Το ανθρώπινο ενδιαφέρον κόστισε ακριβά: 5.000 ευρώ πρόστιμο σε γυναικολόγο για χωρίς δικαίωμα πρόσβαση στο ehealth πρώην ασθενούς της (ΑΠΔΠΧ 11/2025)

Διοικητικό πρόστιμο ύψους 5.000 ευρώ επέβαλε η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα σε ιατρό – γυναικολόγο για την παράνομη επεξεργασία των προσωπικών δεδομένων πρώην ασθενούς της, όπως αυτή τελέστηκε δια της εισόδου στον ηλεκτρονικό φάκελο υγείας αυτής.

Η Αρχή δέχθηκε την καταγγελία της πρώην ασθενούς, σύμφωνα με την οποία η καταγγελλόμενη ιατρός είχε υποπέσει σε τρεις παραβάσεις της νομοθεσίας για την προστασία των προσωπικών δεδομένων: α) δεν είχε ικανοποιήσει πλήρως το αίτημα πρόσβασης που ασκήθηκε και με το οποίο ζητήθηκε πλήρες αντίγραφο του ιατρικού φακέλου, β) είχε εισέλθει παρανόμως στο ηλεκτρονικό μητρώο ehealth, και γ) είχε διαβιβάσει παρανόμως τα ιατρικά δεδομένα της σε τρίτους.

Ερωτηθείσα από την Αρχή ως προς τα όσα καταγγέλθηκαν, η ιατρός αρνήθηκε τη μη ικανοποίηση του δικαιώματος πρόσβασης και τη διαβίβαση δεδομένων σε τρίτου, ενώ συνομολόγησε την πρόσβασή της στον ατομικό φάκελο υγείας της καταγγέλλουσας.

Ως προς το δικαίωμα πρόσβασης, η ιατρός ισχυρίστηκε πως «τήρησε πλήρες ιατρικό αρχείο, με όλα τα κατά νόμο απαραίτητα στοιχεία, συμπεριλαμβανομένου του συνόλου των κλινικών και παρακλινικών εξετάσεων οι οποίες διενεργήθηκαν». Το σύνολο των εξετάσεων που διενεργήθηκαν κατά τη διάρκεια της εγκυμοσύνης της καταγγέλλουσας, αλλά και κατά τη μοναδική της επίσκεψη μετά την απώλεια του εμβρύου, «παραδόθηκαν στην καταγγέλλουσα ενόψει της επίσκεψής της -κατόπιν δικής της παραπομπής- σε ειδικό αιματολόγο προς περαιτέρω διερεύνηση των αιτιών για την διακοπή της κύησης με την απώλεια του εμβρύου». Ακολούθως και μετά την ανακοίνωση του συζύγου της πρώην ασθενούς περί αναζήτησης άλλου γυναικολόγου και το αίτημά του για μη επικοινωνία μαζί της, η ιατρός «παρέδωσε εις χείρας του συζύγου της καταγγέλλουσας το σύνολο των υπολειπόμενων εξετάσεων που τηρούσε στο αρχείο της, καθώς όλες οι υπόλοιπες ήταν ήδη εις χείρας της καταγγέλλουσας, είτε ενόψει της διερεύνησης των αιτιών της αιφνίδιας διακοπής της κύησης, είτε κατά την αποχώρησή της από το ιατρείο μετά το πέρας των επισκέψεών της».

Διαβάστε επίσης: Πρόστιμο 15.000 ευρώ σε γιατρό για την αποστολή SMS πολιτικής επικοινωνίας σε ασθενείς (ΑΠΔΠΧ 37/2024)

Ως προς την πρόσβαση στον ατομικό φάκελο υγείας της καταγγέλλουσας, η ιατρός επιβεβαίωσε πως είχε εισέλθει στο ehealth, διευκρινίζοντας πως αυτό έγινε σε δυο διαφορετικές περιόδους. «Η μεν πρώτη, κατά το διάστημα μηνός Οκτωβρίου έως μηνός Δεκεμβρίου 2021, αφορά την προσπάθεια εκ μέρους της να συγκεντρώσει όλο το υλικό και ιστορικό της καταγγέλλουσας, ώστε είτε ενόψει της παράδοσης του φακέλου στον σύζυγό της, είτε ενόψει ενημέρωσης του επόμενου θεράποντος ιατρού να είναι σε θέση να δώσει ορθές πληροφορίες για τα πραγματικά περιστατικά και το θεραπευτικό πρωτόκολλο που ακολουθήθηκε.

Ακολούθως, η δεύτερη χρονική περίοδος κατά την οποία είχε πρόσβαση ήταν μετά από περίπου 5-6 μήνες, περί τα τέλη Μαΐου με αρχές Ιουνίου 2022, όταν η καταγγελλόμενη πληροφορήθηκε εντελώς τυχαία από άλλη ασθενή της ότι η τελευταία συνάντησε συμπτωματικά την καταγγέλλουσα σε ιατρείο υπερήχων, και με τον τρόπο αυτό η καταγγελλόμενη πληροφορήθηκε ότι ενδεχομένως η καταγγέλλουσα εγκυμονούσε ξανά. Ενόψει του γεγονότος της τυχαίας αυτής πληροφόρησης (που συνέβη κατά την δεύτερη αυτή χρονική περίοδο), όπως ισχυρίζεται η καταγγελλόμενη, επανήλθε στη σκέψη της η υποχρέωσή της να συνδράμει την καταγγέλλουσα με οποιονδήποτε τρόπο της ζητηθεί, και με δεδομένη την εσφαλμένη, όπως αποδεικνύεται θεώρηση των πραγμάτων από την ίδια, περί τεκμαιρόμενης βούλησης της καταγγέλλουσας να σταθεί στο πλευρό της, έστω και εάν δεν ήταν πλέον η θεράπουσα ιατρός της, εισήλθε δυο ή τρεις φορές συνολικά στον ηλεκτρονικό της φάκελο κατά την ως άνω δεύτερη χρονική περίοδο στα τέλη Μαΐου αρχές Ιουνίου 2022, ώστε να θυμηθεί τι είχε συμβεί ενόψει της ενδεχόμενης νέας εγκυμοσύνης της».

Η απόφαση της Αρχής

Η Αρχή διαπίστωσε πως το αρχείο που τηρείτο από την καταγγελλόμενη ιατρικό ήταν ελλιπές, (ενδεικτικά δεν τηρούνταν οι εικόνες και τα αποτελέσματα των υπερήχων) και χορηγήθηκε στην καταγγέλλουσα τμηματικώς, είτε κατά τις επισκέψεις της στο ιατρείο, είτε κατά την παραπομπή της σε ειδικό αιματολόγο, είτε δια της χορήγησης των υπολειπομένων εξετάσεων στον σύζυγό της.

Ωστόσο, η Αρχή παρατήρησε πως παραβίαση του δικαιώματος πρόσβασης δεν υπήρξε, αφού τα έγγραφα που τηρούνται στο αρχείο της ιατρού χορηγήθηκαν στην καταγγέλλουσα εμπροθέσμως, μετά την άσκηση του αιτήματος πρόσβασης από τον σύζυγό της. Όπως επισημάνθηκε, κρίσιμο στοιχείο για την ικανοποίηση του δικαιώματος πρόσβασης είναι η ύπαρξη των προσωπικών δεδομένων κατά τον χρόνο άσκησης του δικαιώματος, και όχι ο σκοπός χρήσης αυτών. Εν ολίγοις, το μείζον είναι κατά πόσον η ιατρός, ως υπεύθυνος επεξεργασίας, χορήγησε αντίγραφα των δεδομένων που είχε στην κατοχή της όταν ασκήθηκε το αίτημα και όχι το αν ο ιατρικός φάκελος θα έπρεπε να περιλαμβάνει και τα έγγραφα που είχαν ήδη χορηγηθεί.

Ως προς το κύριο αντικείμενο της καταγγελίας, που ήταν η χωρίς δικαίωμα πρόσβαση στο ehealth, η Αρχή διαπίστωσε την παραβίαση της αρχής της νομιμότητας, αντικειμενικότητας και διαφάνειας (άρθρο 5 παρ.1α’ ΓΚΠΔ), για την οποία και επέβαλε το πρόστιμο των 5.000 ευρώ.

Σύμφωνα με την απόφαση, η επίκληση λόγων ιατρικού (επιστημονικού), αλλά και ανθρωπίνου ενδιαφέροντος από την ιατρό, «καθώς την βασάνιζε η απώλεια του εμβρύου, και μόλις πληροφορήθηκε από κοινό γνωστό ότι η καταγγέλλουσα είναι και πάλι έγκυος, εισήλθε στον ηλεκτρονικό της φάκελο, προκειμένου-όπως αναφέρει- να «θυμηθεί τι ακριβώς είχε συμβεί ενόψει της ενδεχόμενης νέας εγκυμοσύνης», την οποία πλέον όμως, παρακολουθούσε άλλος ιατρός» δεν αρκεί για να δικαιολογήσει την πρόσβαση στον ατομικό ηλεκτρονικό φάκελο της καταγγέλλουσας. Η μεταξύ τους σύμβαση παροχής ιατρικών υπηρεσιών είχε κατά τον χρόνο αυτό λυθεί, ως εκ τούτου η πρόσβαση αυτή πραγματοποιήθηκε χωρίς εξουσιοδότηση, ήταν αθέμιτη και έλαβε χώρα εν αγνοία της καταγγέλλουσας.

Διαβάστε επίσης: Αυστρία: 10.000 ευρώ πρόστιμο σε γιατρό για την αποκάλυψη δεδομένων υγείας στο διαδίκτυο

Η Αρχή εξέτασε το σύνολο των ενεργειών της ιατρού, προκειμένου να εντοπίσει τις πράξεις επεξεργασίας που τελέστηκαν παρανόμως. Η παρανομία αυτή εντοπίστηκε στις δύο πράξεις που οδήγησαν στην πρόσβαση στα δεδομένα υγείας: την καταχώριση στοιχείων ταυτοποίησης στο ηλεκτρονικό σύστημα υγείας και την αναζήτηση πληροφοριών. Όπως αναφέρθηκε στην απόφαση, «Με τους ανωτέρω τρόπους, η καταγγελλόμενη επεξεργάστηκε δεδομένα ειδικής κατηγορίας (δεδομένα υγείας) της καταγγέλλουσας, χωρίς να υφίσταται το νομικό προς τούτο θεμέλιο, εν αγνοία της καταγγέλλουσας, χωρίς να της παρέχει πλέον ιατρικές υπηρεσίες και χωρίς να συντρέχει κάποιος εκ των σκοπών του άρθρου 9 παρ. 2, ιδίως διότι η καταγγέλλουσα είχε ήδη δηλώσει στην καταγγελλόμενη ότι δεν επιθυμούσε να συνεχισθεί η μεταξύ τους σύμβαση παροχής υπηρεσιών υγείας (βλ. και άρθρο 9 παρ. 3 ΓΚΠΔ).»

Συμπερασματικώς, η Αρχή διαπίστωσε ότι η καταγγελλόμενη ιατρός, ως υπεύθυνος επεξεργασίας:

«α) δεν είχε στη διάθεσή της όλα τα αιτηθέντα προσωπικά δεδομένα του ιατρικού φακέλου της καταγγέλλουσας, πλην των ιατρικών εγγράφων που παρέδωσε στον σύζυγό της μετά το από 13-10-2021 αίτημά του, καθώς και των στοιχείων που χρησιμοποίησε για την είσοδο στο ηλεκτρονικό σύστημα υγείας (όνομα, επώνυμο, ΑΜΚΑ κλπ), κατά τη χρονική στιγμή που ασκήθηκε το δικαίωμα πρόσβασης,

β) προέβη σε αθέμιτη και μη νόμιμη επεξεργασία των στοιχείων της καταγγέλλουσας (ΑΜΚΑ, ονοματεπώνυμο κλπ), τα οποία τηρούσε στο επαγγελματικό της αρχείο, με καταχώριση αυτών στο ηλεκτρονικό σύστημα υγείας και αναζήτηση πληροφοριών για την κατάσταση της υγείας της καταγγέλλουσας, αποκτώντας με τον τρόπο αυτό αθέμιτη, μη δεοντολογική και παράνομη πρόσβαση σε ιατρικές πληροφορίες της καταγγέλλουσας, εν αγνοία της τελευταίας και χωρίς να νομιμοποιείται προς τούτο, κατά παράβαση των αρχών της νομιμότητας και αντικειμενικότητας του άρθρου 5 παρ. 1 α’ ΓΚΠΔ, και

γ) τέλος, δεν αποδεικνύεται διαβίβαση των δεδομένων αυτών σε τρίτα πρόσωπα.

Το πλήρες κείμενο της απόφασης ΑΠΔΠΧ 11/2025 είναι διαθέσιμο στον ιστότοπο της Αρχής.