Κύπρος: Μια σπανιότατη περίπτωση επιβολής κύρωσης στην ίδια την καταγγέλλουσα – Διαμαρτυρήθηκε για την επέμβαση συναδέλφου στα συρτάρια του γραφείου της και βρέθηκε υπόλογη για τους ιατρικούς φακέλους που τηρούσε εκεί
Μια σπανιότατη περίπτωση επιβολής της κύρωσης της επίπληξης στην ίδια την καταγγέλλουσα δημοσίευσε χτες η Κυπριακή Αρχή Προστασίας Δεδομένων. Η επίπληξη υπήρξε αποτέλεσμα της παραδοχής της καταγγέλλουσας περί της τήρησης οικογενειακών ιατρικών φακέλων στο γραφείο της.Ειδικότερα,σύμφωνα με την από 1-11-2021 υποβληθείσα καταγγελία κατά του Οργανισμού Κρατικών Υπηρεσιών Υγείας (ΟΚΥπΥ), υπάλληλος του φορέα μετέβη στο γραφείο της καταγγέλλουσας, κατά χρόνο που αυτή απουσίαζε με άδεια ασθενείας, και «άδειασε τα συρτάρια του γραφείου της καταγγέλλουσας, και στη συνέχεια τοποθέτησε τα έγγραφα και τα προσωπικά αντικείμενά της σε χάρτινα κιβώτια, χωρίς πρώτα να την έχει ενημερώσει». Μεταξύ των αντικειμένων που ευρίσκονταν στα συρτάρια αυτά ήταν και οι προσωπικοί ιατρικοί φάκελοι της ιδίας, του συζύγου και των παιδιών της, οι οποίοι όμως έπρεπε να βρίσκονται στο οικείο Αρχείο Φακέλων της υπηρεσίας, όπου και επεστράφησαν. Για την τήρηση αυτή, η καταγγέλλουσα διευκρίνιζε ότι «ανέκαθεν οι προσωπικοί ιατρικοί φάκελοι ήταν φυλαγμένοι στα συρτάρια του προσωπικού εντός του νοσοκομείου, για εύκολη πρόσβαση καθώς και προφύλαξη, διότι στο αρχείο των φακέλων δεν επικρατούν οι κατάλληλες συνθήκες και προϋποθέσεις για ασφαλή φύλαξή τους».Το Γραφείο της Επιτρόπου Προστασίας Προσωπικών Δεδομένων της Κύπρου διεξήγαγε έρευνα επί των καταγγελλομένων και ζήτησε τις απόψεις του ΟΚΥπΥ για το περιστατικό που περιγραφόταν. Παράλληλα όμως, απέστειλε ηλεκτρονικό μήνυμα στην καταγγέλλουσα, με το οποίο αφενός την ενημέρωσε για την επιστολή προς τον ΟΚΥπΥ, αφετέρου όμως «επισημάνθηκε το γεγονός ότι, είχε στην κατοχή της δεδομένα προσωπικού χαρακτήρα, και δη ειδικών κατηγοριών, που την καθιστά αυτομάτως υπεύθυνη επεξεργασίας δεδομένων. Περαιτέρω, η αποθήκευση πρωτότυπων φυσικών ιατρικών φακέλων και όχι αντιγράφων, συνιστά παραβίαση των διατάξεων του Κανονισμού». Για τους λόγους αυτούς, η καταγγέλλουσα εκλήθη όπως παράσχει πληροφορίες αναφορικά με:(α) τους λόγους για τους οποίους είχε στην κατοχή της τους εν λόγω φυσικούς ιατρικούς φακέλους,(β) τους λόγους για τους οποίους οι εν λόγω ιατρικοί φάκελοι φυλάσσονταν στο χώρο εργασίας της,(γ) κατά πόσον τα συρτάρια στα οποία βρίσκονταν οι εν λόγω ιατρικοί φάκελοι ήταν κλειδωμένα, και(δ) αν είχαν πρόσβαση τρίτα άτομα στο γραφείο της.Η καταγγέλλουσα – και ήδη Καθ’ ης – παραδέχθηκε πως είχε τους ιατρικούς φακέλους της οικογένειας της στο συρτάρι της και πως «όπως αναγράφουν είναι εμπιστευτικοί και απαγορεύεται η μετακίνηση τους εκτός νοσοκομείου». Δικαιολόγησε την κατοχή αυτή στην κατάσταση του οικείου Αρχείου: «Είναι η θέση της Καθ’ ης ότι, η κατάσταση που επικρατεί στο αρχείο φακέλων του Γ.Ν. ΧΧΧ δεν είναι καλή. Πιο συγκεκριμένα, το σύστημα kardex έχει γεμίσει εδώ και χρόνια και πλέον αρκετοί φάκελοι είναι άλλοι στο πάτωμα, άλλοι σε χάρτινα κιβώτια ή πολλοί από αυτούς που είναι αποθηκευμένοι στα ράφια, έχουν δεδομένα που είτε έχουν πέσει στο πάτωμα, είτε είναι εκτεθειμένα. Επιπλέον, σύνηθες είναι το φαινόμενο να χάνονται φάκελοι ασθενών και να τους φτιάχνουν καινούργιο. Λόγω χώρου και λόγω ανάγκης προστασίας των φακέλων και μερικές φορές εισηγήσεων από τους θεράποντες ιατρούς, το προσωπικό είχε στην κατοχή του τον προσωπικό του φάκελο εντός νοσοκομείου.»Η κρίση της Αρχής:Η Επίτροπος διαχώρισε την έρευνα κατά του ΟΚΥπΥ από εκείνη κατά την καταγγέλλουσας, οι ευθύνες της οποίας, «ως ξεχωριστός υπεύθυνος επεξεργασίας, στην υπό αναφορά καταγγελία αποτελούν αντικείμενο ανεξάρτητης παραβίασης εκ μέρους της» και εξέδωσε δύο αποφάσεις.Στην απόφαση που εκδόθηκε για την περίπτωση της καταγγέλλουσας κρίθηκε ότι:«4.2.1. Κρίνω σκόπιμο να υπενθυμίσω ότι, οι προσωπικοί ιατρικοί φάκελοι και γενικότερα τα δεδομένα που αφορούν στην υγεία, εμπίπτουν στις ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία, σύμφωνα με το Άρθρο 9 του Κανονισμού.4.2.2. Το γεγονός ότι, η Καθ’ ης είχε στην κατοχή της δεδομένα προσωπικού χαρακτήρα, και δη ειδικών κατηγοριών, την καθιστά ξεχωριστό υπεύθυνο επεξεργασίας δεδομένων, με όλες τις συνεπαγόμενες υποχρεώσεις που προκύπτουν από τον Κανονισμό.4.2.3. Ακόμα και αν γίνει αποδεκτός ο ισχυρισμός ότι, η Καθ’ ης κατακρατούσε τους εν λόγω πρωτότυπους ιατρικούς φακέλους προκειμένου να [ ], εν τούτοις θεωρώ ότι, ο σκοπός της Καθ’ ης θα μπορούσε να επιτευχθεί, έχοντας στην κατοχή της, αντίγραφο των εν λόγω ιατρικών φακέλων, και όχι την πρωτότυπη εκδοχή.4.2.4. Περαιτέρω, η Καθ’ ης είχε στην κατοχή της τους πρωτότυπους ιατρικούς φακέλους της ιδίας, του συζύγου και των παιδιών της κατά παράβαση του Περί Ίδρυσης Οργανισμού Κρατικών Υπηρεσιών Υγείας Νόμου (Ν. 73(Ι)/2017) και του Περί της Κατοχύρωσης και Προστασίας των Δικαιωμάτων των Ασθενών Νόμου (Ν. 1(Ι)/2005), πράξη η οποία, πέραν του ότι, την κατέστησε ξεχωριστό υπεύθυνο επεξεργασίας με όλες τις συνεπαγόμενες υποχρεώσεις δυνάμει του Κανονισμού, παραβιάζει το Άρθρο 6(1) του Κανονισμού, καθώς η εν λόγω πράξη δεν πληροί καμία από τις προϋποθέσεις για να αποτελεί σύννομη επεξεργασία».Με βάση τα ανωτέρω, η Κυπριακή Αρχή κατέληξε ότι:«5.1. Έχοντας υπόψιν τα ανωτέρω και με βάση τις εξουσίες που μου παρέχονται από τα Άρθρα 58 και 83 του Κανονισμού (ΕΕ) 2016/679 και το άρθρο 24(β) του Νόμου 125(Ι)/2018, κατάληξή μου είναι ότι υπάρχει παραβίαση, εκ μέρους της Καθ’ ης, του Άρθρου 6(1) του Κανονισμού, εφόσον η κατακράτηση των πρωτότυπων ιατρικών φακέλων της ιδίας, της συζύγου και των παιδιών της δεν είχε έγκυρη νομική βάση».
