καταγγέλλουσας από τον ίδιο τον καταγγελλόμενο ιατρό, ως υπεύθυνο επεξεργασίας. Κατ’ ακολουθία των ανωτέρω, η Αρχή διαπιστώνει, εν προκειμένω, ότι οι επίμαχες αναρτημένες φωτογραφίες μέρους του σώματος της καταγγέλλουσας επί των οποίων ερείδεται η εξεταζόμενη καταγγελία περί παραβίασης των δικαιωμάτων της συνιστούν προσωπικά δεδομένα της καταγγέλλουσας, δεδομένου ότι μπορούν να αποδοθούν 6 Βλ. σχετική απόφαση Ολλανδικού Δικαστηρίου με την οποία κρίθηκε ότι όταν ψευδώνυμα δεδομένα μπορούν με την χρήση συμπληρωματικών πληροφοριών να αποδοθούν σε συγκεκριμένο φυσικό πρόσωπο συνιστούν προσωπικά δεδομένα κατά τον ΓΚΠΔ, διαθέσιμη στο σύνδεσμο https://gdprhub.eu/index.php?title=Rb._Midden-Nederland_-_C/16/536914_/_HA_RK_22-78 7 Το άρθρο 14 παρ. 2 ν. 3418/2005 προβλέπει συγκεκριμένα ως ελάχιστο περιεχόμενο του ιατρικού φακέλου: «Τα ιατρικά αρχεία πρέπει να περιέχουν το ονοματεπώνυμο, το πατρώνυμο, το φύλο, την ηλικία, το επάγγελμα, τη διεύθυνση του ασθενή, τις ημερομηνίες της επίσκεψης, καθώς και κάθε άλλο ουσιώδες στοιχείο που συνδέεται με την παροχή φροντίδας στον ασθενή, όπως, ενδεικτικά και ανάλογα με την ειδικότητα, τα ενοχλήματα της υγείας του και το λόγο της επίσκεψης, την πρωτογενή και δευτερογενή διάγνωση ή την αγωγή που ακολουθήθηκε». 14 ευχερώς σε κάθε περίπτωση από καταγγελλόμενο ιατρό, ως υπεύθυνο επεξεργασίας, στο πρόσωπο της καταγγέλλουσας για τον προσδιορισμό και την επαλήθευση της ταυτότητάς της και ως εκ τούτου η Αρχή έχει αρμοδιότητα να επιληφθεί της υποβληθείσας καταγγελίας, κατ’ εφαρμογή των άρθρων 2 παρ. 1 ΓΚΠΔ και 2 ν. 4624/
13. Εξάλλου, και στο πλαίσιο της αρχής της λογοδοσίας κατ’ άρθρο 5 παρ.2 ΓΚΠΔ, προέκυψε ότι ο καταγγελλόμενος ιατρός βάσισε την περαιτέρω επεξεργασία των επίμαχων φωτογραφιών (εξαγωγή από ιατρικό αρχείο και ανάρτηση σε μέσο κοινωνικής δικτύωσης) στην ειδική συγκατάθεση της καταγγέλλουσας, όπως προκύπτει από το σχετικό έντυπο για την «Ενημέρωση & Δήλωση Συναίνεσης με τα προσωπικά δεδομένα», στο οποίο υπήρχε σχετικό χωρίο «