Αθήνα, 24-11-2014 Αριθ. Πρωτ.: Γ/ΕΞ/7173/24-11-2014 ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ΕΟΜΕΝΝ ΠΡΟΣΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Α Π Ο Φ Α Σ Η 176/2014 Η Αρχή Προστασ ας εδο&ένων Προσωπικού Χαρακτήρα συνήλθε στην έδρα της την Τρ τη 14.10.2014 και ώρα 10:00, εξ αναβολής από τις συνεδριάσεις της 23ης.07.2014 και 30ης.07.2014, &ετά από πρόσκληση του Προέδρου της, προκει&ένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής, Πέτρος Χριστόφορος και τα τακτικά &έλη της Αρχής Λεων δας Κοτσαλής, Αναστάσιος-Ιωάννης Μεταξάς, η&ήτριος Μπριόλας, Αντώνιος Συ&βώνης, Κωνσταντ νος Χριστοδούλου και Πέτρος Τσαντ λας, ως εισηγητής. Στη συνεδρ αση παρέστη ακό&α το αναπληρω&ατικό &έλος της Αρχής, Παναγιώτης Ροντογιάννης, ως εισηγητής. Παρούσες χωρ ς δικα ω&α ψήφου ήταν οι Χαρ κλεια Λάτσιου, νο&ικός ελεγκτήςδικηγόρος και Γεωργ α Παναγοπούλου, πληροφορικός-ελεγκτής, ως βοηθο εισηγήτριες. ς βοηθός εισηγήτρια ε χε οριστε η Ζωή Καρδασιάδου, η οπο α λόγω κωλύ&ατος δεν παρέστη στη συνεδρ αση αυτή (της 14ης .10.2014). Παρέστη, επ σης, η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τ&ή&ατος διοικητικών και οικονο&ικών υποθέσεων, ως γρα&&ατέας, &ε εντολή του Προέδρου. Η Αρχή έλαβε υπόψη της τα παρακάτω: Με το υπ’ αρ. πρωτ. …/..-..-2013 (υπ’ αρ. πρωτ. ΑΠΠΧ Γ/ΕΙΣ/7532/25.11.2013) έγγραφο το Νοσοκο&ε ο Λαϊκό διαβιβάζει το υπ’ αρ. πρωτ. …/..-..-2013 έγγραφο του Τ&ή&ατος Ανοσολογ ας – Ιστοσυ&βατότητας του Νοσοκο&ε ου και ζητε από την Αρχή: «όπως ας απα τήσε[ι] σχετικά ε το ερώτηα της τελευταίας παραγράφου, το οποίο α αφέρεται σε χορήγηση στοιχείω σχετικώ ε Ευαίσθητα Προσωπικά εδοέ α έσω ηλεκτρο ικού ταχυδροείου, καθώς και τα κριτήρια που θα πρέπει α πληρού ται σε τέτοια περίπτωση». Συγκεκρι&ένα, η /ντρια του Τ&ή&ατος Ανοσολογ ας – Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 1 Ιστοσυ&βατότητας του Νοσοκο&ε ου &ε το από ..-..-2013 έγγραφό της προς τη ιο κηση του Νοσοκο&ε ου, αναφερό&ενη στα προβλή&ατα εφαρ&ογής του νέου πληροφοριακού συστή&ατος της εταιρε ας CCS στο Τ&ή&α αυτό, καταλήγει στο ακόλουθο ερώτη&α: «Επίσης, επα έρχοαι εκ έου στο Αριθ. Πρωτ. …/..-..-2013 αίτηά ας για τη εγκατάσταση της δυ ατότητας αποστολής τω αποτελεσάτω τω εξωτερικώ ασθε ώ έσω ηλεκτρο ικού ταχυδροείου σε η επεξεργάσιη ορφή, καθώς το Τήα στερείται γραατέως από το 2011». Η Αρχή, κατά την εξέταση της υπόθεσης, κάλεσε &ε το υπ’ αρ. πρωτ. Γ/ΕΞ/2973/12.05.2014 έγγραφο το Νοσοκο&ε ο Λαϊκό να παράσχει συγκεκρι&ένες διευκριν σεις. Σε απάντηση του εγγράφου αυτού, το Νοσοκο&ε ο Λαϊκό απέστειλε το υπ’ αρ. πρωτ. …/..-..-2014 (υπ’ αρ. πρωτ. ΑΠΠΧ Γ/ΕΙΣ/3696/12.06.2014) έγγραφο, διευκριν ζοντας, &εταξύ άλλων, ότι το ερώτη&α της αποστολής ιατρικών αποτελεσ&άτων των ασθενών &έσω ηλεκτρονικού ταχυδρο&ε ου αφορά, προς το παρόν, &όνο στο Τ&ή&α Ανοσολογ ας – Ιστοσυ&βατότητας και όχι και άλλα Τ&ή&ατα του συγκεκρι&ένου Νοσοκο&ε ου. Ακολούθως, η Αρχή &ε το υπ’ αρ. πρωτ. Γ/ΕΞ/3422/30.05.2014 έγγραφο κάλεσε το Νοσοκο&ε ο Λαϊκό, όπως νο& &ως εκπροσωπε ται, να παραστε στη συνεδρ αση της Αρχής την 18η.06.2014 προκει&ένου να συζητηθε το υποβληθέν στην Αρχή ερώτη&α. Στη συνεδρ αση της Αρχής την 18η.06.2014 παρέστησαν οι Α, και Β, &έλη της Επιτροπής Ασφαλε ας του Νοσοκο&ε ου. Κατά τη συνεδρ αση αυτή, η Αρχή αποφάσισε να διακόψει τη συνεδρ αση και να ζητήσει την εκπροσώπηση του Νοσοκο&ε ου στο υψηλότερο δυνατό επ πεδο ενώπιον της Αρχής σε νέα συνεδρ αση την 02η.07.2014, προκει&ένου να εξετασθε το υποβληθέν ερώτη&α. Στη συνεδρ αση της Αρχής την 02η.07.2014 παρέστησαν οι Γ, , Ε, Α, και Β, &έλη της Επιτροπής Ασφαλε ας του Νοσοκο&ε ου. Κατά τη συνεδρ αση αυτή η Αρχή, αφού άκουσε τις απόψεις των εκπροσώπων του Νοσοκο&ε ου για το υποβληθέν ερώτη&α, έθεσε προθεσ& α ως τις 16.07.2014 για την υποβολή έγγραφου υπο&νή&ατος. Παράλληλα, η Αρχή &ε το υπ’ αρ. πρωτ. Γ/ΕΞ/4254/04.07.2014 έγγραφο, κατόπιν αιτή&ατος του Νοσοκο&ε ου, υπέβαλε εγγράφως συγκεκρι&ένα ερωτή&ατα που ανέκυψαν κατά τη συνεδρ αση της 02ης.07.
- Σε απάντηση του εγγράφου αυτού της Αρχής, το Νοσοκο&ε ο Λαϊκό &ε το υπ’ αρ. πρωτ. …/..-..-2014 (υπ’ αρ. πρωτ. ΑΠΠΧ Γ/ΕΙΣ/4472/16.07.2014) έγγραφο ενη&έρωσε την Αρχή, &εταξύ άλλων, ότι: «Έχο τας υπόψη όσα διαλαβά ο ται στις παρ. 1 έως και 24 του άρθρου 14 του Ν.2672/98 ( ιακί ηση εγγράφω ε ηλεκτρο ικά έσα, τηλεοοιοτυπία – ηλεκτρο ικό ταχυδροείο), καθώς επίσης και στα άρθρα 4, 6, 7, 8, 18, 21, 30 κ.λ.π. του Ν.3979/2011 (για τη ηλεκτρο ική διακυβέρ ηση και λοιπές διατάξεις) και τη υπ’ Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 2 αριθ. ΥΑΠ/Φ40.4/1/989 (ΦΕΚ Β΄ αρ. φυλ. 1301 της 124/2012 (άρθρο 1 παρ. 2,3) φρο ούε ότι το ισχύο δίκαιο επιτρέπει τη χρήση ηλεκτρο ικού ταχυδροείου για τη αποστολή αποτελεσάτω ιατρικώ εξετάσεω ε εξαίρεση τη παρ. 6 του άρθρου 14 του Ν.2672/198 δηλαδή “τα έγγραφα τα οποία περιέχου ευαίσθητα δεδοέ α προσωπικού χαρακτήρα, σύφω α ε τις διατάξεις της κείε ης οοθεσίας για τη προστασία ατόω από τη επεξεργασία δεδοέ ω προσωπικού χαρακτήρα”. Αλλά και σ’ αυτή όως τη περίπτωση φρο ούε ότι δε υφίσταται κα έ α απολύτως θέα εφ’ όσο διασφαλίζεται η συγκατάθεση του ε διαφεροέ ου στο οποίο αφορού οι ιατρικές εξετάσεις προς εξυπηρέτηση και διευκόλυ ση του οποίου αποστέλλο ται αυτές (…) Σε κάθε περίπτωση το Νοσοκοείο εί αι σε θέση α εφαρόσει τις οποιεσδήποτε υποδείξεις και α χρησιοποιήσει τα οποιαδήποτε ε δεδειγέ α σύγχρο α τεχ ικά έσα προς εγαλύτερη εξασφάλιση και διαφύλαξη τω προσωπικώ δεδοέ ω τω ασθε ώ κατά τη αποστολή σ’ αυτούς τω ιατρικώ τους εξετάσεως έσω (ηλεκτρο ικού ταχυδροείου) (…)». Η Αρχή, &ετά από εξέταση των στοιχε ων του φακέλου, αφού έγινε &νε α στα δια&ειφθέντα κατά τις συνεδριάσεις των 18ης.06.2014 και 02ας.07.2014, άκουσε τους εισηγητές και τις βοηθούς εισηγητών, οι οπο ες στη συνέχεια αποχώρησαν και κατόπιν διεξοδικής συζήτησης, Σ ΕΦΤΗ Ε ΣΥΜΦ ΝΑ ΜΕ ΤΟ ΝΟΜΟ
- Επειδή, το άρθρο 12 του ν.2472/1997 προβλέπει: «
- Καθέ ας έχει δικαίωα α γ ωρίζει εά δεδοέ α προσωπικού χαρακτήρα που το αφορού αποτελού ή αποτέλεσα α τικείε ο επεξεργασίας. Προς τούτο, ο υπεύθυ ος επεξεργασίας, έχει υποχρέωση α του απα τήσει εγγράφως.
- Το υποκείε ο τω δεδοέ ω έχει δικαίωα α ζητεί και α λαβά ει από το υπεύθυ ο επεξεργασίας, χωρίς καθυστέρηση και κατά τρόπο εύληπτο και σαφή, τις ακόλουθες πληροφορίες: α) Όλα τα δεδοέ α προσωπικού χαρακτήρα που το αφορού , καθώς και τη προέλευσή τους. β) Τους σκοπούς της επεξεργασίας, τους αποδέκτες ή τις κατηγορίες αποδεκτώ . γ) Τη εξέλιξη της επεξεργασίας για το χρο ικό διάστηα από τη προηγούε η ε ηέρωση ή πληροφόρησή του. δ) Τη λογική της αυτοατοποιηέ ης επεξεργασίας. Το δικαίωα πρόσβασης πορεί α ασκείται από το υποκείε ο τω δεδοέ ω και ε τη συ δροή ειδικού. ε) κατά περίπτωση, τη διόρθωση, τη διαγραφή ή τη δέσευση (κλείδωα) τω δεδοέ ω τω οποίω η επεξεργασία δε εί αι σύφω η προς τις διατάξεις του παρό τος όου, ιδίως λόγω του ελλιπούς ή α ακριβούς χαρακτήρα τω δεδοέ ω , και στ) τη κοι οποίηση σε τρίτους, στους οποίους έχου α ακοι ωθεί τα δεδοέ α, κάθε διόρθωσης, διαγραφής ή Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 3 δέσευσης (κλειδώατος) που διε εργείται σύφω α ε τη περίπτωση ε, εφόσο τούτο δε εί αι αδύ ατο ή δε προϋποθέτει δυσα άλογες προσπάθειες.
- Το δικαίωα της προηγούε ης παραγράφου και τα δικαιώατα του άρθρου 13 ασκού ται ε τη υποβολή της σχετικής αίτησης στο υπεύθυ ο της επεξεργασίας και ταυτόχρο η καταβολή χρηατικού ποσού, το ύψος του οποίου, ο τρόπος καταβολής του και κάθε άλλο συ αφές ζήτηα ρυθίζο ται ε απόφαση της Αρχής. Το ποσό αυτό επιστρέφεται στο αιτού τα εά το αίτηα διόρθωσης ή διαγραφής τω δεδοέ ω κριθεί βάσιο είτε από το υπεύθυ ο της επεξεργασίας είτε από τη Αρχή, σε περίπτωση προσφυγής του σ' αυτή . Ο υπεύθυ ος έχει υποχρέωση στη περίπτωση αυτή α χορηγήσει στο αιτού τα, χωρίς καθυστέρηση δωρεά και σε γλώσσα κατα οητή, α τίγραφο του διορθωέ ου έρους της επεξεργασίας που το αφορά». Το άρθρο 10 του ν.2472/1997 καθιερώνει δύο θε&ελιώδεις αρχές που διέπουν την επεξεργασ α προσωπικών δεδο&ένων και καθορ ζουν τη νο&ι&ότητά της: την αρχή του απορρήτου και της ασφάλειας της επεξεργασ ας. Βάσει των αρχών αυτών, ο υπεύθυνος επεξεργασ ας βαρύνεται, &εταξύ άλλων, &ε την λήψη των κατάλληλων οργανωτικών και τεχνικών &έτρων για την προστασ α των προσωπικών δεδο&ένων από τυχα α καταστροφή, τυχα α απώλεια, και από κάθε αθέ&ιτη επεξεργασ α. Η παράβαση δε των υποχρεώσεων που καθιερώνονται &ε το άρθρο 10 του ν.2472/1997 επισύρει διοικητικές και ποινικές κυρώσεις και ιδρύει, υπό προϋποθέσεις, αστική ευθύνη του υπευθύνου επεξεργασ ας, σύ&φωνα &ε τα οριζό&ενα στις διατάξεις των άρθρων 21, 22 και 23 του ν.2472/
- Επιπλέον, το άρθρο 14 του ν.3418/2005 προβλέπει ότι: «
- Ο ιατρός υποχρεούται α τηρεί ιατρικό αρχείο, σε ηλεκτρο ική ή η ορφή, το οποίο περιέχει δεδοέ α που συ δέο ται αρρήκτως ή αιτιωδώς ε τη ασθέ εια ή τη υγεία τω ασθε ώ του. Για τη τήρηση του αρχείου αυτού και τη επεξεργασία τω δεδοέ ω του εφαρόζο ται οι διατάξεις του .2472/1997 (ΦΕΚ 50 Α΄). (…).
- Οι κλι ικές και τα οσοκοεία τηρού στα ιατρικά τους αρχεία και τα αποτελέσατα όλω τω κλι ικώ και παρακλι ικώ εξετάσεω . (…)
- Ο ασθε ής έχει δικαίωα πρόσβασης στα ιατρικά αρχεία, καθώς και λήψης α τιγράφω του φακέλου του (…)». Από το συνδυασ&ό των ανωτέρω διατάξεων των νό&ων 2472/1997 και 3418/2005 προκύπτει ότι ο ασθενής, ως υποκε &ενο των δεδο&ένων, έχει δικα ω&α πρόσβασης στον ιατρικό του φάκελο και λήψης αντιγράφων αυτού, το δε νοσηλευτικό δρυ&α, ως υπεύθυνος επεξεργασ ας, οφε λει να ικανοποιήσει το δικα ω&ά του αυτό, λα&βάνοντας τα κατάλληλα οργανωτικά και τεχνικά &έτρα για την προστασ α των προσωπικών δεδο&ένων, &εταξύ άλλων από τυχα α ή αθέ&ιτη καταστροφή, τυχα α απώλεια, απαγορευ&ένη διάδοση και από κάθε &ορφής αθέ&ιτη επεξεργασ α.
- Επειδή, περαιτέρω, το άρθρο 14 του ν. 2672/1998 (ΦΕΚ Α΄ 290), όπως τροποποιήθηκε και Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 4 ισχύει, προβλέπει ότι: «
- Επιτρέπεται η διακί ηση εγγράφω εταξύ τω υπηρεσιώ του ηοσίου, τω Ν.Π. . . και τω οργα ισώ τοπικής αυτοδιοίκησης ή εταξύ αυτώ και τω ε διαφερόε ω φυσικώ προσώπω , οικώ προσώπω ιδιωτικού δικαίου και ε ώσεω προσώπω ε τηλεοιοτυπία και ηλεκτρο ικό ταχυδροείο (…)
- Μεταξύ τω υπηρεσιώ της παραγράφου 1, διακι ού ται ε ηλεκτρο ικό ταχυδροείο, κατά τις διατάξεις του παρό τος άρθρου, η ύατα που έχου ως περιεχόε ο γ ωοδοτήσεις, ερωτήατα, αιτήσεις, απα τήσεις, εγκυκλίους, οδηγίες, εκθέσεις, ελέτες, πρακτικά, στατιστικά στοιχεία, υπηρεσιακά σηειώατα και έγγραφες εισηγήσεις. Κατά το παραπά ω τρόπο διακι ού ται εταξύ τω υπηρεσιώ αυτώ και τω φυσικώ και οικώ προσώπω ιδιωτικού δικαίου η ύατα που έχου ως περιεχόε ο αιτήσεις παροχής πληροφοριώ και σχετικές απα τήσεις.
- Για τη διακί ηση εγγράφω ε τηλεοοιοτυπία ή η υάτω ε ηλεκτρο ικό ταχυδροείο προς φυσικά πρόσωπα, οικά πρόσωπα ιδιωτικού δικαίου ή ε ώσεις φυσικώ προσώπω απαιτείται η συγκατάθεσή τους. Τα φυσικά ή οικά πρόσωπα ιδιωτικού δικαίου πορού α δηλώ ου της προτίησή τους ως προς το έσο της απά τησης. Σε διαφορετική περίπτωση τεκαίρεται η συγκατάθεσή τους για τη διακί ηση της απά τησης ε το ίδιο έσο.
- Από τις διατάξεις τω παραγράφω 3 και 4 εξαιρού ται: (…) β. Τα έγγραφα τα οποία περιέχου ευαίσθητα δεδοέ α προσωπικού χαρακτήρα, σύφω α ε τις διατάξεις της κείε ης οοθεσίας για τη προστασία ατόω από τη επεξεργασία δεδοέ ω προσωπικού χαρακτήρα (…)». Από τον συνδυασ&ό των ανωτέρω διατάξεων του άρθρου 14 του ν.2672/1998 η Αρχή δέχεται, κατά πλειοψηφ α, ότι η ικανοπο ηση του δικαιώ&ατος πρόσβασης του ασθενούς στα ιατρικά αρχε α νοσηλευτικού ιδρύ&ατος &ε την αποστολή αποτελεσ&άτων κλινικών ή παρακλινικών εξετάσεων &έσω ηλεκτρονικού ταχυδρο&ε ου από νοσηλευτικό δρυ&α Ν.Π..., επιτρέπεται, όταν ο ασθενής, ως υποκε &ενο των δεδο&ένων έχει εγγράφως ζητήσει ρητά η αποστολή των δεδο&ένων αυτών της υγε ας του να πραγ&ατοποιηθε &ε ηλεκτρονικό ταχυδρο&ε ο. Τούτο δε διότι η συγκατάθεση του υποκει&ένου των δεδο&ένων ε ναι ισχυρή και όταν αναφέρεται σε ευα σθητα δεδο&ένα. Άλλωστε το γρά&&α της διατάξεως της παραγράφου 6 του άρθρου 14 δεν αποκλε ει την εφαρ&ογή της παραγράφου 4 όταν υπάρχει συγκατάθεση του υποκει&ένου, θέ&α που ρυθ& ζεται ρητά στην παράγραφο 5 του άρθρου 14 του ν.2672/
- Τα ανωτέρω τελούν υπό την προϋπόθεση ότι τηρούνται τα κατάλληλα οργανωτικά και τεχνικά &έτρα ασφάλειας για την επεξεργασ α των προσωπικών δεδο&ένων, σύ&φωνα &ε τα οριζό&ενα στο άρθρο 10 παρ. 3 του ν.2472/1997, τα οπο α, ως προς τα θέ&ατα παροχής υπηρεσιών ηλεκτρονικής διακυβέρνησης, ρυθ& ζονται πλέον ειδικότερα και στο νό&ο 3979/2011 και το Πλα σιο Παροχής Υπηρεσιών Ηλεκτρονικής ιακυβέρνησης. Αντ θετα, κατά την άποψη δύο &ελών της Αρχής, η αποστολή αποτελεσ&άτων ιατρικών εξετάσεων Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 5 ασθενών &ε ηλεκτρονικό ταχυδρο&ε ο από νοσηλευτικό δρυ&α Ν.Π... ακό&α και &ε τη συγκατάθεση των ασθενών απαγορεύεται, καθώς κατισχύει η παράγραφος 6 του άρθρου 14 του νό&ου 2672/1998, που απαγορεύει γενικά την αποστολή &ε ηλεκτρονικό ταχυδρο&ε ο εγγράφων που περιέχουν ευα σθητα δεδο&ένα προσωπικού χαρακτήρα.
- Επειδή, ειδικότερα, ο νό&ος 3979/2011 (ΦΕΚ Α΄ 138) προβλέπει ότι στις υπηρεσ ες ηλεκτρονικής διακυβέρνησης περιλα&βάνονται οι υπηρεσ ες που συν στανται στην παραγωγή, διακ νηση και διαχε ριση πληροφοριών δεδο&ένων και ηλεκτρονικών εγγράφων και στην παροχή υπηρεσιών από φορε ς του δη&όσιου το&έα ή στην πραγ&ατοπο ηση συναλλαγών &ε αυτούς του φορε ς &ε χρήση ΤΠΕ (άρθρο 3). Το άρθρο 7 του νό&ου αυτού ορ ζει ότι: «
- Οι φορείς του δηοσίου τοέα παρέχου δεδοέ ω υπηρεσίες ηλεκτρο ικής διακυβέρ ησης ε σεβασό του δικαιώατος προστασίας προσωπικού χαρακτήρα και της ιδιωτικότητας τω φυσικώ σχεδιασό, διαόρφωση και προήθεια πληροφοριακώ συστηάτω προσώπω .
- Κατά το και υπηρεσιώ ηλεκτρο ικής διακυβέρ ησης γί εται αξιολόγηση τω επιπτώσεώ τους στη ιδιωτικότητα και στη προστασία τω δεδοέ ω προσωπικού χαρακτήρα (…)». Ακολούθως, το άρθρο 21 προβλέπει ότι: «
- Με τη επιφύλαξη ειδικώ ρυθίσεω που καθιστού υποχρεωτική τη χρήση ΤΠΕ για τη επικοι ω ία και τη συ αλλαγή ε φορέα του δηόσιου τοέα, ο φορέας του δηόσιου τοέα πορεί α χρησιοποιεί ηλεκτρο ικό τρόπο επικοι ω ίας ε φυσικά πρόσωπα ή Ν.Π.Ι. . και παροχής υπηρεσιώ ηλεκτρο ικής διακυβέρ ησης σε αυτά, εφόσο τα πρόσωπα αυτά έχου ζητήσει τη χρήση του τρόπου αυτού ή έχου δώσει τη ρητή συγκατάθεσή τους. Η αίτηση και η παροχή της συγκατάθεσης, καθώς και η α άκλησή της πορού α διαβιβάζο ται και ε ηλεκτρο ικό τρόπο, εφόσο τηρού ται οι προϋποθέσεις της ταυτοποίησης και επιβεβαίωσης ταυτότητας (αυθε τικοποίησης).
- Οι φορείς του δηόσιου τοέα επικοι ω ού και συ αλλάσσο ται ε φυσικά πρόσωπα και Ν.Π.Ι. . και ε γέ ει παρέχου υπηρεσίες ηλεκτρο ικής διακυβέρ ησης σε αυτά, τηρώ τας τις προϋποθέσεις και τους όρους ασφαλείας που περιέχο ται στο προβλεπόε ο στο άρθρο 27 του .3731/2008 Πλαίσιο Παροχής Υπηρεσιώ Ηλεκτρο ικής ιακυβέρ ησης ή στη πολιτική ασφαλείας του εκάστοτε φορέα του δηοσίου τοέα». Εν συνεχε α, το άρθρο 25 ορ ζει στην παράγραφο 1: «Οι φορείς του δηόσιου τοέα διακι ού ή α ταλλάσσου ε χρήση ΤΠΕ έγγραφα και δεδοέ α στο πλαίσιο της άσκησης τω αροδιοτήτω που τους έχου α ατεθεί και για τη εκπλήρωση αυτώ , υπό τη προϋπόθεση ότι τηρού ται οι όροι ασφάλειας στο επίπεδο που κάθε φορά επιβάλλεται από τη φύση τω διακι ούε ω εγγράφω και επιβεβαιώ εται η ταυτότητα (αυθε τικοποίηση) τω δηόσιω λειτουργώ και υπαλλήλω . Οι όροι ασφάλειας που πρέπει α τηρού ται για τη διακί ηση τω εγγράφω εταξύ φορέω του δηόσιου Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 6 τοέα, καθώς και άλλο σχετικό θέα καθορίζο ται ε απόφαση του Υπουργού Εσωτερικώ , Αποκέ τρωσης και Ηλεκτρο ικής ιακυβέρ ησης». Ακολούθως, το άρθρο 30 παρ. 1 προβλέπει ότι: «Η ταυτοποίηση και αυθε τικοποίηση τω φυσικώ προσώπω που επικοι ω ού και συ αλλάσσο ται ε φορείς του δηοσίου τοέα εί αι υποχρεωτική: α) εφόσο η επικοι ω ία ή η συ αλλαγή: (…) γγ) αφορά τη έκδοση, α απαραγωγή ή κοι οποίηση πράξεω , βεβαιώσεω , πιστοποιητικώ εγγράφω , τα οποία περιέχου και ε ή σχετίζο ται ε δεδοέ α προσωπικού χαρακτήρα τω γέ ει φυσικώ προσώπω που συ αλλάσσο ται ε τη διοίκηση (…)». Συνεπώς, σύ&φωνα &ε τις προαναφερό&ενες διατάξεις του ν. 3979/2011 η αποστολή αποτελεσ&άτων ιατρικών εξετάσεων ασθενών από νοσηλευτικό δρυ&α Ν.Π.., όπως το Νοσοκο&ε ο Λαϊκό, &έσω ηλεκτρονικού ταχυδρο&ε ου επιτρέπεται, εφόσον οι ασθενε ς, ως υποκε &ενα των δεδο&ένων, έχουν δώσει την προηγού&ενη ρητή συγκατάθεσή τους για το συγκεκρι&ένο τρόπο της ικανοπο ησης του δικαιώ&ατος πρόσβασης, &ε την προϋπόθεση ότι εκπληρώνεται η υποχρέωση της ταυτοπο ησης και επιβεβα ωσης (αυθεντικοπο ησης) τόσο των φυσικών προσώπων (ασθενών, ως υποκει&ένων των δεδο&ένων) όσο και του συγκεκρι&ένου νοσηλευτικού ιδρύ&ατος (Νοσοκο&ε ο Λαϊκό), και εφόσον τηρούνται οι προϋποθέσεις και οι όροι ασφάλειας που περιέχονται στο προβλεπό&ενο από το άρθρο 27 του ν. 3731/2008 Πλα σιο Παροχής Υπηρεσιών Ηλεκτρονικής ιακυβέρνησης.
- Συναφώς, κατ’ εξουσιοδότηση των άρθρων 27 του ν.3731/2008 και 21 παρ. 2 του ν.3979/2011 εκδόθηκε η υπ’ αρ. ΥΑΠ/Φ.40.4/1/989 (ΦΕΚ Β΄ 1301/12.04.2012) υπουργική απόφαση του Υφυπουργού ιοικητικής Μεταρρύθ&ισης και Ηλεκτρονικής ιακυβέρνησης, &ε τ τλο «Κύρωση Πλαισ ου Παροχής Υπηρεσιών Ηλεκτρονικής ιακυβέρνησης», στην οπο α προβλέπονται οι προϋποθέσεις ταυτοπο ησης και επιβεβα ωσης (αυθεντικοπο ησης) ανάλογα &ε την κατηγορ α των δεδο&ένων που αξιοποιούν (προσωπικά, ευα σθητα και οικονο&ικά), αλλά και τις πιθανές επιπτώσεις που &πορε να προκληθούν σε περ πτωση &η ορθής λειτουργ ας ή διαχε ρισής τους. Ειδικότερα, προβλέπεται ότι στο Επ πεδο Ε&πιστοσύνης 3 εντάσσονται υπηρεσ ες που απαιτούν ανταλλαγή, ε τε ευα σθητων προσωπικών, ε τε υπηρεσ ες ηλεκτρονικής ολοκλήρωσης επιπέδου 4, όπου ο χρήστης πραγ&ατοποιε και τις οικονο&ικές συναλλαγές που απαιτούνται &ε ηλεκτρονικό τρόπο. Συνεπώς, οι επιπτώσεις που &πορε να προκληθούν από κάποιο περιστατικό ασφάλειας ε ναι ιδια τερα ση&αντικές και ως εκ τούτου ε ναι απαρα τητο να διασφαλιστε υψηλός βαθ&ός ε&πιστοσύνης για την ηλεκτρονική ταυτότητα ενός χρήστη. Περαιτέρω, στο Επ πεδο Αυθεντικοπο ησης 2 προβλέπεται ότι σε αυτό το επ πεδο αυθεντικοπο ησης απαιτε ται υψηλή βεβαιότητα για την ορθότητα της ηλεκτρονικής ταυτότητας &ιας οντότητας, καθώς ε ναι εξαιρετικά κρ σι&ο να εξασφαλιστε ότι &όνο Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 7 εξουσιοδοτη&ένα πρόσωπα έχουν τη δυνατότητα πρόσβασης στις προσφερό&ενες υπηρεσ ες. Εδώ εντάσσονται οι ηλεκτρονικές υπηρεσ ες που επεξεργάζονται ευα σθητα προσωπικά δεδο&ένα ή υποστηρ ζουν τη διενέργεια οικονο&ικών συναλλαγών. Στη σύνοψη συσχετισ&ού Επιπέδων Ε&πιστοσύνης και Αυθεντικοπο ησης προβλέπεται ότι για το Επ πεδο Ε&πιστοσύνης 3 απαιτε ται Επ πεδο Αυθεντικοπο ησης
- Πρέπει πάντως να ση&ειωθε ότι, στους κανόνες που έχουν τυποποιηθε στο τέλος του παραρτή&ατος της υπουργικής αυτής απόφασης ορ ζεται ότι στις υπηρεσ ες που έχουν ενταχθε στο Επ πεδο Ε&πιστοσύνης 3 πρέπει να υιοθετηθε επ πεδο Αυθεντικοπο ησης τουλάχιστον 1, ενώ συνιστάται Επ πεδο Αυθεντικοπο ησης 2, προβλέπεται δε να υιοθετηθε και Επ πεδο Εγγραφής 3 (ΚΥ.10).
- Η Αρχή, εξειδικεύοντας τα προαναφερό&ενα επ πεδα ε&πιστοσύνης και επ πεδα αυθεντικοπο ησης, καθώς και τα επ πεδα εγγραφής που καθορ ζονται στην προαναφερό&ενη υπουργική απόφαση, κρ νει ότι κατ’ εφαρ&ογή των ανωτέρω διατάξεων των νό&ων 2472/1997, 2672/1998 και 3979/2011, προκει&ένου τα αποτελέσ&ατα ιατρικών εξετάσεων να αποστέλλονται από το Νοσοκο&ε ο Λαϊκό &ε ασφαλή τρόπο &έσω ηλεκτρονικού ταχυδρο&ε ου στους ασθενε ς που έχουν ρητά συγκατατεθε προς τούτο, θα πρέπει, ιδ ως, να ακολουθούντα τα παρακάτω: i) Ο ενδιαφερό&ενος ασθενής θα πρέπει να υποβάλλει εγγράφως την α τησή του για την αποστολή των ιατρικών αποτελεσ&άτων του &έσω ηλεκτρονικού ταχυδρο&ε ου, και να επιδεικνύει επ ση&ο έγγραφο (π.χ. ΑΤ) που να επιβεβαιώνει την ταυτότητά του. ii) Συν σταται η πραγ&ατοπο ηση επαλήθευσης της δηλωθε σας διεύθυνσης ηλεκτρονικού ταχυδρο&ε ου, προς αποφυγή λανθασ&ένης καταχώρισης στο πληροφοριακό σύστη&α του νοσηλευτικού ιδρύ&ατος ή αποστολής &ηνύ&ατος ηλεκτρονικού ταχυδρο&ε ου σε λάθος παραλήπτη (βλ. ιδ ως απόφαση Αρχής 164/2014, δη&οσιευ&ένη στην ιστοσελ δα της). iii) Τα ιατρικά αποτελέσ&ατα των ασθενών που αποστέλλονται &ε ηλεκτρονικό ταχυδρο&ε ο θα πρέπει να ε ναι κρυπτογραφη&ένα &ε χρήση διεθνώς αποδεκτών προτύπων αλγορ θ&ων κρυπτογράφησης, τα οπο α &όνο ο παραλήπτης (ασθενής, ως υποκε &ενο των δεδο&ένων) &πορε να αποκρυπτογραφήσει. Ο ασθενής πρέπει να λα&βάνει από το νοσηλευτικό δρυ&α ισχυρό συνθη&ατικό αποκρυπτογράφησης, &ε &έσο διαφορετικό του &ηνύ&ατος ηλεκτρονικού ταχυδρο&ε ου (π.χ. SMS, έγγραφο). iv) Η αποστολή των ιατρικών αποτελεσ&άτων των ασθενών θα πρέπει να ανατ θεται από το νοσηλευτικό δρυ&α σε συγκεκρι&ένους εξουσιοδοτη&ένους υπαλλήλους του νοσοκο&ε ου, οι οπο οι πρέπει να δεσ&εύονται εγγράφως σχετικά &ε την τήρηση της εχε&ύθειας και της ε&πιστευτικότητας Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 8 και να υπόκεινται σε κώδικα δεοντολογ ας σχετικά &ε την προστασ α των προσωπικών δεδο&ένων, ο οπο ος πρέπει να φέρει την έγκριση της διο κησης του υπευθύνου επεξεργασ ας και να ε ναι δεσ&ευτικός για τους υπαλλήλους. Θα πρέπει να υπάρχουν κατάλληλοι &ηχανισ&ο για την αναγνώριση και αυθεντικοπο ηση των υπαλλήλων αυτών. Στην περ πτωση που οι &ηχανισ&ο αυτο βασ ζονται στη χρήση κωδικών χρηστών και συνθη&ατικών (username – password), ε ναι απαρα τητο να υπάρχουν οι κατάλληλες διαδικασ ες για τη διαχε ριση των συνθη&ατικών, καθώς και άλλα σχετικά &ε αυτά &έτρα. Οι &ηχανισ&ο αυτο σε συνδυασ&ό &ε τις κατάλληλες διαδικασ ες διαχε ρισης χρηστών, αποτελούν βασικό &έτρο προστασ ας από &η εξουσιοδοτη&ένη πρόσβαση. v) Τα αποστελλό&ενα &ηνύ&ατα ηλεκτρονικού ταχυδρο&ε ου θα πρέπει να τηρούνται στο νοσηλευτικό δρυ&α, προκει&ένου να διευκολύνεται η λογοδοσ α (accountability), σε περ πτωση καταστροφής, αλλο ωσης ή &η εξουσιοδοτη&ένης πρόσβασης στα δεδο&ένα1, καθώς και να διασφαλ ζεται η ορθή εκπλήρωση της υποχρέωσης του νοσηλευτικού ιδρύ&ατος για την ικανοπο ηση του δικαιώ&ατος πρόσβασης, &έσω της αποστολής ηλεκτρονικού ταχυδρο&ε ου. vi) Η δια&όρφωση των Η/Υ, &έσω των οπο ων πραγ&ατοποιε ται η αποστολή των &ηνυ&άτων ηλεκτρονικού ταχυδρο&ε ου, πρέπει να επιτρέπει τον έλεγχο των λειτουργιών τους, αποτρέποντας &η εξουσιοδοτη&ένες ενέργειες χρηστών οι οπο ες θα &πορούσαν να οδηγήσουν σε απώλεια, καταστροφή ή &η εξουσιοδοτη&ένη επεξεργασ α προσωπικών δεδο&ένων. Επιπλέον, στους Η/Υ πρέπει να εξασφαλ ζεται προστασ α από κακόβουλο λογισ&ικό &ε αντιϊκά προγρά&&ατα (antivirus). Τα προγρά&&ατα θα πρέπει να ε ναι ενη&ερω&ένα &ε τους ορισ&ούς των ιών, τουλάχιστον ανά η&έρα και &ε τις ενη&ερώσεις των &ηχανών ανά εβδο&άδα. εν θα πρέπει να υπάρχει δυνατότητα απενεργοπο ησης των αντιϊκών προγρα&&άτων από τους χρήστες. vii) Θα πρέπει να απαγορεύεται η εξαγωγή προσωπικών δεδο&ένων των ασθενών &ε τη χρήση αποσπώ&ενων &έσων (π.χ. USB, CD/DVD). Όταν ο εξουσιοδοτη&ένος υπάλληλος απο&ακρύνεται από τον Η/Υ του και αυτός παρα&ένει σε λειτουργ α, πρέπει να ενεργοποιε ται η προφύλαξη οθόνης (screen saver) η οπο α θα απενεργοποιε ται &όνο &ε χρήση συνθη&ατικού. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ 1 Πρόκειται, ιδ ως, για περιστατικά παραβ ασης προσωπικών δεδο&ένων, βλ. άρθρο 2 στοιχ. 11 ν.3471/2006, όπως προστέθηκε &ε το άρθρο 168 παρ. 1 στοιχ. δ΄ του ν.4070/2012, βλ., ιδ ως, αποφάσεις της Αρχής 87/2011, 59/2012, 98/2013, δη&οσιευ&ένες στην ιστοσελ δα της. Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 9 Η Αρχή αποφα νεται ότι: 1) Η αποστολή αποτελεσ&άτων ιατρικών εξετάσεων ασθενών από το Τ&ή&α Ανοσολογ ας – Ιστοσυ&βατότητας του Νοσοκο&ε ου Λαϊκό &έσω ηλεκτρονικού ταχυδρο&ε ου δύναται να αποτελέσει νό&ι&ο τρόπο ικανοπο ησης του δικαιώ&ατος πρόσβασης, υπό τους προαναφερθέντες ανωτέρω όρους και προϋποθέσεις. 2) Το Νοσοκο&ε ο Λαϊκό, ως υπεύθυνος επεξεργασ ας, οφε λει να τηρε τους όρους του απορρήτου και της ασφάλειας της επεξεργασ ας που περιγράφονται στην παρούσα, για την ασφαλή αποστολή ιατρικών αποτελεσ&άτων στους ενδιαφερό&ενους ασθενε ς από το Τ&ή&α Ανοσολογ ας – Ιστοσυ&βατότητας του Νοσοκο&ε ου. Ο Πρόεδρος Η Γρα ατέας Πέτρος Χριστόφορος Ειρήνη Παπαγεωργοπούλου Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 10