Η Νομιμότητα Επεξεργασίας Προσωπικών Δεδομένων επί Covid-19 ∙ Η βεβαίωση Εμβολιασμού

Απόλυτα επίκαιρο ζήτημα αποτελεί η πρωτόγνωρη κατάσταση που βιώνουμε σήμερα στο πλαίσιο της πανδημίας του Covid-19, και ό,τι αυτή συνεπάγεται από πλευράς περιορισμού των ελευθεριών, πρόταξης του δημόσιου συμφέροντος και αναστολής παραδεδεγμένων κανόνων περί προστασίας της ιδιωτικής ζωής και των προσωπικών δεδομένων.

Στις 11 Μαρτίου του 2020, o Παγκόσμιος Οργανισμός Υγείας-Π.Ο.Υ. (World Health Organisation-WHO) κήρυξε την ασθένεια από τον ιό Covid-19 ως παγκόσμια πανδημία[1]. Η ανακοίνωση αυτή αποτέλεσε την αφετηρία ώστε ο ιός να πάρει την μορφή γενικευμένης απειλής για την δημόσια υγεία, γεγονός που πυροδότησε μία γνωστή σύγκρουση μεταξύ του δικαιώματος προστασίας της αυτοδιάθεσης, της ιδιωτικής ζωής και των προσωπικών δεδομένων από την μία πλευρά και του δημοσίου συμφέροντος, κυρίως υπό την ειδικότερη εκδοχή της δημόσιας υγείας, από την άλλη. Παρά το γεγονός ότι η σύγκρουση αυτή συνεπάγεται την υποχρέωση για στάθμιση των εννόμων αγαθών που διακυβεύονται, η προστασία της δημόσιας υγείας κατηγορείται ως διαχρονικά συνυφασμένη με τον περιορισμό των ατομικών ελευθεριών, δεδομένου ότι προστασία της δημόσιας υγείας σημαίνει προστασία του δικαιώματος της ζωής και της υγείας του συνόλου των μελών μίας κρατικής κοινωνίας.

Στο πλαίσιο αυτό, και δεδομένου ότι μία πανδημία μπορεί ευκολότερα να δικαιολογήσει τον εν λόγω περιορισμό, «νομιμοποιούνται» ενέργειες και συμπεριφορές οι οποίες καταρχάς απαγορεύονται με βάση το νομικό πλαίσιο για την προστασία προσωπικών δεδομένων. Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ), αφουγκραζόμενη την ανάγκη να διατυπώσει τις θέσεις της αναφορικά με περιστατικά που αποτυπώνουν τον περιορισμό του δικαιώματος προστασίας προσωπικών δεδομένων εν καιρώ Covid-19, όπως για παράδειγμα η θερμομέτρηση στην είσοδο χώρου εργασίας ή η υποχρέωση εργαζόμενου να κοινοποιεί το αποτέλεσμα των εξετάσεων για Covid-19, εξέδωσε τις με ημερομηνία 18.03.2020 Κατευθυντήριες Γραμμές αναφορικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της διαχείρισης του Covid-19[2]. Με το κείμενο αυτό η ΑΠΔΠΧ προδιέγραψε τις δυνατότητες νόμιμης επεξεργασίας από τις αρμόδιες δημόσιες αρχές και τους ιδιωτικούς φορείς, ως υπευθύνους επεξεργασίας, βάσει του Γενικού Κανονισμού Προστασίας Δεδομένων (GDPR) και της εθνικής νομοθεσίας για τα προσωπικά δεδομένα (Ν. 4624/2019).

Σύμφωνα με την ΑΠΔΠΧ, τα προσωπικά δεδομένα που τίθενται υπό επεξεργασία ανήκουν καταρχάς στην ειδική κατηγορία των δεδομένων υγείας καθώς πρόκειται για πληροφορίες όπως η κατάσταση υποκειμένου δεδομένων ως νοσούντος ή µη, η κατ’ οίκον παραμονή του λόγω ασθένειας, η διαπίστωση ενδείξεων ασθένειας καθώς και η κλινική του εικόνα (ενδεικτικά, βήχας, καταρροή, θερμοκρασία ανώτερη της φυσιολογικής κλπ.). Από την άλλη πλευρά, προσωπικά δεδομένα υπό επεξεργασία δύνανται, υπό προϋποθέσεις, να αποτελούν και απλές πληροφορίες όπως εάν ένα υποκείμενο δεδομένων ταξίδεψε πρόσφατα σε αλλοδαπό κράτος µε εκτεταµένη διάδοση του Covid-19 ή εάν οικείος ή συνεργάτης του είναι ασθενής ή έχει προσβληθεί από τον ιό.[3]

Η επεξεργασία δεδομένων προσωπικού χαρακτήρα υγείας στο πλαίσιο λήψης μέτρων κατά του Covid-19 διενεργείται τόσο από τις αρμόδιες δημόσιες αρχές όσο και από ιδιώτες, ειδικά στο πλαίσιο των εργασιακών σχέσεων. Ως εκ τούτου οι αρμόδιες δημόσιες αρχές αποτελούν τους υπευθύνους επεξεργασίας που επεξεργάζονται δεδομένα προσωπικού χαρακτήρα απλά και υγείας (ειδικής κατηγορίας) με σκοπό την προστασία της δημόσιας υγείας.  Όσον αφορά τον ιδιωτικό τομέα, ιδίως τις εργασιακές σχέσεις, ο σκοπός της επεξεργασίας προκύπτει από το γεγονός ότι ο εργοδότης υποχρεούται να εξασφαλίζει την υγεία και την ασφάλεια των εργαζομένων λαμβάνοντας τα αναγκαία συναφή προστατευτικά μέτρα προς αποφυγή επέλευσης σοβαρού, άμεσου και αναπόφευκτου κινδύνου αυτών, εγγυώμενος μάλιστα το ασφαλές και υγιές περιβάλλον εργασίας. Οι εργαζόμενοι, από την άλλη πλευρά, οφείλουν ομοίως να εφαρμόζουν τους κανόνες υγείας και ασφάλειας των ιδίων αλλά και άλλων ατόμων που επηρεάζονται από πράξεις ή παραλείψεις τους, περιλαμβανομένης της υποχρέωσής τους να αναφέρουν αμέσως στον εργοδότη ή/και στον εκτελούντα καθήκοντα ιατρού εργασίας όλες τις καταστάσεις που μπορεί να θεωρηθεί εύλογα ότι παρουσιάζουν άμεσο και σοβαρό κίνδυνο για την ασφάλεια και την υγεία.[4]

Η νομική βάση που κατεξοχήν χρησιμοποιείται για να νομιμοποιηθούν κατ’ εξαίρεση,  αυτές οι επεξεργασίες δεδομένων, είναι, για την περίπτωση των δεδομένων υγείας, η προστασία του δημόσιου συμφέροντος στον τομέα της δημόσιας υγείας, και ειδικότερα έναντι σοβαρών διασυνοριακών απειλών κατά της υγείας και, για την περίπτωση των απλών προσωπικών δεδομένων, η εκπλήρωση καθήκοντος για την προστασία του δημόσιου συμφέροντος. Εάν και οι συγκεκριμένες διατάξεις του GDPR φαίνεται να αντικατοπτρίζουν την περίπτωση της πανδημίας σε μεγάλο βαθμό, η ΑΠΔΠΧ έκρινε ότι, πέραν της επίκλησης της δημόσιας υγείας ως ειδικότερης εκδήλωσης του δημόσιου συμφέροντος, υπάρχουν κι άλλες νομικές βάσεις που μπορούν κατά περίπτωση να «δικαιολογήσουν» τέτοιες επεξεργασίες και είναι οι εξής:

1. Η συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας.
2. Η διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου.
3. Η εκτέλεση των υποχρεώσεων και η άσκηση συγκεκριμένων δικαιωμάτων του υπευθύνου επεξεργασίας ή του υποκειμένου των δεδομένων στον τομέα του εργατικού δικαίου και του δικαίου κοινωνικής ασφάλισης και κοινωνικής προστασίας.
4. Η δημοσιοποίηση των προσωπικών δεδομένων προδήλως από το ίδιο το υποκείμενο των δεδομένων.
5. Η προληπτική ή επαγγελματική ιατρική εκτίμηση της ικανότητας προς εργασία του εργαζομένου, ιατρική διάγνωση, παροχή υγειονομικής ή κοινωνικής περίθαλψης ή θεραπείας ή διαχείρισης υγειονομικών και κοινωνικών συστημάτων και υπηρεσιών.

Αντιλαμβάνεται κανείς ότι όσο περισσότερες είναι οι νομικές βάσεις που μπορούν να χρησιμοποιηθούν για να νομιμοποιήσουν μία επεξεργασία προσωπικών δεδομένων τόσο ευκολότερα μπορεί η κατάσταση να εκφύγει του μέτρου με αποτέλεσμα να δικαιολογούνται στον βωμό της έκτακτης συνθήκης όλο και περισσότερες επεξεργασίες που υπό «κανονικές» συνθήκες θα απαγορεύονταν ρητά. Στην συγκεκριμένη εξέλιξη, που είναι φυσικά απευκταία, συμβάλλει και η ευρύτητα με την οποία κατεξοχήν αντιμετωπίζεται το δημόσιο συμφέρον ως αντίβαρο στην εκδήλωση των ατομικών ελευθεριών και ειδικότερα στην προστασία της ιδιωτικής ζωής και των προσωπικών δεδομένων. Σε κάθε περίπτωση, η νομιμότητα της επεξεργασίας, ακόμη και όταν στοιχειοθετείται νομική βάση, πρέπει να κρίνεται ad hoc, βάσει της αρχής της αναλογικότητας, όταν δηλαδή διαπιστωθεί η αναγκαιότητα και προσφορότητα της επεξεργασίας αυτής και καταφαθεί ότι δεν υπάρχουν εξίσου αποτελεσματικά και ηπιότερα μέτρα.

Σε συνέχεια των ανωτέρω, ενδιαφέρον παρουσιάζουν οι απαντήσεις της Ιταλικής Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, κατ’ εφαρμογή του GDPR, σε ερωτήματα σχετικά με την επεξεργασία προσωπικών δεδομένων στην υγειονομική περίθαλψη ενόψει έκτακτης ανάγκης αναφορικά με την υγεία[5].

Οι θέσεις της Ιταλικής Αρχής ταυτίζονται σε μεγάλο βαθμό με αυτές της ΑΠΔΠΧ. Ενδεικτικά, στην ερώτηση εάν είναι νόμιμο για έναν επαγγελματία υγείας, όταν κάνει τεστ για το Cοvid-19, να ρωτήσει τον ασθενή σχετικά με την ταυτότητα του θετικού στον ιό ατόμου με το οποίο ο ασθενής αυτός είχε στενή επαφή, η Ιταλική αρχή απαντά καταφατικά, καθώς ο επαγγελματίας υγείας απαιτείται να εντοπίσει τις στενές επαφές ενός ατόμου που έχει διαγνωσθεί θετικός στον Cοvid-19 προκειμένου να προσδιορίσει τα πιο κατάλληλα μέτρα περιορισμού. Ωστόσο, στην ερώτηση εάν επιτρέπεται η διάδοση των προσωπικών δεδομένων των ατόμων που διαγνώσθηκαν θετικά ή τέθηκαν σε καραντίνα, απαντά πως η διάδοση αυτή εξακολουθεί να απαγορεύεται σύμφωνα με το νομικό πλαίσιο για την προστασία των προσωπικών δεδομένων και η απαγόρευση δεν αίρεται ούτε με βάση τη νομοθεσία έκτακτης ανάγκης για την  διαχείριση του Cοvid-19. Οι  φορείς υγειονομικής περίθαλψης και οποιοσδήποτε άλλος δημόσιος ή ιδιωτικός φορέας δεν επιτρέπεται να διαδίδουν, μέσω ιστότοπων ή άλλων μέσων ενημέρωσης ή/και επικοινωνίας, τα ονόματα ατόμων που διαγνώσθηκαν θετικά ή τέθηκαν σε καραντίνα ακόμη και εάν θεωρηθεί πως η κοινοποίηση αυτή θα λειτουργούσε επιβοηθητικά στον περιορισμό της εξάπλωσης της πανδημίας.

Περαιτέρω, η Ιταλική Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα κλήθηκε να απαντήσει σε ερωτήματα που παρουσιάζουν ιδιαίτερο ενδιαφέρον και για την δική μας χώρα καθώς η ΑΠΔΠΧ δεν έχει ακόμη εκφράσει τις θέσεις της επ’ αυτών, παρά το γεγονός ότι πρόκειται για ζητήματα που δημιουργούν απορίες ή/και αντιδράσεις στην ελληνική πραγματικότητα και μόνο με το άκουσμα τους. Συγκεκριμένα, η Ιταλική Αρχή κλήθηκε να απαντήσει στο καίριο ερώτημα εάν μπορεί ο εργοδότης να ζητήσει από τους υπαλλήλους του την επιβεβαίωση του εμβολιασμού[6]. Η απάντηση της Ιταλικής Αρχής είναι αρνητική. Ο εργοδότης δεν μπορεί να ζητήσει από τους υπαλλήλους του να παράσχουν πληροφορίες σχετικά με την κατάσταση εμβολιασμού τους ή αντίγραφα εγγράφων που αποδεικνύουν τον εμβολιασμό κατά του Covid-19. Αυτή η επεξεργασία δεν μπορεί να νομιμοποιηθεί ούτε στην βάση της προστασίας και της ασφάλειας στο χώρο εργασίας αλλά ούτε και στην συγκατάθεση των εργαζόμενων, δεδομένου ότι η συγκατάθεση, λόγω της ανισορροπίας της σχέσης μεταξύ του εργοδότη και του εργαζόμενου στο πλαίσιο εργασίας δεν μπορεί να αποτελεί έγκυρη προϋπόθεση νομιμότητας. Περαιτέρω, ούτε ο αρμόδιος ιατρός μπορεί να κοινοποιήσει στον εργοδότη τα ονόματα των εμβολιασμένων εργαζομένων. Ο εργοδότης μπορεί να απαιτήσει να λάβει γνώση μόνο των απαραίτητων για την καταλληλότητα του εργαζομένου στην  συγκεκριμένη εργασία αποτελεσμάτων. Από τα ανωτέρω, διαφαίνεται η διάθεση της Ιταλικής Αρχής να διαφοροποιήσει την περίπτωση πληροφόρησης του εργοδότη για τεστ εργαζομένου του για Covid-19 από την πληροφόρηση του για τον εμβολιασμό, πιθανότατα κατόπιν στάθμισης με βάση την αρχή της αναλογικότητας καθώς η πληροφόρηση για τον εμβολιασμό δεν συνεπάγεται άμεσα την ακαταλληλότητα του εργαζόμενου για εργασία, σε αντίθεση με το θετικό αποτέλεσμα του τεστ Covid-19 που άμεσα καθιστά τον εργαζόμενο τόσο ακατάλληλο όσο και επικίνδυνο στον χώρο εργασίας. Τέλος, στο ερώτημα εάν μπορεί ο εμβολιασμός κατά του covid-19 να θεωρηθεί προϋπόθεση για την πρόσβαση στον χώρο εργασίας και για την εκτέλεση ορισμένων εργασιών (π.χ. στον τομέα της υγείας), η Ιταλική Αρχή απαντά αρνητικά και συνεχίζει πως μέχρι τώρα δεν υπάρχει αντίστοιχη νομοθετική πρόβλεψη.

Την 18.01.2021 δημοσιεύθηκε στην Εφημερίδα της Κυβερνήσεως η ΚΥΑ 1163 (ΦΕΚ Β’ 114/18-1-2021), για τη διαδικασία έκδοσης βεβαίωσης εμβολιασμού κατά του Covid-19. Η ΚΥΑ επαναλαμβάνει τις διατάξεις του άρθρου 55 παρ.5 του Ν.4764/2020, το οποίο προβλέπει την έκδοσή της βεβαίωσης, με μια σημαντική προσθήκη, την αναφορά στο δικαίωμα πρόσβασης του GDPR (άρθρο 15). Ειδικότερα, με την παρ. 5 του άρθρου 55 Ν. 4764/2020 προβλέφθηκε η δημιουργία ηλεκτρονικής πλατφόρμας έκδοσης βεβαίωσης εμβολιασμού κατά του Covid-19, η οποία λειτουργεί μέσω της Ενιαίας Ψηφιακής Πύλης Δημόσιας Διοίκησης. Μεταξύ άλλων η εν λόγω διάταξη διατυπώνει το δικαίωμα του κάθε πολίτη να αιτηθεί και να λάβει την βεβαίωση του εμβολιασμού του, η οποία εμπεριέχει το όνομα, το επώνυμο, τον Αριθμό Μητρώου Κοινωνικής Ασφάλισης (ΑΜΚΑ), την ημερομηνία εμβολιασμού, το εμβολιαστικό κέντρο ή τη δομή όπου διενεργήθηκε ο εμβολιασμός και τον τύπο του εμβολίου.

Είναι αξιοσημείωτο ότι ενώ υπάρχει ήδη νομοθετική ρύθμιση σχετικά με την διαδικασία έκδοσης βεβαίωσης εμβολιασμού αλλά και σχετικά με το δικαίωμα πρόσβασης του υποκειμένου σε αυτήν, δεν έχει ακόμη διευκρινισθεί εάν και υπό ποιες προϋποθέσεις θα μπορεί η βεβαίωση αυτή να γίνει αντικείμενο επεξεργασίας, από ποια πρόσωπα και για ποιον σκοπό. Εάν δεν πρόκειται αυτή η βεβαίωση να χρησιμοποιηθεί περαιτέρω, πέραν της χρήσης της από το ίδιο το υποκείμενο, υπάρχει άραγε λόγος να θεσμοθετηθεί η δημιουργία ηλεκτρονικής πλατφόρμας έκδοσης βεβαίωσης εμβολιασμού;

Το ζήτημα του υποχρεωτικού εμβολιασμού παραμένει ακόμη υπό συζήτηση με τους επιστήμονες τόσο του ιατρικού όσο και του νομικού κλάδου να μην μπορούν να διατυπώσουν μία ομόφωνη θέση. Ενδιαφέρον σημειώνουν αποφάσεις των εθνικών δικαστηρίων αλλά και του Ευρωπαϊκού Δικαστηρίου Δικαιωμάτων του Ανθρώπου που μεταξύ άλλων αναφέρουν ότι ο υποχρεωτικός εμβολιασμός είναι αναγκαίος σε μία δημοκρατική κοινωνία  καθώς θέτει τους νόμιμους στόχους της προστασίας της υγείας και των δικαιωμάτων του άλλου, προστατεύοντας τόσο εκείνους που εμβολιάζονται, όσο και εκείνους που δεν μπορούν να εμβολιασθούν για ιατρικούς λόγους. Ειδικότερα, το Συμβούλιο της Επικρατείας αποφάνθηκε ότι η συνταγματική δημόσιου σκοπού πρόβλεψη του κράτους να λαμβάνει μέριμνα για τη δημόσια υγεία επιτρέπει την διαγραφή νηπίου από δημοτικό παιδικό σταθμό, εφόσον διαπιστωθεί ότι δεν συντρέχει κάποια από τις προϋποθέσεις εγγραφής του.[7] Τόσο η απόφαση του Συμβουλίου της Επικρατείας, όσο και η απόφαση του Ευρωπαϊκού Δικαστηρίου Δικαιωμάτων του Ανθρώπου[8], τάσσονται υπέρ της υποχρεωτικότητας του εμβολιασμού για τις γνωστές παιδικές ασθένειες και αποφαίνονται ότι είναι νόμιμη τόσο η απαγόρευση εγγραφής ανεμβολίαστων παιδιών στα νηπιαγωγεία όσο και η διαγραφή τους.

Οι προαναφερθείσες αποφάσεις φαίνεται να λειτουργούν ως προπομπός της σημερινής συζήτησης περί έμμεσης ή άμεσης υποχρεωτικότητας εμβολιασμού κατά του Covid-19. Είναι γεγονός, ότι, εν αναμονή παρέμβασης του εθνικού νομοθέτη, δεν φαντάζει σήμερα διόλου απίθανο ο εμβολιασμός να τεθεί ως προϋπόθεση για την εκτέλεση ορισμένων επαγγελμάτων Υγείας ή και άλλων που συνεπάγονται υψηλά επίπεδα κινδύνου για τους εργαζόμενους και τους ασθενείς, παρευρισκόμενους ή πελάτες. Ερωτήματα που ευλόγως ανακύπτουν είναι με ποια κριτήρια θα μπορούσε να καθορισθεί με ασφάλεια ποια επαγγέλματα συνεπάγονται υψηλά επίπεδα κινδύνου και κατά πόσο μπορεί να επιβληθεί έστω έμμεσα ένα εμβόλιο που βρίσκεται ακόμη σε πολύ αρχικό στάδιο εφαρμογής και άρα η αποτελεσματικότητα του δεν μπορεί να κριθεί σε απόλυτο βαθμό. Εν αναμονή των εξελίξεων…

Ζωή Αθανασιάδου (LL.M., Ph.D. c. ) 

Δικηγόρος-Νομικός σύμβουλος

[1] Ανακοίνωση από τον Γενικό Διευθυντή του Π.Ο.Υ.,  Dr. Tedros Adhanom Ghebreyesus, σε Συνέντευξη Τύπου για τον Covid-19 την 11.03.2020.

[2] ΚΑΤΕΥΘΥΝΤΗΡΙΕΣ ΓΡΑΜΜΕΣ 1/2020: Επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της διαχείρισης του COVID-19.

[3] ΚΑΤΕΥΘΥΝΤΗΡΙΕΣ ΓΡΑΜΜΕΣ 1/2020: Επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της διαχείρισης του COVID-19.

[4] ΚΑΤΕΥΘΥΝΤΗΡΙΕΣ ΓΡΑΜΜΕΣ 1/2020: Επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της διαχείρισης του COVID-19.

[5] https://www.garanteprivacy.it/temi/coronavirus/faq#English.

[6] https://www.garanteprivacy.it/temi/coronavirus/faq#vaccini.

[7] ΣΤΕ 2387/2020.

[8] Court’s first judgment on compulsory childhood vaccination: No violation of the Convention (ECHR 116 (2021) 08.04.2021), CASE OF VAVŘIČKA AND OTHERS v. THE CZECH REPUBLIC.