Με μία ενδιαφέρουσα απόφασή της η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα επέβαλε πρόστιμο 30.000 ευρώ σε διαγνωστικό κέντρο, λόγω της μη λήψης κατάλληλων τεχνικών οργανωτικών μέτρων προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφαλείας προσωπικών δεδομένων.
Η Αρχή διερεύνησε την υπόθεση έπειτα από καταγγελία της Α ότι υπέβαλε στο διαγνωστικό κέντρο αίτημα, με το οποίο ζητούσε να λάβει αντίγραφα των απεικονίσεων που περιλαμβάνονται στο ιατρικό αρχείο του Κέντρου και αφορούσαν στην ψηφιακή μαστογραφία, πέραν του πορίσματος αυτής.
Το Κέντρο με απάντησή του ενημέρωσε την Α ότι: «δεν υπάρχει η δυνατότητα επανεκτύπωσης εικόνων από το μηχάνημα που πραγματοποιήσατε την εξέταση τον Ιανουάριο του 2018. Το συγκεκριμένο μηχάνημα είχε την δυνατότητα αποθήκευσης αρχείου 3 μηνών και για το λόγο αυτό προβήκαμε στην αντικατάστασή του».
Κατόπιν τούτων, η Α κατήγγειλε στην Αρχή ότι παραβιάστηκε το δικαίωμα πρόσβασης σε δεδομένα προσωπικού χαρακτήρα που την αφορούν, και συγκεκριμένα, ότι δεν της χορηγήθηκαν αντίγραφα των απεικονιστικών εξετάσεων της ψηφιακής μαστογραφίας, υπογραμμίζοντας, επιπλέον, ότι πρόκειται για μια σημαντική γυναικολογική εξέταση, η οποία χρησιμεύει, λόγω ηλικίας και κατάστασης υγείας, ως εξέταση αναφοράς.
Η κρίση της Αρχής
Η Αρχή απέρριψε ως αβάσιμη την καταγγελία της Α για παραβίαση του δικαιώματος πρόσβασης εκ μέρους του καταγγελλόμενου διαγνωστικού κέντρου, λόγω του ότι το επίμαχο προσωπικό δεδομένο είχε καταστεί κατά το χρόνο άσκησης του δικαιώματος παρανόμως μη διαθέσιμο.
Ωστόσο, η Αρχή, στο πλαίσιο εξέτασης της καταγγελίας διαπίστωσε, μεταξύ άλλων, ότι η απώλεια της διαθεσιμότητας της επίμαχης απεικονιστικής εξέτασης συνιστά παραβίαση της αρχής του άρθρου 5 παρ. 1 στοιχ. στ΄ ΓΚΠΔ, λόγω της μη λήψης κατάλληλων τεχνικών οργανωτικών μέτρων ώστε να διασφαλιστεί το κατάλληλο επίπεδο ασφαλείας κατ’ άρθρο 32 ΓΚΠΔ.
Παράλληλα, η Αρχή έκρινε ότι η γνωστοποίηση παραβίασης δεδομένων προσωπικού χαρακτήρα στην Αρχή πραγματοποιήθηκε καθυστερημένα/εκπρόθεσμα, ενώ δεν ανακοινώθηκε στα επηρεαζόμενα υποκείμενα των δεδομένων, σύμφωνα με τις διατάξεις του ΓΚΠΔ.
Ειδικότερα, η Αρχή διαπίστωσε ότι το καταγγελλόμενο διαγνωστικό κέντρο, ως υπεύθυνος επεξεργασίας, προέβη στην επεξεργασία (τήρηση) της επίμαχης απεικονιστικής εξέτασης της καταγγέλλουσας, παραβιάζοντας τα απαιτούμενα τεχνικά και οργανωτικά μέτρα προς διασφάλιση της διαθεσιμότητας της, ώστε να είναι δυνατή η ικανοποίηση του δικαιώματος πρόσβασης της καταγγέλλουσας στο δεδομένο αυτό μέσα στο χρονικό διάστημα νόμιμης διατήρησής της.
Το καταγγελλόμενο κέντρο όφειλε, σε εκπλήρωση της υποχρέωσης λήψης των κατάλληλων τεχνικών και οργανωτικών μέτρων αναφορικά με την τήρηση των ιατρικών αρχείων (απεικονιστικών εξετάσεων), ιδίως, να:
α) αποθηκεύει/τηρεί τα δεδομένα σε εξωτερική αποθηκευτική μονάδα, κατά τρόπο που να εξασφαλίζεται η διαθεσιμότητά τους για το χρονικό διάστημα που προβλέπει η διάταξη του άρθρου 14 παρ. 4 στοιχ. α΄ ν.3418/2005,
β) λαμβάνει επαρκώς επικαιροποιημένα, εφεδρικά αντίγραφα ασφαλείας των διενεργηθέντων απεικονιστικών εξετάσεων – προσωπικών δεδομένων, και
γ) δοκιμάζει, αξιολογεί και εκτιμά περιοδικά τα ληφθέντα τεχνικά και οργανωτικά μέτρα κατά τρόπο που να διασφαλίζεται η διαθεσιμότητα στο ως άνω χρονικό διάστημα της δεκαετίας, ώστε να είναι δυνατή η επανεκτύπωση ή η ανάκτησή τους.
Εν προκειμένω, από τα στοιχεία του φακέλου της υπόθεσης, προέκυψε ότι το καταγγελλόμενο διαγνωστικό κέντρο θεράπευσε μεν το δημιουργικό κενό που δημιουργήθηκε από την χρήση του συγκεκριμένου απεικονιστικού μηχανήματος, το οποίο παρείχε τη δυνατότητα αποθήκευσης των παραγόμενων αρχείων σ’ αυτό (απεικονίσεων) για χρονικό διάστημα τριών (3) μηνών, μέσω της τήρησης των απεικονιστικών εξετάσεων σε συστήματα σκληρών δίσκων που φυλάσσονταν σε χώρο του διαγνωστικού κέντρου.
Το γεγονός, ωστόσο, ότι ο επιλεγείς τρόπος τήρησης των απεικονιστικών εξετάσεων κατέστησε τα δεδομένα μη διαθέσιμα (προσωρινά ή/και οριστικά) και για την ανάκτησή τους απαιτήθηκαν πρόσθετες ενέργειες εκ μέρους του διαγνωστικού κέντρου δεν αίρει την υποχρέωσή του για την κατ’ άρθρο 32 ΓΚΠΔ λήψη των κατάλληλων τεχνικών και οργανωτικών μέτρων προς διασφάλιση της διαθεσιμότητας των συγκεκριμένων προσωπικών δεδομένων (απεικονιστικών εξετάσεων) σύμφωνα με την γενική αρχή του άρθρου 5 παρ. 1 στοιχ. στ΄ ΓΚΠΔ.
Στο πλαίσιο αυτό, η Αρχή:
α) διαπιστώνει ότι η απώλεια της διαθεσιμότητας της επίμαχης απεικονιστικής εξέτασης της Α συνιστά παραβίαση της αρχής του άρθρου 5 παρ. 1 στοιχ. στ΄ ΓΚΠΔ, λόγω της μη λήψης κατάλληλων τεχνικών οργανωτικών μέτρων προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφαλείας κατ’ άρθρο 32 ΓΚΠΔ και επιβάλλει στον υπεύθυνο επεξεργασίας, διοικητικό πρόστιμο ύψους τριάντα χιλιάδων (30.000) ευρώ για την παραβίαση αυτή,
β) διαπιστώνει ότι η γνωστοποίηση παραβίασης δεδομένων προσωπικού χαρακτήρα στην Αρχή πραγματοποιήθηκε καθυστερημένα/εκπρόθεσμα κατά παράβαση του άρθρου 33 ΓΚΠΔ και απευθύνει επίπληξη κατ’ άρθρο 58 παρ. 2 στοιχ. β΄ ΓΚΠΔ στον υπεύθυνο επεξεργασίας, και
γ) δίνει εντολή, κατ’ εφαρμογή του άρθρου 58 παρ. 2 στοιχ. ε΄ ΓΚΠΔ, στον υπεύθυνο επεξεργασίας, να ανακοινώσει την παραβίαση δεδομένων προσωπικού χαρακτήρα στα επηρεαζόμενα υποκείμενα των δεδομένων, σύμφωνα με τα οριζόμενα στο άρθρο 34 ΓΚΠΔ.
