ΑΠΟΦΑΣΗ
Παράλειψη υποβολής Γνωστοποιήσεων από τον υπεύθυνο επεξεργασίας της Κλινικής Ζωοδόχου Πηγής
Ο περί Επεξεργασίας Δεδομένων Προσωπικού Χαρακτήρα (Προστασία του Ατόμου) Νόμος του 2001 δημοσιεύθηκε στην Επίσημη Εφημερίδα της Δημοκρατίας στις 23/11/2001 (στη συνέχεια θα αναφέρεται ως «ο Νόμος»).
Το άρθρο 7(1) του Νόμου προβλέπει ότι ο υπεύθυνος επεξεργασίας υποχρεούται να γνωστοποιήσει εγγράφως στον Επίτροπο Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (που στο εξής θα αναφέρεται ως «ο Επίτροπος») τη σύσταση και λειτουργία αρχείου ή την έναρξη επεξεργασίας.
«Υπεύθυνος επεξεργασίας» ορίζεται στο άρθρο 2 του Νόμου, ως το πρόσωπο που καθορίζει το σκοπό και τον τρόπο επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Υπεύθυνος επεξεργασίας μπορεί να είναι νομικό ή φυσικό πρόσωπο.
Το εδάφιο (6) του άρθρου 7 του Νόμου προβλέπει για τις περιπτώσεις όπου ο υπεύθυνος επεξεργασίας απαλλάσσεται από την υποχρέωση υποβολής Γνωστοποίησης.
«Ο υπεύθυνος επεξεργασίας απαλλάσσεται από την υποχρέωση γνωστοποίησης δυνάμει του εδαφίου (1) στις περιπτώσεις όπου:-
(α) Η επεξεργασία πραγματοποιείται αποκλειστικά για σκοπούς που συνδέονται άμεσα με τη σχέση εργασίας ή έργου και είναι αναγκαία για την εκπλήρωση υποχρέωσης που επιβάλλει ο νόμος ή για την εκτέλεση της σύμβασης και το υποκείμενο των δεδομένων έχει προηγουμένως ενημερωθεί,
(β) η επεξεργασία αφορά πελάτες ή προμηθευτές, του υποκειμένου των δεδομένων εφόσον τα δεδομένα δε διαβιβάζονται ούτε κοινοποιούνται σε τρίτους.
Για την εφαρμογή της παρούσας διάταξης, τα δικαστήρια και οι δημόσιες αρχές δε λογίζονται ως τρίτοι, εφόσον τη διαβίβαση ή κοινοποίηση επιβάλλει νόμος ή δικαστική απόφαση.
Δεν απαλλάσσονται από την υποχρέωση γνωστοποίησης οι ασφαλιστικές εταιρείες για όλους τους κλάδους ασφάλισης, οι φαρμακευτικές εταιρείες εμπορίας πληροφοριών και τα χρηματοπιστωτικά ιδρύματα, όπως οι τράπεζες και οι εταιρείες έκδοσης πιστωτικών καρτών,
(γ) η επεξεργασία γίνεται από ίδρυμα, σωματείο, εταιρεία ή πολιτικά κόμματα και αφορά δεδομένα των μελών τους, εφόσον τα μέλη αυτά έχουν δώσει τη συγκατάθεσή τους και τα δεδομένα δε διαβιβάζονται ούτε κοινοποιούνται σε τρίτους.
Δε λογίζονται τρίτοι τα μέλη εφόσον η διαβίβαση γίνεται προς αυτούς για τους σκοπούς των πιο πάνω ιδρυμάτων, σωματείων, εταιρειών ή πολιτικών κομμάτων, ούτε τα δικαστήρια και οι δημόσιες αρχές, εφόσον τη διαβίβαση επιβάλλει νόμος ή δικαστική απόφαση,
(δ) η επεξεργασία γίνεται από ιατρούς ή άλλα πρόσωπα που παρέχουν υπηρεσίες υγείας και αφορά ιατρικά δεδομένα, εφόσον ο υπεύθυνος επεξεργασίας δεσμεύεται από το ιατρικό απόρρητο ή άλλο απόρρητο που προβλέπει νόμος ή κώδικας δεοντολογίας και τα δεδομένα δε διαβιβάζονται ούτε κοινοποιούνται σε τρίτους.
Δεν εμπίπτουν στην απαλλαγή της παρούσας διάταξης τα πρόσωπα που παρέχουν υπηρεσίες υγείας, όπως κλινικές, νοσοκομεία, κέντρα υγείας, κέντρα αποθεραπείας και αποτοξίνωσης, ασφαλιστικά ταμεία και ασφαλιστικές εταιρείες, καθώς και οι υπεύθυνοι επεξεργασίας δεδομένων προσωπικού χαρακτήρα όταν η επεξεργασία διεξάγεται στο πλαίσιο προγραμμάτων τηλεϊατρικής ή παροχής ιατρικών υπηρεσιών μέσω δικτύου,
(ε) η επεξεργασία γίνεται από δικηγόρους και αφορά την παροχή νομικών υπηρεσιών προς πελάτες τους, εφόσον ο υπεύθυνος επεξεργασίας δεσμεύεται από υποχρέωση απορρήτου που προβλέπει νόμος και τα δεδομένα δε διαβιβάζονται ούτε κοινοποιούνται σε τρίτους, εκτός από τις περιπτώσεις που αυτό είναι αναγκαίο και συνδέεται άμεσα με την εκπλήρωση εντολής του πελάτη.»
Ο Νόμος προβλέπει επίσης, στο άρθρο 28(1) αυτού, ότι οι υπεύθυνοι επεξεργασίας αρχείων που λειτουργούσαν κατά την έναρξη ισχύος του Νόμου καθώς και υπεύθυνοι επεξεργασίας που εκτελούσαν επεξεργασία κατά την έναρξη ισχύος του, υποχρεούνται να υποβάλουν την από το άρθρο 7 προβλεπόμενη γνωστοποίηση μέσα σε έξι μήνες από το διορισμό του Επιτρόπου.
Ο Επίτροπος διορίστηκε από το Υπουργικό Συμβούλιο από την 1η Μαρτίου 2002.
Ο Νόμος εφαρμόζεται στην εν όλο ή εν μέρει αυτοματοποιημένη επεξεργασία προσωπικών δεδομένων, καθώς και στη μη αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα που περιλαμβάνονται ή πρόκειται να περιληφθούν σε αρχείο.
Στις 29 Μαΐου 2009 απέστειλα στο Διευθυντή της Κλινικής Ζωοδόχου Πηγής, επιστολή με Αρ. Φακ. 21.03.050 με την οποία, μεταξύ άλλων, τον πληροφορούσα για την υποχρέωση υποβολής Γνωστοποιήσεων.
Επειδή δεν υπέβαλε οποιαδήποτε Γνωστοποίηση, του απέστειλα σχετική επιστολή στις 19 Αυγούστου 2009, στην οποία δεν υπήρξε ανταπόκριση του.
Στις 24 Σεπτεμβρίου, του απέστειλα ταυτάριθμη επιστολή, στην οποία ανέφερα ότι εκ πρώτης όψεως φαίνεται ότι υπήρξε παράβαση του άρθρου 7 του Νόμου και τον καλούσα όπως μέχρι τις 20 0κτωβρίου το αργότερο, υποβάλει τα σχόλια/απόψεις/θέση του, στην οποία και πάλι δεν υπήρξε ανταπόκριση του.
Στις 22 Οκτωβρίου, του απέστειλα ταυτάριθμη επιστολή, με την οποία τον καλούσα όπως μέχρι τις 11 Νοεμβρίου το αργότερο μου αναφέρει οποιοδήποτε λόγο για τον οποίο πιστεύει ότι δεν πρέπει να του επιβληθεί οποιαδήποτε από τις ποινές/κυρώσεις που προβλέπονται στο άρθρο 25 του Νόμου για την παράβαση της εκ του άρθρου 7 του Νόμου υποχρέωσης του, στην οποία και πάλι δεν υπήρξε ανταπόκριση του.
Η υποβολή της Γνωστοποίησης στόχο έχει τη διασφάλιση της δημοσιότητας των σκοπών της επεξεργασίας και των κύριων χαρακτηριστικών της, δεδομένου ότι οι Γνωστοποιήσεις που υποβάλλονται στην Επίτροπο περιλαμβάνονται/καταχωρούνται στο Μητρώο Αρχείων και Επεξεργασιών που τηρείται δυνάμει του άρθρου 24(1) του Νόμου και το οποίο είναι προσβάσιμο στο κοινό. Αποτελεί επίσης και την κύρια πηγή των πληροφοριών με βάση τις οποίες διαπιστώνεται αν η συγκεκριμένη επεξεργασία είναι νόμιμη και σύμφωνη με τις διατάξεις του Νόμου.
Μέχρι σήμερα δεν έχει υποβληθεί οποιαδήποτε Γνωστοποίηση.
Το άρθρο 25 του Νόμου προβλέπει ότι ο Επίτροπος μπορεί να επιβάλει στους υπεύθυνους επεξεργασίας τις διοικητικές κυρώσεις που αναφέρονται στο εδάφιο (1) αυτού για παράβαση των υποχρεώσεών τους που απορρέουν από το Νόμο.
Το εδάφιο (2) του ίδιου άρθρου προβλέπει ότι οι διοικητικές κυρώσεις που αναφέρονται στις παραγράφους (β), (γ), (δ) και (ε) του εδαφίου (1) επιβάλλονται ύστερα από ακρόαση του υπεύθυνου επεξεργασίας ή εκπροσώπου του και είναι ανάλογες με τη βαρύτητα της παράβασης που καταλογίζεται.
Με βάση τα πιο πάνω, θεωρώ ότι παρασχέθηκε το δικαίωμα προηγούμενης ακρόασης στον υπεύθυνο επεξεργασίας, χωρίς να δώσει οποιαδήποτε εξήγηση για την παράλειψη του για υποβολή Γνωστοποιήσεων για τη σύσταση και λειτουργία αρχείων ή την έναρξη επεξεργασίας στην Κλινική Ζωοδόχου Πηγής, γι’ αυτό με βάση την αρμοδιότητα που μου παρέχουν τα άρθρα 23(στ) και 25(1)(α)(β) του Νόμου, του επιβάλω τη χρηματική ποινή των €1000,00 (Χιλίων ευρώ) και προειδοποίηση με αποκλειστική προθεσμία τριών βδομάδων για άρση της παράβασης της εκ του άρθρου 7 του Νόμου υποχρέωσης του για την υποβολή των Γνωστοποιήσεων.
Γούλλα Φράγκου
Επίτροπος Προστασίας Δεδομένων
Προσωπικού Χαρακτήρα.
29 Ιανουαρίου 2010