Αθήνα, 18-12-2024
Αριθ. Πρωτ.: 3609
ΑΠΟΦΑΣΗ 50/2024
(Τμήμα)
Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε μετά από
πρόσκληση του Προέδρου της σε συνεδρίαση Τμήματος μέσω τηλεδιάσκεψης την
Τετάρτη 27.11.2024 και ώρα 09:00, προκειμένου να εξετάσει την υπόθεση που
αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Αναπληρωτής Πρόεδρος της
Αρχής, Γεώργιος Μπατζαλέξης, κωλυομένου του Προέδρου της Αρχής Κωνσταντίνου
Μενουδάκου και οι Γρηγόριος Τσόλιας, τακτικό μέλος και Δημοσθένης Βουγιούκας,
αναπληρωματικό μέλος, ως εισηγητής, σε αντικατάσταση του τακτικού μέλους
Κωνσταντίνου Λαμπρινουδάκη, ο οποίος αν και εκλήθη νομίμως δεν παρέστη λόγω
κωλύματος. Παρούσες, χωρίς δικαίωμα ψήφου, ήταν η Χαρίκλεια Λάτσιου, ΔΝ –
νομικός ελεγκτής, ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος
του τμήματος διοικητικών υποθέσεων, ως γραμματέας.
Η Αρχή έλαβε υπόψη της τα παρακάτω:
Με την από 12.06.2023 (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/4350/12.06.2023)
καταγγελία η Α ενημέρωσε την Αρχή ότι ο ιατρός Β προχώρησε σε επεξεργασία
(ανάρτηση σε μέσο κοινωνικής δικτύωσης, instagram) προσωπικών της δεδομένων
(φωτογραφιών της χωρίς απόκρυψη όλων των διακριτικών της γνωρισμάτων) χωρίς
νόμιμη βάση, πέραν των σκοπών για τους οποίους είχε δώσει συγκατάθεση, ενώ είχε
τη ρητή διαβεβαίωση του καταγγελλόμενου ιατρού ότι τα δεδομένα της θα
χρησιμοποιηθούν μόνο για ιατρικούς σκοπούς και υπέβαλε καταγγελία στην Αρχή για
παραβίαση των δικαιωμάτων διαγραφής, περιορισμού της επεξεργασίας και
εναντίωσης, των άρθρων 17, 18 και 21 ΓΚΠΔ, αντίστοιχα.
1
Λεωφ. Κηφισίας 1-3, 11523 Αθήνα
Τ: 210 6475 600 • E: [email protected] • www.dpa.gr
Ειδικότερα, η Α ενημέρωσε την Αρχή ότι προσήλθε για πρώτη φορά στο ιατρείο
του καταγγελλόμενου ιατρού τον Σεπτέμβριο του …, προκειμένου να ενημερωθεί
σχετικά με τη διενέργεια δύο επεμβάσεων (…). Στην πρώτη αυτή επίσκεψη τον
Σεπτέμβριο του … η Α υπέγραψε το έντυπο επεξεργασίας προσωπικών δεδομένων,
στο οποίο αναφερόταν ότι η επεξεργασία αφορά αποκλειστικά ιατρικούς και
επιστημονικούς σκοπούς. Κατά την αρχική αυτή επίσκεψη, η καταγγέλλουσα
επέτρεψε στον ιατρό να προχωρήσει στην λήψη φωτογραφιών των χειρουργήσιμων
σημείων (…), επειδή η περίπτωση αυτή ήταν ιδιαίτερη ιατρικά (…), με την ρητή
διαβεβαίωση του ιατρού ότι οι φωτογραφίες θα χρησιμοποιηθούν μόνο για τους ως
άνω ιατρικούς – επιστημονικούς σκοπούς, χωρίς να αποκαλύπτεται η ταυτότητά της.
Στις … η καταγγέλλουσα επισκέφθηκε για δεύτερη φορά το ιατρείο του
καταγγελλόμενου ιατρού, προκειμένου να γίνει η τελική ιατρική εκτίμηση προ του
προγραμματισμένου για την … χειρουργείου. Πριν από την διενέργεια των
χειρουργικών επεμβάσεων ο ιατρός σχεδίασε με μαρκαδόρο τα χειρουργήσιμα
σημεία και έλαβε εκ νέου φωτογραφίες των σημείων αυτών για το αρχείο του. Τότε,
η καταγγέλλουσα, όπως υποστηρίζει, επανέλαβε ότι δεν επιθυμεί καμία δημοσίευση
φωτογραφίας της στο διαδίκτυο και τα μέσα κοινωνικής δικτύωσης. Σύμφωνα με την
καταγγελία, η βοηθός του καταγγελλόμενου, Γ, την διαβεβαίωσε ότι δεν πρόκειται
να δημοσιευθούν φωτογραφίες χωρίς την συναίνεσή της και ότι αυτές προορίζονται
για το αρχείο του ιατρού. Στις … η καταγγέλλουσα προσήλθε εκ νέου στο ιατρείο του
καταγγελλόμενου για την αφαίρεση των ραμμάτων και τον συνήθη μετεγχειρητικό
έλεγχο, οπότε και ο καταγγελλόμενος προέβη εκ νέου στην φωτογράφιση των
χειρουργηθέντων σημείων του σώματος. Και τότε, η καταγγέλλουσα, όπως
υποστηρίζει δήλωσε εμφατικά – για τρίτη φορά – ότι δεν επιθυμεί την ανάρτηση των
φωτογραφιών της στα μέσα κοινωνικής δικτύωσης που διατηρεί ο ιατρός. Παρά
ταύτα, την επόμενη ημέρα, ήτοι την … η καταγγέλλουσα διαπίστωσε ότι οι
φωτογραφίες που αφορούσαν την μία εκ των δύο επεμβάσεων (…) αναρτήθηκαν στις
επίσημες σελίδες (προφίλ) που διατηρεί ο καταγγελλόμενος στο instagram και το
facebook. Στις αναρτημένες φωτογραφίες, ο καταγγελλόμενος ιατρός είχε αφαιρέσει
το πρόσωπό της, ωστόσο « (…) ενώ λοιπά ταυτοποιήσιμα στοιχεία μου, όπως … ήταν
εμφανέστατα, συνοδευόμενα δε από ακριβή περιγραφή της επέμβασής μου! …». Ως
εκ τούτου, η καταγγέλλουσα υποστηρίζει ότι: «Οποιοσδήποτε με γνώριζε και
2
θυμόταν ο,τιδήποτε από τα παραπάνω, θα μπορούσε ευχερώς να αντιληφθεί πως
στις φωτογραφίες απεικονίζομαι εγώ, δηλαδή να με ταυτοποιήσει και να λάβει γνώση
… ευαίσθητων, ιατρικών μου δεδομένων (…)». Αμέσως μόλις είδε τις φωτογραφίες η
καταγγέλλουσα επικοινώνησε με την βοηθό του ιατρού μέσω viber, διαμαρτυρήθηκε
για το γεγονός ότι ο ιατρός ανήρτησε τις φωτογραφίες χωρίς την ενημέρωση και την
συγκατάθεσή της και ζήτησε την διαγραφή τους από όλα τα μέσα κοινωνικής
δικτύωσης του ιατρού. Πράγματι, ο ιατρός ικανοποίησε το αίτημά της και οι
φωτογραφίες αποαναρτήθηκαν από τα μέσα κοινωνικής δικτύωσης. Σύμφωνα με την
καταγγελία οι σελίδες στα μέσα κοινωνικής δικτύωσης του ιατρού είναι ιδιαίτερα
δημοφιλείς με … χιλιάδες ακολούθους (followers) instagram και … χιλιάδες στο
facebook, ενώ οι φωτογραφίες της καταγγέλλουσας είχαν ήδη συγκεντρώσει … likes
στο instagram και … likes με δύο σχόλια στο facebook μόλις μέσα σε λίγες ώρες. Παρά
ταύτα, η Α καταγγέλλει ότι ο ιατρός ανήρτησε εκ νέου λίγους μήνες αργότερα (την
…), τις φωτογραφίες της από την επέμβαση … στο επίσημο προφίλ του στο instagram,
με περιγραφή της περίπτωσής της (π.χ. …), οι οποίες ήδη έχουν συγκεντρώσει … likes,
παρά την ρητή εναντίωση και άρνησή της. Κατόπιν τούτου, η Α με την από … εξώδικη
διαμαρτυρία – πρόσκληση – δήλωση προς τον χειρουργό τον κάλεσε να: α) « (…)
αποσύρετε τις φωτογραφίες μου από τα μέσα κοινωνικής δικτύωσης και διαγράψετε
αυτές από το αρχείο σας με βάση το άρ. 17 ΓΚΠΔ, άλλως επικουρικώς περιορίσετε τον
σκοπό επεξεργασίας με βάση το άρ. 18 ΓΚΠΔ αποκλειστικά και μόνο σε ιατρικούς
σκοπούς (…)» και β) «(…) όπως μου αποστείλετε πλήρες αντίγραφο του ιατρικού
αρχείου μου που τηρείτε (μετά των φωτογραφιών και της σύμβασης επεξεργασίας
προσωπικών μου δεδομένων (..)».
Με την υποβληθείσα καταγγελία η Α διαμαρτύρεται ενώπιον της Αρχής για
παραβίαση των δικαιωμάτων διαγραφής, περιορισμού της επεξεργασίας και
εναντίωσης των άρθρων 17, 18 και 21 ΓΚΠΔ, αντίστοιχα, με την οποία ενημερώνει,
κατ’ ακολουθία των ανωτέρω, την Αρχή ότι ο καταγγελλόμενος: «ανταποκρίθηκε
μερικώς, με διαγραφή των δεδομένων μου από τη σελίδα στο instagram. Δεν έχει
εισέτι ανταποκριθεί σε σχέση με το αίτημά μου για ικανοποίηση του δικαιώματος
διαγραφής/περιορισμού της επεξεργασίας και του δικαιώματος εναντίωσης, ενώ
επιπλέον, όπως μού δήλωσε η βοηθός του ιατρού, κα Γ σε σχετική επικοινωνία μας,
3
έχουν διαβιβαστεί τα προσωπικά μου δεδομένα σε τρίτη εταιρεία, η οποία
διαχειρίζεται τα μέσα κοινωνικής δικτύωσης του ιατρού, χωρίς καμία προηγούμενη
ενημέρωση και συγκατάθεση».
Η Αρχή, κατά την εξέταση της καταγγελίας, κάλεσε με το υπ’ αρ. πρωτ. ΑΠΔ
Γ/ΕΞΕ/1729/06.07.2023 έγγραφο τον καταγγελλόμενο ιατρό όπως υποβάλει πλήρεις
διευκρινίσεις επί των καταγγελλόμενων.
Σε απάντηση του ανωτέρω εγγράφου, ο καταγγελλόμενος ιατρός με την υπ’ αρ.
πρωτ. ΑΠΔ Γ/ΕΙΣ/6332/11.09.2023 απάντησή του ενημέρωσε την Αρχή, μεταξύ
άλλων, ότι: 1) η καταγγέλλουσα κατά το προεγχειρητικό στάδιο έλαβε και
συμπλήρωσε έντυπο συναίνεσης για την επεξεργασία προσωπικών δεδομένων, στο
οποίο υπάρχει συγκεκριμένο πεδίο για την λήψη των φωτογραφιών και την
ανάρτησή τους χωρίς να αποκαλύπτεται η ταυτότητα του ασθενούς με άμεσο ή
έμμεσο τρόπο. Το σχετικό πεδίο η καταγγέλλουσα συμπλήρωσε θετικά και ως εκ
τούτου η ίδια δεν απέκλεισε την χρήση των φωτογραφιών της. 2) «Oι ληφθείσες
φωτογραφίες υπέστησαν επεξεργασία προκειμένου να μην είναι δυνατό να
προκύψει η ταυτότητα του προσώπου που απεικονίζεται. Έτσι αφαιρέθηκε το
πρόσωπό της, περιοριστήκαμε στη δημοσίευση μόνο του … και εφόσον δεν υπήρχε
κατά την κρίση μας κάποιο άλλο στοιχείο ικανό να ταυτοποιηθεί η ασθενής
δημοσιεύτηκαν. Αδίκως λοιπόν με κατηγορεί η καταγγέλλουσα ότι δήθεν αγνοούσε
ότι μας παρείχε το δικαίωμα ανάρτησης των φωτογραφιών της, αφού υπέγραψε
σχετική συναίνεση λήψης των φωτογραφιών, χωρίς να απαγορεύσει τη δημοσίευσή
τους επισημαίνοντας την άρνησή της στο σχετικό σημείο της αίτησης συναίνεσης». 3)
«Μετά από λίγο καιρό, η καταγγέλλουσα επικοινώνησε με το ιατρείο και ζήτησε από
τη βοηθό μου να κατέβουν οι φωτογραφίες που είχαν αναρτηθεί, καθώς δεν το
επιθυμούσε η ίδια. Πράγματι, όπως και η ίδια ομολογεί (…) άμεσα και παρ’ όλη την
προηγούμενη συναίνεσή της για χρήση/δημοσίευση των φωτογραφιών, ζήτησα να
αφαιρεθούν από κάθε μέσο, όπως και έγινε. Πρέπει να επισημάνω ότι κατεβάσαμε
όλες τις φωτογραφίες της ασθενούς, παρόλο που βρήκαμε το αίτημά της υπερβολικό,
καθώς από κανένα στοιχείο των φωτογραφιών δεν μπορούσε να γίνει η ταυτοποίησή
της (…)». 4) « (…) Περίπου τέσσερις μήνες αργότερα αναρτήσαμε, εκ παραδρομής και
χωρίς να συνδέσουμε τις φωτογραφίες με την προηγούμενη στάση της
4
καταγγέλλουσας, παρόμοια φωτογραφία της, στην οποία όμως δεν υπήρχε ούτε το …
της καταγγέλλουσας, ούτε οι … . Τούτο δε όχι προκειμένου να μη δυσαρεστήσουμε
την καταγγέλλουσα, αφού δεν υπήρχε πρόθεση να ανεβάσουμε ξανά δικές της
φωτογραφίες μετά τη δήλωσή της, αλλά επειδή μετά την αναφερθείσα
προηγουμένως δυσαρέσκειά της για τη δημοσίευση των φωτογραφιών, έχω ζητήσει
να γίνεται πάντα επεξεργασία όλων των φωτογραφιών των ασθενών και να
αφαιρούνται όλα τα στοιχεία που πιθανόν ταυτοποιούν κάποιον ασθενή. Έτσι
σεβόμενος απολύτως την επιθυμία της καταγγέλλουσας δεν υπήρξε εκ μέρους μου
καμιά πρόθεση δημοσίευσης φωτογραφιών της, αλλά η δεύτερη ανάρτηση έγινε
απολύτως εκ παραδρομής. Εξάλλου διαθέτω πολύ μεγάλο φωτογραφικό αρχείο
παρόμοιων επεμβάσεων, καθώς και τη συναίνεση των ασθενών, ώστε να μην υπάρχει
ανάγκη χρήσης των συγκεκριμένων φωτογραφιών». Καταλήγει δε ο καταγγελλόμενος
ιατρός: 5) « Συνοψίζοντας, κατά την πρώτη ανάρτηση των φωτογραφιών είχαμε τη
συναίνεση της καταγγέλλουσας και από τις φωτογραφίες ήταν αδύνατο να
ταυτοποιηθεί, αφαιρέσαμε άμεσα τις φωτογραφίες ικανοποιώντας την επιθυμία της
αν και την κρίναμε ως υπερβολική, εκ παραδρομής και χωρίς πρόθεση να
ανεβάσουμε δικές της φωτογραφίες, αναρτήσαμε εκ νέου φωτογραφίες της και με
την επίδοση του εξωδίκου ικανοποιήσαμε όλα όσα ζητούσε με αυτό. Έτσι
ικανοποιήθηκαν όλα τα αιτήματα της κας Α».
Ακολούθως, η καταγγέλλουσα Α, αφού έλαβε γνώση της ανωτέρω απάντησης
του καταγγελλόμενου με την υπ’ αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/6790/27.09.2023
συμπληρωματική αίτησή της διερωτάται: «(…) Επίσης, είναι απορίας άξιον, πώς ενώ
έχει προβεί σε τόσο εξαιρετική ανωνυμοποίηση (όπως ο ίδιος ισχυρίζεται) κατά την
δεύτερη – εκ παραδρομής – ανάρτηση με τη λήψη της εξωδίκου δήλωσής μου,
μπόρεσε αμέσως να αντιληφθεί ποιες είναι οι φωτογραφίες που με αφορούν και τις
έσβησε από τη σελίδα του την ίδια μέρα; Επιπρόσθετα, γιατί χρειάστηκε να προβώ
σε επίδοση εξωδίκου και επιπλέον σε καταγγελία στην ΑΠΔΠΧ ώστε να λάβει τα μέτρα
που έπρεπε εξαρχής να εφαρμόσει κατόπιν του πρωτοασκηθέντος δικαιώματος
εναντίωσης, ούτε ώστε να αποφευχθεί η δεύτερη – εκ παραδρομής – δημοσίευση;».
Επιπλέον, εμμένοντας στο αντικείμενο της καταγγελίας υποστηρίζει, μεταξύ άλλων,
ότι: « (…) 1) η συγκατάθεση που δόθηκε στον καταγγελλόμενη ήταν ανεπαρκής
5
(δεδομένου ότι η συγκατάθεση αφορούσε αποκλειστικά χρήση για ιατρικούς
σκοπούς), ούτως ώστε να χρησιμοποιήσει τα δεδομένα μου κατά τον τρόπο και για
τον σκοπό που τα χρησιμοποίησε (ανάρτηση στο διαδίκτυο για διαφημιστικούς –
προωθητικούς σκοπούς), 2) παρά τη ρητή εναντίωσή μου προέβη δις σε ανάρτηση
αυτών, έχοντας προχωρήσει σε επεξεργασία στην οποία δεν συναίνεσα και ενώ ήταν
δυνατή η ταυτοποίησή μου, 3) διαβίβασε τα ευαίσθητα δεδομένα μου (φωτογραφίες
μου και περιγραφή των ιατρικών πράξεων) σε τρίτους (στην αναφερόμενη από την κα
Γ, τρίτη εταιρεία) χωρίς τη συγκατάθεσή μου, 4) δε μου γνωστοποίησε την ταυτότητα
αυτών των τρίτων αποδεκτών, 5) δεν επιβεβαίωσε τα διαγραφή των δεδομένων μου
από το αρχείο του, ούτε μου δήλωσε ότι θα περιορίσει τον σκοπό επεξεργασίας του
με βάση το άρ. 18 ΓΚΠΔ αποκλειστικά και μόνο σε ιατρικούς σκοπούς και ως εκ τούτου
ο καταγγελλόμενος έχει υποπέσει στις σχετικές εκ του Κανονισμού και του νόμου
παραβάσεις».
Τέλος, ο καταγγελλόμενος ιατρός, έχοντας λάβει γνώση της ανωτέρω
συμπληρωματικής αίτησης της καταγγέλλουσας, με την υπ’ αρ. πρωτ. ΑΠΔ
Γ/ΕΙΣ/7312/17.10.2023 απάντησή του στην Αρχή εστιάζει στην ιδιότητα της
καταγγέλλουσας, ως …, επισημαίνοντας ότι εκ του λόγου τούτου «δεν δικαιούται να
αναφέρει περί δήθεν μη ενημέρωσής της» και υποστηρίζει, αντικρούοντας τα
καταγγελλόμενα, ότι: «το στοιχείο της αναγνώρισης κρίνεται απολύτως αντικειμενικά
και προφανώς ο οποιοσδήποτε νοήμων άνθρωπος θα κατέληγε στο συμπέρασμα ότι
η αναγνώριση της καταγγέλλουσας είναι αδύνατη, ιδιαίτερα όταν πρόκειται για τη
συγκεκριμένη, η οποία διαμένει μόνιμα … και εκ του λόγου αυτού εξασθενεί
απολύτως ακόμα και η απειροελάχιστη περίπτωση να αναγνωρισθεί». Τέλος,
υποστηρίζει ο καταγγελλόμενος ότι ουδέποτε διαβίβασε δεδομένα της
καταγγέλλουσας σε τρίτη εταιρεία, καθώς και ότι έχει ικανοποιήσει τα αιτήματα της
καταγγέλλουσας, με εξαίρεση το αίτημα (υπαλλακτικό) της καταγγέλλουσας για
διαγραφή του συνόλου του ιατρικού της φακέλου, καθώς εκ του νόμου οφείλει να το
διατηρεί για συγκεκριμένο χρονικό διάστημα.
Ακολούθως, η Αρχή κάλεσε με τα υπ’ αρ. πρωτ. Γ/ΕΞΕ/2652/02.10.2024 και
Γ/ΕΞΕ/2653/02.10.2024 έγγραφα την Α και τον Β, αντίστοιχα, όπως παρουσιαστούν
σε συνεδρίαση του Τμήματος της Αρχής την Τετάρτη 16.10.2024 προκειμένου να
6
συζητηθεί η προαναφερόμενη καταγγελία, καθώς και αυτεπαγγέλτως σε σχέση με το
γεγονός της λήψης φωτογραφιών της καταγγέλλουσας και τη σχετική ενημέρωση
μέσω του εντύπου της «ενημέρωσης & δήλωσης συναίνεσης αναφορικά με τα
προσωπικά δεδομένα» για την εν γένει συμμόρφωση του καταγγελλόμενου ιατρού
με τις απαιτήσεις των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ. Στη συνεδρίαση αυτή
παρέστησαν οι Β και Α, μετά της πληρεξουσίας δικηγόρου της Νικολέτας Μυλωνά
(ΑΜ ΔΣΑ …). Κατά τη συνεδρίαση αυτή, οι παριστάμενοι, αφού ανέπτυξαν τις
απόψεις τους, έλαβαν προθεσμία έως τις 30.11.2024 για την υποβολή εγγράφων
υπομνημάτων. Κατόπιν τούτου, η Α, διά της πληρεξουσίας δικηγόρου, υπέβαλε το
από 30.10.2024 (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/8328/30.10.2024) υπόμνημα, με το
οποίο, μεταξύ άλλων, για να ενισχύσει τον ισχυρισμό της ότι οι αναρτημένες
φωτογραφίες της εμπίπτουν στην έννοια των δεδομένων προσωπικού χαρακτήρα,
προσκομίζει απόφαση της λιθουανικής αρχής προστασίας δεδομένων VDAI, με την
οποία η τελευταία δέχτηκε ότι η ανάρτηση φωτογραφιών μέρους του σώματος του
καταγγέλλοντος, χωρίς να αποκαλύπτεται το πρόσωπό του, από τα λοιπά στοιχεία
της ανάρτησης (εν προκειμένω, μήκος και το χρώμα των μαλλιών του ασθενούς,
καθώς και το σημείο στο οποίο βρισκόταν το τατουάζ του) συνιστά επεξεργασία
προσωπικών δεδομένων. Αντίστοιχα, ο Β υπέβαλε το από 04.11.2024 (και με αρ.
πρωτ. ΑΠΔ Γ/ΕΙΣ/8487/05.11.2024), λόγω προσωπικού κωλύματος, υπόμνημα.
Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον
εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς
δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως,
ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
1. Επειδή, από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού
Προστασίας Δεδομένων (Κανονισμού 2016/679, εφεξής ΓΚΠΔ) και του άρθρου 9 του
νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει
την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που
αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων.
7
Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ.1 στοιχ. στ΄ ΓΚΠΔ και 13 παρ. 1
στοιχ. ζ΄ ν. 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της
καταγγελίας της Α για παραβίαση των δικαιωμάτων διαγραφής, περιορισμού της
επεξεργασίας και εναντίωσης των άρθρων 17, 18 και 21 ΓΚΠΔ, αντίστοιχα, εκ μέρους
του ιατρού Β κατά την ανάρτηση φωτογραφιών μέρους του σώματός της σε μέσο
κοινωνικής δικτύωσης του καταγγελλόμενου (instagram) μετά από την ανάκληση της
σχετικής συγκατάθεσης που είχε αρχικώς παράσχει (δεύτερη ανάρτηση), στο μέτρο
που διαπιστώνεται ότι έλαβε χώρα επεξεργασία δεδομένων ταυτοποιήσιμου
προσώπου από τον υπεύθυνο επεξεργασίας και έτσι ιδρύεται αρμοδιότητα της Αρχής
κατ΄ άρθρα 2 παρ. 1 ΓΚΠΔ και 2 ν. 4624/2019 να ασκήσει την ανωτέρω αρμοδιότητά
της. Επιπλέον, από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. α’ και η΄ ΓΚΠΔ και 13
παρ. 1 στοιχ. η΄ ν.4624/2019, προκύπτει ότι η Αρχή έχει αυτεπαγγέλτως την
αρμοδιότητα να ελέγξει στο πλαίσιο της καταγγελλόμενης παραβίασης δικαιωμάτων
τη συμμόρφωση του καταγγελλόμενου ιατρού με τις απαιτήσεις των αρχών του
άρθρου 5 παρ. 1 ΓΚΠΔ σε σχέση με την επεξεργασία προσωπικών δεδομένων της
καταγγέλλουσας και τη σχετική ενημέρωση που υποχρεούται να παρέχει στο στάδιο
της συλλογής των δεδομένων μέσω του εντύπου της «ενημέρωσης & δήλωσης
συναίνεσης αναφορικά με τα προσωπικά δεδομένα» βάσει της υποχρέωσής του που
απορρέει από την αρχή της λογοδοσίας του άρθρου 5 παρ. 2 ΓΚΠΔ.
2. Επειδή, το άρθρο 5 του ΓΚΠΔ καθορίζει τις αρχές επεξεργασίας που διέπουν
την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, ορίζεται στην
παράγραφο 1 ότι τα δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων: «α)
υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το
υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα, διαφάνεια»), β)
συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται
σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς (…), γ)
είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους
οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων») (…) ε)
διατηρούνται υπό μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων των
δεδομένων μόνο για το διάστημα που απαιτείται για τους σκοπούς της επεξεργασίας
των δεδομένων προσωπικού χαρακτήρα· τα δεδομένα προσωπικού χαρακτήρα
8
μπορούν να αποθηκεύονται για μεγαλύτερα διαστήματα, εφόσον τα δεδομένα
προσωπικού χαρακτήρα θα υποβάλλονται σε επεξεργασία μόνο για σκοπούς
αρχειοθέτησης προς το δημόσιο συμφέρον, για σκοπούς επιστημονικής ή ιστορικής
έρευνας ή για στατιστικούς σκοπούς, σύμφωνα με το άρθρο 89 παράγραφος 1 και
εφόσον εφαρμόζονται τα κατάλληλα τεχνικά και οργανωτικά μέτρα που απαιτεί ο
παρών κανονισμός για τη διασφάλιση των δικαιωμάτων και ελευθεριών του
υποκειμένου των δεδομένων («περιορισμός της περιόδου αποθήκευσης») (…)».
3. Επειδή, σύμφωνα με τα οριζόμενα, στη διάταξη του άρθρου 5 παρ. 2 του
ΓΚΠΔ ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να
αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται
στην παράγραφο 1 του άρθρου 5. Όπως έχει κρίνει η Αρχή1, με τον ΓΚΠΔ υιοθετήθηκε
ένα νέο μοντέλο συμμόρφωσης, κεντρικό σημείο του οποίου συνιστά η αρχή της
λογοδοσίας στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να
σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές,
προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές
νομοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται με το
περαιτέρω καθήκον να αποδεικνύει ο ίδιος και ανά πάσα στιγμή τη συμμόρφωσή του
με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ.
4. Επειδή, σύμφωνα και με το άρθρο 8 παρ. 1 του Χάρτη των Θεμελιωδών
Δικαιωμάτων της Ευρωπαϊκής Ένωσης, το άρθρο 9Α του Συντάγματος και την
αιτιολογική σκέψη 4 ΓΚΠΔ, το δικαίωμα στην προστασία των δεδομένων προσωπικού
χαρακτήρα δεν είναι απόλυτο, αλλά πρέπει να εκτιμάται σε σχέση με τη λειτουργία
του στην κοινωνία και να σταθμίζεται με άλλα θεμελιώδη δικαιώματα, σύμφωνα με
την αρχή της αναλογικότητας. Ο ΓΚΠΔ σέβεται όλα τα θεμελιώδη δικαιώματα και
υιοθετεί τις ελευθερίες και αρχές που αναγνωρίζονται στον Χάρτη, ιδίως τον
σεβασμό της ιδιωτικής και οικογενειακής ζωής, της κατοικίας και των επικοινωνιών,
την προστασία των δεδομένων προσωπικού χαρακτήρα, την ελευθερία σκέψης,
συνείδησης και θρησκείας, την ελευθερία έκφρασης και πληροφόρησης, την
1
Βλ. απόφαση Αρχής 26/2019, σκέψη 8, διαθέσιμη στην ιστοσελίδα της.
9
επιχειρηματική ελευθερία, το δικαίωμα πραγματικής προσφυγής και αμερόληπτου
δικαστηρίου και την πολιτιστική, θρησκευτική και γλωσσική πολυμορφία.
5. Επειδή, σύμφωνα με τα οριζόμενα στις διατάξεις των άρθρων 2 παρ. 1 ΓΚΠΔ
και 2 ν. 4624/2019 οι κανόνες προστασίας δεδομένων προσωπικού χαρακτήρα
εφαρμόζονται «στην εν όλω ή εν μέρει, αυτοματοποιημένη επεξεργασία δεδομένων
προσωπικού χαρακτήρα, καθώς στη μη αυτοματοποιημένη επεξεργασία τέτοιων
δεδομένων τα οποία περιλαμβάνονται ή πρόκειται να περιληφθούν σε σύστημα
αρχειοθέτησης». Εν προκειμένω, κρίσιμη προϋπόθεση για την εγκαθίδρυση της
αρμοδιότητας της Αρχής τυγχάνει η διαπίστωση ότι οι επίμαχες αναρτημένες
φωτογραφίες της καταγγέλλουσας μπορούν άμεσα ή έμμεσα να αποδοθούν σε
συγκεκριμένο ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο και κατά συνέπεια
συνιστούν δεδομένο προσωπικού χαρακτήρα της καταγγέλλουσας (άρθρο 4 στοιχ. 1
ΓΚΠΔ). Στην αιτιολογική σκέψη 26 ΓΚΠΔ επεξηγείται αναφορικά με τον προσδιορισμό
της έννοιας αυτής: «Οι αρχές της προστασίας δεδομένων θα πρέπει να εφαρμόζονται
σε κάθε πληροφορία, η οποία αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό
πρόσωπο. Τα δεδομένα προσωπικού χαρακτήρα που έχουν υποστεί
ψευδωνυμοποίηση, η οποία θα μπορούσε να αποδοθεί σε φυσικό πρόσωπο με τη
χρήση συμπληρωματικών πληροφοριών, θα πρέπει να θεωρούνται πληροφορίες
σχετικά με ταυτοποιήσιμο φυσικό πρόσωπο. Για να κριθεί κατά πόσον ένα φυσικό
πρόσωπο είναι ταυτοποιήσιμο, θα πρέπει να λαμβάνονται υπόψη όλα τα μέσα τα
οποία είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν, όπως για παράδειγμα ο
διαχωρισμός του, είτε από τον υπεύθυνο επεξεργασίας είτε από τρίτο για την άμεση
ή έμμεση εξακρίβωση της ταυτότητας του φυσικού προσώπου. Για να διαπιστωθεί
κατά πόσον κάποια μέσα είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν για την
εξακρίβωση της ταυτότητας του φυσικού προσώπου, θα πρέπει να λαμβάνονται
υπόψη όλοι οι αντικειμενικοί παράγοντες, όπως τα έξοδα και ο χρόνος που
απαιτούνται για την ταυτοποίηση, λαμβανομένων υπόψη της τεχνολογίας που είναι
διαθέσιμη κατά τον χρόνο της επεξεργασίας και των εξελίξεων της τεχνολογίας. Οι
αρχές της προστασίας δεδομένων δεν θα πρέπει συνεπώς να εφαρμόζονται σε
ανώνυμες πληροφορίες, δηλαδή πληροφορίες που δεν σχετίζονται προς
ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο ή σε δεδομένα προσωπικού
10
χαρακτήρα που έχουν καταστεί ανώνυμα κατά τρόπο ώστε η ταυτότητα του
υποκειμένου των δεδομένων να μην μπορεί ή να μην μπορεί πλέον να εξακριβωθεί.
Ο παρών κανονισμός δεν αφορά συνεπώς την επεξεργασία τέτοιων ανώνυμων
πληροφοριών, ούτε μεταξύ άλλων για στατιστικούς ή ερευνητικούς σκοπούς».
Επιπλέον, στην Γνώμη 4/2007 σχετικά με την έννοια του όρου “δεδομένα προσωπικού
χαρακτήρα” της Ομάδας Προστασίας Δεδομένων του άρθρου 29 επεξηγείται,
αναφορικά με τα μέσα εξακρίβωσης της ταυτότητας ενός προσώπου ότι δεν αρκεί
απλώς να υπάρχει υποθετικά η δυνατότητα διάκρισης ενός ατόμου, προκειμένου η
ταυτότητά του να μπορεί να εξακριβωθεί, αλλά εάν, λαμβάνοντας υπόψη το σύνολο
των μέσων που μπορεί ευλόγως να χρησιμοποιηθούν είτε από τον υπεύθυνο
επεξεργασίας είτε από τρίτο η δυνατότητα αυτή δεν υπάρχει ή είναι αμελητέα, το
πρόσωπο δεν θα πρέπει να θεωρείται ως πρόσωπο του οποίου η ταυτότητα μπορεί
να εξακριβωθεί και οι πληροφορίες δεν θα πρέπει να θεωρούνται ως δεδομένα
προσωπικού χαρακτήρα. Κατά την εφαρμογή του κριτηρίου “το σύνολο των μέσων
που μπορούν ευλόγως να χρησιμοποιηθούν, είτε από τον υπεύθυνο επεξεργασίας,
είτε από τρίτο" θα πρέπει να λαμβάνονται ειδικότερα υπόψη όλοι οι σχετικοί
παράγοντες. Το κόστος εξακρίβωσης της ταυτότητας είναι ένας παράγοντας αλλά όχι
ο μοναδικός. Θα πρέπει να λαμβάνονται υπόψη στο σύνολό τους ο επιδιωκόμενος
σκοπός, ο τρόπος με τον οποίο διαρθρώνεται η επεξεργασία, το όφελος που
προσδοκά ο υπεύθυνος επεξεργασίας, τα υπό διακύβευση συμφέροντα των ατόμων,
καθώς και ο κίνδυνος οργανωτικών δυσλειτουργιών (π.χ. παραβιάσεις κανόνων
απορρήτου) και οι τεχνικές αστοχίες. Από την άλλη μεριά, ο έλεγχος της εκπλήρωσης
του κριτηρίου έχει δυναμικό χαρακτήρα, πράγμα που σημαίνει ότι πρέπει να
λαμβάνεται υπόψη η πλέον πρόσφατη τεχνολογία κατά το χρόνο της επεξεργασίας
και οι δυνατότητες ανάπτυξής της κατά τη διάρκεια της περιόδου επεξεργασίας των
δεδομένων2.
6. Επειδή, εν προκειμένω, οι επίμαχες δύο φωτογραφίες της καταγγέλλουσας
(πριν και μετά …), οι οποίες αναρτήθηκαν σε μέσο κοινωνικής δικτύωσης του
καταγγελλόμενου χειρουργού (instagram), στις οποίες απεικονίζεται μέρος του
2
Γνώμη 4/2007 από 20.06.2007, σελ. 18-19 διαθέσιμη στο σύνδεσμο
https://ec.europa.eu/justice/article-29/documentation/opinion-
recommendation/files/2007/wp136_el.pdf
11
σώματός της με τίτλο «… και επί των οποίων έχουν τεθεί οι αναφορές «…», δεν
συνιστούν καταρχήν πληροφορίες οι οποίες μπορούν ευχερώς να αποδοθούν από
τρίτους3 (μέσο αναγνώστη/θεατή του συγκεκριμένου μέσου κοινωνικής δικτύωσης)
στο πρόσωπο της καταγγέλλουσας. Συγκεκριμένα, οι επίμαχες φωτογραφίες στις
οποίες απεικονίζεται μέρος του σώματος της καταγγέλλουσας, χωρίς να τίθεται επί
αυτών άλλο προσδιοριστικό στοιχείο, από το οποίο έστω και έμμεσα μπορεί να
εξακριβωθεί η ταυτότητα της καταγγέλλουσας (π.χ. μικρό όνομα4, ημερομηνία
διενεργηθείσας επέμβασης) δεν συνιστούν καταρχήν δεδομένα ταυτοποιήσιμου
προσώπου κατά την έννοια του άρθρου 4 στοιχ. 1 ΓΚΠΔ. Ούτε, εξάλλου, εμφαίνεται
επί των αναρτημένων φωτογραφιών άλλο ιδιαίτερο χαρακτηριστικό στοιχείο ή
γνώρισμα, όπως ήταν το τατουάζ στο σώμα του καταγγέλλοντος στην απόφαση της
ομόλογης λιθουανικής Αρχής που προσκόμισε η καταγγέλλουσα με το υπόμνημά της,
από το οποίο θα μπορούσε να προσδιοριστεί η ταυτότητά της από τρίτους.
Αβασίμως, συνεπώς, προβάλλει η καταγγέλλουσα ότι η ταυτότητά της μπορούσε να
εξακριβωθεί από «(…) λοιπά ταυτοποιήσιμα στοιχεία μου, όπως … ήταν
εμφανέστατα, συνοδευόμενα δε από ακριβή περιγραφή της επέμβασής μου!
Οποιοσδήποτε με γνώριζε και θυμόταν ο,τιδήποτε από τα παραπάνω, θα μπορούσε
ευχερώς να αντιληφθεί πως στις φωτογραφίες απεικονίζομαι εγώ, δηλαδή να με
ταυτοποιήσει και να λάβει γνώση … ευαίσθητων, ιατρικών μου δεδομένων», καθώς,
πρώτον, τα λοιπά προσδιοριστικά στοιχεία που επικαλείται η καταγγέλλουσα (ήτοι
…) δεν αφορούν την δεύτερη εξεταζόμενη ανάρτηση – επί της οποίας ερείδεται η
καταγγελλόμενη παραβίαση των δικαιωμάτων – στην οποία, πάντως, όπως
προέκυψε ο καταγγελλόμενος είχε προβεί στην απαλοιφή τους. Εξάλλου, δεύτερον,
προκύπτει ότι τα ως άνω λοιπά προσδιοριστικά στοιχεία που επικαλείται η
καταγγέλλουσα δεν είναι ικανά από μόνα τους και σε συνδυασμό με τα υπόλοιπα
τιθέμενα επί των αναρτημένων φωτογραφιών στοιχεία (επωνυμία του ιατρού,
μέθοδος επέμβασης που χρησιμοποιήθηκε) να οδηγήσουν ευχερώς στην ευρεία
3
Σύμφωνα με τα οριζόμενο στο άρθρο 4 στοιχ. 10 ΓΚΠΔ ως ««τρίτος» νοείται «οποιοδήποτε φυσικό ή
νομικό πρόσωπο, δημόσια αρχή, υπηρεσία ή φορέας, με εξαίρεση το υποκείμενο των δεδομένων, τον
υπεύθυνο επεξεργασίας, τον εκτελούντα την επεξεργασία και τα πρόσωπα τα οποία, υπό την άμεση
εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, είναι εξουσιοδοτημένα να
επεξεργάζονται τα δεδομένα προσωπικού χαρακτήρα»,
4
Πρβλ. Γνώμη 4/2007 από 20.06.2007 ό.π. παράδειγμα 12, σελ. 19.
12
αποκάλυψη της ταυτότητάς της από τρίτους. Σε κάθε δε περίπτωση, το γεγονός ότι η
καταγγέλλουσα μπορεί να αναγνωρίσει η ίδια τον εαυτό της στην επίμαχη
φωτογραφία δεν την καθιστά ταυτοποιήσιμη από τρίτους, ούτε αποδείχθηκε κάτι
τέτοιο. Βασίμως υποστηρίζει συναφώς ο καταγγελλόμενος ιατρός: «Επικαλέστηκε [η
καταγγέλλουσα] …, στοιχεία που προφανέστατα είναι αδύνατο να ταυτοποιήσουν
κάποιον, … . Αν υποθέταμε ότι είχε …, ίσως τίθετο (αν και καθ’ υπερβολή) θέμα
ταυτοποίησης. …»5. Ούτε, εισέτι, η καταγγέλλουσα αποδεικνύει ενώπιον της Αρχής
κατά τρόπο αναμφισβήτητο τον ισχυρισμό της ότι: «οποιοσδήποτε με γνώριζε και
θυμόταν ο,τιδήποτε από τα παραπάνω, θα μπορούσε ευχερώς να αντιληφθεί πως
στις φωτογραφίες απεικονίζομαι εγώ, δηλαδή να με ταυτοποιήσει και να λάβει γνώση
… ευαίσθητων, ιατρικών μου δεδομένων (…)», ώστε να μπορεί να γίνει δεκτός ο
ισχυρισμός της περί ταυτοποίησης των αναρτημένων φωτογραφιών από τρίτους.
Ωστόσο, από το σύνολο του φακέλου της υπόθεσης και λαμβάνοντας υπόψη τις
ανωτέρω εννοιολογικές επεξηγήσεις από την αιτιολογική σκέψη 26 ΓΚΠΔ και την
Γνώμη 4/2007, ιδίως, σε σχέση με την χρήση μέσων εξακρίβωσης της ταυτότητας ενός
προσώπου από τον ίδιο τον υπεύθυνο επεξεργασίας, προκύπτει ότι οι επίμαχες
φωτογραφίες της καταγγέλλουσας, οι οποίες αναρτήθηκαν σε μέσο κοινωνικής
δικτύωσης του καταγγελλόμενου ιατρού (instagram), προέρχονται από το ιατρικό του
αρχείο, στο οποίο είναι απαραίτητος πρωτίστως για λόγους ιατρικής τεκμηρίωσης ο
προσδιορισμός και η επαλήθευση της ταυτότητας της καταγγέλλουσας καθ’ όλη την
διάρκεια νόμιμης διατήρησής του κατ’ άρθρο 14 παρ. 4 στοιχ. α΄ ν.3418/2005 (ΦΕΚ
Α΄287), ήτοι επί τουλάχιστον δεκαετίας. Εξάλλου, καθοριστικής σημασίας είναι, εν
προκειμένω, ότι η επεξεργασία της ανάρτησης των φωτογραφιών επί της οποίας
ερείδεται η καταγγελλόμενη παραβίαση δικαιωμάτων πραγματοποιήθηκε σε μέσο
κοινωνικής δικτύωσης του ιδίου καταγγελλόμενου χειρουργού, ο οποίος σε κάθε
περίπτωση ως υπεύθυνος επεξεργασίας του αρχείου που τηρεί λόγω της παροχής
ιατρικής φροντίδας στην καταγγέλλουσα (πρωταρχικός σκοπός της αρχικής συλλογής
των φωτογραφιών), έχει πάντως την δυνατότητα προσδιορισμού και επαλήθευσης
της ταυτότητας της πελάτισσας/ασθενούς του, ακόμα και στις
ανωνυμοποιημένες/ψευδωνυμοποιημένες (για το ευρύ διαδικτυακό κοινό)
5
Υπ’ αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/6332/11.09.2023 απάντηση στην Αρχή.
13
πληροφορίες που ανήρτησε6. Η διαπίστωση αυτή ενισχύεται και από τον ισχυρισμό
του καταγγελλόμενου ιατρού, ότι «(…) ερευνώντας τις εφαρμογές αντιληφθήκαμε ότι
πράγματι εκ παραδρομής είχαμε ανεβάσει εκ νέου τις φωτογραφίες, χωρίς να τις
συνδέσουμε με την συγκεκριμένη ασθενή και άμεσα (αυθημερόν) τις αποσύραμε και
πάλι (…) επεξεργασμένες όμως κατά την πάγια πλέον τακτική μας, ώστε να εξαλειφθεί
έστω και η παραμικρή περίπτωση ταυτοποίηση των ασθενών», καθώς και ότι «(…) ο
δε εντοπισμός της φωτογραφίας της καταγγέλλουσας που έπρεπε να διαγραφεί
κατόπιν επιθυμίας της, προφανέστατα έγινε με αντιπαραβολή των ανηρτημένων
φωτογραφιών με τα αρχικά αρχεία τα οποία διατηρώ στους ιατρικούς φακέλους των
ασθενών (…)». Συνεπώς, αβασίμως υποστηρίζει ο καταγγελλόμενος ιατρός ότι η
δεύτερη (από …) ανάρτηση των επίμαχων φωτογραφιών, επί της οποίας ερείδεται η
καταγγελλόμενη παραβίαση των δικαιωμάτων της καταγγέλλουσας, έγινε εκ
παραδρομής, καθώς όπως και ο ίδιος συνομολογεί μπορούσε ευχερώς, ως
υπεύθυνος επεξεργασίας, να ταυτοποιήσει τις φωτογραφίες που ανήρτησε (σε σχέση
με τις πληροφορίες που ο ίδιος έθεσε επί αυτών - ιατρική μέθοδος που εφαρμόστηκε
…), εκ του ιατρικού αρχείου και σε συνδυασμό με τις υπόλοιπες πληροφορίες που
περιλαμβάνονται στον ιατρικό φάκελο της συγκεκριμένης ασθενούς7 και να τις
αποδώσει στο πρόσωπο της καταγγέλλουσας, η δε πρόσθετη επεξεργασία (απαλοιφή
… και λοιπών στοιχείων) σε σχέση με την πρώτη ανάρτηση δεν ήταν ικανή να
αποκλείσει την δυνατότητα προσδιορισμού της ταυτότητας της καταγγέλλουσας από
τον ίδιο τον καταγγελλόμενο ιατρό, ως υπεύθυνο επεξεργασίας. Κατ’ ακολουθία των
ανωτέρω, η Αρχή διαπιστώνει, εν προκειμένω, ότι οι επίμαχες αναρτημένες
φωτογραφίες μέρους του σώματος της καταγγέλλουσας επί των οποίων ερείδεται η
εξεταζόμενη καταγγελία περί παραβίασης των δικαιωμάτων της συνιστούν
προσωπικά δεδομένα της καταγγέλλουσας, δεδομένου ότι μπορούν να αποδοθούν
6
Βλ. σχετική απόφαση Ολλανδικού Δικαστηρίου με την οποία κρίθηκε ότι όταν ψευδώνυμα δεδομένα
μπορούν με την χρήση συμπληρωματικών πληροφοριών να αποδοθούν σε συγκεκριμένο φυσικό
πρόσωπο συνιστούν προσωπικά δεδομένα κατά τον ΓΚΠΔ, διαθέσιμη στο σύνδεσμο
https://gdprhub.eu/index.php?title=Rb._Midden-Nederland_-_C/16/536914_/_HA_RK_22-78
7
Το άρθρο 14 παρ. 2 ν. 3418/2005 προβλέπει συγκεκριμένα ως ελάχιστο περιεχόμενο του ιατρικού
φακέλου: «Τα ιατρικά αρχεία πρέπει να περιέχουν το ονοματεπώνυμο, το πατρώνυμο, το φύλο, την
ηλικία, το επάγγελμα, τη διεύθυνση του ασθενή, τις ημερομηνίες της επίσκεψης, καθώς και κάθε άλλο
ουσιώδες στοιχείο που συνδέεται με την παροχή φροντίδας στον ασθενή, όπως, ενδεικτικά και
ανάλογα με την ειδικότητα, τα ενοχλήματα της υγείας του και το λόγο της επίσκεψης, την πρωτογενή
και δευτερογενή διάγνωση ή την αγωγή που ακολουθήθηκε».
14
ευχερώς σε κάθε περίπτωση από καταγγελλόμενο ιατρό, ως υπεύθυνο επεξεργασίας,
στο πρόσωπο της καταγγέλλουσας για τον προσδιορισμό και την επαλήθευση της
ταυτότητάς της και ως εκ τούτου η Αρχή έχει αρμοδιότητα να επιληφθεί της
υποβληθείσας καταγγελίας, κατ’ εφαρμογή των άρθρων 2 παρ. 1 ΓΚΠΔ και 2 ν.
4624/2019.
7. Εξάλλου, και στο πλαίσιο της αρχής της λογοδοσίας κατ’ άρθρο 5 παρ.2 ΓΚΠΔ,
προέκυψε ότι ο καταγγελλόμενος ιατρός βάσισε την περαιτέρω επεξεργασία των
επίμαχων φωτογραφιών (εξαγωγή από ιατρικό αρχείο και ανάρτηση σε μέσο
κοινωνικής δικτύωσης) στην ειδική συγκατάθεση της καταγγέλλουσας, όπως
προκύπτει από το σχετικό έντυπο για την «Ενημέρωση & Δήλωση Συναίνεσης με τα
προσωπικά δεδομένα», στο οποίο υπήρχε σχετικό χωρίο «(4) εφόσον παρέχετε τη
συγκατάθεσή σας, ο ιατρός θα κάνει χρήση των προσωπικών σας δεδομένων για τους
ακόλουθους σκοπούς: (…) ανάρτηση στο διαδίκτυο των φωτογραφιών σας με μέριμνα
ώστε να μην αποκαλύπτεται άμεσα ή έμμεσα η ταυτότητά σας», το οποίο
συμπλήρωσε η καταγγέλλουσα με θετική δήλωση (κλικάροντας το ΝΑΙ). Μετά από το
πρώτο (αρχές Ιανουαρίου …) παράπονο της καταγγέλλουσας για την πρώτη
ανάρτηση των ανωνυμοποιημένων/ψευδωνυμοποιημένων φωτογραφιών της, από
τις οποίες η ίδια ως υποκείμενο των δεδομένων μπορούσε αυτονοήτως να συναγάγει
ότι απεικονιζόταν μέρος του σώματός της, ο καταγγελλόμενος ιατρός και σε
συμμόρφωση με την αρχή της λογοδοσίας του άρθρου 5 παρ. 2 ΓΚΠΔ ήταν
υποχρεωμένος βάσει της ανακληθείσας θετικής βούλησης της καταγγέλλουσας, να
προβεί στην αποανάρτηση των επίμαχων φωτογραφιών, κατ’ εφαρμογή του άρθρου
7 παρ. 2 ΓΚΠΔ, και να «κλειδώσει»/περιορίσει τις φωτογραφίες στο ιατρικό αρχείο
για τον αρχικό/πρωτογενή σκοπό επεξεργασίας της παροχής ιατρικής φροντίδας στην
καταγγέλλουσα. Επισημαίνεται ότι σύμφωνα με τα οριζόμενα στις Κατευθυντήριες
γραμμές 5/2020 σχετικά με την συγκατάθεση βάσει του κανονισμού 2016/679 του
ΕΣΠΔ κάθε υπεύθυνος επεξεργασίας πρέπει να διασφαλίζει ότι το υποκείμενο των
δεδομένων μπορεί να ανακαλέσει τη συγκατάθεση με την ίδια ευκολία που την
παρέσχε και ανά πάσα στιγμή, χωρίς μάλιστα να ορίζεται ότι η παροχή και η
ανάκληση της συγκατάθεσης πρέπει να πραγματοποιούνται πάντοτε με την ίδια
15
πράξη8. Συνεπώς, η δεύτερη (από …) ανάρτηση των φωτογραφιών της
καταγγέλλουσας σε μέσο κοινωνικής δικτύωσης του καταγγελλόμενου χειρουργού,
τις οποίες ο ίδιος με τα μέσα εξακρίβωσης που διαθέτει μπορούσε να αποδώσει στο
πρόσωπο της καταγγέλλουσας κατά τα διαλαμβανόμενα στην προρρηθείσα σκέψη
της παρούσας, έγινε χωρίς νόμιμη βάση, δοθέντος ότι η καταγγέλλουσα είχε
ανακαλέσει την θετική δήλωση βούλησης που είχε παράσχει για την ανάρτησή τους.
Σε κάθε περίπτωση, ο καταγγελλόμενος ιατρός οφείλει να τηρεί επίκαιρο αρχείο των
θετικών δηλώσεων βουλήσεων και τυχόν ανακλήσεων για το διακριτό σκοπό
επεξεργασίας «της ανάρτησης στο διαδίκτυο των φωτογραφιών σας με μέριμνα ώστε
να μην αποκαλύπτεται άμεσα ή έμμεσα η ταυτότητά σας», λαμβάνοντας υπόψη την
αιτιολογική σκέψη 42 ΓΚΠΔ και τις επεξηγήσεις που παρασχέθηκαν με τις
προαναφερθείσες Κατευθυντήριες γραμμές 5/2020 του ΕΣΠΔ9, ο δε ισχυρισμός του
καταγγελλόμενου ιατρού ότι «(…) εκ παραδρομής αναρτήθηκαν και πάλι οι ίδιες
φωτογραφίες , επεξεργασμένες όμως κατά την πάγια πλέον τακτική μας, ώστε να
εξαλειφθεί έστω και η παραμικρή περίπτωση ταυτοποίησης των ασθενών (…)», υπό
το πρίσμα της ανάκλησης της σχετικής δήλωσης της καταγγέλλουσας για τον διακριτό
σκοπό «της ανάρτησης στο διαδίκτυο των φωτογραφιών σας με μέριμνα ώστε να μην
αποκαλύπτεται άμεσα ή έμμεσα η ταυτότητά σας» είναι αλυσιτελής. Εξάλλου, όπως
εξειδικεύτηκε στις ΚΓ 5/2020 του ΕΣΠΔ στις περιπτώσεις στις οποίες το υποκείμενο
των δεδομένων ανακαλεί τη συγκατάθεσή του και ο υπεύθυνος επεξεργασίας
επιθυμεί να συνεχίσει να επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα
χρησιμοποιώντας άλλη νόμιμη βάση, ο υπεύθυνος επεξεργασίας δεν μπορεί να
μεταβεί σιωπηρά από τη συγκατάθεση (η οποία ανακαλείται) στην άλλη αυτή νόμιμη
βάση. Κάθε μεταβολή της νόμιμης βάσης της επεξεργασίας πρέπει να γνωστοποιείται
στο υποκείμενο των δεδομένων σύμφωνα με τις απαιτήσεις περί ενημέρωσης που
προβλέπονται στα άρθρα 13 και 14 και τη γενική αρχή της διαφάνειας 10. Κατ’
ακολουθία των ανωτέρω η Αρχή διαπιστώνει ότι η ανάρτηση των επίμαχων
φωτογραφιών, επί της οποίας ερείδεται η υπό εξέταση καταγγελλόμενη παραβίαση
8
ΚΓ 5/2020 του ΕΣΠΔ από 04.05.2020, σκ. 113 σελ. 28 διαθέσιμες στο σύνδεσμο
https://www.edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_el.pdf .
9
ΚΓ 5/2020 ό.π. σκ. 108, σελ. 27.
10
ΚΓ 5/2020 ό.π. σκ. 120, σελ. 30.
16
δικαιωμάτων, συνιστά διακριτή επεξεργασία (ήτοι, εξαγωγής από αρχείο
ταυτοποιήσιμου ατόμου και ανάρτηση με την λήψη μέτρων
ψευδωνυμοποίησης/ανωνυμοποίησης) ως προς τους τρίτους, η οποία
πραγματοποιήθηκε χωρίς τη συγκατάθεση της καταγγέλλουσας, άλλως παρά την
ανάκληση της σχετικής δήλωσής της, κατά παράβαση της αρχής της νομιμότητας της
επεξεργασίας του άρθρου 5 παρ. 1 στοιχ. α΄ ΓΚΠΔ, κατ’ εφαρμογή των οριζόμενων
στις διατάξεις των άρθρων 6 παρ. 1 στοιχ. α΄ και 9 παρ. 2 στοιχ. α΄ ΓΚΠΔ.
8. Επειδή, όσον αφορά το δικαίωμα διαγραφής («δικαίωμα στη λήθη») το
άρθρο 17 ΓΚΠΔ προβλέπει ότι: «1. Το υποκείμενο των δεδομένων έχει το δικαίωμα
να ζητήσει από τον υπεύθυνο επεξεργασίας τη διαγραφή δεδομένων προσωπικού
χαρακτήρα που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση και ο υπεύθυνος
επεξεργασίας υποχρεούται να διαγράψει δεδομένα προσωπικού χαρακτήρα χωρίς
αδικαιολόγητη καθυστέρηση, εάν ισχύει ένας από τους ακόλουθους λόγους: (…) β) το
υποκείμενο των δεδομένων ανακαλεί τη συγκατάθεση επί της οποίας βασίζεται η
επεξεργασία σύμφωνα με το άρθρο 6 παράγραφος 1 στοιχείο α) ή το άρθρο 9
παράγραφος 2 στοιχείο α) και δεν υπάρχει άλλη νομική βάση για την επεξεργασία,
(…) δ) τα δεδομένα προσωπικού χαρακτήρα υποβλήθηκαν σε επεξεργασία
παράνομα, (…) 3. Οι παράγραφοι 1 και 2 δεν εφαρμόζονται στον βαθμό που η
επεξεργασία είναι απαραίτητη: α) για την άσκηση του δικαιώματος ελευθερίας της
έκφρασης και του δικαιώματος στην ενημέρωση, β) για την τήρηση νομικής
υποχρέωσης που επιβάλλει την επεξεργασία βάσει του δικαίου της Ένωσης ή του
δικαίου κράτους μέλους στο οποίο υπάγεται ο υπεύθυνος επεξεργασίας ή (…) δ) για
σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον, για σκοπούς επιστημονικής ή
ιστορικής έρευνας ή για στατιστικούς σκοπούς σύμφωνα με το άρθρο 89 παράγραφος
1, εφόσον το δικαίωμα που αναφέρεται στην παράγραφο 1 είναι πιθανόν να
καταστήσει αδύνατη ή να εμποδίσει σε μεγάλο βαθμό την επίτευξη σκοπών της εν
λόγω επεξεργασίας (…)».
9. Επειδή, σε σχέση με την καταγγελλόμενη παραβίαση του δικαιώματος
διαγραφής του άρθρου 17 ΓΚΠΔ, από το σύνολο του φακέλου της υπόθεσης,
προέκυψε ότι ο καταγγελλόμενος ιατρός, ως υπεύθυνος επεξεργασίας, ικανοποίησε
άμεσα, όπως και η καταγγέλλουσα συνομολογεί, το αίτημα αποανάρτησης των
17
επίμαχων φωτογραφιών της καταγγέλλουσας μετά από την επίδοση της από …
εξωδίκου διαμαρτυρίας – πρόσκλησης – δήλωσης, κατ’ εφαρμογή του άρθρου 17
παρ. 2 στοιχ. β΄ ΓΚΠΔ, σύμφωνα και με τις απαιτήσεις του άρθρου 12 παρ. 3 ΓΚΠΔ,
και ανεξαρτήτως πάντως της διαπίστωσης περί παράνομης ανάρτησης κατά τα
ανωτέρω.
10. Επειδή, όσο αφορά το δικαίωμα περιορισμού της επεξεργασίας, το άρθρο
18 ΓΚΠΔ προβλέπει, μεταξύ άλλων, ότι: « 1. Το υποκείμενο των δεδομένων δικαιούται
να εξασφαλίζει από τον υπεύθυνο επεξεργασίας τον περιορισμό της επεξεργασίας,
όταν ισχύει ένα από τα ακόλουθα: … β) η επεξεργασία είναι παράνομη και το
υποκείμενο των δεδομένων αντιτάσσεται στη διαγραφή των δεδομένων προσωπικού
χαρακτήρα και ζητεί, αντ' αυτής, τον περιορισμό της χρήσης τους (…)».
11. Επειδή, σε σχέση με την καταγγελλόμενη παραβίαση του δικαιώματος
περιορισμού της επεξεργασίας του άρθρου 18 ΓΚΠΔ, λαμβάνοντας υπόψη και τα
οριζόμενα στο άρθρο 14 παρ. 1 -4 ν. 3418/2005, προέκυψε ότι ο καταγγελλόμενος
ιατρός, ως υπεύθυνος επεξεργασίας, αποαναρτώντας τις επίμαχες φωτογραφίες από
το μέσο κοινωνικής δικτύωσης που διατηρεί, μετά και από την επίδοση της από …
εξωδίκου διαμαρτυρίας – πρόσκλησης – δήλωσης της καταγγέλλουσας, περιόρισε
(«κλείδωσε») τις επίμαχες φωτογραφίες στο ιατρικό του αρχείο για το πρωτογενή
αρχικό σκοπό της παροχής ιατρικής φροντίδας, για την εκπλήρωση του οποίου έχει
πάντως υποχρέωση να τις τηρεί τουλάχιστον επί δεκαετίας από την τελευταία
επίσκεψή της (άρθρο 14 παρ. 4 στοιχ. α΄ ν. 3418/2005), σε συμμόρφωση με τα
διαλαμβανόμενα του άρθρου 18 παρ. 1 στοιχ. β΄ ΓΚΠΔ και σύμφωνα με τις απαιτήσεις
του άρθρου 12 παρ. 3 ΓΚΠΔ και ανεξαρτήτως πάντως της διαπίστωσης περί
παράνομης ανάρτησης κατά τα ανωτέρω. Κατ’ ακολουθία τούτου και των
διαλαμβανόμενων στις προηγούμενες σκέψεις της παρούσας ο ισχυρισμός της
καταγγέλλουσας ότι ο καταγγελλόμενος ιατρός δεν έχει διαγράψει παντελώς από το
αρχείο τις επίμαχες πληροφορίες, ούτε έχει δηλώσει στην ίδια ότι θα περιορίσει τον
σκοπό επεξεργασίας αποκλειστικά και μόνο σε ιατρικούς σκοπούς, τυγχάνει
απορριπτέος ως νόμω αβάσιμος.
12. Επειδή, όσον αφορά το δικαίωμα εναντίωσης το άρθρο 21 ΓΚΠΔ ορίζει ότι:
«1. Το υποκείμενο των δεδομένων δικαιούται να αντιτάσσεται, ανά πάσα στιγμή και
18
για λόγους που σχετίζονται με την ιδιαίτερη κατάστασή του, στην επεξεργασία
δεδομένων προσωπικού χαρακτήρα που το αφορούν, η οποία βασίζεται στο άρθρο 6
παράγραφος 1 στοιχείο ε) ή στ), περιλαμβανομένης της κατάρτισης προφίλ βάσει των
εν λόγω διατάξεων. Ο υπεύθυνος επεξεργασίας δεν υποβάλλει πλέον τα δεδομένα
προσωπικού χαρακτήρα σε επεξεργασία, εκτός εάν ο υπεύθυνος επεξεργασίας
καταδείξει επιτακτικούς και νόμιμους λόγους για την επεξεργασία οι οποίοι
υπερισχύουν των συμφερόντων, των δικαιωμάτων και των ελευθεριών του
υποκειμένου των δεδομένων ή για τη θεμελίωση, άσκηση ή υποστήριξη νομικών
αξιώσεων».
13. Επειδή, σε σχέση με την καταγγελλόμενη παραβίαση του δικαιώματος
εναντίωσης του άρθρου 21 ΓΚΠΔ της καταγγέλλουσας, λαμβάνοντας υπόψη και τα
διαλαμβανόμενα στις ανωτέρω προηγηθείσες σκέψεις (ιδίως σκ. 7) της παρούσας,
προέκυψε ότι η καταγγέλλουσα με την από … εξώδικη διαμαρτυρία – πρόσκληση –
δήλωση ζήτησε (εκ νέου) την αποανάρτηση των επίμαχων φωτογραφιών από το μέσο
κοινωνικής δικτύωσης του καταγγελλόμενου ιατρού (instagram), ο δε τελευταίος,
ικανοποίησε το σχετικό αίτημα και αποανήρτησε τις επίμαχες φωτογραφίες, για τις
οποίες πάντως όπως αποδείχθηκε κατά τα ανωτέρω δεν είχε εξασφαλίσει την έγκυρη
συγκατάθεση της καταγγέλλουσας στην οποία βάσισε (κατ΄ εφαρμογή της αρχής της
λογοδοσίας, άρθρο 5 παρ. 2 ΓΚΠΔ) την ανάρτησή τους, και περιόρισε την επεξεργασία
τους (καταχώριση και αποθήκευση) στο ιατρικό του αρχείο για τον πρωτογενή σκοπό
επεξεργασίας όπως έχει υποχρέωση από το νόμο (άρθρο 14 παρ. 4 στοιχ. α΄ ν.
3418/2005). Μετά ταύτα, διαπιστώνεται ότι ο καταγγελλόμενος ιατρός, ως
υπεύθυνος επεξεργασίας, ικανοποίησε το σχετικό αίτημα της καταγγέλλουσας σε
συμμόρφωση με τα διαλαμβανόμενα του άρθρου 21 ΓΚΠΔ και σύμφωνα με τις
απαιτήσεις του άρθρου 12 παρ. 3 ΓΚΠΔ και ανεξαρτήτως πάντως της διαπίστωσης
περί παράνομης ανάρτησης κατά τα ανωτέρω.
14. Επειδή, τέλος, και σε σχέση με το οψίμως προβληθέν παράπονο της
καταγγέλλουσας περί παραβίασης του δικαιώματος ενημέρωσης σε σχέση με τους
αποδέκτες των δεδομένων κατ’ άρθρο 13 παρ. 1 στοιχ. ε’ ΓΚΠΔ, και ειδικότερα τον
ισχυρισμό που προέβαλε ότι: «ουδέποτε μού γνωστοποίησε τους τρίτους αποδέκτες
των δεδομένων μου, ήτοι την τρίτη εταιρεία, η οποία διαχειρίζεται τα μέσα
19
κοινωνικής δικτύωσης του ιατρού, χωρίς καμία προηγούμενη ενημέρωση και
συγκατάθεσή μου», από το σύνολο του φακέλου της υπόθεσης, λαμβάνοντας υπόψη
και την από … (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/7312/17.10.2023) απάντηση του
καταγγελλόμενου ιατρού, ουδόλως αποδείχθηκε ότι έλαβε χώρα επεξεργασία σε
αποδέκτη των δεδομένων.
15. Επειδή, πάντως, με αφορμή την εξεταζόμενη καταγγελία περί παραβίασης
δικαιωμάτων της καταγγέλλουσας, διαπιστώνεται σε σχέση με τη συμμόρφωση του
καταγγελλόμενου ιατρού με τις απαιτήσεις των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ
αναφορικά με την ενημέρωση περί επεξεργασίας προσωπικών δεδομένων μέσω του
εντύπου της «ενημέρωσης & δήλωσης συναίνεσης αναφορικά με τα προσωπικά
δεδομένα» ότι ο καταγγελλόμενος παρέσχε (μέσω προεκτυπωμένου εντύπου) την
ακόλουθη ενημέρωση στην καταγγέλλουσα: «Εφόσον παρέχετε τη συγκατάθεσή σας,
ο ιατρός θα κάνει χρήση των προσωπικών σας δεδομένων για τους ακόλουθους
σκοπούς: (…) ανάρτηση στο διαδίκτυο των φωτογραφιών σας με μέριμνα ώστε να μην
αποκαλύπτεται άμεσα ή έμμεσα η ταυτότητά σας». Λαμβάνοντας υπόψη τις
αιτιολογικές σκέψεις 39 και 42 ΓΚΠΔ και τις Κατευθυντήριες Γραμμές σχετικά με τη
διαφάνεια βάσει του κανονισμού 2016/679 της Ομάδας Εργασίας του άρθρου 2911
προκύπτει ότι η παρασχεθείσα ενημέρωση («ανάρτηση στο διαδίκτυο των
φωτογραφιών σας») δεν προσδιορίζει υπό όρους διαφάνειας (άρθρο 5 παρ. 1 στοιχ.
α΄ ΓΚΠΔ) συγκεκριμένο σκοπό επεξεργασίας κατά το στάδιο της συλλογής των
δεδομένων, κατ΄ εφαρμογή των άρθρων 5 παρ. 1 στοιχ. β΄ και 13 παρ. 1 στοιχ. γ΄
ΓΚΠΔ. Επιπλέον, η ενημέρωση για «ανάρτηση στο διαδίκτυο» δεν δύναται να
ερμηνευθεί ότι προσδιορίζει σκοπό επεξεργασίας, αλλά περιγράφει το μέσο, και
μάλιστα μετά την λήψη τεχνικών ανωνυμοποίησης, για την επίτευξη του σκοπού
επεξεργασίας, ο οποίος, όπως προέκυψε από την υποβληθείσα στην Αρχή
καταγγελία, ήταν η προβολή του έργου του ιατρού στα μέσα κοινωνικής δικτύωσης
που διατηρεί στο facebook και το instagram για την πληροφόρηση του κοινού
(επιστημονικού και ευρέως) και την προσέλκυση πελατείας. Κατ΄ ακολουθία τούτων,
η Αρχή διαπιστώνει ότι η παρασχεθείσα ενημέρωση δεν πληρούσε τις απαιτήσεις
11 WP260 rev.01 από 11.04.2018 σκ. 29 και 36, διαθέσιμες στο σύνδεσμο
https://www.dpa.gr/sites/default/files/2020-05/wp260rev01_el.pdf
20
περί διαφανούς ενημέρωσης για τον ειδικότερο κατά τα ανωτέρω σκοπό
επεξεργασίας, σύμφωνα με τα οριζόμενα στις διατάξεις των άρθρων 5 παρ. 1 στοιχ.
α΄ και β΄ και 13 παρ. 1 στοιχ. γ΄ ΓΚΠΔ.
16. Η Αρχή, σε σχέση με τις διαπιστωθείσες παραβιάσεις των διατάξεων 5 παρ.
1 στοιχ. α΄ ΓΚΠΔ, κατ’ εφαρμογή των οριζόμενων στις διατάξεις των άρθρων 6 παρ. 1
στοιχ. α΄ και 9 παρ. 2 στοιχ. α΄ ΓΚΠΔ αναφορικά με την ανάρτηση προσωπικών
δεδομένων της καταγγέλλουσας παρά την ανάκληση της σχετικής συγκατάθεσής της,
καθώς και των διατάξεων των άρθρων 5 παρ. 1 στοιχ. α΄ και β΄ και 13 παρ. 1 στοιχ. γ΄
ΓΚΠΔ αναφορικά με την αδιαφανή ενημέρωση σχετικά με το σκοπό της ανάρτησης
των φωτογραφιών κατά το στάδιο της συλλογής των δεδομένων, κρίνει ότι συντρέχει
περίπτωση να ασκήσει τις εκ του άρθρου 58 παρ. 2 και 3 ΓΚΠΔ διορθωτικές και
συμβουλευτικές εξουσίες της.
Ειδικότερα, ως προς την πρώτη παραβίαση η Αρχή, λαμβάνοντας υπόψη, κατά
την αιτιολογική σκέψη 148 ΓΚΠΔ, το μη εσκεμμένο χαρακτήρα της παράβασης, λόγω
ιδίως της πλάνης του καταγγελλόμενου ιατρού σε σχέση με την δυνατότητα
προσδιορισμού της ταυτότητας της καταγγέλλουσας μέσω της ανάρτησης μέρους
του σώματός της στo instagram, καθώς και το γεγονός ότι προέβη άμεσα στην
αποανάρτηση των επίμαχων φωτογραφιών, δίνει εντολή, κατ’ άρθρο 58 παρ. 2 στοιχ.
δ΄ ΓΚΠΔ, στον καταγγελλόμενο ιατρό, ως υπεύθυνο επεξεργασίας, να τηρεί επίκαιρα
αρχεία των σχετικών δηλώσεων βουλήσεως, ως και τυχόν ανακλήσεών τους, για
επιμέρους πράξεις επεξεργασίας, ώστε σε συμμόρφωση με την αρχή της λογοδοσίας
του άρθρου 5 παρ. 2 ΓΚΠΔ, να τηρεί την νομιμότητα της επεξεργασίας.
Ως προς την δεύτερη παραβίαση, η Αρχή, λαμβάνοντας υπόψη, και την
αιτιολογική σκέψη 148 ΓΚΠΔ, αφενός, δίνει εντολή δυνάμει του άρθρου 58 παρ. 2
στοιχ. δ΄ ΓΚΠΔ, στον καταγγελλόμενο ιατρό, ως υπεύθυνο επεξεργασίας να
αναμορφώσει το σχετικό χωρίο στο «έντυπο ενημέρωσης & δήλωσης συναίνεσης
αναφορικά με τα προσωπικά δεδομένα» που χρησιμοποιεί και με το οποίο
ενημερώνει τους πελάτες – ασθενείς του για την διακριτή επεξεργασία που
πραγματοποιεί μέσω της ανάρτησης των φωτογραφιών τους, κατά τρόπο ώστε να
διατυπώνεται ξεκάθαρα ο σκοπός επεξεργασίας που επιδιώκεται με τον τρόπο που
περιγράφει (ανάρτηση στο διαδίκτυο). Αφετέρου η Αρχή, προσκαλεί, δυνάμει του
21
άρθρου 58 παρ.3 στοιχ. β΄ ΓΚΠΔ, τον Πανελλήνιο Ιατρικό Σύλλογο, να ενημερώσει
τους κατά τόπους Ιατρικούς Συλλόγους της χώρας, ώστε οι ιατροί – μέλη του να
αναμορφώσουν το έντυπο ενημέρωσης & δήλωσης συναίνεσης αναφορικά με τα
προσωπικά δεδομένα, στο μέτρο που περιλαμβάνεται αντίστοιχο με αυτό στην
εξεταζόμενη καταγγελία χωρίο, προσδιορίζοντας τον σκοπό επεξεργασίας που
επιδιώκεται μέσω της ανάρτησης φωτογραφιών των ασθενών στο διαδίκτυο.
ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ
Η Αρχή,
α) δίνει εντολή, κατ’ άρθρο 58 παρ. 2 στοιχ. δ΄ ΓΚΠΔ, στον καταγγελλόμενο ιατρό, ως
υπεύθυνο επεξεργασίας, να τηρεί επίκαιρα αρχεία των σχετικών συγκαταθέσεων, ως
και τυχόν ανακλήσεών τους, για επιμέρους πράξεις επεξεργασίας στο πλαίσιο της
παροχής ιατρικής φροντίδας στους ασθενείς του,
β) δίνει εντολή, δυνάμει του άρθρου 58 παρ. 2 στοιχ. δ΄ ΓΚΠΔ, στον καταγγελλόμενο
ιατρό, ως υπεύθυνο επεξεργασίας να αναμορφώσει το σχετικό χωρίο στο «έντυπο
ενημέρωσης & δήλωσης συναίνεσης αναφορικά με τα προσωπικά δεδομένα» που
χρησιμοποιεί και με το οποίο ενημερώνει τους πελάτες – ασθενείς του για την
διακριτή επεξεργασία που πραγματοποιεί μέσω της ανάρτησης των φωτογραφιών
τους κατά τρόπο ώστε να διατυπώνεται ξεκάθαρα ο σκοπός επεξεργασίας που
επιδιώκεται με τον τρόπο που περιγράφει,
γ) προσκαλεί, δυνάμει του άρθρου 58 παρ.3 στοιχ. β΄ ΓΚΠΔ, τον Πανελλήνιο Ιατρικό
Σύλλογο, να ενημερώσει τους κατά τόπους Ιατρικούς Συλλόγους της χώρας, ώστε οι
ιατροί – μέλη τους να αναμορφώσουν το έντυπο ενημέρωσης & δήλωσης συναίνεσης
αναφορικά με τα προσωπικά δεδομένα, στο μέτρο που περιλαμβάνεται αντίστοιχο
με αυτό στην εξεταζόμενη καταγγελία χωρίο, προσδιορίζοντας τον σκοπό
επεξεργασίας που επιδιώκεται μέσω της ανάρτησης φωτογραφιών των ασθενών στο
διαδίκτυο.
22
Ο Αναπληρωτής Πρόεδρος Η Γραμματέας
Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου
23