Αθήνα, 08-08-2014 Αριθ. Πρωτ.: Γ/ΕΞ/4941/08-08-2014 ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ∆Ε∆ΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΑΠΟΦΑΣΗ ΑΡ. 117/2014 Η Αρχή Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα, συνήλθε µετά από πρόσκληση του Προέδρου της σε τακτική συνεδρίαση στην έδρα της την 06-08-2014, προκειµένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Π. Χριστόφορος, Πρόεδρος της Αρχής, Λ. Κοτσαλής, Α. - Ι. Μεταξάς, ∆. Μπριόλας, Α. Συµβώνης, ως εισηγητής, Κ. Χριστοδούλου, και Π. Τσαντίλας, τακτικά µέλη. Στη συνεδρίαση, µετά από εντολή του Προέδρου, χωρίς δικαίωµα ψήφου, παρέστησαν η Ζ. Καρδασιάδου, ειδική επιστήµων – νοµικός, προϊσταµένη του Τµήµατος Ελεγκτών, ο Γ. Ρουσόπουλος, ειδικός επιστήµων – πληροφορικός, ο Ι. Λυκοτραφίτης, ειδικός επιστήµων – πληροφορικός, ως βοηθοί εισηγητές, και η Γ. Παλαιολόγου , υπάλληλος του Τµήµατος ∆ιοικητικών και Οικονοµικών υποθέσεων, ως γραµµατέας,. Ο έτερος βοηθός εισηγητής, Α. Χρυσάνθου ειδικός επιστήµων – πληροφορικός, απουσίαζε λόγω κωλύµατος. Η Αρχή έλαβε υπόψη τα παρακάτω: Από τη διενέργεια διοικητικών ελέγχων σε εταιρείες που δραστηριοποιούνται στον τοµέα της εµπορίας δεδοµένων προσωπικού χαρακτήρα διαπιστώθηκε ότι ορισµένες εξ αυτών είχαν στην κατοχή τους µεγάλο όγκο φορολογικών δεδοµένων φυσικών προσώπων. Ακολούθως, ο έλεγχος επεκτάθηκε στη Γενική Γραµµατεία Πληροφοριακών Συστηµάτων (εφεξής Γ.Γ.Π.Σ.). Η Αρχή διαπίστωσε ότι τα ευρεθέντα προσωπικά (φορολογικά) δεδοµένα που αφορούν στο σύνολο των φορολογουµένων στην Ελλάδα προέρχονται από τα τηρούµενα στη Γ.Γ.Π.Σ. στοιχεία και συνοπτικά περιλαµβάνουν:
- i)στοιχεία του εντύπου Ε1 της φορολογικής δήλωσης για τα οικονοµικά έτη από το 2003 έως και το 2009 και εν µέρει για το 2012,
- ii)στοιχεία του εντύπου Ε2 της φορολογικής δήλωσης για το οικονοµικό έτος 2006, iii) στοιχεία του εντύπου Ε9,
- iv)στοιχεία του ΕΤΑΚ,
- v)στοιχεία της έκτακτης εισφοράς του ν. 3986/2011 για το οικονοµικό έτος 2011,
- vi)στοιχεία του µητρώου φορολογουµένων, vii) στοιχεία των σηµειωµάτων περαίωσης του έτους 2010 και viii) στοιχεία τελών κυκλοφορίας οχηµάτων για τα έτη από το 2006 έως και το 2012. Η Αρχή, µε την απόφαση 98/2013, έκρινε ότι η Γ.Γ.Π.Σ., ως υπεύθυνη επεξεργασίας, παραβίασε την υποχρέωση λήψης των κατάλληλων µέτρων ασφάλειας κατά το άρθρο 10 παρ. 3 ν. 2472/1997, γεγονός που οδήγησε από το έτος 2000 έως και το έτος 2012 σε µη εξουσιοδοτηµένη πρόσβαση και επεξεργασία από τρίτους ιδιαίτερα µεγάλου όγκου προσωπικών δεδοµένων, απλών και ευαίσθητων, τα οποία στην πλειονότητά τους υπόκεινται και στο φορολογικό απόρρητο. Το πλήθος και ο χρόνος αναφοράς των δεδοµένων υποδεικνύουν ουσιαστικά σειρά αλλεπάλληλων επιµέρους περιστατικών παραβίασης προσωπικών δεδοµένων. Όπως εξάλλου διέλαβε η απόφαση 98/2013 (σκ. 3) η υποχρέωση λήψης των κατάλληλων µέτρων ασφάλειας έχει προληπτικό και κατασταλτικό χαρακτήρα. Προληπτικό ώστε τα εφαρµοστέα µέτρα να αποτρέψουν περιστατικά παραβίασης προσωπικών δεδοµένων, κατασταλτικό ώστε τυχόν περιστατικό να µπορεί να ανιχνευθεί και να διερευνηθεί. Λαµβάνοντας υπόψη τη φύση και τον όγκο των δεδοµένων που διέρρευσαν και τις ενδεχόµενες και πραγµατικές συνέπειες για τα υποκείµενα των δεδοµένων η Αρχή επέβαλε στη Γ.Γ.Π.Σ. σύµφωνα µε το άρθρο 21 παρ. 1 στοιχ. β ν. 2472/1997 το ανώτερο προβλεπόµενο πρόστιµο, ύψους εκατόν πενήντα χιλιάδων ευρώ (150.000 €). Παράλληλα, κάλεσε τη Γ.Γ.Π.Σ. να εφαρµόζει στο εξής κατάλληλα µέτρα ασφάλειας, τα οποία περιγράφηκαν στη σκέψη 6 της απόφασης 98/2013, και να υποβάλει στην Αρχή, εντός δύο µηνών από την κοινοποίηση της απόφασης, χρονοδιάγραµµα για την εφαρµογή τους, καθώς και να ενηµερώνει την Αρχή ανά τρίµηνο για την τήρηση του χρονοδιαγράµµατος. Ειδικότερα, τα µέτρα ασφάλειας αναφέρονται ως εξής: «Η Γ.Γ.Π.Σ. πρέπει καταρχήν να εφαρµόζει πλήρως, δηλαδή σε όλα τα πληροφοριακά συστήµατα που βρίσκονται υπό την ευθύνη της, την εγκεκριµένη πολιτική ασφαλείας ΠΑΠΣ-ΓΓΠΣ. Επίσης, µετά από ολοκληρωµένη µελέτη ανάλυσης επικινδυνότητας και ευπαθειών, πρέπει να προβεί σε αναθεώρηση της υφιστάµενης πολιτικής ασφάλειας, κατάρτιση, εφαρµογή και αξιολόγηση των επιµέρους σχεδίων ασφάλειας.. 2 Στο πλαίσιο των ανωτέρω ενεργειών πρέπει να προβλεφθούν και τα ακόλουθα: α) Η σταδιακή διερεύνηση του ενδεχοµένου λήψης πιστοποίησης σε θέµατα διαδικασιών ασφάλειας. β) Ο έλεγχος από ανεξάρτητο οργανισµό, σε τακτική βάση τουλάχιστον ετησίως, της ασφάλειας των συστηµάτων και διαδικασιών, συµπεριλαµβανοµένης της αποτίµησης των εφαρµοζόµενων µέτρων ασφάλειας. Τα αποτελέσµατά του να κοινοποιούνται στην Αρχή. γ) Ο περιοδικός έλεγχος από τη Γ.Γ.Π.Σ., τουλάχιστον ετησίως, των τυχόν εκτελούντων την επεξεργασία ως προς τη λήψη των κατάλληλων µέτρων ασφάλειας. Η Γ.Γ.Π.Σ. πρέπει εντός δύο µηνών από την κοινοποίηση της παρούσας, να συντάξει σχετικό χρονοδιάγραµµα, στο οποίο θα προσδιορίζονται οι διαδικασίες για την κατάρτιση, την υλοποίηση, την επίβλεψη και την επικαιροποίηση των ανωτέρω και ο χρόνος εκτέλεσής τους. Πρέπει, επίσης, σύµφωνα µε την σκέψη 2 της παρούσας, να γνωστοποιήσει αµελλητί στην Αρχή το χρονοδιάγραµµα, και να την ενηµερώνει ανά τρίµηνο για την εφαρµογή του. Επιπλέον, ως µέτρα για την αποφυγή, ανίχνευση και διερεύνηση περιστατικών παραβίασης προσωπικών δεδοµένων θα πρέπει να προβλεφθούν και εφαρµοστούν αµελλητί τα εξής: α) Ελεγχόµενη, µέσω κατάλληλων εξουσιοδοτήσεων, διαδικασία εξαγωγής ή/και λήψης δεδοµένων από τα τερµατικά που χρησιµοποιούνται για την επεξεργασία προσωπικών δεδοµένων ή/και να αποκλειστεί η χρήση αποσπώµενων µέσων και η σύνδεση στο διαδίκτυο από συγκεκριµένα τερµατικά. β) Mέτρα για την προστασία της ακεραιότητας των αρχείων καταγραφής, τον έλεγχο της αποµακρυσµένης πρόσβασης και την ενεργοποίηση συστηµατικής διαδικασίας χρήσης και ελέγχου συνθηµατικών σε κάθε σύστηµα. γ) Αναθεώρηση της διαδικασίας καταγραφής ενεργειών τύπου ερωτηµάτων (SELECT) σε πίνακες της βάσης δεδοµένων ή συστήµατα που επεξεργάζονται προσωπικά δεδοµένα και λήψη µέτρων για τον αυτοµατοποιηµένο, προληπτικό, έλεγχο των αρχείων καταγραφής.» Με την υπ’ αριθµ. πρωτ. Γ/ΕΙΣ/6545/16.10.2013 αίτησή της η Γ.Γ.Π.Σ. ζητά: 1. Να µεταρρυθµιστεί η απόφαση ώστε να της χορηγηθεί ο απαραίτητος από τις περιστάσεις χρόνος για την εφαρµογή των συστάσεων της Αρχής, υποστηρίζοντας ότι δεν είναι ανθρωπίνως δυνατή η αµελλητί εφαρµογή των µέτρων που αναφέρονται στην τελευταία παράγραφο της σκέψης 6 της απόφασης 98/2013. Προς επίρρωση ισχυρίζεται συνοπτικώς τα εξής: 3 α) Σε σχέση µε την «ελεγχόµενη, µέσω κατάλληλων εξουσιοδοτήσεων, διαδικασία εξαγωγής ή/και λήψης δεδοµένων από τα τερµατικά που χρησιµοποιούνται για την επεξεργασία προσωπικών δεδοµένων» και τον «αποκλεισµό της χρήσης αποσπώµενων µέσων και τη σύνδεση στο διαδίκτυο από συγκεκριµένα τερµατικά» ότι η εφαρµογή σχετικών µέτρων µπορεί να γίνει µε την προµήθεια κατάλληλου λογισµικού µέσω διαδικασίας προµηθειών του ∆ηµοσίου η οποία θα απαιτήσει περίπου ένα έτος µέχρι να υπογραφεί η σχετική σύµβαση. Ο αποκλεισµός της χρήσης αποσπώµενων µέσων και η σύνδεση στο διαδίκτυο από συγκεκριµένα τερµατικά µπορεί να αρχίσει άµεσα (µόνο όµως πιλοτικά) στα τερµατικά που επεξεργάζονται προσωπικά δεδοµένα. β) Σε σχέση µε τα «µέτρα για την προστασία της ακεραιότητας των αρχείων καταγραφής, τον έλεγχο της αποµακρυσµένης πρόσβασης και την ενεργοποίηση συστηµατικής διαδικασίας χρήσης και ελέγχου συνθηµατικών σε κάθε σύστηµα» ότι βρίσκεται ήδη σε εξέλιξη σχετική διαγωνιστική διαδικασία ενώ η Γ.Γ.Π.Σ. εφαρµόζει όλες τις πρόσφορες τεχνολογίες ελέγχου αποµακρυσµένης πρόσβασης και προχωρεί σε αξιολόγηση της δυνατότητας επέκτασης των µέσων ελέγχου φυσικής πρόσβασης ώστε να περιλαµβάνουν συστήµατα και εφαρµογές. γ) Σε σχέση µε την «αναθεώρηση της διαδικασίας καταγραφής ενεργειών τύπου ερωτηµάτων (SELECT) σε πίνακες της βάσης δεδοµένων ή συστήµατα που επεξεργάζονται προσωπικά δεδοµένα και λήψη µέτρων για τον αυτοµατοποιηµένο, προληπτικό, έλεγχο των αρχείων καταγραφής» ότι θα αξιολογηθεί ειδικό υλικό και λογισµικό ανεξάρτητης δοµής για την καταγραφή κινήσεων βάσης δεδοµένων ενώ η υπάρχουσα διαδικασία έχει σχεδιαστεί για να υποστηρίζει λειτουργικά τις εφαρµογές και τυχόν επιβάρυνσή της θα οδηγούσε σε εξάλειψη του διαθέσιµου χώρου αποθήκευσης. 2. Να εξαφανιστεί ή να µειωθεί στις 20.000 ευρώ το επιβληθέν πρόστιµο διότι α) ο νόµος προβλέπει τη δυνατότητα επιβολής προστίµου έως 50.000.000 δραχµές (ήτοι µε ακριβή µετατροπή 146.735 ευρώ) και η σχετική απόφαση είναι µη νόµιµη κατά το υπερβάλλον και β) η Αρχή οφείλει να τηρεί την αρχή της αναλογικότητας και να αιτιολογεί ειδικά την κρίση της, ιδίως αν το πρόστιµο καθορίζεται πλησίον του ανώτατου νοµίµου ορίου και επιπλέον, να λαµβάνει υπ’ όψιν περιστατικά που συντελούν στη µείωση της ποινής (έµπρακτη µετάνοια, προσπάθεια του καθού το 4 πρόστιµο να εξαλείψει τις αιτίες της παράβασης κ.ο.κ.). Κατά τους ισχυρισµούς της, τα ακόλουθα θα έπρεπε να αποτελέσουν αιτία για µείωση του προστίµου: α) οι αναµφίβολες διαπιστώσεις ότι πρόκειται για δεδοµένα τεράστιου όγκου και ποικιλοµορφίας από συστήµατα που έχουν τεθεί σε λειτουργία σε διαφορετικές περιόδους και διέθεταν εξαρχής διαφορετικού επιπέδου µηχανισµούς ασφάλειας. β) γίνεται εργώδης προσπάθεια εκσυγχρονισµού των συστηµάτων. γ) τα µέτρα ασφάλειας ενισχύθηκαν πρόσφατα και καταγράφηκαν σε πολιτική ασφάλειας ενώ από 1-11-2011 λειτουργεί αυτοτελές Γραφείο Ασφαλείας. δ) µετά την εκδήλωση του περιστατικού διεκόπη η λειτουργία του συστήµατος εκτυπώσεων και οι εκτυπώσεις γίνονται µέσω των ΕΛΤΑ ε) η από 2-11-2011 υπογραφή σύµβασης µεταξύ «Κοινωνία της Πληροφορίας Α.Ε.» και των εταιρειών «Unisystems Σ.Π.Α.Ε.» και «INTRASOFT I.S.A.» µε αντικείµενο προµήθεια εξοπλισµού και παροχή υπηρεσιών για λογαριασµό της Γ.Γ.Π.Σ. η οποία αποδεικνύει την επιµέλεια του φορέα για την αναβάθµιση της υποδοµής του και την επαύξηση του επιπέδου ασφάλειας. Τέλος, η Γ.Γ.Π.Σ. ισχυρίζεται ότι δεν ευσταθούν οι εξής διαπιστώσεις της απόφασης: αα) Ότι δεν έχει πραγµατοποιηθεί ολοκληρωµένη αποτίµηση ευπαθειών ως προς τα υφιστάµενα συστήµατα, ενώ ως προς τη νέα υποδοµή έχει προβλεφθεί αλλά δεν έχει παραληφθεί. Η Γ.Γ.Π.Σ υποστηρίζει ότι έχει πραγµατοποιηθεί-υλοποιηθεί ολοκληρωµένη αποτίµηση ευπαθειών στην καινούργια υποδοµή, όµως όσον αφορά κάποιες παλιές εφαρµογές, όπως του Ε1, καταδείχθηκε επαρκώς στην Αρχή ότι αυτή σταδιακά µεταλλάσσεται και µεταφέρεται από το ένα τεχνολογικό περιβάλλον στο άλλο, ενώ δεν είναι ανθρωπίνως δυνατό να τροποποιηθεί γρήγορα καθώς βρίσκεται διαρκώς σε παραγωγική λειτουργία. ββ) Ότι δεν έχει ολοκληρωθεί το κεντρικό σύστηµα ελέγχου πρόσβασης, µε αποτέλεσµα η πρόσβαση να πραγµατοποιείται ανά εφαρµογή, ενώ η αποµακρυσµένη πρόσβαση των διαχειριστών δεν ελέγχεται. Η Γ.Γ.Π.Σ. υποστηρίζει ότι στην πραγµατικότητα για τα πληροφοριακά συστήµατα που έχουν µεταπτωθεί ή έχουν εξαρχής εγκατασταθεί στη νέα υποδοµή η πρόσβαση ελέγχεται κεντρικά, ενώ για τα παλαιότερα συστήµατα γίνεται προσπάθεια να εφαρµοστεί στο σύνολό τους. Η πρόσβαση γίνεται µέσω κεντρικού καταλόγου στην πλειονότητα των συστηµάτων 5 ενώ η αποµακρυσµένη πρόσβαση των διαχειριστών γίνεται µε προσωποποιηµένους κωδικούς και καταγράφεται από το σύστηµα. γγ) Ότι τα τερµατικά από τα οποία πραγµατοποιείται η επεξεργασία είναι όλα συνδεδεµένα στο διαδίκτυο, ενώ οι χρήστες µπορούν ανεξέλεγκτα να χρησιµοποιούν αποσπώµενα µέσα. Η Γ.Γ.Π.Σ. υποστηρίζει ότι πρόσβαση στο διαδίκτυο έχει µόνο το προσωπικό της Γ.Γ.Π.Σ. που απασχολείται µε τη διαχείριση και την ανάπτυξη των εφαρµογών ενώ οι λοιποί χρήστες, όπως π.χ. αυτοί στις ∆.Ο.Υ. και τα τελωνεία δεν έχουν πρόσβαση. δδ) Ότι η ενεργοποίηση καταγραφής ενεργειών στη βάση δεδοµένων αφορά µόνο στις ενέργειες σύνδεσης και αποσύνδεσης καθώς και στις ενέργειες ανάγνωσης των πινάκων εισοδήµατος και της κάρτας αποδείξεων. Η Γ.Γ.Π.Σ. υποστηρίζει ότι κάθε εφαρµογή κάνει τις απαραίτητες καταγραφές όπως αναλυτικά περιγράφεται στο απαντητικό της έγγραφο, οι οποίες αποθηκεύονται στη βάση δεδοµένων. Στο παράρτηµα του εγγράφου παρατίθεται περιγραφή της καταγραφής ενεργειών ανά εφαρµογή. Την 22-11-2013 πραγµατοποιήθηκε συνάντηση στην έδρα της Αρχής µεταξύ εκπροσώπων της Γ.Γ.Π.Σ., παρουσία του Γενικού Γραµµατέα, Χ. Τσαβδάρη, κατόπιν της µε αριθµ. πρωτ. Γ/ΕΞ/7298/15-11-2013 έγγραφης πρόσκλησης. Στη συνάντηση αποσαφηνίσθηκαν και έγιναν αποδεκτά τα κατάλληλα µέτρα κατά την τελευταία παράγραφο της σκέψης 6 της απόφασης 98/2013. Τα µέτρα που αναφέρει η Γ.Γ.Π.Σ. στην αίτηση θεραπείας είναι καταρχήν αποδεκτά ως µέτρα που ανταποκρίνονται στις συστάσεις της απόφασης 98/2013 όµως η εφαρµογή τους απαιτεί µακρύτερο διάστηµα. Ωστόσο άλλα µέτρα, προσωρινού χαρακτήρα, δύνανται να περιορίσουν σηµαντικά την πιθανότητα να συµβεί νέο περιστατικό παραβίασης, µέχρι τη λήψη των ολοκληρωµένων, µόνιµων, µέτρων. Τα µέτρα αυτά συµφωνήθηκαν και αποτυπώθηκαν σε συνοπτικό πρακτικό (αρ. πρωτ. Αρχής Γ/ΕΙΣ/8106/20-12-2013). Ειδικότερα, σε σχέση µε όσα αναφέρονται ανωτέρω υπό σηµείο 1 α) θα εφαρµοστούν αµελλητί µέτρα, ιδίως η απενεργοποίηση των θυρών USB, ανταλλαγή αρχείων µέσω ελεγχόµενων κοινόχρηστων φακέλων µετά από κατάλληλες εξουσιοδοτήσεις, η εφαρµογή πολιτικής οµάδας (group policy) µέσω τεχνολογίας active directory, η απαγόρευση πρόσβασης σε µια σειρά από τοποθεσίες ιστού που αφορούν υπηρεσίες web email και αποθήκευσης αρχείων. Σε σχέση µε όσα αναφέρονται ανωτέρω υπό σηµείο 1 β) θα εφαρµοσθούν αµελλητί µέτρα, ιδίως η τήρηση σε ξεχωριστό αρχείο 6 κατάλληλου κωδικού που θα προκύπτει από συνάρτηση κατακερµατισµού (hash) ώστε να ελέγχεται η ακεραιότητα των αρχείων καταγραφής που εξάγονται από τη βάση δεδοµένων και η εφαρµογή της ήδη υπάρχουσας δυνατότητας αποµακρυσµένης πρόσβασης µέσω σκληρών πιστοποιητικών. Σε σχέση µε όσα αναφέρονται ανωτέρω υπό σηµείο 1 γ) θα πρέπει µε αντικειµενικά στοιχεία (π.χ. µετρήσεις, υπολογισµοί) να εκτιµηθεί η επίπτωση που θα προκαλέσει στην υπάρχουσα υποδοµή της Γ.Γ.Π.Σ. η ενεργοποίηση διαδικασιών καταγραφής ερωτηµάτων τύπου SELECT σε επιλεγµένους πίνακες, µε βάση εγγράφως τεκµηριωµένη εκτίµηση κρισιµότητας των δεδοµένων. Η Αρχή µετά από εξέταση της παραπάνω αίτησης και των λοιπών στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τους βοηθούς εισηγητές, οι οποίοι στη συνέχεια αποχώρησαν, και κατόπιν διεξοδικής συζήτησης ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ 1. Η αιτούσα κατά πρώτον δεν αµφισβητεί τη συνδροµή των πραγµατικών γεγονότων τα οποία αποτέλεσαν την πραγµατική βάση της παραβάσεως του άρθρου 10 παρ. 3 ν. 2472/1997, δηλαδή τη διαπιστωθείσα από την Αρχή διαρροή των στο ιστορικό της απόφασης 98/2013 αναφερόµενων προσωπικών (φορολογικών) δεδοµένων, αλλά το σύνολο των αιτιάσεων κατά της υπ’ αριθµ. 98/2013 απόφασης αναφέρεται σε λόγους που κατά την άποψή της επιβάλλουν τη µείωση του επιβληθέντος προστίµου. 2. Σε σχέση δε προς τα παράπονα της αιτούσας ότι η Αρχή κάλεσε την αιτούσα να προβλέψει και εφαρµόσει «αµελλητί» µέτρα ασφάλειας προς αποτροπή και διερεύνηση περιστατικών παραβίασης προσωπικών δεδοµένων στο µέλλον, πρέπει να σηµειωθεί ότι η Αρχή, εν γνώσει των νόµιµων διαδικασιών για την προµήθεια νέων ή την αναβάθµιση των παλαιών συστηµάτων που οφείλει να τηρεί η Γ.Γ.Π.Σ. ως δηµόσια υπηρεσία, επιζήτησε τη λήψη των κατάλληλων µέτρων «αµελλητί», δηλαδή «άνευ υπαιτίου βραδύτητας», και όχι «παραχρήµα».. Εξάλλου, η απόφαση 98/2013 περιγράφει σε γενικές γραµµές τα ληπτέα µέτρα, τα οποία οφείλει να εξειδικεύσει η Γ.Γ.Π.Σ. ως υπεύθυνος επεξεργασίας. Σηµειωτέον ότι όπως 7 αναφέρεται στο ιστορικό της παρούσας, κατά τη συνάντηση της 21.11.2013 διευκρινίσθηκε ότι τα προτεινόµενα από τη Γ.Γ.Π.Σ. οριστικά µέτρα βαίνουν προς την ορθή κατεύθυνση, τα οποία θα ληφθούν στον κατάλληλο τηρουµένων των νόµιµων διαδικασιών χρόνο, και εξειδικεύθηκαν µέτρα προσωρινού χαρακτήρα µέχρι τη λήψη των οριστικών µέτρων. 3. Όσον αφορά στους ισχυρισµούς της Γ.Γ.Π.Σ. ότι ορισµένες διαπιστώσεις της απόφασης 98/2013 δεν ευσταθούν, σηµειώνονται τα εξής: α) Ως προς τη διαπίστωση ότι δεν έχει πραγµατοποιηθεί ολοκληρωµένη αποτίµηση ευπαθειών στα υφιστάµενα συστήµατα, ενώ ως προς τη νέα υποδοµή έχει προβλεφθεί αλλά δεν έχει παραληφθεί, η Αρχή έχει ήδη εξετάσει διεξοδικά το ζήτηµα στη σκέψη 6 της απόφασης 98/2013 σε συνδυασµό µε τις διαπιστώσεις υπό σηµείο δ) στο ιστορικό της ίδιας απόφασης. Εξάλλου, η αιτούσα αποδέχεται ότι δεν υφίστατο ολοκληρωµένη αποτίµηση ευπαθειών που να συµπεριλαµβάνει και τα παλαιότερα συστήµατα, ενώ ως προς τη νέα πληροφοριακή υποδοµή δεν αµφισβητεί ότι η αποτίµηση ευπαθειών δεν είχε παραληφθεί. β) Από το υπ’ αριθµ. πρωτ. Γ/ΕΞ/8210/21-12-2012 πρακτικό της συνάντησης που πραγµατοποιήθηκε στις 3-12-2012 και το υπ’ αριθµ. πρωτ. …./…-…-…. υπόµνηµα της Γ.Γ.Π.Σ., το οποίο ως στοιχείο του φακέλου της υπόθεσης ελήφθη υπ’ όψιν στην απόφαση 98/2013, δεν επιβεβαιώνεται ο ισχυρισµός της αιτούσας ότι δεν ευσταθεί η διαπίστωση της Αρχής ότι δεν έχει ολοκληρωθεί το κεντρικό σύστηµα ελέγχου πρόσβασης, µε αποτέλεσµα η πρόσβαση να πραγµατοποιείται ανά εφαρµογή, ενώ η αποµακρυσµένη πρόσβαση των διαχειριστών δεν ελέγχεται. Συγκεκριµένα στο πρακτικό αναφέρεται στην ΕΡ14 «∆εν υπάρχει κεντρικό σύστηµα ελέγχου πρόσβασης. Τώρα εγκαθίσταται active directory (στο πλαίσιο του νέου taxisnet που θα ξεκινήσει να λειτουργεί εντός του ∆εκεµβρίου 2012) στο οποίο θα αρχίσουν να προστίθενται σταδιακά ορισµένα συστήµατα. Η πρόσβαση γίνεται µε χρήση συνθηµατικών ανά εφαρµογή» ενώ στο υπόµνηµα της Γ.Γ.Π.Σ. (σελ. 65) αναφέρεται ότι «αυτή τη στιγµή οι διαχειριστές έχουν τοπικό προσωπικό λογαριασµό στο server διαχείρισης ο οποίος προγραµµατίζεται να µεταφερθεί στην κεντρική LDAP υποδοµή όπως άλλωστε οι προσωπικοί λογαριασµοί των υπολοίπων χρηστών των servers». γ) Ως προς τη διαπίστωση ότι τα τερµατικά από τα οποία πραγµατοποιείται η επεξεργασία είναι όλα συνδεδεµένα στο διαδίκτυο, ενώ οι χρήστες µπορούν ανεξέλεγκτα να χρησιµοποιούν αποσπώµενα µέσα, είναι σαφές από το γράµµα της 8 απόφασης 98/2013 ότι αφορά στους χρήστες, υπαλλήλους, της Γ.Γ.Π.Σ και όχι χρήστες άλλων φορέων. δ) Ως προς τη διαπίστωση ότι η ενεργοποίηση καταγραφής ενεργειών στη βάση δεδοµένων αφορά µόνον στις ενέργειες σύνδεσης και αποσύνδεσης καθώς και στις ενέργειες ανάγνωσης των πινάκων εισοδήµατος και της κάρτας αποδείξεων, η Αρχή έχει ήδη εξετάσει διεξοδικά το ζήτηµα στη σκέψη 5 της απόφασης 98/2013 σε συνδυασµό µε τις διαπιστώσεις υπό σηµείο δ) στο ιστορικό της ίδιας απόφασης. Εξάλλου, η αιτούσα δεν αµφισβητεί τις ελλείψεις των αρχείων καταγραφής ως προς το ειδικότερο θέµα της δυνατότητας ανίχνευσης περιστατικού παραβίασης προσωπικών δεδοµένων. 4. Σε σχέση µε την αναλογικότητα του επιβληθέντος προστίµου η Γ.Γ.Π.Σ. υποστηρίζει ότι δεν έχουν ληφθεί υπόψη παράγοντες µείωσης του προστίµου. Στη σκέψη 7 της απόφασης 98/2013 ρητώς αναφέρεται ότι «για το ύψος της παραπάνω διοικητικής κύρωσης συνεκτιµώνται, ιδίως, η φύση και ο όγκος των δεδοµένων, οι ενδεχόµενες και πραγµατικές συνέπειες για τα υποκείµενα των δεδοµένων από τη µη λήψη των κατάλληλων µέτρων ασφάλειας καθώς και τα τυχόν αντίµετρα (δηλαδή, διορθωτικά µέτρα) που λαµβάνει ο υπεύθυνος επεξεργασίας µετά τη διαπίστωση περιστατικού παραβίασης προσωπικών δεδοµένων» όπως επίσης ότι όπως προκύπτει από το ιστορικό και τις σκέψεις 5 – 6 της απόφασης πρόκειται για διαρροή προσωπικών δεδοµένων που υπόκεινται και στο φορολογικό απόρρητο, πρωτοφανούς έκτασης αφού αφορούν στο σύνολο των φορολογουµένων στην Ελλάδα, για ιδιαίτερα µακρύ χρονικό διάστηµα, τουλάχιστον από το έτος 2000 έως το 2012, κατ’ ουσίαν υποδεικνύοντας σειρά αλλεπάλληλων διαρροών, επιπλέον τα δεδοµένα κατέστησαν ήδη αντικείµενο παράνοµης επεξεργασίας από τρίτους, ενώ µέχρι και την ηµέρα λήψης της απόφασης δεν είχαν ληφθεί κατάλληλα µέτρα ασφάλειας για την αποτροπή, ανίχνευση και διερεύνηση περιστατικών παραβίασης προσωπικών δεδοµένων. Συνεπώς, η Αρχή συνεκτιµώντας όλα τα ανωτέρω επέβαλε το ανώτερο προβλεπόµενο πρόστιµο. Σε σχέση µε την υπογραφή σύµβασης την 2-11-2011 µε αντικείµενο την προµήθεια εξοπλισµού και την παροχή υπηρεσιών για λογαριασµό της Γ.Γ.Π.Σ. (πβλ. σηµείο 2 ε’ στο ιστορικό της παρούσας) η αιτούσα προ της επιβολής του προστίµου δεν επικαλέσθηκε τη σύµβαση αλλά ούτε και µε την αίτηση θεραπείας την προσκόµισε ούτε και απέδειξε καθ΄ οιονδήποτε τρόπο ότι η σύµβαση 9 έχει ως αντικείµενο τη βελτίωση του επιπέδου ασφάλειας υπό τις ειδικότερες πτυχές που εξετάσθηκαν στην απόφαση 98/2013. 5. Όσον αφορά στον ισχυρισµό της Γ.Γ.Π.Σ. ότι η απόφαση 98/2013 είναι µη νόµιµη κατά το υπερβάλλον ποσό των 146.735 µέχρι το ποσό των 150.000 ευρώ που επιβλήθηκε ως πρόστιµο σηµειώνονται τα εξής: Με τις διατάξεις του άρθρου 3 ν. 2943/2001 «Έκτιση ποινών εµπόρων ναρκωτικών και άλλες διατάξεις αρµοδιότητας του Υπουργείου ∆ικαιοσύνης» ρυθµίσθηκε η µετατροπή και στρογγυλοποίηση των χρηµατικών ποσών που προβλέπονται σε νόµους αρµοδιότητας του Υπουργείου ∆ικαιοσύνης, η οποία πραγµατοποιείται σύµφωνα µε τις διατάξεις των άρθρων 4 και 5 του Κανονισµού 1103/1997/ΕΚ του Συµβουλίου της Ευρωπαϊκής Κοινότητας και του άρθρου 2 ν. 2842/2000 «Λήψη συµπληρωµατικών µέτρων για την εφαρµογή των Κανονισµών 1103/97/974198 και 2866198 του Συµβουλίου, όπως ισχύουν σχετικά µε την εισαγωγή του ευρώ», σύµφωνα µε τις οποίες ορίσθηκε η τιµή µετατροπής της δραχµής σε ευρώ και η στρογγυλοποίηση προς το πλησιέστερο λεπτό. Περαιτέρω, µε τις διατάξεις του άρθρου 4 στοιχ. ε και του άρθρου 5 ν. 2943/2001 τα πρόστιµα των ανεξάρτητων διοικητικών αρχών, τα οποία προβλέπονται σε νόµο αρµοδιότητας του Υπουργείου ∆ικαιοσύνης αναπροσαρµόσθηκαν. Ειδικότερα, η διάταξη του άρθρου 5 παρ. 7 ν. 2943/2001 ορίζει ότι αν το προκύπτον ποσό σε ευρώ είναι µεγαλύτερο των 100.000 ευρώ και δεν υπερβαίνει το 1.000.000 ευρώ, η αναπροσαρµογή γίνεται στην πλησιέστερη ανώτερη δεκάκις χιλιάδα ευρώ, εφόσον τα τέσσερα τελευταία ακέραια ψηφία του προκύπτοντος ποσού σε ευρώ είναι ίσα ή µεγαλύτερα του αριθµού 5000 ευρώ. Συνεπώς, επειδή ο ν. 2472/1997, στο άρθρο 21 του οποίου ορίζεται η κύρωση του προστίµου και το ύψος αυτού, είναι αρµοδιότητας του Υπουργείου ∆ικαιοσύνης και το ανώτατο προβλεπόµενο πρόστιµο ανέρχεται σε 50.000.000 δραχµές οι οποίες µετά την µετατροπή στο νόµισµα του ευρώ θα ήταν 146.735 ευρώ, δηλαδή ποσό µεγαλύτερο των 100.000 ευρώ που δεν υπερβαίνει το 1.000.000 ευρώ και τα τέσσερα τελευταία ακέραια ψηφία (6.735) αποτελούν αριθµό µεγαλύτερο του αριθµού 5.000, νοµίµως η Αρχή επέβαλε ως πρόστιµο το ποσό των 150.000 ευρώ. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ 10 Απορρίπτει την αίτηση θεραπείας της Γενικής Γραµµατείας Πληροφοριακών Συστηµάτων για τους λόγους που αναφέρονται στο σκεπτικό της παρούσας. Ο Πρόεδρος Πέτρος Χριστόφορος Η Γραµµατέας Γεωργία Παλαιολόγου 11