Αποκάλυψη δεδομένων υγείας με email: Επίπληξη σε ένοικο πολυκατοικίας

Επίπληξη απηύθυνε η Επίτροπος Προστασίας Δεδομένων Προσωπικού Χαρακτήρα της Κύπρου σε πολίτη, η οποία αποκάλυψε δεδομένα υγείας άλλου ιδιοκτήτη της πολυκατοικίας σε τρίτα πρόσωπα.

Η υπόθεση ξεκίνησε τον Οκτώβριο του 2024, όταν ιατρός και κάτοικος της συγκεκριμένης πολυκατοικίας, κατέθεσε καταγγελία προς την κυπριακή αρχή, ισχυριζόμενος ότι γειτόνισσά του αποκάλυψε στοιχεία που αφορούσαν την κατάσταση της υγείας του σε τρίτους, χωρίς συγκατάθεση και χωρίς καμία σχετική νομιμοποίηση.

Σύμφωνα με το ιστορικό της υπόθεσης, η καταγγελλόμενη απέστειλε ηλεκτρονικό μήνυμα, στο οποίο αναφερόταν ότι: «Κ. ΧΧΧΧΧΧ. Απουσίαζες λίγες μέρες. Δεν θα απαντηθεί κάτι άλλο, αν μη τη άλλο άνθρωπος ΧΧ ετών σε προχωρημένο στάδιο ΧΧΧΧ έχεις χρόνο να τα κάνεις όλα αυτά; Κατάντησε αρρωστημένο. Έλεος κύριε». Η συγκεκριμένη ηλεκτρονική επικοινωνία αφορούσε ζητήματα της διαχειριστικής επιτροπής της πολυκατοικίας και έφερε τον τίτλο «Κεντρική Θέρμανση».

Αποδέκτες του email αυτού ήταν καταρχήν οι υπόλοιποι ιδιοκτήτες της πολυκατοικίας, αλλά και τρίτα πρόσωπα, όπως οι δικηγόροι δικηγορικού γραφείου, ο αρμόδιος Δήμαρχος, καθώς και το γενικό ηλεκτρονικό ταχυδρομείο του Δήμου.

Ο καταγγέλλων ανέφερε ότι οι ένοικοι της πολυκατοικίας γνώριζαν ήδη για το πρόβλημα υγείας που αντιμετωπίζει, καθώς τους είχε ενημερώσει ο ίδιος. Ωστόσο, υπογράμμισε ότι οι δικηγόροι, ο Δήμαρχος και οι υπάλληλοι του Δήμου δεν είχαν καμία σχετική γνώση ούτε δικαιολογημένο λόγο να λάβουν τέτοιου είδους πληροφόρηση. Τόνισε επίσης ότι η αποκάλυψη αυτή προκάλεσε σοβαρή ενόχληση στην οικογένειά του και δημιούργησε δυσμενείς συνέπειες στην επαγγελματική του δραστηριότητα ως ιατρού.

Από την πλευρά της, η καταγγελλόμενη ισχυρίστηκε ότι η αποστολή του email στους επίμαχους παραλήπτες έγινε εκ παραδρομής. Υποστήριξε ότι λόγω «κεκτημένης ταχύτητας» προσέθεσε στους αποδέκτες τον Δήμαρχο και το δικηγορικό γραφείο, συνηθισμένη να απαντά σε προκλητικά μηνύματα του καταγγέλλοντος. Τόνισε ότι δεν υπήρξε πρόθεση εσκεμμένης αποκάλυψης και ζήτησε συγγνώμη «για την ατυχή αυτή ενέργεια και την αναστάτωση που προκάλεσε».

Η Επίτροπος, εξετάζοντας την καταγγελία, επικαλέστηκε τις διατάξεις του ΓΚΠΔ που ορίζουν το πλαίσιο για την επεξεργασία των προσωπικών δεδομένων. Σύμφωνα με το άρθρο 4 ΓΚΠΔ, προσωπικά δεδομένα θεωρούνται κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο, ενώ τα δεδομένα υγείας χαρακτηρίζονται ως ειδική κατηγορία που χρήζει ιδιαίτερης προστασίας. Το άρθρο 9 προβλέπει γενική απαγόρευση επεξεργασίας δεδομένων που αφορούν την υγεία, με ελάχιστες εξαιρέσεις, όπως η ρητή συγκατάθεση του υποκειμένου, η αναγκαιότητα για άσκηση νομικών αξιώσεων ή λόγοι δημοσίου συμφέροντος στον τομέα της δημόσιας υγείας.

Ιδιαίτερη βαρύτητα αποδόθηκε στη φύση των δεδομένων που έτυχαν παράνομης επεξεργασίας. Όπως παρατηρήθηκε, «η επεξεργασία δεδομένων που αφορούν στην υγεία φυσικών προσώπων τυγχάνει αυξημένου βαθμού προστασίας και δεν επιδέχεται συναισθηματισμούς ή επιείκεια ως προς τη σοβαρότητα των συνεπειών που απορρέουν ακόμα και από την εκ παραδρομής κοινολόγησή τους σε μη εξουσιοδοτημένους παραλήπτες».

Παράλληλα, επισημάνθηκε ότι «ο Κανονισμός επιβάλλει αυστηρούς κανόνες για την προστασία αυτών των δεδομένων, απαιτώντας απόλυτη συμμόρφωση με τις αρχές της εχεμύθειας, της ασφάλειας και της ελαχιστοποίησης της επεξεργασίας, ώστε να διασφαλίζεται η προστασία της ιδιωτικότητας των ατόμων και να αποτρέπονται πιθανοί κίνδυνοι ή βλάβες».

Κατά την αξιολόγηση των επιβαλλομένων διοικητικών κυρώσεων, η Επίτροπος έλαβε υπόψη τόσο μετριαστικούς όσο και επιβαρυντικούς παράγοντες. Στους μετριαστικούς περιλαμβάνονται η αναγνώριση από την καθ’ ης της σοβαρότητας του περιστατικού, η έγγραφη απολογία της, καθώς και το γεγονός ότι δεν υπήρχαν προηγούμενες καταγγελίες εις βάρος της για παρόμοια περιστατικά. Στους επιβαρυντικούς συγκαταλέγονται η φύση των δεδομένων που αποκαλύφθηκαν, η ταυτότητα των αποδεκτών, καθώς και η καθυστέρηση εκ μέρους της καθ’ ης στην αποστολή των θέσεών της, γεγονός που καθυστέρησε τη διαδικασία εξέτασης της καταγγελίας.

Με βάση τα ανωτέρω και χωρίς περαιτέρω ανάλυση, η κυπριακή αρχή διαπίστωσε την παραβίαση των άρθρων 5 παρ.1στ’, 6 και 9 ΓΚΠΔ, για την οποία απευθύνθηκε επίπληξη στην καταγγελλόμενη.