Πινγκ πονγκ με τα προσωπικά δεδομένα ασθενών

TΑΣΟΣ ΤΕΛΛΟΓΛΟΥ - kathimerini.gr

Το υπουργείο Υγείας επισημαίνει ότι ως υπεύθυνο καθορίζει τους τρόπους επεξεργασίας των στοιχείων που συλλέγονται από τα νοσοκομεία, προκειμένου να διασφαλίζεται το απόρρητο. Οι εταιρείες αντιτείνουν ότι αν τα στοιχεία διαρρεύσουν, θα κληθούν να πληρώσουν πρόστιμο έως και το 4% του ετήσιου τζίρου τους.

Την αποστολή προσωπικών δεδομένων των ασθενών ζητεί το υπουργείο Υγείας από τις εταιρείες που κάνουν τη σχετική επεξεργασία των στοιχείων σε κάθε νοσοκομείο. Κάποιες από αυτές τις εταιρείες αρνούνται και ζητούν από την Αρχή Προστασίας Προσωπικών Δεδομένων να τους κοινοποιήσει την άδεια που έχει χορηγήσει στο υπουργείο Υγείας. Το υπουργείο ζητεί να μη χορηγηθεί η άδεια, αλλά η Αρχή σκέφτεται να την κοινοποιήσει. Θα είναι η πρώτη φορά από την εφαρμογή του GDPR, της νέας σχετικής ευρωπαϊκής οδηγίας, που γίνεται κάτι τέτοιο, καθώς αυτή αφορά τα προσωπικά δεδομένα εκατομμυρίων ασθενών.

Η «Κ» είχε σημειώσει ήδη στις 18 Ιουλίου ότι για την εφαρμογή του ηλεκτρονικού συστήματος διοίκησης των νοσοκομείων του ΕΣΥ τον Μάρτιο του 2015, η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα με την υπ’ αριθμόν 3/2015 γνωμοδότησή της έδωσε άδεια στο υπουργείο Υγείας και στις υπηρεσίες του να προχωρήσουν στο έργο –το παλαιότερο νομικό πλαίσιο επέβαλε την έκδοση άδειας από την Αρχή– αλλά με κάποιες προϋποθέσεις. Η σημαντικότερη αφορούσε την ανωνυμοποίηση του ΑΜΚΑ (σ.σ. ο αλγόριθμός του «βγαίνει» από την ημερομηνία γέννησης). Πηγές της Αρχής που μίλησαν στην «Κ» είχαν εξηγήσει πως το υπουργείο Υγείας θα έπρεπε να τεκμηριώσει την ανάγκη της εφαρμογής, «κάτι που δεν είχε κάνει». Ακόμα, η Αρχή ζήτησε από τους υπεύθυνους της επεξεργασίας να κάνουν «εκτίμηση αντικτύπου». Τι σημαίνει αυτό; Να αξιολογήσουν τους κινδύνους για τα δεδομένα των ασθενών από την εφαρμογή της. Στις 26/7/2017, πριν από 1,5 χρόνο δηλαδή, η Αρχή έδωσε την οριστική της έγκριση.

Το υπουργείο Υγείας είχε εν τω μεταξύ δημιουργήσει έναν κωδικό κατακερματισμού του ΑΜΚΑ (έναν κωδικό που «κρύβει» τον ΑΜΚΑ), οι ηλικίες των ασθενών είχαν αντικατασταθεί από ένα εύρος ηλικιών και είχαν δημιουργηθεί δύο διαφορετικά «κλειδιά» για την πρόσβαση στα δεδομένα. Οσα νοσοκομεία ανήκουν στο σύστημα της ΗΔΙΚΑ (Ηλεκτρονική Διακυβέρνηση Κοινωνικής Ασφάλισης), π.χ. «Ελπίδα», «Ευαγγελισμός», παρέδωσαν τα στοιχεία των ασθενών στο υπουργείο χωρίς να έχει γίνει η ανωνυμοποίηση η οποία θα πραγματοποιηθεί στο υπουργείο. Τα στοιχεία νοσοκομείων της Θεσσαλονίκης κατεγράφησαν με reverse engineering, με σιωπηλή συναίνεση της εταιρείας, αλλά κάποιες εταιρείες αρνούνται να παραδώσουν τα στοιχεία αν δεν τα ανωνυμοποιήσουν οι ίδιες.

Ο υπεύθυνος του υπουργείου Υγείας για την προστασία των δεδομένων, δικηγόρος κ. Δημήτρης Ζωγραφόπουλος, διαβεβαιώνει με επιστολή του στις 23 Οκτωβρίου 2018 ότι το υπουργείο έχει λάβει όλα τα μέτρα προκειμένου η επεξεργασία των στοιχείων των ασθενών να γίνει σύμφωνα με τις διατάξεις του γενικού κανονισμού και πάντως για την επεξεργασία αυτή διαθέτει την άδεια της Αρχής Προστασίας.

Οι εταιρείες από την πλευρά τους που αρνούνται να παράσχουν για νομικούς λόγους τα στοιχεία –χωρίς αυτά να έχουν ανωνυμοποιηθεί– στο υπουργείο, υποστηρίζουν ότι θα μπορούσαν οι ίδιες να ανωνυμοποιούν τα στοιχεία και να τα στέλνουν ανώνυμα στον χώρο επεξεργασίας του υπουργείου (δεν θα βρίσκεται μέσα στα νοσοκομεία). Προτείνουν, μάλιστα, και έναν συγκεκριμένο τρόπο ανωνυμοποίησης προτού δοθούν τα στοιχεία, ο οποίος απορρίπτεται από το υπουργείο Υγείας. Ο κ. Ζωγραφόπουλος τους επισημαίνει ότι το υπουργείο Υγείας, ως υπεύθυνο επεξεργασίας, καθορίζει τους σκοπούς και τους τρόπους επεξεργασίας προκειμένου να διασφαλίζονται το απόρρητο και η ασφάλεια της διαδικασίας.

«...Τα συγκεκριμένα μέλη σας έχουν μεν το δικαίωμα, ως εκτελούντες την επεξεργασία, να ενημερώσουν αμέσως τον υπεύθυνο επεξεργασίας, εάν, κατά την άποψή τους, κάποια εντολή παραβιάζει τον παρόντα κανονισμό ή άλλες ενωσιακές ή εθνικές διατάξεις περί προστασίας δεδομένων, κατά το άρθρο 28 παρ. 3, τελευταίο εδάφιο, του Γενικού Κανονισμού Προστασίας Δεδομένων. Ωστόσο, οι απόψεις τους αυτές είναι, όπως προαναφέρθηκε, αβάσιμες από νομική και τεχνική άποψη...».

Η ένωση των εταιρειών πληροφορικής της Υγείας από την πλευρά της διατυπώνει, μεταξύ άλλων, την ένσταση ότι ο σχεδιασμός του έργου θέλει περαιτέρω βελτίωση, διότι «δεν περιλαμβάνει ασφαλές μοντέλο πλήρους και μη αναστρέψιμης ανωνυμοποίησης των δεδομένων».

Η μέθοδος ανωνυμοποίησης

Στον τομέα της πληροφορικής και στο επιστημονικό πεδίο που αφορά την κρυπτογράφηση/ανωνυμοποίηση των δεδομένων, υπάρχει τεχνικά τρόπος τα δεδομένα να ανωνυμοποιούνται από την κάθε επιμέρους εταιρεία πληροφορικής ήδη πριν από τη μεταφορά τους στον διακομιστικό κόμβο, με την ίδια μεθοδολογία, που θα έχει αποτέλεσμα να συσχετίζονται τα δεδομένα που αφορούν το ίδιο φυσικό πρόσωπο. Σε περίπτωση που χρησιμοποιηθεί η εν λόγω τεχνική, διευκρινίζεται ότι δεν θα είναι δυνατή η αναστροφή της ανωνυμοποίησης/κρυπτογράφησης από τις επιμέρους εταιρείες, επειδή δεν θα έχουν πρόσβαση στο σημείο όπου μεταφέρθηκαν τα εν λόγω δεδομένα.

Σημειώνεται ακόμα ότι οι συμβατικές σχέσεις μεταξύ αναθέτουσας αρχής και αναδόχων για το συγκεκριμένο έργο έχουν εμφανώς «ασυμβίβαστους ρόλους». Το υπουργείο θεωρεί τις ανησυχίες που εγείρονται υπερβολικές και παράγοντές του διευκρινίζουν ότι οι επιφυλάξεις που προβάλλουν οι εταιρείες για να μην παραδώσουν τα στοιχεία των ασθενών που τα θεωρούν δικά τους, «αλλά είναι των ασθενών», δεν ευσταθούν. Οι εταιρείες αντιτείνουν ότι, αν τα στοιχεία διαρρεύσουν, θα πρέπει να πληρώσουν πρόστιμο έως και το 4% του ετήσιου τζίρου τους.