Παραβίαση προσωπικών δεδομένων από οργανισμό υγείας

(4)ηλεκτρον κών υπολογ στών από τη ονάδα του ΙΥΠ στην ………, στους οποίους ήταν καταχωρηένα ευαίσθητα προσωπ κά δεδοένα υγείας των εξεταζόενων πα δ ών. Η κλοπή των εν λόγω υπολογ στών αναφέρθηκε κα στο Τήα Ασφάλε ας ……… την ηέρα του συβάντος (8-04-2009). Σε συνέχε α του ως άνω εγγράφου, η Αρχή ζήτησε από το ΙΥΠ, ε το υπ’ αρ θ. πρωτ. Γ/ΕΞ/26231/02-06-2009 έγγραφό της, να παράσχε περα τέρω δ ευκρ νίσε ς αναφορ κά ε το συγκεκρ ένο περ στατ κό δ αρροής προσωπ κών δεδοένων. Ε δ κότερα, το ΙΥΠ κλήθηκε να δ ευκρ νίσε : «α) τις κατη ορίες δεδο ένων που τηρούσε στους ηλεκτρονικούς υπολο ιστές ια τα παιδιά ή άλλα πρόσωπα (π.χ. ονο ατεπώνυ ο, η ερο ηνία έννησης, εθνικότητα, η ερο ηνία εξέτασης, πάθηση, κτλ.), β) τον αριθ ό παιδιών, ή και άλλων προσώπων, των οποίων τα δεδο ένα ήταν καταχωρη ένα, ) τα έτρα φυσικής και λο ικής ασφάλειας που είχε λάβει και που ίσχυαν την η ερο ηνία του συ βάντος, δ) αν υπάρχει δυνατότητα αποκατάστασης των δεδο ένων που περιέχονταν στους κλε ένους υπολο ιστές, είτε από το φυσικό αρχείο είτε από αντί ραφα ασφαλείας, ε) τυχόν έτρα που ελήφθησαν ύστερα από το συ βάν (π.χ. επιπλέον έτρα ασφαλείας) και στ) τυχόν άλλες ενέρ ειες στις οποίες προέβη το ΙΥΠ (π.χ. πιθανή ενη έρωση των ονιών των εν λό ω παιδιών)». Το ΙΥΠ απάντησε στο ως άνω έγγραφο της Αρχής, ε το υπ’ αρ θ. πρωτ. ……../2009 έγγραφό του (αρ θ. πρωτ. ΑΠΠΧ Γ/ΕΙΣ/3940/23-6-2009), δηλώνοντας ότ :

1. Η κλοπή αφορούσε όνον ηλεκτρον κά αρχεία της ονάδας του στην ………., ως ακολούθως: • «το ηλεκτρονικό αρχείο του πρωτοβάθ ιου παιδιατρικού ιατρείου, το οποίο περιέχει το ονο ατεπώνυ ο του παιδιού, την η ερο ηνία έννησης, την εθνικότητα, τον ασφαλιστικό φορέα, αριθ ούς τηλεφώνων και την αιτία επίσκεψης στο Κέντρο Υ είας • το ηλεκτρονικό αρχείο της κοινωνικής λειτουρ ού, το οποίο περιέχει το ονο ατεπώνυ ο του παιδιού, την η ερο ηνία έννησης, την εθνικότητα, τον ασφαλιστικό φορέα, αριθ ούς τηλεφώνων, την αιτία επίσκεψης στο Κέντρο Υ είας και τις εκθέσεις της οικο ενειακής κατάστασης των περιπτώσεων που κατατίθενται σε υπηρεσίες ή άλλους φορείς (πχ. σύλλο οι ή σω ατεία, κλπ.) ια τη χορή ηση επιδο άτων • το ηλεκτρονικό αρχείο του αναπτυξιακού ιατρείου, το οποίο περιέχει κυρίως τις βεβαιώσεις ε την εκτί ηση των ανα κών του παιδιού σε θεραπείες»
2. Στα παραπάνω ηλεκτρον κά αρχεία τηρούνταν προσωπ κά δεδοένα 2050 πα δ ών.
3. Το ΙΥΠ είχε λάβε ορ σένα έτρα φυσ κής (συναγερός) κα λογ κής ασφάλε ας (λήξη εβδοαδ αίων αντ γράφων ασφαλείας, χρήση προσωπ κών συνθηατ κών ανά υπολογ στή, αντ ϊκό πρόγραα) γ α την προστασία τόσο των τηρούενων δεδοένων όσο κα του πληροφορ ακού εξοπλ σού του. Παρά ταύτα, ο συναγερός δε λε τούργησε την ηέρα του περ στατ κού.
4. Το ΙΥΠ ανέκτησε τα δεδοένα που περ έχονταν στους κλεένους υπολογ στές από τα αντίγραφα ασφάλε ας, τα οποία τηρούσε, κα προέβη σε ενηέρωση των γονέων των πα δ ών αναφορ κά ε το περ στατ κό. Επίσης, έλαβε επ πλέον έτρα λογ κής ασφάλε ας (χρήση συνθηατ κών σε ηλεκτρον κά αρχεία ασθενών, προφύλαξη οθόνης ε συνθηατ κό, λήψη τρ ην αίων αντ γράφων ασφαλείας) κα φυσ κής ασφάλε ας (φύλαξη των αντ γράφων ασφαλείας σε ε δ κό χώρο) γ α την προστασία των προσωπ κών δεδοένων, τα οποία τηρούντα στην ονάδα του στην ……….. Η Αρχή έχε χορηγήσε στο ΙΥΠ ε το υπ’ αρ θ. πρωτ. ΓΝ/ΕΞ/2794/28-11-2003 έγγραφό της άδε α ίδρυσης κα λε τουργίας αρχείου ε ευαίσθητα δεδοένα γ α το σκοπό της παροχής των υπηρεσ ών του εργαστηρ ακού ελέγχου κα θεραπείας σπάν ων νοσηάτων νεογνών κα πα δ ών. Η Αρχή έχε επίσης χορηγήσε στο ΙΥΠ ε το ΓΝ/ΕΞ/2795/28-11-2003 έγγραφό άδε α ίδρυσης κα λε τουργίας αρχείου ε ευαίσθητα δεδοένα γ α το σκοπό της παροχής των υπηρεσ ών της κο νων κής κα αναπτυξ ακής πα δ ατρ κής, ψυχ κής υγείας, πρωτοβάθ ας φροντίδας, προαγωγής της υγείας κα της πο ότητας ζωής του κακοπο ούενο πα δ ού κα της ο κογένε ας του. Κα ο δύο χορηγηθείσες άδε ες περ έχουν συγκεκρ ένους όρους που αφορούν το απόρρητο κα την ασφάλε α της επεξεργασίας, ο οποίο περ λαβάνουν κα την εκπόνηση κα εφαρογή πολ τ κής κα σχεδίου ασφαλείας από το ΙΥΠ. Ο άδε ες αυτές ανανεώθηκαν ε το ΓΝ/ΕΞ/1370/26-11-2010 έγγραφο της Αρχής έχρ τ ς 2011-
5. Η Αρχή, αφού άκουσε τον ε σηγητή της υπόθεσης κα έλαβε υπόψη όλα τα στο χεία του φακέλου, ετά κα από δ εξοδ κή συζήτηση, ΣΚΕΦΘΗΚΕ ΣΥΜΦ5ΝΑ ΜΕ ΤΟ ΝΟΜΟ
6. Το άρθρο 4, παρ. 1, στο χ. α' του ν. 2472/1997 ορίζε ότ τα δεδοένα προσωπ κού χαρακτήρα γ α να τύχουν νό ης επεξεργασίας πρέπε να συλλέγοντα κατά τρόπο θε τό κα νό ο γ α καθορ σένους, σαφείς κα νό ους σκοπούς κα να υφίσταντα θε τή κα νό η επεξεργασία ενόψε των σκοπών αυτών.
7. Το άρθρο 10, παρ. 3 του ν. 2472/1997 ορίζε ότ ο υπεύθυνος επεξεργασίας οφείλε να λαβάνε τα κατάλληλα οργανωτ κά κα τεχν κά έτρα γ α την ασφάλε α των δεδοένων κα την προστασία τους από τυχαία ή αθέ τη καταστροφή, τυχαία απώλε α, αλλοίωση, απαγορευένη δ άδοση ή πρόσβαση κα κάθε άλλη ορφή αθέ της επεξεργασίας. Αυτά τα έτρα πρέπε να εξασφαλίζουν επίπεδο ασφαλείας ανάλογο προς τους κ νδύνους που συνεπάγετα η επεξεργασία κα η φύση των δεδοένων που είνα αντ κείενο της επεξεργασίας.
8. 5ς περ στατ κό παραβίασης προσωπ κών δεδοένων θεωρείτα περίπτωση παραβίασης της ασφάλε ας των δεδοένων στο πλαίσ ο κάθε του χρησ οπο ούενου συστήατος επεξεργασίας, όπως τυχαία ή αθέ τη καταστροφή, τυχαία απώλε α, αλλοίωση, απαγορευένη δ άδοση ή πρόσβαση κα κάθε άλλη ορφή αθέ της επεξεργασίας.
9. Το συγκεκρ ένο περ στατ κό που ανέφερε το ΙΥΠ στην Αρχή αποτελεί περ στατ κό παραβίασης των προσωπ κών δεδοένων των πα δ ών που είχαν επ σκεφτεί το κέντρο, καθώς τα εν λόγω δεδοένα δ έρρευσαν –λόγω της κλοπής των έσων επεξεργασίας – σε η εξουσ οδοτηένα πρόσωπα. Η βαρύτητα του περ στατ κού αυξάνετα από το γεγονός ότ α) τα δεδοένα που δ έρρευσαν περ έχουν κα δεδοένα υγείας, δηλαδή ευαίσθητα προσωπ κά δεδοένα κατά την έννο α του αρ. 2 στο χ. β ν. 2472/1997, β) το περ στατ κό αφορά εγάλο αρ θό ατόων (2050 πα δ ά που ήταν καταχωρηένα στα αρχεία του κέντρου).
10. Σύφωνα ε τα στο χεία του περ στατ κού που αναφέρθηκαν στην Αρχή, προκύπτε ότ το περ στατ κό οφείλετα στην ανεπάρκε α των έτρων φυσ κής κα λογ κής ασφάλε ας του ΙΥΠ. Π ο συγκεκρ ένα, ως προς τη φυσ κή ασφάλε α, το υπάρχον σύστηα συναγερού δεν λε τούργησε κατά τη χρον κή στ γή του περ στατ κού, ενώ δεν υπήρχε επαρκής έλεγχος της φυσ κής πρόσβασης στους χώρους επεξεργασίας των ευαίσθητων προσωπ κών δεδοένων. 5ς προς τη λογ κή ασφάλε α, όπως δήλωσε το ΙΥΠ, ο χρήστες του χρησ οπο ούσαν προσωπ κά συνθηατ κά γ α το άνο γα του σταθού εργασίας τους, λαβανόταν αντίγραφο ασφαλείας σε εβδοαδ αία βάση κα χρησ οπο ούταν αντ ϊκό πρόγραα σε όλους τους υπολογ στές. Παρόλα αυτά, από τα στο χεία που γνωστοπο ήθηκαν στην Αρχή, δεν φαίνετα να υπήρχε επαρκής δ αδ κασία δ αχείρ σης των χρηστών κα των συνθηατ κών των συστηάτων επεξεργασίας, ε αποτέλεσα να ην είνα ασφαλής η δ αδ κασία αυθεντ κοποίησης των χρηστών στα αρχεία των προσωπ κών δεδοένων. Περα τέρω, το ΙΥΠ δεν είχε λάβε ε δ κότερα έτρα ασφαλείας, όπως κρυπτογράφηση των σκληρών δίσκων των υπολογ στών, ο οποίο χρησ οπο ούντα γ α την επεξεργασία προσωπ κών δεδοένων, ώστε να καθίσταντα τα δεδοένα ακατάληπτα σε η εξουσ οδοτηένους χρήστες. Τα ανωτέρω δ ευκολύνουν την η εξουσ οδοτηένη πρόσβαση στα παραπάνω δεδοένα.
11. Παρά τ ς ανωτέρω ελλείψε ς, το ΙΥΠ έλαβε αέσως έτρα γ α την αντ ετώπ ση του περ στατ κού. Ε δ κότερα, ετά τη δ απίστωση του περ στατ κού το γνωστοποίησε στην Αρχή. επανορθωτ κών/δ ορθωτ κών Περα τέρω, έτρων το ΙΥΠ προέβη (αναφορά στην αστυνοία, στη λήψη ανάκτηση δεδοένων από αντίγραφα ασφάλε ας κα ενηέρωση των γονέων των πα δ ών, τα οποία αφορούσαν τα δεδοένα), ενώ παράλληλα έλαβε νέα έτρα γ α την ενίσχυση της λογ κής ασφάλε ας των ηλεκτρον κών αρχείων που τηρεί.
12. Λαβάνοντας υπόψη όλα τα παραπάνω καθώς κα ότ δεν είχε συβεί παρόο ο περ στατ κό παραβίασης προσωπ κών δεδοένων στ ς εγκαταστάσε ς του ΙΥΠ στο παρελθόν, προκύπτε ότ το ΙΥΠ, αν κα παραβίασε το άρθρο 10 παρ. 3 ν. 2472/1997, περ όρ σε κατά το δυνατόν την έκταση της δ αρροής των δεδοένων κα έλαβε έτρα γ α την αντ ετώπ ση παρόο ων προβληάτων στο έλλον. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή Προστασίας εδοένων Προσωπ κού Χαρακτήρα απευθύνε στο ΙΥΠ ε βάση το άρθρο 21 παρ. 1 στο χ. α’ του Ν. 2472/1997 προε δοποίηση να λάβε κατ’ ελάχ στο τα οργανωτ κά κα τεχν κά έτρα ασφάλε ας, τα οποία περ λαβάνοντα στο επ συναπτόενο επ στευτ κό Παράρτηα της παρούσας Απόφασης, κα να ενηερώσε σχετ κά την Αρχή εντός τρ ών

(3)ηνών από την κο νοποίηση της παρούσας Απόφασης. Ο Αναπληρωτής Πρόεδρος Η γραατέας Χρήστος Παληοκώστας Ειρήνη Παπαγεωργοπούλου