Διοικητικό πρόστιμο ύψους €46.500 επέβαλε στον Οργανισμό Κρατικών Υπηρεσιών Υγείας (ΟΚΥπΥ) η Επίτροπος Προστασίας Προσωπικών Δεδομένων, Ειρήνη Λοϊζιδου Νικολαϊδου, για την απώλεια ιατρικών φακέλων ασθενών και εντύπων εγγραφής ασθενών στο Τμήμα Ατυχημάτων και Επειγόντων Περιστατικών.
Όπως αναφέρει στην απόφαση της η Επίτροπος που δημοσιοποίησε σήμερα στην ιστοσελίδα της, ενώπιον του Γραφείου της υποβλήθηκαν ξεχωριστά 13 γνωστοποιήσεις περιστατικών παραβίασης δεδομένων προσωπικού χαρακτήρα από τον ΟΚΥπΥ, ο οποίος, με βάση την κείμενη νομοθεσία ήταν υποχρεωμένος να ενημερώσει καθώς αφορά ευαίσθητα προσωπικά δεδομένα.
Από τις 13 γνωστοποιήσεις, οι 10 αφορούσαν σε απώλεια του ιατρικού φακέλου ασθενούς και οι τρεις σε απώλεια του εντύπου εγγραφής του Τμήματος Ατυχημάτων και Επειγόντων Περιστατικών (ΤΑΕΠ). Το κάθε περιστατικό αφορούσε σε διαφορετικό ασθενή.
Σύμφωνα με την Επίτροπο, το κάθε περιστατικό συνιστούσε σε παραβίαση της διαθεσιμότητας δεδομένων αφού επηρεάστηκε και απωλέσθηκε μια κρίσιμη υπηρεσία προς τον εκάστοτε ασθενή. Επισημαίνοντας, παράλληλα, τα εξής: «Αποτελεί ευθύνη του Οργανισμού, ως υπεύθυνου επεξεργασίας, να λαμβάνει όλα εκείνα τα μέτρα, με τα οποία να διασφαλίζεται ότι δεν θα προκύψει παραβίαση των δεδομένων των ασθενών του. Εντούτοις, ως διαφάνηκε σε κάθε περιστατικό, το οποίο επισυνέβη σε διαφορετικές συνθήκες και περιστάσεις, δεν ήταν σε εφαρμογή τέτοια μέτρα, τα οποία θα απέτρεπαν τη μη εύρεση και/ή την απώλεια του φακέλου ή του εντύπου ΤΑΕΠ των ασθενών. Πέραν τούτου, η διαδικασία διαχείρισης του φακέλου ασθενούς, η οποία ήταν σε εφαρμογή κατά τον ουσιώδη χρόνο εκάστου περιστατικού και γενικότερα όλα τα μέτρα τα οποία ήταν σε εφαρμογή, δεν μπορέσαν να αποτρέψουν την παραβίαση, δηλαδή την απώλεια των φακέλων ή των εντύπων ΤΑΕΠ».
Οι παραβιάσεις
Από την έρευνα του κάθε περιστατικού, η Επίτροπος διαπίστωσε τα ακόλουθα:
1. Παραβίαση του άρθρου 5(1)(στ) του Κανονισμού, αφού τα δεδομένα των ασθενών δεν υποβλήθηκαν ή δεν υποβάλλονταν σε επεξεργασία κατά τρόπο που να εγγυάται την ενδεδειγμένη ασφάλειά τους, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων.
2. Παραβίαση του άρθρου 24(1) του Κανονισμού, αφού ο Οργανισμός δεν εφάρμοσε κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζει και να μπορεί να αποδεικνύει ότι η επεξεργασία διενεργήθηκε σύμφωνα με τον Κανονισμό.
3. Παραβίαση του άρθρου 32(1) του Κανονισμού, αφού ο Οργανισμός δεν εφάρμοσε κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίσει το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων.
4. Σε δύο περιστατικά απώλειας φακέλων, η Επίτροπος διαπίστωσε παραβίαση του άρθρου 33(1) του Κανονισμού, αφού η γνωστοποίηση δεν υποβλήθηκε στο Γραφείο της εντός του χρονικού πλαισίου που ορίζει το εν λόγω άρθρο.
Όπως σημειώνει στην απόφαση της η Επίτροπος, ο ΟΚΥπΥ υιοθέτησε αμέσως τις υποδείξεις της και έλαβε μέτρα για να μην επαναληφθούν παρόμοια περιστατικά στο μέλλον.
