Τα «ευαίσθητα» προσωπικά δεδομένα μέσα από τη νομολογία του ΕΔΔΑ

Ελένη Χρυσουλάκη (Δικηγόρος LLM Law & Economics, Μέλος ΕλΕΔΑ)

Η ταχεία εξέλιξη και η ευρεία χρήση της τεχνητής νοημοσύνης στον τομέα της υγείας αδιαμφισβήτητα διασταυρώνεται με τη συλλογή και επεξεργασία των δεδομένων προσωπικού χαρακτήρα και, ειδικότερα, με το ζήτημα της προστασίας αυτών στην περίπτωση των «δεδομένων υγείας». Τα δεδομένα υγείας εμπίπτουν στο προστατευτικό πεδίο των δεδομένων προσωπικού χαρακτήρα (άρθρο 4 στοιχ. 15 ΓΚΠΔ), ενώ ορίζονται ως οι σχετικές με το φυσικό πρόσωπο πληροφορίες που συλλέγονται κατά την εγγραφή του για τις υπηρεσίες υγείας και την παροχή αυτών, όπως επίσης και οι πληροφορίες που προκύπτουν από εξετάσεις ή αναλύσεις σε μέρος ή ουσία του σώματος από γενετικά και βιολογικά δείγματα, αλλά και κάθε πληροφορία σχετική με ασθένεια, αναπηρία, κίνδυνο ασθένειας, ιατρικό ιστορικό, κλινική θεραπεία ή τη φυσιολογική ή βιοϊατρική κατάσταση του υποκειμένου των δεδομένων (αιτιολογική σκέψη 35 ΓΚΠΔ).

Ειδικώς για την περίπτωση της επεξεργασίας δεδομένων για σκοπούς δημόσιας υγείας και έρευνας, τα προσωπικά δεδομένα που λαμβάνονται και συλλέγονται με τη συναίνεση των υποκειμένων των δεδομένων δεν χρησιμοποιούνται απεριόριστα, καθότι η συγκατάθεση περιορίζει τη δυνατότητα χρήσης αυτών για περαιτέρω σκοπούς, μη σχετιζόμενους με τον πρωταρχικό στόχο. Εν προκειμένω, η προστασία των προσωπικών δεδομένων απαιτεί «ψευδωνυμοποίηση, απόκρυψη ή ακόμη και ανωνυμία δεδομένων» (Π.Ο.Υ.), εάν τα δεδομένα αυτά εξακολουθούν να εξυπηρετούν σκοπό δημόσιας υγείας, καθότι η διατήρηση αυτών στην αρχική τους μορφή μόνο για λόγους ευκολίας ή για να ελαχιστοποιηθούν οι προσπάθειες επεξεργασίας, θα παραβίαζε καταφανώς τη νομοθεσία για την προστασία τους. Οι περιορισμοί που ενδέχεται να προκύψουν από την ανωτέρω διαδικασία στα δικαιώματα των υποκειμένων των δεδομένων είναι θεμιτοί, ωστόσο μόνο στο βαθμό που καθίστανται απολύτως απαραίτητοι και κατόπιν πλήρους αιτιολόγησης της δευτερογενούς χρήσης και της διατήρησης των δεδομένων για ερευνητικούς σκοπούς. Συνεπώς, οι φορείς δημόσιας υγείας που χρησιμοποιούν προσωπικά δεδομένα για ερευνητικούς σκοπούς υποχρεούνται να καθορίσουν το δημόσιο συμφέρον υγείας που επιθυμούν να επιδιώξουν, όπως επίσης και να προσδιορίσουν τις μεθόδους και τα προς χρήση εργαλεία που θα προκαλέσουν τον λιγότερο δυνατό περιορισμό στο δικαίωμα στην πληροφοριακή αυτοδιάθεση (λ.χ. η περίπτωση της πρόσφατης πανδημικής κρίσης του κορωνοϊού Covid-19).

Αναφορικά με τα γενετικά και βιομετρικά δεδομένα («ευαίσθητα» δεδομένα προσωπικού χαρακτήρα), το ΕΔΔΑ εκφράζει μέσα από τη νομολογία του επιφυλάξεις για ενδεχόμενο περιορισμό του δικαιώματος της ιδιωτικής ζωής, στον βαθμό που η ίδια συνδέεται άρρηκτα με τη γενετική πληροφόρηση, συνυπολογίζοντας τη ραγδαία εξέλιξη στους τομείς της γενετικής και της τεχνολογίας. Σύμφωνα με τη νομολογία του Δικαστηρίου, η διατήρηση των δειγμάτων κυττάρων παρεμβαίνει στο δικαίωμα της ιδιωτικής ζωής των ατόμων, λαμβάνοντας υπόψη το εξατομικευμένο πληροφοριακό περιεχόμενό τους και τη φύση τους [«Το Δικαστήριο επαναλαμβάνει ότι η απομνημόνευση από μια δημόσια αρχή δεδομένων που σχετίζονται με την ιδιωτική ζωή ενός ατόμου συνιστά παρέμβαση κατά την έννοια του άρθρου 8 (της Σύμβασης)», Amann κατά Ελβετίας 2000, αίτηση υπ’ αριθμ. 27798/95]. Το ζήτημα προστασίας των ευαίσθητων δεδομένων προσωπικού χαρακτήρα αποκτά ιδιαίτερο ενδιαφέρον στην περίπτωση της συλλογής δεδομένων DNA, όπου η δυνατότητα εξαγωγής συμπερασμάτων από αυτά ως προς την εθνοτική καταγωγή ενός ατόμου καθιστά τη διατήρησή τους ακόμη πιο ευαίσθητη και πιθανή να επηρεάσει το δικαίωμα στην ιδιωτική ζωή, απαιτώντας αυξημένη προστασία («Το Δικαστήριο αναφέρεται στο … συμπέρασμά του ότι η διατήρηση των δακτυλικών αποτυπωμάτων, των κυτταρικών δειγμάτων και των προφίλ DNA των προσφευγόντων παραβίασε το Άρθρο 8 της Σύμβασης», S. και Marper κατά Ηνωμένου Βασιλείου, 2008, αιτήσεις υπ’ αριθμ. 30562/04 και 30566/04). Όμως και στην περίπτωση της διαδικασίας αναγνώρισης πατρότητας, υφίστανται λιγότερες επιφυλάξεις, υπό την έννοια ότι τηρείται αυστηρό πλαίσιο προστασίας των προσωπικών δεδομένων και τα εθνικά δικαστήρια επιτυγχάνουν μια δίκαιη ισορροπία μεταξύ των συμφερόντων που διακυβεύονται, αποκλείοντας την παράνομη συλλογή και επεξεργασία για ερευνητικούς ή και φαρμακευτικούς σκοπούς (Mifsud κατά Μάλτας, 2019, αίτηση υπ’ αριθμ. 62257/15). Έτσι, το ΕΔΔΑ έχει δεχτεί ότι το άρθρο 8 της ΕΣΔΑ δεν απαγορεύει την προσφυγή σε ιατρική διαδικασία, παρά τις αντιρρήσεις ενός υπόπτου ή ενός μάρτυρα, για την απόκτηση αποδεικτικών στοιχείων, καθώς οι μέθοδοι αυτές δεν αντιτίθενται στο κράτος δικαίου.

Αναμφίβολα, η διατήρηση των κυτταρικών δειγμάτων και των προφίλ DNA έχει μεγαλύτερο αντίκτυπο στην ιδιωτική ζωή του ατόμου, από την αποθήκευση των δακτυλικών αποτυπωμάτων (S. και Marper κατά Ηνωμένου Βασιλείου 2008, αιτήσεις υπ’ αριθμ. 30562/04 και 30566/04). Ωστόσο, η συλλογή και διατήρηση των δακτυλικών αποτυπωμάτων (fingerprints) έχει κριθεί ότι συνιστά αυτοτελώς παρέμβαση στο δικαίωμα σεβασμού της ιδιωτικής ζωής (άρθρα 8 ΕΣΔΑ, 8 Χάρτη Θεμελιωδών Δικαιωμάτων της ΕΕ). Άλλωστε, η λήψη αυτών συνιστά ιδιάζον ζήτημα, δεδομένου του περιεχομένου των πληροφοριών που αυτά συγκεντρώνουν, όπως λ.χ. μοναδικές πληροφορίες σχετικά με τον φορέα του δικαιώματος βάσει των οποίων επιτυγχάνεται ακριβής ταυτοποίηση του ατόμου σε ένα ευρύ πεδίο περιστάσεων. Συγκεκριμένα το ΕΔΔΑ, με τη νομολογία του, επαναλαμβάνει ότι η έννοια της ιδιωτικής ζωής περιλαμβάνει πτυχές που σχετίζονται με την προσωπική ταυτότητα, όπως η εικόνα του ατόμου αλλά και τα δακτυλικά αποτυπώματά του. Στην υπόθεση P.N. κατά Γερμανίας (της 16ης /11/2020) το Δικαστήριο έκρινε τη λήψη και αποθήκευση εκ μέρους της αστυνομίας φωτογραφιών και δακτυλικών αποτυπωμάτων από τον αιτούντα για τα αστυνομικά αρχεία και για την εξυπηρέτηση μελλοντικών σκοπών αναγνώρισης, ως ενέργεια που ισοδυναμεί με παρέμβαση στο δικαίωμα του αιτούντος για σεβασμό της ιδιωτικής του ζωής, η οποία εντούτοις ήταν απαραίτητη σε μια δημοκρατική κοινωνία, ένεκα της βαρύτητας των αδικημάτων που είχε διαπράξει προηγουμένως ο προσφεύγων. 

Περαιτέρω, στην υπόθεση Willems κατά Ολλανδίας (12/2021, αίτηση υπ’ αρ. 57294/16), ο προσφεύγων υποστήριξε ότι η υποχρέωση -βάσει του νόμου περί διαβατηρίων-για λήψη δακτυλικών αποτυπωμάτων κατά την υποβολή αίτησης έκδοσης διαβατηρίου, καθώς και η αποθήκευση τέτοιων αποτυπωμάτων σε τσιπ του οποίου οι κωδικοί κρυπτογράφησης θα μπορούσαν να κοινοποιηθούν σε μη ευρωπαϊκές χώρες (με σκοπό την καταπολέμηση και πρόληψη της απάτης), συνιστούσαν αδικαιολόγητη παρέμβαση στο δικαίωμα σεβασμού της ιδιωτικής του ζωής, τονίζοντας τη μη ύπαρξη θεμιτού σκοπού για τη συγκεκριμένη παρέμβαση. Εν προκειμένω το ΕΔΔΑ δεν αμφισβήτησε τον θεμιτό σκοπό της παρέμβασης, ήτοι την πρόληψη του εγκλήματος, επισημαίνοντας ότι η σχετική νομοθεσία της ΕΕ αποσκοπεί, αφενός, στη διασφάλιση κοινών τεχνικών προτύπων για έγγραφα που απαιτούνται για τη διέλευση των εξωτερικών συνόρων και, αφετέρου, στην απλοποίηση των ελέγχων.

Η προστασία των προσωπικών δεδομένων -και ειδικότερα των ευαίσθητων δεδομένων- ανάγεται σήμερα σε πυξίδα όχι μόνο προόδου και εξέλιξης του δικαίου, αλλά και φιλικής προς τα θεμελιώδη δικαιώματα προσέγγισης της τεχνολογίας. Εστιάζοντας στην παρούσα ψηφιακή μετάβαση, ο υπεύθυνος επεξεργασίας προσωπικών δεδομένων οφείλει να διασφαλίζει τον αποτελεσματικό έλεγχο προστασίας των δεδομένων προσωπικού χαρακτήρα, τηρώντας τις αρχές της νομιμότητας, της διαφάνειας, του περιορισμού του σκοπού, της αναλογικότητας, της ακρίβειας των δεδομένων, του καθορισμού της χρονικής διάρκειας της επεξεργασίας, της «ακεραιότητας και εμπιστευτικότητας» και της λογοδοσίας. Ως εκ των ανωτέρω, η διαρκής εκπαίδευση και ενημέρωση όχι μόνο των υπευθύνων, αλλά και των πολιτών καθίσταται επιβεβλημένη για μια λειτουργική προσαρμογή στη νέα πραγματικότητα.