Καταγγελία για τηλεφωνική αποκάλυψη δεδομένων υγείας από διαγνωστικό κέντρο (ΑΠΔΠΧ 3/2024)

Στο αρχείο τέθηκε η καταγγελία που υποβλήθηκε προς την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα σχετικά με την παραβίαση εμπιστευτικότητας των προσωπικών δεδομένων ασθενούς από διαγνωστικό κέντρο.

Σύμφωνα με την καταγγελία, μια υπάλληλος του διαγνωστικού κέντρου της καταγγελλόμενης, γνωστοποίησε τηλεφωνικά τα αποτελέσματα εξετάσεων της καταγγέλλουσας στον πατέρα της, χωρίς η ίδια να έχει δώσει τη συγκατάθεσή της γι’ αυτό και συγκεκριμένα χωρίς να έχει δηλώσει τον αριθμό τηλεφώνου και τα στοιχεία του πατέρα της, ως ατόμου που μπορεί να παραλάβει αντ’ αυτής τα αποτελέσματα των εξετάσεών της. Η καταγγέλλουσα υποστήριξε πως με τον τρόπο αυτό παραβιάστηκε το ιατρικό της απόρρητο και τα προσωπικά της δεδομένα υγείας και ότι προκλήθηκε αναστάτωση στον ηλικιωμένο πατέρα της, επισημαίνοντας πως για το περιστατικό αυτό της ζητήθηκε συγγνώμη από τη Διευθύντρια του διαγνωστικού κέντρου.

Κληθείσα από τον Πρόεδρο της Αρχής για παροχή απόψεων επί των καταγγελλομένων, η εταιρεία στην οποία ανήκει το διαγνωστικό κέντρο αρνήθηκε τους ισχυρισμούς περί αποκάλυψης δεδομένων υγείας. Σύμφωνα με την καταγγελλόμενη, η καταγγέλλουσα είχε προέλθει στις εγκαταστάσεις του διαγνωστικού κέντρου για την πραγματοποίηση εξετάσεων, ενώ είχε συμπληρώσει και το σχετικό έντυπο συγκατάθεσης για την αποστολή των αποτελεσμάτων, επιλέγοντας την αποστολή μέσω ηλεκτρονικού ταχυδρομείου.

Περαιτέρω, κατά τη συλλογή των στοιχείων της καταγγέλλουσας, η υπάλληλος στη γραμματεία ζήτησε το τηλέφωνο επικοινωνίας της, για περίπτωση όπου η επικοινωνία αυτή καθίστατο αναγκαία, με την καταγγέλλουσα να δηλώνει αριθμό σταθερού και κινητού τηλεφώνου. Προς απόδειξη των ανωτέρω, η καταγγελλόμενη προσκόμισε και αποτύπωση οθόνης υπολογιστή με την καρτέλα πελάτη.

Ως προς το κύριο ζήτημα της τηλεφωνικής κλήσης προς τον πατέρα της καταγγέλλουσας και της αποκάλυψης των δεδομένων υγείας αυτής, η καταγγελλόμενη ισχυρίστηκε πως πράγματι υπήρξε επικοινωνία, καθώς «από τα αποτελέσματα των εξετάσεων κρίθηκε απαραίτητη η διενέργεια δύο αντιβιογραμμάτων και όχι ενός, όπως προέβλεπε και κάλυπτε το αρχικό παραπεμπτικό του ΕΟΠΥΥ και ως εκ τούτου η καταγγέλλουσα έπρεπε να δώσει την έγκρισή της για την κάλυψη επιπλέον ιατρικών υπηρεσιών». Για την επικοινωνία αυτή, κλήθηκε ο αριθμός κινητού τηλεφώνου που είχε δηλωθεί από την καταγγέλλουσα, ενώ μετά από επανειλημμένες προσπάθειες, τελικά απάντησε ένας κύριος που δήλωσε πως ήταν ο πατέρας της και πως η ίδια του είχε αφήσει το κινητό της διότι απουσίαζε.

Σύμφωνα με την καταγγελλόμενη, «το πρόσωπο που κάλεσε εκ μέρους του διαγνωστικού κέντρου δεν αποκάλυψε καμία πληροφορία υγείας της καταγγέλλουσας στον πατέρα της, αλλά τον ενημέρωσε ότι πρόκειται για προσωπική της υπόθεση και του ζήτησε να την ενημερώσει ότι επιθυμούν να επικοινωνήσει με το διαγνωστικό κέντρο»

Ως προς το ζήτημα της προβαλλόμενης παραδοχής του συμβάντος, η καταγγελλόμενη υποστήριξη πως η καταγγέλλουσα «παρανόησε την ευγένεια της Διευθύντριας του Κέντρου, καθώς δεν υπήρξε παραδοχή του περιστατικού και απολογία εκ μέρους της». Αντιθέτως, «η Διευθύντρια ενημέρωσε την καταγγέλλουσα ότι κατά την επίμαχη τηλεφωνική κλήση η γραμματέας αποκάλυψε στον πατέρα της καταγγέλλουσας μόνο την επωνυμία της εταιρείας και ότι είναι διαγνωστικό κέντρο, χωρίς αυτό να συνιστά αποκάλυψη προσωπικών δεδομένων της ασθενούς».

Διαβάστε επίσης: 10.000 ευρώ πρόστιμο σε γιατρό για την αποκάλυψη δεδομένων υγείας στο διαδίκτυο

Ερωτηθείσα σχετικώς από τον Πρόεδρο της Αρχής, η καταγγέλλουσα αντέκρουσε τον ισχυρισμό περί χορήγησης του κληθέντος τηλεφωνικού αριθμού, ισχυριζόμενη πως «πάντα δηλώνει τον δικό της αριθμό κινητού τηλεφώνου». Περαιτέρω, η καταγγέλλουσα αμφισβήτησε τον ισχυρισμό περί απουσίας της κατά τη στιγμή της κλήσης, επισημαίνοντας πως τα τελευταία δύο χρόνια δεν κατοικεί στο ίδιο σπίτι με τον πατέρα της.

Επί της αντίκρουσης αυτής, η καταγγελλόμενη απάντησε πως ο πατέρας της καταγγέλλουσας δεν είναι πελάτης της, ούτε και έχει προσέλθει ποτέ στα διαγνωστικά της κέντρα, ως εκ τούτου δεν θα μπορούσε να έχει κληθεί εκ παραδρομής λόγω συνωνυμίας. Η καταγγελλόμενη επέμεινε πως ουδεμία αποκάλυψη πληροφοριών υγείας και παραβίαση εμπιστευτικότητας συνέβη, ενώ υποστήριξη πως η καταγγελία αποτελεί προσπάθεια περιουσιακού οφέλους εκ μέρους της καταγγέλλουσας, δεδομένου πως αυτή έχει ήδη επιδώσει εξώδικη δήλωση «με την οποία προτείνει εξωδικαστικό συμβιβασμό επί του συμβάντος έναντι αποζημίωσης».

Η απόφαση του Προέδρου της Αρχής

Ο Πρόεδρος της Αρχής Προστασίας Δεδομένων απέρριψε την καταγγελία, κρίνοντας πως από το σύνολο των στοιχείων που υποβλήθηκαν και των ισχυρισμών που προβλήθηκαν «δεν προέκυψε βεβαιότητα ως προς το περιεχόμενο της τηλεφωνικής συνομιλίας των υπαλλήλων της γραμματείας του καταγγελλόμενου διαγνωστικού κέντρου με τον πατέρα της καταγγέλλουσας στις …, συνεπώς δεν διαπιστώνεται ότι έχει συμβεί η καταγγελλόμενη διαρροή προσωπικών δεδομένων της καταγγέλλουσας και δη των αποτελεσμάτων των ιατρικών εξετάσεων». Επί του ζητήματος αυτού ελήφθη υπόψιν η διαβαθμισμένη πρόσβαση των υπαλλήλων της καταγγελλόμενης στο πληροφοριακό της σύστημα, σύμφωνα με την οποία το προσωπικό της γραμματείας δεν έχει πρόσβαση στα δεδομένα υγείας των υποκειμένων.

Περαιτέρω, προέκυψε ότι κατά το χρόνο των καταγγελλόμενων πραγματικών περιστατικών, η συλλογή των στοιχείων επικοινωνίας των ασθενών από την καταγγελλόμενη γινόταν κατά την επίσκεψη, ενώ δεν αποδείχθηκε ότι ο αριθμός που εκλήθη αντλήθηκε με διαφορετικό τρόπο από τους υπαλλήλους της.

Εξάλλου, όπως διαπιστώθηκε στο πλαίσιο αυτεπάγγελτης εξέτασης των τεχνικών και οργανωτικών μέτρων ασφαλείας και των σχετικών πολιτικών που τηρεί η καταγγελλόμενη ως υπεύθυνος επεξεργασίας, κατόπιν αναθεώρησης και στο πλαίσιο διαρκούς επικαιροποίησης των διαδικασιών της, στο εξής η καταχώριση των στοιχείων επικοινωνίας των πελατών θα γίνεται με ενυπόγραφη καταχώριση σε ταμπλέτα από τους ίδιους με χρήση γραφίδας.

Η απόφαση Πρ.ΑΠΔΠΧ 3/2024 είναι διαθέσιμη εδώ.