Αθήνα, 19-07-2022 Αριθ. Πρωτ. 1689 ΑΠΟΦΑΣΗ 31/2022 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τμήματος με τηλεδιάσκεψη την 03-02-2021 μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής Κωνσταντίνου Μενουδάκου, και τα τακτικά μέλη Κωνσταντίνος Λαμπρινουδάκης, και Χαράλαμπος Ανθόπουλος, ως εισηγητής. Στη συνεδρίαση παρέστησαν, με εντολή του Προέδρου, χωρίς δικαίωμα ψήφου, η Μαρία Αλικάκου, νομικός ειδικός επιστήμονας, ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Με την με αριθμ. Γ/ΕΙΣ/6535/27.7.2018 προσφυγή του ο Α καταγγέλλει τον Ιατρικό Σύλλογο Χ (εφεξής ΙΣ Χ) και ειδικότερα τον Πρόεδρό του, Β, για παράνομη επεξεργασία προσωπικών του δεδομένων και δη κοινολόγηση σε τρίτο εγγράφων προερχομένων από φάκελο πειθαρχικής διαδικασίας. Ειδικότερα, ο προσφεύγων, ο οποίος είναι ιατρός και μέλος του καταγγελλόμενου, αναφέρει στην υπό κρίση προσφυγή του ότι στο πλαίσιο πειθαρχικής διαδικασίας σε βάρος του κατόπιν καταγγελίας για μη χορήγηση απόδειξης σε ασθενή, απέστειλε επιστολή στον καταγγελλόμενο, ως απάντηση στη σχετική κλήση προς απολογία που του είχε 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr επιδοθεί, σύμφωνα με τα προβλεπόμενα στο άρθρο 326 ν. 4512/2018. Η εν λόγω επιστολή, για άγνωστους στον προσφεύγοντα λόγους, δημοσιεύθηκε στα ΜΜΕ και σε μεγάλο αριθμό ηλεκτρονικών εφημερίδων (όπως …, …, …, …). Σύμφωνα, περαιτέρω, με τους ισχυρισμούς του προσφεύγοντος, ενώ στα ως άνω δημοσιεύματα δεν αναφερόταν ρητώς το όνομά του, σε ραδιοφωνική εκπομπή ο Πρόεδρος του καταγγελλόμενου διευκρίνισε ότι πρόκειται για αλλοδαπό ιατρό, στοιχείο που, κατά τους ισχυρισμούς του προσφεύγοντος, τον «φωτογράφιζε» με αποτέλεσμα την πλήρη ταυτοποίησή του, για τον λόγο ότι τη δεδομένη χρονική στιγμή ο προσφεύγων ήταν ο μοναδικός αλλοδαπός ιατρός συμβεβλημένος με τον ΕΟΠΥΥ που δραστηριοποιείτο σε συγκεκριμένη περιοχή της … . Κατόπιν τούτων, η Αρχή απέστειλε στον καταγγελλόμενο ΙΣ Χ τα με αριθμ. πρωτ. Γ/ΕΞ/6535-1/15.10.2018 και Γ/ΕΞ/1287/15.2.2019 έγγραφα, με τα οποία ζήτησε από τον καταγγελλόμενο να παράσχει τις απόψεις του επί των καταγγελλομένων. Στα ως άνω έγγραφα της Αρχής, ο Πρόεδρος του καταγγελλόμενου ΙΣ Χ, Β, απάντησε με το με αριθμ. πρωτ. Γ/ΕΙΣ/3284/08.5.2019 έγγραφο, με το οποίο διευκρίνισε, μεταξύ άλλων, ότι ως Πρόεδρος του ΙΣ Χ και στο πλαίσιο της ως άνω αναφερόμενης πειθαρχικής διαδικασίας που είχε κινηθεί σε βάρος του προσφεύγοντος, ενήργησε σύμφωνα με τις προβλεπόμενες στο οικείο πειθαρχικό δίκαιο διατάξεις. Μάλιστα, ο καταγγελλόμενος έκανε αναφορά σε όλο το ιστορικό της σε βάρος του προσφεύγοντος πειθαρχικής διαδικασίας (πως ξεκίνησε, σε τι αφορούσε, ποιοι ήταν οι εμπλεκόμενοι, ποιοι άλλοι κατέθεσαν σχετικές καταγγελίες κατά του προσφεύγοντος), χωρίς, ωστόσο, να παράσχει απόψεις επί των καταγγελλομένων και δη για τον λόγο και τον τρόπο που η επίμαχη επιστολή διέφυγε του αρχείου του καταγγελλόμενου και δημοσιεύθηκε στον τύπο. Αναφορικά ειδικότερα με τη δημοσίευση της επίμαχης επιστολής ο καταγγελλόμενος ισχυρίστηκε ότι ο δημοσιογράφος, Γ, συγγενικό πρόσωπο του οποίου είχε υποβάλει την ως άνω αρχική καταγγελία σε βάρος του προσφεύγοντος, θα μπορούσε να είναι εκείνος που προέβη στη δημοσίευση της επίμαχης επιστολής, επισημαίνοντας ότι εκείνος «είχε, επίσης, έννομο συμφέρον, εφόσον προέβη στην καταγγελία, εξαιτίας της οποίας εκκινήθηκε η πειθαρχική διαδικασία από τον Ιατρικό Σύλλογο Χ, να έχει πρόσβαση στα έγγραφα που σχετίζονται με την πειθαρχική διαδικασία, όπως προβλέπει το άρθρο 5 παρ. 1 και 2 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr 2 του ΚΔΔιαδ., αλλά και όπως ορίζεται από τις αρχές της φανερής διοίκησης και της δημοσιότητας των διοικητικών οργάνων.». Σε κάθε περίπτωση, ο καταγγελλόμενος ισχυρίστηκε ότι ουδέποτε παραβιάστηκαν προσωπικά δεδομένα του προσφεύγοντος, καθώς ουδέποτε έγινε αναφορά στο όνομά του και «τα προσδιοριστικά της ταυτότητας του καταγγελλόμενου ιατρού στοιχεία έχουν επικαλυφθεί με μωσαϊκό / πλακίδια και δεν είναι εφικτό για τον αναγνώστη να λάβει γνώση της ταυτότητας του αναφερόμενου.». Αναφορικά με το βασικό αναγνωριστικό στοιχείο της ταυτότητας του προσφεύγοντος κατά τα καταγγελλόμενα, δηλαδή την αλλοδαπή καταγωγή του, ο καταγγελλόμενος αναφέρει ότι υπάρχουν εγγεγραμμένοι στον ΙΣ Χ επτά
(7)συνολικά αλλοδαποί ιατροί. Τέλος, ο καταγγελλόμενος αναφέρει στην απάντησή του προς την Αρχή και το ενδεχόμενο ο ίδιος ο προσφεύγων να προέβη «σκόπιμα και στοχευμένα» στη δημοσίευση της επίμαχης επιστολής, «ακριβώς, ώστε να δημιουργήσει την πραγματική βάση των ισχυρισμών περί δήθεν παραβίασης των προσωπικών του δεδομένων, την οποία και επικαλέστηκε στην αγωγή του εναντίον του Ιατρικού Συλλόγου Χ και εμού προσωπικά […]». Κατόπιν τούτων, η Αρχή κάλεσε τους εμπλεκόμενους στη συνεδρίαση του Τμήματος της 29/1/2020 και στη συνέχεια, τους ορίσθηκε προθεσμία για την υποβολή υπομνημάτων. Κατά την ακρόαση της 29/1/2020 παρέστησαν ο προσφεύγων A με τον πληρεξούσιο δικηγόρο του Ιωάννη Τζώρτζη ... . Επίσης, παρέστη ως πληρεξούσιος δικηγόρος του ΙΣ Χ ο Χαράλαμπος Πολίτης ... . Οι ως άνω παριστάμενοι, αφού ανέπτυξαν προφορικά τις απόψεις τους, έλαβαν προθεσμία προσκομίσεως υπομνημάτων προς περαιτέρω υποστήριξη των ισχυρισμών τους και υπέβαλαν εμπροθέσμως τα έγγραφα υπομνήματά τους, με τα οποία προέβαλαν συνοπτικώς, μεταξύ άλλων, τα ακόλουθα: Ειδικότερα, ο καταγγέλλων κατά την ανωτέρω ακρόαση, αλλά και με το υπ’ αριθμ. Γ/ΕΙΣ/1241/14.2.2020 υπόμνημά του επανέλαβε τα καταγγελλόμενα υποστηρίζοντας, μεταξύ άλλων, ότι η σε βάρος του πειθαρχική διαδικασία είχε αρκετές πλημμέλειες, δεν τηρήθηκε ως όφειλε η αρχή της μυστικότητας της προδικασίας, ενώ προς απάντηση αντίστοιχων ισχυρισμών του καταγγελλόμενου δήλωσε ότι σε καμιά περίπτωση δεν είχε πρόθεση να εμποδίσει 3 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr την ομαλή εξέλιξη της εν λόγω πειθαρχικής διαδικασίας με την αποστολή προς τον καταγγελλόμενο της επίμαχης επιστολής. O καταγγελλόμενος ΙΣ Χ διά του πληρεξουσίου του δικηγόρου κατά την ως άνω ακρόαση δεν παρείχε απαντήσεις αναφορικά με τον τρόπο κοινολόγησης της επίμαχης επιστολής επιφυλασσόμενος να απαντήσει εγγράφως με το υπόμνημά του. Πράγματι, με το με αριθμ. πρωτ. Γ/ΕΙΣ/1243/14.2.2020 υπόμνημα ο ΙΣ Χ διευκρίνισε ότι το επίμαχο έγγραφο χορηγήθηκε στον ως άνω αναφερόμενο δημοσιογράφο μαζί με τα υπόλοιπα έγγραφα του φακέλου της πειθαρχικής διαδικασίας που διενεργούταν σε βάρος του προσφεύγοντος. Συγκεκριμένα, όπως αναφέρεται στο ως άνω υπόμνημα, έγινε προσπάθεια από τον καταγγελλόμενο να υπάρξει συμβιβασμός μεταξύ των δύο μερών, δηλαδή του καταγγελλόμενου και πειθαρχικώς ελεγχόμενου ιατρού και της καταγγέλλουσας. Για τον σκοπό αυτό, ορίσθηκε συνάντηση στα γραφεία του καταγγελλόμενου ΙΣ Χ, στην οποία, ωστόσο, δεν εμφανίσθηκε ποτέ ο προσφεύγων, σύμφωνα με τους ισχυρισμούς του ΙΣ Χ. Για την ως άνω συνάντηση που προγραμματίστηκε με σκοπό την εξωπειθαρχική επίλυση της διαφοράς είχαν ετοιμασθεί δύο φάκελοι με αντίγραφα του πειθαρχικού φακέλου, συμπεριλαμβανομένης της επίμαχης επιστολής. Ο ένας προοριζόταν να χορηγηθεί στον προσφεύγοντα γιατρό και ο άλλος στην καταγγέλλουσα. Ωστόσο, στη συνάντηση εμφανίσθηκε μόνο η πλευρά της καταγγέλλουσας εκπροσωπούμενη από τον ως άνω αναφερόμενο δημοσιογράφο, ο οποίος και έλαβε τον ως άνω φάκελο. Μάλιστα, ο καταγγελλόμενος ισχυρίζεται ότι στον εν λόγω φάκελο «υπήρχαν σβησμένα με blanco και με θόλωση τα στοιχεία του ιατρού, ακόμη δε και ο αριθμός πρωτοκόλλου και η ημερομηνία του πρωτοκόλλου του Ιατρικού Συλλόγου Χ», υπογραμμίζοντας ότι η εν λόγω ενέργεια έγινε καλόπιστα από τον καταγγελλόμενο προκειμένου να προστατευτεί η ανωνυμία του ιατρού προσφεύγοντος. Επιπροσθέτως, ο καταγγελλόμενος ισχυρίζεται ότι ο δημοσιογράφος, ως τρίτος είχε έννομο συμφέρον να λάβει τον εν λόγω φάκελο «εφόσον ενεργούσε εξ ονόματος και για λογαριασμό της πεθεράς και καταγγέλλουσας, Δ και του πατέρας της.». Μάλιστα, ο καταγγελλόμενος ισχυρίζεται ότι ο δημοσιογράφος ήταν εκείνος που προχώρησε στην κοινοποίηση της επίμαχης επιστολής λόγω της οργής του ιδίου και της καταγγέλλουσας για τον λόγο ότι ο προσφεύγων δεν είχε δεχθεί να ζητήσει 4 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr συγνώμη για την απρεπή συμπεριφορά του που είχε οδηγήσει στην αρχική καταγγελία. Συγκεκριμένα, στο ως άνω υπόμνημά του ο καταγγελλόμενος αναφέρει ότι «ο κ. Γ ήταν εκδότης και εξαιτίας της οργής της πεθεράς του και του ιδίου που δεν του ζήτησε συγνώμη ο ιατρός, επέλεξε να κοινοποιήσει με πλήρη ανωνυμία (θα μπορούσε ενδεχομένως να προσθέσει και όνομα, έστω και παρανόμως) την ασεβή και ιταμή απάντηση του ιατρού, δεν εξέθετε μόνο τον ιατρό, αλλά εξέθετε και όλον τον Ιατρικό Σύλλογο, ονομαστικά πλέον στο πανελλήνιο». Αναφορικά δε με τον ισχυρισμό του προσφεύγοντος ότι είναι ο μοναδικός αλλοδαπός ιατρός του Ε.Ο.Π.Υ.Υ., ο καταγγελλόμενος αναφέρει ότι αποτελεί «εφεύρημα» του προσφεύγοντος για τον λόγο ότι κανένας δεν μπορούσε να γνωρίζει μέσω αναζήτησης του Ε.Ο.Π.Υ.Υ. ότι είναι ο μόνος ιατρός συμβεβλημένος με τον Ε.Ο.Π.Υ.Υ. Τέλος, ο καταγγελλόμενος επισημαίνει ότι ο προσφεύγων θα όφειλε ενδεχομένως να υποβάλει την υπό κρίση προσφυγή σε βάρος του τρίτου, κ. Γ, ο οποίος εντούτοις κατείχε κατά τα παραπάνω και κατά τους ισχυρισμούς του καταγγελλόμενου νομίμως τα χορηγηθέντα έγγραφα, συμπεριλαμβανομένης της επίμαχης επιστολής. Η Αρχή, από την ακροαματική διαδικασία, από τα στοιχεία του φακέλου της υπόθεσης, καθώς και από τα υπομνήματα που υποβλήθηκαν στην Αρχή και αφού άκουσε τον εισηγητή και τη βοηθό εισηγητή, η οποία αποχώρησε μετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη απόφασης και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
- Επειδή, από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα (εφεξής ΓΚΠΔ) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των 5 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr άρθρων 57 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας του ιατρού Α κατά του Ιατρικού Συλλόγου Χ.
- Επειδή το άρθρο 4 του ΓΚΠΔ ορίζει ότι «επεξεργασία» είναι «κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως […] η κοινολόγηση με διαβίβαση […].»
- Επειδή το άρθρο 5 ΓΚΠΔ θέτει τις αρχές που πρέπει να διέπουν μια επεξεργασία. Σύμφωνα δε με τη δεύτερη παράγραφο του ιδίου άρθρου ο υπεύθυνος επεξεργασίας «φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 («λογοδοσία»)». Η αρχή της λογοδοσίας που εισάγεται ρητώς με τη δεύτερη ως άνω παράγραφο του άρθρου 5 συνιστά ακρογωνιαίο λίθο του ΓΚΠΔ και κεντρικό σημείο του νέου μοντέλου συμμόρφωσης που υιοθετείται από αυτόν. Σύμφωνα με την εν λόγω αρχή, ο υπεύθυνος επεξεργασίας έχει την ευθύνη να δύναται και να πρέπει να είναι σε θέση να επιδεικνύει και να αποδεικνύει τη συμμόρφωσή του με τον ΓΚΠΔ, όποτε του ζητηθεί, ιδίως, ενώπιον της εποπτικής Αρχής. Ειδικότερα, στο πλαίσιο της αρχής της λογοδοσίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Κατ’ επέκταση, η εν λόγω αρχή δίδει τη δυνατότητα στον υπεύθυνο επεξεργασίας να ελέγξει και να τεκμηριώσει νομικά κάθε πράξη επεξεργασίας που διενεργεί, σύμφωνα με τις νομικές βάσεις που του παρέχει ο ΓΚΠΔ και το εθνικό δίκαιο προστασίας δεδομένων. Συνεπώς, ο υπεύθυνος επεξεργασίας καλείται να θεσπίσει συγκεκριµένα και πρακτικά µέτρα µετατρέποντας τις γενικές αρχές για την προστασία των δεδοµένων σε συγκεκριµένες πολιτικές και διαδικασίες, σύµφωνα µε τους ισχύοντες νόµους και κανονισµούς. Περαιτέρω, ο υπεύθυνος επεξεργασίας πρέπει, σύμφωνα με την εν λόγω αρχή, να διασφαλίζει την 6 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr αποτελεσµατικότητα των ως άνω ληφθέντων µέτρων και να αποδεικνύει, όποτε του ζητηθεί, ότι έχει λάβει τα εν λόγω µέτρα
- Επειδή το άρθρο 6 παρ. 1 ΓΚΠΔ προσδιορίζει σε ποιες περιπτώσεις και για ποιους λόγους η επεξεργασία «απλών» προσωπικών δεδομένων είναι νόμιμη και συγκεκριμένα, υπό ποιες συγκεκριμένες προϋποθέσεις μπορεί ο υπεύθυνος επεξεργασίας να διενεργήσει πράξεις επεξεργασίας, όπως, μεταξύ άλλων, να χορηγήσει σε τρίτο έγγραφα που περιέχουν προσωπικά δεδομένα. Τέτοια είναι και η περίπτωση στ) της παραγράφου 1 του ιδίου άρθρου, σύμφωνα με την οποία η επεξεργασία είναι σύννομη, εάν «είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα […]».
- Επειδή το άρθρο 24 παρ. 1 και 2 ΓΚΠΔ εισάγει τη γενική υποχρέωση του υπευθύνου επεξεργασίας να εφαρμόζει κατάλληλα οργανωτικά και τεχνικά μέτρα «
- […] προκειμένου να διασφαλίζει και να μπορεί να αποδεικνύει ότι η επεξεργασία διενεργείται σύμφωνα με τον παρόντα κανονισμό» και «
- […] όταν δικαιολογείται σε σχέση με τις δραστηριότητες επεξεργασίας, τα μέτρα που αναφέρονται στην παράγραφο 1, περιλαμβάνουν την εφαρμογή κατάλληλων πολιτικών για την προστασία των δεδομένων» (παρ. 1 και 2 αντίστοιχα). Σύμφωνα δε με την αιτ. σκ. 78 του ΓΚΠΔ: «Η προστασία των δικαιωμάτων και των ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα απαιτεί τη λήψη κατάλληλων τεχνικών και οργανωτικών μέτρων, ώστε να διασφαλίζεται ότι τηρούνται οι απαιτήσεις του παρόντος κανονισμού. Προκειμένου να μπορεί να αποδείξει συμμόρφωση προς τον παρόντα κανονισμό, ο υπεύθυνος επεξεργασίας θα πρέπει να θεσπίζει εσωτερικές πολιτικές και να εφαρμόζει μέτρα τα οποία ανταποκρίνονται ειδικότερα στις αρχές της προστασίας των Βλ. γενικότερα για την αρχή της λογοδοσίας και τη «Γνώμη 3/2010 σχετικά με την αρχή λογοδοσίας» της Ομάδας Εργασίας του αρ.29, 13 Ιουλίου 2010, 00062/10/EL WP 173 . 7 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr δεδομένων ήδη από τον σχεδιασμό και εξ ορισμού. Τέτοια μέτρα θα μπορούσαν να περιλαμβάνουν, μεταξύ άλλων, […], τη διαφάνεια όσον αφορά τις λειτουργίες και την επεξεργασία των δεδομένων προσωπικού χαρακτήρα, ώστε να μπορεί το υποκείμενο των δεδομένων να παρακολουθεί την επεξεργασία δεδομένων και να είναι σε θέση ο υπεύθυνος επεξεργασίας να δημιουργεί και να βελτιώνει τα χαρακτηριστικά ασφάλειας.».
- Επειδή το άρθρο 12 παρ. 1 ορίζει ότι «ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που αναφέρεται στα άρθρα 13 και 14 […]» και το άρθρο 13 παρ.1 και 3, προσδιορίζει την ειδικότερη υποχρέωση του υπευθύνου, όταν το ίδιο το υποκείμενο έχει χορηγήσει προσωπικά του δεδομένα στον υπεύθυνο και ο τελευταίος «[..] προτίθεται να επεξεργαστεί περαιτέρω τα δεδομένα προσωπικού χαρακτήρα για άλλο σκοπό από εκείνο για τον οποίο τα δεδομένα προσωπικού χαρακτήρα συλλέχθηκαν, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων, πριν από την εν λόγω περαιτέρω επεξεργασία, πληροφορίες για τον σκοπό αυτόν και άλλες τυχόν αναγκαίες πληροφορίες, όπως αναφέρεται στην παράγραφο 2.». Από τον συνδυασμό των ως άνω αναφερομένων διατάξεων προκύπτει η υποχρέωση του υπευθύνου επεξεργασίας για λήψη κατάλληλων μέτρων και διαδικασιών με σκοπό τη διαφανή ενημέρωση του υποκειμένου των δεδομένων, όταν τα δεδομένα που χορηγεί το υποκείμενο στον υπεύθυνο για συγκεκριμένο σκοπό, τίθενται σε περαιτέρω επεξεργασία από τον υπεύθυνο επεξεργασίας για άλλον σκοπό. Στην περίπτωση αυτή η ενημέρωση του υποκειμένου οφείλει να γίνεται από τον υπεύθυνο πριν από την ως άνω περαιτέρω επεξεργασία.
- Επειδή στην υπό κρίση υπόθεση, ο καταγγελλόμενος ισχυρίζεται ότι χορήγησε ο ίδιος σε τρίτο πρόσωπο τα επίμαχα έγγραφα, επισημαίνοντας, ωστόσο, ότι η εν λόγω διαβίβαση έγινε νόμιμα στο πλαίσιο εξωπειθαρχικής προσπάθειας επίλυσης διαφοράς λαμβανομένου υπόψη του σχετικού εννόμου συμφέροντος του τρίτου. Επιπροσθέτως, ο καταγγελλόμενος επισημαίνει ότι από τα χορηγηθέντα έγγραφα είχαν προηγουμένως διαγραφεί τα προσωπικά 8 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr δεδομένα του προσφεύγοντος. Ειδικότερα, αναφορικά με την επίκληση ύπαρξης εννόμου συμφέροντος του τρίτου, ο καταγγελλόμενος ισχυρίζεται ότι ο τρίτος έλαβε τα επίμαχα έγγραφα ως συγγενικό πρόσωπο και εκπρόσωπος της καταγγέλλουσας, η οποία είχε εκκινήσει αρχικά την πειθαρχική σε βάρος του προσφεύγοντος διαδικασία, τον φάκελο της οποίας είχε, κατά τους ισχυρισμούς του καταγγελλόμενου, έννομο συμφέρον να λάβει. Ο καταγγελλόμενος, ωστόσο, πέρα από την ως άνω γενική επίκληση ύπαρξης εννόμου συμφέροντος του τρίτου, δεν εξειδικεύει σε τι συνίσταται το έννομο αυτό συμφέρον, ούτε τεκμηριώνει, ως όφειλε βάσει των ανωτέρω αναφερομένων διατάξεων, τον λόγο και τη στάθμιση των συμφερόντων των δύο μερών, δηλαδή του τρίτου και του υποκειμένου των δεδομένων, στην οποία προέβη προκειμένου να καταλήξει στην κρίση ότι ο τρίτος είχε υπέρτερο των δικαιωμάτων του υποκειμένου έννομο συμφέρον να λάβει γνώση του περιεχομένου του φακέλου της πειθαρχικής διαδικασίας προτού αυτή ολοκληρωθεί. Ως προς τον ισχυρισμό του καταγγελλόμενου περί διαγραφής των δεδομένων από τα επίμαχα έγγραφα με «blanco» και «θόλωση», τον οποίο προβάλει ως μέσο «προστασίας της ανωνυμίας» και κατ’ επέκταση των προσωπικών δεδομένων του προσφεύγοντος, αυτός απορρίπτεται ως αβάσιμος, ενώ προβάλλεται προσχηματικά και παραπλανητικά, για τον λόγο ότι ο τρίτος, στον οποίο χορηγήθηκαν τα επίμαχα, «ανωνυμοποιημένα», κατά τους ισχυρισμούς του καταγγελλόμενου, έγγραφα, γνώριζε ότι αυτά αφορούν στον προσφεύγοντα, σε βάρος του οποίου είχε υποβληθεί αρχικά η καταγγελία, στο πλαίσιο της οποίας είχε ορισθεί η επικαλούμενη προσπάθεια εξωπειθαρχικής επίλυσης της διαφοράς μεταξύ των μερών. Συνεπώς, οποιαδήποτε προσπάθεια «ανωνυμοποίησης», δεν θα ήταν αποτελεσματική καθώς δεν θα επιτελούσε τον βασικό σκοπό αυτής, δηλαδή της απόκρυψης της ταυτότητας του υποκειμένου, ήτοι του προσφεύγοντος, για τον λόγο ότι ο τρίτος γνώριζε επακριβώς σε ποιον αφορούν τα προσωπικά δεδομένα που λαμβάνει. Επιπροσθέτως, ο καταγγελλόμενος δεν απέδειξε ενώπιον της Αρχής ότι τα επίμαχα έγγραφα 9 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr πράγματι υποβλήθηκαν σε οιαδήποτε μορφή ανωνυμοποίησης πριν από τη κοινολόγησή τους σε τρίτο. Επισημαίνεται δε ότι ο καταγγελλόμενος δεν ήταν σε θέση να αποδείξει ενώπιον της Αρχής βάσει των ανωτέρω αναφερομένων διατάξεων κανέναν από τους ως άνω ισχυρισμούς του. Στην εν λόγω αδυναμία συνετέλεσε ουσιαστικά η μη λήψη και εφαρμογή από τον καταγγελλόμενο κατάλληλων οργανωτικών μέτρων, όπως θα ήταν, για παράδειγμα, η τήρηση ειδικού αρχείου εξερχομένων εγγράφων, καθώς και σχετικής πολιτικής προστασίας, για τις πράξεις επεξεργασίας που λαμβάνουν χώρα στο πλαίσιο διαδικασίας εξωπειθαρχικής προσπάθειας επίλυσης διαφορών, συμπεριλαμβανομένων διαδικασιών ενημέρωσης των υποκειμένων και ικανοποίησης λοιπών δικαιωμάτων τους, καθώς δεν προσκόμισε ενώπιον της Αρχής στοιχεία που να αποδεικνύουν τους εν λόγω ισχυρισμούς του. Ειδικότερα, ο καταγγελλόμενος δεν απέδειξε ενώπιον της Αρχής κατά την εξέταση της υπό κρίση προσφυγής, εάν, με ποιον τρόπο, σε ποια μορφή και για ποιον λόγο χορήγησε στον τρίτο τα επίμαχα έγγραφα. Επειδή, τέλος, κατά την εξέταση της υπό κρίση προσφυγής δεν προέκυψε η προηγούμενη ενημέρωση του προσφεύγοντος για την με οιονδήποτε τρόπο και για οιονδήποτε λόγο χορήγηση σε τρίτο του πειθαρχικού του φακέλου, συμπεριλαμβανομένης της επίμαχης επιστολής, σύμφωνα με τις προαναφερόμενες διατάξεις των άρθρων 12 παρ. 1 και 13 παρ. 1 και 3 ΓΚΠΔ. Η έλλειψη δε αυτή του υπευθύνου επεξεργασίας να ενημερώσει τον προσφεύγοντα και υποκείμενο των δεδομένων ότι τα δεδομένα του πρόκειται να χορηγηθούν στον τρίτο, δημοσιογράφο και εκπρόσωπο της αρχικώς καταγγέλλουσας, στο πλαίσιο εξωπειθαρχικής προσπάθειας επίλυσης της διαφοράς μεταξύ των δύο εμπλεκόμενων μερών, συνιστά ευθεία παραβίαση των ως άνω αναφερομένων διατάξεων. 10 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή:
- Απευθύνει, με βάση το άρθρο 58 παρ. 2 α’ του Κανονισμού (ΕΕ) 2016/679, προειδοποίηση στον καταγγελλόμενο Ιατρικό Σύλλογο Χ, ως υπεύθυνο επεξεργασίας, να λάβει κατάλληλα οργανωτικά μέτρα βάσει του άρθρου 24 παρ. 1 και 2 του Κανονισμού (ΕΕ) 2016/679 προκειμένου να δύναται στο πλαίσιο της αρχής λογοδοσίας να επιδεικνύει και να αποδεικνύει τη συμμόρφωσή του με τον ως άνω Κανονισμό.
- Απευθύνει, με βάση το άρθρο κατ’ άρθρο 58 παρ. 2 στοιχ. β΄ ΓΚΠΔ, επίπληξη στον καταγγελλόμενο Ιατρικό Σύλλογο Χ, ως υπεύθυνο επεξεργασίας, για την παραβίαση των διατάξεων των άρθρων 12 παρ. 1 και 13 παρ. 1 και 3 ΓΚΠΔ. Ο Αναπληρωτής Πρόεδρος Γεώργιος Μπατζαλέξης Η Γραμματέας Ειρήνη Παπαγεωργοπούλου 11 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr