Όροι για τη συλλογή και επεξεργασία από την αιτούσα, μέσω ερωτηματολογίων, απλών και ευαίσθητων δεδομένων προσωπικού χαρακτήρα των ενδιαφερομένων μαθητών για τη σύνταξη επιστημονικής εργασίας.

ΕΛΛΗΝΙΚΗ ΔΗΜΟΚΡΑΤΙΑ ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Ταχ. Δ/νση: ΚΗΦΙΣΙΑΣ 1-3 115 23 ΑΘΗΝΑ ΤΗΛ.: 210-6475600 FAX: 210-6475628

Αθήνα, 01-02-2010 Αριθ. Πρωτ.: Γ/ΕΞ/650/01-02-2010

Α Π Ο Φ Α Σ Η 5/2010

Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε, μετά από πρόσκληση του Προέδρου της, σε τακτική συνεδρίαση την 15/10/2009, ημέρα Πέμπτη και ώρα 10.00, προκειμένου να εξετάσει τις υποθέσεις, που αναφέρονται στο ιστορικό της παρούσας. Παρέστησαν οι Χρ. Γεραρής, Πρόεδρος, Λ. Κοτσαλής, Αγ. Παπανεοφύτου, ως εισηγητής, Αντ. Ρουπακιώτης, τακτικά μέλη της Αρχής. Επίσης, παρέστησαν τα αναπληρωματικά μέλη της Αρχής Γρ. Πάντζιου, Γρ. Λαζαράκος και Π. Τσαντίλας, σε αντικατάσταση, αντίστοιχα, των τακτικών μελών Αν. Πομπόρτση, Αν. - Ιωάν. Μεταξά και Αν. Πράσσου, οι οποίοι, αν και κλήθηκαν νομίμως εγγράφως, δεν παρέστησαν λόγω κωλύματος. Στη συνεδρίαση παρέστη, επίσης, με εντολή του Προέδρου, ο Δημήτριος Ζωγραφόπουλος, δικηγόρος (ΔΝ) - νομικός ελεγκτής, ως βοηθός εισηγητή. Επίσης, παρέστη, με εντολή του Προέδρου, και η Γεωργία Παλαιολόγου, υπάλληλος του Διοικητικού - Οικονομικού Τμήματος της Αρχής, ως γραμματέας.

Η Αρχή έλαβε υπόψη τα ακόλουθα:

Υποβλήθηκε στην Αρχή η υπ’ αρ. πρωτ. Γ/ΕΙΣ/4906/07.08.2009 αίτηση της Α, νοσηλεύτριας - μεταπτυχιακής φοιτήτριας του Τμήματος Νοσηλευτικής ΕΚΠΑ, με την οποία ζητείται όπως η Αρχή της παράσχει την προβλεπόμενη από τις διατάξεις του άρθρου 7 παρ. 2 του Ν. 2472/1997 άδεια συλλογής και επεξεργασίας ευαίσθητων δεδομένων προσωπικού χαρακτήρα των υποκειμένων τους για το σκοπό της διενέργειας επιστημονικής έρευνας. Ειδικότερα, από τα στοιχεία του φακέλου προκύπτει ότι η αιτούσα, που φοιτά στο 1° έτος του Μεταπτυχιακού Προγράμματος Σπουδών του Εθνικού και Καποδιστριακού Πανεπιστημίου Αθηνών με κατεύθυνση την Παιδιατρική Νοσηλευτική, σκοπεύει να πραγματοποιήσει ερευνητική εργασία με τίτλο «Η χρήση του ηλεκτρονικού υπολογιστή σε παιδιά δημοτικού σχολείου. Συμπεριφορές και προστασία», υπό την επίβλεψη Αν. Καθηγητή του ως άνω Τμήματος για την εκπόνηση της οποίας θα διανείμει σε παιδιά ηλικίας από 9 έως 15 ετών ερωτηματολόγια, τα οποία αυτά θα συμπληρώσουν με τη συναίνεσή τους. Τα ερωτηματολόγια αυτά θα διανεμηθούν σε σχολεία της ευρύτερης περιφέρειας Πειραιά, είναι καταρχάς ανωνυματοποιημένα και περιλαμβάνουν και ερωτήσεις σχετικά με την κατάσταση της υγείας των ενδιαφερομένων παιδιών. Σύμφωνα με τη συνοδευτική επιστολή του επιβλέποντος την προαναφερόμενη εργασία καθηγητή, η συλλογή και περαιτέρω επεξεργασία αυτών των ερωτηματολογίων από την Α είναι απολύτως αναγκαίες για τη σύνταξη της συγκεκριμένης επιστημονικής εργασίας.

Μετά από εξέταση των προαναφερομένων στοιχείων, αφού άκουσε την πρόταση του εισηγητή και του βοηθού εισηγητή, και κατόπιν διεξοδικής συζήτησης,

Η Αρχή, λαμβάνοντας υπόψη, μεταξύ άλλων, τα ακόλουθα:

1) Τις διατάξεις του Συντάγματος, και ιδίως εκείνες των άρθρων 2 παρ. 1, 5 παρ. 1, 9Α, 16, 25, 26, 28, και 101Α,

2) Τις διατάξεις του Ν. 2472/1997 για την Προστασία του ατόμου από την επεξεργασία δεδομένων προσωπικού χαρακτήρα, που ενσωμάτωσε στην ελληνική έννομη τάξη εκείνες της Οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24^ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών, καθώς και τις διατάξεις της Οδηγίας αυτής,

3) Τη Γνώμη 4/2007 της Ομάδας εργασίας του άρθρου 29 της ως άνω οδηγίας 95/46/EΚ, σχετικά με την έννοια του όρου “δεδομένα προσωπικού χαρακτήρα”.

ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ

1 Επειδή, από το συνδυασμό των διατάξεων του άρθρου 2 στοιχ. (α΄) και (γ΄) του Ν. 2472/1997 προκύπτει ότι δεδομένα προσωπικού χαρακτήρα του υποκειμένου τους είναι κάθε πληροφορία, που αναφέρεται στο φυσικό πρόσωπο, το οποίο αφορούν τα δεδομένα, και του οποίου η ταυτότητα είναι γνωστή ή μπορεί να εξακριβωθεί, δηλαδή μπορεί να προσδιορισθεί αμέσως ή εμμέσως, ιδίως βάσει αριθμού ταυτότητας ή βάσει ενός η περισσότερων συγκεκριμένων στοιχείων που χαρακτηρίζουν την υπόστασή του από άποψη φυσική, βιολογική, ψυχική, οικονομική, πολιτιστική, πολιτική ή κοινωνική. Ακολούθως, σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 2 στοιχ. (β΄) του Ν. 2472/1997 στα ευαίσθητα δεδομένα προσωπικού χαρακτήρα ανήκουν και εκείνα που αφορούν στη φυλετική ή εθνική προέλευση ή στην υγεία του υποκειμένου τους. Εξάλλου, η διάταξη του άρθρου 2 στοιχ. (β΄) εδ. (β΄) του Ν. 2472/1997 ορίζει ότι «δεν λογίζονται ως δεδομένα προσωπικού χαρακτήρα τα στατιστικής φύσεως συγκεντρωτικά στοιχεία, από τα οποία δεν μπορούν πλέον να προσδιορισθούν τα υποκείμενα των δεδομένων».

2 Επειδή, η διάταξη του άρθρου 4 παρ. 1 του Ν. 2472/1997, εναρμονιζόμενη, ιδίως, με τις διατάξεις των άρθρων 9Α, 25 παρ. 1 και 28 του Συν/τος, 8 και 7 του Χάρτη Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης και 6 της Οδηγίας 95/46/ΕΕ, ρητά ορίζει ότι: «Τα δεδομένα προσωπικού χαρακτήρα για να τύχουν νόμιμης επεξεργασίας πρέπει: α) Να συλλέγονται κατά τρόπο θεμιτό και νόμιμο για καθορισμένους, σαφείς και νόμιμους σκοπούς και να υφίστανται θεμιτή και νόμιμη επεξεργασία ενόψει των σκοπών αυτών. β) Να είναι συναφή, πρόσφορα, και όχι περισσότερα από όσα κάθε φορά απαιτείται εν όψει των σκοπών της επεξεργασίας. (…)». Καθιερώνονται, λοιπόν, ως θεμελιώδεις προϋποθέσεις για τη νομιμότητα κάθε επεξεργασίας δεδομένων προσωπικού χαρακτήρα, καθώς και για τη νομιμότητα της σύστασης και λειτουργίας κάθε αρχείου, οι αρχές του σκοπού της επεξεργασίας και της αναλογικότητας των δεδομένων σε σχέση πάντα με το σκοπό επεξεργασίας. Συνεπώς, κάθε επεξεργασία προσωπικών δεδομένων, που γίνεται πέραν του επιδιωκόμενου σκοπού ή η οποία δεν είναι πρόσφορη και αναγκαία για την επίτευξή του, δεν είναι νόμιμη.

3 Επειδή, από το συνδυασμό των διατάξεων των άρθρων 5 και 7 του Ν. 2472/1997 προκύπτει ότι η συλλογή και κάθε περαιτέρω επεξεργασία απλών και ευαίσθητων δεδομένων προσωπικού χαρακτήρα επιτρέπεται, καταρχήν, εφόσον το υποκείμενο των δεδομένων έχει δώσει τη συγκατάθεσή του. Ωστόσο, η συλλογή και κάθε περαιτέρω επεξεργασία τόσο των απλών όσο και των ευαίσθητων δεδομένων προσωπικού χαρακτήρα επιτρέπεται, κατ’ εξαίρεση, και χωρίς τη συγκατάθεση του υποκειμένου τους, στις περιπτώσεις που περιοριστικά προβλέπει ο νόμος. Ειδικότερα, επιτρέπεται για τα μεν απλά δεδομένα, ιδίως, υπό τις προϋποθέσεις του άρθρου 5 παρ. 2 στοιχ. (ε΄) και για τα ευαίσθητα δεδομένα και υπό τις προϋποθέσεις του άρθρου 7 παρ. 2 στοιχ. (στ΄) του Ν. 2472/1997. Όπως παγίως κρίνει η Αρχή, οι όροι και προϋποθέσεις της νομιμότητας επεξεργασίας ευαίσθητων δεδομένων προσωπικού χαρακτήρα, σύμφωνα με τα οριζόμενα στο άρθρο 7 παρ. 2 στοιχ. (στ΄) του Ν. 2472/1997, εφαρμόζονται κατά μείζονα λόγο και στην επεξεργασία απλών δεδομένων προσωπικού χαρακτήρα.

4 Επειδή, η Αρχή έχει προδιαγράψει, με σειρά πράξεων και αποφάσεών της (Βλ., μεταξύ άλλων, τις αποφάσεις 46/2004, 47/2004, 16/2005 και 32/206) τις προϋποθέσεις νομιμότητας επεξεργασίας δεδομένων προσωπικού χαρακτήρα, τόσο απλών όσο και ευαίσθητων, για ερευνητικούς σκοπούς και, ειδικότερα, για την εκπόνηση μεταπτυχιακής μελέτης ή διδακτορικής διατριβής. Στο πλαίσιο αυτό, όπως η Αρχή παγίως κρίνει, η διενέργεια επιστημονικής έρευνας συνιστά νόμιμο σκοπό επεξεργασίας, κατά την έννοια του άρθρου 4 του Ν. 2472/1997, μεταξύ άλλων και λόγω του ότι, σύμφωνα με το άρθρο 16 παρ. 1 του Συντάγματος, η ανάπτυξη και προαγωγή της έρευνας αποτελεί υποχρέωση του Κράτους.

5 Επειδή, η επεξεργασία ευαίσθητων δεδομένων προσωπικού χαρακτήρα επιτρέπεται, εφόσον ο σκοπός της είναι νόμιμος, καταρχήν, με την έγγραφη συγκατάθεση του υποκειμένου των δεδομένων. Και τούτο, διότι η έγγραφη και ρητή συγκατάθεση των υποκειμένων των δεδομένων αποτελεί το μέσο για τη μείζονα δυνατή διασφάλιση του δικαιώματός τους στην προστασία των δεδομένων τους προσωπικού χαρακτήρα και θα πρέπει καταρχήν να αναζητείται και στις περιπτώσεις επεξεργασίας για ερευνητικούς ή επιστημονικούς σκοπούς. Ωστόσο, το άρθρο 7 παρ. 2 στοιχ. (στ΄) του Ν. 2472/1997 ρητά προβλέπει τη δυνατότητα της επεξεργασίας ευαίσθητων δεδομένων προσωπικού χαρακτήρα και χωρίς τη συγκατάθεση του υποκειμένου τους υπό ορισμένες προϋποθέσεις, δηλαδή εκείνες της τήρησης της ανωνυμίας και της λήψης των απαραίτητων μέτρων για την προστασία των δικαιωμάτων των υποκειμένων των δεδομένων.

Εξάλλου, όπως έχει ήδη κρίνει η Αρχή, η διάταξη αυτή περιλαμβάνει τουλάχιστον την περίπτωση όπου η επεξεργασία, όπως η πρόσβαση ή η χρήση για άλλον σκοπό από αυτόν για τον οποίο συλλέχθηκαν τα δεδομένα (π.χ. την παροχή υπηρεσιών υγείας) και η ανωνυμοποίηση των δεδομένων διενεργούνται από τον ίδιο τον υπεύθυνο της επεξεργασίας των δεδομένων, έτσι ώστε τα δεδομένα να μην εκφεύγουν από τη σφαίρα επιρροής του υπεύθυνου επεξεργασίας, δηλαδή να ανακοινώνονται ή διατίθενται σε τρίτον χωρίς προηγουμένως να έχουν ανωνυμοποιηθεί. Επιπλέον, το αντικείμενο της έρευνας πρέπει να είναι σαφώς καθορισμένο, ούτως ώστε να είναι δυνατή και η κρίση εάν τα δεδομένα, που υφίστανται επεξεργασία, είναι απαραίτητα για τον επιδιωκόμενο σκοπό. Τέλος, κατά το διάστημα της επεξεργασίας των ευαίσθητων προσωπικών δεδομένων και πριν από την ανωνυμοποίηση αυτών, ο υπεύθυνος επεξεργασίας πρέπει σύμφωνα με το άρθρο 7 παρ. 2 στοιχ. (στ΄) του Ν. 2472/1997 να λάβει τα απαραίτητα μέτρα για την προστασία των δικαιωμάτων των υποκειμένων των δεδομένων. Τέτοια μέτρα αφορούν μεταξύ άλλων στη διασφάλιση της εμπιστευτικότητας και ακεραιότητας των δεδομένων. Η εμπιστευτικότητα περιλαμβάνει τον έλεγχο της πρόσβασης στα δεδομένα ώστε μόνο εξουσιοδοτημένα άτομα από το σύνολο των εργαζομένων στον υπεύθυνο επεξεργασίας να έχουν πρόσβαση στα συγκεκριμένα δεδομένα. Η ακεραιότητα αφορά στην προστασία των προσωπικών δεδομένων από τυχαία ή αθέμιτη καταστροφή, απώλεια ή αλλοίωση.

6 Επειδή, στην υπό κρίση υπόθεση, ο προβαλλόμενος σκοπός επεξεργασίας, δηλαδή η σύνταξη επιστημονικής μελέτης από επιστήμονα-ερευνήτρια στο πλαίσιο φοιτήσεως στο Μεταπτυχιακό Πρόγραμμα Σπουδών του Εθνικού και Καποδιστριακού Πανεπιστημίου Αθηνών με κατεύθυνση την Παιδιατρική Νοσηλευτική, είναι καταρχήν καθορισμένος, σαφής και νόμιμος, κατά την έννοια των διατάξεων του άρθρου 4 παρ. 1 του Ν. 2472/1997. Αντικείμενο της κρίσιμης επεξεργασίας αποτελούν συγκεκριμένες πληροφορίες των υποκειμένων τους, οι οποίες πρόκειται να συλλεχθούν με τη μέθοδο της συμπλήρωσης ερωτηματολογίων, που έχουν συνταχθεί από την επιστήμονα-ερευνητή και υποβλήθηκαν στην Αρχή. Τα ερωτηματολόγια αυτά πρόκειται να διανεμηθούν σε παιδιά ηλικίας από 9 έως 15 ετών, που φοιτούν σε σχολεία της ευρύτερης περιφέρειας Πειραιά, από τις διευθύνσεις των οικείων σχολείων, και θα συμπληρωθούν από όσα παιδιά το επιθυμούν με τη συναίνεσή τους. Τα ερωτηματολόγια αυτά είναι καταρχάς ανωνυμοποιημένα, με την έννοια ότι δεν περιλαμβάνουν το ονοματεπώνυμο κάθε ενδιαφερομένου μαθητή. Ωστόσο, τα ερωτηματολόγια αυτά περιλαμβάνουν ερωτήσεις σχετικά με τον προσδιορισμό του φύλου, της πλήρους ημερομηνίας γέννησης, της περιοχής κατοικίας, του σχολείου φοίτησης και της περιοχής σχολείου των ενδιαφερομένων μαθητών, το επάγγελμα των γονέων τους, καθώς επίσης και ερωτήσεις σχετικά με την κατάσταση της υγείας των ενδιαφερομένων μαθητών και τη λήψη φαρμάκων για οποιαδήποτε νόσο και το είδος των φαρμάκων αυτών. Από το γεγονός αυτό, σε συνδυασμό με το γεγονός ότι τα ερωτηματολόγια αυτά πρόκειται να διανεμηθούν σε συγκεκριμένα σχολεία περιορισμένης γεωγραφικής περιφέρειας και δύνανται να αποκαλύψουν συγκεκριμένα προβλήματα υγείας ή / και συγκεκριμένη φυλετική προέλευση των ενδιαφερομένων μαθητών, καθίσταται πιθανή η εξακρίβωση της ταυτότητας ορισμένων από τους ενδιαφερόμενους μαθητές, καθόσον η ταυτότητά τους θα μπορεί ενδεχομένως να προσδιορισθεί εμμέσως βάσει των απαντήσεών τους στα προαναφερόμενα ερωτήματα. Συνεπώς, παρά το γεγονός ότι τα ερωτηματολόγια αυτά είναι καταρχάς ανωνυμοποιημένα, υπό την προαναφερόμενη έννοια, δεν δύναται να θεωρηθούν ότι θα περιέχουν αποκλειστικά στατιστικής φύσεως συγκεντρωτικά στοιχεία, από τα οποία δεν θα μπορούν πλέον να προσδιορισθούν τα υποκείμενα των δεδομένων, και, συνακολούθως, δεν δύνανται να εξαιρεθούν από το πεδίο εφαρμογής των διατάξεων του Ν. 2472/1997.

7 Επειδή, με βάση τα προαναφερόμενα, η αιτούσα επιστήμων-ερευνήτρια θα πρέπει: α) είτε να προβεί στην υποβολή στην Αρχή γνωστοποίησης σύστασης και λειτουργίας αρχείου καθώς και αίτησης παροχής αδείας επεξεργασίας ευαίσθητων δεδομένων προσωπικού χαρακτήρα των ενδιαφερομένων υποκειμένων, σύμφωνα με τα οριζόμενα στις διατάξεις των άρθρων 6 και 7 του Ν. 2472/1997, β) είτε να προβεί στη συλλογή μόνο του έτους γέννησης κάθε ενδιαφερόμενου μαθητή καθώς, επίσης, και στην απάλειψη από τα προαναφερόμενα ερωτηματολόγια της ερώτησης σχετικά με την περιοχή κατοικίας των ενδιαφερομένων μαθητών, προκειμένου τα ερωτηματολόγια αυτά να περιέχουν αποκλειστικά στατιστικής φύσεως συγκεντρωτικά στοιχεία, από τα οποία δεν θα μπορούν πλέον να προσδιορισθούν τα υποκείμενα των δεδομένων.

ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ

Η Αρχή,

Αποφαίνεται ότι, για τους λόγους, που διεξοδικά αναφέρονται στο σκεπτικό της παρούσας απόφασης: 1) Η αιτούσα Α, νοσηλεύτρια - μεταπτυχιακή φοιτήτρια του Τμήματος Νοσηλευτικής ΕΚΠΑ, δικαιούται, καταρχήν, σύμφωνα με τα οριζόμενα στις διατάξεις των άρθρων 5 παρ. 2 στοιχ. (ε΄), 7 παρ. 2 στοιχ. (στ΄) και 4 παρ. 1 του Ν. 2472/1997, να προβεί στη συλλογή και επεξεργασία, μέσω ερωτηματολογίων, απλών και ευαίσθητων δεδομένων προσωπικού χαρακτήρα των ενδιαφερομένων μαθητών για τον προβαλλόμενο σκοπό επεξεργασίας, δηλαδή τη σύνταξη επιστημονικής εργασίας στο πλαίσιο φοιτήσεως στο Μεταπτυχιακό Πρόγραμμα Σπουδών του Εθνικού και Καποδιστριακού Πανεπιστημίου Αθηνών με κατεύθυνση την Παιδιατρική Νοσηλευτική. 2) Για τη συλλογή και περαιτέρω επεξεργασία των ως άνω δεδομένων προσωπικού χαρακτήρα των υποκειμένων τους, η αιτούσα Α θα πρέπει: α) είτε να προβεί στην υποβολή στην Αρχή γνωστοποίησης σύστασης και λειτουργίας αρχείου καθώς και αίτησης παροχής αδείας επεξεργασίας ευαίσθητων δεδομένων προσωπικού χαρακτήρα των ενδιαφερομένων υποκειμένων, σύμφωνα με τα οριζόμενα στις διατάξεις των άρθρων 6 και 7 του Ν. 2472/1997, β) είτε να προβεί στη συλλογή μόνο του έτους γέννησης κάθε ενδιαφερόμενου μαθητή καθώς, επίσης, και στην απάλειψη από τα προαναφερόμενα ερωτηματολόγια της ερώτησης σχετικά με την περιοχή κατοικίας των ενδιαφερομένων μαθητών, προκειμένου τα ερωτηματολόγια αυτά να περιέχουν αποκλειστικά στατιστικής φύσεως συγκεντρωτικά στοιχεία, από τα οποία δεν θα μπορούν πλέον να προσδιορισθούν τα υποκείμενα των δεδομένων.

Ο Πρόεδρος Χρίστος Γεραρής

Η Γραμματέας Γεωργία Παλαιολόγου