Γνωμοδότηση επί του σχεδίου υπουργικής απόφασης «Τήρηση Πληροφοριακού Συστήματος Παρακολούθησης Μονάδων Ψυχικής Υγείας», που υπέβαλε στην Αρχή το Υπου

Αθήνα, 18-03-2014 Αρ θ. Πρωτ.: Γ/ΕΞ/1788/18-03-2014 ΑΡΧΗ ΠΡΟ ΤΑ ΙΑ Ε ΟΜΕΝΝ ΠΡΟ ΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΓΝΜΟΟΤΗΣΗ 2/2014 Η Αρχή Προστασίας εδοένων Προσωπ κού Χαρακτήρα, συνήλθε ετά από πρόσκληση του Προέδρου της σε συνεδρίαση την 12η Μαρτίου 2014 στο κατάστηά της, αποτελούενη από τα τακτ κά έλη Π. Χρ στόφορο, Πρόεδρο, Λ. Κοτσαλή, . Μπρ όλα, Π. Τσαντίλα, ως ε σηγητή, κα το αναπληρωατ κό έλος Π. Ροντογ άννη, επίσης ως ε σηγητή, σε αντ κατάσταση του έλους Α. Συβώνη, ο οποίος εάν κα εκλήθη νοίως κα εγγράφως δεν προσήλθε. εν προσήλθαν επίσης, αν κα εκλήθησαν νοίως κα εγγράφως τα τακτ κά έλη Κ. Χρ στοδούλου κα Α. Ι. Μεταξάς κα το αναπληρωατ κό έλος Γ. Λαζαράκος. Στη συνεδρίαση παρέστησαν, χωρίς δ καίωα ψήφου, η Γ. Παναγοπούλου, ε δ κή επ στήων-ελέγκτρ α, ως βοηθός ε σηγήτρ α κα η Ε. Παπαγεωργοπούλου, υπάλληλος του τήατος δ ο κητ κών κα ο κονο κών υποθέσεων, ως γραατέας, ετά από εντολή του Προέδρου. Ο έτερος βοηθός ε σηγητής Φ. Μίτλεττον, ε δ κός επ στήων-νο κός ελεγκτής, δεν παρέστη λόγω απουσίας σε υπηρεσ ακή αποστολή. Η Αρχή συνεδρίασε προκε ένου να γνωοδοτήσε , σύφωνα ε το άρθρο 19 παρ. 1 στο χ. θ΄ του ν. 2472/1997, επί του σχεδίου υπουργ κής απόφασης «Τήρηση Πληροφορ ακού Συστήατος Παρακολούθησης Μονάδων Ψυχ κής Υγείας», που υπέβαλε στην Αρχή το Υπουργείο Υγείας, στα πλαίσ α της εξέτασης της γνωστοποίησης στην Αρχή λε τουργίας αρχείου ε ευαίσθητα δεδοένα των ωφελούενων χρηστών/ληπτών υπηρεσ ών ψυχ κής υγείας από ονάδες ψυχ κής υγείας. Το Υπουργείο Υγείας ( εύθυνση Ψυχ κής Υγείας) γνωστοποίησε στην Αρχή ε το ε αρ. πρωτ. ΓΝ/ΕΙΣ/390/22-03-2013 έγγραφό του τη σύσταση κα έναρξη λε τουργίας αρχείου ε ευαίσθητα δεδοένα των ωφελούενων χρηστών/ληπτών 1 υπηρεσ ών ψυχ κής υγείας από ονάδες ψυχ κής υγείας, δυνάε της ε αρ. Υ5α,β/ΓΠ.ο κ.39321 Απόφασης της Υφυπουργού Υγείας (ΦΕΚ 453/Τεύχος Β/16.04.2010). Ο σκοπός της επεξεργασίας του αρχείου είνα ο έλεγχος των δαπανών (προϋπολογ στ κά κα απολογ στ κά στο χεία) των χρηατοδοτούενων από το Υπουργείο ονάδων ψυχ κής υγείας. Τα προσωπ κά δεδοένα των χρηστών/ληπτών ψυχ κής υγείας που υφίσταντα επεξεργασία περ λαβάνουν ονοατεπώνυο, φύλο, ηλ κία, τόπο όν ης κατο κίας, ΑΜΚΑ, ασφαλ στ κό φορέα, ηεροηνία κα τρόπο προσέλευσης, ένδε ξη αν πρόκε τα γ α νέο ή επαναλαβανόενο λήπτη, αρ θό επ σκέψεων κα θεραπευτ κών πράξεων ην αίως, λε τουργ κότητα ασθενούς, ύπαρξη ο κογενε ακού περ βάλλοντος, δ άγνωση, υποστηρ κτ κό περ βάλλον, στο χεία δ καστ κού συπαραστάτη (τα τελευταία τρία γ α χρόν ους ασθενείς), κ.ά. Η παραπάνω γνωστοποίηση του Υπουργείου επείχε κα θέση αίτησης γ α άδε α από την Αρχή βάσε του άρθρου 7 ν. 2472/

1. Η Αρχή, ετά από εξέταση της γνωστοποίησης κα του σχετ κού νο κού πλα σίου, επ σήανε ε το ε αρ. πρωτ. ΓΝ/ΕΞ/390-1/30-05-2013 έγγραφό της ότ η ε αρ θ. Υ5α,β/ΓΠ.ο κ.39321 απόφαση δεν παρέχε την απαραίτητη νο κή βάση γ α την επεξεργασία των ευαίσθητων δεδοένων από το Υπουργείο Υγείας. Κ αυτό γ ατί η εν λόγω απόφαση αναφέρετα αποκλε στ κά σε ποσοτ κή εκτίηση/αποτύπωση στο χείων των ονάδων ψυχ κής υγείας που αφορούν στους χρήστες/λήπτες υπηρεσ ών ψυχ κής υγείας, δηλαδή στην επεξεργασία αποκλε στ κά στατ στ κών στο χείων κα όχ δεδοένων προσωπ κού χαρακτήρα. 8ς εκ τούτου, η Αρχή κάλεσε το Υπουργείο να θεσοθετήσε την απα τούενη νο κή βάση γ α την επεξεργασία, προκε ένου να προχωρήσε στην αναλυτ κότερη εξέταση της υπόθεσης κα δίως των όρων κα προϋποθέσεων γ α την έκδοση άδε ας. Λίγους ήνες ετά κα χωρίς να έχε υπάρξε σχετ κή ενηέρωση της Αρχής από το Υπουργείο, υποβλήθηκαν στην Αρχή καταγγελίες από ονάδες ψυχ κής υγείας αναφορ κά ε το υπ. αρ. πρωτ. Υ5β/Γ.Π.ο κ.63818/28-06-2013 έγγραφο του Υπουργείου που τους υποχρέωνε σε δ αβίβαση αναλυτ κών δεδοένων ωφελούενων χρηστών/ληπτών υπηρεσ ών ψυχ κής υγείας προς τη  εύθυνση Ψυχ κής Υγείας του Υπουργείου. Συγκεκρ ένα πρόκε τα γ α τ ς ε αρ. πρωτ. Γ/ΕΙΣ/4588/08-07-2013, Γ/ΕΙΣ/4587/08-07-2013, Γ/ΕΙΣ/4491/04-07-2013 κα Γ/ΕΙΣ/4613/09-07-2013 καταγγελίες, από τ ς οποίες η Αρχή πληροφορήθηκε κα την έκδοση νέων υπουργ κών αποφάσεων γ α το ίδ ο ζήτηα. 2 Εν συνεχεία, ε την ε αρ. πρωτ. ΓΝ/ΕΙΣ/1011/22-07-2013 συπληρωατ κή γνωστοποίησή του, το Υπουργείο Υγείας δ αβίβασε στην Αρχή τ ς αποφάσε ς Υ5β/Γ.Π.ο κ 50557/29-05-2013, Υ5β/Γ.Π.ο κ 50552/29-05-2013, Υ5β/Γ.Π.ο κ 56669/11-06-2013 κα Υ5β/Γ.Π.ο κ. 56675/11-06-2013 της Υφυπουργού Υγείας που τροποπο ούν παλα ότερες υπουργ κές αποφάσε ς αναφορ κά ε τον τρόπο λε τουργίας κα οργάνωσης των Κέντρων Ηέρας, Κ νητών Μονάδων Ψυχ κής Υγείας, Μονάδων Ψυχοκο νων κής Αποκατάστασης (Ο κοτροφεία, Ξενώνες) κα Προγραάτων Προστατευόενων  αερ σάτων. Βάσε των παραπάνω υπουργ κών αποφάσεων που αναφέροντα ε δ κά στην επεξεργασία δεδοένων ωφελούενων χρηστών/ληπτών υπηρεσ ών ψυχ κής υγείας, το Υπουργείο επαναφέρε το αίτηά του γ α άδε α επεξεργασίας ευαίσθητων δεδοένων, επ συνάπτοντας κα τους πίνακες ε τα αναλυτ κά στο χεία που επ θυεί να τηρεί στο πληροφορ ακό του σύστηα ανά κατηγορία ονάδων ψυχ κής υγείας. Με σκοπό την δ ερεύνηση της ύπαρξης νο κής βάσης, καθώς κα του προτε νόενου από το Υπουργείο τρόπου επεξεργασίας κα δίως των έτρων ασφαλείας που εφαρόζοντα γ α την προστασία των προσωπ κών δεδοένων, πραγατοπο ήθηκε συνάντηση στ ς 31/7/2013 εταξύ στελεχών του Υπουργείου κα των ελεγκτών της Αρχής που χε ρίζοντα την υπόθεση. Στη συνάντηση συζητήθηκαν δυνατές λύσε ς αναφορ κά ε την ψευδωνυοποίηση κα την ασφάλε α των δεδοένων τόσο γ α το τρέχον χρον κό δ άστηα (έχρ την εξέταση του θέατος από την Ολοέλε α της Αρχής), όσο κα γ α την τελ κή εφαρογή του νέου συστήατος. Το όλο θέα της γνωστοποίησης του Υπουργείου Υγείας συζητήθηκε στην Ολοέλε α της Αρχής κατά τη συνεδρίαση της 9ης Οκτωβρίου
2. Η Αρχή εξέδωσε την 126/2013 Απόφαση ε την οποία απέρρ ψε την αίτηση λήψεως άδε ας του Υπουργείου Υγείας, ε σκεπτ κό που συνοψίζετα ως εξής: Ο δ ατάξε ς των άρθρων 4 παρ. 4 κα 5 κα 11 παρ. 7α κα β του ν. 2716/1999 τ ς οποίες επ καλείτα ο υπεύθυνος επεξεργασίας δεν περ έχουν ε δ κή νοοθετ κή πρόβλεψη γ α τη σκοπούενη επεξεργασία, όπως αυτή περ γράφετα στην κρ νόενη γνωστοποίηση κα αίτηση λήψης αδείας τήρησης αρχείου κα γ α τη σύσταση ε δ κής ηλεκτρον κής βάσης δεδοένων έσω της οποίας θα λαβάνε χώρα η επεξεργασία αυτή, πολλώ δε άλλον δεν αναφέρουν ε δ κώς τα δ αβ βαζόενα προσωπ κά δεδοένα των ωφελουένων, ούτε άλλωστε παρέχουν ε δ κή εξουσ οδότηση γ α την έκδοση κανον στ κής υπουργ κής απόφασης που θα ρυθίζε τα ανωτέρω θέατα. 8ς εκ τούτου ο σχετ κές υπουργ κές αποφάσε ς που ρυθίζουν τ ς ουσ αστ κές κα 3 τεχν κές λεπτοέρε ες του ελέγχου δεν πορεί να θεωρηθούν ότ συν στούν την απαραίτητη νο κή βάση δ αβίβασης των ανωτέρω στο χείων. Γ α να είνα νό η η α τούενη επεξεργασία πρέπε να προβλέπετα σε δ άταξη τυπ κού νόου όπου θα περ γράφοντα ο αροδ ότητες ελέγχου κα εποπτείας των ονάδων ψυχ κής υγείας κα τα βασ κά χαρακτηρ στ κά της επεξεργασίας των προσωπ κών δεδοένων των ωφελουένων, ο υπεύθυνος επεξεργασίας, ο σκοπός της επεξεργασίας, τα συγκεκρ ένα δεδοένα προσωπ κού χαρακτήρα που είνα αναγκαίο να τύχουν επεξεργασίας, δ αίτερα δε τα ευαίσθητα δεδοένα, κατά τρόπο ώστε να προκύπτε σαφώς ότ τα συγκεκρ ένα δεδοένα είνα αναγκαία κα πρόσφορα σε σχέση ε τον σκοπό της επ δ ωκόενης επεξεργασίας κατ’ εφαρογή της αρχής της αναλογ κότητας, ο χρόνος τήρησης των δεδοένων, ο τυχόν αποδέκτες των δεδοένων αυτών κα να παρέχετα ε δ κώς η αναγκαία νοοθετ κή εξουσ οδότηση γ α τη ρύθ ση ε δ κότερων, τεχν κών ή λεπτοερε ακών θεάτων, όπως ο σχεδ ασός του συγκεκρ ένου συστήατος κα τα εν γένε οργανωτ κά κα τεχν κά έτρα γ α την ασφάλε α της επεξεργασίας των δεδοένων. Στη συνέχε α το Υπουργείο Υγείας ε το ε αρ. πρωτ. Υ5α,β/Γ.Π.ο κ.103949 (αρ. πρωτ. Αρχής ΓΝ/ΕΙΣ/1664/15-11-2013) έγγραφο επανυπέβαλε γνωστοποίηση τήρησης αρχείου ε ευαίσθητα δεδοένα των ωφελούενων χρηστών/ληπτών υπηρεσ ών ψυχ κής υγείας από ονάδες ψυχ κής υγείας κα ε το ε αρ. πρωτ. Υ5α,β/Γ.Π.ο κ. 117102 (αρ. πρωτ. Αρχής ΓΝ/ΕΙΣ/1896/23-12-2013) καθώς κα ε το ε αρ. πρωτ. ΓΝ/ΕΙΣ/36/9-1-2014 ήνυα ηλεκτρον κού ταχυδροείου απέστε λε την προσφάτως ψηφ σθείσα δ άταξη νόου που περ λαβάνετα στο άρθρο 27 του ν. 4213/2013 (ΦΕΚ 261/Α’/9-12-2013), ε την οποία τροποπο ούντα δ ατάξε ς του ν. 2716/1999 «Εκσυγχρον σός υπηρεσ ών Ψυχ κής Υγείας & άλλες δ ατάξε ς». Με σκοπό την περα τέρω δ ερεύνηση του τρόπου επεξεργασίας πραγατοπο ήθηκε επ πλέον συνάντηση στ ς 11/2/2014 εταξύ στελεχών του Υπουργείου κα των ελεγκτών της Αρχής που χε ρίζοντα την υπόθεση. Η Αρχή στη συνεδρίαση της Ολοέλε ας στ ς 26/2/2014 αποφάσ σε την αναστολή της εξέτασης της υπόθεσης έχρ την αποστολή στην Αρχή του σχεδίου της προβλεπόενης από την παρ. 9 του άρθρου 4 ν. 2716/1999 απόφασης του Υπουργού Υγείας. Το Υπουργείο υπέβαλε στην Αρχή το σχέδ ο υπουργ κής απόφασης ε το ε αρ. πρωτ. ΓΝ/ΕΙΣ/453/6-3-2014 ήνυα ηλεκτρον κού ταχυδροείου. 4 Κατόπ ν αυτού η Ολοέλε α της Αρχής επ λαβάνετα των θεάτων της γνωοδότησης, επί του δ αβ βασθέντος σχεδίου υπουργ κής απόφασης, κα του θέατος της έκδοσης της σχετ κής άδε ας. Η Αρχή, αφού άκουσε τους ε σηγητές κα τη βοηθό ε σηγητή, η οποία ετά τη δ ατύπωση των απόψεών της αποχώρησε, κα κατόπ ν δ εξοδ κής συζήτησης, εκδίδε την ακόλουθη ΓΝΜΟΟΤΗΣΗ Το άρθρο 4 του ν. 2716/1999 ετά την τροποποίηση κα συπλήρωσή του ε το άρθρο 27 του ν. 4213/2013 έχε ως εξής: «(…)
3. Για τις Μ νάδες Ψυχικής Υγείας π υ έχ υν συσταθεί από ν σ κ εία τ υ ν.δ. 2592/1953 και τ υ ν. 1397/1983 ή από Μ νάδες Ψυχικής Υγείας π υ ανήκ υν σε ν ικά πρόσωπα δη σί υ δικαί υ ή ν ικά πρόσωπα ιδιωτικ ύ δικαί υ η κερδ σκ πικ ύ χαρακτήρα π υ επιχ ρηγ ύνται εν όλω ή εν έρει, άεσα ή έεσα από τ ηόσι , η επ πτεία εκτείνεται στ ν τρόπ δι ίκησης, στην ικ ν ική τ υς διαχείριση και στις υπηρεσίες ψυχικής υγείας π υ παρέχ υν πρ ς τ ν πληθυσό. Για τις ανάγκες απ τελεσατικής επ πτείας και ελέγχ υ κάθε  ρφής, των  νάδων ψυχικής υγείας της παρ ύσας παραγράφ υ, η καθ ύλην αρόδια ιεύθυνση Ψυχικής Υγείας τ υ Υπ υργεί υ Υγείας τηρεί έντυπ και ηλεκτρ νικό αρχεί , ε δεδ ένα π υ αφ ρ ύν στις  νάδες ψυχικής υγείας και στ υς ωφελ ύεν υς από τις υπηρεσίες αυτών. Συγκεκριένα, για τις  νάδες ψυχικής υγείας, τηρ ύνται στ Υπ υργεί Υγείας κατ ελάχιστ ν, στ ιχεία για τη σύσταση, ργάνωση και λειτ υργία των  νάδων, αναλυτικά στ ιχεία εργαζ ένων, καθώς και ικ ν ικά στ ιχεία κάθε  ρφής, ενώ για τ υς ωφελ ύεν υς και πρ κειέν υ, να καθίσταται δυνατή η κάθε  ρφής επιχ ρήγηση ή πληρωή εν όλω ή εν έρει, άεσα ή έεσα από τ ηόσι συσχετιζόενη ε αυτ ύς, θα τηρ ύνται κατ ελάχιστ ν στ ιχεία ταυτ π ίησης των ωφελ υένων (ΑΜΚΑ), δη γραφικά στ ιχεία, στ ιχεία διενεργ ύενων θεραπευτικών ή η πράξεων συσχετιζόενων τόσ ε πληρωές ή επιχ ρηγήσεις τ υ η σί υ ως άνω, όσ και ε τ υς εργαζόεν υς π υ παρέχ υν αυτές τις υπηρεσίες. Οι  νάδες τ υ πρώτ υ εδαφί υ υπ χρε ύνται στην τήρηση των κατ ελάχιστα αναφερόενων, στ πρ ηγ ύεν εδάφι , στ ιχείων σε διακριτό, έντυπ και ηλεκτρ νικό αρχεί , στην έδρα της  νάδας, τα π ία, θα πρέπει να διατίθενται σε επιτόπι υς ελέγχ υς και εφόσ ν ζητ ύνται, θα απ στέλλ νται, έντυπα και ηλεκτρ νικά, στ Υπ υργεί Υγείας, πρ κειέν υ να καθίσταται δυνατή η επεξεργασία τ υς και η εν συνεχεία, καταβ λή κάθε  ρφής 5 επιχ ρήγησης ή πληρωής, εν όλω ή εν έρει, άεσα ή έεσα, από τ ηόσι , συσχετιζόενη ε κάθε ωφελ ύεν . (…)
4. Οι  νάδες της παραγράφ υ 5 υπ χρε ύνται στην τήρηση στ ιχείων, όπως αυτά ρίζ νται στην ίδια παράγραφ , έσω Πληρ φ ριακ ύ Συστήατ ς. Για τ σκ πό αυτόν, η ιεύθυνση Ψυχικής Υγείας σχεδιάζει και λειτ υργεί Πληρ φ ριακό Σύστηα Παρακ λ ύθησης Μ νάδων Ψυχικής Υγείας. Με απόφαση τ υ Υπ υργ ύ Υγείας καθ ρίζ νται τα στ ιχεία π υ φείλ υν ι  νάδες ψυχικής υγείας να τηρ ύν ηλεκτρ νικά έσω τ υ ως άνω Πληρ φ ριακ ύ Συστήατ ς, καθώς και ι κυρώσεις π υ θα επισύρει η η τήρηση ή η πληελής τήρηση τ υς. Με την ίδια απόφαση ρυθίζ νται, ειδικότερα, τεχνικά ή λεπτ ερειακά θέατα, τήρησης, επεξεργασίας στ ιχείων και δεδ ένων, τόσ σε έντυπη, όσ και σε ηλεκτρ νική  ρφή και γενικότερα, κάθε ργανωτικό και τεχνικό έτρ για την ασφάλεια της επεξεργασίας των δεδ ένων, καθώς και κάθε θέα π υ άπτεται των διενεργ ύενων ελέγχων των  νάδων ψυχικής υγείας.» 8ς εκ τούτου έχε πλέον τεθεί η νό η βάση επεξεργασίας των προσωπ κών δεδοένων των ωφελουένων από τη  εύθυνση Ψυχ κής Υγείας του Υπουργείου Υγείας. Η σχετ κή υπουργ κή απόφαση που εκδίδετα ε την παρ. 9 του άρθρου 4 του ν. 2716/1999 έχε καταρχήν νό ο έρε σα κα προκαλεί σε σχέση ε το ν. 2472/1997 τ ς εξής παρατηρήσε ς:
5. Σκοπός επεξεργασίας Από τ ς δ ατάξε ς των άρθρων 2, 4 παρ. 1 κα 7 παρ. 2 του ν. 2472/1997 προκύπτε ότ η επεξεργασία ευαίσθητων προσωπ κών δεδοένων επ τρέπετα ετά από άδε α της Αρχής, η οποία εκδίδετα στην περίπτωση που ο σκοπός της γνωστοπο ηθείσας επεξεργασίας είνα νό ος, σαφής κα καθορ σένος, τα δεδοένα τα οποία τυγχάνουν επεξεργασίας είνα συναφή, πρόσφορα κα όχ περ σσότερα από όσα απα τούντα γ α την επίτευξη του σκοπού της επεξεργασίας κα επ πλέον συντρέχε ία από τ ς προϋποθέσε ς που προβλέποντα στο άρθρο 7 παρ. 2 του προαναφερθέντος νόου. Σύφωνα ε το την περίπτωση ε της παρ. 2 του άρθρου 7 ν. 2472/1997, εδ. δδ), επ τρέπετα η επεξεργασία ευαίσθητων προσωπ κών δεδοένων, ετά από άδε α της Αρχής, εφόσον η επεξεργασία εκτελείτα από ηόσ α Αρχή κα είνα αναγκαία γ α την άσκηση δηόσ ου φορολογ κού ελέγχου ή δηόσ ου ελέγχου κο νων κών παροχών. 6 Στην συγκεκρ ένη περίπτωση, όπως ορίζετα στο άρθρο 4 παρ. 7 του ν. 2716/1999, σκοπός της επεξεργασίας των τηρούενων στο χείων, αποτελεί η προάσπ ση του δηοσίου συφέροντος, η προστασία της ψυχ κής υγείας του πληθυσού έσω της δ ασφάλ σης έγκυρου κα αποτελεσατ κού πλα σίου εποπτείας κα ελέγχου προκε ένου να καθίστατα δυνατή η κάθε ορφής επ χορήγηση, εν όλω ή εν έρε , άεσα ή έεσα, από το ηόσ ο συσχετ ζόενη ε θεραπευτ κή ή η πράξη ανά ωφελούενο. Ο σκοπός αυτός είνα νό ος, σαφής κα καθορ σένος κα εντάσσετα στο σκοπό δηόσ ου ελέγχου κο νων κών παροχών, όπως αναφέρετα στο εδ. δδ) της περίπτωσης ε του άρθρου 7 ν. 2472/
6. Στο δε σχέδ ο υπουργ κής απόφασης, άρθρο 7, περ γράφετα ο ίδ ος σκοπός επεξεργασίας.
7. Υπεύθυνος επεξεργασίας Στο άρθρο 4 παρ. 6 του ν. 2716/1999 ορίζετα ως υπεύθυνος επεξεργασίας των τηρούενων στο χείων στο Υπουργείο Υγείας η αρόδ α  εύθυνση Ψυχ κής Υγείας του Υπουργείου Υγείας. Το αυτό ορίζε κα η παρ. 1 του άρθρου 8 του σχεδίου υπουργ κής απόφασης.
8. Αποδέκτες των δεδο ένων Σύφωνα ε την παρ. 6 του άρθρου 4 του ν. 2716/1999 «Αποδέκτες των αναγκαίων δεδοένων προσωπ κού χαρακτήρα γ α την εγκυρότητα των στο χείων ταυτοποίησης των ωφελουένων (ΑΜΚΑ) ορίζοντα ο Εθν κός Οργαν σός Παροχής Υπηρεσ ών Υγείας κα η ΗΙΚΑ Α.Ε., τα οποία σχετίζοντα ε την καταβολή επ χορήγησης ή πληρωής κάθε ορφής από το ηόσ ο προς τ ς ονάδες ψυχ κής υγείας». Σχετ κή αναφορά γίνετα στο σχέδ ο υπουργ κής απόφασης, άρθρο 8, παρ.
10. Αναλογικότητα - απόρρητο και ασφάλεια της επεξεργασίας Λαβάνοντας υπόψη την κρ σ ότητα των προσωπ κών δεδοένων (ευαίσθητα δεδοένα υγείας), καθώς κα το γεγονός ότ η επεξεργασία αφορά το σύνολο των ωφελούενων χρηστών/ληπτών υπηρεσ ών ψυχ κής υγείας από κρατ κά επ χορηγούενες ονάδες ψυχ κής υγείας, η άδε α της Αρχής πρέπε να θέτε ε δ κούς όρους κα προϋποθέσε ς γ α την πραγατοποίηση της επεξεργασίας, δίως σύφωνα ε τα άρθρα 4 (χαρακτηρ στ κά δεδοένων προσωπ κού χαρακτήρα) κα 10 (απόρρητο κα ασφάλε α της επεξεργασίας) του ν. 2472/
11. Συγκεκρ ένα: Α) Ελαχιστοποίηση των προσωπικών δεδο ένων: Σύφωνα ε την αρχή της αναλογ κότητας, το Υπουργείο Υγείας θα πρέπε να τηρεί όνο όσα δεδοένα 7 είνα απολύτως απαραίτητα γ α την πραγατοποίηση του σκοπού της επεξεργασίας, δηλαδή τον έλεγχο των δαπανών των ονάδων ψυχ κής υγείας. Α1) Όπως αναφέρετα στην παρ. 5 του άρθρου 4 ν. 2716/1999, τηρούντα από το Υπουργείο Υγείας κατ’ ελάχ στον στο χεία ταυτοποίησης των ωφελουένων (ΑΜΚΑ), δηογραφ κά στο χεία, στο χεία δ ενεργούενων θεραπευτ κών ή η πράξεων συσχετ ζόενων τόσο ε πληρωές ή επ χορηγήσε ς του ηοσίου ως άνω, όσο κα ε τους εργαζόενους που παρέχουν τ ς υπηρεσίες αυτές. Ο όρος «κατ’ ελάχ στον» αναφέρετα κα στο σχέδ ο υπουργ κής απόφασης, άρθρο 6, παρ. 1: «…Ε δ κότερα, τηρούντα κατ’ ελάχ στον τα κάτωθ στο χεία…» Ο όρος «κατ’ ελάχ στον» δεν είνα δόκ ος, ενόψε της συνταγατ κής προστασίας των ατο κών δ κα ωάτων, όπως τα προσωπ κά δεδοένα, κα προκε ένου να τηρείτα η αρχή της ελαχ στοποίησης των προσωπ κών δεδοένων, πρέπε να εννοηθεί ο όρος ως «όνο» ή «αποκλε στ κά». Α2) Γ α τα τηρούενα δηογραφ κά στο χεία που αναφέροντα στην παρ. 5 του άρθρου 4 ν. 2716/1999, σηε ώνετα ότ , όπως ορίζετα κα στην α τ ολογ κή έκθεση του ν.4213/2013, τα δηογραφ κά στο χεία περ λαβάνουν την ηλ κία κα το φύλο των ωφελουένων. Στο σχέδ ο υπουργ κής απόφασης, άρθρο 6, παρ. 1, στο χ. 1.3.2.2, ως στο χεία ταυτοποίησης των ωφελουένων αναφέροντα ο ΑΜΚΑ, αλλά κα τα αρχ κά ονοατεπωνύου, το πατρώνυο κα το ητρώνυο. Η τήρηση του ΑΜΚΑ των ωφελουένων χρηστών/ληπτών υπηρεσ ών υγείας είνα επαρκής γ α την πραγατοποίηση της αναγνώρ σης ε οναδ κό τρόπο των ωφελούενων χρηστών/ληπτών υπηρεσ ών ψυχ κής υγείας, χωρίς να απα τείτα επ πλέον στο χείο ταυτοποίησης. Υπό την έννο α αυτή η παράθεση κα των αρχ κών του ονοατεπωνύου, του πατρωνύου κα του ητρωνύου δεν είνα αναγκαία κα είνα περ ττή. Η αφαίρεση από τα τηρούενα στο χεία των αρχ κών ονοατεπωνύου, πατρωνύου κα ητρωνύου θα πρέπε να πραγατοπο ηθεί τόσο από το κείενο της υπουργ κής απόφασης όσο κα από τους πίνακες του παραρτήατος του σχεδίου υπουργ κής απόφασης στους οποίους αναφέροντα . Β) Απόρρητο και ασφάλεια της επεξεργασίας Β1) ιαχωρισ ός ΑΜΚΑ από τα υπόλοιπα δεδο ένα: Λαβάνοντας υπόψη ότ το ΑΜΚΑ αποτελεί το κύρ ο στο χείο, βάσε του οποίου είνα δυνατή η οναδ κή αναγνώρ ση ενός ωφελούενου χρήστη/λήπτη υπηρεσ ών ψυχ κής υγείας, κρίνετα ότ είνα απαραίτητος ο δ αχωρ σός του από τα υπόλο πα δεδοένα (π.χ. ε χρήση 8 κατάλληλης κωδ κοποίησης – ψευδωνυοποίησης από το Υπουργείο κα τήρηση των δεδοένων ΑΜΚΑ σε ξεχωρ στό κα αποονωένο αρχείο από αυτό στο οποίο τηρούντα τα υπόλο πα δεδοένα). Πρόσβαση στο αρχείο ε τα στο χεία ΑΜΚΑ θα έχε όνο συγκεκρ ένο κα ε δ κά εξουσ οδοτηένο προσωπ κό του Υπουργείου, τα ονόατα κα δ ότητες του οποίου θα γνωστοπο ούντα απαρα τήτως στην Αρχή. Β2) Κρυπτογράφηση των δεδο ένων: τόσο τα στο χεία του ΑΜΚΑ, όσο κα τα υπόλο πα δεδοένα πρέπε να τηρούντα κρυπτογραφηένα στο πληροφορ ακό σύστηα του υπεύθυνου επεξεργασίας, καθώς κα στα αντίγραφα ασφαλείας (backup), χρησ οπο ώντας τεχν κές σχυρής κρυπτογράφησης. Το Υπουργείο Υγείας θα πρέπε να περ γράψε αναλυτ κά τη δ αδ κασία κα τεχνολογία της κρυπτογράφησης που θα εφαρόζε κα να τα υποβάλλε εγγράφως στην Αρχή. Β3) Έλεγχος πρόσβασης: Στο άρθρο 4, παρ. 1 του σχεδίου υπουργ κής απόφασης αναφέρετα ότ « καίωα πρόσβασης στο Σύστηα έχουν ο φορείς του άρθρου 5 της παρούσης κα τα ε δ κά εξουσ οδοτηένα γ α το σκοπό αυτό πρόσωπα (π στοπο ηένο χρήστες)». Προτείνετα η φράση να επαναδ ατυπωθεί, προκε ένου να είνα σαφές ότ όνο ο φορείς του άρθρου 5 κα όνο δ α των ε δ κά εξουσ οδοτηένων προσώπων έχουν δ καίωα πρόσβασης στο Σύστηα, στο χώρο πέραν του ελεύθερα προσβάσ ου. Ενδε κτ κά προτείνετα η εξής δ ατύπωση: « καίωα πρόσβασης στο Σύστηα, πέραν του ελεύθερα προσβάσ ου χώρου του Συστήατος, όπως αυτός ορίζετα στο άρθρο 4, παρ. 2.1.1, έχουν ο φορείς του άρθρου 5 της παρούσης δ α των ε δ κά εξουσ οδοτηένων γ α το σκοπό αυτό προσώπων (π στοπο ηένο χρήστες)». Γ α την ε σαγωγή των στο χείων στο πληροφορ ακό σύστηα του Υπουργείου, ο ονάδες ψυχ κής υγείας πρέπε να έχουν προηγουένως π στοπο ηθεί κα να αυθεντ κοπο ούντα έσω ονόατος χρήστη κα κωδ κού πρόσβασης. Ο υπεύθυνος επεξεργασίας οφείλε να υ οθετήσε συγκεκρ ένη πολ τ κή δ αχείρ σης των συνθηατ κών των χρηστών, η οποία πρέπε να περ λαβάνε τουλάχ στον καθοδήγηση των χρηστών γ α το ελάχ στο ήκος κα επ τρεπτούς χαρακτήρες των συνθηατ κών (πολυπλοκότητα συνθηατ κού), την στορ κότητα του συνθηατ κού, συχνότητα αλλαγής του συνθηατ κού, έγ στο αρ θό δ αδοχ κών επ τρεπτών/αποτυχηένων προσπαθε ών πρόσβασης. Β4) Ασφάλεια επικοινωνιών: Η επ κο νωνία εταξύ της εφαρογής του Υπουργείου Υγείας κα των ονάδων ψυχ κής υγείας, η οποία πραγατοπο είτα έσω του δ αδ κτύου, θα πρέπε 9 να γίνετα έσω ασφαλούς καναλ ού επ κο νωνίας, ε κρυπτογράφηση των δεδοένων που ανταλλάσσοντα (π.χ έσω πρωτοκόλλου SSL). Β5) Ε πιστευτικότητα προσωπικού: το προσωπ κό του Υπουργείου που θα πραγατοπο εί την επεξεργασία των προσωπ κών δεδοένων πρέπε να δεσεύετα ε δ κά από ρήτρες επ στευτ κότητας. Το Υπουργείο Υγείας θα πρέπε να υλοπο ήσε κα εφαρόσε ε δ κό Κώδ κα εοντολογίας του προσωπ κού γ α το σκοπό αυτό κα να τον υποβάλε στην Αρχή εντός έξ