Η συγκατάθεση του ασθενούς δεν είναι ποτέ ελεύθερη πριν αυτός ολοκληρώσει τη θεραπεία

Μια πολύ ενδιαφέρουσα απόφασή της σε βάρος δημοσίου νοσοκομείου δημοσίευσε η δανική αρχή προστασίας δεδομένων Datatilsynet. Η Datatilsynet εξέτασε τη νομιμότητα της πρακτικής του νοσοκομείου να ανεβάζει φωτογραφίες στο Instagram και την έκρινε παράνομη, δίνοντας εντολή για άμεση διαγραφή όλου του σχετικού υλικού. Η απόφαση είναι σημαντική και έχει προεκτάσεις ευρύτερες της εξετασθείσας περίπτωσης, αφού η δανική αρχή αναλύει το κατά πόσον ένας ασθενής σε αναμονή ή στάδιο θεραπείας ή χειρουργείου μπορεί πράγματι να δίνει ελεύθερα τη συγκατάθεσή του.

Ιστορικό

Η δανική αρχή έλαβε την καταγγελία ενός πολίτη για την ανάρτηση φωτογραφίας του στον λογαριασμό Instagram του δημοσίου πανεπιστημιακού νοσοκομείου του Άαρχους και αποφάσισε να πραγματοποιήσει αυτεπάγγελτη έρευνα για την πρακτική αυτή. Η αρχή εξέτασε τον λογαριασμό του νοσοκομείου και διαπίστωσε σε αυτόν βρίσκονταν αναρτημένες εκατοντάδες φωτογραφίες από την «καθημερινή ζωή» στο νοσοκομείο, στις οποίες απεικονίζονταν μέλη του νοσηλευτικού προσωπικού, αλλά και ασθενείς ή συγγενείς αυτών. Οι φωτογραφίες ανέβαιναν είτε ως posts, είτε ως stories, ενώ ο λογαριασμός είχε περισσότερους από 15.000 followers και περισσότερα από 1.400 posts, με τα παλαιότερα εξ αυτών να φτάνουν μέχρι το έτος 2016.

Η Datatilsynet ζήτησε τις απόψεις της Περιφέρειας Κεντρικής Δανίας, ως δημόσιας αρχής στην οποία υπάγεται το νοσοκομείο, ως εκ τούτου και ως υπευθύνου επεξεργασίας.

Με την απάντησή της προς την αρχή, η Περιφέρεια ισχυρίστηκε ότι:

α. Σκοπός της ανάρτησης των φωτογραφιών, ως εκ τούτου και της επεξεργασίας των δεδομένων, είναι η ενημέρωση του κοινού για τις δραστηριότητες του νοσηλευτικού ιδρύματος, ενώ δευτερεύων σκοπός είναι και η προσέλκυση ιατρικού και νοσηλευτικού προσωπικού.

β. Οι φωτογραφίες που αναρτώνται καλύπτουν κάθε ένα από τα Τμήματα του νοσοκομείου, τα οποία αναλαμβάνουν να επιλέγουν το υλικό και να προετοιμάζουν τις δημοσιεύσεις, οι οποίες είναι καθημερινές.

γ. Νομική βάση για την επεξεργασία των δεδομένων των πολιτών, συμπεριλαμβανομένων φυσικά των ασθενών, είναι η συγκατάθεση των άρθρων 6 παρ.1α και 9 παρ.2α ΓΚΠΔ. Η συγκατάθεση αυτή δίδεται γραπτώς πριν την ανάρτηση του post και δίδεται ελεύθερα, υπό την έννοια πως η μη χορήγησή της δεν επηρεάζει τις ιατρικές υπηρεσίες που παρέχονται στον ασθενή. Περαιτέρω, στον ασθενή δίνεται επαρκής χρόνος για να σκεφτεί αν επιθυμεί να συγκατατεθεί, ενώ του δίνεται και η δυνατότητα να εγκρίνει το περιεχόμενο της ανάρτησης. Υπό τα δεδομένα αυτά, η συγκατάθεση που δίδεται είναι απολύτως ελεύθερη.

δ. Η επεξεργασία των δεδομένων τηρεί τις αρχές του άρθρου 5 ΓΚΠΔ, ακόμη και την αρχή της περιόδου διατήρησης των δεδομένων, καθώς αν και δεν έχει καθοριστεί χρόνος διαγραφής των δεδομένων, τα υποκείμενα έχουν το δικαίωμα να ζητήσουν ανά πάσα στιγμή το κατέβασμα της ανάρτησης και τη διαγραφή των δεδομένων τους.

Η απόφαση της δανικής αρχής

Η Datatilsynet δεν έκανε δεκτούς τους ισχυρισμούς του υπευθύνου επεξεργασίας και κατέληξε πως η επεξεργασία δεδομένων, δια της ανάρτησης φωτογραφιών στο Instagram, τελείτο κατά παράβαση των άρθρων 5 παρ.1, 6 παρ.1 και 9 παρ.2α ΓΚΠΔ.

Σύμφωνα με την απόφαση της αρχής, το μείζον ζήτημα νομιμότητας που προέκυπτε ήταν αυτό του ελεύθερου χαρακτήρα της συγκατάθεσης των υποκειμένων, αφού η προϋπόθεση αυτή δεν εξασφαλιζόταν παρά τις πρόνοιες που είχαν ληφθεί από το νοσοκομείο και την Περιφέρεια ώστε να μην ασκηθεί πίεση στους ασθενείς.

Τούτο διότι, επρόκειτο για ασθενείς που βρίσκονταν ακόμη σε στάδιο νοσηλείας ή θεραπείας στο νοσοκομείου, ως εκ τούτου η κατάστασή τους ήταν σαφώς ευάλωτη. Λαμβάνοντας καταρχήν υπόψιν πως το συγκεκριμένο νοσοκομείο είναι δημόσιο, ως εκ τούτου δεν μπορεί με ευκολία να βασίζεται στη συγκατάθεση των υποκειμένων, η Datatilsynet παρατήρησε επιπροσθέτως πως η ιδιότητα του ασθενούς σε νοσοκομείο καθιστά τη σχέση υποκειμένου των δεδομένων με υπεύθυνο επεξεργασίας ακόμη πιο άνιση.

Κατά συνέπεια, όσα μέτρα και αν πάρει το νοσοκομείο, προκειμένου να διασφαλίσει πως ο ασθενής συγκατατίθεται ελεύθερα, τίποτα δεν μπορεί να αποκλείσει το ενδεχόμενο ο ασθενής αυτός να νιώσει την πίεση να δώσει τη συγκατάθεσή του, ακόμη και αν δεν το επιθυμεί πραγματικά.

Περαιτέρω, η δανική αρχή παρατήρησε πως οι σκοποί που επιδιώκονταν μέσω της δημοσίευσης των επίμαχων φωτογραφιών θα μπορούσαν κάλλιστα να επιτευχθούν χωρίς την αποκάλυψη δεδομένων υγείας ασθενών.

Με βάση τις διαπιστώσεις αυτές, η δανική αρχή έδωσε την εντολή στον υπεύθυνο επεξεργασίας όπως κατεβάσει εντός τεσσάρων εβδομάδων όλες τις φωτογραφίες από το Instagram, που περιλαμβάνουν δεδομένα υγείας ασθενών.

Η διευκρίνιση της δανικής αρχής

Διαπιστώνοντας ενδεχομένως τον κίνδυνο παρερμηνειών επί της (όπως πάντα συνοπτικής) απόφασής της, η Datatilsynet προχώρησε σε δύο σημαντικές διευκρινίσεις, μέσω σχετικής ανακοίνωσης στην ιστοσελίδα της:

α. Οι διαπιστώσεις της για την ελευθερία της συγκατάθεσης των ασθενών δεν περιορίζονται στα δημόσια νοσοκομεία, αλλά καταλαμβάνουν και τα ιδιωτικά

β. Οι διαπιστώσεις αυτές δεν καταλήγουν στο ότι απαγορεύεται σε κάθε περίπτωση η λήψη της συγκατάθεσης ασθενούς για την επεξεργασία των προσωπικών δεδομένων του. Το κρίσιμο στοιχείο είναι ο χρόνος κατά τον οποίο λαμβάνεται η συγκατάθεση αυτή: στην περίπτωση του νοσοκομείου του Άαρχους, η συγκατάθεση που είχε ληφθεί δεν ήταν ελεύθερη, διότι τα υποκείμενα των δεδομένων βρίσκονταν ακόμη στο νοσοκομείο αναμένοντας την παροχή υπηρεσιών υγείας ή λαμβάνοντας αυτές. Αντίθετα όμως, μετά την ολοκλήρωση της θεραπείας ή την πραγματοποίηση του χειρουργείου, καθώς και στην περίπτωση τσεκ-απ για την παρακολούθηση της εξέλιξης, η συγκατάθεση δεν μπορεί να αποκλειστεί ως νομική βάση.