ΑΠΟΦΑΣΗ 05/2025
Αθήνα, 07-01-2025
Αριθ. Πρωτ.: 43
Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (εφεξής «Αρχή») συνήλθε μετά από πρόσκληση του Προέδρου της σε συνεδρίαση την Τρίτη, 22 Οκτωβρίου 2024, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος, τα τακτικά μέλη Σπυρίδων Βλαχόπουλος, Χρήστος Καλλονιάτης, Αικατερίνη Ηλιάδου, καθώς και τα αναπληρωματικά μέλη Δημοσθένης Βουγιούκας, Νικόλαος Λίβος, ως εισηγητής, και Μαρία Ψάλλα, σε αντικατάσταση των τακτικών μελών, Κωνσταντίνου Λαμπρινουδάκη, Χαράλαμπου Ανθόπουλου, και Γρηγορίου Τσόλια αντίστοιχα, οι οποίοι αν και εκλήθησαν νομίμως εγγράφως δεν παρέστησαν λόγω κωλύματος. Παρούσες, χωρίς δικαίωμα ψήφου, ήταν η Αναστασία Κανικλίδου, ειδική επιστήμονας – ελέγκτρια, ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας.
Η Α (εφεξής καταγγέλλουσα), ενεργούσα για τον εαυτό της ατομικά αλλά και ως ασκούσα την αποκλειστική επιμέλεια του (ανηλίκου κατά την υποβολή της καταγγελίας) υιού της Β είχε υποβάλει τις υπ’ αριθμ. Γ/ΕΙΣ/8137/28-11-2006 και Γ/ΕΙΣ/4804/04-07-2007 καταγγελίες στην Αρχή κατά του πρώην Οργανισμού Περίθαλψης Ασφαλισμένων Δημοσίου (εφεξής Ο.Π.Α.Δ), με τις οποίες παραπονείτο για αθέμιτη και παράνομη επεξεργασία των προσωπικών δεδομένων της ιδίας, του ανηλίκου τέκνου της αλλά και τρίτων προσώπων ασφαλισμένων στον καταγγελλόμενο οργανισμό. Συγκεκριμένα, με την υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/8137/28-11-2006 αναφορά της η καταγγέλλουσα, υπάλληλος …, κατήγγειλε ότι ο Ο.Π.Α.Δ., σε απάντηση σχετικής αιτήσεώς της προς την ΥΠΑΔ Χ για χορήγηση αντιγράφου της κατάστασης δαπανών νοσηλείας, κοινοποίησε σε αυτή εκτός των καταστάσεων δαπανών νοσηλείας και των αντίστοιχων χρηματικών ενταλμάτων προς την ΥΔΕ που την αφορούσαν, και τις καταστάσεις δαπανών νοσηλείας άλλων ασφαλισμένων στο Ταμείο, ανακοινώνοντας με τον τρόπο αυτό τα προσωπικά τους δεδομένα χωρίς την προηγούμενη ενημέρωση και συγκατάθεσή τους. Μεταξύ των στοιχείων που κοινοποιήθηκαν ήταν εκτός των απλών προσωπικών δεδομένων (ονοματεπώνυμο ασφαλισμένου, δ/νση κατοικίας, ΑΦΜ, αιτηθέν και εγκριθέν ποσό δαπάνης νοσηλείας) και ο αντίστοιχος ΚΑΕ, ο οποίος, κατά την άποψή της, προσδιορίζει το είδος της δαπάνης, που στη συγκεκριμένη περίπτωση ήταν δαπάνη νοσηλείας, δηλ. ευαίσθητο δεδομένο υγείας.
Ακολούθως, με την υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/4804/04-07-2007 συμπληρωματική αναφορά της η καταγγέλλουσα παραπονείτο διότι ο Ο.Π.Α.Δ. απέστειλε στις … στην [υπηρεσία …], αντίγραφα του πορίσματος της Ενόρκου Διοικητικής Εξετάσεως, η οποία διενεργήθηκε κατόπιν αναφοράς της καθώς και αντίγραφα αυτής και άλλων αναφορών που υπέβαλε προς τον Ο.Π.Α.Δ, τα οποία περιείχαν, κατά την άποψή της, και ευαίσθητα προσωπικά δεδομένα της ιδίας και του ανήλικου τέκνου της, χωρίς προηγουμένως να έχει ενημερωθεί για τη διαβίβαση αυτή και παρά το γεγονός ότι είχε εναντιωθεί στην εν λόγω διαβίβαση με την από … εξώδικη δήλωσή προς τον Ο.Π.Α.Δ. Επιπλέον, κατήγγειλε ότι η ίδια έλαβε μόνον γνώση στις …, δηλαδή δύο περίπου μήνες μετά την διαβίβαση του πορίσματος της Ε.Δ.Ε και των αναφορών στην υπηρεσία της, του αποσπάσματος των πρακτικών του Δ.Σ. του Ο.Π.Α.Δ. υπ’ αριθμ. … και …, με τα οποία αποφασίστηκε η αποστολή του πορίσματος και των αναφορών στην υπηρεσία της. Επί των ανωτέρω καταγγελιών, η Αρχή αρχικώς εξέδωσε την υπ’ αρ. 24/2010 (και με αρ. πρωτ. Γ/ΕΞ/2716/28-04-2010) απόφασή της, με την οποία: α) επέβαλε στον Ο.Π.Α.Δ πρόστιμο ύψους τριών χιλιάδων (3.000) ευρώ για παράνομη κοινοποίηση ευαίσθητων προσωπικών δεδομένων της καταγγέλλουσας και του ανηλίκου τέκνου στην υπηρεσία της κατά παράβαση των άρθρων 4 παρ. 1, 7 παρ. 2 και 11 παρ. 3 του Ν. 2472/1997, β) απηύθυνε σύσταση στον Ο.Π.Α.Δ σύμφωνα με τις διατάξεις του άρθρου 19 παρ. 1 στοιχ. γ’ του Ν. 2472/1997, όπως εφεξής επιδεικνύει την δέουσα επιμέλεια κατά την διαβίβαση σε τρίτους ευαίσθητων προσωπικών δεδομένων των ασφαλισμένων του, τα οποία τηρεί στο αρχείο του ως υπεύθυνος επεξεργασίας. Ακολούθως, η Αρχή με την υπ΄ αρ. 113/2013 (και με αρ. πρωτ. Γ/ΕΞ/6010/23-09-2013) απόφασή της, λαμβάνοντας υπόψη τις υπ’ αρ. 4240/2010 και 1209/2011 αποφάσεις του ΣτΕ, που αφορούσαν τη νομιμότητα της σύνθεσης της Αρχής σε σχέση με τη συμμετοχή κατά την έκδοση των αποφάσεών της υπαλλήλων της Γραμματείας της, κατά το τότε ισχύον νομοθετικό καθεστώς, ανακάλεσε οίκοθεν την προαναφερόμενη υπ’ αρ. 24/2010 απόφασή της με την αιτιολογία ότι κατά την έκδοση της ανακληθείσας απόφασης η Αρχή είχε συνεδριάσει με μη νόμιμη σύνθεση, επανεξέτασε δε εκ νέου τις υπ’ αρ. πρωτ. Γ/ΕΙΣ/8137/28-11-2006 και Γ/ΕΙΣ/4804/04- 07-2007 καταγγελίες της Α σε βάρος του Ο.Π.Α.Δ και εξέδωσε την υπ’ αρ. 9/2014 (και με αρ. πρωτ. Γ/ΕΞ/412/22-01-2014) απόφασή της. Με την απόφαση αυτή η Αρχή έκρινε, μεταξύ άλλων, ότι: «3. (…) Όσον αφορά τα καταγγελλόμενα σχετικά με την αποστολή αυτούσιου του πορίσματος και των αναφορών της προσφεύγουσας από τον ΟΠΑ∆ στην υπηρεσία της προσφεύγουσας, σύμφωνα με τα συμπεράσματα του πορίσματος και δεδομένου ότι το πόρισμα αποτέλεσε προϊόν των αναφορών- καταγγελιών της προσφεύγουσας, έπρεπε αυτό να αποσταλεί αυτούσιο μαζί με τις αναφορές στην υπηρεσία της, προκειμένου να λάβει πλήρη γνώση για τυχόν τέλεση πειθαρχικού παραπτώματος ως εκ της καταχρηστικής ασκήσεως του δικαιώματος υποβολής αναφορών προς την Διοίκηση, η οποία δεν συνάδει προς την εκτός υπηρεσίας συμπεριφορά δημοσίου υπαλλήλου. Όσον αφορά το ειδικότερο ζήτημα της ενημέρωσής της από τον ΟΠΑ∆ πριν τη διαβίβαση του πορίσματος και των αναφορών στην υπηρεσία της, η αρχική ενημέρωσή της έγινε από τον ΟΠΑ∆ την … με την κοινοποίηση του πορίσματος, στο οποίο αναφερόταν ότι η υπηρεσία της θα ενημερωθεί για τις καταχρηστικές αναφορές που υπέβαλε στην ΥΠΑ∆ Χ και τον Ο.Π.Α.∆. και μάλιστα η προσφεύγουσα με την από … εξώδικη δήλωσή της υπέβαλε αντιρρήσεις, με τις οποίες ζητούσε να μην ενημερωθεί η υπηρεσία της. Η περαιτέρω, όμως, μη ανακοίνωση της τελικής αποφάσεως του ∆Σ του ΟΠΑ∆ περί διαβιβάσεως του πορίσματος και των αναφορών αποτελεί μεν παράβαση του άρθρου 11 παρ. 3 του Ν. 2472/1997, πλην οφειλομένη σε συγγνωστή πλάνη ότι η νεωτέρα ανακοίνωση δεν ήταν υποχρεωτική για το λόγο ότι είχε προηγηθεί κοινοποίηση του πορίσματος με την εξαγγελία ότι θα διαβιβασθούν στην υπηρεσία της και οι αναφορές της και η ∆ιοίκηση του ΟΠΑ∆ κατά νόμιμη υποχρέωση όφειλε να διαβιβάσει το πόρισμα και τις αναφορές στη[ν] [υπηρεσία …], πράγμα το οποίο μετά βεβαιότητας έπρεπε να αναμένει η καταγγέλλουσα παρά τις διατυπωθείσες αντιρρήσεις της, εφόσον μία από τις προτάσεις του διενεργήσαντος την Ε∆Ε ήταν να ενημερωθεί η υπηρεσία που υπηρετεί η καταγγέλλουσα για τον καταχρηστικό τρόπο με τον οποίο απευθυνόταν με τη σωρεία αναφορών και αιτιάσεων στην ΥΠΑ∆ Χ και τον Ο.Π.Α.∆. για τις δικές της υπηρεσιακές ενέργειες (…)» και, με βάση τις σκέψεις αυτές, 1) έκανε δεκτές εν μέρει τις προσφυγές της καταγγέλλουσας, κατά το μέρος που αφορούσε στη μη προηγούμενη ενημέρωσή της από τη Διοίκηση του Ο.Π.Α.Δ. περί της αποστολής του πορίσματος και των αναφορών της στην Υπηρεσία της παρά τις διατυπωθείσες αντιρρήσεις της, 2) απηύθυνε σύσταση σύμφωνα με τις διατάξεις του άρθρου 19 παρ. 1 στοιχ. γ’ του Ν. 2472/1997 στον Εθνικό Οργανισμό Παροχής Υπηρεσιών Υγείας («Ε.Ο.Π.Υ.Υ»), ως καθολικό διάδοχο του Ο.Π.Α.Δ, να ενημερώνει, ως υπεύθυνος επεξεργασίας, τα υποκείμενα των δεδομένων πριν την ανακοίνωσή τους σε τρίτους, 3) κατά τα λοιπά απέρριψε ως αβάσιμες τις προσφυγές.
Ακολούθως, η Α, ενεργούσα ατομικώς και ως νόμιμος εκπρόσωπος του υιού της Β άσκησε (για τον εαυτό της ατομικά αλλά και ως οριστική δικαστική συμπαραστάτρια του υιού της) την από … και με αριθμό κατάθεσης … αίτηση ακύρωσης ενώπιον του Συμβουλίου της Επικρατείας. Επί της ως άνω αίτησης, το Συμβούλιο της Επικρατείας εξέδωσε την υπ’ αρ. 316/2021 απόφασή του, με την οποία ακυρώθηκε εν μέρει η υπ’ αρ. 9/2014 (και με αρ. πρωτ. Γ/ΕΞ/412/22-01-2014) απόφαση της Αρχής με την αιτιολογία ότι: « (…) 10. Επειδή, η προσβαλλόμενη απόφαση κατά το μέρος που με αυτήν έγινε δεκτό ότι, για την διαβίβαση του πορίσματος της διενεργηθείσης ΕΔΕ στην Υπηρεσία της πρώτης εκ των αιτούντων, προκειμένου να ενημερωθεί για τυχόν τέλεση εκ μέρους της πειθαρχικού παραπτώματος, δεν απητείτο, σύμφωνα με τα οριζόμενα στις διατάξεις των άρθρων 5 παρ. 2 στοιχ. Δ΄ και 7Α παρ. 1 του ν. 2472/1997, η χορήγηση αδείας από την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, παρίσταται μη νόμιμη, …. Τούτο δε διότι, η εν λόγω διαβίβαση του πορίσματος της ΕΔΕ, στο οποίο ανεφέροντο τα προβλήματα υγείας που αντιμετώπιζε ο δεύτερος εκ των αιτούντων, συνιστούσε επεξεργασία ευαίσθητων προσωπικών δεδομένων του, η οποία, κατ’ αρχήν, απηγορεύετο, σύμφωνα με την διάταξη του άρθρου 7 παρ. 1 του ν. 2472/1997, στην προκειμένη δε περίπτωση, δεν συνέτρεχε κάποια από τις προβλεπόμενες στην διάταξη του άρθρου 7 παρ. 2 του ίδιου νόμου προϋποθέσεις, ώστε να καθίστατο θεμιτή η ένδικη επεξεργασία κατόπιν χορηγήσεως αδείας από την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα. Συνεπώς, εφόσον τα ευαίσθητα προσωπικά δεδομένα του δευτέρου εκ των αιτούντων δεν ηδύναντο να τύχουν επεξεργασίας, έστω και κατόπιν λήψεως αδείας από την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, δεν συνέτρεχε περίπτωση εφαρμογής της διατάξεως του άρθρου 7Α παρ. 1 του ν. 2472/1997, σύμφωνα με την οποία ο υπεύθυνος της επεξεργασίας απαλλάσσεται από την υποχρέωση λήψεως αδείας από την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, εφόσον συντρέχει κάποια από τις οριζόμενες στην διάταξη αυτή προϋποθέσεις. Επομένως, για τον λόγο αυτόν, η προσβαλλόμενη απόφαση πρέπει να ακυρωθεί κατά το προαναφερθέν μέρος της».
Κατόπιν τούτων, σε συμμόρφωση με την υπ’ αρ. 316/2021 απόφαση του Συμβουλίου της Επικρατείας, σε συνέχεια και σχετικών αιτήσεων της καταγγέλλουσας, οι ως άνω αναφορές/καταγγελίες επανεισάγονται προς εξέταση, για νέα νόμιμη κρίση σύμφωνα με τα αναφερόμενα στο σκεπτικό της σχετικής δικαστικής απόφασης. Στο ως άνω πλαίσιο, η Αρχή κάλεσε με τα υπ’ αρ. πρωτ. Γ/ΕΙΣ/2546/19-09-2024 και Γ/ΕΙΣ/2547/19-09-2024 έγγραφα την καταγγέλλουσα Α, ατομικά και ως οριστική δικαστική συμπαραστάτρια του ενήλικου πλέον τέκνου της Β, δυνάμει της υπ’αριθμ. … αμετακλήτου απόφασης του Μονομελούς Πρωτοδικείου Αθηνών και τον Ε.Ο.Π.Υ.Υ., ο οποίος έχει καταστεί καθολικός διάδοχος του Ο.Π.Α.Δ. δυνάμει του άρθρου 29 παρ. 1 του ν. 3918/2011, αντιστοίχως, να παραστούν μέσω τηλεδιάσκεψης στη συνεδρίαση της Ολομέλειας της Αρχής την 01-10-2024, προκειμένου να συζητηθούν οι προαναφερόμενες αναφορές/καταγγελίες της καταγγέλλουσας σε βάρος του ΟΠΑΔ μετά από την έκδοση της υπ’ αρ. 316/2021 αποφάσεως του ΣτΕ. Στη συνεδρίαση αυτή παρέστησαν και ανέπτυξαν τις απόψεις τους ο πληρεξούσιος δικηγόρος της καταγγέλλουσας, κ. Γεώργιος Παπαδάκος (ΑΜ/ΔΣΑ …) μετά της καταγγέλλουσας Α, εκ μέρους δε του Ε.Ο.Π.Υ.Υ. η Γ, Διευθύντρια Διοικητικής Υποστήριξης, ενώ παρούσα στη συζήτηση ήταν και η ΥΠΔ του Ε.Ο.Π.Υ.Υ Δ. Κατά την εν λόγω συνεδρίαση χορηγήθηκε σε αμφότερα τα μέρη προθεσμία προσκόμισης υπομνημάτων.
Ακολούθως, τόσο η καταγγέλλουσα όσο και ο καταγγελλόμενος υπέβαλαν τα υπ’ αρ. πρωτ. Γ/ΕΙΣ/7827/10-10-2024 και Γ/ΕΙΣ/7874/11-10-2024 υπομνήματά τους, αντιστοίχως, εντός της σχετικής προθεσμίας που όρισε ο Πρόεδρος κατά τη συνεδρίαση.
Η καταγγέλλουσα, με το ως άνω υπόμνημά της προσκομίζει αντίγραφο της με αριθμόν … τελεσιδίκου απόφασης του Τριμελούς Διοικητικού Εφετείου Αθηνών, δυνάμει της οποίας, αφού εξαφανίσθηκε εν μέρει η οριστική απόφαση του Διοικητικού Πρωτοδικείου Αθηνών με αριθμ. … κατά το μέρος του αφορούσε στη σχετική κρίση ως προς τη νομιμότητα της επεξεργασίας των ευαίσθητων προσωπικών δεδομένων του υιού της καταγγέλλουσας, υποχρεώθηκε ο Ε.Ο.Π.Υ.Υ να καταβάλει στην καταγγέλλουσα για λογαριασμό του τέκνου της το ποσό των δέκα χιλιάδων (10.000) ευρώ νομιμοτόκως από την επίδοση της αγωγής και μέχρι πλήρους εξόφλησης.
Ο δε καταγγελλόμενος με το ως άνω υπόμνημά του αναφέρει, μεταξύ άλλων, ότι από το χρονικό διάστημα υποβολής της καταγγελίας μέχρι σήμερα έχει παρέλθει σχεδόν εικοσαετία, εντός της οποίας ο Ε.Ο.Π.Υ.Υ έχει προχωρήσει σε σειρά συστηματικής συμμόρφωσης με τη νομοθεσία προστασίας δεδομένων προσωπικού χαρακτήρα και τον ΓΚΠΔ, με συνεχείς παρεμβάσεις και βελτιώσεις, παραθέτει δε αναλυτικά τις ενέργειες συμμόρφωσης με τον ΓΚΠΔ στις οποίες έχει προβεί.
Η Αρχή, αφού έλαβε υπόψη της τα ανωτέρω, και μετά από εξέταση του συνόλου των στοιχείων του φακέλου και όσων προέκυψαν από την ενώπιόν της ακροαματική διαδικασία και τα υπομνήματα των μερών, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, κατόπιν διεξοδικής συζητήσεως,
ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
1. Επειδή, σύμφωνα με τις διατάξεις του άρθρο 95 παρ. 5 του Συντάγματος, του άρθρου 1 του εκτελεστικού νόμου 3068/2002, και του άρθρου 50 παρ. 4 και 5 του π.δ. 18/1989, η Διοίκηση έχει υποχρέωση να συμμορφώνεται με τις ακυρωτικές αποφάσεις του Συμβουλίου της Επικρατείας.
Εξάλλου, όταν η Διοίκηση ενεργεί κατά συμμόρφωση προς ακυρωτική απόφαση του Συμβουλίου της Επικρατείας, υποχρεούται όχι μόνο να θεωρήσει ως ανίσχυρη και μη υφιστάμενη τη διοικητική πράξη που ακυρώθηκε, αλλά και να προβεί με θετικές ενέργειες στην αναμόρφωση της νομικής κατάστασης που δημιουργήθηκε στο μεταξύ βάσει της πράξης που ακυρώθηκε. 2. Ο Κανονισμός (ΕΕ) 2016/679 (Γενικός Κανονισμός για την Προστασία Δεδομένων- ΓΚΠΔ), ο οποίος κατήργησε την Οδηγία 95/46/ΕΚ, τέθηκε σε εφαρμογή στις 25 Μαΐου 2018.
Εν προκειμένω, όμως, εφαρμοστέος τυγχάνει ο ν. 2472/1997 αφού η υπό κρίση καταγγελία αναφέρεται σε επεξεργασία προσωπικών δεδομένων, η οποία τελέστηκε σε χρόνο προ της θέσης σε εφαρμογή του ΓΚΠΔ, ο οποίος ίσχυε και όταν εκδόθηκε η απόφαση της Αρχής που ακυρώθηκε με την υπ’ αριθμ. 316/2021 απόφαση του ΣτΕ. 3. Επειδή, η διάταξη του άρθρου 2 του ν. 2472/1997 όριζε ότι «Για τους σκοπούς του παρόντος νόμου νοούνται ως: α) “Δεδομένα προσωπικού χαρακτήρα”, κάθε πληροφορία που αναφέρεται στο υποκείμενο των δεδομένων β) “Ευαίσθητα δεδομένα”, τα δεδομένα που αφορούν στη φυλετική ή εθνική προέλευση, στα πολιτικά φρονήματα, στις θρησκευτικές ή φιλοσοφικές πεποιθήσεις, στη συμμετοχή σε συνδικαλιστική οργάνωση, στην υγεία, στην κοινωνική πρόνοια και στην ερωτική ζωή, στα σχετικά με ποινικές διώξεις ή καταδίκες, καθώς και στη συμμετοχή σε συναφείς με τα ανωτέρω ενώσεις προσώπων …(δ) «Επεξεργασία δεδομένων προσωπικού χαρακτήρα» κάθε εργασία ή σειρά εργασιών που πραγματοποιείται από το Δημόσιο ή από νομικό πρόσωπο δημοσίου δικαίου ή ιδιωτικού δικαίου ή ένωση προσώπων ή φυσικό πρόσωπο με ή χωρίς τη βοήθεια αυτοματοποιημένων μεθόδων και εφαρμόζονται σε δεδομένα προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διατήρηση ή αποθήκευση, η τροποποίηση, η εξαγωγή, η χρήση, η διαβίβαση, η διάδοση ή κάθε άλλης μορφής διάθεση, η συσχέτιση ή ο συνδυασμός, η διασύνδεση, η δέσμευση (κλείδωμα), η διαγραφή, η καταστροφή».
4. Επειδή, η διάταξη του άρθρου 4 παρ. 1 του ν. 2472/1997, εναρμονιζόμενη, ιδίως, με τις διατάξεις των άρθρων 9Α, 25 παρ. 1 και 28 του Συν/τος, 8 και 7 του Χάρτη Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης και 6 της Οδηγίας 95/46/ΕΚ, όριζε ότι: «Τα δεδομένα προσωπικού χαρακτήρα για να τύχουν νόμιμης επεξεργασίας πρέπει: α) Να συλλέγονται κατά τρόπο θεμιτό και νόμιμο για καθορισμένους, σαφείς και νόμιμους σκοπούς και να υφίστανται θεμιτή και νόμιμη επεξεργασία ενόψει των σκοπών αυτών. β) Να είναι συναφή, πρόσφορα, και όχι περισσότερα από όσα κάθε φορά απαιτείται εν όψει των σκοπών της επεξεργασίας. (…)». Με τις διατάξεις αυτές καθιερώθηκαν ως θεμελιώδεις προϋποθέσεις για τη νομιμότητα κάθε επεξεργασίας δεδομένων προσωπικού χαρακτήρα, καθώς και για τη νομιμότητα της σύστασης και λειτουργίας κάθε αρχείου, οι αρχές του σκοπού της επεξεργασίας και της αναλογικότητας των δεδομένων σε σχέση πάντα με το σκοπό επεξεργασίας. Συνεπώς, κάθε επεξεργασία προσωπικών δεδομένων, που γίνεται πέραν του επιδιωκόμενου σκοπού και που δεν είναι πρόσφορη και αναγκαία για την επίτευξή του, δεν είναι νόμιμη.
5. Επειδή το άρθρο 7 του ν. 2472/1997 όριζε ότι “1. Απαγορεύεται η συλλογή και η επεξεργασία ευαίσθητων προσωπικών δεδομένων. 2. Κατ’ εξαίρεση επιτρέπεται η συλλογή και η επεξεργασία ευαίσθητων δεδομένων, καθώς και η ίδρυση και λειτουργία του σχετικού αρχείου, ύστερα από άδεια της Αρχής, όταν συντρέχουν μία ή περισσότερες από τις ακόλουθες προϋποθέσεις: α) Το υποκείμενο έδωσε τη γραπτή συγκατάθεσή του ... β) ...γ) Η επεξεργασία αφορά δεδομένα που δημοσιοποιεί το ίδιο το υποκείμενο ή είναι αναγκαία για την αναγνώριση, άσκηση ή υπεράσπιση δικαιώματος ενώπιον δικαστηρίου ή πειθαρχικού οργάνου. δ) Η επεξεργασία αφορά θέματα υγείας και εκτελείται από πρόσωπο που ασχολείται κατ’ επάγγελμα με την παροχή υπηρεσιών υγείας και υπόκειται σε καθήκον εχεμύθειας ή σε συναφείς κώδικες δεοντολογίας, υπό τον όρο ότι η επεξεργασία είναι απαραίτητη για την ιατρική πρόληψη, διάγνωση, περίθαλψη ή τη διαχείριση υπηρεσιών υγείας. ε) Η επεξεργασία εκτελείται από Δημόσια Αρχή και είναι αναγκαία είτε αα) ... ββ) για την εξυπηρέτηση των αναγκών εγκληματολογικής ή σωφρονιστικής πολιτικής και αφορά τη διακρίβωση εγκλημάτων, ποινικές καταδίκες ή μέτρα ασφαλείας είτε γγ) για λόγους προστασίας της δημόσιας υγείας, είτε δδ) για την άσκηση δημόσιου φορολογικού ελέγχου ή δημόσιου ελέγχου κοινωνικών παροχών. στ) Η επεξεργασία πραγματοποιείται για ερευνητικούς και επιστημονικούς αποκλειστικά σκοπούς... ζ) Η επεξεργασία αφορά δεδομένα δημοσίων προσώπων, εφόσον αυτά συνδέονται με την άσκηση δημοσίου λειτουργήματος ή τη διαχείριση συμφερόντων τρίτων, και πραγματοποιείται αποκλειστικά για την άσκηση του δημοσιογραφικού επαγγέλματος ...»”.
6. Επειδή, το άρθρο 7Α του ν. 2472/1997 όριζε ότι «1. Ο υπεύθυνος επεξεργασίας απαλλάσσεται από την υποχρέωση γνωστοποίησης του άρθρου 6 και από την υποχρέωση λήψης άδειας του άρθρου 7 του παρόντος νόμου στις ακόλουθες περιπτώσεις: α) Όταν η επεξεργασία πραγματοποιείται αποκλειστικά για σκοπούς που συνδέονται άμεσα με σχέση εργασίας ή έργου ή με παροχή υπηρεσιών στο δημόσιο τομέα και είναι αναγκαία για την εκπλήρωση υποχρεώσεων από τις παραπάνω σχέσεις και το υποκείμενο έχει προηγουμένως ενημερωθεί. β) ... δ) Όταν η επεξεργασία αφορά δεδομένα υγείας και γίνεται από ιατρούς ή άλλα πρόσωπα που παρέχουν υπηρεσίες υγείας, εφόσον ο υπεύθυνος επεξεργασίας δεσμεύεται από το ιατρικό απόρρητο ή άλλο απόρρητο που προβλέπει νόμος ή κώδικας δεοντολογίας, και τα δεδομένα δεν διαβιβάζονται ούτε κοινοποιούνται σε τρίτους. Για την εφαρμογή της παρούσας διάταξης τα δικαστήρια και οι δημόσιες αρχές δεν λογίζονται ως τρίτοι, εφόσον τη διαβίβαση ή κοινοποίηση επιβάλλει νόμος ή δικαστική απόφαση. Δεν εμπίπτουν στην απαλλαγή της παρούσας διάταξης τα νομικά πρόσωπα ή οργανισμοί που παρέχουν υπηρεσίες υγείας, όπως κλινικές, νοσοκομεία, κέντρα υγείας, κέντρα αποθεραπείας και αποτοξίνωσης, ασφαλιστικά ταμεία και ασφαλιστικές εταιρείες».
7. Επειδή, στην προκειμένη περίπτωση, από τα στοιχεία του φακέλου της υπόθεσης, και όπως έγινε δεκτό από την υπ’ αριθμ. 316/2021 απόφαση του ΣτΕ, προέκυψαν τα εξής: Η πρώτη καταγγέλλουσα, υπάλληλος [υπηρεσίας …], με τις από … και … αιτήσεις της προς την Υπηρεσία Περίθαλψης Ασφαλισμένων Δημοσίου (Υ.Π.Α.Δ.) Χ του Ο.Π.Α.Δ ανέφερε ότι έτυχε κακής εξυπηρετήσεως από την ανωτέρω Υπηρεσία. Ειδικότερα, η καταγγέλλουσα διαμαρτυρήθηκε για την καθυστέρηση της εκκαθαρίσεως των προβλεπομένων παροχών ειδικής ανάγκης προς τον ανήλικο υιό της (δεύτερο εκ των καταγγελλόντων), ο οποίος αντιμετώπιζε χρόνιο πρόβλημα υγείας, καθώς και για την μη ενημέρωσή της σχετικά με τα δικαιολογητικά που όφειλε να προσκομίσει στο Υπουργείο Υγείας και Κοινωνικής Αλληλεγγύης προκειμένου να εκκαθαρισθούν οι ανωτέρω παροχές. Με την υπ’ αριθ. … απόφαση του Διοικητικού Συμβουλίου του Ο.Π.Α.Δ διετάχθη η διενέργεια ΕΔΕ, προκειμένου να διερευνηθούν οι ανωτέρω καταγγελίες. Την … ο Προϊστάμενος της ΥΠΑΔ Χ υπέβαλε πόρισμα, το οποίο κατέληξε στο συμπέρασμα ότι οι καταγγελίες της ανωτέρω απεδείχθησαν αβάσιμες. Παρά ταύτα, με την υπ’ αριθ. … απόφαση του Διοικητικού Συμβουλίου του ΟΠΑΔ διετάχθη η διενέργεια νέας ΕΔΕ προς διερεύνηση των προαναφερθεισών καταγγελιών. Την … ο διενεργήσας την προαναφερθείσα ΕΔΕ υπέβαλε το πόρισμά του, το οποίο κατέληξε στα ακόλουθα συμπεράσματα: α) η πρώτη καταγγέλλουσα, κατά την συναλλαγή της με την ΥΠΑΔ Χ δεν εξυπηρετήθηκε επαρκώς, καθόσον υπήρξαν καθυστερήσεις και λάθη κατά την διαδικασία της εκκαθαρίσεως των δαπανών νοσηλείας του υιού της, β) ως προς το ζήτημα της συμπεριφοράς υπαλλήλων της ΥΠΑΔ Χ προς την ανωτέρω, προτάθηκε η κλήση σε απολογία συγκεκριμένων υπαλλήλων, εφόσον στοιχειοθετούνται εις βάρος τους πειθαρχικά παραπτώματα και γ) προτάθηκε να ενημερωθεί η Υπηρεσία της ανωτέρω σχετικώς με τον καταχρηστικό τρόπο, με τον οποίον αυτή υπέβαλε τις προαναφερθείσες αναφορές της προς τον ΟΠΑΔ. Επιπλέον, στο ίδιο ως άνω πόρισμα αναφέρονταν τα χρόνια προβλήματα υγείας που αντιμετώπιζε ο υιός της πρώτης εκ των καταγγελλόντων. Με την υπ’ αριθ. … απόφαση του Διοικητικού Συμβουλίου του ΟΠΑΔ απορρίφθηκε η από … εξώδικη δήλωση της πρώτης καταγγέλλουσας, με την οποία αυτή είχε ζητήσει να μην ενημερωθεί η Υπηρεσία της σχετικά με τα διαλαμβανόμενα στο πόρισμα της ανωτέρω ΕΔΕ. Σε εκτέλεση της ανωτέρω αποφάσεως, ο ΟΠΑΔ, με το υπ’ αριθ. … έγγραφο, διαβίβασε το πόρισμα της ΕΔΕ στην [υπηρεσία …], προκειμένου να ενημερωθεί για τυχόν τέλεση εκ μέρους της πειθαρχικού παραπτώματος.
8. Επειδή, όπως κρίθηκε με την υπ’ αριθμ. 316/2021 απόφαση του Συμβουλίου της Επικρατείας, η διαβίβαση του πορίσματος της ΕΔΕ, στο οποίο αναφέροντο τα προβλήματα υγείας που αντιμετώπιζε ο δεύτερος καταγγέλλων (υιός της πρώτης καταγγέλλουσας) συνιστούσε επεξεργασία ευαίσθητων προσωπικών του δεδομένων (δεδομένων υγείας), η οποία, κατ΄ αρχήν, ήταν απαγορευμένη σύμφωνα με την εφαρμοστέα στην παρούσα υπόθεση, κατά τα αναφερόμενα στη σκέψη 2, διάταξη 7 παρ. 1 του ν. 2472/1997, στην προκειμένη δε περίπτωση δεν συνέτρεχε κάποια από τις προβλεπόμενες στην διάταξη του άρθρου 7 παρ. 2 του ίδιου νόμου προϋποθέσεις, ώστε να καθίσταται νόμιμη η υπό κρίση επεξεργασία κατόπιν χορήγησης της άδειας της Αρχής. Ως εκ τούτου, η ως άνω καταγγελλόμενη επεξεργασία ευαίσθητων δεδομένων προσωπικού χαρακτήρα του υιού της καταγγέλλουσας προσκρούει στις διατάξεις του άρθρου 4 παρ. 1 στοιχ. α’ του ν. 2472/1997, καθόσον, η επεξεργασία αυτή (διαβίβαση) στερείται έγκυρης νομικής βάσης, κατά τα προαναφερόμενα.
9. Επειδή η Αρχή, λαμβάνοντας υπόψη τη βαρύτητα της παράβασης που διαπιστώθηκε και της προσβολής που επήλθε στον δεύτερο καταγγέλλοντα (υιό της πρώτης καταγγέλλουσας) κρίνει ομόφωνα ότι πρέπει να επιβληθεί στον Ε.Ο.Π.Υ.Υ. ως υπεύθυνο επεξεργασίας, η προβλεπόμενη στο άρθρο 21 παρ. 1 στοιχ. β΄ του ν. 2472/1997 κύρωση που αναφέρεται στο διατακτικό της παρούσας και η οποία τυγχάνει ανάλογη με τη βαρύτητα της ως άνω παράβασης.
ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ
Η Αρχή
α. Επανεξετάζει τις υπ’ αριθμ. πρωτ. ..../28-11-2006 και ..../4-7-2007 προσφυγές σε συμμόρφωση προς την απόφαση υπ’ αριθμ. 316/2021 του Συμβουλίου της Επικρατείας, αποδέχεται τις προσφυγές αυτές κατά το μέρος που αφορούν τη διαβίβαση του πορίσματος της ΕΔΕ στο οποίο αναφέρονταν τα προβλήματα υγείας που αντιμετώπιζε ο δεύτερος καταγγέλλων (υιός της πρώτης καταγγέλλουσας) για τους λόγους που αναφέρονται στην σκέψη 8 της παρούσας.
β. Επιβάλλει στον Ε.Ο.Π.Υ.Υ. το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό πρόστιμο που αρμόζει στη συγκεκριμένη περίπτωση, σύμφωνα με τις ειδικότερες περιστάσεις αυτής, ποσού τριών χιλιάδων (3.000) Ευρώ, για την παράβαση που αναφέρεται στη σκέψη 8 της παρούσας.
Ο Πρόεδρος Η Γραμματέας
Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου