Η προστασία των δεδομένων προσωπικού χαρακτήρα στον χώρο της υγείας αποτελεί ένα από τα πλέον ευαίσθητα και ταυτόχρονα απαιτητικά πεδία εφαρμογής του Γενικού Κανονισμού Προστασίας Δεδομένων (ΓΚΠΔ). Ιδίως τα δεδομένα υγείας, ως ειδική κατηγορία δεδομένων, υπόκεινται σε αυξημένες εγγυήσεις προστασίας, γεγονός που περιορίζει σημαντικά τα περιθώρια νόμιμης επεξεργασίας τους. Στο πλαίσιο αυτό, η Απόφαση 11/2025 της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα παρουσιάζει ιδιαίτερο θεωρητικό και πρακτικό ενδιαφέρον, καθώς εξετάζει το ζήτημα της πρόσβασης ιατρού σε δεδομένα πρώην ασθενούς, μετά τη λήξη της μεταξύ τους θεραπευτικής σχέσης.
Η υπόθεση εκκινεί από καταγγελία ασθενούς κατά ιδιώτη γυναικολόγου, η οποία είχε αναλάβει την παρακολούθηση της εγκυμοσύνης της. Μετά τη διακοπή της συνεργασίας τους, η καταγγέλλουσα ισχυρίστηκε ότι δεν της χορηγήθηκε πλήρης ιατρικός φάκελος, ότι η ιατρός απέκτησε επανειλημμένα πρόσβαση στον ηλεκτρονικό φάκελο υγείας της χωρίς τη συναίνεσή της, καθώς και ότι προέβη σε διαβίβαση των δεδομένων της σε τρίτους. Από την πλευρά της, η καταγγελλόμενη υποστήριξε ότι είχε ήδη παραδώσει το σύνολο των ιατρικών στοιχείων κατά τη διάρκεια της συνεργασίας τους, ενώ οι μεταγενέστερες προσβάσεις της στον ηλεκτρονικό φάκελο υπαγορεύθηκαν από επιστημονικό ενδιαφέρον και αίσθημα επαγγελματικής ευθύνης.
Η Αρχή, προσεγγίζοντας την υπόθεση υπό το πρίσμα του ΓΚΠΔ, προέβη αρχικά σε διάκριση μεταξύ των επιμέρους ισχυρισμών της καταγγέλλουσας. Ως προς το δικαίωμα πρόσβασης, έκρινε ότι δεν στοιχειοθετείται παραβίαση του άρθρου 15 ΓΚΠΔ. Καθοριστικής σημασίας υπήρξε το γεγονός ότι το δικαίωμα αυτό περιορίζεται στα δεδομένα που βρίσκονται πράγματι στη διάθεση του υπευθύνου επεξεργασίας κατά τον χρόνο άσκησής του. Στην προκειμένη περίπτωση, αποδείχθηκε ότι τα δεδομένα που τηρούνταν στο αρχείο της ιατρού χορηγήθηκαν, ενώ μέρος των εξετάσεων είχε ήδη παραδοθεί στην ασθενή κατά τη διάρκεια των επισκέψεων ή δεν διατηρούνταν πλέον.
Η κρίση αυτή αναδεικνύει ένα κρίσιμο σημείο του δικαιώματος πρόσβασης: δεν πρόκειται για δικαίωμα ανασύστασης ή δημιουργίας αρχείου, αλλά για δικαίωμα πρόσβασης σε υφιστάμενα δεδομένα.
Αντίθετα, η Αρχή υιοθέτησε σαφώς αυστηρότερη στάση ως προς το ζήτημα της πρόσβασης της ιατρού στον ηλεκτρονικό φάκελο υγείας μετά τη λήξη της θεραπευτικής σχέσης. Η καταγγελλόμενη παραδέχθηκε ότι προέβη σε επανειλημμένες προσβάσεις, επικαλούμενη λόγους επιστημονικού ενδιαφέροντος και ανθρώπινης ευαισθησίας. Ωστόσο, οι αιτιάσεις αυτές απορρίφθηκαν ως νομικά αβάσιμες. Η Αρχή τόνισε ότι η επεξεργασία δεδομένων υγείας επιτρέπεται μόνο υπό αυστηρές προϋποθέσεις, ιδίως όταν είναι αναγκαία για την παροχή υπηρεσιών υγείας στο πλαίσιο ενεργής θεραπευτικής σχέσης. Μετά τη λήξη της σχέσης αυτής, η νομική βάση παύει να υφίσταται, εκτός εάν συντρέχει νέα αυτοτελής βάση επεξεργασίας, όπως η συναίνεση του υποκειμένου.
Η επίκληση, συνεπώς, ενός γενικού επαγγελματικού ενδιαφέροντος ή μιας ηθικής υποχρέωσης δεν αρκεί για να νομιμοποιήσει την πρόσβαση σε δεδομένα υγείας. Η θέση αυτή της Αρχής είναι απολύτως συνεπής με τη δομή του ΓΚΠΔ, ο οποίος απαιτεί σαφή και συγκεκριμένη νομική βάση για κάθε πράξη επεξεργασίας. Ιδίως όταν πρόκειται για δεδομένα ειδικών κατηγοριών, όπως τα δεδομένα υγείας, η έλλειψη τέτοιας βάσης καθιστά αυτομάτως την επεξεργασία παράνομη, ανεξαρτήτως των κινήτρων του υπευθύνου επεξεργασίας.
Ιδιαίτερη σημασία αποδίδεται επίσης στο γεγονός ότι η επίμαχη επεξεργασία δεν ήταν μεμονωμένη, αλλά επαναλαμβανόμενη. Η καταγγελλόμενη προέβη σε πολλαπλές προσβάσεις στο σύστημα, γεγονός που ενίσχυσε την κρίση περί σοβαρότητας της παράβασης. Παράλληλα, η Αρχή υπογράμμισε ότι τα δεδομένα στα οποία αποκτήθηκε πρόσβαση αφορούσαν την κατάσταση της υγείας της καταγγέλλουσας, δηλαδή δεδομένα που απολαμβάνουν αυξημένης προστασίας.
Αντιθέτως, ως προς τον ισχυρισμό περί διαβίβασης δεδομένων σε τρίτους, η Αρχή έκρινε ότι δεν προέκυψαν επαρκή αποδεικτικά στοιχεία και απέρριψε το σχετικό σκέλος της καταγγελίας.
Με βάση τα ανωτέρω, η Αρχή κατέληξε ότι η καταγγελλόμενη, υπό την ιδιότητά της ως υπεύθυνη επεξεργασίας, παραβίασε την αρχή της νομιμότητας και αντικειμενικότητας του άρθρου 5 παρ. 1 ΓΚΠΔ. Η παραβίαση αυτή θεωρείται ιδιαιτέρως σοβαρή, καθώς αφορά θεμελιώδη αρχή του κανονισμού, από την οποία εξαρτάται η νομιμότητα κάθε επεξεργασίας. Για τον λόγο αυτό επιβλήθηκε διοικητικό πρόστιμο ύψους 5.000 ευρώ, το οποίο κρίθηκε αναλογικό και αποτρεπτικό, λαμβανομένων υπόψη τόσο της σοβαρότητας της παράβασης όσο και των ελαφρυντικών περιστάσεων, όπως η συνεργασία της ιατρού με την Αρχή και η απουσία προηγούμενων παραβάσεων.
Η απόφαση αυτή επιβεβαιώνει με σαφήνεια ότι η πρόσβαση σε δεδομένα υγείας συνδέεται άρρηκτα με την ύπαρξη συγκεκριμένης και ενεργής θεραπευτικής σχέσης. Μετά τη λήξη της, ο ιατρός δεν διατηρεί γενική εξουσία πρόσβασης στα δεδομένα του πρώην ασθενούς, ακόμη και αν θεωρεί ότι ενεργεί προς όφελός του. Παράλληλα, αναδεικνύεται το όριο του δικαιώματος πρόσβασης του ασθενούς, το οποίο δεν εκτείνεται πέραν των δεδομένων που πράγματι τηρούνται.
Εν τέλει, η Απόφαση 11/2025 συμβάλλει ουσιωδώς στην ερμηνεία του ΓΚΠΔ στον τομέα της υγείας, υπενθυμίζοντας ότι η προστασία των προσωπικών δεδομένων δεν αποτελεί απλώς τυπική υποχρέωση, αλλά θεμελιώδη κανόνα που διέπει τη σχέση εμπιστοσύνης μεταξύ ιατρού και ασθενούς — ακόμη και μετά τη λήξη της.