Καταγγελία ασφαλισμένου κατά ασφαλιστικής εταιρείας για την επεξεργασία δεδομένων υγεία κατά την επέλευση της ασφαλιστικής περίπτωσης

Αθήνα, 31-07-2020 Αριθ. Πρωτ.: Γ/ΕΞ/5389/31-07-2020 ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Α Π Ο Φ Α Σ Η 22 /2020 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τμήματος στην έδρα της την 21.04.2020 μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Αναπληρωτής Πρόεδρος Γ. Μπατζαλέξης, κωλυομένου του Προέδρου της Αρχής Κ. Μενουδάκου, και τα αναπληρωματικά μέλη της Αρχής Γ. Τσόλιας, ως εισηγητής, Ε. Παπακωνσταντίνου, και Ε. Δημογεροντάκης, σε αντικατάσταση των τακτικών μελών Χ. Ανθόπουλου, Κ. Λαμπρινουδάκη και Ε. Μαρτσούκου, αντίστοιχα, οι οποίοι, αν και εκλήθησαν νομίμως εγγράφως, δεν παρέστησαν λόγω κωλύματος. Παρούσες χωρίς δικαίωμα ψήφου ήταν οι K. Καρβέλη και Χ. Λάτσιου, ειδικοί επιστήμονες-δικηγόροι, ως βοηθοί εισηγητή, οι οποίες αποχώρησαν μετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη απόφασης και η Ε. Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα ακόλουθα: Με την υπ’ αριθ. πρωτ. Γ/ΕΙΣ/784/31.01.2019 καταγγελία του στην Αρχή, ο Α δια του εκπροσώπου και πατέρα του Β, καταγγέλλει ότι προκειμένου να λάβει την ασφαλιστική αποζημίωση από νοσηλεία του ως ανήλικο τέκνο, κατά το χρόνο επέλευσης της ασφαλιστικής περίπτωσης, στην ιδιωτική κλινική METROPOLITAN GENERAL, η ασφαλιστική εταιρία ΝΝ ζήτησε τη συγκατάθεσή του ενήλικου αδερφού του Γ για πρόσβαση στον ηλεκτρονικό ιατρικό φάκελο και την επεξεργασία των ευαίσθητων προσωπικών δεδομένων του, ώστε να διαπιστωθεί η συνδρομή ή μη των προϋποθέσεων παροχής ασφαλιστικής κάλυψης, την οποία συναίνεση αρνήθηκε να χορηγήσει. Στο πλαίσιο διερεύνησης της καταγγελίας η Αρχή απέστειλε το από 04.04.2019 και με αρ. πρωτ. Γ/ΕΞ/784-1 έγγραφο προς παροχή διευκρινίσεων στην καταγγελλόμενη ασφαλιστική εταιρία ΝΝ, η οποία στο με αρ. πρωτ. Γ/ΕΙΣ/3588/20.05.2019 απαντητικό έγγραφό της ανέφερε τα εξής: α) στη διαδικασία συλλογής και επεξεργασίας των προσωπικών δεδομένων των ασφαλισμένων για τον σκοπό της διαχείρισης και εκπλήρωσης των υποχρεώσεων της εκάστοτε συναφθείσας ασφαλιστικής σύμβασης, περιλαμβάνονται και άλλα προσωπικά δεδομένα, τα οποία είτε γνωστοποιούνται κατά την εξέταση του αιτήματος παροχής ασφαλιστικής κάλυψης, είτε αντλούνται από τρίτους παρόχους υπηρεσιών πρωτοβάθμιας ή δευτεροβάθμιας υγείας, αφού προηγουμένως ληφθεί η έγγραφη συγκατάθεση των ασφαλισμένων, β) η εταιρία ενημέρωσε τον καταγγέλλοντα στις … αλλά και στις …, μαζί με τα ειδοποιητήρια πληρωμής ασφαλίστρων του ασφαλιστηρίου του για τον τρόπο συλλογής και διαχείρισης των προσωπικών του δεδομένων αλλά και για τα δικαιώματά του, σύμφωνα με τις διατάξεις του ΓΚΠΔ, και γ) με τη με αρ. … αρχική αίτηση ασφάλισης ζωής μέσω της οποίας ο Β, λήπτης της ασφάλισης του ασφαλιστηρίου και πατέρας του τότε ανήλικου ασφαλισμένου Α, παρείχε ρητά και ενυπόγραφα τη συγκατάθεσή του για συλλογή, επεξεργασία, τήρηση και λειτουργία αρχείου προσωπικών απλών και ευαίσθητων προσωπικών δεδομένων του ιδίου και του υιού του, σε εναρμόνιση με τις διατάξεις του ν. 2472/

1. Κατόπιν τούτου, η Αρχή με τις υπ’ αριθμ. πρωτ. Γ/ΕΞ/1221/13.02.20 και Γ/ΕΞ/1222/13.02.20 κλήσεις κάλεσε αντίστοιχα την καταγγελλόμενη ασφαλιστική εταιρία ΝΝ και τον καταγγέλλοντα να παραστούν στη συνεδρίαση της Αρχής την 26η.02.2020, προκειμένου να συζητηθεί η ως άνω καταγγελία. Κατά την ακρόαση της 26ης.02.2020 παρέστησαν ο καταγγέλλων Β και η δικηγόρος του Βασιλική Λαζαρίνη, ενώ εκ μέρους της ασφαλιστικής εταιρείας ΝΝ παρέστησαν οι πληρεξούσιοι δικηγόροι Αγγελική Καβουροπούλου, Βασίλης Γιαννακόπουλος και Αθανάσιος Κυράτσης. Ο Β κατά την ανωτέρω ακρόαση της 26ης.02.2020 ανέφερε ότι κατόπιν νοσηλείας του τότε ανήλικου τέκνου του Α στην ιδιωτική κλινική «Metropolitan General»…, του ζητήθηκε από την ασφαλιστική εταιρία ΝΝ να υπογράψει έγγραφο, το οποίο αφορούσε τη συγκατάθεσή του για δικαίωμα πρόσβασης της ασφαλιστικής εταιρίας ή της εταιρίας «ΜΕΤΝΕΤ ΕΛΛΑΣ Ανώνυμη Εμπορική Εταιρία Υπηρεσιών», η οποία έχει αναλάβει κατ’ εντολή και για λογαριασμό της καταγγελλόμενης ασφαλιστικής εταιρίας ΝΝ τη διαχείριση των αποζημιώσεων προς τους ασφαλισμένους της, στον ηλεκτρονικό φάκελο του υιού του, καθώς και την άδειά του για την επεξεργασία των ευαίσθητων προσωπικών δεδομένων υγείας του υιού του, ώστε να διαπιστώσει τη συνδρομή ή μη των προϋποθέσεων παροχής ασφαλιστικής κάλυψης. Οι πληρεξούσιοι δικηγόροι της ασφαλιστικής εταιρίας ΝΝ κατά την ανωτέρω ακρόαση της 26ης.02.2020, αλλά και με το από 17.04.2020 υπόμνημά τους ανέφεραν τα εξής: α) νόμιμη βάση επεξεργασίας για την πρόσβαση στα προσωπικά δεδομένα ειδικών κατηγοριών που περιέχονται στον ηλεκτρονικό φάκελο του υποκειμένου των δεδομένων που τηρείται από τον ΕΟΠΥΥ αποτελεί η συγκατάθεση του υποκειμένου των δεδομένων σύμφωνα με το άρθρο 9 παρ. 2α του ΓΚΠΔ, η οποία ζητείται από την ΝΝ μία μοναδική φορά καθόλη τη διάρκεια ισχύος της ασφαλιστικής σύμβασης κατά την επέλευση του ασφαλιστικού κινδύνου, δίνεται για περιορισμένο χρονικό διάστημα 30 ημερών από την υπογραφή του σχετικού εντύπου και κατά το διάστημα αυτό οι συνεργαζόμενοι ιατροί της εταιρίας εισέρχονται στον εν λόγω ηλεκτρονικό φάκελο μόνο μία φορά εντός του ανωτέρω διαστήματος, β) το έντυπο της συγκατάθεσης του υποκειμένου για την πρόσβαση στον ηλεκτρονικό του φάκελο που τηρείται από τον ΕΟΠΥΥ περιλαμβάνει την παροχή εξουσιοδότησης του ασφαλισμένου στους ιατρούς της εταιρίας να ελέγξουν για λογαριασμό του τις εγγραφές της και την παροχή συγκατάθεσης στην εταιρία και στη Mednet να επεξεργάζεται τα προσωπικά του δεδομένα για τον σκοπό της διερεύνησης της συμμόρφωσής του με τις νόμιμες και συμβατικές υποχρεώσεις του, γ) σε περίπτωση που δοθεί η σχετική συγκατάθεση από έναν ασφαλισμένο η πρόσβαση στις ηλεκτρονικές εγγραφές του ΕΟΠΥΥ πραγματοποιείται από επαγγελματία ιατρό, ο οποίος ενημερώνει την εταιρία συνολικά για τις εγγραφές που αφορούν αντικειμενικά ουσιώδη για την εκτίμηση του ασφαλιστικού κινδύνου στοιχεία ή περιστατικά δ) τυχόν άρνηση παροχής συγκατάθεσης πρόσβασης στο ηλεκτρονικό αρχείο που τηρείται από τον ΕΟΠΥΥ έχει ως άμεση συνέπεια της εκ μέρους της εταιρίας άρνηση ασφαλιστικής παροχής και ε) στην υπό κρίση περίπτωση, η εταιρία προέβη σε καταβολή ασφαλιστικής παροχής, παρόλο που η επίμαχη συγκατάθεση δεν δόθηκε. Η Αρχή, μετά από την ακροαματική διαδικασία και την εξέταση των στοιχείων του φακέλου και αφού άκουσε τον εισηγητή και τις βοηθούς εισηγητή, οι οποίες αποχώρησαν μετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη απόφασης, μετά από διεξοδική συζήτηση ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
2. Επειδή, από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού 2016/679) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ.1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας του Α, δια του εκπροσώπου του Β κατά της ΝΝ ασφαλιστικής εταιρείας και να ασκήσει, αντίστοιχα, τις εξουσίες που της απονέμονται από τις διατάξεις των άρθρων 58 του ΓΚΠΔ και 15 του νόμου 4624/
4. Επειδή, το άρθρο 5 του ΓΚΠΔ καθορίζει τις αρχές επεξεργασίας που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, ορίζεται στην παράγραφο 1 ότι τα δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων: «α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα, διαφάνεια»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς, γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων»), (…)».
5. Επειδή, σύμφωνα με τα οριζόμενα, στη διάταξη του άρθρου 5 παρ. 2 του ΓΚΠΔ ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην παράγραφο 1 του άρθρου
6. Όπως έχει κρίνει η Αρχή 1, με τον ΓΚΠΔ υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό μέγεθος του οποίου συνιστά η αρχή της λογοδοσίας στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να αποδεικνύει από μόνος του και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ.
7. Επειδή, σύμφωνα και με το άρθρο 8 παρ. 1 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, το άρθρο 9Α του Συντάγματος και την αιτιολογική σκέψη 4 του ΓΚΠΔ, το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δεν είναι απόλυτο, αλλά πρέπει να εκτιμάται σε σχέση με τη λειτουργία του στην κοινωνία και να σταθμίζεται με άλλα θεμελιώδη δικαιώματα, σύμφωνα με την αρχή της αναλογικότητας. Ο ΓΚΠΔ σέβεται όλα τα θεμελιώδη δικαιώματα και τηρεί τις ελευθερίες και αρχές που αναγνωρίζονται στον Χάρτη, ιδίως τον σεβασμό της ιδιωτικής και οικογενειακής ζωής, της κατοικίας και των επικοινωνιών, την προστασία των δεδομένων προσωπικού χαρακτήρα, την ελευθερία σκέψης, συνείδησης και θρησκείας, την ελευθερία έκφρασης και πληροφόρησης, την επιχειρηματική ελευθερία, το δικαίωμα πραγματικής προσφυγής και αμερόληπτου δικαστηρίου και την πολιτιστική, θρησκευτική και γλωσσική πολυμορφία.
8. Επειδή, το άρθρο 9 παρ. 1 ΓΚΠΔ εισάγει, καταρχήν, απαγόρευση επεξεργασίας πληροφοριών που εμπίπτουν σε ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα, δηλ. δεδομένων προσωπικού χαρακτήρα που αφορούν, μεταξύ άλλων, την υγεία. Ακολούθως, η παράγραφος 2 του ίδιου άρθρου ορίζει ότι: «Η παράγραφος 1 δεν εφαρμόζεται στις ακόλουθες περιπτώσεις: α) το υποκείμενο των δεδομένων έχει παράσχει ρητή συγκατάθεση για την επεξεργασία αυτών των δεδομένων προσωπικού χαρακτήρα για έναν ή περισσότερους συγκεκριμένους σκοπούς, εκτός εάν το δίκαιο της Ένωσης ή κράτους μέλους προβλέπει ότι η απαγόρευση που αναφέρεται στην παράγραφο 1 δεν μπορεί να αρθεί από το υποκείμενο των δεδομένων, β) η επεξεργασία είναι απαραίτητηγια την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ’ απαίτηση του υποκειμένου των δεδομένων πριν τη σύναψη της σύμβασης (…). 1 Βλ. απόφαση Αρχής 26/2019, σκέψη 8, διαθέσιμη στην ιστοσελίδα της.
9. Επειδή, στην εξεταζόμενη υπόθεση, από τα στοιχεία του φακέλου της υπόθεσης, προκύπτει ότι ο ασφαλισμένος κατά την επέλευση της ασφαλιστικής περίπτωσης, κατ’ άρθρο 7 του νόμου 2496/1997 (ΦΕΚ Α΄ 87), αρνήθηκε να παράσχει θετική δήλωση βουλήσεως στην ΝΝ ασφαλιστική εταιρεία, ως υπεύθυνο επεξεργασίας, σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 4 στοιχ. 7 του ΓΚΠΔ, στο σχετικό έντυπο της ασφαλιστικής εταιρείας με τίτλο «Συγκατάθεση για πρόσβαση στον ηλεκτρονικό φάκελο» και περιεχόμενο: «Με την παρούσα, γνωστοποιώ στην ασφαλιστική μου εταιρεία NN Hellas τον ΑΜΚΑ μου … και παρέχω σε αυτήν τη συγκατάθεσή μου για την πρόσβαση – από σήμερα και για έναν