ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ Ε ΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Αθήνα, 31-05-2017 Αριθ. Πρωτ.: Γ/ΕΞ/4277/31-05-2017 Α Π Ο Φ Α Σ Η 58/2017 (Τµήµα) Η Αρχή Προστασίας εδοµένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τµήµατος, στην έδρα της, την Τρίτη 30-05-2017 και ώρα 12:00, µετά από πρόσκληση του Προέδρου της, προκειµένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Κωνσταντίνος Μενουδάκος, Πρόεδρος, και τα τακτικά µέλη της Αρχής Αντώνιος Συµβώνης, Σπύρος Βλαχόπουλος, και Χαράλαµπος Ανθόπουλος, ως εισηγητής. Στη συνεδρίαση παρέστη, µε εντολή του Προέδρου, ο ηµήτρης Ζωγραφόπουλος, ικηγόρος ( Ν) Νοµικός ελεγκτής, ως βοηθός εισηγητή. Επίσης, παρέστη, µε εντολή του Προέδρου, και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του ιοικητικού Οικονοµικού Τµήµατος της Αρχής, ως γραµµατέας. Η Αρχή έλαβε υπόψη τα ακόλουθα: Υποβλήθηκε στην Αρχή Προστασίας εδοµένων Προσωπικού Χαρακτήρα από την αρµόδια υπηρεσία του Γενικού Νοσοκοµείου [περιοχής] Χ, ως υπευθύνου επεξεργασίας, η υπ αρ. πρωτ. (και υπ αρ. πρωτ. Αρχής Γ/ΕΙΣ/2633/29-03-2017) αίτηση (και τα συνηµµένα σε αυτή έγγραφα) όπως αυτή συµπληρώθηκε µε το υπ αρ. πρωτ. Αρχής Γ/ΕΙΣ/4154/25-05-2017 έγγραφο, που υπέβαλε στην Αρχή η Α, δια της πληρεξουσίας δικηγόρου της µε την οποία ζητείται από την Αρχή όπως χορηγήσει την απαιτούµενη από τις διατάξεις του άρθρου 7 παρ. 2 του Ν. 2472/1997 για την Προστασία του ατόµου από την επεξεργασία δεδοµένων προσωπικού χαρακτήρα άδεια επεξεργασίας ευαίσθητων δεδοµένων προσωπικού χαρακτήρα για τη διαβίβαση στην αιτούσα τρίτη Α τα ζητηθέντα από την ίδια ιατρικά δεδοµένα προσωπικού χαρακτήρα της Β, στην οποία έχουν παρασχεθεί κατά τους ισχυρισµού 1
της υπηρεσίες υγείας στο εν λόγω νοσοκοµείο, από τις έως και τις, και ο ιατρικός της φάκελος τηρείται στα αρχεία του, για τον σκοπό της άσκησης και υπεράσπισης δικαιωµάτων ενώπιον των αρµοδίων δικαστηρίων. Ειδικότερα, η αιτούσα τρίτη Α ζητεί όπως της διαβιβαστούν τα ως άνω ζητηθέντα ιατρικά δεδοµένα προκειµένου να αντικρούσει την από αγωγή, που άσκησε η Β σε βάρος της και σε βάρος της ανώνυµης ασφαλιστικής εταιρείας «ΕΥΡΩΠΑΙΚΗ ΠΙΣΤΗ», από κοινού, ενώπιον του Μονοµελούς Πρωτοδικείου [περιοχής] Χ, η οποία πρόκειται να εκδικαστεί (µετά από αναβολή) την. Για τη διαβίβαση των ως άνω ζητηθέντων δεδοµένων προσωπικού χαρακτήρα της Β η αιτούσα τρίτη υπέβαλε, δια της πληρεξουσίας δικηγόρου της, την από αίτησή της προς την Εισαγγελία Πρωτοδικών [περιοχής] Χ, µε την οποία αιτήθηκε τη χορήγηση των αιτουµένων κατ άρθρο 25 παρ. 4 του Ν. 1756/1988, αλλά η αίτησή της αυτή απορρίφθηκε «διότι τα αιτούµενα έγγραφα εµπίπτουν στο ιατρικό απόρρητο». Μετά από εξέταση των στοιχείων του φακέλου της υπόθεσης, αφού άκουσε την πρόταση του εισηγητή και του βοηθού εισηγητή, ο οποίος στη συνέχεια αποχώρησε, και µετά από διεξοδική συζήτηση, Η Αρχή, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ 1. Επειδή, το άρθρο 2 στοιχ. (β ) του Ν. 2472/1997 για την Προστασία του ατόµου από την επεξεργασία δεδοµένων προσωπικού χαρακτήρα ορίζει, για τους σκοπούς του νόµου αυτού, ως ευαίσθητα δεδοµένα προσωπικού χαρακτήρα και εκείνα που αφορούν στην υγεία του υποκειµένου τους. 2. Επειδή, οι διατάξεις των άρθρων 2 στοιχ. (β ), 4 παρ. 1 και 7 παρ. 2 στοιχ. (γ ) του Ν. 2472/1997 καθορίζουν τους όρους και τις προϋποθέσεις για τη νόµιµη επεξεργασία ευαίσθητων δεδοµένων προσωπικού χαρακτήρα, που αφορούν στην υγεία. Ειδικότερα, οι διατάξεις διάταξη του άρθρου 4 παρ. 1 του Ν. 2472/1997, εναρµονιζόµενες, ιδίως, µε τις διατάξεις των άρθρων 9Α, 25 παρ. 1 και 28 του Συν/τος, 8 και 7 του Χάρτη Θεµελιωδών ικαιωµάτων της Ευρωπαϊκής Ένωσης και 6 της Οδηγίας 95/46/ΕΕ, ρητά ορίζουν, µεταξύ άλλων, ότι: «Τα δεδοµένα προσωπικού χαρακτήρα για να τύχουν νόµιµης επεξεργασίας πρέπει: α) Να συλλέγονται κατά τρόπο θεµιτό και νόµιµο για καθορισµένους, σαφείς και νόµιµους σκοπούς και να υφίστανται θεµιτή και νόµιµη επεξεργασία ενόψει των σκοπών αυτών. β) Να είναι συναφή, 2
πρόσφορα, και όχι περισσότερα από όσα κάθε φορά απαιτείται εν όψει των σκοπών της επεξεργασίας. ( )». Οι διατάξεις των άρθρων 5 παρ. 3 και 13. παρ. 3 στοιχ. (β ) του Ν. 3418/2005 σχετικά µε τον Κώδικα Ιατρικής εοντολογίας ρυθµίζουν την κατ εξαίρεση χορήγηση ιατρικών πιστοποιητικών σε τρίτο πρόσωπο, εφόσον έχει έννοµο συµφέρον και το αποδεικνύει, και τις προϋποθέσεις άρσης του ιατρικού απορρήτου. 3. Επειδή, µε τις διατάξεις αυτές καθιερώνονται ως θεµελιώδεις προϋποθέσεις για τη νοµιµότητα κάθε επεξεργασίας δεδοµένων προσωπικού χαρακτήρα, καθώς και για τη νοµιµότητα της σύστασης και λειτουργίας κάθε αρχείου, οι αρχές του σκοπού της επεξεργασίας και της αναλογικότητας των δεδοµένων σε σχέση πάντα µε το σκοπό επεξεργασίας. Συνεπώς, κάθε επεξεργασία προσωπικών δεδοµένων, που γίνεται πέραν του επιδιωκόµενου σκοπού η οποία δεν είναι πρόσφορη και αναγκαία για την επίτευξή του, δεν είναι νόµιµη. Συνακόλουθα, τόσο για τα απλά όσο και για τα ευαίσθητα δεδοµένα, πρέπει ο σκοπός επεξεργασίας να είναι νόµιµος, σαφής και καθορισµένος, και τα δεδοµένα να µην υπερβαίνουν τον σκοπό της επεξεργασίας. Ειδικότερα δε για τα ευαίσθητα προσωπικά δεδοµένα, η επεξεργασία επιτρέπεται, σύµφωνα µε τα οριζόµενα στις διατάξεις του άρθρου 7 παρ. 2 στοιχ. (γ ) του ν. 2472/1997, όταν πρόκειται να χρησιµοποιηθούν για άσκηση ή υπεράσπιση δικαιώµατος ενώπιον δικαστηρίου ή πειθαρχικού οργάνου. 4. Επειδή, επιπλέον, το άρθρο 11 παρ. 3 του Ν. 2472/1997 ρητά ορίζει ότι «εάν τα δεδοµένα ανακοινώνονται σε τρίτους, το υποκείµενο ενηµερώνεται για την ανακοίνωση πριν από αυτούς». 5. Επειδή, εξάλλου, αναφορικά µε την νοµιµότητα χορήγησης σε αιτούντα τρίτο ευαίσθητων προσωπικών δεδοµένων κατόπιν Εισαγγελικής Παραγγελίας, η Αρχή έχει ήδη κρίνει, ότι στην Εισαγγελική Παραγγελία θα πρέπει να αναφέρεται η υποχρέωση του υπευθύνου επεξεργασίας να ζητήσει τη σχετική άδεια της Αρχής, σύµφωνα µε τα οριζόµενα στις διατάξεις του άρθρου 7 παρ. 2 του Ν. 2472/1997 (Βλ. σχετικά Γνµδ. Αρχής 3/2003 και 3/2009 και πολλές άλλες πράξεις της Αρχής, Βλ. ενδεικτικά Αποφάσεις: 26/2017, 158/2011, 134/2011, 133/2011, 132/2011, 117/2011, 116/2011, 115/2011, 111/2011 και 78/2011, οι οποίες έχουν δηµοσιευτεί στο διαδικτυακό τόπο της Αρχής: www.dpa.gr). Ειδικότερα, µε το άρθρο 7 του Ν. 2472/1997, µε το οποίο ενσωµατώθηκε στο εθνικό δίκαιο η διάταξη του άρθρου 8 της Οδηγίας 95/46/ΕΚ, θεσπίζεται ο κανόνας της απαγόρευσης επεξεργασίας ευαίσθητων προσωπικών δεδοµένων, προβλέπεται δε κατ εξαίρεση η δυνατότητα επεξεργασίας τους στις κατά τρόπο περιοριστικό µνηµονευόµενες στην παράγραφο 2 του άρθρου αυτού 3
περιπτώσεις, µεταξύ των οποίων και η περίπτωση, κατά την οποία η επεξεργασία είναι αναγκαία για την αναγνώριση, άσκηση ή υπεράσπιση δικαιώµατος ενώπιον δικαστηρίου ή πειθαρχικού οργάνου. Σύµφωνα δε µε την ανωτέρω διάταξη, σε περίπτωση συνδροµής κάποιας από τις προβλεπόµενες εξαιρέσεις, για την επεξεργασία, απαιτείται άδεια της Αρχής Προστασίας εδοµένων Προσωπικού Χαρακτήρα, µε την οποία είναι δυνατόν να τίθενται σχετικοί όροι και περιορισµοί. Εποµένως, σύµφωνα µε τις ανωτέρω διατάξεις του άρθρου 7 του Ν. 2472/1997, που είναι αυξηµένης τυπικής ισχύος λόγω της κοινοτικής προέλευσής τους και µεταγενέστερες του άρθρου 25 του Ν. 1756/1988, όταν ζητείται από την αρµόδια Εισαγγελία έκδοση αντίστοιχης παραγγελίας για τη χορήγηση σε αιτούντα τρίτο ευαίσθητων προσωπικών δεδοµένων κατ άρθρο 25 παρ. 4 εδ. (β ) Ν.1756/1988, η σχετική εισαγγελική παραγγελία που απευθύνεται στη ιοίκηση, ως υπεύθυνο επεξεργασίας, δεν µπορεί να υποκαταστήσει την απαιτούµενη, κατά τα οριζόµενα στις διατάξεις του άρθρου 7 παρ. 2 του Ν. 2472/1997, άδεια της Αρχής (Βλ. Απόφαση Αρχής 26/2017). Κατά συνέπεια, και στην περίπτωση, κατά την οποία µε το έγγραφο του εισαγγελέα παραγγέλλεται ο υπεύθυνος επεξεργασίας να προβεί σε επεξεργασία, όπως για παράδειγµα διαβίβαση σε αιτούντα τρίτο, των αιτουµένων ευαίσθητων προσωπικών δεδοµένων, η παραγγελία αυτή δεν δεσµεύει τον υπεύθυνο, ο οποίος και οφείλει να ζητήσει την άδεια της Αρχής, κατά τα προαναφερόµενα. Συννόµως, λοιπόν, η αρµόδια υπηρεσία του Γενικού Νοσοκοµείου [περιοχής] Χ, ως υπευθύνου επεξεργασίας, απευθύνεται στην Αρχή και ζητεί την άδεια να διαβιβάσει στην αιτούσα τρίτη τα ζητηθέντα από την ίδια δεδοµένα προσωπικού χαρακτήρα. 6. Επειδή, στην υπό κρίση περίπτωση, από τα στοιχεία του φακέλου προκύπτουν, µεταξύ άλλων, τα ακόλουθα: Η αρµόδια υπηρεσία του Γενικού Νοσοκοµείου [περιοχής] Χ, ως υπευθύνου επεξεργασίας, µε την υπό κρίση υπ αρ. πρωτ. (και υπ αρ. πρωτ. Αρχής Γ/ΕΙΣ/2633/29-03-2017) αίτηση (και τα συνηµµένα σε αυτή έγγραφα) όπως αυτή συµπληρώθηκε µε το υπ αρ. πρωτ. Αρχής Γ/ΕΙΣ/4154/25-05- 2017 έγγραφο, που υπέβαλε στην Αρχή η Α, δια της πληρεξουσίας δικηγόρου της ζητεί από την Αρχή όπως χορηγήσει την απαιτούµενη από τις διατάξεις του άρθρου 7 παρ. 2 του Ν. 2472/1997 άδεια επεξεργασίας ευαίσθητων δεδοµένων προσωπικού χαρακτήρα για τη διαβίβαση στην αιτούσα τρίτη Α, όπως νοµίµως εκπροσωπείται από την πληρεξούσια δικηγόρο της, τα ζητηθέντα από την ίδια ιατρικά δεδοµένα προσωπικού χαρακτήρα της Β, στην οποία έχουν παρασχεθεί κατά τους ισχυρισµούς της υπηρεσίες υγείας στο εν λόγω νοσοκοµείο, από τις έως και τις, για τον 4
σκοπό της άσκησης και υπεράσπισης δικαιωµάτων ενώπιον των αρµοδίων δικαστηρίων. Ειδικότερα, η Β έχει ασκήσει σε βάρος της αιτούσας τρίτης και σε βάρος της ανώνυµης ασφαλιστικής εταιρείας «ΕΥΡΩΠΑΙΚΗ ΠΙΣΤΗ», από κοινού, αγωγή από αυτοκινητικό ατύχηµα, µε διάφορα αιτήµατα, η οποία εκκρεµεί ενώπιον του Μονοµελούς Πρωτοδικείου [περιοχής] Χ, και πρόκειται να εκδικαστεί (µετά από αναβολή) την. Η αιτούσα τρίτη-εναγόµενη ζητεί τη διαβίβαση των ως άνω δεδοµένων προσωπικού χαρακτήρα της ενάγουσας, προκειµένου να αντικρούσει τους προβαλλόµενους στην αγωγή αυτή ισχυρισµούς της. 7. Επειδή, ο σκοπός επεξεργασίας, τον οποίο προβάλλει η αιτούσα τρίτη για τη διαβίβαση στην ίδια των προαναφεροµένων πληροφοριών σχετικά µε τη νοσηλεία και την κατάσταση της υγείας της Β, συνίσταται στην ανάγκη υπεράσπισης των δικαιωµάτων της ενώπιον των αρµόδιων δικαστηρίων και, υπό την έννοια αυτή, καταρχήν ερείδεται στις προαναφερόµενες διατάξεις των άρθρων 7 παρ. 2 στοιχ. (γ ) και 4 παρ. 1 στοιχ. (α ) του ν. 2472/1997. Προκειµένου να πληρούται και η αρχή της αναλογικότητας (αναγκαιότητας και προσφορότητας) των επίµαχων δεδοµένων προσωπικού χαρακτήρα. σύµφωνα µε τα οριζόµενα στις διατάξεις του άρθρου 4 παρ. 1 στοιχ. (β ) του Ν. 2472/1997, αρκεί η χορήγηση στην αιτούσα τρίτη από την αρµόδια υπηρεσία του Γενικού Νοσοκοµείου [περιοχής] Χ, ως υπευθύνου επεξεργασίας, βεβαίωσης σχετικά µε τους λόγους εισαγωγής και τη νοσηλεία της Β στο εν λόγω νοσοκοµείο, κατά το χρονικό διάστηµα από τις έως και τις, τα αποτελέσµατα των ιατρικών εξετάσεων, στις οποίες αυτή υποβλήθηκε, την κατάσταση της υγείας της, λόγω του επικαλούµενου τραυµατισµού της από το ως άνω αυτοκινητικό ατύχηµα, συµπεριλαµβανοµένης ενδεχόµενης λήψης από την ίδια φαρµακευτικής αγωγής, που λάµβανε και λαµβάνει, εξαιτίας του εν λόγω τραυµατισµού της. 8. Επειδή, το Γενικό Νοσοκοµείο [περιοχής] Χ, ως υπεύθυνος επεξεργασίας, οφείλει σύµφωνα µε τα οριζόµενα στη διάταξη του άρθρου 11 παρ. 3 του Ν. 2472/1997, να ενηµερώσει την Β ότι ευαίσθητα δεδοµένα της προσωπικού χαρακτήρα θα διαβιβαστούν στην αιτούσα τρίτη, για τον σκοπό της άσκησης ή υπεράσπισης των δικαιωµάτων της ενώπιον των αρµόδιων δικαστηρίων. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή, 5
1) Παρέχει στο Γενικό Νοσοκοµείο [περιοχής] Χ, ως υπεύθυνο επεξεργασίας, την άδεια να χορηγήσει στην αιτούσα τρίτη Α βεβαίωση σχετικά µε τους λόγους εισαγωγής και τη νοσηλεία της Β στο εν λόγω νοσοκοµείο, κατά το χρονικό διάστηµα από τις έως και τις, τα αποτελέσµατα των ιατρικών εξετάσεων, στις οποίες αυτή υποβλήθηκε, την κατάσταση της υγείας της, λόγω του επικαλούµενου ως άνω τραυµατισµού της από αυτοκινητικό ατύχηµα, συµπεριλαµβανοµένης ενδεχόµενης λήψης από την ίδια φαρµακευτικής αγωγής, που λάµβανε και λαµβάνει, εξαιτίας του εν λόγω τραυµατισµού της. 2) Το Γενικό Νοσοκοµείο [περιοχής] Χ, ως υπεύθυνος επεξεργασίας, υποχρεούται να ενηµερώσει την Β, πριν από τη διαβίβαση των προαναφεροµένων ευαίσθητων δεδοµένων της προσωπικού χαρακτήρα στην αιτούσα τρίτη Α. Ο Πρόεδρος Η Γραµµατέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 6