Κάμερες σε χώρους νοσοκομείου: Εντολή συμμόρφωσης και διαδικασία επιβολής προστίμου από τη λιθουανική αρχή προστασίας δεδομένων

Εκτεταμένες παραβάσεις του Γενικού Κανονισμού Προστασίας Δεδομένων από δημόσιο νοσοκομείο διαπίστωσε η λιθουανική Αρχή Προστασίας Δεδομένων VDAI, με απόφαση που δημοσίευσε στα τέλη Δεκεμβρίου του 2025. Οι διαπιστωθείσες παραβάσεις αφορούσαν τη λειτουργία συστήματος βιντεοεπιτήρησης, με δυνατότητα λήψης ήχου, στους χώρους του νοσοκομείου, πρακτική η οποία σύμφωνα με τη λιθουανική αρχή λάμβανε χώρα κατά παράβαση θεμελιωδών αρχών του ΓΚΠΔ. Για τον λόγο αυτό, η VDAI έδωσε εντολή συμμόρφωσης και παράλληλα αποφάσισε να κινήσει περαιτέρω διαδικασία για την επιβολή διοικητικών κυρώσεων.

Η υπόθεση ξεκίνησε ύστερα από καταγγελία ιδιωτικής εταιρείας τον Απρίλιο του 2025, με αντικείμενο τη χρήση καμερών εντός των εγκαταστάσεων του νοσοκομείου, συμπεριλαμβανομένων χειρουργικών αιθουσών. Στην καταγγελία επισημαινόταν ότι οι ασθενείς δεν ενημερώνονταν επαρκώς για την επιτήρηση, δεν παρείχαν συγκατάθεση και ότι υπήρχαν αναφορές για ζωντανή επιτήρηση των χειρουργείων και παρακολούθηση του υλικού ακόμη και εκτός του νοσοκομείου. Η Αρχή, ενεργώντας αυτεπαγγέλτως, διενήργησε επιτόπιο έλεγχο τον Μάιο του 2025 και εξέτασε τη διάταξη των καμερών, τα πεδία λήψης, τη λειτουργία ηχογράφησης, τη διάρκεια αποθήκευσης των δεδομένων και τα μέτρα ασφάλειας και ελέγχου πρόσβασης.

Κατά τον έλεγχο διαπιστώθηκε ότι στο νοσοκομείο λειτουργούσαν συνολικά 26 κάμερες, τοποθετημένες τόσο σε εξωτερικούς χώρους όσο και σε κοινόχρηστους εσωτερικούς χώρους, τμήματα επειγόντων, θαλάμους αναμονής, κλινικές, καθώς και σε τρεις χειρουργικές αίθουσες. Οι κάμερες των εξωτερικών χώρων δεν διέθεταν δυνατότητα ηχογράφησης, ωστόσο όλες οι εσωτερικές κάμερες κατέγραφαν και ήχο. Σε ορισμένους χώρους είχε επιχειρηθεί περιορισμός του πεδίου λήψης με φίλτρα, πλην όμως σε κρίσιμα σημεία, όπως η εξωτερική περιοχή των χειρουργικών τραπεζιών, οι χώροι εξέτασης ασθενών και οι μόνιμοι χώροι εργασίας προσωπικού, η καταγραφή δεν είχε αποκλειστεί πλήρως.

Η Αρχή έκρινε ότι το νοσοκομείο στηρίχθηκε αποκλειστικά στη νομική βάση του έννομου συμφέροντος κατά το άρθρο 6 παρ. 1 στοιχ. στ ́ ΓΚΠΔ, επικαλούμενο αφενός την ασφάλεια προσώπων και αγαθών και αφετέρου την «ομαλή οργάνωση της εργασίας», ιδίως στις χειρουργικές αίθουσες. Η VDAI δέχεται καταρχήν τη δυνατότητα επίκλησης της νομικής βάσης του άρθρου 6 παρ.1στ’ ΓΚΠΔ, παρά τον χαρακτήρα του υπευθύνου επεξεργασίας ως δημοσίου φορέα, κρίνοντας προφανώς πως η εν λόγω επεξεργασία δεν σχετίζεται με την άσκηση των καθηκόντων του. Ωστόσο, και μετά από εκτενή ανάλυση, η απόφαση καταλήγει ότι οι προϋποθέσεις του έννομου συμφέροντος δεν πληρούνται σωρευτικά. Ειδικότερα, αν και οι σκοποί κρίθηκαν κατ’ αρχήν θεμιτοί, το νοσοκομείο δεν απέδειξε τη σκοπιμότητα και αναγκαιότητα της επιτήρησης σε ιδιαίτερα ευαίσθητους χώρους, ούτε στάθμισε επαρκώς τα δικαιώματα και τις εύλογες προσδοκίες ιδιωτικότητας των ασθενών και των εργαζομένων.

Ιδιαίτερη βαρύτητα αποδόθηκε στη βιντεοεπιτήρηση των χειρουργικών αιθουσών. Η Αρχή τόνισε ότι πρόκειται για χώρους εξαιρετικά αυξημένης ευαισθησίας, όπου οι ασθενείς υφίστανται επεμβατικές πράξεις και ενδέχεται να βρίσκονται σε κατάσταση πλήρους ή μερικής σωματικής έκθεσης. Παρά το γεγονός ότι οι κάμερες δεν εστίαζαν άμεσα στο χειρουργικό τραπέζι, κρίθηκε ότι η πιθανότητα καταγραφής ασθενών κατά τη μεταφορά ή την προετοιμασία ήταν υπαρκτή. Κατά συνέπεια, το δικαίωμα στην ιδιωτικότητα και στην προστασία δεδομένων υπερίσχυσε σαφώς του επικαλούμενου οργανωτικού συμφέροντος του νοσοκομείου. Επιπλέον, δεν τεκμηριώθηκε καμία από τις εξαιρέσεις του άρθρου 9 παρ. 2 ΓΚΠΔ που θα μπορούσε να νομιμοποιήσει την επεξεργασία δεδομένων υγείας.

Αντίστοιχες διαπιστώσεις έγιναν και για άλλους εσωτερικούς χώρους, όπως το τμήμα επειγόντων. Σε αυτούς τους χώρους η Αρχή έκρινε ότι, ακόμη και αν η επιτήρηση θα μπορούσε καταρχήν να θεωρηθεί ανεκτή, το πεδίο λήψης περιλάμβανε τμήματα χώρων εξέτασης ασθενών ή μόνιμες θέσεις εργασίας προσωπικού, γεγονός που καθιστούσε την επεξεργασία δυσανάλογη και παράνομη.

Ως προς την ηχογράφηση, η VDAI υπήρξε κατηγορηματική. Η απόφαση έκρινε ότι η καταγραφή ήχου σε εσωτερικούς χώρους νοσοκομείου συνιστά ιδιαίτερα παρεμβατικό μέτρο, το οποίο δεν μπορεί να θεωρηθεί αναγκαίο για την ασφάλεια ή την οργάνωση της εργασίας. Τονίστηκε ότι σε διαδρόμους, χώρους αναμονής και κλινικές λαμβάνουν χώρα ιδιωτικές συνομιλίες, συχνά σχετιζόμενες με την κατάσταση υγείας των ασθενών, και ότι τα υποκείμενα των δεδομένων έχουν εύλογη προσδοκία ότι οι συνομιλίες αυτές δεν θα καταγράφονται. Η ηχογράφηση κρίθηκε παράνομη τόσο λόγω έλλειψης αναγκαιότητας όσο και λόγω απουσίας νομικής βάσης για την επεξεργασία ειδικών κατηγοριών δεδομένων.

Παράλληλα, η απόφαση εντόπισε σοβαρές πλημμέλειες στη συμμόρφωση με την αρχή του περιορισμού της περιόδου αποθήκευσης. Παρότι τα εσωτερικά έγγραφα του νοσοκομείου προέβλεπαν διαφορετικά χρονικά όρια διατήρησης, από 14 έως 30 ημέρες, ο επιτόπιος έλεγχος αποκάλυψε ότι το βιντεοληπτικό υλικό φυλασσόταν για χρονικό διάστημα έως και τρεις μήνες. Η Αρχή έκρινε ότι δεν είχε καθοριστεί με σαφήνεια και συνέπεια ενιαίο και τεκμηριωμένο χρονικό όριο, ενώ η πραγματική πρακτική υπερέβαινε εμφανώς κάθε δηλωμένο σκοπό.

Περαιτέρω, διαπιστώθηκαν παραβάσεις της αρχής της ακεραιότητας και εμπιστευτικότητας λόγω ανεπαρκούς ελέγχου πρόσβασης, ιδίως στο σύστημα ζωντανής μετάδοσης εικόνας και ήχου από τις χειρουργικές αίθουσες. Κατά τον έλεγχο, οι εκπρόσωποι του νοσοκομείου δεν ήταν σε θέση να προσδιορίσουν με ακρίβεια ποιοι χρήστες διέθεταν δικαιώματα διαχειριστή στο λογισμικό, ούτε να αποδείξουν αν υφίστατο τεχνική δυνατότητα καταγραφής. Παρά μεταγενέστερες γραπτές απαντήσεις, δεν προσκομίστηκαν αποδεικτικά στοιχεία, γεγονός που οδήγησε την Αρχή να διαπιστώσει και ανεπαρκή συνεργασία.

Λαμβάνοντας υπόψη το σύνολο των παραβάσεων, η Αρχή έκρινε ότι συντρέχουν οι προϋποθέσεις για την έναρξη διαδικασίας επιβολής διοικητικού προστίμου. Παράλληλα, διέταξε το νοσοκομείο να παύσει άμεσα τη βιντεοεπιτήρηση και τη μετάδοση εικόνας και ήχου στις χειρουργικές αίθουσες, να διακόψει την ηχογράφηση σε όλους τους χώρους, να καθορίσει με ακρίβεια τα χρονικά όρια διατήρησης των καταγραφών και να λάβει τεχνικά μέτρα ώστε να αποκλείεται πλήρως η καταγραφή χώρων εξέτασης ασθενών και μόνιμων θέσεων εργασίας.