Χορήγηση ευαίσθητων προσωπικών δεδομένων σε τρίτο χωρίς άδεια της Αρχής και ενημέρωση του υποκειμένου

Αθήνα, 20-07-2016 ΕΛΛΗΝΙΚΗ ∆ΗΜΟΚΡΑΤΙΑ Αριθ. Πρωτ.: Γ/ΕΞ/1502-2/20-07-2016 ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ∆Ε∆ΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Ταχ. ∆/νση: ΚΗΦΙΣΙΑΣ 1-3 115 23 ΑΘΗΝΑ ΤΗΛ.: 210-6475600 FAX: 210-6475628 Α Π Ο Φ Α Σ Η 61/2016 Η Αρχή Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τµήµατος στην έδρα της την Tετάρτη, 20.7.2016 και ώρα 10.00 µετά από πρόσκληση του Προέδρου της, προκειµένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος Πέτρος Χριστόφορος, και τα αναπληρωµατικά µέλη, Γρηγόριος Λαζαράκος, Χαράλαµπος Ανθόπουλος, ως εισηγητής, και Παναγιώτης Ροντογιάννης, σε αντικατάσταση των τακτικών µελών Αναστάσιου – Ιωάννη Μεταξά, ∆ηµητρίου Μπριόλα και Αντώνιου Συµβώνη, οι οποίοι αν και εκλήθησαν νοµίµως εγγράφως δεν παρέστησαν λόγω κωλύµατος. Παρούσες χωρίς δικαίωµα ψήφου ήταν η Φερενίκη Παναγοπούλου, νοµική ελέγκτρια, ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τµήµατος διοικητικών και οικονοµικών υποθέσεων, ως γραµµατέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Με την από 8-3-2016 (υπ’ αρ. πρωτ. ΑΠ∆ΠΧ Γ/ΕΙΣ/1502/08.02.2016) αίτησή της η A καταγγέλλει στην Αρχή ότι το Γενικό Περιφερειακό Νοσοκοµείο X χορήγησε κατόπιν εισαγγελικής παραγγελίας στις 22.2.2016 αντίγραφα εγγράφων από τους τηρούµενους ιατρικούς φακέλους που αφορούν στην ίδια χωρίς την προηγούµενη λήψη άδειας από την Αρχής στον B µε την ιδιότητά του ως πληρεξουσίου δικηγόρου της Γ προς αντίκρουση αγωγής της κατά της Γ. Κατόπιν του υπ’αριθ. Γ/ΕΞ/2758/19.5.2016 ερωτήµατος της Αρχής προς το Νοσοκοµείο, το Νοσοκοµείο απάντησε µε το υπ’αριθ. Γ/ΕΙΣ/3494/02-6-2016 (αρ. πρωτ. νοσοκ. …/…-…2016..) έγγραφο του ότι α) προέβη στην χορήγηση των εγγράφων καλόπιστα κι επί τη βάσει 1 γνωµοδοτήσεως του Εισαγγελέως του Αρείου Πάγου, β) έχει µεταβάλει την πρακτική του και ζητεί εφεξής άδεια της Αρχής, γ) δεν υφίσταται παραβίαση της νοµοθεσίας περί προστασίας δεδοµένων προσωπικού χαρακτήρα λόγω του ότι πιθανολογείται ότι η αιτούσα κατείχε ήδη τα δεδοµένα. Η Αρχή, µετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωµα ψήφου και αποχώρησε µετά τη συζήτηση της υποθέσεως και πριν από τη διάσκεψη και τη λήψη αποφάσεως, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ

1. Επειδή, το άρθρο 9Α του Συντάγµατος ορίζει ότι: «Καθένας έχει δικαίωµα προστασίας από τη συλλογή, επεξεργασία και χρήση, ιδίως µε ηλεκτρονικά µέσα, των προσωπικών του δεδοµένων, όπως νόµος ορίζει. Η προστασία των προσωπικών δεδοµένων διασφαλίζεται από ανεξάρτητη αρχή, που συγκροτείται και λειτουργεί, όπως νόµος ορίζει». Ο εκτελεστικός της διάταξης του άρθρου 9Α του Συντάγµατος νόµος 2472/1997 ορίζει ότι στο άρθρο 2 στοιχ. β΄ ότι για τους σκοπούς του νόµου αυτού νοούνται ως ευαίσθητα δεδοµένα τα δεδοµένα που αφορούν, µεταξύ άλλων, στην υγεία. Περαιτέρω, από το συνδυασµό των διατάξεων των άρθρων 5 και 7 του ν. 2472/1997 προκύπτει ότι η συλλογή και κάθε περαιτέρω επεξεργασία απλών και ευαίσθητων δεδοµένων προσωπικού χαρακτήρα επιτρέπεται, καταρχήν, εφόσον το υποκείµενο των δεδοµένων έχει δώσει τη συγκατάθεσή του. Ωστόσο, η συλλογή και κάθε περαιτέρω επεξεργασία τόσο των απλών όσο και των ευαίσθητων δεδοµένων προσωπικού χαρακτήρα επιτρέπεται, κατ’ εξαίρεση, και χωρίς τη συγκατάθεση του υποκειµένου τους, στις περιπτώσεις που περιοριστικά προβλέπει ο νόµος. Ειδικότερα, επιτρέπεται, για τα µεν απλά δεδοµένα, ιδίως, υπό τις προϋποθέσεις του άρθρου 5 παρ. 2 στοιχ. ε΄ και για τα ευαίσθητα δεδοµένα, ιδίως, υπό τις προϋποθέσεις του άρθρου 7 του ν. 2472/1997, το οποίο στην παρ. 1 ορίζει ότι «απαγορεύεται η συλλογή και η επεξεργασία ευαίσθητων δεδοµένων». Κατ’ εξαίρεση επιτρέπεται, σύµφωνα την παρ. 2, «η συλλογή και η επεξεργασία ευαίσθητων δεδοµένων, καθώς και η ίδρυση και λειτουργία σχετικού αρχείου, ύστερα από άδεια της Αρχής, όταν συντρέχουν µία ή περισσότερες από τις ακόλουθες προϋποθέσεις: α) Το υποκείµενο έδωσε τη γραπτή συγκατάθεσή του εκτός εάν η συγκατάθεση έχει αποσπασθεί µε τρόπο που αντίκειται στο νόµο ή τα χρηστά ήθη ή νόµος ορίζει ότι η συγκατάθεση δεν αίρει την απαγόρευση. β) Η επεξεργασία είναι αναγκαία για τη διαφύλαξη ζωτικού συµφέροντος του υποκειµένου ή προβλεπόµενου από το νόµο συµφέροντος τρίτου, εάν το υποκείµενο τελεί σε φυσική ή νοµική αδυναµία να δώσει τη συγκατάθεσή του. γ) Η επεξεργασία αφορά δεδοµένα που δηµοσιοποιεί το ίδιο το υποκείµενο ή είναι αναγκαία για την αναγνώριση, άσκηση ή υπεράσπιση δικαιώµατος ενώπιον δικαστηρίου ή πειθαρχικού οργάνου […].» Επιπλέον, το άρθρο 11 παρ. 3 του ν. 2 2472/1997 ρητά προβλέπει ότι «εάν τα δεδοµένα ανακοινώνονται σε τρίτους, το υποκείµενο ενηµερώνεται για την ανακοίνωση πριν από αυτούς».
2. Επειδή, το άρθρο 25 παρ. 4 εδ. β΄ του ν. 1756/1988 (ΦΕΚ Α΄35 Κώδικας Οργανισµού ∆ικαστηρίων και ∆ικαστικών Λειτουργών) προβλέπει ότι ο Εισαγγελέας Πρωτοδικών: «∆ικαιούται να παραγγέλλει στις υπηρεσίες του δηµοσίου, των νοµικών προσώπων δηµοσίου δικαίου, των οργανισµών κοινής ωφέλειας και όλων γενικά των επιχειρήσεων του δηµόσιου τοµέα, να παραδώσουν έγγραφα ή να χορηγήσουν αντίγραφά τους, όταν το ζητήσουν νοµικά ή φυσικά πρόσωπα που έχουν δικαίωµα ή έννοµο συµφέρον, εκτός αν πρόκειται για έγγραφα από αυτά που αναφέρονται στο άρθρο 261 του Κ.Π.∆.».
3. Επειδή, από τον συνδυασµό των διατάξεων των άρθρων 7 παρ. 2 στοιχ. γ και 11 παρ. 3 του ν.2472/1997 και 25 παρ. 4 εδ. β΄ του ν. 1756/1988 ερµηνευοµένων ενόψει της διατάξεως του άρθρου 9Α του Συντάγµατος και της Οδηγίας 95/46/ΕΚ και σύµφωνα µε τις θεµελιώδεις αρχές προστασίας των προσωπικών δεδοµένων, συνάγεται ότι για την επεξεργασία ευαίσθητων προσωπικών δεδοµένων, όπως η διαβίβαση ευαίσθητων προσωπικών δεδοµένων σε τρίτο για δικαστική χρήση, επιβάλλεται να έχει εκδοθεί άδεια προς τούτο της Αρχής Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα και η επεξεργασία τους χωρίς προηγούµενη άδεια δεν είναι από την άποψη αυτή νόµιµη, έστω και αν υπάρχει σχετική εισαγγελική παραγγελία περί χορηγήσεως των ευαίσθητων αυτών προσωπικών δεδοµένων.
4. Επειδή, στην κρινόµενη υπόθεση, από τα στοιχεία του φακέλου της υποθέσεως προκύπτει ότι το Νοσοκοµείο Ψ διαβίβασε στις 22.2.2016 ευαίσθητα δεδοµένα (άρθρο 2 στοιχ. β΄ του ν.2472/1997) που αφορούν στην υγεία της Α και τα οποία τηρεί στο αρχείο του µε την ιδιότητα του υπευθύνου επεξεργασίας (άρθρο 2 στοιχ. ζ΄ του ν.2472/1997) στον Β ως πληρεξούσιο δικηγόρο της Γ. Η επεξεργασία αυτή διενεργήθηκε από το Νοσοκοµείο Ψ, σε εκτέλεση εισαγγελικής παραγγελίας χωρίς την απαιτούµενη από το άρθρο 7 παρ. 2 του ν.2472/1997 άδεια της Αρχής. Για την παράνοµη αυτή επεξεργασία των ευαίσθητων δεδοµένων η Αρχή κρίνει, ενόψει και των ανωτέρω συνθηκών, ότι θα πρέπει να απευθύνει σύσταση, κατά τα οριζόµενα στη διάταξη του άρθρου 19 παρ. 1 στοιχ. γ΄ του ν.2472/1997, στο Νοσοκοµείο Ψ, ως υπεύθυνο επεξεργασίας, όπως στο µέλλον διαβιβάζουν τις αιτήσεις για την επεξεργασία ευαίσθητων δεδοµένων σε τρίτο στην Αρχή για λήψη της απαιτούµενης, κατά το άρθρο 7 παρ. 2 του ν.2472/1997 άδειας παρά την ύπαρξη εισαγγελικής παραγγελίας.
5. Επειδή, περαιτέρω, το Νοσοκοµείο Ψ διαβίβασε ευαίσθητα δεδοµένα της καταγγέλλουσας στον Β, πληρεξούσιο δικηγόρο της Γ, χωρίς να ενηµερώσει προηγουµένως το υποκείµενο των δεδοµένων, σύµφωνα µε τα οριζόµενα στη διάταξη του άρθρου 11 παρ. 3 του ν.2472/1997, εν προκειµένω την Α. Θα πρέπει να σηµειωθεί ότι η υποχρέωση της προηγούµενης ενηµερώσεως του υποκειµένου των δεδοµένων που καθιερώνεται στο άρθρο 11 παρ. 3 του ν.2472/1997 είναι αυτοτελής και διαφοροποιείται από την υποχρέωση του υπευθύνου επεξεργασίας να ικανοποιήσει το δικαίωµα προσβάσεως του υποκειµένου των 3 δεδοµένων σε δεδοµένα προσωπικού χαρακτήρα που το αφορούν κατά το άρθρο 12 του ν.2472/
6. Η Αρχή κρίνει ότι το Νοσοκοµείο Ψ, ως υπεύθυνο επεξεργασίας, παρανόµως παρέλειψε να ενηµερώσει την Α, πριν από τη διαβίβαση των ευαίσθητων δεδοµένων της στον Γ, σύµφωνα µε τα οριζόµενα στις διατάξεις του άρθρου 11 παρ. 3 του ν. 2472/1997, στερώντας της το δικαίωµα υποβολής αντιρρήσεων για την επίµαχη επεξεργασία, σύµφωνα µε τα οριζόµενα στις διατάξεις του άρθρου 13 του ν.2472/
8. Επειδή το Νοσοκοµείο ισχυρίζεται ότι προέβη στην χορήγηση εγγράφου καλόπιστα, έχει δε πλέον µεταβάλει την πρακτική του και ζητεί άδεια από την Αρχή για την επεξεργασία ευαίσθητων προσωπικών δεδοµένων. Επειδή, ο ισχυρισµός ότι η αιτούσα τη χορήγηση προσωπικών δεδοµένων κατείχε ήδη τα δεδοµένα και συνεπώς δεν τίθεται θέµα παραβιάσεώς τους είναι προεχόντως αναπόδεικτος και απορριπτέες. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή, 1) Κρίνει ότι η διαβίβαση δεδοµένων υγείας της Α στην Γ από το Νοσοκοµείο Ψ χωρίς προηγούµενη άδεια της Αρχής συνιστά παραβίαση του άρθρου 7 παρ. 2 του ν. 2472/
9. 2) Απευθύνει σύσταση στο Ψ, ως υπεύθυνο επεξεργασίας, όπως στο µέλλον διαβιβάζει τις αιτήσεις για την επεξεργασία ευαίσθητων δεδοµένων στην Αρχή για λήψη της απαιτούµενης από το νόµο άδειας. 3) Επιβάλλει στο Νοσοκοµείο Ψ, ως υπεύθυνο επεξεργασίας, πρόστιµο συνολικού ύψους χιλίων ευρώ (1.000€) για την παραβίαση της υποχρεώσεως της προηγούµενης ενηµερώσεως του υποκειµένου των δεδοµένων. Ο Πρόεδρος Η Γραµµατέας Πέτρος Χριστόφορος Eιρήνη Παπαγεωργοπούλου 4