Συχνές ερωτήσεις εφαρμογής νομοθεσίας περί προστασίας προσωπικών δεδομένων

1. Απαιτείται το Νοσοκομείο όπως κάθε φορέας παροχής υπηρεσιών υγείας να έχει οπωσδήποτε λάβει την προηγούμενη συγκατάθεση κάθε ασθενούς για την επεξεργασία των δεδομένων του προσωπικού χαρακτήρα, προκειμένου να του παράσχει υπηρεσίες υγείας;
   Όχι, δεν απαιτείται. Νομική βάση για την επεξεργασία των προσωπικών δεδομένων του ασθενή από το Νοσοκομείο αποτελεί η παροχή ιατρικών υπηρεσιών τις οποίες αιτείται ο ίδιος ο ασθενής.
   
   
2. Απαιτείται το Νοσοκομείο όπως κάθε φορέας παροχής υπηρεσιών υγείας να έχει οπωσδήποτε λάβει την προηγούμενη συγκατάθεση κάθε εργαζομένου του για την επεξεργασία των ευαίσθητων δεδομένων του προσωπικού χαρακτήρα, στο πλαίσιο της εργασιακής του σχέσης;
   Και πάλι, όχι. Νομική βάση για την επεξεργασία των προσωπικών δεδομένων των εργαζόμενων από το Νοσοκομείο αποτελεί η σύμβαση εργασίας που έχουν υπογράψει με το Νοσοκομείο.
   
   
3. Δικαιούται ένας ασθενής να λάβει αντίγραφα του ιατρικού του φακέλου από το Γενικό Νοσοκομείο Ξάνθης;
   Κάθε ασθενής έχει δικαίωμα να λαμβάνει γνώση του ιατρικού του φακέλου και να ζητεί τη χορήγηση αντιγράφων του, (δικαίωμα πρόσβασης, άρθρο 15 ΓΚΠΔ). Επιπλέον, το δικαίωμα αυτό προβλέπεται ρητά και στο νόμο 3418/2005 (Κώδικας Ιατρικής Δεοντολογίας, άρθρο 14 παρ. 8). Για την άσκηση του δικαιώματος αυτού ο ασθενής καταθέτει σχετική αίτηση. Σε περίπτωση που δεν ικανοποιηθεί το δικαίωμα αυτό, ο ασθενής μπορεί να υποβάλει καταγγελία στην Αρχή για μη ικανοποίηση του δικαιώματος πρόσβασης από το Νοσοκομείο.
   
   
4. Δικαιούται ένας ασθενής να ζητήσει από το νοσηλευτικό ίδρυμα να διαγράψει τον ιατρικό του φάκελο από τα αρχεία του;
   Το Νοσοκομείο υποχρεούται βάσει του νόμου 3418/2005 άρθρο 14 παρ. 4 να τηρεί τα ιατρικά αρχεία για μια εικοσαετία από την τελευταία επίσκεψη του ασθενούς. Συνεπώς, ο ασθενής δεν δικαιούται να ζητήσει τη διαγραφή των προσωπικών του δεδομένων που τηρούνται στα ιατρικά αρχεία του νοσηλευτικού ιδρύματος πριν την πάροδο του διαστήματος αυτού, δεδομένου ότι σύμφωνα με το άρθρο 17.3 του Γ.Κ.Π.Δ. το δικαίωμα διαγραφής δεν εφαρμόζεται στην επεξεργασία δεδομένων στον τομέα της παροχής υπηρεσιών υγείας. Άρα πριν την πάροδο 20ετίας είναι αδύνατη η διαγραφή.
   
   
5. Δικαιούται το νοσοκομείο να διαγράψει τους ιατρικούς φακέλους των ασθενών από τα αρχεία του;
   Ομοίως, σύμφωνα με το νόμο 3418/2005 (άρθρο 14 παρ. 4) το νοσηλευτικό ίδρυμα υποχρεούται να διατηρεί τα ιατρικά αρχεία για μια εικοσαετία από την τελευταία επίσκεψη του ασθενούς. Συνεπώς, πριν από την πάροδο του χρονικού αυτού διαστήματος το νοσηλευτικό ίδρυμα δεν δικαιούται να διαγράψει τους ιατρικούς φακέλους των ασθενών από τα αρχεία του.
   
   
6. Δικαιούται το νοσηλευτικό ίδρυμα να χορηγήσει αντίγραφα του ιατρικού φακέλου ασθενούς που έχει αποβιώσει σε τρίτο;
   Η επεξεργασία δεδομένων θανόντος (βλ. σχετικές αποφάσεις Αρχής Προστασίας Δεδομένων 100/2001, 32/2006, 44/2009, 38/2010) δεν εμπίπτει στις διατάξεις της νομοθεσίας περί επεξεργασίας προσωπικών δεδομένων. Το σχετικό αίτημα χορήγησης αντιγράφων ιατρικού φακέλου ασθενούς που έχει αποβιώσει σε τρίτο κρίνεται, ιδίως, στη βάση των διατάξεων 13 παρ. 6 και 14 παρ. 8 του νόμου 3418/2005 διατάξεις περί ιατρικού απορρήτου).
   
   
7. Μπορεί κάποιος τρίτος να λάβει αντίγραφα ιατρικού φακέλου ασθενούς;
   Δικαίωμα πρόσβασης στον ιατρικό φάκελο έχει ο ίδιος ο ασθενής, στον οποίο αφορούν τα δεδομένα, ο νόμιμος αντιπρόσωπός του (γονέας, δικαστικός συμπαραστάτης ή προσωρινός δικαστικός συμπαραστάτης) ή νομίμως εξουσιοδοτούμενο από τον ασθενή πρόσωπο (πληρεξούσιος δικηγόρος). Πέραν των προσώπων αυτών μπορεί ένας τρίτος να ζητήσει από το νοσηλευτικό ίδρυμα να του χορηγηθούν στοιχεία του ιατρικού φακέλου του ασθενούς. Στη σχετική αίτησή του προς το Νοσοκομείο ο αιτών-τρίτος πρέπει να επικαλείται και να αποδεικνύει, καταρχήν, το σκοπό για τον οποίο ζητεί τη χορήγηση των δεδομένων (π.χ. με τη προσκόμιση του σχετικού δικογράφου (λ.χ. της αγωγής), εφόσον η χορήγηση των αιτούμενων δεδομένων υγείας τρίτου ζητείται στο πλαίσιο συγκεκριμένης δικαστικής χρήσης). Επιπλέον ο τρίτος αυτός θα πρέπει να έχει εξουσιοδότηση και να επιδεικνύει την ταυτότητά του.
   
   
8. Δικαιούται δικηγόρος να λάβει από το Νοσοκομείο, ως υπεύθυνο επεξεργασίας, δεδομένα προσωπικού χαρακτήρα εντολέα του;
   Ναι, αρκεί ο δικηγόρος να είναι νόμιμα εξουσιοδοτημένος από τον ασθενή, βάσει είτε πληρεξούσιου εγγράφου είτε έγγραφης εξουσιοδότησης θεωρημένης από δημόσια αρχή για το γνήσιο της υπογραφής του υποκειμένου των δεδομένων. Αντίθετα, δεν επιτρέπεται η χορήγηση σε δικηγόρο δεδομένων προσωπικού χαρακτήρα – και, μάλιστα, ευαίσθητων – του υποκειμένου των δεδομένων στη βάση της απλής διαβεβαίωσης του δικηγόρου ότι του έχει δοθεί σχετικά νόμιμη προφορική εντολή από το υποκείμενο σύμφωνα με τις σχετικές διατάξεις του Ν.4194/2013 (Κώδικας Δικηγόρων).
   
   
9. Δικαιούται το Νοσοκομείο να ενημερώνει τηλεφωνικώς για την κατάσταση της υγείας ασθενούς (και, μάλιστα αποτελέσματα εξετάσεών του);
   Όχι, η δυνατότητα παροχής πληροφοριών από τηλεφώνου σχετικά με την κατάσταση της υγείας ασθενούς πρέπει να αποκλειστεί, λόγω των κινδύνων που εγκυμονεί πρωτίστως για τους ασθενείς, αλλά και για το Νοσοκομείο, ως υπεύθυνο επεξεργασίας δεδομένων.
   
   
10. Εξετάζει η Αρχή Προστασίας Προσωπικών Δεδομένων αιτήματα που αφορούν σε πρόσβαση τρίτων σε δεδομένα υγείας;
    Η Αρχή δεν έχει αρμοδιότητα να απαντά σε αιτήματα ή ερωτήματα που αφορούν πρόσβαση τρίτων σε δεδομένα υγείας ή δεδομένα που τηρούνται στον ιατρικό φάκελο ασθενούς (βλ. απόφαση Αρχής 52/2018).
    
    
11. Μπορεί το Νοσοκομείο να χρησιμοποιήσει στοιχεία από τον ιατρικό φάκελο του ασθενούς για να υποστηρίξει μια υπόθεσή του στα δικαστήρια;
    Το νοσηλευτικό ίδρυμα επιτρέπεται καταρχήν να χρησιμοποιήσει στοιχεία του ιατρικού φακέλου του ασθενούς που είναι αναγκαία για την αναγνώριση, άσκηση ή υπεράσπιση δικαιώματός του σε υποθέσεις που αφορούν στην ιατρική ευθύνη και εν γένει την παροχή υπηρεσιών υγείας (άρθρο 9 παρ. 1, στοιχείο στ του ΓΚΠΔ). Το νοσηλευτικό ίδρυμα οφείλει να εξετάσει την υποχρέωση προηγούμενης ενημέρωσης των ενδιαφερομένων ασθενών, σύμφωνα με τα οριζόμενα στις διατάξεις των άρθρων 13 και 14 του ΓΚΠΔ 2016/679.
    
    
12. Μπορεί ιατρός του νοσηλευτικού ιδρύματος να χρησιμοποιήσει στοιχεία από τον ιατρικό φάκελο του ασθενούς για να υποστηρίξει μια υπόθεσή του στα δικαστήρια;
    Οι ιατροί που απασχολούνται στο Νοσοκομείο μπορούν να χρησιμοποιήσουν στοιχεία του ιατρικού φακέλου του ασθενούς για το σκοπό της παροχής ιατρικής φροντίδας/υπηρεσιών υγείας. Επίσης οι θεράποντες ιατροί του ασθενούς μπορούν να προβούν σε δικαστική χρήση στοιχείων του ιατρικού φακέλου του ασθενούς, εφόσον τα δεδομένα είναι αναγκαία για την αναγνώριση, άσκηση ή υπεράσπιση δικαιώματός τους ενώπιον δικαστηρίου ή πειθαρχικού οργάνου σε υποθέσεις που αφορούν ιατρική ευθύνη και εν γένει την παροχή υπηρεσιών υγείας σε συγκεκριμένο ασθενή. Το νοσηλευτικό ίδρυμα, ως υπεύθυνος επεξεργασίας, οφείλει να εξετάσει την υποχρέωση ενημέρωσης των ενδιαφερομένων ασθενών, σύμφωνα με τα οριζόμενα στις διατάξεις των άρθρων 13 και 14 του ΓΚΠΔ 2016/679
    
    
13. Μπορεί ένας ερευνητής να ζητήσει να έχει πρόσβαση στα αρχεία του νοσηλευτικού ιδρύματος για το σκοπό της διενέργειας επιστημονικής έρευνας;
    Η Αρχή Προστασίας Προσωπικών Δεδομένων κρίνει παγίως (βλ. ενδεικτικά σχετικές αποφάσεις 46/2004, 47/2004, 16/2005, 32/2006) ότι η διενέργεια επιστημονικής έρευνας συνιστά νόμιμο σκοπό επεξεργασίας, σύμφωνα και με το άρθρο 16 παρ. 1 του Συντάγματος (η ανάπτυξη και η προαγωγή της έρευνας αποτελεί υποχρέωση του Κράτους). Η πρόσβαση στα αρχεία του νοσηλευτικού ιδρύματος συνιστά επεξεργασία ειδικών κατηγοριών δεδομένων, η οποία επιτρέπεται, κατ’ εξαίρεση, βάσει του άρθρου 9 παρ. 2 του ΓΚΠΔ και του άρθρου 22 παρ. 1 του ν.4624/2019. Περαιτέρω, με τη διάταξη του άρθρου 5 παρ. 1 στοιχ. β΄ του ΓΚΠΔ 2016/679 εισάγεται τεκμήριο συμβατότητας για την περαιτέρω επεξεργασία που πραγματοποιείται προς το δημόσιο συμφέρον ή για σκοπούς επιστημονικής ή ιστορικής έρευνας ή για στατιστικούς σκοπούς, σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 89 παρ. 1 του ΓΚΠΔ 2016/679 («περιορισμός του σκοπού»).
    
    
14. Μπορεί ένας Ιδιώτης Ιατρός να χρησιμοποιήσει στοιχεία από το ιατρικό αρχείο που τηρεί και να τα δημοσιεύσει σε ένα επιστημονικό άρθρο;
    Ομοίως, σύμφωνα με το άρθρο 16 παρ. 1 του Συντάγματος, αυτό είναι δυνατό. Συγκεκριμένα εφόσον από τη δημοσίευση στοιχείων του ιατρικού φακέλου του ασθενούς προκύπτει η ταυτότητά του, θα πρέπει ο ιδιώτης ιατρός να ζητήσει άδεια από την Αρχή Προστασίας Δεδομένων για την εν λόγω δημοσίευση των δεδομένων του ασθενούς. Αντίθετα, αν η ταυτότητα του ασθενούς δεν είναι αμέσως ή εμμέσως προσδιορίσιμη, δεν απαιτείται άδεια.
    
    
15. Μπορούν οι φορολογικές αρχές να έχουν πρόσβαση στους ιατρικούς φακέλους των ασθενών;
    Ναι. Η πρόσβαση στους ιατρικούς φακέλους των ασθενών για το σκοπό του δημόσιου φορολογικού ελέγχου (π.χ. Σ.Δ.Ο.Ε.) συνιστά νόμιμο σκοπό επεξεργασίας, εφόσον προβλέπεται σχετική αρμοδιότητα των αρχών στη σχετική νομοθεσία. Για την επεξεργασία αυτή δεν απαιτείται η έκδοση άδειας προς το νοσηλευτικό ίδρυμα (άρθρο 7Α παρ. 1 στοιχ. δ΄), ενώ παράλληλα απαλλάσσεται και το νοσηλευτικό ίδρυμα από την υποχρέωση να ενημερώσει προηγουμένως τους ασθενείς (άρθρο 82 παρ. 2 Κώδικα Φορολογίας Εισοδήματος όπως τροποποιήθηκε με τη το άρθρο 32 παρ.3 του ν.3986/2011).
    
    
16. Είναι νόμιμη η εγκατάσταση καμερών σε νοσηλευτικά ιδρύματα;
    Η εγκατάσταση καμερών σε νοσηλευτικά ιδρύματα είναι νόμιμη για το σκοπό της ασφάλειας προσώπων και αγαθών, όπου καταρχήν δεν μπορεί να έχει πρόσβαση ένας επισκέπτης ή ασθενής (άρθρο 20 παρ. 1 της οδηγίας 1/2011). Η εγκατάσταση καμερών σε νοσηλευτικά ιδρύματα για το σκοπό της παροχής υπηρεσιών υγείας είναι νόμιμη υπό τις προϋποθέσεις που θέτει η παράγραφος 2 του άρθρου 20 της Οδηγίας 1/2011 της Αρχής Προστασίας Προσωπικών Δεδομένων.