Προστασία Προσωπικών Δεδομένων στην εποχή του Κορωνοϊού

Το δικαίωμα προστασίας των δεδομένων προσωπικού χαρακτήρα κατά την πανδημία του κορωνοϊού, με τον τρόπο αντιμετώπισης της τελευταίας από τις δημόσιες αρχές, τις ιδιωτικές επιχειρήσεις και τους υπεύθυνους επεξεργασίας εν γένει, που καθιστά απαραίτητη την λήψη δραστικών μέτρων, παρατηρούμε καθημερινά ότι περιορίζεται σημαντικά για λόγους δημοσίου συμφέροντος και συγκεκριμένα για την διαφύλαξη ζωτικού συμφέροντος των υποκειμένων των δεδομένων, και δη της δημόσιας υγείας.

Το δικαίωμα στην προστασία προσωπικών δεδομένων δεν είναι απόλυτο και πρέπει να σταθμίζεται σε σχέση με άλλα θεμελιώδη δικαιώματα σύμφωνα με την αρχή της αναλογικότητας. Γίνεται, συνεπώς, στάθμιση ανάμεσα στην προστασία της δημόσιας υγείας (προστασία του δημοσίου συμφέροντος) και  το δικαίωμα προστασίας δεδομένων προσωπικού χαρακτήρα. Σύμφωνα με αυτή, πρέπει να γίνεται η απολύτως αναγκαία επεξεργασία των δεδομένων προσωπικού χαρακτήρα, με την επιφύλαξη ότι τηρούνται οι νομικές βάσεις και οι βασικές αρχές που εξασφαλίζουν την σύννομη επεξεργασία και την προστασία των δικαιωμάτων των υποκειμένων τους.

Η κατάσταση της υγείας ενός φυσικού προσώπου, η ιχνηλάτηση των κρουσμάτων και των επαφών του, η επεξεργασία των δεδομένων προσωπικού χαρακτήρα από τις Δημόσιες Αρχές ως απαραίτητη για λόγους δημοσίου συμφέροντος στον τομέα της δημόσιας υγείας, η προστασία των προσωπικών δεδομένων και η λήψη μέτρων στον ιδιωτικό τομέα στα πλαίσια της εργασιακής σχέσης, η επεξεργασία προσωπικών δεδομένων θανόντων από Κορωνοϊό, η ενημέρωση από τα ΜΜΕ, η οικειοθελής δημοσιοποίηση της κατάστασης υγείας και η γνωστοποίηση από τους υπεύθυνους επεξεργασίας σε τρίτους της κατάστασης υγείας των υποκειμένων δεδομένων, η χρησιμοποίηση κωδικών ηλεκτρονικής Τραπεζικής στην διαδικτυακή πύλη gov.gr για την ισχυρότερη ταυτοποίηση των πολιτών είναι μερικά από τα θέματα που αντιμετωπίζουμε πλέον καθημερινά στις κάθε είδους συναλλαγές μας.

Οι πληροφορίες αναφορικά με την κατάσταση της υγείας ενός φυσικού προσώπου, όπως η κατάσταση κατονομαζόμενου ή ταυτοποιήσιμου προσώπου ως νοσούντος ή μη, η διαπίστωση ενδείξεων ασθένειας (βήχας, θερμοκρασία ανώτερη της φυσιολογικής, καταρροή), η κατ’ οίκον παραμονή λόγω προσβολής από την ασθένεια αποτελούν προσωπικά δεδομένα που αφορούν την υγεία, δηλαδή ευαίσθητα προσωπικά δεδομένα, τα οποία υπόκεινται σε αυστηρό καθεστώς προστασίας. Πληροφορίες όμως, εάν το υποκείμενο των δεδομένων ή οικείος ή συνεργάτης αυτού ταξίδεψε πρόσφατα σε κράτος με εκτεταμένη διάδοση του κορωνοϊού, ή εάν οικείος ή συνεργάτης του είναι ασθενής ή έχει προσβληθεί από τον κορωνοϊό δεν αφορούν την υγεία του συγκεκριμένου υποκειμένου και συνεπώς δεν αποτελούν ευαίσθητα αλλά απλά προσωπικά δεδομένα.

Αναφορικά με την ιχνηλάτηση των κρουσμάτων λόγω κορωνοϊού, σύμφωνα με το άρθρο 6 παρ. 1 ε του ΓΚΠΔ, η επεξεργασία προσωπικών δεδομένων, επιτρέπεται,  όταν είναι απαραίτητη για λόγους δημοσίου συμφέροντος. Όταν πρόκειται να πραγματοποιηθεί επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα, όπως τα δεδομένα υγείας (εν προκειμένω το γεγονός ότι κάποιος είναι θετικός στον ιό ή φορέας του), αυτή είναι δυνατή όταν είναι απαραίτητη για λόγους ουσιώδους δημοσίου συμφέροντος.

Ο Εθνικός Οργανισμός Δημόσιας Υγείας (Ε.Ο.Δ.Υ.) παρέχει προς τη Γενική Γραμματεία Πολιτικής Προστασίας (Γ.Γ.Π.Π.) δεδομένα προσωπικού χαρακτήρα πολιτών επιδημιολογικού συσχετισμού και ειδικότερα: α) το ονοματεπώνυμο, β) το φύλο, γ) την ηλικία, δ) το τηλέφωνο επικοινωνίας, ε) την ακριβή διεύθυνση κατοικίας (οδός-αριθμός-δήμος-ταχυδρομικός κώδικας), στ) την εισαγωγή ή μη σε νοσοκομείο, ζ) το νοσοκομείο εισαγωγής και η) τη διεύθυνση προσωρινού περιορισμού (αν δεν είναι ίδια με τη διεύθυνση κατοικίας).» Σκοπός της συγκεκριμένης επεξεργασίας είναι η προετοιμασία και ο συντονισμός μεταξύ του Ε.Ο.Δ.Υ. και της Γ.Γ.Π.Π. για την αντιμετώπιση των συνεπειών του κορωνοϊού COVID-19 και την καταγραφή της διασποράς των κρουσμάτων για λόγους προστασίας της δημόσιας υγείας. Τα δεδομένα αυτά είναι ψευδωνυμοποιημένα και, μόνο αν απαιτηθεί επικοινωνία με τα υποκείμενα, μπορεί να αρθεί η ψευδωνυμοποίηση.

Στο μέτρο που διενεργείται από τις αρμόδιες δημόσιες αρχές επεξεργασία δεδομένων προσωπικού χαρακτήρα για την λήψη των αναγκαίων μέτρων εν γένει, σύμφωνα με τις οικείες Πράξεις Νομοθετικού Περιεχομένου, με σκοπό την αποφυγή κινδύνου εμφάνισης και διάδοσης του κορωνοϊού, που ενδέχεται να έχουν σοβαρές επιπτώσεις για την δημόσια υγεία, εφαρμόζεται ο Γενικός Κανονισμός Προστασίας Δεδομένων. Συγκεκριμένα, (άρθρα 6 παρ. 1 εδ. γ’, δ’, ε’ και 9 παρ. 2 εδ. β’, ε’, η’ και θ’ του Κανονισμού), η επεξεργασία των δεδομένων είναι απαραίτητη για την συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας, για την διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων, για την εκπλήρωση καθήκοντος που εκτελείται για το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας, η επεξεργασία αφορά δεδομένα προσωπικού χαρακτήρα τα οποία έχουν προδήλως δημοσιοποιηθεί από το υποκείμενο των δεδομένων, η επεξεργασία είναι απαραίτητη για σκοπούς προληπτικής ή επαγγελματικής ιατρικής εκτίμησης της ικανότητας προς εργασίας του εργαζομένου.

Στον ιδιωτικό τομέα, ο εργοδότης υποχρεούται να εξασφαλίζει την υγεία και την ασφάλεια των εργαζομένων λαμβάνοντας τα αναγκαία προστατευτικά μέτρα προς αποφυγή επέλευσης σοβαρού, άμεσου και αναπόφευκτου κινδύνου, εγγυώμενος το ασφαλές και υγιές περιβάλλον εργασίας, ενώ και οι εργαζόμενοι υποχρεούνται να εφαρμόζουν τους κανόνες υγείας και ασφάλειας των ιδίων και ατόμων που επηρεάζονται από πράξεις ή παραλείψεις τους (αρ. 42, 45, 49 Ν. 3850/2010).

Οι εργοδότες νομιμοποιούνται να επεξεργάζονται δεδομένα για την προστασία της υγείας των εργαζομένων και των ιδίων τηρουμένων των διατάξεων του άρθρου 5 του ΓΚΠΔ, εφόσον δηλαδή α) είναι σύννομη και θεμιτή η επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς, γ) εφόσον είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων»), δ) εφόσον είναι ακριβή και, όταν είναι αναγκαίο, επικαιροποιούνται, ε) εφόσον διατηρούνται υπό μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων των δεδομένων μόνο για το διάστημα που απαιτείται για τους σκοπούς της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα («περιορισμός της περιόδου αποθήκευσης»), στ) εφόσον υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»). Και πάντα υπό τις οδηγίες των ερμοδίων αρχών σύμφωνα με τις νομικές βάσεις των διατάξεων της προηγούμενης παραγράφου.

Ως εκ τούτου, πρέπει να υποδειχθεί στους εργαζόμενους η υποχρέωσή τους να ενημερώνουν τον εργοδότη π.χ. για τυχόν αδιαθεσία ή ασθένεια, τυχόν παραμονή ή τον σκοπό τους να ταξιδέψουν σε περιοχές εκτεθειμένες στον ιό. Ο έλεγχος εισόδου στο χώρο εργασίας με θερμικές κάμερες είναι ένα μέτρο δραστικό και προσωρινό που έχει ως σκοπό την αποτροπή εισόδου στο χώρο εργασίας ατόμων με υψηλή θερμοκρασία, τα οποία βεβαίως δεν είναι δεδομένο ότι είναι θετικοί στον κορωνοϊό. Το μέτρο αυτό κρίνεται κατάλληλο και αποτελεσματικό για την αποτροπή εξαπλώσεως του ιού· ωστόσο, ιδιαίτερη μέριμνα θα πρέπει να αποδίδεται στον τρόπο καταγραφής των σχετικών δεδομένων. To μέτρο ενδείκνυται κατ’ αρχήν για τους μη εργαζομένους εισερχομένους σε χώρους εργασίας. Κατ’ εξαίρεση, μπορεί να λάβει χώρα και για τους εργαζομένους υπό πολύ αυστηρές προϋποθέσεις για περιορισμένο χρονικό διάστημα εξάρσεως της νόσου.

Τονίζεται ότι δεν θα πρέπει να γίνεται δημοσιοποίηση των στοιχείων του εργαζομένου που παρουσιάζει υψηλή θερμοκρασία και η επεξεργασία των σχετικών δεδομένων θα πρέπει να λαμβάνει χώρα από ειδικά εξουσιοδοτημένο προσωπικό που υπάγεται στον ιατρό εργασίας. O εργοδότης δεν θα πρέπει να διαβιβάσει σχετική πληροφορία υψηλής θερμοκρασίας σε άλλους εργαζομένους.

Η επεξεργασία προσωπικών δεδομένων θανόντων δεν εμπίπτει καταρχήν στο προστατευτικό πεδίο των κανόνων προστασίας δεδομένων προσωπικού χαρακτήρα. Επειδή όμως η αποκάλυψη των στοιχείων ταυτοποίησης θανόντων από τον κορωνοϊό ενδέχεται να οδηγεί σε έμμεση ταυτοποίηση ζώντων φυσικών προσώπων που είχαν έθει σε επαφή ή υπήρξαν οικείοι του θανόντος, πρέπει η επεξεργασία να γίνεται με τις γενικές αρχές του άρθρου 5 παρ. 1 και 6 του ΓΚΠΔ.

Η οικειοθελής δημοσιοποίηση της κατάστασης υγείας των νοσούντων από κορωνοϊό αίρει την απαγόρευση επεξεργασίας των προσωπικών δεδομένων σύμφωνα με το άρθρο 9 παρ. 2 εδ. ε’, με τον όρο της τήρησης των βασικών αρχών του άρθρου 5 ΓΚΠΔ, όπως αναφέρθηκαν ανωτέρω.

Η δε γνωστοποίηση από τους υπεύθυνους επεξεργασίας σε τρίτους πληροφοριών για την κατάσταση της υγείας των υποκειμένων των δεδομένων, δεν είναι επιτρεπτή εάν δημιουργεί κλίμα προκατάληψης και στιγματισμού, επιπλέον δε ενδέχεται να λειτουργεί και αποτρεπυικά στην τήρηση των μέτρων που ανακοινώθηκαν από τις δημόσιες αρχές με αποτέλεσμα να αντιστρατεύεται τελικά την αποτελεσματικότητά τους.

Αναφορικά με την ενημέρωση και επεξεργασία δεδομένων προσωπικού χαρακτήρα για δημοσιογραφικούς σκοπούς, θα πρέπει πρωταρχικά να αξιολογείται η αναγκαιότητα αποκάλυψης στοιχείων ταυτοποίησης του υποκειμένου, δεδομένου ότι οι αρμόδιες αρχές επεξεργάζονται δεδομένα προσωπικού χαρακτήρα πολιτών επιδημιολογικού συσχετισμού, κατόπιν ψευδωνιμοποίησης και λήψης αναγκαίων τεχνικών και οργανωτικών μέτρων ασφαλείας. Δεν θα πρέπει να γίνεται ταυτοποίηση του ασθενούς, που μπορεί να οδηγήσει στον μετέπειτα στιγματισμό του. Θα πρέπει τα ΜΜΕ να περιορίζονται σε πληροφορίες γεωγραφικού προσδιορισμού, χωρίς να αναφέρεται ο τόπος εργασίας, κατοικίας ή κάτι άλλο και χωρίς να γίνεται αναφορά σε συναφή κρούσματα. Το κρούσμα δεν θα πρέπει να φωτογραφίζεται μέσα από την ενημέρωση.

Τελευταία παρατηρήθηκε ότι προκειμένου να διασφαλιστεί πλήρως η έγκυρη ταυτοποίηση των χρηστών, το υπουργείο Ψηφιακής Πολιτικής ζήτησε τη συνδρομή των τραπεζών, ώστε να χρησιμοποιούνται οι κωδικοί e-banking. Τους κωδικούς ηλεκτρονικής τραπεζικής, οι οποίοι αποτελούν προσωπικά δεδομένα που καταχωρούνται στο πεδίο της ιστοσελίδας της εκάστοτε τράπεζας για συγκεκριμένους σκοπούς, θα πρέπει να καταχωρούν πλέον όσοι συνδέονται στο gov.gr, τη διαδικτυακή πύλη εξυπηρέτησης των πολιτών, προκειμένου να εκδώσουν εξουσιοδότηση ή υπεύθυνη δήλωση. «Προκειμένου να διασφαλιστεί πλήρως η έγκυρη ταυτοποίηση των χρηστών, το υπουργείο Ψηφιακής Πολιτικής ζήτησε τη συνδρομή των τραπεζών, ώστε να χρησιμοποιούνται οι κωδικοί e-banking. Με τον τρόπο αυτό, εξασφαλίζεται πολύ ισχυρότερη ταυτοποίηση των πολιτών», αναφέρει υψηλόβαθμο τραπεζικό στέλεχος.

Συγκεκριμένα, ζητείται από τους πολίτες εκτός από τους κωδικούς του taxinet.gr, να καταχωρήσουν και τα στοιχεία ebanking -το username και τον κωδικό χρήστη που χρησιμοποιούν για να συνδεθούν στο λογαριασμό τους σε συγκεκριμένη τράπεζα, χωρίς ωστόσο να υπάρχει κάποια ενημέρωση στους πολίτες για τη νομική βάση αυτής της λειτουργίας, ενώ από την άλλη πλευρά οι ίδιες οι τράπεζες προτρέπουν τους πελάτες τους να μην εμπιστεύονται πουθενά και να μην γνωστοποιούν τα στοιχεία σύνδεσης του ebanking, πέραν της ίδιας της τράπεζας, δημιουργώντας σύγχυση και έλλειψη εμπιστοσύνης στους πολίτες.

ΠΗΓΕΣ : dpa, syntagma watch, insider