Καταγγελία εργαζομένης για παράνομη επεξεργασία ευαίσθητων προσωπικών δεδομένων από τον εργοδότη της

Αθήνα, 07-03-2012 ΑΠ: Γ/ΕΞ/1758/07-03-2012 ΕΛΛΗΝΙΚΗ ∆ΗΜΟΚΡΑΤΙΑ ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ∆Ε∆ΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Ταχ. ∆/νση: ΚΗΦΙΣΙΑΣ 1-3 115 23 ΑΘΗΝΑ ΤΗΛ.: 210-6475600 FAX: 210-6475628 Α Π Ο Φ Α Σ Η 28/2012 Η Αρχή Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα συνήλθε µετά από πρόσκληση του Προέδρου της, στην έδρα της σε τακτική συνεδρίαση την Πέµπτη 09.02.2012 και ώρα 10:00, προκειµένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Πέτρος Χριστόφορος, Πρόεδρος της Αρχής, ως εισηγητής και Λεωνίδας Κοτσαλής, Αναστάσιος Πράσσος, ∆ηµήτριος Μπριόλας και Γραµµατή Πάντζιου, τακτικά µέλη της Αρχής. Επίσης, παρέστη ο Γρηγόριος Λαζαράκος, αναπληρωµατικό µέλος της Αρχής, σε αντικατάσταση του τακτικού µέλους Αναστάσιου-Ιωάννη Μεταξά. ∆εν παρέστησαν, αν και εκλήθησαν νοµίµως εγγράφως, ο Αντώνιος Ρουπακιώτης, τακτικό µέλος και ο Κωνσταντίνος Χριστοδούλου, αναπληρωµατικό µέλος. Παρούσες χωρίς δικαίωµα ψήφου ήταν η Χαρίκλεια Λάτσιου, ελέγκτρια νοµικός - δικηγόρος, ως βοηθός εισηγήτρια και η Γεωργία Παλαιολόγου, υπάλληλος του τµήµατος διοικητικών και οικονοµικών υποθέσεων, ως γραµµατέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Η Αρχή µε την υπ’ αρ. 73/2011 απόφασή της ανακάλεσε, µεταξύ άλλων, την υπ’ αρ. 44/2007 απόφασή της και εξετάζει εκ νέου τις καταγγελλόµενες πράξεις που αναφέρονται στην υπ’ αρ. πρωτ. ΑΠ∆ΠΧ Γ/ΕΙΣ/4564/07.07.2006 καταγγελία της Α κατά του Γενικού Νοσοκοµείου …….. 1 Συγκεκριµένα, η Α, µόνιµη διοικητική υπάλληλος του Νοσοκοµείου αυτού, κατήγγειλε στην Αρχή ότι ο ∆ιοικητής του Νοσοκοµείου, Β κοινοποίησε στο Τµήµα Προσωπικού, στο Λογιστήριο και στο Γραφείο Κίνησης (Γραµµατεία Εξωτερικών Ιατρείων) του Νοσοκοµείου την υπ’ αρ. πρωτ. …./..-042006 απόφασή του, στην οποία αναφέρεται ότι η εν λόγω εργαζόµενη επικαλέστηκε «ψυχολογικά προβλήµατα, εξ αιτίας των οποίων δήλωσε αδυναµία να ανταπεξέλθει στα νέα της καθήκοντα» και για το λόγο αυτό τοποθετείται στη Γραµµατεία των Εξωτερικών Ιατρείων κατ’ ικανοποίηση του αιτήµατός της. Η Αρχή µε τα υπ’ αρ. πρωτ. Γ/ΕΞ/6047/14.09.2011 και Γ/ΕΞ/6048/14.09.2011 έγγραφά της ενηµέρωσε το Γενικό Νοσοκοµείο ……… και την Α, αντίστοιχα, για την ανάκληση της υπ’ αρ. 44/2007 απόφασης της Αρχής. Επιπλέον, η Αρχή µε το υπ’ αρ. πρωτ. Γ/ΕΞ/7848/23.11.2011 έγγραφό της κάλεσε το Γενικό Νοσοκοµείο …….. όπως νοµίµως εκπροσωπείται, να παραστεί στη συνεδρίαση της Αρχής την Πέµπτη 01.12.2011 και ώρα 10.00 π.µ., στην έδρα της Αρχής, προκειµένου να συζητηθεί εκ νέου η προαναφερόµενη καταγγελία της Α κατά του Γενικού Νοσοκοµείου …….. Στην συνεδρίαση της Αρχής την 01.12.2011 το Γενικό Νοσοκοµείο ………, αν και εκλήθη νοµίµως εγγράφως, δεν παρέστη. Η Αρχή, µετά από εξέταση των προαναφεροµένων στοιχείων, αφού άκουσε τον εισηγητή και τη βοηθό εισηγήτρια, η οποία στη συνέχεια αποχώρησε, και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ

1. Επειδή, το άρθρο 2 στοιχ. β΄ του ν.2472/1997 ορίζει ότι για τους σκοπούς του νόµου αυτού νοούνται ως «ευαίσθητα δεδοµένα», τα δεδοµένα που αφορούν, µεταξύ άλλων, στην υγεία. Ως υγεία νοείται κάθε πληροφορία που ανάγεται τόσο στη βιολογική όσο και στην ψυχική κατάσταση της υγείας του ατόµου.
2. Επειδή, η διάταξη του άρθρου 4 παρ. 1 του ν. 2472/1997, εναρµονιζόµενη, ιδίως, µε τις διατάξεις των άρθρων 9Α, 25 παρ. 1 και 28 του Συν/τος, 8 και 7 του Χάρτη Θεµελιωδών ∆ικαιωµάτων της Ευρωπαϊκής Ένωσης και 6 της Οδηγίας 95/46/ΕΕ, ορίζει ότι: «Τα δεδοµένα προσωπικού χαρακτήρα για να τύχουν νόµιµης επεξεργασίας πρέπει: α) Να συλλέγονται κατά τρόπο θεµιτό και νόµιµο για καθορισµένους, σαφείς και νόµιµους σκοπούς και να υφίστανται θεµιτή και νόµιµη επεξεργασία ενόψει των σκοπών αυτών. β) Να είναι συναφή, πρόσφορα, και όχι περισσότερα από όσα κάθε φορά απαιτείται εν όψει των σκοπών της επεξεργασίας. (…)». Με τις διατάξεις αυτές καθιερώνονται ως θεµελιώδεις προϋποθέσεις για τη νοµιµότητα κάθε επεξεργασίας δεδοµένων προσωπικού χαρακτήρα, καθώς και για τη νοµιµότητα της σύστασης και λειτουργίας κάθε αρχείου, 2 οι αρχές του σκοπού της επεξεργασίας και της αναλογικότητας των δεδοµένων σε σχέση πάντα µε το σκοπό επεξεργασίας. Συνεπώς, κάθε επεξεργασία προσωπικών δεδοµένων, που γίνεται πέραν του επιδιωκόµενου σκοπού και που δεν είναι πρόσφορη και αναγκαία για την επίτευξή του, δεν είναι νόµιµη.
3. Επειδή, το άρθρο 7Α παρ. 1 του ν.2472/1997 ορίζει, µεταξύ άλλων, ότι: «Ο υπεύθυνος επεξεργασίας απαλλάσσεται από την υποχρέωση γνωστοποίησης και του άρθρου 6 και από την υποχρέωση λήψης άδειας του άρθρου 7 του παρόντος νόµου στις ακόλουθες περιπτώσεις: α) Όταν η επεξεργασία πραγµατοποιείται αποκλειστικά για σκοπούς που συνδέονται άµεσα µε σχέση εργασίας ή έργου ή µε παροχή υπηρεσιών στο δηµόσιο τοµέα και είναι αναγκαία για την εκπλήρωση υποχρέωσης που επιβάλλει ο νόµος ή για την εκτέλεση των υποχρεώσεων από τις παραπάνω σχέσεις και το υποκείµενο έχει προηγουµένως ενηµερωθεί». Με τη διάταξη αυτή επιτρέπεται κατ’ εξαίρεση η συλλογή και η επεξεργασία απλών και ευαίσθητων προσωπικών δεδοµένων στις εργασιακές σχέσεις, χωρίς να απαιτούνται οι πρόσθετες εγγυήσεις του νόµου για τη γνωστοποίηση του αρχείου (άρθρο 6) και τη λήψη προηγούµενης άδειας από την Αρχή (άρθρο 7), όταν πρόκειται για ευαίσθητα προσωπικά δεδοµένα (βλ. σχετικά Οδηγία 115/2001 της Αρχής για την επεξεργασία δεδοµένων των εργαζοµένων).
4. Επειδή, το άρθρο 10 του ν.2472/1997 ορίζει ότι: «
5. Η επεξεργασία δεδοµένων προσωπικού χαρακτήρα είναι απόρρητη. ∆ιεξάγεται αποκλειστικά και µόνο από πρόσωπα που τελούν υπό τον έλεγχο του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία και µόνο κατ’ εντολή του». Περαιτέρω, η παρ. 3 του ίδιου άρθρου προβλέπει ότι: «Ο υπεύθυνος επεξεργασίας οφείλει να λαµβάνει τα κατάλληλα οργανωτικά και τεχνικά µέτρα για την ασφάλεια των δεδοµένων και την προστασία τους από τυχαία ή αθέµιτη καταστροφή, τυχαία απώλεια, αλλοίωση, απαγορευµένη διάδοση ή πρόσβαση και κάθε άλλη µορφή αθέµιτης επεξεργασίας. Αυτά τα µέτρα πρέπει να εξασφαλίζουν επίπεδο ασφαλείας ανάλογο προς τους κινδύνους που συνεπάγεται η επεξεργασία και η φύση των δεδοµένων που είναι αντικείµενο της επεξεργασίας (…)». Ανάλογες διατυπώσεις για την τήρηση του απορρήτου προβλέπονται και στις διατάξεις του άρθρου 23 του ν.3528/2007 και του άρθρου 4 του Π.∆/τος 178/2004 (ΦΕΚ Α΄ 154) σχετικά µε τον τρόπο τήρησης – ενηµέρωσης του προσωπικού µητρώου δηµοσίων υπαλλήλων και υπαλλήλων ΝΠ∆∆.
6. Επειδή, το άρθρο 19 παρ. 1 στοιχ. γ΄ του ν.2472/1997 προβλέπει ότι η Αρχή έχει την αρµοδιότητα, µεταξύ άλλων, να: «Απευθύνει συστάσεις και υποδείξεις στους υπευθύνους επεξεργασίας ή τους τυχόν εκπροσώπους τους και δίδει κατά την κρίση της δηµοσιότητα σε αυτές».
7. Επειδή, στην υπό κρίση υπόθεση, η γνωστοποίηση της υπ’ αρ. πρωτ. …../...04.2006 απόφασης του ∆ιοικητή του Νοσοκοµείου σε τρία τµήµατα του Νοσοκοµείου για την µετακίνηση 3 της υπαλλήλου Α σε άλλο τµήµα του Νοσοκοµείου µε αναγραφή της πληροφορίας για την κατάσταση της υγείας της συνιστά επεξεργασία ευαίσθητων προσωπικών δεδοµένων, σύµφωνα µε τα οριζόµενα στις διατάξεις των άρθρων 2 στοιχ. β΄ και δ΄ του ν.2472/
8. Η επεξεργασία αυτή πραγµατοποιήθηκε για σκοπό νόµιµο και θεµιτό, σύµφωνα µε τα οριζόµενα στις διατάξεις των άρθρων 4 παρ. 1 στοιχ. α΄ και 7Α παρ. 1 στοιχ. α΄ του ν.2472/1997, που συνδεόταν άµεσα µε τη δηµοσιοϋπαλληλική της σχέση της καταγγέλλουσας και εν προκειµένω µε την αιτηθείσα από την ίδια εσωτερική µετακίνησή της. Για την εκπλήρωση, ωστόσο, του σκοπού αυτού δεν χρειαζόταν η ρητή αναφορά στην κατάσταση της υγείας της καταγγέλλουσας, παρά αρκούσε ενδεικτικά η αναφορά σε σοβαρούς προσωπικούς λόγους που συνέτρεχαν στο πρόσωπο της αιτούσας για τη µετακίνησή της. Η αποκάλυψη της κατάστασης της υγείας της καταγγέλλουσας στην προαναφερόµενη απόφαση του ∆ιοικητή του Νοσοκοµείου παραβιάζει την αρχή της αναλογικότητας του άρθρου 4 παρ. 1 στοιχ. β΄ του ν.2472/1997 καθώς και την υποχρέωση του απορρήτου της επεξεργασίας, σύµφωνα µε το άρθρο 10 του ν.2472/
9. Η Αρχή αναγνωρίζει ως ελαφρυντική περίσταση το γεγονός ότι η αποκάλυψη του ευαίσθητου προσωπικού δεδοµένου της καταγγέλλουσας έγινε εντός της σφαίρας του Νοσοκοµείου, ως υπευθύνου επεξεργασίας, στο πλαίσιο µάλιστα της κάλυψης των υπηρεσιακών αναγκών του Νοσοκοµείου. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή, απευθύνει σύσταση στο Γενικό Νοσοκοµείο …………, ως υπεύθυνο επεξεργασίας, για την τήρηση των διατάξεων του ν.2472/1997 – κατά τα αναφερόµενα στο σκεπτικό της παρούσας – ιδίως αναφορικά µε την τήρηση της αρχής της αναλογικότητας και του απορρήτου της επεξεργασίας κατά τη συλλογή και την επεξεργασία προσωπικών δεδοµένων. Ο Πρόεδρος της Αρχής Η γραµµατέας Πέτρος Χριστόφορος Γεωργία Παλαιολόγου 4