Διαβίβαση ευαίσθητων προσωπικών δεδομένων και δικαίωμα προηγούμενης ενημέρωσης του υποκειμένου (ΣτΕ 2296/2020)

Απορρίφθηκε από το Συμβούλιο της Επικρατείας αίτηση ακύρωσης Νοσοκομείου κατά απόφασης της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, με την οποία απορρίφθηκε αίτηση θεραπείας κατά προηγούμενης απόφασης της Αρχής περί επιβολής εις βάρος του Νοσοκομείου προστίμου λόγω παραβίασης των διατάξεων του Ν. 2472/1997 (ΣτΕ 2296/2020).

Σύμφωνα με το ιστορικό της υπόθεσης, το αιτούν Νοσοκομείο διαβίβασε αντίγραφα ιατρικού φακέλου ανήλικης ασθενούς σε εταιρεία, η οποία αιτήθηκε και έλαβε εισαγγελική παραγγελία προς τούτο, προκειμένου να αντικρούσει εκκρεμή εις βάρος της αγωγή αποζημίωσης.

Ο πατέρας της ανήλικης υπέβαλε σχετική καταγγελία στην ΑΠΔΠΧ, η οποία με πράξη της διαπίστωσε πως το Νοσοκομείο, κατά παράβαση της διάταξης του άρ. 7 παρ. 2 του Ν. 2472/1997, διαβίβασε ευαίσθητα δεδομένα της ασθενούς χωρίς την προηγουμένη άδεια της Αρχής, απευθύνοντας σύσταση όπως διαβιβάζει εφεξής τις αιτήσεις για επεξεργασία ευαισθήτων δεδομένων στην Αρχή για την λήψη της απαιτουμένης αδείας. Επιπλέον, επέβαλε πρόστιμο ύψους 1.000 ευρώ εις βάρος του Νοσοκομείου, διότι το τελευταίο,  ως υπεύθυνος επεξεργασίας δεδομένων προσωπικού χαρακτήρα, παραβίασε την υποχρέωση προηγουμένης ενημέρωσης του υποκειμένου.

Κατά το άρ. 11 του Ν. 2472/1997, το δικαίωμα ενημέρωσης του υποκειμένου καθιερώνεται ήδη κατά το στάδιο της συλλογής των δεδομένων, προβλέποντας, επιπλέον, πως εάν τα δεδομένα ανακοινώνονται σε τρίτους, το υποκείμενο ενημερώνεται για την ανακοίνωση πριν από αυτούς. Το αμέσως επόμενο δε άρθρο 12, προβλέπει το δικαίωμα αντιρρήσεως του υποκειμένου, το οποίο ασκείται εγγράφως προς τον υπεύθυνο επεξεργασίας και μπορεί να περιλαμβάνει, μεταξύ άλλων, αίτημα του υποκειμένου για μη διαβίβαση των δεδομένων του.

Το Νοσοκομείο ισχυρίστηκε πως αφενός ενημέρωσε τον πατέρα της ανήλικης ασθενούς για την διαβίβαση των δεδομένων, αφετέρου η συζήτηση της αγωγής ματαιώθηκε, συνεπώς δεν έλαβε χώρα η χρήση των  διαβιβασθέντων ευαίσθητων δεδομένων, ο δε νόμος θέτει ως έσχατο όριο για την εκπλήρωση της υποχρέωσης για ενημέρωση του υποκειμένου την χρησιμοποίηση των δεδομένων.

Ωστόσο, κατά το σκεπτικό του δικαστηρίου, προσήκουσα ενημέρωση του υποκειμένου των δεδομένων από τον υπεύθυνο επεξεργασίας πρέπει να λάβει χώρα πριν από την καθ’ οιονδήποτε τρόπο ανακοίνωσή τους σε τρίτους, κρίνεται δε αδιάφορο αν και πότε ο τρίτος χρησιμοποιεί τα ήδη διαβιβασθέντα σε αυτόν δεδομένα.

Περαιτέρω, το Νοσοκομείο ισχυρίστηκε πως η εισαγγελική παραγγελία και το περιεχόμενο αυτής ήταν δεσμευτικό και επέβαλλε την άνευ ετέρου χορήγηση των ζητηθέντων δεδομένων, λαμβάνοντας υπόψη πως δεν περιλάμβανε καμία επιταγή ή μνεία περί προηγουμένης ενημέρωσης του υποκειμένου.

Ομοίως, και αυτός ο ισχυρισμός απορρίφθηκε από το Δικαστήριο. Και τούτο, διότι η διάταξη του άρ. παρ. 3 του Ν. 2472/1997, ως ειδικότερη κατισχύει άλλων, γενικών διατάξεων της νομοθεσίας, που προβλέπουν την διαβίβαση δεδομένων προσωπικού χαρακτήρα, όπως είναι και η διάταξη του άρ. 25 παρ. 4 περ. β του Κώδικα Οργανισμού Δικαστηρίων & Καταστάσεως Δικαστικών Λειτουργών, περί εισαγγελικών παραγγελιών. Συνεπώς, το Νοσοκομείο όφειλε να ενημερώσει σχετικά το υποκείμενο των δεδομένων, ανεξαρτήτως της συνδρομής ή μη σχετικής μνείας ή επιταγής στην εισαγγελική παραγγελία.

Τέλος, το επιβληθέν πρόστιμο κρίθηκε σύμφωνο με την αρχή της αναλογικότητας, απορρίπτοντας τους περί του αντιθέτου ισχυρισμούς του Νοσοκομείου, λαμβάνοντας ιδίως υπόψη ότι η παράβαση είχε συντελεσθεί κατά τρόπο που δεν ήταν δυνατόν να αρθεί, το ύψος δε του προστίμου πλησιάζει τα κατώτατα όρια επιμέτρησης, που αναγνωρίζει ο νόμος στην Αρχή.

Απόσπασμα απόφασης

 7. Επειδή, προβάλλεται ότι τον Αύγουστο του 2013 το Νοσοκομείο ενημέρωσε τον πατέρα της ανήλικης ασθενούς για την διαβίβαση των δεδομένων (υπό τις περιστάσεις που εκτίθενται ειδικώτερα στο δικόγραφο), ακολούθως δε, τον Σεπτέμβριο του 2013, ματαιώθηκε η συζήτηση της προσδιορισθείσης ενώπιον του Πολυμελούς Πρωτοδικείου αγωγής, ώστε χρήση των διαβιβασθέντων ευαισθήτων δεδομένων να μην έχει εν τέλει λάβει χώρα. Ισχυρίζεται κατόπιν τούτων το αιτούν, ότι ο νόμος θέτει ως έσχατο όριο για την εκπλήρωση της υποχρεώσεως για ενημέρωση του υποκειμένου την χρησιμοποίηση των δεδομένων και ότι εν προκειμένω δεν υπέπεσε αυτό στην παράβαση που του αποδόθηκε από την Αρχή, διότι εξεπλήρωσε την υποχρέωση του πριν από το χρονικό αυτό σημείο.

8. Επειδή, ο λόγος είναι απορριπτέος ως νόμω αβάσιμος. Τούτο δε, διότι τόσο από το γράμμα όσο και από την τελεολογία της ρυθμίσεως του άρ. 11 παρ. 3 ν. 2472/1997 προκύπτει ότι προσήκουσα ενημέρωση του υποκειμένου των δεδομένων από τον υπεύθυνο επεξεργασίας πρέπει να λάβει χώρα πριν από την καθ’ οιονδήποτε τρόπο ανακοίνωσή τους σε τρίτους, είναι δε αδιάφορο κατά νόμον απ’ αυτής της απόψεως, αν και πότε ο τρίτος χρησιμοποιεί τα -ήδη διαβιβασθέντα σ’ αυτόν- δεδομένα.

9. Επειδή, το άρθρο 25 παρ. 4 περίπτ. (β) του Κώδικα Οργανισμού Δικαστηρίων & Καταστάσεως Δικαστικών Λειτουργών [κυρωθέντος με το άρ. πρώτο του ν. 1756/1988 (Α΄ 35)] προβλέπει ότι: «4. Ο εισαγγελέας πρωτοδικών: α) ... β) δικαιούται να παραγγέλλει στις υπηρεσίες του δημοσίου, των νομικών προσώπων δημοσίου δικαίου, των οργανισμών κοινής ωφέλειας και όλων γενικά των επιχειρήσεων του δημόσιου τομέα, να παραδώσουν έγγραφα ή να χορηγήσουν αντίγραφά τους, όταν το ζητήσουν φυσικά ή νομικά πρόσωπα που έχουν δικαίωμα ή έννομο συμφέρον...»

10. Επειδή, το αιτούν αμφισβητεί και από άλλη άποψη την συντέλεση της παραβάσεως, προβάλλοντας ότι το περιεχόμενο της 1178/29.3.2013 εισαγγελικής παραγγελίας ήταν δεσμευτικό και επέβαλλε την άνευ ετέρου χορήγηση των ζητηθέντων στοιχείων, αφού δεν περιείχε καμμία επιταγή ή -έστω- μνεία περί προηγουμένης ενημερώσεως του υποκειμένου των δεδομένων.

11. Επειδή, όπως έχει ήδη κριθεί (βλ. ΣτΕ 1817/2018), οι ρυθμίσεις του άρ. 11 παρ. 3 ν. 2472/1997, ως ειδικές κατισχύουν άλλων, γενικών διατάξεων της νομοθεσίας, που προβλέπουν την διαβίβαση δεδομένων προσωπικού χαρακτήρα, όπως είναι η διάταξη του άρ. 25 παρ. 4 περ. (β) του ΚΟΔΚΔΛ. Συνεπώς, όφειλε το αιτούν Νοσοκομείο κατά τις ειδικές, εφαρμοστέες εν προκειμένω ρυθμίσεις του άρ. 11 παρ. 3 ν. 2472/1997 να προβεί σ’ ενημέρωση του υποκειμένου των ευαισθήτων προσωπικών δεδομένων, η δε έλλειψη σχετικής μνείας ή επιταγής στην εισαγγελική παραγγελία δεν το απήλλασσε από την υποχρέωσή του αυτήν (πρβλ. ΣτΕ 1817/2018), απορριπτομένων ως αβασίμων όσων προβάλλονται περί του αντιθέτου.