Σε εκ νέου εξέταση υποβληθείσας καταγγελίας εκλήθη να προχωρήσει η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, μετά την ακύρωση από το Συμβούλιο της Επικρατείας πράξης της, εκδοθείσας το 2021, με την οποία είχε αρχειοθετήσει την καταγγελία αυτή.

Η υπόθεση σχηματίστηκε μετά από καταγγελία ιδιώτη κατά ιδιωτικού πολυϊατρείου, με αφορμή περιστατικό που έλαβε χώρα κατά την εξυπηρέτησή της σε υποκατάστημα της εταιρείας. Σύμφωνα με τα στοιχεία του φακέλου, υπάλληλος του ταμείου, έχοντας πρόσβαση σε πληροφορίες που αντλήθηκαν από το πληροφοριακό σύστημα της επιχείρησης, αναφέρθηκε μεγαλοφώνως στην ιδιότητα της καταγγέλλουσας ως προσώπου εγγεγραμμένου στο Κέντρο Πιστοποίησης Αναπηρίας, απευθυνόμενη προς αυτήν ενώπιον τρίτων. Η καταγγέλλουσα υποστήριξε ότι η προφορική αυτή γνωστοποίηση ευαίσθητων δεδομένων υγείας έγινε χωρίς τη συγκατάθεσή της και χωρίς να είναι αναγκαία για την παροχή της υπηρεσίας, προκαλώντας της προσβολή και δυσφορία.

Η αποκάλυψη των δεδομένων υγείας αυτών ήταν εξαιρετικά ανεπιθύμητη για την καταγγέλλουσα, η οποία όπως ανέφερε στην καταγγελία της, προτιμούσε να πληρώνει την ίδια συμμετοχή ασθενή στις εξετάσεις της, παρά να γίνεται γνωστό ότι είναι πιστοποιημένη στο ΚΕΠΑ. Παρά ταύτα και σύμφωνα με το κείμενο της καταγγελίας της, «η ταμίας, η οποία είχε πρόσβαση σε ευαίσθητα προσωπικά δεδομένα μου, αφού είδε μέσα στο σύστημα ότι είμαι εγγεγραμμένη στο Κέντρο Πιστοποίησης Αναπηρίας (ΚΕΠΑ), μου ζήτησε μεγαλοφώνως μπροστά σε όλο τον κόσμο που βρισκόταν εκείνη τη στιγμή εντός του πολυϊατρείου σε αναμονή, να της δώσω το χαρτί της πιστοποίησής μου στο ΚΕΠΑ και αφού της είπα ότι δεν το έχω, αυτή άρχισε να μου υποδεικνύει ότι αφού είμαι εγγεγραμμένη στο ΚΕΠΑ δεν πρέπει να πληρώνω συμμετοχή ασθενή και να το λέω στον γιατρό που συνταγογραφεί ότι είμαι εγγεγραμμένη στο ΚΕΠΑ για να το γράφει, με αποτέλεσμα να με κάνει ρεζίλι σε όλον τον κόσμο και να με κάνει να αισθάνομαι πολύ άσχημα».

Η Αρχή, με την από 22-1-2021 πράξη της, έθεσε την καταγγελία στο αρχείο στηριζόμενη σε τρεις επάλληλες αιτιολογικές βάσεις. Κατά πρώτον, έκρινε ότι δεν είχε τηρηθεί προδικασία, καθώς η καταγγέλλουσα δεν είχε προηγουμένως απευθυνθεί στον υπεύθυνο επεξεργασίας για την άσκηση των δικαιωμάτων της. Κατά δεύτερον, θεώρησε ότι η επίμαχη προφορική ανακοίνωση δεν εμπίπτει στο πεδίο εφαρμογής της νομοθεσίας περί προστασίας δεδομένων, ενώ τέλος έκρινε την καταγγελία προδήλως αβάσιμη, θεωρώντας ότι δεν αποδείχθηκε παράνομη επεξεργασία.

Το Συμβούλιο της Επικρατείας ακύρωσε την πράξη αρχειοθέτησης, κρίνοντας ως μη νόμιμες και τις τρεις αιτιολογικές βάσεις.

Ως προς τη δεύτερη κρίση της Αρχής περί μη υπαγωγής της προφορικής ανακοίνωσης στο πεδίο εφαρμογής του ΓΚΠΔ, το Δικαστήριο επικαλέστηκε τη νομολογία του Δικαστηρίου της Ευρωπαϊκής Ένωσης, που δημοσιεύτηκε μετά την έκδοση της προσβαλλόμενης πράξης (υπόθεση Endemol Shine Finland Oy, C-740/22), σύμφωνα με την οποία η έννοια της «επεξεργασίας» καλύπτει κάθε πράξη κοινολόγησης δεδομένων προσωπικού χαρακτήρα, ανεξαρτήτως μορφής. Όπως ειδικότερα, έγινε δεκτό και η προφορική γνωστοποίηση συνιστά επεξεργασία, εφόσον τα δεδομένα προέρχονται από σύστημα αρχειοθέτησης, όπως συνέβη στην κρινόμενη περίπτωση, όπου η υπάλληλος αντλούσε πληροφορίες από το πληροφοριακό σύστημα της επιχείρησης.

Περαιτέρω και ως προς την τρίτη αιτιολογική βάση της απόρριψης, το Δικαστήριο έκρινε ότι η Αρχή δεν εξέτασε το πραγματικό αντικείμενο της καταγγελίας. Ενώ η ΑΠΔΠΧ επικέντρωσε την κρίση της στη νομιμότητα της επεξεργασίας κατά την εκτέλεση του παραπεμπτικού και στη σχέση της με τη σύμβαση παροχής υπηρεσιών, η καταγγελία αφορούσε ειδικά την προφορική κοινολόγηση δεδομένων υγείας σε τρίτους. Κατά το Δικαστήριο, η Αρχή όφειλε να διερευνήσει αν η συγκεκριμένη πράξη επεξεργασίας ήταν σύμφωνη με τις αρχές του άρθρου 5 ΓΚΠΔ και αν πληρούσε τις προϋποθέσεις του άρθρου 9 για την επεξεργασία δεδομένων υγείας, ιδίως ως προς την αναγκαιότητα και την ελαχιστοποίηση των δεδομένων. Η παράλειψη αυτή οδήγησε σε πλημμελή αιτιολογία της κρίσης περί προδήλως αβάσιμης καταγγελίας.

Ιδιαίτερο ενδιαφέρον παρουσιάζει η τρίτη αιτιολογική βάση της προσβαλλόμενης πράξης, όπου το Δικαστήριο ανέτρεψε την πρακτική της Αρχής ως προς τη δυνατότητα απόρριψης καταγγελίας ως απαράδεκτης λόγω μη τήρησης προδικασίας.

Στην πράξη της αυτή, η Αρχή είχε καταλήξει ότι «δεν τηρήθηκε η προβλεπόμενη προδικασία (το υποκείμενο των δεδομένων δεν έχει απευθυνθεί προηγουμένως με τον προσήκοντα τρόπο στον υπεύθυνο επεξεργασίας). Η καταγγέλλουσα υποβάλλει καταγγελία στην Αρχή πρόωρα, ήτοι χωρίς να έχει απευθυνθεί προηγουμένως προς την καταγγελλόμενη ... για την άσκηση του δικαιώματος ενημέρωσης κατά τις διατάξεις των άρθρων 12-14 του ΓΚΠΔ, καθώς το αίτημα της καταγγέλλουσας γνωστοποιείται το πρώτον στην καταγγελλόμενη με την κοινοποίηση της υποβαλλόμενης καταγγελίας στην Αρχή».

Η κρίση και η πρακτική αυτή βρήκε κατηγορηματικά αντίθετο το Δικαστήριο, το οποίο παρατήρησε πως πουθενά δεν προβλέπεται μια τέτοια προδικασία, ούτε και τίθεται ως προϋπόθεση για την εξέταση καταγγελίας η προηγούμενη επικοινωνία του υποκειμένου των δεδομένων με τον υπεύθυνο επεξεργασίας.

Σύμφωνα με το Συμβούλιο της Επικρατείας, «ωστόσο, από τον ΓΚΠΔ αλλά και την εθνική νομοθεσία δεν προβλέπεται η υποχρέωση τήρησης συγκεκριμένης προδικασίας για την υποβολή από το υποκείμενο των δεδομένων στην ΑΠΔΠΧ καταγγελίας λόγω παράνομης επεξεργασίας δεδομένων προσωπικού χαρακτήρα που το αφορούν ούτε απαιτείται το υποκείμενο των δεδομένων να έχει προηγουμένως απευθυνθεί στον υπεύθυνο επεξεργασίας. Διαφορετική είναι η περίπτωση που το υποκείμενο των δεδομένων παραπονείται για παράβαση της υποχρέωσης ενημέρωσής του ή του δικαιώματος πρόσβασής του στα τηρούμενα δεδομένα του, περί των οποίων, κατά τα εκτεθέντα στις προηγούμενες σκέψεις, δεν πρόκειται εν προκειμένω. Συνεπώς, η απόρριψη της καταγγελίας της αιτούσας ως προώρως ασκηθείσας επειδή η ίδια δεν είχε προηγουμένως απευθυνθεί στην παρεμβαίνουσα ως υπεύθυνη επεξεργασίας είναι μη νόμιμη, όπως βασίμως προβάλλεται με την κρινόμενη αίτηση».

Με βάση τα ανωτέρω, το Δικαστήριο έκρινε ότι η πράξη αρχειοθέτησης είναι μη νόμιμη στο σύνολό της, ακύρωσε την προσβαλλόμενη πράξη και ανέπεμψε την υπόθεση στην Αρχή για τη νόμιμη εξέταση της καταγγελίας.