25.000 ευρώ πρόστιμο σε Νοσοκομείο για τη δημοσίευση λίστας χειρουργείων (ΑΠΔΠΧ 13/2026)

Ένα ανθρώπινο λάθος κατά τη διαδικασία ψευδωνυμοποίησης αρχείων είχε ως αποτέλεσμα να ανέβει στο διαδίκτυο μια λίστα προγραμματισμένων χειρουργείων. Στη λίστα, έκτασης 235 σελίδων, δεν καταγράφονταν ονοματεπώνυμα ασθενών, αλλά οι αριθμοί των τηλεφώνων τους, καθώς και οι παθήσεις και προγραμματισμένες επεμβάσεις. Το λάθος αυτό κόστισε στο δημόσιο νοσοκομείο 25.000 ευρώ, μετά την επιβολή προστίμου από την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.

Η ανακάλυψη της λίστας

Η υπόθεση έφτασε στην Αρχή μετά τη γνωστοποίηση περιστατικού παραβίασης δεδομένων από το Γενικό Νοσοκομείο Θεσσαλονίκης Γ. Γεννηματάς «Ο Άγιος Δημήτριος», η οποία έγινε στις 2-9-2024. Ένα μήνα μετά, υποβλήθηκε και αναφορά από τον πολίτη που ανακάλυψε το συμβάν και το είχε γνωστοποιήσει στο Νοσοκομείο.

Σύμφωνα με την αναφορά, στις 29 Αυγούστου 2024 ο πολίτης αναζήτησε στη Google έναν άγνωστο αριθμό κινητού τηλεφώνου που τον καλούσε. Στα αποτελέσματα εμφανίστηκε αρχείο PDF από την ιστοσελίδα του Νοσοκομείου, στο οποίο περιλαμβάνονταν αριθμοί τηλεφώνων ασθενών, παθήσεις και προγραμματισμένες επεμβάσεις.

Ο πολίτης ενημέρωσε την ίδια ημέρα το Νοσοκομείο μέσω ηλεκτρονικού ταχυδρομείου. Όπως ανέφερε στην Αρχή, αντιμετώπισε δυσκολίες ακόμη και στον εντοπισμό της κατάλληλης διεύθυνσης επικοινωνίας, καθώς στην ιστοσελίδα εμφανίζονταν διαφορετικές διευθύνσεις ηλεκτρονικού ταχυδρομείου, ενώ ορισμένοι σύνδεσμοι δεν λειτουργούσαν. Επισήμανε επίσης ότι δεν υπήρχαν αναρτημένα στην ιστοσελίδα στοιχεία επικοινωνίας του Υπευθύνου Προστασίας Δεδομένων του Νοσοκομείου.

Σύμφωνα πάντα με την αναφορά, το επίμαχο αρχείο αποσύρθηκε λίγες ώρες μετά την ειδοποίηση του Νοσοκομείου. Ο πολίτης υποστήριξε, ωστόσο, ότι μέχρι την υποβολή της αναφοράς του στην Αρχή δεν είχε ενημερωθεί για τις ενέργειες που ακολούθησαν, ενώ, σύμφωνα με πληροφόρηση που είχε από ασθενή της λίστας, δεν είχαν ενημερωθεί ούτε τα επηρεαζόμενα πρόσωπα.

Το αρχείο αριθμούσε 235 σελίδες και, σύμφωνα με τον υπολογισμό που παρατίθεται στην αναφορά, περιείχε στοιχεία περίπου 2.820 ασθενών. Δεν περιλάμβανε ονοματεπώνυμα, αλλά αριθμούς κινητών και σταθερών τηλεφώνων – σε ορισμένες περιπτώσεις και συνοδών – μαζί με πληροφορίες για παθήσεις, προγραμματισμένες επεμβάσεις και ημερομηνίες χειρουργείων.

Οι εξηγήσεις του Νοσοκομείου

Το Νοσοκομείο απέδωσε το περιστατικό σε ανθρώπινο λάθος. Υποστήριξε ότι εφαρμοζόταν διαδικασία ψευδωνυμοποίησης των λιστών, αλλά ο αρμόδιος υπάλληλος παρέλειψε να διαγράψει τους τηλεφωνικούς αριθμούς πριν από τη συγκεκριμένη ανάρτηση.

Ως προς τη διάρκεια της έκθεσης, υποστήριξε ότι ο σύνδεσμος στην ιστοσελίδα οδηγούσε στο επίμαχο αρχείο από τις 3 έως τις 10 Μαΐου 2024 και στη συνέχεια ενημερώθηκε ώστε να παραπέμπει σε νεότερο αρχείο. Το PDF, ωστόσο, παρέμεινε αρχειοθετημένο και μπορούσε να εντοπιστεί μέσω μηχανής αναζήτησης μέχρι την οριστική διαγραφή του μετά την ειδοποίηση του πολίτη.

Το Νοσοκομείο υποστήριξε ακόμη ότι δεν απαιτείτο ενημέρωση των ασθενών, καθώς είχε εκτιμήσει ότι δεν υπήρχε υψηλός κίνδυνος. Επικαλέστηκε ιδίως ότι οι αριθμοί τηλεφώνου δεν αποτελούν ευαίσθητα δεδομένα, ότι η λίστα δεν περιείχε ονοματεπώνυμα και ότι η ταυτοποίηση των ασθενών μπορούσε να γίνει μόνο έμμεσα, μέσω πρόσθετης αναζήτησης.

Ανεπαρκή μέτρα ασφάλειας

Η Αρχή επισήμανε ότι η επέλευση μιας παραβίασης δεδομένων δεν συνεπάγεται από μόνη της παράβαση του άρθρου 32 ΓΚΠΔ. Στη συγκεκριμένη περίπτωση, όμως, έκρινε ότι, λόγω της φύσης των δεδομένων και της συγκεκριμένης επεξεργασίας, το Νοσοκομείο όφειλε να έχει προβλέψει πρόσθετες δικλείδες προστασίας.

Ως τέτοια μέτρα ανέφερε ενδεικτικά τον έλεγχο από δεύτερο πρόσωπο πριν από τη δημοσίευση, την αυτοματοποίηση της διαδικασίας μέσω ειδικής εφαρμογής και τη δοκιμαστική ανάρτηση σε διαφορετικό περιβάλλον. Η απουσία τους οδήγησε στη διαπίστωση παράβασης της αρχής της ακεραιότητας και εμπιστευτικότητας και του άρθρου 32 ΓΚΠΔ.

Εκπρόθεσμη γνωστοποίηση και μη ενημέρωση των ασθενών

Πρόσθετες παραβάσεις διαπιστώθηκαν ως προς τη διαχείριση του περιστατικού μετά τον εντοπισμό του. Το Νοσοκομείο έλαβε γνώση της παραβίασης στις 29 Αυγούστου 2024, μετά την ειδοποίηση του πολίτη, αλλά τη γνωστοποίησε στην Αρχή στις 2 Σεπτεμβρίου, δηλαδή εντός 96 αντί των 72 ωρών που προβλέπει το άρθρο 33 ΓΚΠΔ.

Για να δικαιολογήσει την καθυστέρηση αυτή, το Νοσοκομείο επικαλέστηκε αφενός ότι μεσολάβησε Σαββατοκύριακο και αφετέρου ότι, σύμφωνα με την εκτίμηση κινδύνου που πραγματοποίησε, το περιστατικό παρουσίαζε χαμηλό κίνδυνο για τα δικαιώματα των επηρεαζόμενων προσώπων. Η Αρχή απέρριψε με τρόπο συνοπτικό τον ισχυρισμό περί Σαββατοκύριακου, χαρακτηρίζοντας το γεγονός ως «αδιάφορο» σε σχέση με τις απαιτήσεις του νόμου και στάθηκε περισσότερο στον δεύτερο ισχυρισμό, αυτόν της εκτίμησης του κινδύνου.

Κατά την κρίση της, η εσφαλμένη αντίληψη του Νοσοκομείου τόσο για τη φύση της παραβίασης όσο και για τον κίνδυνο που αυτή συνεπαγόταν για τους ασθενείς καταδείκνυε και έλλειψη κατάλληλων μέτρων ασφάλειας της επεξεργασίας. Για τον λόγο αυτό, η Αρχή συνέδεσε το συγκεκριμένο ζήτημα όχι μόνο με την εκπρόθεσμη γνωστοποίηση του άρθρου 33, αλλά και με τις απαιτήσεις ασφάλειας του άρθρου 32 ΓΚΠΔ.

Η ίδια εκτίμηση κινδύνου βρέθηκε στο επίκεντρο και της απόφασης του Νοσοκομείου να μην ενημερώσει τους ίδιους τους ασθενείς. Το Νοσοκομείο είχε υποστηρίξει ότι δεν συνέτρεχε υψηλός κίνδυνος, καθώς οι τηλεφωνικοί αριθμοί αποτελούσαν απλά και όχι ευαίσθητα δεδομένα, στη λίστα δεν αναγράφονταν ονοματεπώνυμα και η ταυτοποίηση των προσώπων μπορούσε να γίνει μόνο έμμεσα, μέσω πρόσθετης αναζήτησης των τηλεφωνικών αριθμών σε μηχανή αναζήτησης.

Η Αρχή κατέληξε στην αντίθετη εκτίμηση. Το κρίσιμο στοιχείο δεν ήταν η φύση του τηλεφωνικού αριθμού μεμονωμένα, αλλά το γεγονός ότι η παραβίαση αφορούσε πληροφορίες για την υγεία των ασθενών. Η δημοσιοποίηση των δεδομένων αυτών, σε συνδυασμό με τη δυνατότητα ταυτοποίησης των προσώπων, μπορούσε να δημιουργήσει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες τους.

Ειδικότερα, η Αρχή επισήμανε ότι η παραβίαση της εμπιστευτικότητας δεδομένων υγείας μπορεί να οδηγήσει σε υλική ζημία ή ηθική βλάβη, όπως διακρίσεις, κατάχρηση ή υποκλοπή ταυτότητας, οικονομική απώλεια και βλάβη της φήμης. Έκρινε, συνεπώς, ότι συνέτρεχαν οι προϋποθέσεις του άρθρου 34 παρ. 1 ΓΚΠΔ και ότι το Νοσοκομείο όφειλε να ανακοινώσει αμελλητί την παραβίαση στους επηρεαζόμενους ασθενείς. Η παράλειψή του να το πράξει αποτέλεσε αυτοτελή παράβαση του Κανονισμού.

Η εσφαλμένη εκτίμηση του κινδύνου είχε, έτσι, διπλή συνέπεια: το περιστατικό γνωστοποιήθηκε εκπρόθεσμα στην Αρχή και δεν ανακοινώθηκε καθόλου στους περίπου 2.820 επηρεαζόμενους ασθενείς, συμπεριφορά η οποία οδήγησε στη διαπίστωση της παραβίασης τόσο του άρθρου 33, όσο και του άρθρου 34 ΓΚΠΔ.

Μη διαθέσιμα τα στοιχεία επικοινωνίας του DPO

Αυτοτελής παράβαση διαπιστώθηκε και ως προς τη δημοσίευση των στοιχείων επικοινωνίας του Υπευθύνου Προστασίας Δεδομένων (DPO) του Νοσοκομείου. Το ζήτημα είχε τεθεί ήδη με την αναφορά του πολίτη, ο οποίος υποστήριξε ότι δυσκολεύτηκε να εντοπίσει κατάλληλη ηλεκτρονική διεύθυνση για να γνωστοποιήσει το περιστατικό και ότι στην ιστοσελίδα δεν υπήρχαν στοιχεία επικοινωνίας του DPO.

Κατά τη διερεύνηση της υπόθεσης, το Νοσοκομείο αναγνώρισε ότι τα στοιχεία αυτά πράγματι δεν ήταν διαθέσιμα κατά τον χρόνο της αναφοράς, αποδίδοντας την έλλειψή τους σε παράλειψη που σημειώθηκε κατά την αναβάθμιση της ιστοσελίδας, ενώ ανέφερε ότι στη συνέχεια τα στοιχεία του DPO αναρτήθηκαν εκ νέου.

Ο τρόπος με τον οποίο εξέτασε το ζήτημα η Αρχή υπήρξε ενδιαφέρων, καθώς η παράλειψη αυτή συνδέθηκε με δύο διαφορετικές υποχρεώσεις του υπευθύνου επεξεργασίας. Η πρώτη υποχρέωση αφορά την ενημέρωση των υποκειμένων των δεδομένων, σύμφωνα με τα άρθρα 12 και 13 ΓΚΠΔ, με την Αρχή να υπενθυμίζει πως μεταξύ των πληροφοριών που πρέπει να παρέχονται είναι και τα στοιχεία επικοινωνίας του DPO. Από τη στιγμή που τα στοιχεία επικοινωνίας αυτά δεν ήταν διαθέσιμα, η Αρχή διαπίστωσε την παραβίαση της υποχρέωσης ενημέρωσης των υποκειμένων των δεδομένων, όπως επιτάσσει η αρχή της διαφάνειας.

Ακολούθως, και αφού μεσολάβησαν τα ζητήματα ασφάλειας και ο χειρισμός του περιστατικού, η Αρχή επανήλθε στο ζήτημα αυτό, εξετάζοντας τη δεύτερη υποχρέωση, ήτοι την πρόβλεψη του άρθρου 37 παρ.7 ΓΚΠΔ για δημοσίευση των στοιχείων επικοινωνίας.

Οι δύο παραβάσεις, αν και αυτοτελείς, σωρεύτηκαν, με την Αρχή να διαπιστώνει την παραβίαση των άρθρων 12, 13 και 37 ΓΚΠΔ, αφού «ο Υπεύθυνος Επεξεργασίας δεν είχε αναρτημένα, ως όφειλε, τα στοιχεία επικοινωνίας του ΥΠΔ του, κατά την στιγμή του περιστατικού».

Τα επιβληθέντα πρόστιμα

Με βάση τις ανωτέρω διαπιστώσεις, η Αρχή επέβαλε συνολικό διοικητικό πρόστιμο ύψους 25.000 ευρώ, το οποίο διακρίνεται σε τέσσερα επιμέρους πρόστιμα: 10.000 ευρώ για την παραβίαση της αρχής της ακεραιότητας και εμπιστευτικότητας σε συνδυασμό με το άρθρο 32, 2.000 ευρώ για την εκπρόθεσμη γνωστοποίηση του περιστατικού, 10.000 ευρώ για τη μη ανακοίνωση της παραβίασης στους ασθενείς και 3.000 ευρώ για τις παραβάσεις που συνδέονταν με τη μη δημοσίευση των στοιχείων του DPO.

Κατά την επιμέτρηση συνεκτιμήθηκαν, μεταξύ άλλων, ο υψηλός αριθμός των επηρεαζόμενων προσώπων, περίπου 2.820 ασθενείς, και η αποκάλυψη δεδομένων υγείας. Υπέρ του Νοσοκομείου λήφθηκαν υπόψη η απουσία προηγούμενης αντίστοιχης παράβασης, η ενίσχυση των μέτρων ασφάλειας μετά το περιστατικό και η μικρή καθυστέρηση στη γνωστοποίηση της παραβίασης.

Το πλήρες κείμενο της απόφασης ΑΠΔΠΧ 13/2026 είναι διαθέσιμο στον ιστότοπο της Αρχής.