Αθήνα, 09-04-2025 Αριθ. Πρωτ.: 1243 ΑΠΟΦΑΣΗ 11/2025 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, συνήλθε, μετά από πρόσκληση του Προέδρου της, σε τακτική συνεδρίαση σε σύνθεση Τμήματος μέσω τηλεδιασκέψεως, στην έδρα της την 15-01-2025, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Στη συνεδρίαση παρέστησαν ο Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής Κωνσταντίνου Μενουδάκου, και οι Δημοσθένης Βουγιούκας και Μαρία Ψάλλα, αναπληρωματικά μέλη της Αρχής, σε αντικατάσταση των Κωνσταντίνου Λαμπρινουδάκη και Γρηγορίου Τσόλια, αντίστοιχα, οι οποίοι αν και εκλήθησαν νομίμως εγγράφως, δεν παρέστησαν λόγω κωλύματος. Στη συνεδρίαση παρέστη επίσης ο Νικόλαος Λίβος, ως εισηγητής. Παρούσες, χωρίς δικαίωμα ψήφου, ήταν η Ελένη Καπράλου ειδική επιστήμονας νομικός, ως βοηθός εισηγητή, και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του Τμήματος Διοικητικών Υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη τα παρακάτω: Με την υπ’ αριθ. πρωτ. Γ/ΕΙΣ/7713/05-06-2022 καταγγελία παραβίασης των διατάξεων αρμοδιότητας της Αρχής η Α(εφεξής «καταγγέλλουσα»), καταγγέλλει την Β (εφεξής «καταγγελλόμενη»), η οποία τυγχάνει ιδιώτης ιατρός με την ειδικότητα της γυναικολόγου και παρακολουθούσε την εγκυμοσύνη της καταγγέλλουσας κατά το χρονικό διάστημα από μήνα Σεπτέμβριο 2020 έως μήνα Οκτώβριο 2021, παραπονούμενη για: α) μη πλήρη ικανοποίηση του δικαιώματος πρόσβασης που συνίσταται στη μη χορήγηση του πλήρους ιατρικού της φακέλου, β) αθέμιτη πρόσβαση στον ατομικό ηλεκτρονικό φάκελο υγείας της μέσω της ιστοσελίδας https://ehealth.gov.gr, καθώς και γ) παράνομη διαβίβαση σε τρίτους των 1 προσωπικών δεδομένων που αφορούν την καταγγέλλουσα, σχετικά με την κατάσταση της υγείας της. Ειδικότερα, η καταγγέλλουσα ισχυρίζεται ότι στις 13 Οκτωβρίου 2021, μετά την γέννηση θνησιγενούς εμβρύου (…), ενημέρωσε εγγράφως την ως άνω γυναικολόγο ότι δεν επιθυμεί την συνέχιση της συνεργασίας τους, ζητώντας συγχρόνως αντίγραφο του πλήρους ιατρικού της φακέλου που όφειλε να τηρεί η εν λόγω ιατρός στο αρχείο της, σύμφωνα με το άρθρο 14 του Ν. 3418/2005 (Κώδικας Ιατρικής Δεοντολογίας). Ωστόσο, η εν λόγω ιατρός παρέδωσε σύμφωνα με την καταγγελία στις 21-10-2021 στον σύζυγο της καταγγέλλουσας ελλιπή ιατρικό φάκελο, καθώς αυτός δεν περιελάμβανε όλες τις εξετάσεις που είχαν διενεργηθεί κατά την παρακολούθηση της εγκυμοσύνης της, και συγκεκριμένα η καταγγελλόμενη δεν χορήγησε τα υπερηχογραφήματα που είχαν διενεργηθεί, επικαλούμενη ότι δεν τηρεί αρχείο με τους υπερήχους λόγω ευαίσθητων προσωπικών δεδομένων και ότι τα έχει ήδη χορηγήσει στην καταγγέλλουσα. Ακολούθως, η καταγγέλλουσα αναφέρει ότι την 01η Ιουνίου 2022 διαπίστωσε ότι κατά το διάστημα από τον μήνα Οκτώβριο 2021 έως τον μήνα Μάιο 2022, η ως άνω ιατρός, παρότι δεν ήταν πλέον θεράπουσα ιατρός της καταγγέλλουσας (η συνεργασία τους είχε λήξει ήδη από τις 13-10-2021), εκμεταλλευόμενη το δικαίωμα πρόσβασης στο σύστημα ηλεκτρονικού ιατρικού φακέλου (https://ehealth.gov.
- gr)που λόγω ιδιότητας της παρέχεται, απέκτησε επανειλημμένως αθέμιτη πρόσβαση σε προσωπικά δεδομένα της καταγγέλλουσας, χωρίς τη συγκατάθεσή της. Η καταγγέλλουσα επικαλείται δε, ότι σύμφωνα με το άρθρο 84 του Ν. 4600/2019 (ΦΕΚ Α΄, 43) για τον Ατομικό Ηλεκτρονικό Φάκελο Υγείας (ΑΗΦΥ), τον Ν. 3418/2005 (Κώδικας Ιατρικής Δεοντολογίας, ΦΕΚ Α΄, 287), και τον Ν. 3892/2010 για την ηλεκτρονική καταχώριση και εκτέλεση ιατρικών συνταγών και παραπεμπτικών ιατρικών εξετάσεων (ΦΕΚ Α΄, 189), η πρόσβαση οποιουδήποτε θεράποντος ιατρού στα δεδομένα προσωπικού χαρακτήρα ασθενή του, για το σκοπό παροχής υπηρεσιών υγείας, δεν θεμελιώνεται στη συγκατάθεση του ασθενή για την επεξεργασία των δεδομένων του, αλλά στην αυτοτελή νομική βάση της παροχής υπηρεσιών υγείας (άρθρο 9 παρ. 2 στοιχ. (η) του ΓΚΠΔ) από τον εκάστοτε θεράποντα ιατρό, καθώς και ότι οποιοσδήποτε άλλος ιατρός αποκτήσει πρόσβαση σε δεδομένα προσωπικού 2 χαρακτήρα προσώπου, το οποίο δεν έχει την ιδιότητα του ασθενή του, χωρίς τη συγκατάθεση του προσώπου αυτού, διενεργεί αθέμιτη πρόσβαση. Σε αντίθεση με τα ανωτέρω, σύμφωνα με τα καταγγελλόμενα, η ως άνω ιατρός κατά το χρονικό διάστημα από τις 05 Οκτωβρίου 2021 έως τις 31 Μαΐου 2022, παρότι δεν είχε την ιδιότητα της θεράπουσας ιατρού και δεν είχε λάβει τη συναίνεση της καταγγέλλουσας για την συγκεκριμένη πρόσβαση στα δεδομένα υγείας που την αφορούσαν, απέκτησε επανειλημμένως αθέμιτη πρόσβαση στον ηλεκτρονικό ιατρικό φάκελο της καταγγέλλουσας στο πληροφοριακό σύστημα https://ehealth.gov.gr, αντλώντας ιατρικές πληροφορίες που αφορούσαν την κατάσταση της υγείας της τελευταίας και εν συνεχεία διαβίβασε τις πληροφορίες αυτές σε τρίτα πρόσωπα. Η Αρχή, στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας απέστειλε στην καταγγελλόμενη το υπ’ αριθ. πρωτ. Γ/ΕΞΕ/2143/30-08-2022 έγγραφο προς παροχή απόψεων. Ακολούθως, η καταγγελλόμενη απάντησε στο ανωτέρω έγγραφο, με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/10473/27-09-2022 έγγραφό της, και συγκεκριμένα: α) Ως προς το παράπονο περί μη πλήρους ικανοποίησης του δικαιώματος πρόσβασης της καταγγέλλουσας, η καταγγελλόμενη ισχυρίσθηκε ότι: 1. Τήρησε πλήρες ιατρικό αρχείο, με όλα τα κατά νόμο απαραίτητα στοιχεία, συμπεριλαμβανομένου του συνόλου των κλινικών και παρακλινικών εξετάσεων οι οποίες διενεργήθηκαν. 2. Όλες οι εξετάσεις που διενεργήθηκαν τόσο κατά τη διάρκεια της εγκυμοσύνης της καταγγέλλουσας (εννέα συνολικά επισκέψεις), όσο και κατά την μοναδική της επίσκεψη μετά το αδόκητο συμβάν με το έμβρυο, καθώς και τα αποτελέσματα αυτών, όπως υπέρηχοι, καρδιοτοκογραφήματα, καμπύλες ανάπτυξης εμβρύου, report κύησης κλπ, παραδόθηκαν στην καταγγέλλουσα ενόψει της επίσκεψής της κατόπιν δικής της παραπομπής- σε ειδικό αιματολόγο προς περαιτέρω διερεύνηση των αιτιών για την διακοπή της κύησης με την απώλεια του εμβρύου. Μάλιστα, όπως ισχυρίζεται, σε κάθε υπέρηχο κύησης δόθηκε στην καταγγέλλουσα αναφορά (report) ανάπτυξης κυήματος και φωτογραφία και εξετάσεις κάθε μήνα, ενώ στην προτελευταία επίσκεψη έγινε καρδιοτοκογράφημα που δόθηκε στην ασθενή εκείνη τη στιγμή. 3 3. Περί τα μέσα Οκτωβρίου 2021, ο σύζυγος της καταγγέλλουσας, ανακοίνωσε στην καταγγελλόμενη ότι για ψυχολογικούς λόγους καλό θα ήταν να επισκεφθεί η καταγγέλλουσα έτερο γυναικολόγο, για την ετήσια παρακολούθησή της, ζητώντας της μάλιστα να μην επικοινωνήσει με την καταγγέλλουσα για να μην την αναστατώσει. 4. Εν συνεχεία, περί τα τέλη Οκτωβρίου με αρχές Νοεμβρίου 2021, και επί τη βάσει συναινέσεως εκ μέρους της καταγγέλλουσας που η καταγγελλόμενη υπέθεσε ως υφιστάμενη λόγω της συνεχούς συνοδείας της από τον σύζυγο κατά τις επισκέψεις στο ιατρείο της, παρέδωσε εις χείρας του συζύγου της καταγγέλλουσας το σύνολο των υπολειπόμενων εξετάσεων που τηρούσε στο αρχείο της, καθώς όλες οι υπόλοιπες ήταν ήδη εις χείρας της καταγγέλλουσας, είτε ενόψει της διερεύνησης των αιτιών της αιφνίδιας διακοπής της κύησης, είτε κατά την αποχώρησή της από το ιατρείο μετά το πέρας των επισκέψεών της. 5. Η καταγγέλλουσα επικαλείται ότι δεν παραδόθηκαν στον σύζυγό της τα αποτελέσματα των υπερήχων και δολίως δεν μνημονεύει πως αυτά τα είχε ήδη στο αρχείο της. 6. Η καταγγελλόμενη ισχυρίζεται τέλος, ότι κωλύεται να αναφερθεί με λεπτομέρειες στο σύνολο των διενεργηθέντων ιατρικών ελέγχων και εξετάσεων λόγω της υποχρέωσης τήρησης του ιατρικού απορρήτου στο πλαίσιο ενδεχόμενου διοικητικού ελέγχου εις βάρος της. β) Ως προς το παράπονο της καταγγέλλουσας περί αθέμιτης κατ’ εξακολούθηση πρόσβασης στον ατομικό ηλεκτρονικό φάκελο υγείας της στο σύστημα https://ehealth.gov.gr, η καταγγελλόμενη ισχυρίσθηκε ότι: 1. Η πρόσβαση στο εν λόγω ηλεκτρονικό αρχείο αφορά δυο χρονικές περιόδους. Η μεν πρώτη, κατά το διάστημα μηνός Οκτωβρίου έως μηνός Δεκεμβρίου 2021, αφορά την προσπάθεια εκ μέρους της να συγκεντρώσει όλο το υλικό και ιστορικό της καταγγέλλουσας, ώστε είτε ενόψει της παράδοσης του φακέλου στον σύζυγό της, είτε ενόψει ενημέρωσης του επόμενου θεράποντος ιατρού να είναι σε θέση να δώσει ορθές πληροφορίες για τα πραγματικά περιστατικά και το θεραπευτικό πρωτόκολλο που ακολουθήθηκε. Ακολούθως, η δεύτερη χρονική περίοδος κατά την οποία είχε πρόσβαση ήταν μετά από περίπου 5-6 μήνες, περί τα τέλη Μαΐου με αρχές Ιουνίου 2022, όταν η καταγγελλόμενη πληροφορήθηκε εντελώς τυχαία από άλλη ασθενή της 4 ότι η τελευταία συνάντησε συμπτωματικά την καταγγέλλουσα σε ιατρείο υπερήχων, και με τον τρόπο αυτό η καταγγελλόμενη πληροφορήθηκε ότι ενδεχομένως η καταγγέλλουσα εγκυμονούσε ξανά. Ενόψει του γεγονότος της τυχαίας αυτής πληροφόρησης (που συνέβη κατά την δεύτερη αυτή χρονική περίοδο), όπως ισχυρίζεται η καταγγελλόμενη, επανήλθε στη σκέψη της η υποχρέωσή της να συνδράμει την καταγγέλλουσα με οποιονδήποτε τρόπο της ζητηθεί, και με δεδομένη την εσφαλμένη, όπως αποδεικνύεται θεώρηση των πραγμάτων από την ίδια, περί τεκμαιρόμενης βούλησης της καταγγέλλουσας να σταθεί στο πλευρό της, έστω και εάν δεν ήταν πλέον η θεράπουσα ιατρός της, εισήλθε δυο ή τρεις φορές συνολικά στον ηλεκτρονικό της φάκελο κατά την ως άνω δεύτερη χρονική περίοδο στα τέλη Μαΐου αρχές Ιουνίου 2022, ώστε να θυμηθεί τι είχε συμβεί ενόψει της ενδεχόμενης νέας εγκυμοσύνης της. 2. Μετά την απώλεια του εμβρύου, ζητήθηκε από την καταγγέλλουσα η συνδρομή της να συστήσει κάποιον γυναικολόγο, ενδεικτικό του κλίματος που επικρατούσε και της εικόνας που δημιουργήθηκε για τον ρόλο της έστω και μετά την παράδοση του φακέλου, αλλά και σε κοινωνικό επίπεδο. Αυτός, όπως ισχυρίζεται, ήταν και ο κύριος λόγος που συνέχισε να προσπαθεί -ακόμα και μετά τη λήξη της συνεργασίας τους- να συνδράμει επιστημονικά στην αποκάλυψη των αιτιών απώλειας του νεογνού, καθώς γνώριζε καλά πόσο πολύ επιθυμούσε η καταγγέλλουσα να γίνει μητέρα και πόσο της στοίχησε το αδόκητο αυτό γεγονός. Ενόψει τούτων, θεώρησε καθήκον της, όπως εξηγεί, να παρέχει την οποιαδήποτε συνδρομή μπορούσε, έστω και ενημερωτικά προς άλλο συνάδελφο θεράποντα ιατρό, για μια υπόθεση που την συγκλόνισε, κυρίως γιατί ποτέ δεν προέκυψε με βεβαιότητα η αιτία της απώλειας του νεογνού. 3. Απέκτησε πρόσβαση στον ιατρικό φάκελο της καταγγέλλουσας συνολικά 6-7 φορές και όχι τόσες πολλές όσες φαίνονται στα έγγραφα που προσκομίζει η καταγγέλλουσα. 4. Δεν είχε κανένα προσδοκώμενο κέρδος ή όφελος από τις παραπάνω ενέργειές της, απεναντίας ήταν πραγματικά χαρούμενη με το ενδεχόμενο μιας νέας εγκυμοσύνης, ούσα υπεύθυνα σκεπτική αναφορικά με τον ρόλο της ως πρώην θεράπουσας ιατρού που χειρίστηκε την πρώτη εγκυμοσύνη, το δε τραγικό συμβάν απώλειας του εμβρύου την στιγμάτισε ως ιατρό και άνθρωπο και το μόνο που σκεφτόταν ήταν πως θα μπορούσε να είναι χρήσιμη στην προσπάθεια της καταγγέλλουσας. 5 γ) Τέλος, ως προς το παράπονο της διαβίβασης σε τρίτους των προσωπικών δεδομένων που την αφορούν (δεδομένα υγείας), η καταγγελλόμενη αρνείται την οποιαδήποτε διαβίβαση των δεδομένων της καταγγέλλουσας σε τρίτα πρόσωπα. Ισχυρίζεται ότι απλώς ρώτησε την κουμπάρα της καταγγέλλουσας και ασθενή της, η οποία γνώριζε ούτως ή άλλως την κατάσταση της εγκυμοσύνης της καταγγέλλουσας, εάν η καταγγέλλουσα εγκυμονεί, στο πλαίσιο της στρεβλής εικόνας που είχε περί καλής προαίρεσης της καταγγέλλουσας στο πρόσωπό της. Ακολούθως, η Αρχή απέστειλε στην καταγγέλλουσα το υπ’ αριθμ. πρωτ. Γ/ΕΞΕ/2721/27-10-2022 έγγραφο παροχής εγγράφων απόψεων επί της ως άνω απάντησης της καταγγελλόμενης. Η καταγγέλλουσα απάντησε στο έγγραφο αυτό της Αρχής με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/12057/24-11-2022 έγγραφο που απέστειλε, επαναλαμβάνοντας τους διαλαμβανόμενους στην καταγγελία ισχυρισμούς της, προσθέτοντας συμπληρωματικά και τα ακόλουθα, και συγκεκριμένα ότι: 1. Η υποχρέωση της καταγγελλόμενης δεν μπορεί να αναιρεθεί από το γεγονός ότι ορισμένα στοιχεία τα είχε ήδη στην κατοχή της, καθώς σε κάθε περίπτωση όφειλε να της χορηγήσει αντίγραφο όλων των ιατρικών πράξεων που είχε διενεργήσει στο ιατρείο της (υπερήχους, εξετάσεις doppler, καρδιοτοκογραφήματα, καμπύλη ανάπτυξης εμβρύου κ.ά.). 2. Αναφέρει δε, ότι κατά την διάρκεια των επισκέψεών της στο ιατρείο της καταγγελλόμενης για την παρακολούθηση της κύησης, της είχαν δοθεί αντίγραφα κάποιων μετρήσεων καθώς και κάποιες φωτογραφίες των υπερήχων. Από αυτά τα στοιχεία κάποια δεν αναγράφουν το όνομά της, ενώ σε κάποια άλλα αυτό έχει προστεθεί χειρόγραφα. Η καταγγέλλουσα προσκομίζει μάλιστα τα έγγραφα του ιατρικού φακέλου που της παραδόθηκαν από την καταγγελλόμενη και συγκεκριμένα προσκομίζει τον από 02-02-2021 υπέρηχο (μετρήσεις, διαγράμματα και εικόνες), τον από 16-03-2021 υπέρηχο (μετρήσεις, διαγράμματα και εικόνες), την από 11-06-2021 έκθεση ιστολογικής εξέτασης, τις από 16-06-2021 εξετάσεις αίματος, το από 21-062021 απαντητικό για την ανίχνευση μεταλλαγής γονιδίου. Ειδικότερα δε, ισχυρίζεται ότι η καμπύλη ανάπτυξης εμβρύου, η οποία δημιουργείται μόνο συνδυαστικά από περισσότερες εξετάσεις, δεν της χορηγήθηκε ποτέ. 3. Οι αιτηθείσες εξετάσεις είναι απαραίτητες για την διερεύνηση τυχόν ιατρικής αμέλειας της καταγγελλόμενης ιατρού, δεδομένου ότι σήμερα πλέον έχει 6 αποκλειστεί μέσω εξειδικευμένων εξετάσεων, κάθε γονιδιακή, αιματολογική ή κληρονομική αιτία θανάτου του εμβρύου. 4. Θεωρεί μάλιστα ότι η καταγγελλόμενη ιατρός, δεν ενήργησε από ενδιαφέρον για την ίδια ως ασθενή, αλλά εν γνώσει της και με πρόθεση, δεν της παρέδωσε τον πλήρη ιατρικό φάκελο είτε προκειμένου να αποκρύψει τα στοιχεία που την επιβαρύνουν, είτε να αποκρύψει ότι δεν τήρησε πλήρη ιατρικό φάκελο, και προκειμένου να προετοιμαστεί για πιθανή αγωγή εις βάρος της για ιατρική αμέλεια. Μετά την τελευταία μάλιστα επίσκεψή της στο ιατρείο της στις 22-07-2021, η καταγγελλόμενη δεν επικοινώνησε ποτέ ξανά μαζί της, πλην μιας φοράς, ούτε για τη φαρμακευτική αγωγή που ακολουθούσε μετά από δική της συνταγογράφηση, ούτε για την πορεία της καισαρικής τομής, ούτε από ενδιαφέρον για την ψυχολογική της κατάσταση ή προκειμένου να πληροφορηθεί τα αποτελέσματα της εξέτασής της από εξειδικευμένη αιματολόγο, στην οποία την είχε παραπέμψει η ίδια η καταγγελλόμενη. 5. Τέλος, από τον πίνακα ιστορικού του ηλεκτρονικού φακέλου της καταγγέλλουσας που προσκομίζει η τελευταία, φαίνεται ότι η καταγγελλόμενη εισήλθε στο σύστημα 4 φορές από την στιγμή που της ανακοίνωσε ότι λήγει η συνεργασία τους μέχρι και την ημέρα που της παραδόθηκε ο ελλιπής φάκελος (διάστημα από 13-10-2021 έως 21-10-2021), 9 φορές το διάστημα 22-10-2021 έως 25-01-2022, και μια ακόμα φορά στις 31-05-2022, οπότε και με τον τρόπο αυτό πληροφορήθηκε την εγκυμοσύνη της καταγγέλλουσας και όχι από κάποια ασθενή της, η οποία δήθεν αναγνώρισε την καταγγέλλουσα στον προθάλαμου ενός μη κατονομαζόμενου ιατρείου. Σε συνέχεια των ανωτέρω, η Αρχή κάλεσε με τις υπ’ αριθμ. πρωτ. Γ/ΕΞ/2669/03-10-2024 και Γ/ΕΞ/2670/03-10-2024 κλήσεις της, την Α και την Β αντίστοιχα, σε ακρόαση, προκειμένου να εκθέσουν τις απόψεις τους για την υπόθεση, στο Τμήμα της Αρχής στις 09 Οκτωβρίου 2024, ημερομηνία κατά την οποία η υπόθεση αναβλήθηκε για τις 30-10-2024. Κατά τη συνεδρίαση της 30ης-10-2024 του Τμήματος της Αρχής παρέστησαν μέσω τηλεδιάσκεψης η Α και ο δικηγόρος της Στέφανος Τοπάλης, καθώς επίσης ο δικηγόρος της Β Παναγιώτης Κότσαλης. Κατά την ακρόαση τα μέρη ανέπτυξαν τις απόψεις τους και στη συνέχεια, έλαβαν προθεσμία και κατέθεσαν εμπρόθεσμα, η μεν καταγγέλλουσα το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/9057/22- 7 11-2024 υπόμνημα, η δε καταγγελλόμενη το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/8942/19-11-2024 υπόμνημα. Ειδικότερα, η καταγγέλλουσα με το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/9057/22-11-2024 υπόμνημά της, επαναφέρει όσα επικαλέσθηκε με την υπό κρίση καταγγελία της, καθώς και την σχετική διευκρινιστική τοποθέτησή της ως απάντηση στο υπ’ αριθμ. πρωτ. Γ/ΕΞ/2721/27-10-2022 έγγραφο της Αρχής, συμπληρώνει δε ότι δεν έλαβε ποτέ, παρότι ζήτησε αντίγραφο του πλήρους ιατρικού της φακέλου, τα αποτελέσματα των αιματολογικών και ορμονολογικών εξετάσεων που έγιναν κατά τη διάρκεια της εγκυμοσύνης, την φαρμακευτική αγωγή που ακολουθήθηκε, τα στοιχεία των υπερήχων (μετρήσεις και φωτογραφίες) που έγιναν στο ιατρείο της καταγγελλόμενης κατά το 1ο και 2ο τρίμηνο της κύησης και το καρδιοτοκογράφημα που έγινε δυο ημέρες πριν το θάνατο του βρέφους. Η δε καταγγελλόμενη με το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/8942/19-11-2024 υπόμνημά της επαναλαμβάνει ότι παρέδωσε στην καταγγέλλουσα το σύνολο των αποτελεσμάτων των τακτικών εξετάσεων, ήτοι υπερήχους, καρδιοτοκογραφήματα, καμπύλες ανάπτυξης εμβρύου, report κύησης, καθ’ εκάστην επίσκεψη στο ιατρείο (10 συνολικά) και εν συνεχεία την παρέπεμψε σε ειδικό αιματολόγο για τη διερεύνηση των αιτίων απώλειας του βρέφους, και ότι αυτή τη στιγμή ουδέν στοιχείο τηρεί διότι παρέδωσε ό,τι είχε στη διάθεσή της προς την καταγγέλλουσα. Συμπληρώνει δε, ότι στην υπό κρίση καταγγελία μνημονεύονται ως μη παραδοθέντα μόνο τα αποτελέσματα των υπερήχων και όχι το σύνολο των λοιπών εξετάσεων, σε κάθε δε περίπτωση τη στιγμή αυτή ουδέν στοιχείο τηρεί η καταγγελλόμενη διότι παρέδωσε το σχετικό αρχείο στην καταγγέλλουσα. Κατά τα λοιπά, με το υπόμνημά της η καταγγελλόμενη επαναφέρει τους ισχυρισμούς που περιέχονται στο από 2709-2022 έγγραφό της ενώπιον της Αρχής. Η Αρχή, μετά από εξέταση όλων των στοιχείων του φακέλου και των διαμειφθέντων στην από 30-10-2024 συνεδρίαση, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου μετά από διεξοδική συζήτηση 8 ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ 1. Επειδή σύμφωνα με τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (EE) 2016/679 (εφεξής, ΓΚΠΔ) και του άρθρου 9 του Ν. 4624/2019 (ΦΕΚ Α ́ 137), η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της εν λόγω καταγγελίας, καθόσον τα κύρια παράπονα της καταγγέλλουσας περί μη πλήρους ικανοποίησης δικαιώματος πρόσβασης, αθέμιτης πρόσβασης σε ηλεκτρονικό σύστημα υγείας, καθώς και παράνομης κοινολόγησης με διαβίβαση δεδομένων σε τρίτα πρόσωπα ερείδονται επί επεξεργασίας δεδομένων προσωπικού χαρακτήρα της καταγγέλλουσας που λαμβάνει χώρα με αυτοματοποιημένα μέσα και ιδρύεται αρμοδιότητα της Αρχής (άρθρα 2 παρ. 1 ΓΚΠΔ και 2 Ν. 4624/2019). 2. Επειδή ειδικότερα, σύμφωνα με το άρθρο 4 στοιχ. 1 του ΓΚΠΔ «δεδομένα προσωπικού χαρακτήρα είναι κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων»)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου». Επιπροσθέτως, στο άρθρο 4 στοιχ. 15 ΓΚΠΔ ορίζονται ως «δεδομένα που αφορούν την υγεία τα δεδομένα προσωπικού χαρακτήρα, τα οποία σχετίζονται με τη σωματική ή ψυχική υγεία ενός φυσικού προσώπου, περιλαμβανομένης της παροχής υπηρεσιών υγειονομικής φροντίδας, και τα οποία αποκαλύπτουν πληροφορίες σχετικά με την κατάσταση της υγείας του». 3. Επειδή περαιτέρω, σύμφωνα με το άρθρο 4 στοιχ. 2 του ΓΚΠΔ επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι «κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα 9 προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή». 4. Επειδή σύμφωνα με το άρθρο 4 περ. 7 ΓΚΠΔ υπεύθυνος επεξεργασίας είναι «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους». 5. Επειδή σύμφωνα με το άρθρο 4 περ. 10 ΓΚΠΔ τρίτος είναι «οποιοδήποτε φυσικό ή νομικό πρόσωπο, δημόσια αρχή, υπηρεσία ή φορέας, με εξαίρεση το υποκείμενο των δεδομένων, τον υπεύθυνο επεξεργασίας, τον εκτελούντα την επεξεργασία και τα πρόσωπα τα οποία, υπό την άμεση εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, είναι εξουσιοδοτημένα να επεξεργάζονται τα δεδομένα προσωπικού χαρακτήρα». 6. Επειδή σύμφωνα με το άρθρο 5 παρ. 1, περ. α΄ ΓΚΠΔ «τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων» (αρχή της νομιμότητας, αντικειμενικότητας και διαφάνειας). 7. Επειδή ειδικότερα, προκειμένου μια πράξη επεξεργασίας να θεωρηθεί σύννομη (και σύμφωνη με το άρθρο 5 παρ. 1 ΓΚΠΔ) απαιτείται να συντρέχει ένας από τους νόμιμους λόγους επεξεργασίας που προβλέπονται στο άρθρο 6 παρ. 1 (στοιχ. α-στ) ΓΚΠΔ, ήτοι «1. Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις: α) το υποκείμενο των δεδομένων έχει συναινέσει στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς, β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ' αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης, γ) η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με 10 έννομη υποχρέωση του υπευθύνου επεξεργασίας, δ) η επεξεργασία είναι απαραίτητη για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου, ε) η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας, στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί. Το στοιχείο στ) του πρώτου εδαφίου δεν εφαρμόζεται στην επεξεργασία που διενεργείται από δημόσιες αρχές κατά την άσκηση των καθηκόντων τους». 8. Επειδή προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν νόμιμης επεξεργασίας, ήτοι επεξεργασίας σύμφωνα προς τις απαιτήσεις του ΓΚΠΔ, θα πρέπει να πληρούνται σωρευτικά οι προϋποθέσεις εφαρμογής και τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ, όπως προκύπτει και από την απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης (ΔΕΕ) της 16-01-2019 στην υπόθεση C496/2017 Deutsche Post AG κατά HauptzollamtKoln.1 Η ύπαρξη ενός νομίμου θεμελίου (άρθ. 6 ΓΚΠΔ) δεν απαλλάσσει τον υπεύθυνο επεξεργασίας από την υποχρέωση τήρησης των αρχών (άρθ. 5 παρ. 1 ΓΚΠΔ) αναφορικά με τον θεμιτό χαρακτήρα, την αναγκαιότητα και την αναλογικότητα καθώς και την αρχή της ελαχιστοποίησης. Σε περίπτωση κατά την οποία παραβιάζεται κάποια εκ των προβλεπομένων στο άρθρο 5 παρ. 1 ΓΚΠΔ αρχών, η εν λόγω επεξεργασία παρίσταται ως μη νόμιμη (αντικείμενη στις διατάξεις του ΓΚΠΔ) και παρέλκει η εξέταση των προϋποθέσεων εφαρμογής των νομικών βάσεων του άρθρου 6 ΓΚΠΔ2. Έτσι, η κατά παράβαση των αρχών του άρθρου 5 ΓΚΠΔ μη 1 «57. Ωστόσο, κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει να είναι σύμφωνη, αφενός προς τις αρχές που πρέπει να τηρούνται ως προς την ποιότητα των δεδομένων, τις οποίες θέτει το άρθρο 6 της οδηγίας 95/46 ή το άρθρο 5 του κανονισμού 2016/679 και, αφετέρου, προς τις βασικές αρχές της νόμιμης επεξεργασίας δεδομένων που απαριθμεί το άρθρο 7 της οδηγίας αυτής ή το άρθρο 6 του κανονισμού αυτού (πρβλ. αποφάσεις της 20ής Μαΐου 2003, ÖsterreichischerRundfunk κ.λπ., C465/00, C-138/01 και C-139/01, EU:C:2003:294, σκέψη 65, καθώς και της 13ης Μαΐου 2014, GoogleSpain και Google, C-131/12, EU:C:2014:317, σκέψη 71) ». 2 Πρβλ. ΣτΕ 517/2018 παρ. 12: «[...] προκειµένου τα δεδοµένα προσωπικού χαρακτήρα να τύχουν νόµιµης επεξεργασίας, απαιτείται σε κάθε περίπτωση να συντρέχουν σωρευτικά οι προϋποθέσεις του άρθρου 4 παρ. 1 του ν. 2472/1997, που µεταξύ άλλων, ορίζει ότι τα δεδοµένα πρέπει να συλλέγονται και να υφίστανται επεξεργασία κατά τρόπο θεµιτό και νόµιµο, για σαφείς και νόµιµους 11 νόμιμη συλλογή και επεξεργασία των δεδομένων προσωπικού χαρακτήρα δεν θεραπεύεται από την ύπαρξη νόμιμου σκοπού και νομικής βάσης.3 9. Επειδή περαιτέρω δε, σύμφωνα με το άρθρο 9 παρ. 1 και 2 περ. η) «1. Απαγορεύεται η επεξεργασία δεδομένων προσωπικού χαρακτήρα που αποκαλύπτουν τη φυλετική ή εθνοτική καταγωγή, τα πολιτικά φρονήματα, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις ή τη συμμετοχή σε συνδικαλιστική οργάνωση, καθώς και η επεξεργασία γενετικών δεδομένων, βιομετρικών δεδομένων με σκοπό την αδιαμφισβήτητη ταυτοποίηση προσώπου, δεδομένων που αφορούν την υγεία ή δεδομένων που αφορούν τη σεξουαλική ζωή φυσικού προσώπου ή τον γενετήσιο προσανατολισμό. 2. Η παράγραφος 1 δεν εφαρμόζεται στις ακόλουθες περιπτώσεις: (…) η) η επεξεργασία είναι απαραίτητη για σκοπούς προληπτικής ή επαγγελματικής ιατρικής, εκτίμησης της ικανότητας προς εργασία του εργαζομένου, ιατρικής διάγνωσης, παροχής υγειονομικής ή κοινωνικής περίθαλψης ή θεραπείας ή διαχείρισης υγειονομικών και κοινωνικών συστημάτων και υπηρεσιών βάσει του ενωσιακού δικαίου ή του δικαίου κράτους μέλους ή δυνάμει σύμβασης με επαγγελματία του τομέα της υγείας και με την επιφύλαξη των προϋποθέσεων και των εγγυήσεων που αναφέρονται στην παράγραφο 3. 3. Τα δεδομένα προσωπικού χαρακτήρα που αναφέρονται στην παράγραφο 1 μπορεί να τύχουν επεξεργασίας για τους σκοπούς που προβλέπονται στην παράγραφο 2 στοιχείο η), όταν τα δεδομένα αυτά υποβάλλονται σε επεξεργασία από ή υπό την ευθύνη επαγγελματία που υπόκειται στην υποχρέωση τήρησης του επαγγελματικού απορρήτου βάσει του δικαίου της Ένωσης ή κράτους μέλους ή βάσει κανόνων που θεσπίζονται από αρμόδιους εθνικούς φορείς ή από άλλο πρόσωπο το οποίο υπέχει επίσης υποχρέωση τήρησης του απορρήτου βάσει του δικαίου της Ένωσης ή κράτους μέλους ή βάσει κανόνων που θεσπίζονται από αρμόδιους εθνικούς φορείς». σκοπούς...Εφόσον συντρέχουν οι προϋποθέσεις του άρθρου 4 παρ. 1 του ν. 2472/1997 (νόµιµη συλλογή και επεξεργασία δεδοµένων για σαφείς και νόµιµους σκοπούς), εξετάζεται περαιτέρω αν συντρέχουν και οι προϋποθέσεις της διατάξεως του άρθρου 5 παρ. 2 του ν. 2472/1997 [νοµικές βάσεις]». Επίσης, πρβλ. ΣτΕ σε Ολοµέλεια 2285/2001 παρ. 10: «[...] Μόνο δε εάν συντρέχουν οι παραπάνω βασικές προϋποθέσεις, έχουν εφαρµογή οι διατάξεις των άρθρων 5 και 7 του Ν. 2472/1997, οι οποίες επιβάλλουν ως περαιτέρω πρόσθετη, κατ’ αρχήν, προϋπόθεση νόµιµης επεξεργασίας δεδοµένων προσωπικού χαρακτήρα συγκεκριµένου προσώπου, τη συγκατάθεση αυτού». 3 Βλ. Απόφαση 26/2019 ΑΠΔ , σκ. 5. Πρβλ. Απόφαση 38/2004 ΑΠΔ, και 12/2022 ΑΠΔ. 12 10. Επειδή περαιτέρω, σύμφωνα με το άρθρο 15 ΓΚΠΔ «1. Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και στις ακόλουθες πληροφορίες: α) τους σκοπούς της επεξεργασίας, β) τις σχετικές κατηγορίες δεδομένων προσωπικού χαρακτήρα, γ) τους αποδέκτες ή τις κατηγορίες αποδεκτών στους οποίους κοινολογήθηκαν ή πρόκειται να κοινολογηθούν τα δεδομένα προσωπικού χαρακτήρα, ιδίως τους αποδέκτες σε τρίτες χώρες ή διεθνείς οργανισμούς, δ) εάν είναι δυνατόν, το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα προσωπικού χαρακτήρα ή, όταν αυτό είναι αδύνατο, τα κριτήρια που καθορίζουν το εν λόγω διάστημα, ε) την ύπαρξη δικαιώματος υποβολής αιτήματος στον υπεύθυνο επεξεργασίας για διόρθωση ή διαγραφή δεδομένων προσωπικού χαρακτήρα ή περιορισμό της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που αφορά το υποκείμενο των δεδομένων ή δικαιώματος αντίταξης στην εν λόγω επεξεργασία, στ) το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή, ζ) όταν τα δεδομένα προσωπικού χαρακτήρα δεν συλλέγονται από το υποκείμενο των δεδομένων, κάθε διαθέσιμη πληροφορία σχετικά με την προέλευσή τους, η) την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που προβλέπεται στο άρθρο 22 παράγραφοι 1 και 4 και, τουλάχιστον στις περιπτώσεις αυτές, σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων. (…) 3. Ο υπεύθυνος επεξεργασίας παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία (…) Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα και εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό, η ενημέρωση παρέχεται σε ηλεκτρονική μορφή που χρησιμοποιείται συνήθως (…)». 11. Επειδή, στις πρόσφατες Κατευθυντήριες Γραμμές 1/2022 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (εφεξής «ΚΓ 1/2022 ΕΣΠΔ») αναφορικά με τα δικαιώματα των υποκειμένων των δεδομένων – δικαίωμα πρόσβασης, επεξηγείται ότι το δικαίωμα πρόσβασης αποτελείται από τρία συστατικά στοιχεία: α) την 13 επιβεβαίωση για το κατά πόσον ή όχι δεδομένα προσωπικού χαρακτήρα υφίστανται επεξεργασία, β) την πρόσβαση σε αυτά και γ) την παροχή πληροφοριών σχετικά με την επεξεργασία4. Διευκρινίζεται, περαιτέρω, ότι κρίσιμος χρόνος για την αξιολόγηση της συνδρομής του πρώτου προαναφερόμενου στοιχείου (δηλ. της επεξεργασίας προσωπικών δεδομένων) από τον υπεύθυνο επεξεργασίας είναι ο χρόνος άσκησης του δικαιώματος και η ικανοποίησή του προϋποθέτει την ύπαρξη των προσωπικών δεδομένων (διαθεσιμότητα) κατά τον χρόνο αυτό5. 12. Επειδή, σύμφωνα με το άρθρο 14 Κώδικα Ιατρικής Δεοντολογίας (Ν. 3418/2005) «1. Ο ιατρός υποχρεούται να τηρεί ιατρικό αρχείο, σε ηλεκτρονική ή μη μορφή, το οποίο περιέχει δεδομένα που συνδέονται αρρήκτως ή αιτιωδώς με την ασθένεια ή την υγεία των ασθενών του. Για την τήρηση του αρχείου αυτού και την επεξεργασία των δεδομένων του εφαρμόζονται οι διατάξεις του Ν. 2472/1997 (ΦΕΚ 50 Α’). 2. Τα ιατρικά αρχεία πρέπει να περιέχουν το ονοματεπώνυμο, το πατρώνυμο, το φύλο, την ηλικία, το επάγγελμα, τη διεύθυνση του ασθενή, τις ημερομηνίες της επίσκεψης, καθώς και κάθε άλλο ουσιώδες στοιχείο που συνδέεται με την παροχή φροντίδας στον ασθενή, όπως, ενδεικτικά και ανάλογα με την ειδικότητα, τα ενοχλήματα της υγείας του και το λόγο της επίσκεψης, την πρωτογενή και δευτερογενή διάγνωση ή την αγωγή που ακολουθήθηκε. 3. Οι κλινικές και τα νοσοκομεία τηρούν στα ιατρικά τους αρχεία και τα αποτελέσματα όλων των κλινικών και παρακλινικών εξετάσεων. 4. Η υποχρέωση διατήρησης των ιατρικών αρχείων ισχύει: α) Στα ιδιωτικά ιατρεία και τις λοιπές μονάδες πρωτοβάθμιας φροντίδας υγείας του ιδιωτικού τομέα, για μία δεκαετία από την τελευταία επίσκεψη του ασθενή. β) Σε κάθε άλλη περίπτωση, για μία εικοσαετία από την τελευταία επίσκεψη του ασθενή». 4 Βλ. Κατευθυντήριες Γραμμές 1/2022 του ΕΣΠΔ σχετικά με τα δικαιώματα των υποκειμένων των δεδομένων – Δικαίωμα πρόσβασης (28 Μαρτίου 2023), σκ. 3, διαθέσιμες στην ιστοσελίδα https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012022-datasubject-rights-right-access_el (εφεξής «ΚΓ 1/2022»). 5 ΚΓ 1/2022, σκ. 37 επ. (με παραπομπή στην απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης στην υπόθεση C-553/07, 7 Μαΐου 2009, College van burgemeester en wethouders van Rotterdam κατά M.E.E. Rijkeboer σχετικά με το δικαίωμα πρόσβασης σε πληροφορίες σχετικά με τους αποδέκτες ή τις κατηγορίες αποδεκτών όσον αφορά το παρελθόν): Η αξιολόγηση από την πλευρά του υπευθύνου επεξεργασίας των δεδομένων που υποβάλλονται σε επεξεργασία αντικατοπτρίζει όσο το δυνατόν περισσότερο την κατάσταση όταν ο υπεύθυνος επεξεργασίας λαμβάνει το αίτημα και η απάντηση θα πρέπει να καλύπτει όλα τα δεδομένα που είναι διαθέσιμα κατά τη συγκεκριμένη χρονική στιγμή. Ως εκ τούτου, οι υπεύθυνοι επεξεργασίας δεν υποχρεούνται να παρέχουν δεδομένα προσωπικού χαρακτήρα τα οποία επεξεργάστηκαν στο παρελθόν, αλλά δεν έχουν πλέον στη διάθεσή τους. 14 13. Επειδή εν προκειμένω, σχετικά με τη μη ικανοποίηση δικαιώματος πρόσβασης, η οποία συνίσταται στην μη χορήγηση πλήρους ιατρικού φακέλου στην ασθενή, προέκυψε ότι η καταγγελλόμενη παρά τον αρχικό της ισχυρισμό στο από 13-10-2021 μήνυμα ηλεκτρονικού ταχυδρομείου ότι δεν τηρεί αρχείο, τηρούσε αρχείο, το οποίο όμως ήταν ελλιπές (ενδεικτικά δεν τηρούνταν οι εικόνες και τα αποτελέσματα των υπερήχων) και χορηγήθηκε στην καταγγέλλουσα τμηματικά, είτε κατά τις επισκέψεις της στο ιατρείο της καταγγελλόμενης, είτε κατά την παραπομπή της σε ειδικό αιματολόγο, είτε μετά από το από 13-10-2021 αίτημα του συζύγου της, οπότε και χορήγησε περί τα τέλη Οκτωβρίου με αρχές Νοεμβρίου 2021 τις υπολειπόμενες εξετάσεις που τηρούσε στο αρχείο της, όπως αναφέρει η ίδια η καταγγελλόμενη στο υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/10473/27-09-2022 έγγραφο. Η δε καταγγέλλουσα στο υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/12057/24-11-2022 έγγραφο παροχής διευκρινίσεων που παρείχε στην Αρχή, αναφέρει ότι κατά την διάρκεια των επισκέψεών της στο ιατρείο της καταγγελλόμενης για την παρακολούθηση της κύησης, της είχαν δοθεί αντίγραφα κάποιων μετρήσεων, καθώς και κάποιες φωτογραφίες των υπερήχων, ενώ από αυτά τα στοιχεία κάποια δεν αναγράφουν το όνομά της, ενώ σε κάποια άλλα αυτό έχει προστεθεί χειρόγραφα, προσκομίζει μάλιστα και τα έγγραφα του ιατρικού φακέλου που της παραδόθηκαν από την καταγγελλόμενη και συγκεκριμένα προσκομίζει τον από 02-02-2021 υπέρηχο (μετρήσεις, διαγράμματα και εικόνες), τον από 16-03-2021 υπέρηχο (μετρήσεις, διαγράμματα και εικόνες), την από 11-06-2021 έκθεση ιστολογικής εξέτασης, τις από 16-06-2021 εξετάσεις αίματος, το από 21-06-2021 απαντητικό για την ανίχνευση μεταλλαγής γονιδίου. 14. Επειδή περαιτέρω, από τη μελέτη όλων των στοιχείων της υπόθεσης και με βάση τα διαλαμβανόμενα στην ανωτέρω προηγηθείσα σκέψη, η Αρχή διαπιστώνει, εν προκειμένω, ότι δεν δύναται να στοιχειοθετηθεί παραβίαση του δικαιώματος πρόσβασης της καταγγέλλουσας, σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 15 ΓΚΠΔ. Και τούτο, διότι κατά τον χρόνο άσκησης του δικαιώματος πρόσβασης προέκυψε ότι όσα ιατρικά έγγραφα τηρούνταν στο αρχείο της καταγγελλόμενης (στον ιατρικό φάκελο της καταγγέλλουσας) κατά την ημέρα άσκησης του αιτήματος πρόσβασης (13-10-2021), χορηγήθηκαν στην καταγγέλλουσα εμπροθέσμως από την καταγγελλόμενη ιατρό. Σχετικά δε με τα υπόλοιπα ιατρικά έγγραφα, αυτά που είχαν ήδη παραδοθεί στην καταγγέλλουσα κατά τις επισκέψεις της στο ιατρείο της 15 καταγγελλόμενης ως πρωτότυπα δεν είχαν εξαρχής περιληφθεί στο αρχείο της καταγγελλόμενης, ενώ όσα χορηγήθηκαν στην καταγγέλλουσα κατά την παραπομπή της σε ειδικό αιματολόγο δεν τηρούνταν πλέον στο αρχείο της καταγγελλόμενης κατά την ημέρα άσκησης του αιτήματος πρόσβασης. Για τον λόγο αυτό τυγχάνει απορριπτέος ως αλυσιτελώς προβαλλόμενος ο ισχυρισμός της καταγγέλλουσας ότι η υποχρέωση της καταγγελλόμενης δεν μπορεί να αναιρεθεί από το γεγονός ότι ορισμένα στοιχεία τα είχε η καταγγέλλουσα ήδη στην κατοχή της, καθώς σε κάθε περίπτωση όφειλε να της χορηγήσει αντίγραφο όλων των ιατρικών πράξεων που είχε διενεργήσει στο ιατρείο της, δεδομένου ότι κρίσιμο στοιχείο για την ικανοποίηση του δικαιώματος πρόσβασης, όπως προαναφέρθηκε, είναι ακριβώς η ύπαρξη των προσωπικών δεδομένων στο αρχείο του υπευθύνου επεξεργασίας κατά τον χρόνο άσκησης του δικαιώματος6. Τέλος, τα έγγραφα που δεν χορηγήθηκαν μετά το από 13-10-2021 αίτημα πρόσβασης της καταγγέλλουσας είτε δεν είχαν εξαρχής περιληφθεί σε αυτοματοποιημένη επεξεργασία/σύστημα αρχειοθέτησης της καταγγελλόμενης (άρθρο 14 του Ν. 3418/2005 -Κώδικας Ιατρικής Δεοντολογίας), ώστε να δύναται η τελευταία να ικανοποιήσει το σχετικό αίτημα για τη χορήγηση αντιγράφων, είτε είχαν περιληφθεί και εν συνεχεία χορηγηθεί στην καταγγέλλουσα. Ενόψει των ανωτέρω, τυγχάνει απορριπτέος ως αβάσιμος και ο ισχυρισμός της καταγγέλλουσας ότι οι αιτηθείσες εξετάσεις είναι απαραίτητες για την διερεύνηση τυχόν ιατρικής αμέλειας της καταγγελλόμενης ιατρού, δεδομένου ότι κρίσιμο στοιχείο για την ικανοποίηση του δικαιώματος πρόσβασης είναι η ύπαρξη των προσωπικών δεδομένων κατά τον χρόνο άσκησης του δικαιώματος, και όχι ο σκοπός χρήσης αυτών. Επομένως, σύμφωνα και με τα ως άνω αναλυτικώς εκτεθέντα ως προς το σκέλος αυτό, η καταγγελία κρίνεται απορριπτέα. 15. Επειδή περαιτέρω, ως προς την αθέμιτη πρόσβαση στον ατομικό ηλεκτρονικό φάκελο της καταγγέλλουσας μέσω της ιστοσελίδας https://ehealth.gov.gr, η καταγγελλόμενη συνομολογεί ότι πράγματι είχε πρόσβαση σε αυτόν κατά τα επίμαχα χρονικά διαστήματα. Ειδικότερα, ισχυρίζεται ότι η πρόσβαση που απέκτησε κατά τους μήνες Οκτώβριο-Νοέμβριο 2021 οφειλόταν στην προσπάθειά της να 6 Βλ. ΚΓ 1/2022, σκ. 13. 16 συγκεντρώσει το υλικό ενόψει της παράδοσης του φακέλου στον σύζυγο, προκειμένου, όπως αναφέρει, να είναι σε θέση να δώσει «ορθές πληροφορίες για τα πραγματικά περιστατικά και το θεραπευτικό πρωτόκολλο που ακολουθήθηκε», αλλά και να παρέχει «όλες τις πληροφορίες αν και εφόσον της ζητηθεί από τον επόμενο θεράποντα ιατρό». Περαιτέρω, για το επόμενο χρονικό διάστημα, κατά τους μήνες Δεκέμβριο 2021-Μάιο 2022, η καταγγελλόμενη επικαλείται λόγους ιατρικού (επιστημονικού), αλλά και ανθρώπινου ενδιαφέροντος, καθώς την βασάνιζε η απώλεια του εμβρύου, και μόλις πληροφορήθηκε από κοινό γνωστό ότι η καταγγέλλουσα είναι και πάλι έγκυος, εισήλθε στον ηλεκτρονικό της φάκελο, προκειμένου-όπως αναφέρει- να «θυμηθεί τι ακριβώς είχε συμβεί ενόψει της ενδεχόμενης νέας εγκυμοσύνης», την οποία πλέον όμως, παρακολουθούσε άλλος ιατρός. Ωστόσο, οι ως άνω ισχυρισμοί της καταγγελλόμενης δεν μπορούν να δικαιολογήσουν την πρόσβασή της στον ατομικό ηλεκτρονικό φάκελο της καταγγέλλουσας, δεδομένου ότι λόγω της λύσης της μεταξύ τους σύμβασης παροχής ιατρικών υπηρεσιών που είχε προηγηθεί, για την πρόσβαση αυτή δεν υπήρχε εξουσιοδότηση, αλλά η πρόσβαση ήταν αθέμιτη και έλαβε χώρα εν αγνοία της καταγγέλλουσας. 16. Επειδή ο ΑΜΚΑ, σύμφωνα με τη νομολογία της Αρχής7, συνιστά απλό δεδομένο προσωπικού χαρακτήρα, καθόσον από την επεξεργασία του ΑΜΚΑ μπορεί να προσδιορισθεί αμέσως ή εμμέσως η ταυτότητα του υποκειμένου του. Ο ΑΜΚΑ δεν αποκαλύπτει από μόνος του το παραμικρό ευαίσθητο δεδομένο προσωπικού χαρακτήρα του εκάστοτε ενδιαφερομένου υποκειμένου. Με τη χρήση του ΑΜΚΑ, ωστόσο, δύναται σαφώς να αποκαλυφθεί η ηλικία του εκάστοτε ενδιαφερομένου υποχρέου, η οποία συνιστά επίσης απλό δεδομένο προσωπικού χαρακτήρα. Εν προκειμένω, η καταγγελλόμενη ιατρός απέκτησε πρόσβαση στον ηλεκτρονικό ιατρικό φάκελο υγείας της καταγγέλλουσας και προέβη σε επεξεργασία των δεδομένων προσωπικού χαρακτήρα που αφορούσαν την κατάσταση της υγείας της, 7 Βλ. απόφαση υπ’ αριθμ. 56/2010 της Αρχής (Σκ. 12) διαθέσιμη στην ιστοσελίδα της Αρχής: https://www.dpa.gr/el/enimerwtiko/prakseisArxis/i-ypohreotiki-anagrafi-toy-amka-tonemplekomenon-iatron-kai-farmakopoion , καθώς και την υπ’ αριθμ. 7/2015 γνωμοδότηση της Αρχής διαθέσιμη εδώ: https://www.dpa.gr/index.php/el/enimerwtiko/prakseisArxis/horigisi-adeias-gia-tihorigisi-dedomenon-ygeias-asthenoys-se-trito-gia 17 χωρίς να προκύπτει ότι είχε ληφθεί η συγκατάθεση του υποκειμένου8. Ειδικότερα εν προκειμένω, διαπιστώνεται ότι η καταγγελλόμενη ως υπεύθυνος επεξεργασίας προέβη συγκεκριμένα σε καταχώριση των στοιχείων ταυτοποίησης της καταγγέλλουσας, τα οποία τηρούσε στο επαγγελματικό της αρχείο (ενδεικτικά όνομα, επώνυμο, ΑΜΚΑ κλπ) και τα οποία άλλωστε δεν ισχυρίζεται ότι είχε διαγράψει, και ακολούθως σε αναζήτηση μέσω αυτών πληροφοριών στο ηλεκτρονικό σύστημα υγείας. Με τους ανωτέρω τρόπους, η καταγγελλόμενη επεξεργάστηκε δεδομένα ειδικής κατηγορίας (δεδομένα υγείας) της καταγγέλλουσας, χωρίς να υφίσταται το νομικό προς τούτο θεμέλιο, εν αγνοία της καταγγέλλουσας, χωρίς να της παρέχει πλέον ιατρικές υπηρεσίες και χωρίς να συντρέχει κάποιος εκ των σκοπών του άρθρου 9 παρ. 2, ιδίως διότι η καταγγέλλουσα είχε ήδη δηλώσει στην καταγγελλόμενη ότι δεν επιθυμούσε να συνεχισθεί η μεταξύ τους σύμβαση παροχής υπηρεσιών υγείας (βλ. και άρθρο 9 παρ. 3 ΓΚΠΔ). Για τους ανωτέρω λόγους, οι εν λόγω πράξεις επεξεργασίας της καταγγελλόμενης έλαβαν χώρα κατά παράβαση του άρθρου 5 παρ. 1 περ. α΄ ΓΚΠΔ9. 17. Επειδή, τέλος, από τα στοιχεία του φακέλου δεν αποδείχθηκε ότι πράγματι έλαβε χώρα διαβίβαση σε τρίτους των δεδομένων υγείας από την καταγγελλόμενη, και ως εκ τούτου ο σχετικός ισχυρισμός της καταγγέλλουσας τυγχάνει απορριπτέος ως προδήλως αβάσιμος. 18. Επειδή κατόπιν τούτων διαπιστώνεται ότι η καταγγελλόμενη ως υπεύθυνος επεξεργασίας α) δεν είχε στη διάθεσή της όλα τα αιτηθέντα προσωπικά δεδομένα του ιατρικού φακέλου της καταγγέλλουσας, πλην των ιατρικών εγγράφων που παρέδωσε στον σύζυγό της μετά το από 13-10-2021 αίτημά του, καθώς και των στοιχείων που χρησιμοποίησε για την είσοδο στο ηλεκτρονικό σύστημα υγείας (όνομα, επώνυμο, ΑΜΚΑ κλπ), κατά τη χρονική στιγμή που ασκήθηκε το δικαίωμα πρόσβασης, β) προέβη σε αθέμιτη και μη νόμιμη επεξεργασία των στοιχείων της καταγγέλλουσας (ΑΜΚΑ, ονοματεπώνυμο κλπ), τα οποία τηρούσε στο επαγγελματικό της αρχείο, με καταχώριση αυτών στο ηλεκτρονικό σύστημα υγείας και αναζήτηση 8 Βλ. και την υπ’ αριθμ. 138/2013 απόφαση της Αρχής (ιδίως σκ. 2 και 3γ) διαθέσιμη στην ιστοσελίδα της Αρχής: https://www.dpa.gr/el/enimerwtiko/prakseisArxis/dioikitikos-eleghos-sto-systimailektronikis-syntagografisis 9 Πρβλ. απόφαση 68/2022 ΑΠΔΠΧ, σκέψη 17. 18 πληροφοριών για την κατάσταση της υγείας της καταγγέλλουσας, αποκτώντας με τον τρόπο αυτό αθέμιτη, μη δεοντολογική και παράνομη πρόσβαση σε ιατρικές πληροφορίες της καταγγέλλουσας, εν αγνοία της τελευταίας και χωρίς να νομιμοποιείται προς τούτο, κατά παράβαση των αρχών της νομιμότητας και αντικειμενικότητας του άρθρου 5 παρ. 1 α’ ΓΚΠΔ, και γ) τέλος, δεν αποδεικνύεται διαβίβαση των δεδομένων αυτών σε τρίτα πρόσωπα. Κατόπιν των ανωτέρω, παρέλκει η εξέταση των προϋποθέσεων εφαρμογής των νομικών βάσεων του άρθρου 6 ΓΚΠΔ, όπως προαναφέρεται και στη σκέψη 8 της παρούσας. 19. Επειδή η παραβίαση των βασικών αρχών για την επεξεργασία όπως ανωτέρω αναλυτικώς εκτέθηκε, επισύρει την επιβολή των διοικητικών κυρώσεων του άρθρου 83 παρ. 5 στοιχ. α΄ του ΓΚΠΔ. Σύμφωνα δε με τον ΓΚΠΔ (Αιτιολογική Σκέψη 148) προκειμένου να ενισχυθεί η επιβολή των κανόνων του παρόντος Κανονισμού, κυρώσεις, συμπεριλαμβανομένων των διοικητικών προστίμων, θα πρέπει να επιβάλλονται για κάθε παράβαση του παρόντος Κανονισμού, επιπρόσθετα ή αντί των κατάλληλων μέτρων που επιβάλλονται από την εποπτική αρχή σύμφωνα με τον παρόντα Κανονισμό. 20. Επειδή η Αρχή με βάση τα ανωτέρω, κρίνει ότι η επιβολή διορθωτικού μέτρου δεν αρκεί για την αποκατάσταση της συμμόρφωσης με τις διατάξεις του ΓΚΠΔ που έχουν παραβιαστεί και ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ του ΓΚΠΔ επιπλέον και αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 του ΓΚΠΔ τόσο προς αποκατάσταση της συμμόρφωσης, όσο και για την κύρωση της παράνομης συμπεριφοράς.10 21. Επειδή περαιτέρω η Αρχή, έλαβε υπόψη τα κριτήρια επιμέτρησης του προστίμου που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ, την παράγραφο 5 του ίδιου άρθρου που έχει εφαρμογή στην παρούσα υπόθεση και τις Κατευθυντήριες γραμμές 4/2022 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων για τον υπολογισμό διοικητικών προστίμων για τους σκοπούς του Κανονισμού 2016/679, οι οποίες εγκρίθηκαν στις 24/5/2023, καθώς και τα πραγματικά δεδομένα της εξεταζόμενης υπόθεσης και ιδίως: 10 Βλ. ΟΕ 29, Κατευθυντήριες γραμμές και την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του κανονισμού 2016/679 WP253, σελ. 6 19
- i)Το γεγονός ότι η καταγγελλόμενη υπό την ιδιότητά της ως υπεύθυνος επεξεργασίας παραβίασε την προβλεπόμενη από το άρθρο 5 παρ. 1 εδ. α’ αρχή της νοµιµότητας και αντικειµενικότητας, ήτοι παραβίασε θεµελιώδη αρχή του ΓΚΠ∆ για την προστασία των δεδοµένων προσωπικού χαρακτήρα.
- ii)Το γεγονός ότι η τήρηση των αρχών που προβλέπονται από τη διάταξη του άρθρου 5 παρ. 1 του ΓΚΠ∆ είναι κεφαλαιώδους σηµασίας, πρωτίστως δε, η αρχή της νοµιµότητας, ώστε εάν εκλείπει αυτή να καθίσταται εξ’ αρχής παράνοµη η επεξεργασία, ακόµη και εάν έχουν τηρηθεί οι λοιπές αρχές επεξεργασίας. iii) Το γεγονός ότι η καταγγελλόμενη σύμφωνα με όσα παραδέχεται και η ίδια εκ προθέσεως προέβη σε παράνομη επεξεργασία των προσωπικών δεδομένων της καταγγέλλουσας με σκοπό να λάβει γνώση πληροφοριών που αφορούσαν την κατάσταση της υγείας της, ήτοι η παράβαση προκλήθηκε εν γνώσει της καταγγελλόμενης ιατρού και δεν μπορεί να αποδοθεί σε αμέλειά της.
- iv)Το γεγονός ότι η παράνομη επεξεργασία δεν έλαβε χώρα άπαξ, αλλά επανειλημμένως κατά το υπό κρίση χρονικό διάστημα (Οκτώβριος 2021-Μάιος 2022).
- v)Το γεγονός ότι δεν υφίστανται προηγούμενες σχετικές παραβάσεις της καταγγελλόμενης.
- vi)Το γεγονός ότι η καταγγελλόμενη δεν καθυστέρησε να ανταποκριθεί στα έγγραφα της Αρχής και συνεργάστηκε στην παροχή διευκρινίσεων. vii) Το γεγονός ότι η παράνομη επεξεργασία είχε ως αποτέλεσμα να αποκτήσει η καταγγελλόμενη πρόσβαση σε δεδομένα που αφορούσαν την κατάσταση της υγείας της καταγγέλλουσας, δηλαδή σε δεδομένα ειδικών κατηγοριών, για τα οποία ισχύει αυστηρότερο πλαίσιο προστασίας. viii) Το γεγονός ότι από τα στοιχεία που τέθηκαν υπόψη της Αρχής και με βάση τα οποία διαπίστωσε την ανωτέρω παράβαση του ΓΚΠΔ, δεν προκύπτει ότι ο υπεύθυνος επεξεργασίας προκάλεσε με την επίμαχη επεξεργασία υλική ζημία στο θιγόμενο πρόσωπο. 22. Βάσει των ανωτέρω, η Αρχή αποφασίζει ομόφωνα ότι πρέπει να επιβληθεί στην καταγγελλόμενη ως υπεύθυνη επεξεργασίας η αναφερόμενη στο διατακτικό διοικητική κύρωση, η οποία κρίνεται ανάλογη με τη βαρύτητα της παράβασης. 20 ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή, Επιβάλλει στην καταγγελλόμενη Β ως υπεύθυνη επεξεργασίας το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αρμόζει στην συγκεκριμένη περίπτωση, σύμφωνα με τις ειδικότερες περιστάσεις αυτής, συνολικού ύψους πέντε χιλιάδων (5.000) ευρώ, για την ως άνω διαπιστωθείσα παράβαση του άρθρου 5 παρ. 1 περ. α’, όπως αυτή ανωτέρω εξειδικεύτηκε, σύμφωνα με τα άρθρα 58 παρ. 2 στοιχ. θ΄ και 83 παρ. 5 στοιχ. α’ ΓΚΠΔ. Ο Αναπληρωτής Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 21