Συχνές Ερωτήσεις – Προστασία Προσωπικών Δεδομένων

Όχι, δεν απαιτείται.

(άρθρο 9 παρ. 2) Kαν. Ε.Ε. 679/2016 Δεν απαιτείται η προηγούμενη συγκατάθεση του ασθενούς διότι πρόκειται για παροχή υπηρεσιών υγείας υπέρ του υποκείμενου επεξεργασίας (ασθενή).

Όχι, δεν απαιτείται.

(άρθρο 9 παρ. 2) Δεν απαιτείται επειδή η επεξεργασία είναι απαραίτητη για την εκτέλεση των υποχρεώσεων του υπευθύνου επεξεργασίας ή του υποκειμένου των δεδομένων με διασφάλιση των δικαιωμάτων του.

Ναι, (άρθρο 10 και 15) κάθε ασθενής ως υποκείμενο δεδομένων προσωπικού χαρακτήρα, έχει δικαίωμα να λαμβάνει γνώση του ιατρικού του φακέλου και να λαμβάνει αντίγραφα αυτού.

Όχι, το δικαίωμα του υποκειμένου των δεδομένων «να λησμονηθεί» και το δικαίωμα διαγραφής των δεδομένων του (Δικαίωμα διαγραφής, «δικαίωμα στη λήθη» / Right to be forgotten), όπως κατοχυρώνεται στις διατάξεις του άρθρου 17 του Γ.Κ.Π.Δ., δεν εφαρμόζεται στην επεξεργασία δεδομένων στον τομέα της παροχής υπηρεσιών υγείας, λαμβανομένων υπόψη των διατάξεων της παρ. 3 του άρθρου αυτού. Σύμφωνα με Ν. 3418/2005 άρθρο 14, η υποχρέωση διατήρησης των ιατρικών αρχείων για δημόσια Νοσοκομεία είναι μια 20ετία από την τελευταία επίσκεψη του ασθενή.

Ναι. Εξαιρούνται του προστατευτικού πεδίου εφαρμογής των ρυθμίσεων για την προστασία των δεδομένων προσωπικού χαρακτήρα οι θανόντες. (άρθρο 4) Επειδή μόνο ζώντες φυσικά πρόσωπα είναι υποκείμενα δεδομένων, πρέπει να αποδειχθεί ειδικό έννομο συμφέρον (Ν.3418/2005 άρθρο 13).

Ναι, αλλά για τη νομιμότητά της διαβίβασης των αντιγράφων του ιατρικού φακέλου του ασθενούς σε τρίτο, απαιτούνται σωρευτικά (όπως για κάθε άλλη επεξεργασία δεδομένων προσωπικού χαρακτήρα) καταρχήν: (α) η ύπαρξη ενός νόμιμου, καθορισμένου και σαφή σκοπού επεξεργασίας, (β) η συνδρομή μίας τουλάχιστον από τις νομικές βάσεις, που αναφέρονται στο άρθρο 9 παρ. 2 του Γ.Κ.Π.Δ. για τις ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα (ευαίσθητα δεδομένα) και (γ) η διασφάλιση της τήρησης όλων των θεμελιωδών αρχών, που διέπουν κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα.
Ως προς την εισαγγελική παραγγελία, η Α.Π.Δ.Π.Χ. έχει κατ’ επανάληψη κρίνει ότι αυτή δεν δεσμεύει το φορέα παροχής υπηρεσιών υγείας, ως υπεύθυνο επεξεργασίας, ως προς τη διαβίβαση. Ο φορέας παροχής υπηρεσιών υγείας, ως υπεύθυνος επεξεργασίας, οφείλει σε κάθε περίπτωση να εξετάζει τη συνδρομή των προαναφερόμενων προϋποθέσεων για τη νομιμότητα της διαβίβασης στον αιτούντα τρίτο.

Ναι, (άρθρο 9 παρ. 2) εφόσον ο ασθενής που δεν είναι σε θέση να παραλάβει ο ίδιος τα αποτελέσματα των εξετάσεών του (πχ. διότι αναρρώνει), έχει εξουσιοδοτήσει νομίμως συγκεκριμένο συγγενή του να τα παραλάβει στο όνομα και για λογαριασμό του, αυτός ο νομίμως εξουσιοδοτημένος συγγενής του ασθενούς ταυτίζεται με το υποκείμενο των δεδομένων και ασκεί το δικαίωμα πρόσβασης στο όνομα και για λογαριασμό του, σύμφωνα με τα οριζόμενα στις διατάξεις του άρθρου 15 του Γ.Κ.Π.Δ.

Ναι, (άρθρο 15) ,αρκεί ο δικηγόρος να είναι νόμιμα εξουσιοδοτημένος από το υποκείμενο, βάσει είτε πληρεξούσιου εγγράφου είτε έγγραφης εξουσιοδότησης θεωρημένης από δημόσια αρχή για το γνήσιο της υπογραφής του υποκειμένου των δεδομένων. Αντίθετα, δεν επιτρέπεται η χορήγηση σε δικηγόρο δεδομένων προσωπικού χαρακτήρα – και, μάλιστα, ευαίσθητων – του υποκειμένου των δεδομένων στη βάση της απλής διαβεβαίωσης του δικηγόρου ότι του έχει δοθεί σχετικά νόμιμη προφορική εντολή από το υποκείμενο σύμφωνα με τις σχετικές διατάξεις του Ν.4194/2013 (Κώδικας περί Δικηγόρων).

Όχι, (άρθρο 12 παρ. 1), η δυνατότητα παροχής πληροφοριών από τηλεφώνου σχετικά με την κατάσταση της υγείας ασθενούς πρέπει να αποκλειστεί, λόγω των κινδύνων που εγκυμονεί πρωτίστως για τους ασθενείς, αλλά και τους φορείς παροχής υπηρεσιών υγείας, ως υπευθύνους επεξεργασίας.

Όχι (άρθρο 9 και 5) Αυτού του τύπου η επεξεργασία απαγορεύεται απολύτως.

Όχι (άρθρο 9) Αυτού του τύπου η επεξεργασία απαγορεύεται επειδή η ανάρτηση του ΑΜΚΑ δεν συνιστά μορφή ανωνυμοποίησης. Η ΗΔΙΚΑ διερευνά λύση.

Όχι Κατ΄αρχήν. Ο ασθενής λαμβάνει ο ίδιος τα κρίσιμα ιατρικά δεδομένα από το φορέα και τα προσκομίζει στην ασφαλιστική εταιρεία.

Ναι Υπό προϋποθέσεις. Για τη νομιμότητα όμως της διαβίβασης σε ασφαλιστική εταιρεία απαιτούνται σωρευτικά προϋποθέσεις (άρθρο 9 παρ. 2) για θεμελίωση ή άσκηση έννομου συμφέροντος.

Ναι, εφόσον απαιτείται είναι δυνατή η αποστολή από νοσηλευτικό ίδρυμα, ως υπεύθυνο επεξεργασίας, ιατρικών εξετάσεων ασθενούς και των αποτελεσμάτων τους σε άλλα νοσηλευτικά ιδρύματα. Σε κάθε περίπτωση όμως, το πρώτο νοσηλευτικό ίδρυμα, ως υπεύθυνος επεξεργασίας, οφείλει να ενημερώσει προηγουμένως τον ασθενή για τους αποδέκτες των δεδομένων του. Όσον αφορά ειδικότερα τον τρόπο της διαβίβασης, θα πρέπει να διασφαλίζεται η τήρηση της αρχής της ακεραιότητας και της εμπιστευτικότητας των δεδομένων, με τη λήψη όλων των ενδεδειγμένων μέτρων για τη διασφάλιση του απορρήτου και της ασφάλειας της επεξεργασίας.

Ναι, τα δεδομένα αγορών και αναλώσεων φαρμάκων, εφόσον είναι απολύτως ανωνυμοποιημένα, δύνανται ενδεχομένως να χορηγηθούν, πχ. στη βάση των διατάξεων για τη διάθεση ανοικτών δεδομένων, εφόσον υποστηρίζουν ήδη τη διαδικασία ανωνυμοποίησης και ανάρτησης στο διαδίκτυο των δεδομένων αυτών.

Ναι. Η Α.Π.Δ.Π.Χ κρίνει παγίως (βλ. σχετικές αποφάσεις 46/2004, 47/2004, 16/2005, 32/2006) ότι η διενέργεια επιστημονικής έρευνας συνιστά νόμιμο σκοπό επεξεργασίας, μεταξύ άλλων, και λόγω του ότι σύμφωνα με το άρθρο 16 παρ. 1 του Συντάγματος η ανάπτυξη και η προαγωγή της έρευνας αποτελεί υποχρέωση του Κράτους. Η πρόσβαση στα αρχεία του νοσηλευτικού ιδρύματος συνιστά επεξεργασία ευαίσθητων προσωπικών δεδομένων. Προκειμένου η επεξεργασία να είναι νόμιμη θα πρέπει το νοσηλευτικό ίδρυμα να ζητήσει την άδεια της Α.Π.Δ.Π.Χ για να επιτραπεί η πρόσβαση του ερευνητή στα αρχεία του. Η Α.Π.Δ.Π.Χ με τη σχετική άδεια καθορίζει τους όρους και τις προϋποθέσεις για την προστασία των δικαιωμάτων των ασθενών (ανωνυμοποίηση δεδομένων, καταγραφή των δεδομένων εντός του χώρου του νοσηλευτικού ιδρύματος, κ.λπ.).

Ναι. Η διεξαγωγή επιστημονικής έρευνας συνιστά νόμιμο σκοπό επεξεργασίας, μεταξύ άλλων, και λόγω του ότι, σύμφωνα με το άρθρο 16 παρ. 1 του Συντάγματος, η ανάπτυξη και η προαγωγή της έρευνας αποτελεί υποχρέωση του Κράτους. Η δημοσίευση στοιχείων του ιατρικού φακέλου του ασθενούς, από τα οποία προκύπτει η ταυτότητα του ασθενούς, συνιστά επεξεργασία ευαίσθητων προσωπικών δεδομένων. Προκειμένου η επεξεργασία αυτή να είναι νόμιμη θα πρέπει ο ιδιώτης ιατρός να ζητήσει άδεια από την Α.Π.Δ.Π.Χ.. Αντίθετα, η δημοσίευση στοιχείων του ιατρικού φακέλου του ασθενούς κατά τρόπο που να μην είναι αμέσως ή εμμέσως προσδιορίσιμη η ταυτότητα του ασθενούς, δεν συνιστά επεξεργασία προσωπικών δεδομένων που εμπίπτει στο ρυθμιστικό πεδίο του νόμου για την προστασία του ατόμου από την επεξεργασία δεδομένων προσωπικού χαρακτήρα.

Ναι. Η πρόσβαση στους ιατρικούς φακέλους των ασθενών από τις φορολογικές αρχές για το σκοπό του δημόσιου φορολογικού ελέγχου (π.χ. Σ.Δ.Ο.Ε.) συνιστά νόμιμο σκοπό επεξεργασίας, εφόσον προβλέπεται σχετική αρμοδιότητα των αρχών στη σχετική νομοθεσία. Για την επεξεργασία αυτή δεν απαιτείται η έκδοση άδειας προς το νοσηλευτικό ίδρυμα (άρθρο 7Α παρ. 1 στοιχ. δ΄), ενώ παράλληλα απαλλάσσεται και το νοσηλευτικό ίδρυμα από την υποχρέωση να ενημερώσει προηγουμένως τους ασθενείς. Αυτό προβλέπεται και στο άρθρο 82 παρ. 2 του Κώδικα Φορολογίας Εισοδήματος, όπως τροποποιήθηκε με τη διάταξη του άρθρου 32 παρ.3 του ν.3986/2011.