Kαταγγελία αναφορικά με τη συλλογή από τον ΙΣΑ πιστοποιητικών εμβολιασμού κατά του κορωνοϊού των ιατρών – μελών του

Αθήνα, 13-07-2023 Αριθ. Πρωτ.: 1784 ΑΠΟΦΑΣΗ 27/2023 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε μετά από πρόσκληση του Προέδρου της σε συνεδρίαση στην έδρα της την Τρίτη 21.02.2023 και ώρα 10:00, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος και τα τακτικά μέλη της Αρχής Κωνσταντίνος Λαμπρινουδάκης, Χαράλαμπος Ανθόπουλος, Χρήστος Καλλονιάτης, Αικατερίνη Ηλιάδου και Γρηγόριος Τσόλιας, ως εισηγητής. Δεν παρέστησαν λόγω κωλύματος, αν και εκλήθησαν νομίμως εγγράφως, οι Σπυρίδων Βλαχόπουλος και Χρήστος Παπαθεοδώρου, τακτικό και αναπληρωματικό μέλος, αντίστοιχα. Παρούσες, χωρίς δικαίωμα ψήφου, ήταν η Χαρίκλεια Λάτσιου, νομικός ελεγκτής - δικηγόρος, ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Με την από 12.01.2022 (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/213/12.01.2022) καταγγελία η Α, ιατρός και μέλος του Δ.Σ. του Ιατρικού Συλλόγου Αθηνών (εφεξής ΙΣΑ), υποστηρίζει ότι με την υπ΄ αριθ. 25806/14-12-2021 απόφαση ο ΙΣΑ κάλεσε όλους τους ιατρούς-μέλη του Συλλόγου που διατηρούν ιδιωτικά ιατρεία να αποστείλουν σε ηλεκτρονική μορφή πιστοποιητικά, από τα οποία προκύπτει ο εμβολιασμός τους κατά του κορωνοϊού covid-19 ή η νόσησή τους από αυτόν. Κατόπιν τούτου, η καταγγέλλουσα ζητεί από την Αρχή: «Α) Να απαγορεύσετε στον ΙΣΑ να υλοποιήσει την προαναφερόμενη απόφασή του περί συλλογής πιστοποιητικών εμβολιασμού ή νόσησης των μελών του, λόγω της προφανούς παρανομίας της. Β) Να διατάξετε τον ΙΣΑ ώστε οποιοδήποτε πιστοποιητικό έχει συλλεγεί μέχρι σήμερα, 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr παράνομα, να καταστραφεί ενώπιον της Αρχής ΠΠΔ. Γ) Σε όποια περίπτωση ήθελε κριθεί νόμιμη, έστω και εν μέρει αυτή η διαδικασία, να εφαρμοστεί εντός των ορίων που ήδη έχουν τεθεί από τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων, που για την αποφυγή φαινομένων που οδηγούν σε διακρίσεις ατόμων αναλόγως της προσωπικής εμβολιαστικής κατάστασής τους, με τις από 9-8-2021 «Συστάσεις» του, συστήνει την συλλογή μόνο των σχετικών συγκεντρωτικών στατιστικών στοιχείων». Η Αρχή, στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας, κάλεσε με το υπ’ αρ. πρωτ. ΑΠΔ Γ/ΕΞΕ/388/14.02.2022 έγγραφο τον ΙΣΑ να παράσχει συγκεκριμένες διευκρινίσεις επί των καταγγελλομένων. Σε απάντηση του ανωτέρω εγγράφου της Αρχής ο ΙΣΑ με τις υπ’ αρ. πρωτ. … και από … απαντήσεις του (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/2466/18.02.2022 και ΑΠΔ Γ/ΕΙΣ/3009/02.03.2022 έγγραφα, αντίστοιχα) ενημέρωσε την Αρχή ότι η απόφαση για την συλλογή σε ηλεκτρονική μορφή των πιστοποιητικών εμβολιασμού των μελών του ελήφθη με την από 02.12.2021 απόφαση του Δ.Σ. Ακολούθως, με την υπ’ αρ. πρωτ. 25806/14.12.2021 επιστολή, ο ΙΣΑ κάλεσε τα μέλη του να αποστείλουν σε ηλεκτρονική μορφή το πιστοποιητικό εμβολιασμού κατά του κορωνοϊού, ενημερώνοντας παράλληλα με την επιστολή αυτή ότι ο Σύλλογος αποτελεί τον εποπτικό φορέα των ιδιωτικών φορέων Π.Φ.Υ, ο οποίος ασκεί πειθαρχική εξουσία επί των ιατρών που δραστηριοποιούνται στην περιφέρεια ευθύνης του. Επιπλέον, με το από 20.12.2021 μήνυμα ηλεκτρονικού ταχυδρομείου κάλεσε τα μέλη του («υπό την ιδιότητά σας ως επιστημονικά υπεύθυνου ή συνεργάτη φορέα ΠΦΥ») να υποβάλουν το πιστοποιητικό εμβολιασμού στον σύνδεσμο https://www.isathens.gr/CovidCert/LogIn. Περαιτέρω, ο ΙΣΑ με τις ανωτέρω αναφερόμενες απαντήσεις του υποστηρίζει ότι o Σύλλογος είναι νομικό πρόσωπο δημοσίου δικαίου (άρθρο 291 παρ. 1 ν. 4512/2018) με κύριο σκοπό, μεταξύ άλλων, την εποπτεία της τήρησης των κανόνων της ιατρικής δεοντολογίας και της προαγωγής των ηθικών και δεοντολογικών κανόνων του ιατρικού επαγγέλματος στην περιφέρειά του (άρθρο 292 παρ. 1 στοιχ. α΄ ν. 4512/2018). Επιπλέον, υποστηρίζει ότι δυνάμει του άρθρου 85 παρ. 1 ν. 4472/2017 έχει την αρμοδιότητα για την χορήγηση, αναστολή και ανάκληση βεβαίωσης λειτουργίας ιατρείου, πολυϊατρείου, διαγνωστικού εργαστηρίου και 2 εργαστηρίου φυσικής ιατρικής και αποκατάστασης, καθώς και την αρμοδιότητα να επιβάλει τις προβλεπόμενες από τις διατάξεις των άρθρων 13 και 17 του ΠΔ/τος 84/2001 διοικητικές κυρώσεις, ήτοι την διακοπή λειτουργίας ή την ανάκληση άδειας λειτουργίας. Επιπλέον, ο ΙΣΑ ενημερώνει την Αρχή ότι με το άρθρο 38 παρ. 4 του ν. 4771/2021 καθιερώθηκε υποχρέωση των αρμοδίων κατά τόπους ιατρικών συλλόγων να προβαίνουν (πέραν του αρχικού ελέγχου για την χορήγηση βεβαίωσης λειτουργίας του φορέα) και σε δειγματολογικό έκτακτο έλεγχο σε ποσοστό δέκα τοις εκατό (10%) των φορέων που εδρεύουν στην περιοχή της χωρικής αρμοδιότητας κατ΄ έτος. Εν συνεχεία, ο ΙΣΑ υποστηρίζει ότι η καταγγελλόμενη επεξεργασία της συλλογής των πιστοποιητικών εμβολιασμού των μελών του έγινε για καθορισμένο, σαφή και νόμιμο σκοπό κατ΄ άρθρα 6 παρ.1 στοιχ. ε΄ και 9 παρ. 2 στοιχ. θ’ ΓΚΠΔ , στο πλαίσιο της εφαρμογής του υποχρεωτικού εμβολιασμού του προσωπικού που απασχολείται σε δομές πρωτοβάθμιας φροντίδας υγείας δυνάμει του άρθρου 206 ν. 4820/

1. Επιπλέον, ο ΙΣΑ επισημαίνει ένα ζήτημα που ανέκυψε από την εφαρμογή της υποχρεωτικότητας του εμβολιασμού των ιατρών – μελών του και κυρίως του ελέγχου παρακολούθησης της συμμόρφωσης με την υποχρέωση εμβολιασμού, ότι δηλαδή ο έλεγχος της συμμόρφωσης μέσω της διαλειτουργικότητας των πληροφοριακών συστημάτων, όπως προβλέπεται στην υπ’ αριθμ. Δ1α/ΓΠ.οικ.52796 ΚΥΑ (ΦΕΚ Β 3959/27.8.2021) αφορά σε εργαζόμενους και όχι στους ιατρούς μέλη του, οι οποίοι φέρουν την ιδιότητα του επιστημονικά υπεύθυνου ή συνεργάτη ιδιωτικών φορέων παροχής υπηρεσιών πρωτοβάθμιας φροντίδας υγείας (εφεξής ΠΦΥ). Κατ΄ ακολουθία – σύμφωνα με τον ΙΣΑ – για τους τελευταίους, πληροφορίες σχετικά με τον εμβολιασμό τους δεν εμφανίζονται στο πληροφοριακό σύστημα ΕΡΓΑΝΗ από το Εθνικό Μητρώο Εμβολιασμών κατά του κορωνοϊού, ούτε εξάλλου διαλειτουργεί το πληροφοριακό σύστημα του ΙΣΑ με το Εθνικό Μητρώο Εμβολιασμών. Επιπρόσθετα, ο ΙΣΑ υποστηρίζει ότι: «η απλή μεταφόρτωση των πιστοποιητικών στην ειδική ηλεκτρονική πλατφόρμα και η άμεση επαλήθευση και διαγραφή τους δύνανται να θεωρηθεί εναλλακτική μορφή επίδειξης των πιστοποιητικών με ηλεκτρονικά μέσα, ειδικά λαμβάνοντας υπόψη την ανάγκη άμεσης διασφάλισης της σύννομης λειτουργίας των υποχρέων, ήτοι μεγάλου όγκου ιατρείων, τα οποία καλούνται να παίξουν πρωταγωνιστικό ρόλο στη μάχη για την προστασία της 3 δημόσιας υγείας. Λαμβανομένης υπόψη της γεωγραφικής και της πληθυσμιακής εμβέλειας του ΙΣΑ σε συνδυασμό με την απόφαση του ΔΣ για την τήρησης της υποχρεωτικότητας του εμβολιασμού από όσο το δυνατό περισσότερα μέλη – ιατρούς, η μεταφόρτωση, επαλήθευση και άμεση διαγραφή των πιστοποιητικών μέσω της ηλεκτρονικής του πλατφόρμας κρίθηκε από τον ΙΣΑ ως η περισσότερο πρόσφορη και αναλογική ως προς τον σκοπό επεξεργασίας». Τέλος, η Α υπέβαλε στην Αρχή το από 12.04.2022 (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/5881/12.04.2022) υπόμνημα, αφού ζήτησε και έλαβε από την Αρχή (με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/5353/29.03.2022 έγγραφο) τις προαναφερόμενες απαντήσεις του ΙΣΑ. Κατόπιν τούτων, η Αρχή με τα υπ’ αρ. πρωτ. Γ/ΕΞ/1588/28.06.2022 και Γ/ΕΞΕ/1589/28.06.2022 έγγραφα κάλεσε τον ΙΣΑ και την Α, αντίστοιχα, όπως παρουσιαστούν σε συνεδρίαση της Ολομελείας της Αρχής την Τρίτη 05.07.2022, προκειμένου να συζητηθεί η προαναφερόμενη καταγγελία. Στην συνεδρίαση αυτή, κατά την οποία παρέστησαν ο Στέργιος Κωνσταντίνου (ΑΜ ΔΣΑ …), νόμιμος εκπρόσωπος του ΙΣΑ, και η Α μετά της πληρεξουσίας δικηγόρου της Ευαγγελίας Χαραλάμπους (ΑΜ ΔΣΑ …), η Αρχή, αφού έλαβε υπόψη της και την δήλωση του ΙΣΑ, διά του νομίμου εκπροσώπου του, ότι η καταγγελλόμενη επεξεργασία της συλλογής πιστοποιητικών εμβολιασμού/νόσησης των μελών του έχει προσωρινά ανασταλεί μέχρι την εξέταση της εξεταζόμενης καταγγελίας από την Αρχή, καθώς και το από 05.07.2022 (και υπ’ αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/8556/05.07.2022) υπόμνημα της Α, έκανε δεκτό το αίτημα αναβολής που υποβλήθηκε από τον ΙΣΑ με το υπ’ αρ. πρωτ. … (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/8401/29.06.2022) έγγραφο και όρισε νέα ημερομηνία συζήτησης της υπόθεσης την Τρίτη 13.09.
2. Στην συνεδρίαση αυτή παρέστησαν ενώπιον της Αρχής εκ μέρους του ΙΣΑ οι Β (Αντιπρόεδρος Δ.Σ. του ΙΣΑ) και οι Ιουλία Κωνσταντίνου (ΑΜ ΔΣΗ …) και Στέργιος Κωνσταντίνου, δικηγόροι, και η καταγγέλλουσα Α μετά της πληρεξουσίας δικηγόρου Ευαγγελίας Χαραλάμπους. Κατά την συνεδρίαση αυτή, η Αρχή έκανε δεκτό το νέο αίτημα αναβολής που υποβλήθηκε από τον ΙΣΑ με το υπ’ αρ. πρωτ. … (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/10001/09.09.2022) έγγραφο και όρισε, παρουσία των παρισταμένων, νέα ημερομηνία συζήτησης της υπόθεσης ενώπιον της Αρχής την 01η.11.
3. Κατά την συνεδρίαση της 01ης.11.2022 παρέστησαν ενώπιον της Αρχής οι Γ, Πρόεδρος του Δ.Σ. του ΙΣΑ, μετά των 4 πληρεξουσίων δικηγόρων Χαράς Ζέρβα (ΑΜ ΔΣΑ …) και Στέργιου Κωνσταντίνου και Α, μετά της πληρεξουσίας δικηγόρου Ευαγγελίας Χαραλάμπους. Κατά την συνεδρίαση αυτή, οι παριστάμενοι, αφού ανέπτυξαν τις απόψεις τους, έλαβαν προθεσμία έως την 18η.11.2022 για την υποβολή εγγράφων υπομνημάτων. Κατόπιν τούτου, υποβλήθηκαν στην Αρχή εμπρόθεσμα τα από 18.11.2022 έγγραφα υπομνήματα του ΙΣΑ και της Α (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/11922/21.11.2022 και Γ/ΕΙΣ/11941/21.11.2022, αντίστοιχα). Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
4. Επειδή, σύμφωνα με τα οριζόμενα στις διατάξεις των άρθρων 2 παρ. 1 ΓΚΠΔ και 2 ν. 4624/2019 οι κανόνες προστασίας δεδομένων προσωπικού χαρακτήρα εφαρμόζονται: «στην εν όλω ή εν μέρει, αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς στη μη αυτοματοποιημένη επεξεργασία τέτοιων δεδομένων τα οποία περιλαμβάνονται ή πρόκειται να περιληφθούν σε σύστημα αρχειοθέτησης». Εν προκειμένω, από τα στοιχεία του φακέλου της υπόθεσης προκύπτει ότι η ανάρτηση των πιστοποιητικών εμβολιασμού κατά του κορωνοϊού covid – 19 πραγματοποιήθηκε στην πλατφόρμα https://members.isathens.gr του ΙΣΑ, στην οποία εισέρχονταν τα μέλη του, ιατροί – επιστημονικά υπεύθυνοι φορέων ΠΦΥ, με χρήση των κωδικών του Συλλόγου και καταχωρούσαν σ’ αυτήν το πιστοποιητικό εμβολιασμού τους. Η ανωτέρω ανάρτηση συνεπάγεται αυτοματοποιημένη επεξεργασία, εκ μέρους του ΙΣΑ ως υπευθύνου επεξεργασίας κατ’ άρθρο 4 στοιχ. 7 ΓΚΠΔ, εμπίπτουσα στο ρυθμιστικό πεδίο των κανόνων προστασίας δεδομένων προσωπικού χαρακτήρα. Εξάλλου, στο αρχείο δραστηριοτήτων κατ΄ άρθρο 30 ΓΚΠΔ που απέστειλε ο ΙΣΑ με το υπ’ αρ. πρωτ. 27044/17.02.2022 (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/2466/18.02.2022) έγγραφο στην Αρχή περιλαμβάνεται η δραστηριότητα της συλλογής των πιστοποιητικών εμβολιασμού, και περιγράφεται, μεταξύ άλλων, σ’ 5 αυτό ότι η τήρηση των επίμαχων δεδομένων (πιστοποιητικών εμβολιασμού) γίνεται «ηλεκτρονικά στο server», καθώς και ότι «τηρείται αρχείο». Τέλος, δεδομένου ότι οι κανόνες προστασίας δεδομένων προσωπικού χαρακτήρα έλκονται σε εφαρμογή και σε περίπτωση «ψηφιακής επίδειξης» και «προσωρινής αποθήκευσης»1, κρίσιμη είναι η διαπίστωση ότι έλαβε χώρα αυτοματοποιημένη επεξεργασία, έστω και αν η καταχώριση στην ψηφιακή πλατφόρμα του Συλλόγου γινόταν προσωρινά και μόνο για συγκεκριμένο χρονικό διάστημα
6. Επειδή, από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού 2016/679) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελλόμενης επεξεργασίας της καταχώρισης πιστοποιητικών εμβολιασμού στην πλατφόρμα https://members.isathens.gr του ΙΣΑ στο πλαίσιο της αυτεπάγγελτης αρμοδιότητας, δυνάμει των άρθρων 57 παρ. 1 στοιχ. α’ και η΄ ΓΚΠΔ και 13 παρ. 1 στοιχ. η΄ ν.4624/2019, καθώς σε κάθε περίπτωση δεδομένα προσωπικού χαρακτήρα των ιατρών μελών του Συλλόγου, οι οποίοι ανήρτησαν τα πιστοποιητικά εμβολιασμού τους στην ανωτέρω πλατφόρμα, έτυχαν επεξεργασίας, σύμφωνα με τα διαλαμβανόμενα στην προαναφερόμενη σκέψη της παρούσης. Η Αρχή κρίνει, εν προκειμένω, ότι η ανωτέρω αυτεπάγγελτη αρμοδιότητά της ιδρύεται ανεξάρτητα από την διαπίστωση της πλήρωσης (ή μη) ενεργητικής νομιμοποίησης της καταγγέλλουσας να υποβάλει σχετική καταγγελία στην Αρχή, είτε με την ιδιότητά της ως ιατρού, σύμφωνα με τα οριζόμενα στην διάταξη του άρθρου 77 ΓΚΠΔ, καθώς όπως και η ίδια συνομολογεί τόσο κατά την ενώπιον της Αρχής ακρόαση, όσο και με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/11941/21.11.2022 υπόμνημά της δεν καταχώρισε σχετικό πιστοποιητικό εμβολιασμού της στην πλατφόρμα του ΙΣΑ, είτε με την ιδιότητα της ως εκπροσώπου της συνδικαλιστικής παράταξης «…» - …» και μέλους του Δ.Σ. του ΙΣΑ, Βλ. σελ 15 και 9 των από 01.03.2022 και 18.11.2022 υπομνημάτων (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/3009/02.03.2022 και Γ/ΕΙΣ/11922/21.11.2022, αντίστοιχα) του ΙΣΑ. 2 Βλ. και αποφάσεις της Αρχής 07/2022 σκ. 14 και 8/2022 σκ. 14, δημοσιευμένες στην ιστοσελίδα της Αρχής. 1 6 σύμφωνα με τα οριζόμενα στις διατάξεις των άρθρων 80 ΓΚΠΔ και 41 ΓΚΠΔ, καθώς, και ανεξαρτήτως της εγκυρότητας κατ’ άρθρο 8 ν.1599/1986 της προσκομιζόμενης (με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/11941/21.11.2022 υπόμνημά της) υπεύθυνης δήλωσης, δεν προκύπτει ότι έτυχαν επεξεργασίας πιστοποιητικά εμβολιασμού κατά του κορωνοϊού covid - 19 μελών της παράταξης, ούτε περαιτέρω προέκυψε ότι έλαβε χώρα άλλη επεξεργασία κατ’ άρθρα 2 παρ 1 ΓΚΠΔ και 2 ν. 4624/2019 από την μη καταχώριση των πιστοποιητικών εμβολιασμού των μελών της παράταξης στην ανωτέρω πλατφόρμα, η οποία σε κάθε περίπτωση ήταν εθελοντική (βλ. παρακάτω υπό σκέψη 11 της παρούσης).
7. Επειδή, το άρθρο 5 του ΓΚΠΔ καθορίζει τις αρχές επεξεργασίας που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, ορίζεται στην παράγραφο 1 ότι τα δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων: «α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα, διαφάνεια»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς (…), γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων») (…), ε) διατηρούνται υπό μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων των δεδομένων μόνο για το διάστημα που απαιτείται για τους σκοπούς της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα· τα δεδομένα προσωπικού χαρακτήρα μπορούν να αποθηκεύονται για μεγαλύτερα διαστήματα, εφόσον τα δεδομένα προσωπικού χαρακτήρα θα υποβάλλονται σε επεξεργασία μόνο για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον, για σκοπούς επιστημονικής ή ιστορικής έρευνας ή για στατιστικούς σκοπούς, σύμφωνα με το άρθρο 89 παράγραφος 1 και εφόσον εφαρμόζονται τα κατάλληλα τεχνικά και οργανωτικά μέτρα που απαιτεί ο παρών κανονισμός για τη διασφάλιση των δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων («περιορισμός της περιόδου αποθήκευσης») (…)».
8. Επειδή, σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 5 παρ. 2 του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται 7 στην παράγραφο 1 του άρθρου
9. Όπως έχει κρίνει η Αρχή , με τον ΓΚΠΔ υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό σημείο του οποίου συνιστά η αρχή της λογοδοσίας στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να αποδεικνύει ο ίδιος και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ.
10. Επειδή, όπως έχει κρίνει η Αρχή 3, λαμβάνοντας υπόψη τις αποφάσεις του Δικαστηρίου της Ευρωπαϊκής Ένωσης (ΔΕΕ) 4 και του Συμβουλίου της Επικρατείας 5, προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν νόμιμης επεξεργασίας, ήτοι επεξεργασίας σύμφωνα προς τις απαιτήσεις του ΓΚΠΔ, θα πρέπει να πληρούνται σωρευτικά οι προϋποθέσεις εφαρμογής και τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ. Η ύπαρξη ενός νόμιμου θεμελίου (άρθρα 6 και 9 ΓΚΠΔ) δεν απαλλάσσει τον υπεύθυνο επεξεργασίας από την υποχρέωση τήρησης των αρχών (άρθρου 5 παρ. 1 ΓΚΠΔ) αναφορικά με τον θεμιτό χαρακτήρα, την αναγκαιότητα και την αναλογικότητα και την αρχή της ελαχιστοποίησης
11. Σε περίπτωση κατά την οποία παραβιάζεται κάποια εκ των προβλεπομένων στο άρθρο 5 παρ. 1 ΓΚΠΔ αρχών, η εν λόγω επεξεργασία παρίσταται ως μη νόμιμη (αντικείμενη στις διατάξεις του ΓΚΠΔ) και παρέλκει η εξέταση των προϋποθέσεων εφαρμογής των νομικών βάσεων του άρθρων 6 και 9 ΓΚΠΔ, αντιστοίχως, για την επεξεργασία απλών και ειδικής κατηγορίας δεδομένων προσωπικού χαρακτήρα. Κατ’ ακολουθία, η κατά παράβαση των αρχών του άρθρου 5 ΓΚΠΔ συλλογή και επεξεργασία των δεδομένων προσωπικού χαρακτήρα δεν θεραπεύεται από την ύπαρξη νόμιμου σκοπού και νομικής βάσης
12. Βλ. ιδίως απόφαση 44/2019 της Αρχής, σκ. 17, διαθέσιμη στην ιστοσελίδα της. Βλ. απόφαση ΔΕΕ της 16-01-2019 στην υπόθεση C-496/2017 Deutsche Post AG κατά Hauptzollamt Köln, σκ.
13. 5 Βλ. απόφαση ΣτΕ517/2018, σκ.
14. 6 βλ. Λ. Μήτρου, ο γενικός κανονισμός προστασίας προσωπικών δεδομένων (νέο δίκαιο-νέες υποχρεώσεις-νέα δικαιώματα), εκδ. Σάκκουλα, 2017 σελ. 58 και 69-70 7 Βλ. ιδίως απόφαση 38/2004 της Αρχής, διαθέσιμη στην ιστοσελίδα της. 3 4 8
15. Επειδή, με το ΠΔ 84/2001 (ΦΕΚ Α΄ 70) καθορίζονται οι όροι, οι προϋποθέσεις, η διαδικασία και οι προδιαγραφές για την ίδρυση και λειτουργία φορέων ΠΦΥ
16. Σύμφωνα με το άρθρο 1 του ΠΔ/τος 84/2001, όπως ισχύει, συντρέχουσα αρμοδιότητα εποπτείας για τους φορείς ΠΦΥ έχουν ο Υπουργός Υγείας, η Περιφέρεια και ο οικείος ιατρικός ή οδοντιατρικός σύλλογος. Ακολούθως, με την υπ’ αρ. Υ3β/Γ.Π./οικ. 24948 (ΦΕΚ Β’ 713/13.03.2012) υπουργική απόφαση προβλέφθηκε ότι για την νόμιμη λειτουργία, μεταξύ άλλων, ιατρείου απαιτείται άδεια ή βεβαίωση λειτουργίας, η οποία χορηγείται από τους κατά τόπους ιατρικούς συλλόγους (άρθρο 1). Με το άρθρο 6 της προαναφερθείσας υπουργικής απόφασης εξειδικεύτηκαν οι όροι και οι προϋποθέσεις για την χορήγηση βεβαίωσης ως εξής: «
17. Στην έδρα κάθε Ιατρικού ή Οδοντιατρικού Συλλόγους συνιστάται επιτροπή (…)
18. Έργο της επιτροπής είναι: α) Η γνωμοδότηση για τη χορήγηση βεβαίωσης λειτουργίας των άνω φορέων, μετά από επιτόπιο έλεγχο. β) Η εποπτεία και ο έλεγχος των φορέων αυτών κατά τη λειτουργία τους (…)». Περαιτέρω, στο άρθρο 85 ν. 4472/2017 προβλέπεται: «
19. Αρμόδια αρχή για τη χορήγηση, αναστολή και ανάκληση βεβαίωσης λειτουργίας ιατρείου, πολυΐατρείου, διαγνωστικού εργαστηρίου και εργαστηρίου φυσικής ιατρικής και αποκατάστασης ορίζεται ο κατά τόπον Ιατρικός Σύλλογος (…). Στο πλαίσιο της άσκησης της διοικητικής εποπτείας και ελέγχου οι Ιατρικοί και Οδοντιατρικοί Σύλλογοι επιβάλλουν τις προβλεπόμενες κατά τα άρθρα 13 και 17 του π.δ. 84/2001 (Α`70) διοικητικές κυρώσεις και πρόστιμα, όπως κάθε φορά ισχύουν». Τέλος, το άρθρο 38 παρ. 4 ν. 4771/2021 προβλέπει ότι: «Οι αρμόδιοι ιατρικοί σύλλογοι οφείλουν να προβαίνουν, πέραν του αρχικού ελέγχου για την χορήγηση βεβαίωσης λειτουργίας του φορέα, και σε δειγματοληπτικό έκτακτο έλεγχο του δέκα τοις εκατό (10%) των φορέων που εδρεύουν στην περιοχή της χωρικής τους αρμοδιότητας κατ’ έτος. Όλοι οι φορείς πρέπει να έχουν ελεγχθεί τουλάχιστον μία