Με την υπ΄ αριθμ. 75/2009 απόφαση, η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα έκρινε ότι είναι νόμιμη η δημιουργία και λειτουργία διαδικτυακής βάσης δεδομένων αναζήτησης ιατρών – μελών του Ιατρικού Συλλόγου Αθηνών από χρήστες Διαδικτύου, υπό τον όρο ότι προηγουμένως θα ενημερώσει η εταιρεία τους ιατρούς μέλη του ΙΣΑ για το γεγονός αυτό με συστημένη επιστολή και θα τους δώσει παράλληλα την «εύλογη προθεσμία» των εξήντα ημερών για να ασκήσουν το «δικαίωμα αντίρρησης», δηλαδή να μη δεχθούν να αναγράφεται το επώνυμο και τα άλλα στοιχεία τους στην βάση δεδομένων.
Ειδικότερα, η εταιρία “3DUBEE Α.Ε.” γνωστοποίησε στην Αρχή ότι προτίθεται να θέσει σε λειτουργία μια ιστοσελίδα, στην οποία θα αναρτηθούν πληροφορίες εντοπισμού και επικοινωνίας με ιατρούς της Αθήνας και της περιφέρειας Αττικής, όπου διατηρούν ιατρεία. Για τον σκοπό αυτό, και με νομιμοποιητική βάση της εν λόγω επεξεργασίας τον Ν. 3448/2006 “για την περαιτέρω χρήση πληροφοριών του δημοσίου τομέα και τη ρύθμιση θεμάτων του Υπουργείου Εσωτερικών, Δημόσιας Διοίκησης και Αποκέντρωσης” (ΦΕΚ Α 57/15-3-2006), ζήτησε από τον Ιατρικό Σύλλογο Αθηνών (εφεξής “Ι.Σ.Α.”) να της χορηγήσει αντίγραφο του μητρώου των μελών του. Επιπλέον, με αίτησή της στην Αρχή, ζήτησε τη γνωμοδότηση της Αρχής για τη νομιμότητα επεξεργασίας δεδομένων και υπέβαλε αίτημα να χορηγηθεί από την Αρχή άδεια για ενημέρωση των υποκειμένων των δεδομένων δια του τύπου.
Η Αρχή έκρινε, μεταξύ άλλων, ότι η ανάρτηση καταλόγου των ιατρών – μελών του Ι.Σ.Α. στην ιστοσελίδα του, συνιστά δημόσια προσβάσιμη πηγή εφόσον πράγματι ο κατάλογος αυτός με τα δημοσιοποιημένα στοιχεία των ιατρών αποβλέπει στην ενημέρωση του κοινού και περιέχει τα απολύτως απαραίτητα στοιχεία για τον σκοπό της ενημέρωσης. Παραλλήλως, τα υποκείμενα των δεδομένων, οι ιατροί – μέλη του Ι.Σ.Α. κατά τη συμπλήρωση του ειδικού εντύπου της ετήσιας συνδρομής, ενημερώνονται για τη διάθεση των προσωπικών δεδομένων, που τηρούνται στον Ι.Σ.Α. για επιστημονικούς, ενημερωτικούς ή (αορίστως) άλλους σκοπούς, καθώς και για την έκδοση επετηρίδας των μελών και την ανάρτηση των στοιχείων τους στην ιστοσελίδα του, συγχρόνως δε παρέχεται στα μέλη η δυνατότητα να δηλώσουν, σε ειδικό πλαίσιο, την άρνησή τους σχετικά με τη διάθεση των παραπάνω προσωπικών τους δεδομένων. Αντιθέτως, οι ιατροί δεν ενημερώνονται για τη δυνατότητα χρήσης των δεδομένων προσωπικού χαρακτήρα που τους αφορούν και περιέχονται στον εν λόγω κατάλογο για συγκεκριμένο άλλο σκοπό απ’ αυτόν για τον οποίο είχαν αρχικώς συλλεγεί.
Η Αρχή έκανε δεκτό ότι οι διατάξεις του νόμου 3448/2006 εφαρμόζονται και κατά την περαιτέρω χρήση πληροφοριών που αντλούνται από δημόσια προσβάσιμη πηγή, διότι και στην περίπτωση αυτή οι αντλούμενες πληροφορίες δεν παύουν να «βρίσκονται στην κατοχή» του υπεύθυνου επεξεργασίας. Περαιτέρω, δέχθηκε ότι η διαβίβαση των εγγράφων γίνεται με την επιφύλαξη της τήρησης των διατάξεων για την προστασία του ατόμου από την επεξεργασία δεδομένων προσωπικού χαρακτήρα (Ν. 2472/1997). Η υποχρέωση όμως απάλειψης των προσωπικών δεδομένων, που προβλέπεται από το άρθρο 3 παρ. 2 του Ν. 3448/2006, δεν καταλαμβάνει και την περίπτωση χορήγησης εγγράφων, τα οποία περιέχουν μόνον προσωπικά δεδομένα, προκειμένου να καταρτισθεί νέο αρχείο με τα δεδομένα αυτά. Η αδόκιμη γραμματική διατύπωση του νόμου (…και σε κάθε περίπτωση…), που δεν ανταποκρίνεται σε αντίστοιχη διάταξη της μεταφερόμενης κοινοτικής οδηγίας, δεν δικαιολογεί αντίθετη ερμηνεία, η οποία θα οδηγούσε στο άτοπο της αδυναμίας περαιτέρω χρήσης καταλόγων με ονοματεπώνυμα και άλλα προσωπικά στοιχεία. Στην περίπτωση αυτή η προστασία των φυσικών προσώπων που περιλαμβάνονται στον κατάλογο επιτυγχάνεται με την εφαρμογή των διατάξεων του Ν. 2472/1997 και των λοιπών συναφών διατάξεων.
Σύμφωνα με την Αρχή, η περαιτέρω χρήση εγγράφων του δημόσιου τομέα για σκοπούς εμπορικής εκμετάλλευσης είναι καταρχήν επιτρεπτή και δεν θεωρείται ασυμβίβαστη με τον πρωτογενή σκοπό της σύνταξης του δημοσίου εγγράφου. Περαιτέρω, όμως πρέπει να εξασφαλίζονται επαρκώς τα έννομα συμφέροντα των υποκειμένων, τα οποία έχουν κοινοποιήσει τα προσωπικά τους δεδομένα για ένα συγκεκριμένο σκοπό και δεν αναμένουν να χρησιμοποιηθούν αυτά για ένα περαιτέρω σκοπό που δεν σχετίζεται άμεσα με τον αρχικό σκοπό, όπως είναι η περίπτωση του δευτερογενούς σκοπού της εμπορικής εκμετάλλευσης.
Στην προκειμένη περίπτωση το αίτημα της εταιρείας 3DUBEE αφορά την άντληση προσωπικών δεδομένων των ιατρών – μελών του Ι.Σ.Α., από την ιστοσελίδα του συλλόγου, προκειμένου να δημιουργηθεί μια νέα διαδικτυακή πληροφοριακή πύλη για την ευχερέστερη αναζήτηση από τους ιδιώτες των ιατρών κατά ειδικότητα και εδαφικά διαμερίσματα, καθώς και με άλλες πρόσθετες πληροφορίες (π.χ. συμβεβλημένοι με ασφαλιστικά ταμεία). Ο δευτερογενής σκοπός επεξεργασίας είναι διαφορετικός από τον αρχικό (επετηρίδα ιατρών, ενημέρωση του κοινού, επιστημονική συνεργασία) αλλά όχι και ασυμβίβαστος, εφόσον η δημιουργία και λειτουργία της νέας εμπλουτισμένης βάσης δεδομένων αφορά ομοίως την ενημέρωση του κοινού.
Το διατακτικό της απόφασης, έχει ως εξής:
Η Αρχή,
1. Αποφαίνεται ότι είναι νόμιμη η δημιουργία και λειτουργία από την εταιρεία 3DUBEE, on-line βάσης δεδομένων αναζήτησης ιατρών – μελών του Ι.Σ.Α. από χρήστες διαδικτύου, όπως αυτή έχει γνωστοποιηθεί στην Αρχή, υπό τον όρο της προηγούμενης ενημέρωσης των υποκειμένων των δεδομένων και της τήρησης του δικαιώματος αντίταξης στην επεξεργασία των δεδομένων που τα αφορούν, κατά τα ειδικότερα αναφερόμενα στο σκεπτικό.
2. Απορρίπτει το αίτημα της ενημέρωσης δια του τύπου και κρίνει ότι η εταιρεία 3DUBEE υποχρεούται να ενημερώσει ατομικώς με συστημένη επιστολή τα υποκείμενα των δεδομένων για την σκοπούμενη επεξεργασία.
3. Επιβάλλει την υποχρέωση ενημέρωσης των υποκειμένων, η οποία, πέραν των στοιχείων που αναφέρονται στο άρθρο 11 παρ. 1 του Ν. 2472/1997, θα περιλαμβάνει την αυτοδέσμευση της εταιρείας ότι δεν θα επιβαρύνει οικονομικά τα υποκείμενα για την σκοπούμενη επεξεργασία και θα παρουσιάζει τα ονόματα των ιατρών στην ιστοσελίδα κατά αλφαβητική σειρά χωρίς διαφημιστική διαφοροποίηση.
4. Αποφαίνεται ότι η εταιρεία οφείλει να τάξει στα υποκείμενα των δεδομένων εύλογη προθεσμία που δεν πρέπει να είναι κατώτερη των εξήντα (60) ημερών για την άσκηση του δικαιώματος αντίρρησης, κατά τα ειδικότερα αναφερόμενα στο σκεπτικό.