Σύμβαση για τη διεκπεραίωση των παθολογοανατομικών διαγνωστικών εξετάσεων των ασθενών του Νοσοκομείου Ρεθύμνου.

ΣΥΜΦΩΝΗΤΙΚΟ ΠΑΡΟΧΗΣ ΥΠΗΡΕΣΙΩΝ Α/Α ΣΥΜΒΑΣΗΣ 1/2023 Στην Αθήνα σήμερα την 30/12/2022 μεταξύ των κάτωθι συμβαλλομένων: Α. Του Νοσοκομείου με την επωνυμία «Γενικό Νοσοκομείο Ρεθύμνης» που εδρεύει στο Ρέθυμνο Κρήτης, στην οδό Τρανταλλίδου 19-21 (εφεξής «Νοσοκομείο»), όπως εκπροσωπείται νόμιμα για την υπογραφή του παρόντος από τον κ. Ελευθέριο Μαρκάκη Διοικητή του Γενικού Νοσοκομείου Ρεθύμνης». Β. το Εθνικό και Καποδιστριακό Πανεπιστήμιο Αθηνών/Ειδικός Λογαριασμός Κονδυλίων Έρευνας που εδρεύει στην Αθήνα, οδό Χρ. Λαδά 6, με ΑΦΜ 090145420, ΔΟ.Υ. Δ Αθηνών, νομίμως εκπροσωπούμενο από τον Καθηγητή Νικόλαο Βούλγαρη, Πρόεδρο της Επιτροπής Ερευνών και Διαχείρισης, δυνάμει της υπ’αριθμ. 1402/2022 Πράξης Πρύτανη (ΦΕΚ Β΄5248/11.10.2022). Λαμβάνοντας υπόψη: i. Τις διατάξεις του ν. 4957/2022 «Νέοι ορίζοντες στα Ανώτατα Εκπαιδευτικά Ιδρύματα: Ενίσχυση της ποιότητας, της λειτουργικότητας και της σύνδεης των Α.Ε.Ι. με την κοινωνία και λοιπές διατάξεις» (Α΄ 141) ii. Την υπ' αριθμ. 1593/12-12-2022 απόφαση ανάληψης υποχρέωσης (ΑΔΑ: Ψ19Μ46907Λ-ΞΝΒ) iii. Την υπ’ αριθμ. 456/23/16-11-2022 απόφαση του Διοικητικού Συμβουλίου του Νοσοκομείου με θέμα «Ανάθεση της πραγματοποίησης Ιστολογικών εξετάσεων προϋπολογισμού 30.000 €» iv. CPV: 85145000-7 v. ΚΑΕ: 0439 συμφώνησαν και έγιναν αμοιβαία αποδεκτά τα ακόλουθα: 1. Το Εθνικό και Καποδιστριακό Πανεπιστήμιο Αθηνών δια του Α΄ Εργαστήριου Παθολογικής Ανατομικής της Ιατρικής Σχολής του ΕΚΠΑ, Διευθυντής του οποίου είναι ο Καθηγητής Νικόλαος Καβαντζάς, θα αναλάβει τη διεκπεραίωση των παθολογοανατο- μικών διαγνωστικών εξετάσεων των ασθενών του πρώτου συμβαλλομένου Νοσοκομείου, πλην των ταχειών βιοψιών. 2. Με φροντίδα και ευθύνη και μέσω του Α συμβαλλομένου και με τους κανόνες της Επιστήμης και τους σχετικούς κανονισμούς, θα αποστέλλονται στο Α΄ Εργαστήριο όλα ή ένα μέρος των χειρουργικών παρασκευασμάτων ή/και βιοψιών που λαμβάνονται από ασθενείς του Νοσοκομείου.

-- 1 of 15 --

3. Συμφωνείται ρητά ότι για τον ακριβή αριθμό χειρουργικών παρασκευασμάτων για παθολογοανατομική εξέταση που δύναται να δεχθεί το Α΄ Εργαστήριο από το Νοσοκομείο, θα γίνεται αμοιβαία συνεννόηση, προγραμματισμός και συμφωνία, έτσι ώστε ο αριθμός αυτός να βρίσκεται εντός των δυνατοτήτων του Α΄ Εργαστηρίου να ολοκληρώνει τις αποστελλόμενες εξετάσεις δίχως ακραίες καθυστερήσεις προς όφελος των ασθενών. Σε κάθε περίπτωση το ΕΚΠΑ καμιά ευθύνη δεν φέρει, εφ όσον εγκαίρως δεν έχει ενημερωθεί και συμφωνήσει για την ανταπόκρισή του στο αίτημα του Νοσοκομείου. 4. Τα παρασκευάσματα των ασθενών του Νοσοκομείου θα αποστέλλονται με ευθύνη του Νοσοκομείου, σύμφωνα με τους σχετικούς κανόνες και ειδικότερα σε δοχεία με μονιμοποιητικό υλικό, τα οποία θα παραδίδονται με απόδειξη σε υπάλληλο του Α΄ Εργαστηρίου. Τα παρασκευάσματα θα πρέπει να συνοδεύονται από τα παραπεμπτικά και υπογεγραμμένο από τον Διοικητικό Διευθυντή του Νοσοκομείου πρωτοκολλημένο διαβιβαστικό που να περιλαμβάνει τα ονοματεπώνυμα των ασθενών και τον αριθμό των αποστελλομένων ανά ασθενή παρασκευασμάτων. 5. Θα συντάσσεται σε κάθε περίπτωση πρωτόκολλο με κατάλογο παράδοσης / παραλαβής, όπου θα αναφέρονται τα στοιχεία κάθε παρασκευάσματος ασθενών που παραδίδεται από το Νοσοκομείο στο Α΄ Εργαστήριο όταν υπάρχει αποστολή με απόδειξη. 6. Ο χρόνος απάντησης των εξετάσεων δεν θα υπερβαίνει κατά προσέγγιση τις 30 ημέρες από την άφιξη των παρασκευασμάτων στο Α΄ Εργαστήριο. Σε επείγοντα περιστατικά τα οποία θα επισημαίνονται από τους συναδέλφους του Νοσοκομείου, ο χρόνος απάντησης θα είναι σαφώς μικρότερος ενώ θα υπάρχει επικοινωνία με τους γιατρούς του Α΄ Εργαστηρίου. Σε όλες τις περιπτώσεις θα υπάρχει άμεση επικοινωνία των ιατρών του Νοσοκομείου με τους υπεύθυνους παθολογοανατόμους του Α΄ Εργαστηρίου. 7. Οι απαντήσεις των ιστολογικών εξετάσεων θα αποστέλλονται / παραδίδονται σε κλειστό φάκελο με απόδειξη και ευθύνη του Α΄ Εργαστηρίου στο Παθολογοανατομικό Εργαστήριο του Νοσοκομείου ή επί μη υπάρξεως Παθολογοανατομικού Εργαστηρίου, σε γραφείο που θα οριστεί από το συνεργαζόμενο Νοσοκομείο και στο εξουσιοδοτημένο γι αυτή τη συγκεκριμένη εργασία άτομο που θα ορίσει το Νοσοκομείο. 8. Το Α΄ Εργαστήριο, ως Εκτελών την επεξεργασία σύμφωνα με τον Γενικό Κανονισμό Προστασίας Δεδομένων (EU 679/2016) στα πλαίσια του παρόντος, επεξεργάζεται προσωπικά δεδομένα που συλλέγει ή και διατηρεί το Νοσοκομείο ως Υπεύθυνος επεξεργασίας, σύμφωνα με της ρήτρες του Παραρτήματος Α το οποίο αποτελεί αναπόσπαστο τμήμα του παρόντος. 9. Το Α΄ Εργαστήριο αναλαμβάνει την κάλυψη με προσωπικό του της γραμματειακής υποστήριξης, των εργασιών τις οποίες αναλαμβάνουν τεχνολόγοι (προετοιμασία παρασκευασμάτων, ιστοχημεία, ανοσοϊστοχημεία, μοριακές εξετάσεις, ηλεκτρονικό

-- 2 of 15 --

μικροσκόπιο κ.α.), των πάσης φύσεως αναλωσίμων, καθώς και των διαγνωστικών εργασιών τις οποίες θα διεκπεραιώνει το ιατρικό / επιστημονικό προσωπικό του. 10. Το Νοσοκομείο θα καταβάλει αμοιβή για τις ολοκληρωμένες παθολογοανατομικές / κυτταρολογικές ή άλλες εξετάσεις ή για τις επιμέρους μεμονωμένες εξετάσεις (ιστοχημικές, ανοσοϊστοχημικές κ.α.), τις οποίες θα έχει παραγγείλει, με βάση τις τιμές που προβλέπονται από τις σχετικές ΥΑ από το αντίστοιχο ΦΕΚ όπως ισχύει εκάστοτε. Ο συνολικός προϋπολογισμός για την υλοποίηση της παρούσας σύμβασης ανέρχεται στο ποσό των 30.000 € συμπεριλαμβανομένου ΦΠΑ. . 11. Στο τέλος κάθε μήνα θα αποστέλλονται από το Α΄ Εργαστήριο στο Νοσοκομείο τα σχετικά τιμολόγια παροχής υπηρεσιών που θα συνοδεύονται από πρωτοκολλημένο διαβιβαστικό με τον κατάλογο των εξετάσεων των ασθενών που έχουν διενεργηθεί και αποσταλεί. Ο κατάλογος θα περιέχει τα ονοματεπώνυμα των ασθενών την ημερομηνία έκδοσης των εκθέσεων, το αναλυτικό ποσό χρέωσης ανά ασθενή καθώς και το συνολικό ποσό της μηνιαίας χρέωσης. 12. Η πληρωμή των σχετικών τιμολογίων θα γίνεται εμπρόθεσμα από το Νοσοκομείο προς το Α΄ Εργαστήριο μέσω του Ειδικού Λογαριασμού Κονδυλίων Έρευνας του Πανεπιστημίου Αθηνών και ειδικότερα στον λογαριασμό της του Ειδικού Λογαριασμού (ALPHA BANK ΑΕ με αριθμ. λογ.: 802002001000227 και ΙΒΑΝ: GR0301408020802002001000227) κατά τους κανόνες που ορίζει ο νόμος και η ως άνω διαδικασία θα ολοκληρώνεται το αργότερο εντός τριμήνου από την αποστολή των τιμολογίων στο Νοσοκομείο. Καθυστέρηση της πληρωμής πέραν του τριμήνου θα συνεπάγεται αναγκαστικά αυτόματη λύση της σύμβασης λόγω αδυναμίας ολοκλήρωσης των εξετάσεων από πλευράς του Εργαστηρίου και αναπόφευκτης καθυστέρησης των απαντήσεων, με επακόλουθο τον κίνδυνο της υγείας των εν λόγω ασθενών. 13. Η ισχύς του παρόντος αρχίζει από την ημερομηνία υπογραφής του τελευταίου συμβαλλομένου και ισχύει έως 31/12/2023. Κάθε τροποποίηση του παρόντος συμφωνητικού, ως και η παράταση του χρόνου της διάρκειάς του ή ανανέωση αυτού, θα γίνεται εγγράφως. 14. Το συμφωνητικό μπορεί να διακοπεί πριν από την ημερομηνία λήξης της, με έγγραφη ειδοποίηση ενός μηνός πριν από τον ένα συμβαλλόμενο προς τον άλλον, εάν προκύψουν νέα δεδομένα τα οποία δεν θα επιτρέψουν τη συνέχισή της. 15. Κανένας όρος του παρόντος δεν δύναται να ερμηνευτεί ως παραχώρηση δικαιωμάτων χρήσης σε διαφημίσεις ή προωθητικές ενέργειες ή οποιασδήποτε μορφής δημοσιότητα της επωνυμίας, των λογότυπων, των διακριτικών γνωρισμάτων, των εμβλημάτων και των εμπορικών σημάτων των μερών και του ΕΚΠΑ, χωρίς την προηγούμενη έγγραφη έγκρισή του αρμοδίου συλλογικού οργάνου.

-- 3 of 15 --

ΟΙ ΣΥΜΒΑΛΛΟΜΕΝΟΙ Για το Νοσοκομείο Ο νόμιμος εκπρόσωπος Ημερομηνία: Για το Α Εργαστήριο Παθολογικής Ανατομικής Ο νόμιμος εκπρόσωπος Ημερομηνία: Για το Εθνικό Καποδιστριακό Πανεπιστήμιο Αθηνών Ο νόμιμος εκπρόσωπος Ημερομηνία:

-- 4 of 15 --

ΠΑΡΑΡΤΗΜΑ Α Επεξεργασία Προσωπικών Δεδομένων Τυποποιημένες συμβατικές ρήτρες ΤΜΗΜΑ I Ρήτρα 1 Σκοπός και πεδίο εφαρμογής 1) Οι παρούσες τυποποιημένες συμβατικές ρήτρες (στο εξής: ρήτρες) έχουν ως σκοπό να διασφαλίζουν τη συμμόρφωση με το άρθρο 28 παράγραφοι 3 και 4 του κανονισμού (EΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός Προστασίας Δεδομένων). 2) Οι υπεύθυνοι επεξεργασίας και οι εκτελούντες την επεξεργασία που απαριθμούνται στο παράρτημα Ι συμφώνησαν τις παρούσες ρήτρες προκειμένου να διασφαλίζεται η συμμόρφωση με το άρθρο 28 παράγραφοι 3 και 4 του κανονισμού (ΕΕ) 2016/679 και/ή το άρθρο 29 παράγραφοι 3 και 4 του κανονισμού (ΕΕ) 2018/1725. 3) Οι παρούσες ρήτρες εφαρμόζονται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα όπως καθορίζεται στο παράρτημα ΙΙ. 4) Τα παραρτήματα Ι έως ΙV είναι αναπόσπαστο μέρος των ρητρών. 5) Οι παρούσες ρήτρες δεν θίγουν τις υποχρεώσεις στις οποίες υπόκειται ο υπεύθυνος επεξεργασίας δυνάμει του κανονισμού (ΕΕ) 2016/679 και/ή του κανονισμού (ΕΕ) 2018/1725. 6) Οι παρούσες ρήτρες δεν διασφαλίζουν από μόνες τους τη συμμόρφωση με τις υποχρεώσεις που σχετίζονται με τις διεθνείς διαβιβάσεις σύμφωνα με το κεφάλαιο V του κανονισμού (ΕΕ) 2016/679 και/ή του κανονισμού (ΕΕ) 2018/1725. Ρήτρα 2 Αμετάβλητος χαρακτήρας των ρητρών 1) Τα μέρη δεσμεύονται να μην τροποποιούν τις ρήτρες παρά μόνο για να προσθέσουν ή να επικαιροποιήσουν πληροφορίες στα παραρτήματα. 2) Η δέσμευση αυτή δεν εμποδίζει τα μέρη να ενσωματώνουν τις τυποποιημένες συμβατικές ρήτρες που ορίζονται στις παρούσες ρήτρες σε ευρύτερη σύμβαση ούτε να προσθέτουν άλλες ρήτρες ή πρόσθετες εγγυήσεις, υπό τον όρο ότι αυτές δεν αντιφάσκουν, άμεσα ή έμμεσα, προς τις ρήτρες ούτε θίγουν τα θεμελιώδη δικαιώματα ή τις ελευθερίες των υποκειμένων των δεδομένων. Ρήτρα 3 Ερμηνεία 1) Όπου στις παρούσες ρήτρες χρησιμοποιούνται όροι που ορίζονται στον κανονισμό (ΕΕ) 2016/679 ή στον κανονισμό (ΕΕ) 2018/1725 αντιστοίχως, οι εν λόγω όροι έχουν την ίδια έννοια με αυτή που έχουν στον οικείο κανονισμό. 2) Η ανάγνωση και ερμηνεία των παρουσών ρητρών πραγματοποιούνται υπό το πρίσμα των διατάξεων του κανονισμού (ΕΕ) 2016/679 ή του κανονισμού (ΕΕ) 2018/1725 αντιστοίχως. 3) Οι παρούσες ρήτρες δεν ερμηνεύονται με τρόπο που αντιβαίνει προς τα δικαιώματα και τις υποχρεώσεις που προβλέπονται στον κανονισμό (ΕΕ) 2016/679 / τον κανονισμό (ΕΕ) 2018/1725 ή με τρόπο που θίγει τα θεμελιώδη δικαιώματα ή τις ελευθερίες των υποκειμένων των δεδομένων. Ρήτρα 4 Ιεραρχία Σε περίπτωση αντίφασης μεταξύ των παρουσών ρητρών και των διατάξεων συναφών συμφωνιών μεταξύ των μερών οι οποίες ισχύουν κατά τον χρόνο που συμφωνούνται ή συνάπτονται οι παρούσες ρήτρες, οι παρούσες ρήτρες υπερισχύουν. Ρήτρα 5 - Προαιρετική Ρήτρα σύνδεσης

-- 5 of 15 --

1) Οποιαδήποτε οντότητα που δεν είναι συμβαλλόμενο μέρος των παρουσών ρητρών μπορεί, με τη συγκατάθεση όλων των συμβαλλόμενων μερών, να προσχωρήσει στις παρούσες ρήτρες ανά πάσα στιγμή, ως υπεύθυνος επεξεργασίας ή ως εκτελών την επεξεργασία, συμπληρώνοντας τα παραρτήματα και υπογράφοντας το παράρτημα Ι. 2) Αφού συμπληρωθούν και υπογραφούν τα παραρτήματα του στοιχείου α), η προσχωρούσα οντότητα λογίζεται ως συμβαλλόμενο μέρος των παρουσών ρητρών και έχει τα δικαιώματα και τις υποχρεώσεις υπευθύνου επεξεργασίας ή εκτελούντος την επεξεργασία, σύμφωνα με τον χαρακτηρισμό της στο παράρτημα Ι. 3) Η προσχωρούσα οντότητα δεν έχει δικαιώματα ή υποχρεώσεις που απορρέουν από τις παρούσες ρήτρες όσον αφορά το διάστημα πριν καταστεί συμβαλλόμενο μέρος. ΤΜΗΜΑ ΙΙ ΥΠΟΧΡΕΩΣΕΙΣ ΤΩΝ ΣΥΜΒΑΛΛΟΜΕΝΩΝ ΜΕΡΩΝ Ρήτρα 6 Περιγραφή της επεξεργασίας Οι λεπτομέρειες των πράξεων επεξεργασίας, ιδίως οι κατηγορίες των δεδομένων προσωπικού χαρακτήρα και οι σκοποί της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα για λογαριασμό του υπευθύνου επεξεργασίας, καθορίζονται στο παράρτημα ΙΙ. Ρήτρα 7 Υποχρεώσεις των συμβαλλόμενων μερών 7.1. Εντολές 1) Ο εκτελών την επεξεργασία επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα μόνο βάσει καταγεγραμμένων εντολών του υπευθύνου επεξεργασίας, εκτός εάν υποχρεούται προς τούτο βάσει του δικαίου της Ένωσης ή του δικαίου του κράτους μέλους στο οποίο υπόκειται ο εκτελών την επεξεργασία. Στην περίπτωση αυτή, ο εκτελών την επεξεργασία ενημερώνει τον υπεύθυνο επεξεργασίας για την εν λόγω νομική απαίτηση πριν από την επεξεργασία, εκτός εάν το εν λόγω δίκαιο απαγορεύει αυτού του είδους την ενημέρωση για σοβαρούς λόγους δημόσιου συμφέροντος. Ο υπεύθυνος επεξεργασίας μπορεί επίσης να δίνει μεταγενέστερες εντολές καθ’ όλη τη διάρκεια της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα. Οι εν λόγω εντολές είναι πάντοτε έγγραφες. 2) Ο εκτελών την επεξεργασία ενημερώνει αμέσως τον υπεύθυνο επεξεργασίας, εάν, κατά την άποψη του εκτελούντος της επεξεργασία, κάποια εντολή του υπευθύνου επεξεργασίας παραβιάζει τον κανονισμό (ΕΕ) 2016/679 / τον κανονισμό (ΕΕ) 2018/1725 ή ενωσιακές ή εθνικές διατάξεις περί προστασίας δεδομένων. 7.2. Περιορισμός του σκοπού Ο εκτελών την επεξεργασία επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα μόνο για τον συγκεκριμένο σκοπό ή σκοπούς της επεξεργασίας που ορίζονται στο παράρτημα ΙΙ, εκτός αν λάβει περαιτέρω εντολές από τον υπεύθυνο επεξεργασίας. 7.3. Διάρκεια της επεξεργασίας δεδομένων προσωπικού χαρακτήρα Η επεξεργασία από τον εκτελούντα την επεξεργασία πραγματοποιείται μόνο για το χρονικό διάστημα που καθορίζεται στο παράρτημα ΙΙ. 7.4. Ασφάλεια της επεξεργασίας 1) Ο εκτελών την επεξεργασία εφαρμόζει τουλάχιστον τα τεχνικά και οργανωτικά μέτρα που καθορίζονται στο παράρτημα III προκειμένου να διασφαλίζει την ασφάλεια των δεδομένων προσωπικού χαρακτήρα. Στο πλαίσιο αυτό συμπεριλαμβάνεται η προστασία των δεδομένων από παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ αδείας κοινολόγηση ή προσπέλαση δεδομένων (στο εξής: παραβίαση δεδομένων προσωπικού χαρακτήρα). Κατά την αξιολόγηση του κατάλληλου επιπέδου ασφάλειας, τα συμβαλλόμενα μέρη λαμβάνουν δεόντως υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής, τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους που συντρέχουν για τα υποκείμενα των δεδομένων.

-- 6 of 15 --

2) Ο εκτελών την επεξεργασία παρέχει σε μέλη του προσωπικού του πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία μόνο στο μέτρο που είναι απολύτως αναγκαίο για την εκτέλεση, τη διαχείριση και την παρακολούθηση της σύμβασης. Ο εκτελών την επεξεργασία διασφαλίζει ότι τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται τα λαμβανόμενα δεδομένα προσωπικού χαρακτήρα έχουν αναλάβει δέσμευση τήρησης εμπιστευτικότητας ή υπόκεινται σε δέουσα κανονιστική υποχρέωση τήρησης εμπιστευτικότητας. 7.5. Ευαίσθητα δεδομένα Αν η επεξεργασία περιλαμβάνει δεδομένα προσωπικού χαρακτήρα που αποκαλύπτουν τη φυλετική ή εθνοτική καταγωγή, τα πολιτικά φρονήματα, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις ή τη συμμετοχή σε συνδικαλιστική οργάνωση, γενετικά δεδομένα ή βιομετρικά δεδομένα με σκοπό την αδιαμφισβήτητη ταυτοποίηση προσώπου, δεδομένα που αφορούν την υγεία ή τη σεξουαλική ζωή ή τον γενετήσιο προσανατολισμό φυσικού προσώπου, ή δεδομένα που αφορούν ποινικές καταδίκες και αδικήματα (στο εξής: ευαίσθητα δεδομένα), ο εκτελών την επεξεργασία εφαρμόζει ειδικούς περιορισμούς και/ή πρόσθετες εγγυήσεις. 7.6. Τεκμηρίωση και συμμόρφωση 1) Τα συμβαλλόμενα μέρη είναι σε θέση να αποδείξουν τη συμμόρφωσή τους με τις παρούσες ρήτρες. 2) Ο εκτελών την επεξεργασία ανταποκρίνεται άμεσα και επαρκώς σε όλα τα αιτήματα πληροφοριών του υπευθύνου επεξεργασίας σχετικά με την επεξεργασία δεδομένων σύμφωνα με τις παρούσες ρήτρες. 3) Ο εκτελών την επεξεργασία θέτει στη διάθεση του υπευθύνου επεξεργασίας κάθε απαραίτητη πληροφορία προς απόδειξη της συμμόρφωσης προς τις υποχρεώσεις που καθορίζονται στις παρούσες ρήτρες και απορρέουν απευθείας από τον κανονισμό (ΕΕ) 2016/679 και/ή τον κανονισμού (ΕΕ) 2018/1725. Επιπλέον, κατόπιν αιτήματος του υπευθύνου επεξεργασίας, ο εκτελών την επεξεργασία επιτρέπει και διευκολύνει ελέγχους των δραστηριοτήτων επεξεργασίας που καλύπτονται από τις παρούσες ρήτρες, σε εύλογα τακτά χρονικά διαστήματα ή αν υπάρχουν ενδείξεις μη συμμόρφωσης. Όταν αποφασίζει για επανεξέταση ή έλεγχο, ο υπεύθυνος επεξεργασίας μπορεί να λαμβάνει υπόψη σχετικές πιστοποιήσεις του εκτελούντος την επεξεργασία. 4) Ο υπεύθυνος επεξεργασίας μπορεί να επιλέγει να διενεργήσει τον έλεγχο ο ίδιος ή να τον αναθέσει σε ανεξάρτητο ελεγκτή. Οι έλεγχοι είναι δυνατόν να περιλαμβάνουν και επιθεωρήσεις στους χώρους ή τις φυσικές εγκαταστάσεις του εκτελούντος την επεξεργασία, ενώ, όταν ενδείκνυται, διενεργούνται έπειτα από εύλογη προθεσμία προειδοποίησης. 5) Τα συμβαλλόμενα μέρη θέτουν τις πληροφορίες που αναφέρονται στην παρούσα ρήτρα, συμπεριλαμβανομένων των αποτελεσμάτων τυχόν ελέγχων, στη διάθεση της/των αρμόδιας/-ων εποπτικής/-ών αρχής/-ών, κατόπιν σχετικού αιτήματός της/τους. 7.7. Χρήση υπεργολάβων επεξεργασίας 1) Ο εκτελών την επεξεργασία δεν αναθέτει σε υπεργολάβο επεξεργασίας καμία από τις πράξεις επεξεργασίας που εκτελεί για λογαριασμό του υπευθύνου επεξεργασίας σύμφωνα με τις παρούσες ρήτρες, χωρίς την προηγούμενη ειδική γραπτή άδεια του υπευθύνου επεξεργασίας. Ο εκτελών την επεξεργασία υποβάλλει το αίτημα για ειδική άδεια τουλάχιστον 10 ημερών πριν από την πρόσληψη του οικείου υπεργολάβου επεξεργασίας, μαζί με τις πληροφορίες που απαιτούνται προκειμένου να μπορεί ο υπεύθυνος επεξεργασίας να αποφασίσει για τη χορήγηση της άδειας. Στο παράρτημα IV περιλαμβάνεται κατάλογος των υπεργολάβων επεξεργασίας που έχουν λάβει άδεια από τον υπεύθυνο επεξεργασίας. Τα συμβαλλόμενα μέρη επικαιροποιούν το παράρτημα IV. 2) Όταν ο εκτελών την επεξεργασία προσλαμβάνει υπεργολάβο επεξεργασίας για την εκτέλεση συγκεκριμένων δραστηριοτήτων επεξεργασίας (για λογαριασμό του υπευθύνου επεξεργασίας), το πράττει μέσω σύμβασης η οποία επιβάλλει στον υπεργολάβο επεξεργασίας, στην ουσία, τις ίδιες υποχρεώσεις όσον αφορά την προστασία των δεδομένων με αυτές που επιβάλλονται στον εκτελούντα την επεξεργασία σύμφωνα με τις

-- 7 of 15 --

παρούσες ρήτρες. Ο εκτελών την επεξεργασία διασφαλίζει ότι ο υπεργολάβος επεξεργασίας συμμορφώνεται με τις υποχρεώσεις στις οποίες υπόκειται ο εκτελών την επεξεργασία σύμφωνα με τις παρούσες ρήτρες και τον κανονισμό (ΕΕ) 2016/679 και/ή τον κανονισμό (ΕΕ) 2018/1725. 3) Κατόπιν αιτήματος του υπευθύνου επεξεργασίας, ο εκτελών την επεξεργασία παρέχει στον υπεύθυνο επεξεργασίας αντίγραφο της συμφωνίας με τον υπεργολάβο και κάθε τυχόν μεταγενέστερης πράξης τροποποίησής της. Στον βαθμό που είναι αναγκαίο για την προστασία επαγγελματικών απορρήτων ή άλλων εμπιστευτικών πληροφοριών, συμπεριλαμβανομένων των δεδομένων προσωπικού χαρακτήρα, ο εκτελών την επεξεργασία μπορεί να απαλείψει τις εμπιστευτικές πληροφορίες από το κείμενο της συμφωνίας πριν από την κοινοποίηση του αντιγράφου 4) Ο εκτελών την επεξεργασία παραμένει πλήρως υπεύθυνος έναντι του υπευθύνου επεξεργασίας για την εκπλήρωση των υποχρεώσεων του υπεργολάβου επεξεργασίας σύμφωνα με τη σύμβασή του με τον εκτελούντα την επεξεργασία. Ο εκτελών την επεξεργασία γνωστοποιεί στον υπεύθυνο επεξεργασίας κάθε περίπτωση μη εκπλήρωσης των συμβατικών υποχρεώσεων του υπεργολάβου επεξεργασίας. 5) Ο εκτελών την επεξεργασία συμφωνεί με τον υπεργολάβο επεξεργασίας ρήτρα δικαιούχου τρίτου, βάσει της οποίας —σε περίπτωση που ο εκτελών την επεξεργασία έπαυσε να υφίσταται από πραγματική ή νομική άποψη ή κατέστη αφερέγγυος— ο υπεύθυνος επεξεργασίας έχει το δικαίωμα να καταγγείλει τη σύμβαση με τον υπεργολάβο επεξεργασίας και να του δώσει εντολή να διαγράψει ή να επιστρέψει τα δεδομένα προσωπικού χαρακτήρα. 7.8. Διεθνείς διαβιβάσεις 1) Κάθε διαβίβαση δεδομένων σε τρίτη χώρα ή διεθνή οργανισμό από τον εκτελούντα την επεξεργασία πραγματοποιείται μόνο βάσει καταγεγραμμένων εντολών του υπευθύνου επεξεργασίας ή προκειμένου να εκπληρωθεί ειδική απαίτηση του δικαίου της Ένωσης ή του κράτους μέλους στο οποίο υπόκειται ο εκτελών την επεξεργασία και εκτελείται σύμφωνα με τους όρους του κεφαλαίου V του κανονισμού (ΕΕ) 2016/679 ή του κανονισμού (ΕΕ) 2018/1725. 2) Ο υπεύθυνος επεξεργασίας συμφωνεί ότι στις περιπτώσεις που ο εκτελών την επεξεργασία προσλαμβάνει υπεργολάβο επεξεργασίας σύμφωνα με τη ρήτρα 7.7 για την εκτέλεση συγκεκριμένων δραστηριοτήτων επεξεργασίας (για λογαριασμό του υπευθύνου επεξεργασίας) και οι εν λόγω δραστηριότητες επεξεργασίας περιλαμβάνουν τη διαβίβαση δεδομένων προσωπικού χαρακτήρα κατά την έννοια του κεφαλαίου V του κανονισμού (ΕΕ) 2016/679, ο εκτελών την επεξεργασία και ο υπεργολάβος επεξεργασίας μπορούν να διασφαλίζουν τη συμμόρφωση με το κεφάλαιο V του κανονισμού (EΕ) 2016/679 μέσω της χρήσης τυποποιημένων συμβατικών ρητρών που έχει εκδώσει η Επιτροπή σύμφωνα με το άρθρο 46 παράγραφος 2 του κανονισμού (ΕΕ) 2016/679, υπό τον όρο ότι πληρούνται οι προϋποθέσεις για τη χρήση των εν λόγω τυποποιημένων συμβατικών ρητρών. Ρήτρα 8 Συνδρομή στον υπεύθυνο επεξεργασίας 1) Ο εκτελών την επεξεργασία ενημερώνει αμέσως τον υπεύθυνο επεξεργασίας για κάθε αίτημα που έχει λάβει από υποκείμενο των δεδομένων. Δεν απαντά ο ίδιος στο αίτημα, εκτός αν λάβει σχετική εξουσιοδότηση από τον υπεύθυνο επεξεργασίας. 2) Ο εκτελών την επεξεργασία βοηθά τον υπεύθυνο επεξεργασίας στην εκπλήρωση της υποχρέωσής του να απαντά στα αιτήματα των υποκειμένων των δεδομένων για άσκηση των δικαιωμάτων τους, λαμβανομένης υπόψη της φύσης της επεξεργασίας. Κατά την εκπλήρωση των υποχρεώσεών του σύμφωνα με τα στοιχεία α) και β), ο εκτελών την επεξεργασία συμμορφώνεται με τις εντολές του υπευθύνου επεξεργασίας. 3) Επιπρόσθετα στην υποχρέωση του εκτελούντος την επεξεργασία να βοηθά τον υπεύθυνο επεξεργασίας σύμφωνα με τη ρήτρα 8 στοιχείο β), ο εκτελών την επεξεργασία βοηθά επίσης τον υπεύθυνο επεξεργασίας στη διασφάλιση της συμμόρφωσης προς τις παρακάτω

-- 8 of 15 --

υποχρεώσεις, λαμβανομένων υπόψη της φύσης της επεξεργασίας δεδομένων και των πληροφοριών που διαθέτει ο εκτελών την επεξεργασία: 1) την υποχρέωση να διενεργεί εκτίμηση του αντικτύπου των σχεδιαζόμενων πράξεων επεξεργασίας στην προστασία των δεδομένων προσωπικού χαρακτήρα (εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων), όταν ένα είδος επεξεργασίας ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων 2) την υποχρέωση να ζητεί τη γνώμη της/των αρμόδιας/-ων εποπτικής/-ών αρχής/-ών πριν από την επεξεργασία, όταν μια εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων υποδεικνύει ότι η επεξεργασία θα προκαλούσε υψηλό κίνδυνο ελλείψει μέτρων μετριασμού του κινδύνου από τον υπεύθυνο επεξεργασίας· 3) την υποχρέωση να διασφαλίζει ότι τα δεδομένα προσωπικού χαρακτήρα είναι ακριβή και επικαιροποιημένα, ενημερώνοντας χωρίς καθυστέρηση τον υπεύθυνο επεξεργασίας σε περίπτωση που ο εκτελών την επεξεργασία αντιληφθεί ότι τα δεδομένα προσωπικού χαρακτήρα που επεξεργάζεται είναι ανακριβή ή παρωχημένα· 4) τις υποχρεώσεις που προβλέπονται στο άρθρο 32 του κανονισμού (ΕΕ) 2016/679 4) Τα συμβαλλόμενα μέρη καθορίζουν στο παράρτημα ΙΙΙ τα κατάλληλα τεχνικά και οργανωτικά μέτρα με τα οποία ο εκτελών την επεξεργασία υποχρεούται να βοηθά τον υπεύθυνο επεξεργασίας για την εφαρμογή της παρούσας ρήτρας, καθώς και το πεδίο εφαρμογής και την έκταση της απαιτούμενης βοήθειας Ρήτρα 9 Γνωστοποίηση παραβίασης δεδομένων προσωπικού χαρακτήρα Σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα, ο εκτελών την επεξεργασία συνεργάζεται με τον υπεύθυνο επεξεργασίας και τον βοηθά να συμμορφωθεί προς τις υποχρεώσεις του που απορρέουν από τα άρθρα 33 και 34 του κανονισμού (ΕΕ) 2016/679 ή τα άρθρα 34 και 35 του κανονισμού (ΕΕ) 2018/1725, ανάλογα με την περίπτωση, λαμβανομένων υπόψη της φύσης της επεξεργασίας και των πληροφοριών που διαθέτει ο εκτελών την επεξεργασία. 9.1. Παραβίαση δεδομένων που αφορά δεδομένα που επεξεργάζεται ο υπεύθυνος επεξεργασίας Σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα που αφορά δεδομένα που επεξεργάζεται ο υπεύθυνος επεξεργασίας, ο εκτελών την επεξεργασία βοηθά τον υπεύθυνο επεξεργασίας: 1) να γνωστοποιήσει την παραβίαση δεδομένων προσωπικού χαρακτήρα στην/στις αρμόδια/-ες εποπτική/-ές αρχή/-ές, αμελλητί από τη στιγμή που ο υπεύθυνος επεξεργασίας απέκτησε γνώση του γεγονότος, κατά περίπτωση/(εκτός αν η παραβίαση δεδομένων προσωπικού χαρακτήρα δεν ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων)· 2) να συγκεντρώσει τις παρακάτω πληροφορίες, οι οποίες, σύμφωνα με το άρθρο 33 παράγραφος 3 του κανονισμού (ΕΕ) 2016/679, αναφέρονται στη γνωστοποίηση του υπευθύνου επεξεργασίας και πρέπει να περιλαμβάνουν κατ’ ελάχιστο: 1) τη φύση των δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένων, όπου είναι δυνατό, των κατηγοριών και του κατά προσέγγιση αριθμού των επηρεαζόμενων υποκειμένων των δεδομένων, καθώς και των κατηγοριών και του κατά προσέγγιση αριθμού των επηρεαζόμενων αρχείων δεδομένων προσωπικού χαρακτήρα· 2) τις ενδεχόμενες συνέπειες της παραβίασης των δεδομένων προσωπικού χαρακτήρα· 3) τα ληφθέντα ή τα προτεινόμενα προς λήψη μέτρα από τον υπεύθυνο επεξεργασίας για την αντιμετώπιση της παραβίασης των δεδομένων προσωπικού χαρακτήρα,

-- 9 of 15 --

καθώς και, όπου ενδείκνυται, μέτρα για την άμβλυνση ενδεχόμενων δυσμενών συνεπειών της. Όταν και στον βαθμό που δεν είναι δυνατόν να παρασχεθούν όλες αυτές οι πληροφορίες ταυτόχρονα, στην αρχική γνωστοποίηση περιλαμβάνονται οι πληροφορίες που είναι διαθέσιμες τη δεδομένη στιγμή, ενώ πρόσθετες πληροφορίες παρέχονται σε μεταγενέ- στερο χρόνο και χωρίς αδικαιολόγητη καθυστέρηση μόλις καταστούν διαθέσιμες. 3) να συμμορφωθεί, σύμφωνα με το άρθρο 34 του κανονισμού (ΕΕ) 2016/679, με την υποχρέωση να ανακοινώνει αμελλητί στο υποκείμενο των δεδομένων την παραβίαση δεδομένων προσωπικού χαρακτήρα, όταν αυτή ενδέχεται να θέσει σε υψηλό κίνδυνο τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων. 9.2. Παραβίαση δεδομένων που αφορά δεδομένα που επεξεργάζεται ο εκτελών την επεξεργασία Σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα που αφορά δεδομένα που επεξεργάζεται ο εκτελών την επεξεργασία, ο εκτελών την επεξεργασία ενημερώνει τον υπεύθυνο επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση από τη στιγμή που αποκτά γνώση της παραβίασης. Η εν λόγω γνωστοποίηση περιλαμβάνει κατ’ ελάχιστο: 1) περιγραφή της φύσης της παραβίασης (συμπεριλαμβανομένων, όπου είναι δυνατόν, των κατηγοριών και του κατά προσέγγιση αριθμού των επηρεαζόμενων υποκειμένων των δεδομένων και αρχείων δεδομένων)· 2) τα στοιχεία του σημείου επικοινωνίας από το οποίο μπορούν να ληφθούν περισσότερες πληροφορίες σχετικά με την παραβίαση των δεδομένων προσωπικού χαρακτήρα· 3) τις ενδεχόμενες συνέπειες και τα ληφθέντα ή προτεινόμενα προς λήψη μέτρα για την αντιμετώπιση της παραβίασης, καθώς και, όπου ενδείκνυται, μέτρα για την άμβλυνση ενδεχόμενων δυσμενών συνεπειών της. Όταν και στον βαθμό που δεν είναι δυνατόν να παρασχεθούν όλες αυτές οι πληροφορίες ταυτόχρονα, στην αρχική γνωστοποίηση περιλαμβάνονται οι πληροφορίες που είναι διαθέσιμες τη δεδομένη στιγμή, ενώ πρόσθετες πληροφορίες παρέχονται σε μεταγενέστερο χρόνο και χωρίς αδικαιολόγητη καθυστέρηση μόλις καταστούν διαθέσιμες. Τα συμβαλλόμενα μέρη καθορίζουν στο παράρτημα ΙΙΙ όλα τα άλλα στοιχεία που πρέπει να παρέχονται από τον εκτελούντα την επεξεργασία κατά την παροχή βοήθειας στον υπεύθυνο επεξεργασίας για τη συμμόρφωση προς τις υποχρεώσεις του υπευθύνου επεξεργασίας σύμφωνα με τα άρθρα 33 και 34 του κανονισμού (ΕΕ) 2016/679. ΤΜΗΜΑ III ΤΕΛΙΚΕΣ ΔΙΑΤΑΞΕΙΣ Ρήτρα 10 Μη συμμόρφωση με τις ρήτρες και καταγγελία 1) Με την επιφύλαξη των διατάξεων του κανονισμού (ΕΕ) 2016/679 και/ή του κανονισμού (ΕΕ) 2018/1725, σε περίπτωση που ο εκτελών την επεξεργασία παραβιάζει τις υποχρεώσεις του σύμφωνα με τις παρούσες ρήτρες, ο υπεύθυνος επεξεργασίας μπορεί να δώσει εντολή στον εκτελούντα την επεξεργασία να αναστείλει την επεξεργασία δεδομένων προσωπικού χαρακτήρα έως ότου ο τελευταίος συμμορφωθεί με τις παρούσες ρήτρες ή καταγγελθεί η σύμβαση. Ο εκτελών την επεξεργασία ενημερώνει αμέσως τον υπεύθυνο επεξεργασίας σε περίπτωση που αδυνατεί να συμμορφωθεί με τις παρούσες ρήτρες, για οποιονδήποτε λόγο. 2) Ο υπεύθυνος επεξεργασίας έχει δικαίωμα να καταγγείλει τη σύμβαση στον βαθμό που αφορά την επεξεργασία δεδομένων προσωπικού χαρακτήρα σύμφωνα με τις παρούσες ρήτρες, αν: 1) η επεξεργασία δεδομένων προσωπικού χαρακτήρα από τον εκτελούντα την επεξεργασία ανεστάλη από τον υπεύθυνο επεξεργασίας σύμφωνα με το στοιχείο α) και η συμμόρφωση με τις παρούσες ρήτρες δεν αποκαταστάθηκε εντός εύλογου χρονικού διαστήματος και, σε κάθε περίπτωση, εντός ενός μηνός από την ημερομηνία της αναστολής

-- 10 of 15 --

2) ο εκτελών την επεξεργασία παραβιάζει ουσιωδώς ή με τρόπο διαρκή τις παρούσες ρήτρες ή τις υποχρεώσεις του βάσει του κανονισμού (ΕΕ) 2016/679 και/ή του κανονισμού (ΕΕ) 2018/1725· 3) ο εκτελών την επεξεργασία δεν συμμορφώνεται με δεσμευτική απόφαση αρμόδιου δικαστηρίου ή της/των αρμόδιας/-ων εποπτικής/-ών αρχής/-ών όσον αφορά τις υποχρεώσεις του σύμφωνα με τις παρούσες ρήτρες ή τον κανονισμό (ΕΕ) 2016/679 και/ή τον κανονισμό (ΕΕ) 2018/1725. 3) Ο εκτελών την επεξεργασία έχει δικαίωμα να καταγγείλει τη σύμβαση στον βαθμό που αφορά την επεξεργασία δεδομένων προσωπικού χαρακτήρα σύμφωνα με τις παρούσες ρήτρες αν, παρόλο που έχει ενημερώσει τον υπεύθυνο επεξεργασίας ότι οι εντολές του παραβιάζουν εφαρμοστέες νομικές απαιτήσεις σύμφωνα με τη ρήτρα 7.1 στοιχείο β), ο υπεύθυνος επεξεργασίας εμμένει στη συμμόρφωση με τις εν λόγω εντολές. 4) Μετά την καταγγελία της σύμβασης, ο εκτελών την επεξεργασία, κατ’ επιλογή του υπευθύνου επεξεργασίας, διαγράφει όλα τα δεδομένα προσωπικού χαρακτήρα που επεξεργάζεται για λογαριασμό του υπευθύνου επεξεργασίας και πιστοποιεί στον υπεύθυνο επεξεργασίας ότι το έχει πράξει ή επιστρέφει όλα τα δεδομένα προσωπικού χαρακτήρα στον υπεύθυνο επεξεργασίας και διαγράφει τα υφιστάμενα αντίγραφα, εκτός αν το δίκαιο της Ένωσης ή του κράτους μέλους απαιτεί την αποθήκευση των δεδομένων προσωπικού χαρακτήρα. Έως τη διαγραφή ή την επιστροφή των δεδομένων, ο εκτελών την επεξεργασία συνεχίζει να διασφαλίζει τη συμμόρφωση με τις παρούσες ρήτρες.

-- 11 of 15 --

ΠΑΡΑΡΤΗΜΑ Ι Κατάλογος συμβαλλόμενων μερών Υπεύθυνος/-οι επεξεργασίας: [Ταυτότητα και στοιχεία επικοινωνίας του/των υπευθύνου/-ων επεξεργασίας και, κατά περίπτωση, του υπευθύνου προστασίας δεδομένων του υπευθύνου επεξεργασίας] 1. Όνομα: … Διεύθυνση: … Όνομα, θέση και στοιχεία επικοινωνίας του υπευθύνου επικοινωνίας: … Υπογραφή και ημερομηνία προσχώρησης: … 2. … Εκτελών/-ούντες την επεξεργασία [Ταυτότητα και στοιχεία επικοινωνίας του/των εκτελούντος/-ων την επεξεργασία και, κατά περίπτωση, του υπευθύνου προστασίας δεδομένων του εκτελούντος την επεξεργασία] 1. Όνομα: Εθνικό Καποδιστριακό Πανεπιστήμιο Αθηνών Διεύθυνση: Χρ.Λαδά 6-Αθηνα Όνομα, θέση και στοιχεία επικοινωνίας του υπευθύνου επικοινωνίας: ΚΟΣΜΙΔΗΣ ΔΑΜΙΑΝΟΣ, τηλ. 6972711536 Υπογραφή και ημερομηνία προσχώρησης: … 2. …

-- 12 of 15 --

ΠΑΡΑΡΤΗΜΑ II Περιγραφή της επεξεργασίας Κατηγορίες υποκειμένων δεδομένων των οποίων τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία  Ασθενείς του Νοσοκομείου, των οποίων εγχειρητικά παρασκευάσματα ή/και βιοψίες, αποστέλλονται προς εξέταση στο Εργαστήριο Κατηγορίες δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία  Ονοματεπώνυμο, ηλικία, φύλο Ευαίσθητα δεδομένα που υποβάλλονται σε επεξεργασία (αν συντρέχει τέτοια περίπτωση) και περιορισμοί ή εγγυήσεις που εφαρμόζονται ώστε να λαμβάνονται πλήρως υπόψη η φύση των δεδομένων και οι υφιστάμενοι κίνδυνοι, όπως, για παράδειγμα, αυστηρός περιορισμός του σκοπού, περιορισμοί στην πρόσβαση (συμπεριλαμβανομένης της πρόσβασης αποκλειστικά από προσωπικό που έχει λάβει εξειδικευμένη κατάρτιση), τήρηση αρχείου πρόσβασης στα δεδομένα, περιορισμοί στις περαιτέρω διαβιβάσεις ή πρόσθετα μέτρα ασφάλειας.  Κλινικές πληροφορίες (ιατρικό ιστορικό) Φύση της επεξεργασίας  Παραλαβή εγχειρητικών παρασκευασμάτων ή/και βιοψιών (δειγμάτων) ασθενών του Νοσοκομείου, που συνοδεύονται από το παραπεμπτικό σε έντυπη μορφή προς επεξεργασία στο Εργαστήριο  Κατά τη διάρκεια της ιστολογικής εξέτασης παράγονται αντικειμενοφόρες πλάκες και κύβοι παραφίνης των ιστών, που φέρουν τον αριθμό πρωτοκόλλου του ασθενούς και τα οποία φυλάσσονται με ασφάλεια στους χώρους του Α Εργαστηρίου  Εκπόνηση ιστολογικής έκθεσης ασθενούς  Αποστολή της ιστολογικής έκθεσης ασθενούς στο Νοσοκομείο σε έντυπη μορφή Σκοπός/-οί για τον οποίο ή τους οποίους τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία για λογαριασμό του υπευθύνου επεξεργασίας  Η επεξεργασία των δεδομένων προσωπικού χαρακτήρα είναι απαραίτητη για τη διεκπεραίωση των ιστολογικών εξετάσεων και την έκδοση των ιστολογικών εκθέσεων καθώς και για την εξαγωγή στατιστικών συμπερασμάτων. Διάρκεια της επεξεργασίας  Τα παραπεμπτικά παραμένουν στο χώρο του Εργαστηρίου για 20 έτη  Το υπόλοιπο των εγχειρητικών παρασκευασμάτων (δείγματα ιστών των ασθενών) εφόσον υπάρχει, φυλάσσεται τουλάχιστον για 1 μήνα μετά τη διεκπεραίωση του περιστατικού και ακολούθως αποστέλλονται για αποτέφρωση, με βάση την ισχύουσα νομοθεσία  Οι αντικειμενοφόρες πλάκες φυλάσσονται επί 20ετία  Οι κύβοι παραφίνης των ιστών φυλάσσονται επί 20ετία  Οι ιστολογικές εκθέσεις των ασθενών διατηρούνται ηλεκτρονικά επί 40ετία

-- 13 of 15 --

ΠΑΡΑΡΤΗΜΑ III Τεχνικά και οργανωτικά μέτρα, συμπεριλαμβανομένων των τεχνικών και οργανωτικών μέτρων για τη διασφάλιση της ασφάλειας των δεδομένων Τα τεχνικά και οργανωτικά μέτρα που λαμβάνονται για την προστασία των προσωπικών δεδομένων είναι: 1. Τα παραπεμπτικά των ασθενών φυλάσσονται σε κιβώτια σε φυλασσόμενο ξεχωριστό χώρο του Εργαστηρίου (κλειδωμένο) και πρόσβαση σε αυτό έχει μόνο εξουσιοδοτημένο άτομο. 2. Τα δείγματα ιστών των ασθενών φυλάσσονται σε ειδικά διαμορφωμένους χώρους του Εργαστηρίου (ντουλάπια), όπου μετά το πέρας της καθημερινής εργασίας, κλειδώνονται και δεν έχει πρόσβαση ο οποιοσδήποτε. 3. Οι αντικειμενοφόρες πλάκες φυλάσσονται σε ειδικά ερμάρια, τα οποία βρίσκονται στο χώρο του αρχείου του Εργαστηρίου, ο οποίος κλειδώνεται. Οι πιο πρόσφατες χρονικά αντικειμενοφόρες πλάκες, για λόγους καθαρά διαδικαστικούς, φυλάσσονται σε ερμάρια τοποθετημένα εντός του χώρου του Παρασκευαστηρίου του Εργαστηρίου, ο οποίος κλειδώνεται μετά το πέρας της καθημερινής εργασίας και δεν έχει πρόσβαση ο οποιοσδήποτε. 4. Οι κύβοι παραφίνης με τους ιστούς των ασθενών φυλάσσονται σε ειδικά ερμάρια, τα οποία βρίσκονται στο χώρο του αρχείου του Εργαστηρίου, ο οποίος κλειδώνεται. Οι πιο πρόσφατοι χρονικά κύβοι παραφίνης, για λόγους καθαρά διαδικαστικούς, φυλάσσονται σε ερμάρια τοποθετημένα εντός του χώρου του Παρασκευαστηρίου του Εργαστηρίου, ο οποίος κλειδώνεται μετά το πέρας της καθημερινής εργασίας και δεν έχει πρόσβαση ο οποιοσδήποτε. 5. Ο κεντρικός server του Εργαστηρίου φυλάσσεται στο χώρο της Γραμματείας του Εργαστηρίου, ο οποίος επίσης κλειδώνεται μετά από το τέλος της καθημερινής εργασίας και δεν έχει πρόσβαση κανένας χρήστης εκτός των διαχειριστών του ΕΚΠΑ. Σε καθημερινή βάση πραγματοποιείται back up και τα δεδομένα είναι προστατευμένα με βάση την πλέον σύγχρονη τεχνολογία. 6. Οι Η/Υ των επιμέρους θέσεων εργασίας γραμματειακής υποστήριξης επίσης φυλάσσονται στους χώρους της Γραμματείας, οι οποίοι κλειδώνουν και πρόσβαση σε κάθε έναν από αυτούς έχει εξουσιοδοτημένο άτομο με προσωπικό κωδικό πρόσβασης μεγάλης πολυπλοκότητας. 7. Η αποστολή των ιστολογικών εκθέσεων γίνεται μέσω εταιρείας ταχυμεταφορών (courier).

-- 14 of 15 --

ΠΑΡΑΡΤΗΜΑ IV Κατάλογος υπεργολάβων επεξεργασίας ΕΠΕΞΗΓΗΜΑΤΙΚΟ ΣΗΜΕΙΩΜΑ: Το παρόν παράρτημα πρέπει να συμπληρωθεί σε περίπτωση ειδικής άδειας για χρήση υπεργολάβων επεξεργασίας [ρήτρα 7.7 στοιχείο α) επιλογή 1]. Ο υπεύθυνος επεξεργασίας έχει δώσει άδεια για τη χρήση των παρακάτω υπεργολάβων επεξεργασίας: Δεν υφίσταται υπεργολαβία

-- 15 of 15 --