Καταγγελία ασθενούς ως υποκειμένου των δεδομένων κατά νοσηλευτικού ιδρύματος για την επεξεργασία δεδομένων υγείας προς την ασφαλιστική εταιρεία κατά τ

Αθήνα, 31-07-2020 Αριθ. Πρωτ.: Γ/ΕΞ/5387/31-07-2020 ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Α Π Ο Φ Α Σ Η 21 /2020 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τμήματος στην έδρα της την 15.04.2020 μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Αναπληρωτής Πρόεδρος Γ. Μπατζαλέξης, κωλυομένου του Προέδρου της Αρχής Κ. Μενουδάκου, και τα αναπληρωματικά μέλη της Αρχής Γ. Τσόλιας, ως εισηγητής, Ε. Παπακωνσταντίνου, και Ε. Δημογεροντάκης, σε αντικατάσταση των τακτικών μελών Χ. Ανθόπουλου, Κ. Λαμπρινουδάκη και Ε. Μαρτσούκου, αντίστοιχα, οι οποίοι, αν και εκλήθησαν νομίμως εγγράφως, δεν παρέστησαν λόγω κωλύματος. Παρούσες χωρίς δικαίωμα ψήφου ήταν οι K. Καρβέλη και Χ. Λάτσιου, ειδικοί επιστήμονες-δικηγόροι, ως βοηθοί εισηγητή, οι οποίες αποχώρησαν μετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη απόφασης και η Ε. Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα ακόλουθα: Με την υπ’ αριθ. πρωτ. Γ/ΕΙΣ/8152/15.10.2018 καταγγελία του στην Αρχή, ο Α καταγγέλλει τον όμιλο ΥΓΕΙΑ και συγκεκριμένα το Νοσοκομείο ΜΗΤΕΡΑ ότι δεν συμμορφώνεται με τον ΓΚΠΔ, και συγκεκριμένα ότι αντί να προστατεύονται τα ευαίσθητα προσωπικά δεδομένα των πολιτών-ασθενών, το Νοσοκομείο ΜΗΤΕΡΑ υποχρεώνει τους ασθενείς να συναινέσουν στην πρόσβαση του ιατρικού τους φακέλου από τις ιδιωτικές ασφαλιστικές εταιρίες με τις οποίες συνεργάζονται. Όπως ειδικότερα αναφέρει στην καταγγελία του, στις … ο καταγγέλλων επισκέφθηκε το Νοσοκομείο ΜΗΤΕΡΑ για ένα έκτακτο περιστατικό του τέκνου του και στο ταμείο του Νοσοκομείου του ζητήθηκε να υπογράψει ένα έγγραφο – Πληροφοριακό Δελτίο, στην τελευταία παράγραφο του οποίου υποχρεωνόταν να χορηγήσει τη συγκατάθεσή του προκειμένου να έχει πρόσβαση η ασφαλιστική του εταιρία στα αντίγραφα του ιατρικού του φακέλου που τηρεί το νοσοκομείο ΜΗΤΕΡΑ για το συγκεκριμένο περιστατικό, ενώ όπως υποστηρίζει, θα έπρεπε να παρέχεται η δυνατότητα επιλογής και για την περίπτωση μη συγκατάθεσης του ασθενούς. Κατόπιν αυτού, ο καταγγέλλων εναντιώθηκε στο να συναινέσει στην πρόσβαση του ιατρικού φακέλου του τέκνου του από την ιδιωτική ασφαλιστική του εταιρία, παρέχοντας όμως τη συγκατάθεση του προκειμένου να λάβει χώρα επικοινωνία για τυχόν έγκριση των εξετάσεων που θα πρέπει να πραγματοποιηθούν, όχι όμως και των αποτελεσμάτων αυτών των εξετάσεων. Αυτή την εναντίωση την αποτύπωσε ρητά και εγγράφως στο Πληροφοριακό Δελτίο, το οποίο έπρεπε να υπογράψει σε κάθε περίπτωση, αλλιώς δεν θα προχωρούσε η εξέταση του τέκνου του. Στο πλαίσιο διερεύνησης της καταγγελίας η Αρχή απέστειλε το από 7.12.2018 και με αρ. πρωτ. Γ/ΕΞ/8152-1 έγγραφο προς παροχή διευκρινίσεων στο Νοσοκομείο ΜΗΤΕΡΑ, το οποίο στο με αρ. πρωτ. Γ/ΕΙΣ/10323/24.12.2018 απαντητικό έγγραφό του ανέφερε τα εξής: α) ο εκάστοτε ασθενής που οικειοθελώς προσέρχεται στο νοσοκομείο δηλώνει ο ίδιος τον ασφαλιστικό φορέα που είναι ασφαλισμένος, προκειμένου το νοσοκομείο να τον ενημερώσει για την οικονομική κάλυψη του εκάστοτε ιατρικού περιστατικού, ανάλογα με την ισχύουσα μεταξύ τους συμφωνία. Με αυτή τη δήλωση, ο ασθενής συγκατατίθεται, εφόσον το επιθυμεί και μόνον, στην πρόσβαση του εν λόγω ασφαλιστικού φορέα στον τηρούμενο φάκελο για το συγκεκριμένο και μόνον περιστατικό. Εφόσον δεν το επιθυμεί, δεν υπογράφει στο οικείο πεδίο του Πληροφοριακού Δελτίου και οφείλει να καλύψει ιδιωτικά το περιστατικό, χωρίς να γίνει καμία περαιτέρω διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τρίτους, β) προϋπόθεση κάλυψης του περιστατικού από την ασφαλιστική εταιρία είναι να της χορηγηθεί δικαίωμα πλήρους και ακώλυτης πρόσβασης στον φάκελο του ασθενούς συνολικά, ήτοι τόσο στο είδος των εξετάσεων όσο και στα αποτελέσματα αυτών, εφόσον συγκατατεθεί το υποκείμενο των δεδομένων. Διαφορετικά υπάρχει άρνηση κάλυψης και ο ασθενής αντιμετωπίζεται ως ιδιώτης, και γ) ο καταγγέλλων σημείωσε χειρόγραφα στο οικείο πεδίο συναίνεσης, ότι συναινεί μεν στην ενημέρωση της ασφαλιστικής εταιρίας ότι το τέκνο του θα υποβληθεί σε ιατρικές εξετάσεις, πλην όμως δεν συναινεί στην αποστολή των αποτελεσμάτων των εξετάσεων στον ασφαλιστικό φορέα του ή οποιονδήποτε άλλον φορέα. Ωστόσο η ανωτέρω άρνησή του ήταν αλυσιτελής, δεδομένου ότι αφορούσε σε ένα ιδανικό μέρος του φακέλου του τέκνου του (αποτελέσματα εξετάσεων) το οποίο δεν δύναται να διασπαστεί από την ολότητα του ιατρικού φακέλου. Παρόλα αυτά, το νοσοκομείο σεβόμενο τις αντιρρήσεις που υπέβαλε ο καταγγέλλων συμμορφώθηκε με την επιθυμία του και δεν απέστειλε στην ασφαλιστική εταιρία τα αποτελέσματα των εξετάσεων. Κατόπιν τούτου, η Αρχή με τις υπ’ αριθ. πρωτ. Γ/ΕΞ/1224/13.02.20 και Γ/ΕΞ/1225/13.02.20 κλήσεις κάλεσε αντίστοιχα το νοσηλευτικό ίδρυμα ΜΗΤΕΡΑ και τον καταγγέλλοντα να παραστούν στη συνεδρίαση της Αρχής την 26.02.2020, προκειμένου να συζητηθεί η ως άνω καταγγελία. Κατά την ακρόαση της 26.02.20 παρέστησαν ο καταγγέλλων Α και εκ μέρους του Νοσοκομείου ΜΗΤΕΡΑ οι πληρεξούσιοι δικηγόροι Α. Παπαγεωργάκης Προϊστάμενος της Νομικής Υπηρεσίας του Ομίλου Υγεία και Α. Παπαδοπούλου. Ο Α κατά την ανωτέρω ακρόαση της 26.02.20 αλλά και στο με αριθ. πρωτ. Γ/ΕΣΙ/1580/28.2.20 συμπληρωματικό υπόμνημά του υποστήριξε τα εξής: α) οι εκπρόσωποι του ΜΗΤΕΡΑ παραδέχτηκαν ότι επαναδιατύπωσαν μετά την καταγγελία του τον πληροφοριακό δελτίο που υποχρεώθηκε να υπογράψει, καθώς όπως ήταν διατυπωμένο, με τη συναίνεση που ο ασθενής υποχρεωνόταν να υπογράψει, έδινε ουσιαστικά και συναίνεση στο να έχει ο ασφαλιστικός φορέας του δικαίωμα για πρόσβαση και λήψη αντιγράφων του φακέλου που τηρεί το ΜΗΤΕΡΑ για αυτό το περιστατικό, β) στο έκτακτο περιστατικό του τέκνου του …, το ΜΗΤΕΡΑ αρνήθηκε να προβεί στην εξέταση του εν λόγω περιστατικού, αν δεν συναινούσε στην πρόσβαση του ασφαλιστικού του φορέα στα αποτελέσματα των εξετάσεων που θα πραγματοποιηθούν και τον ενημέρωσε ότι θα έπρεπε να καλύψει τη συνολική δαπάνη του περιστατικού μόνος του, μετά δε από την επικοινωνία μέσω της προϊσταμένης βάρδιας με τον Υπεύθυνο Προστασίας Δεδομένων του ΜΗΤΕΡΑ, δόθηκε εντολή να προχωρήσει η εξέταση του έκτακτου περιστατικού, χωρίς να έχει συμπληρώσει ο καταγγέλλων το εν λόγω πληροφοριακό Δελτίο και στη συνέχεια χειρόγραφα συμπλήρωσε ότι δεν συναινεί στην αποστολή και επεξεργασία των αποτελεσμάτων των ιατρικών εξετάσεων στον ασφαλιστικό φορέα, γ) ένας ιδιωτικός ασφαλιστικός φορέας δεν χρειάζεται και δεν πρέπει να έχει πρόσβασης συνολικά στα ιατρικά δεδομένα υγείας ενός ασφαλισμένου, προκειμένου να προχωρήσει στη διαχείριση και αποζημίωση ενός περιστατικού, παρά μόνον στα άκρως απαραίτητα, σύμφωνα με την αρχή της αναλογικότητας, ειδικά δε σε περίπτωση ενός εξωνοσοκομειακού περιστατικού, πολλώ δε μάλλον όταν έχει ήδη υπολογισθεί ο ασφαλιστικός κίνδυνος και ήδη υπάρχει σύμβαση με τον ασφαλισμένο, και δ) το ΜΗΤΕΡΑ δεν έχει αλλάξει πολιτική μέχρι σήμερα, συγκεκριμένα, εργαζόμενος του ΜΗΤΕΡΑ δήλωσε στη σύζυγό του ότι αν δεν συναινέσει στην πρόσβαση του φακέλου, συμπεριλαμβανομένων και των αποτελεσμάτων (παρότι ήταν ασθενής σε εξωτερικά ιατρεία) δεν θα μπορέσει να πραγματοποιήσει τις προγραμματισμένες δωρεάν εξετάσεις. Οι πληρεξούσιοι δικηγόροι του ΜΗΤΕΡΑ κατά την ανωτέρω ακρόαση της 26.02.20, αλλά και με το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/1957/13.3.20 υπόμνημά τους υποστήριξαν τα εξής: α) με βάση τον ΓΚΠΔ διαμορφώθηκε το Πληροφοριακό Δελτίο Εξωτερικού Ασθενούς ανά περιστατικό, στο πεδίο ΙΙ του οποίου έχει συμπεριληφθεί η «ΓΝΩΣΤΟΠΟΙΗΣΗ ΓΙΑ ΤΑ ΠΡΟΣΩΠΙΚΑ ΔΕΔΟΜΕΝΑ ΑΣΘΕΝΟΥΣ», όπου μεταξύ άλλων, ενημερώνονται τα υποκείμενα για την τήρηση του αρχείου, την πηγή των προσωπικών δεδομένων και δεδομένων υγείας, τον σκοπό επεξεργασίας, το δικαίωμα πρόσβασης, την επεξεργασία και διαβίβαση των τηρούμενων δεδομένων, τον χρόνο τήρησης, τα υφιστάμενα εκ του ΓΚΠΔ δικαιώματα του υποκειμένου των δεδομένων και τον τρόπο άσκησης αυτών, για τον Υπεύθυνο Προστασίας Δεδομένων, καθώς και για το δικαίωμα υποβολής καταγγελίας στην Αρχή σε περίπτωση μη επίλυσης του θέματος, στο τελευταίο δε πεδίο προβλέπεται η «ΔΗΛΩΣΗ ΣΥΓΚΑΤΑΘΕΣΗΣ ΑΣΘΕΝΗ ΓΙΑ ΠΡΟΣΒΑΣΗ ΑΣΦΑΛΙΣΤΙΚΟΥ ΦΟΡΕΑ ΣΤΑ ΠΡΟΣΩΠΙΚΑ ΔΕΔΟΜΕΝΑ», προκειμένου ο ασφαλιστικός φορέας που ο εκάστοτε ασθενής δηλώνει οικειοθελώς ότι τον καλύπτει, να έχει πρόσβαση και να λαμβάνει ενημέρωση σε σχέση με το είδος των εξετάσεων που πραγματοποιεί, β) κατά πάγια πρακτική για όλα τα εξωτερικά περιστατικά, ο ασθενής προσέρχεται στο εκάστοτε ταμείο της κλινικής, δηλώνει ή επικαιροποιεί τα δημογραφικά του στοιχεία, με απλή επίδειξη της αστυνομικής ταυτότητάς του ή άλλου εγγράφου ταυτοποίησης, δηλώνει ρητά τη συγκατάθεσή του ή μη και στο τέλος δηλώνει την ασφάλιση που έχει, αν έχει ή όχι ιδιωτική ασφαλιστική κάλυψη, αν θέλει να τη χρησιμοποιήσει για το συγκεκριμένο περιστατικό και σε θετική περίπτωση, παρέχει τη ρητή βούλησή του προς τούτο, υπογράφοντας στο τέλος «ΔΗΛΩΣΗ ΣΥΝΑΙΝΕΣΗΣ ΓΙΑ ΠΡΟΣΒΑΣΗ ΑΣΦΑΛΙΣΤΙΚΟΥ ΦΟΡΕΑ ΣΤΑ ΠΡΟΣΩΠΙΚΑ ΔΕΔΟΜΕΝΑ», γ) εάν κάποιος ασθενής προσέλθει για εξετάσεις σε εξωτερική βάση και έχει παραπεμπτικό ΕΟΠΥΥ και ταυτόχρονα και ιδιωτική ασφαλιστική εταιρία τότε το ΜΗΤΕΡΑ σύμφωνα και με τα οριζόμενα στο άρθρο 9 παρ. 2 στοιχ. η’ του ΓΚΠΔ έχει υποχρέωση να αναγγείλει το περιστατικό στον ΕΟΠΥΥ, σε διαφορετική περίπτωση ο ασθενής καταβάλλει εξ ιδίων το σύνολο του τιμολογηθέντος ποσού, παραλαμβάνει τα σχετικά τιμολόγια και μετά, εάν το επιθυμεί, υποβάλλει ο ίδιος στην ασφαλιστική του εταιρία τα εκδοθέντα τιμολόγια, για να αποζημιωθεί βάσει του ασφαλιστηρίου συμβολαίου του, δ) το ΜΗΤΕΡΑ ουδέποτε αποστέλλει και ουδέποτε του ζητείται από την εκάστοτε ιδιωτική ασφαλιστική εταιρία η αποστολή των αποτελεσμάτων των πραγματοποιηθεισών εξετάσεων, εφόσον δε ο ασθενής δεν επιθυμεί τη χρήση της ιδιωτικής ασφαλιστικής του εταιρίας, δεν υπογράφει στο οικείο πεδίο, ε) επί του συγκεκριμένου περιστατικού, ο καταγγέλλων είχε το δικαίωμα επιλογής στο έγγραφο που του χορηγήθηκε από το ΜΗΤΕΡΑ να αναγράψει ό,τι επιθυμεί σχετικά με την επεξεργασία των δεδομένων υγείας του τέκνου του, σε κανέναν εξαναγκασμό δεν υποβλήθηκε, προκειμένου να υπογράψει έγγραφο που δεν επιθυμεί ή δεν συμφωνεί, ουδέποτε τέθηκε το ενδεχόμενο άρνησης παροχής υπηρεσιών υγείας από το ΜΗΤΕΡΑ και δεν πραγματοποιήθηκε καμία παράνομη επεξεργασία προσωπικών δεδομένων υγείας του καταγγέλλοντος, καθότι κανένα αποτέλεσμα πραγματοποιηθείσας ιατρικής εξέτασης δεν εστάλη στην ιδιωτική ασφαλιστική εταιρία του καταγγέλλοντος, στ) η νομική βάση για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα είναι καταρχήν η παροχή ιατρικών υπηρεσιών κατά το άρθρο 9 παρ. 2 στοιχ. η’ του ΓΚΠΔ, ενώ η συγκατάθεση του υποκειμένου είναι απαραίτητη νομική βάση για τη σύννομη επεξεργασία προσωπικών δεδομένων στον τομέα της υγείας μόνον αυτή απαιτείται ρητά από διάταξη νόμου, και ζ) ο ασθενής δύναται να παράσχει ειδική, ρητή και ελεύθερη εξουσιοδότηση προς τον φορέα παροχής υπηρεσιών υγείας, ως υπεύθυνο επεξεργασίας, για τη διαβίβαση στην ασφαλιστική εταιρία ευαίσθητων προσωπικών δεδομένων σχετικών με την υγεία του, σύμφωνα με τις διατάξεις του άρθρου 9 παρ. 2 στοιχ. α’ του ΓΚΠΔ, γι’ αυτό και το ΜΗΤΕΡΑ έχει μεριμνήσει ώστε να λαμβάνει τη συγκατάθεση του υποκειμένου των δεδομένων για τη γνωστοποίηση του είδους και μόνον των εξετάσεων που λαμβάνουν χώρα ανά εξωτερικό περιστατικό. Η Αρχή, μετά από την ακροαματική διαδικασία και την εξέταση των στοιχείων του φακέλου και αφού άκουσε τον εισηγητή και τις βοηθούς εισηγητή, οι οποίες αποχώρησαν μετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη απόφασης, μετά από διεξοδική συζήτηση ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ

1. Επειδή, από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού 2016/679) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ.1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας του Α κατά του νοσηλευτικού ιδρύματος ΜΗΤΕΡΑ και να ασκήσει, αντίστοιχα, τις εξουσίες που της απονέμονται από τις διατάξεις των άρθρων 58 του ΓΚΠΔ και 15 του νόμου 4624/
3. Επειδή, το άρθρο 5 του ΓΚΠΔ καθορίζει τις αρχές επεξεργασίας που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, ορίζεται στην παράγραφο 1 ότι τα δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων: «α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα, διαφάνεια»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς, γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων»), (…)».
4. Επειδή, σύμφωνα με τα οριζόμενα, στη διάταξη του άρθρου 5 παρ. 2 του ΓΚΠΔ ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην παράγραφο 1 του άρθρου
5. Όπως έχει κρίνει η Αρχή 1, με τον ΓΚΠΔ υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό μέγεθος του οποίου συνιστά η αρχή της λογοδοσίας στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται με το 1 Βλ. απόφαση Αρχής 26/2019, σκέψη 8, διαθέσιμη στην ιστοσελίδα της. περαιτέρω καθήκον να αποδεικνύει από μόνος του και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ.
6. Επειδή, σύμφωνα και με το άρθρο 8 παρ. 1 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, το άρθρο 9Α του Συντάγματος και την αιτιολογική σκέψη 4 του ΓΚΠΔ, το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δεν είναι απόλυτο, αλλά πρέπει να εκτιμάται σε σχέση με τη λειτουργία του στην κοινωνία και να σταθμίζεται με άλλα θεμελιώδη δικαιώματα, σύμφωνα με την αρχή της αναλογικότητας. Ο ΓΚΠΔ σέβεται όλα τα θεμελιώδη δικαιώματα και τηρεί τις ελευθερίες και αρχές που αναγνωρίζονται στον Χάρτη, ιδίως τον σεβασμό της ιδιωτικής και οικογενειακής ζωής, της κατοικίας και των επικοινωνιών, την προστασία των δεδομένων προσωπικού χαρακτήρα, την ελευθερία σκέψης, συνείδησης και θρησκείας, την ελευθερία έκφρασης και πληροφόρησης, την επιχειρηματική ελευθερία, το δικαίωμα πραγματικής προσφυγής και αμερόληπτου δικαστηρίου και την πολιτιστική, θρησκευτική και γλωσσική πολυμορφία.
7. Επειδή, το άρθρο 9 παρ. 1 ΓΚΠΔ εισάγει, καταρχήν, απαγόρευση επεξεργασίας πληροφοριών που εμπίπτουν σε ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα, δηλ. δεδομένων προσωπικού χαρακτήρα που αφορούν, μεταξύ άλλων, την υγεία. Ακολούθως, η παράγραφος 2 του ίδιου άρθρου ορίζει ότι: «Η παράγραφος 1 δεν εφαρμόζεται στις ακόλουθες περιπτώσεις: α) το υποκείμενο των δεδομένων έχει παράσχει ρητή συγκατάθεση για την επεξεργασία αυτών των δεδομένων προσωπικού χαρακτήρα για έναν ή περισσότερους συγκεκριμένους σκοπούς, εκτός εάν το δίκαιο της Ένωσης ή κράτους μέλους προβλέπει ότι η απαγόρευση που αναφέρεται στην παράγραφο 1 δεν μπορεί να αρθεί από το υποκείμενο των δεδομένων, β) η επεξεργασία είναι απαραίτητηγια την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ’ απαίτηση του υποκειμένου των δεδομένων πριν τη σύναψη της σύμβασης (…).
8. Επειδή, στην εξεταζόμενη υπόθεση, από τα στοιχεία του φακέλου της υπόθεσης, προκύπτει ότι ο καταγγέλλων κατά την επίσκεψή του στο καταγγελλόμενο νοσηλευτικό ίδρυμα για έκτακτο ιατρικό περιστατικό του ανήλικου τέκνου του, αρνήθηκε να παράσχει θετική δήλωση βουλήσεως σ’ αυτό, ως υπεύθυνο επεξεργασίας, σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 4 στοιχ. 7 του ΓΚΠΔ, στο σχετικό έντυπο στο Πληροφοριακό Δελτίο Εξωτερικού Ανήλικου Ασθενούς του εν λόγω νοσηλευτικού ιδρύματος, με τίτλο «Δήλωση συναίνεσης νομίμου/ων αντιπροσώπων ασθενή για πρόσβαση ασφαλιστικού φορέα στα προσωπικά δεδομένα» και περιεχόμενο: « (…) Με την παρούσα δήλωση συναινώ ώστε, ο φορέας κοινωνικής ή/και ιδιωτικής ασφάλισης στον οποίο είναι ασφαλισμένος ο Ασθενής (ο «Ασφαλιστικός Φορέας») και συγκεκριμένα ο/η κοινοποιημένος στο «ΜΗΤΕΡΑ» ιατρός/ελεγκτής του Ασφαλιστικού μου Φορέα ή/και οι υποεκτελούντες την επεξεργασία για λογαριασμό του τελευταίου, για τους οποίους με έχει ενημερώσει ο ασφαλιστικός μου φορέας και τους έχω παράσχει τη σχετική συγκατάθεση προς τούτο να έχει/έχουν πρόσβαση και να λαμβάνει/λαμβάνουν αντίγραφα του Φακέλου που τηρεί το «ΜΗΤΕΡΑ» για αυτό το περιστατικό». Συγκεκριμένα, προκύπτει ότι ο καταγγέλλων αρνήθηκε να παράσχει τη συγκατάθεσή του για πρόσβαση της ασφαλιστικής εταιρείας στο σύνολο του ιατρικού φακέλου που τηρείται στο καταγγελλόμενο νοσηλευτικό ίδρυμα, ήτοι και στα αποτελέσματα των ιατρικών εξετάσεων που διενεργήθηκαν σ’ αυτό, δηλώνοντας χειρόγραφα πάνω στο σχετικό χωρίο του εντύπου «Δηλώνω ότι δεν συναινώ στην αποστολή των αποτελεσμάτων των εξετάσεων στον ασφαλιστικό φορέα ΝΝ ή οποιοδήποτε άλλο ασφαλιστικό φορέα», καθώς κατά τη γνώμη του αρκούσε η πρόσβαση μόνο στις διενεργηθείσες ιατρικές εξετάσεις για την απόδοση της ασφαλιστικής περίπτωσης από την αντισυμβαλλόμενη ασφαλιστική του εταιρεία ΝΝ. Κατόπιν της άρνησης παροχής θετικής δηλώσεως βουλήσεως εκ μέρους του καταγγέλλοντος προκύπτει ότι δεν πραγματοποιήθηκε διαβίβαση των αποτελεσμάτων των ιατρικών εξετάσεων από το καταγγελλόμενο νοσηλευτικό ίδρυμα ΜΗΤΕΡΑ προς την αντισυμβαλλόμενη με τον καταγγέλλοντα ασφαλιστική εταιρεία ΝΝ μετά την επέλευση της ασφαλιστικής περίπτωσης. Περαιτέρω, σύμφωνα με το υπ’ αρ. πρωτ. ΑΠΔΠΧ Γ/ΕΙΣ/1957/13.03.2020 υπόμνημα του νοσηλευτικού ιδρύματος ΜΗΤΕΡΑ, το τελευταίο ουδέποτε αποστέλλει ούτε της ζητείται να αποστείλει στην εκάστοτε πραγματοποιηθεισών ασφαλιστική εταιρεία τα αποτελέσματα των ιατρικών εξετάσεων. Συνακόλουθα, από τα στοιχεία του φακέλου της υπόθεσης, προκύπτει ότι το νοσηλευτικό ίδρυμα ΜΗΤΕΡΑ δεν προέβη σε επεξεργασία δεδομένων προσωπικού χαρακτήρα σεβόμενο την άρνηση παροχής συγκατάθεσης και, επομένως, δεν επήλθε παραβίαση δικαιώματος του καταγγέλλοντος, ως υποκειμένου των δεδομένων.
9. Επειδή, περαιτέρω, από τα στοιχεία του φακέλου της υπόθεσης, αναφορικά με την καταγγελλόμενη πρακτική που ακολουθεί το ελεγχόμενο νοσηλευτικό ίδρυμα σε σχέση με το περιεχόμενο των εντύπων δηλώσεων βουλήσεως καθίσταται ερευνητέο κατά πόσο η παροχή της θετικής δήλωσης βουλήσεως του ασθενούς, ως υποκειμένου των δεδομένων, πληροί της επιταγές του άρθρου 7 του ΓΚΠΔ, όπως ερμηνεύθηκε μάλιστα προσφάτως από το Δικαστήριο της Ευρωπαϊκής Ένωσης (ΔΕΕ) με την απόφαση Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV κατά Planet49 GmbH του Δικαστηρίου της Ευρωπαϊκής Ένωσης, σύμφωνα με την οποία «η συγκατάθεση του προσώπου στο οποίο αναφέρονται τα δεδομένα μπορεί να καταστήσει νόμιμη την ως άνω επεξεργασία εφόσον η συγκατάθεση του εν λόγω προσώπου είναι «ρητή». Μόνον, όμως, η ενεργή συμπεριφορά εκ μέρους του προσώπου αυτού με σκοπό τη δήλωση της συγκατάθεσής του δύναται να πληροί την εν λόγω απαίτηση»
10. Δεδομένου, ωστόσο, ότι το ζήτημα αυτό συνυφαίνεται και με την πρακτική που ακολουθούν οι ασφαλιστικές εταιρείες κατά τη συλλογή προσωπικών δεδομένων από τα νοσηλευτικά ιδρύματα, και λαμβάνοντας υπόψη ότι το ζήτημα αυτό σχετίζεται με το Σχέδιο Κώδικα Δεοντολογίας της Ένωσης Ασφαλιστικών Εταιρειών, το οποίο έχει υποβληθεί στην Αρχή προς έγκριση και ο οποίος μπορεί να χρησιμοποιηθεί ως στοιχείο για την απόδειξη της συμμόρφωσής της με το ΓΚΠΔ, εφόσον εγκριθεί από την Αρχή, σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 24 παρ. 3 του ΓΚΠΔ, η Αρχή επιφυλάσσεται να κρίνει τη νομιμότητα της ανωτέρω περιγραφόμενης επεξεργασίας σε σχέση και με την εξέταση του ανωτέρω Σχεδίου Κώδικα Δεοντολογίας. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή α) απορρίπτει την καταγγελία του Α κατά του καταγγελλόμενου νοσηλευτικού ιδρύματος ΜΗΤΕΡΑ, για τους λόγους που αναφέρονται στο σκεπτικό της παρούσας και β) επιφυλάσσεται να εξετάσει συνολικά την ακολουθούμενη πρακτική του νοσηλευτικού ιδρύματος ΜΗΤΕΡΑ και να κρίνει επί της νομιμότητας της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα των ασθενών, ως υποκειμένων των δεδομένων καθώς και της διαβίβασής τους προς τις ασφαλιστικές εταιρείες στο πλαίσιο της εξέτασης του σχεδίου Κώδικα Δεοντολογίας της Ένωσης Ασφαλιστικών Εταιρειών που έχει υποβληθεί προς έγκριση στην Αρχή, σύμφωνα με τα οριζόμενα 2 Απόφαση ΔΕΕ C-673/17 από 01.10.2019 σκ. 54 επ. στη διάταξη του άρθρου 40 παρ. 5 του ΓΚΠΔ. Ο Αναπληρωτής Πρόεδρος Γεώργιος Μπατζαλέξης Η Γραμματέας Ειρήνη Παπαγεωργοπούλου