Διαδικασία σύγχρονης εξ αποστάσεως εκπαίδευσης από το Υπουργείο Παιδείας

(3)μηνών. 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr Η Αρχή με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/6743-1/16-11-2020 έγγραφό της κάλεσε το ΥΠΑΙΘ να ενημερώσει την Αρχή εάν έχει συμπληρώσει και τροποποιήσει τη διενεργηθείσα ΕΑΠΔ για τη σύγχρονη εξ αποστάσεως εκπαίδευση, σύμφωνα με τις αναφερόμενες στη γνωμοδότηση 4/10 συστάσεις, παρέχοντας κάθε σχετικό έγγραφο. Με το ίδιο έγγραφο διαβίβασε στο Υπουργείο το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/6153/10-09-2020 αίτημα και την υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/6743/05-10-2020 αναφορά της ΟΙΕΛΕ δεδομένου ότι σχετίζονται με ζητήματα τα οποία είχαν τεθεί με τις αρχικές αναφορές της ΟΙΕΛΕ και στα οποία η Αρχή με τη γνωμοδότησή της επιφυλάχθηκε να επανέλθει, ζητώντας από το Υπουργείο να απαντήσει εγγράφως επί των αναφερόμενων ζητημάτων εντός της ίδιας προθεσμίας. Στο πρώτο από τα έγγραφα αυτά η ΟΙΕΛΕ επαναφέρει το ζήτημα αν η Αρχή θεωρεί διοικητικά υποστατό το έγγραφο της ΕΑΠΔ, ενώ στο δεύτερο από αυτά η ΟΙΕΛΕ αναφέρει συνοπτικά ότι: 1) Η διατύπωση της διάταξης της παρ.1 της υπ’ αριθμ 120126/ΓΔ4 Υ.Α. (ΦΕΚ B' 3882/12.09.2020) («εφόσον παραμένει ο κίνδυνος διασποράς του κορωνοϊού COVID19»), είναι αόριστη και προκαλεί σημαντική αβεβαιότητα σε σχέση με τις περιστάσεις και τη διαπίστωση των περιστάσεων υπό τις οποίες καλείται σε εφαρμογή η σύγχρονη εξ αποστάσεως εκπαίδευση. Δεν εξειδικεύεται επαρκώς τι σημαίνει κίνδυνος διασποράς του κορωνοϊού και δεν παρέχονται εργαλεία για τον τρόπο διαπίστωσης της ύπαρξης του κινδύνου. Συνεπώς, θεωρεί ότι το πλαίσιο εφαρμογής της σύγχρονης εξ αποστάσεως εκπαίδευσης διευρύνεται επικίνδυνα, καθώς δε συνδέεται με την έναρξη, παράταση ή λήξη των μέτρων προστασίας από την πανδημία. 2) Το έγγραφο της ΕΑΠΔ είναι διοικητικά ανυπόστατο. 3) Οι συμβάσεις με τη CISCO δεν έχουν δημοσιοποιηθεί και είναι αμφίβολο αν υφίστανται ως δημόσια έγγραφα ενώ η Αρχή οφείλει να μη βασιστεί μόνο σε αυτές, αλλά να αναζητήσει και να κρίνει την πραγματική σχέση μεταξύ των μερών, ώστε να προσδιορίσει κατάλληλα το ρόλο των μερών. 4 - 5) Έχουν ανακύψει νέοι κίνδυνοι ιδίως σε σχέση με όσους μαθητές ανήκουν σε ομάδα αυξημένου κινδύνου ή συνοικούν με πρόσωπο που νοσεί ή νοσούν οι ίδιοι ή αναμένουν αποτελέσματα εξέτασης, οι οποίοι λαμβάνουν υποχρεωτικά εξ αποστάσεως εκπαίδευση και σε σχέση με τους εκπαιδευτικούς οι οποίοι ανήκουν σε ομάδα αυξημένου κινδύνου. Για τις κατηγορίες αυτές το Υπουργείο δεν έχει προβεί σε διαδικασία επανεκτίμησης του κινδύνου. 6) Δεν εφαρμόζονται οι κατευθυντήριες γραμμές της Αρχής για τη λήψη μέτρων ασφάλειας 2 στο πλαίσιο τηλεργασίας, καθώς είναι αμφίβολο αν εφαρμόζεται «end to end encryption» κατά τη μετάδοση ήχου και εικόνας στο πλαίσιο χρήσης της πλατφόρμας Webex. 7) Η εφαρμογή Webex δεν είναι πιστοποιημένη από το Ι.Τ.Υ.Ε. ΔΙΟΦΑΝΤΟΣ. 8) Παραβιάζεται η αρχή της διαφάνειας, ιδίως σε σχέση με την παροχή ενημέρωσης και τη χρησιμοποιούμενη ορολογία των μεταδεδομένων που τηρούνται, απέναντι μάλιστα και σε παιδιά. 9) Τα δεδομένα προσωπικού χαρακτήρα των μελών της εκπαιδευτικής κοινότητας, πιθανότατα τυγχάνουν επεξεργασίας για διαφορετικό από τον διακηρυγμένο σκοπό της, για εμπορικούς σκοπούς της εκτελούσας την επεξεργασία. 10) Υφίσταται μη επιτρεπτή διαδικασία κατάρτισης προφίλ, με απροσδιόριστο χρόνο τήρησης και διαδικασία ανωνυμοποίησης. 11) Υφίσταται μη νόμιμη διαβίβαση δεδομένων εκτός Ε.Ε. 12) Δεν υφίσταται δυνατότητα δικαιώματος διαγραφής. Από την ΟΙΕΛΕ επισημαίνεται επίσης ότι κατόπιν της προαναφερθείσας Υ.Α. συνάγεται ευθέως ότι τόσο τα δημόσια όσο και τα ιδιωτικά σχολεία δύνανται να χρησιμοποιούν την ψηφιακή πλατφόρμα WEBEX, συνεπώς προκύπτει νομιμοποίησή της για υποβολή της αναφοράς-καταγγελίας. Το ΥΠΑΙΘ απέστειλε στην Αρχή με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/{8419,8421,8422}/08-12-2020 έγγραφο την επικαιροποιημένη ΕΑΠΔ και με το υπ’ αριθμ. πρωτ. 230-6759/11-12-2020 έγγραφό του (αριθμ. πρωτ. Αρχής Γ/ΕΙΣ/8553/11-12-2020) παρείχε τις απόψεις του, σε σχέση με τα ζητήματα που είχαν τεθεί από την Αρχή και με τις αναφορές της ΟΙΕΛΕ. Με το υπόμνημά του το ΥΠΑΙΘ περιγράφει αναλυτικά την ακολουθούμενη διαδικασία για την εξ αποστάσεως εκπαίδευση, το οποίο θεωρεί ότι ακολουθεί τις αρχές της προστασίας των δεδομένων ήδη από τον σχεδιασμό και εξ ορισμού κατά τις επιταγές του ΓΚΠΔ, ενώ ως Υπεύθυνος Επεξεργασίας έχει λάβει τα κατάλληλα μέτρα ασφαλείας- προστασίας των προσωπικών δεδομένων, το ΙΤΥΕ ως εκτελών την επεξεργασία εφαρμόζει κατάλληλα μέτρα ασφαλείας σε σχέση με την υπηρεσία Κεντρικής Πιστοποίησης Χρηστών και η Cisco ως εκτελούσα την επεξεργασία εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα ασφαλείας πληροφοριών σχετικά με την πλατφόρμα τηλεκπαίδευσης. Σύμφωνα με το Υπουργείο, η επικαιροποιημένη ΕΑΠΔ υλοποιήθηκε με βάση τις συστάσεις της Αρχής, προσδιόρισε και αξιολόγησε τους κινδύνους που συνεπάγεται η διαδικασία της σύγχρονης εξ αποστάσεως εκπαίδευσης και περιέγραψε τη 3 μεθοδολογία αντιμετώπισής τους. Η ΕΑΠΔ καταλήγει στο συμπέρασμα ότι δεν παραβιάζονται οι θεμελιώδεις αρχές επεξεργασίας των προσωπικών δεδομένων και ικανοποιείται η αρχή της αναλογικότητας, ενώ οι κίνδυνοι κρίθηκαν αποδεκτοί, υπό την προϋπόθεση εφαρμογής των κατάλληλων μέτρων. Σε σχέση με τα ζητήματα που έθεσε η ΟΙΕΛΕ με τα υπομνήματά της το ΥΠΑΙΘ επισημαίνει ότι: 1) η Υπουργική Απόφαση εκδόθηκε εντός των ορίων της νομοθετικής εξουσιοδότησης και τήρησε τους όρους αυτής, ενώ ουδόλως αόριστη είναι και ουδεμία αβεβαιότητα προκαλεί σε σχέση με τις περιστάσεις υπό τις οποίες θα εφαρμοστεί η διαδικασία της τηλεκπαίδευσης. 2) η ΕΑΠΔ προσκομίσθηκε στην Αρχή και είχε ήδη αποτελέσει το έρεισμα έκδοσης της γνωμοδότησης 4/

1. 3) η από 13/3/2020 σύμβαση με την Cisco είχε ήδη προσκομισθεί στην Αρχή και είχε χρησιμοποιηθεί για την έκδοση της γνωμοδότησης 4/2020 ενώ αντίστοιχα προσκομίσθηκαν και οι νεότερες συμβάσεις. 4-5) Στην από 7/12/2020 ΕΑΠΔ εντοπίστηκαν και εξετάστηκαν ενδελεχώς οι κίνδυνοι σχετικά με την προστασία των προσωπικών δεδομένων που ενδέχεται να προκύψουν από τις επιμέρους διαδικασίες της τηλεκπαίδευσης, ενώ η πρόβλεψη περί υποχρέωσης παροχής εξ αποστάσεως εκπαίδευσης κατά το σχολικό έτος 2020-2021 σε αντίθεση με την πρόβλεψη περί δυνατότητας παροχής εξ αποστάσεως εκπαίδευσης κατά το σχολικό έτος 2019-2020, όχι μόνο δεν αποτελεί πηγή νέων κινδύνων για τους μαθητές αλλά αντίθετα αποτελεί εγγύηση και εκπλήρωση της κρατικής υποχρέωσης για την παροχή σε αυτούς του δημοσίου αγαθού της παιδείας ταυτόχρονα με την προστασία της υγείας της δικής τους και των προσώπων που συνοικούν με αυτούς. 6) Ο Υπεύθυνος Επεξεργασίας εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα σχεδιασμένα για την εφαρμογή αρχών προστασίας των δεδομένων. Η κρυπτογράφηση από άκρη σε άκρη (end – to- end encryption) θα είχε ως συνέπεια τη μείωση της λειτουργικότητας της πλατφόρμας, καθώς ορισμένες λειτουργίες δυσχεραίνονται σημαντικά, έτσι ώστε να μην αποκλείεται ακόμη και η αδυναμία παροχής της υπηρεσίας. Ταυτόχρονα, δεν αποτελεί το μοναδικό τεχνικό μέτρο προστασίας των προσωπικών δεδομένων. Η επικοινωνία της εφαρμογής πελάτη (client app) που είναι εγκατεστημένη στον υπολογιστή του χρήση μέχρι και το σημείο εξόδου που είναι στο εσωτερικό δίκτυο της Cisco είναι κρυπτογραφημένη και απολύτως ασφαλής εκ του λόγου αυτού, ενώ 4 για το λοιπό δίκτυο, εφαρμόζονται κατάλληλα μέτρα ασφάλειας. 7) Το ΙΤΥΕ έχει εγκρίνει την εφαρμογή Cisco Webex. Προς τον σκοπό αυτό άλλωστε συνήφθη και η από 11/9/2020 σύμβαση μεταξύ του ΥΠΑΙΘ και του ΙΤΥΕ. 8) Τα μεταδεδομένα τα οποία τυγχάνουν επεξεργασίας αναφέρονται τόσο στην Υπουργική απόφαση όσο και στις Εγκυκλίους που δόθηκαν στα Υποκείμενα των δεδομένων (εκπαιδευτικούς, γονείς, μαθητές). Με δεδομένη την τεχνική φύση ορισμένων όρων και για να διασφαλιστεί η ακριβής απόδοση αυτών και άρα η απολύτως ορθή και διαφανής ενημέρωση των Υποκειμένων κρίθηκε σκόπιμο να χρησιμοποιηθεί ο επίσημος και ευρέως γνωστός όρος αυτών. Οι συγκεκριμένες πληροφορίες (μεταδεδομένα) δεν μπορούν να συνδεθούν με έναν χρήστη και να οδηγήσουν στον προσδιορισμό του προσώπου του παρά μόνο μέσω των δηλουμένων κατά την είσοδο στην πλατφόρμα στοιχείων, ήτοι του ονόματος ή/και της διεύθυνσης ηλεκτρονικού ταχυδρομείου. Από αυτά μπορούν να προκύψουν αφενός πληροφορίες τεχνικής φύσεως και αφετέρου πληροφορίες που σχετίζονται με την ίδια τη διαδικασία της τηλεδιάσκεψης, ήτοι του μαθήματος. Ουδεμία πληροφορία ως προς το ίδιο το διενεργούμενο μάθημα είναι σε γνώση του υπεύθυνου επεξεργασίας, καθώς το μάθημα δεν καταγράφεται. Η διενέργεια στατιστικών αναλύσεων και ερευνών συνιστά υποχρέωση του ΥΠΑΙΘ στο πλαίσιο της αποστολής του να αναπτύσσει και να αναβαθμίζει συνεχώς την παιδεία. Ουδέν άλλο συμπέρασμα δύναται να εξαχθεί από τα παραγόμενα μεταδεδομένα, όπως σε σχέση με την αξιολόγηση της αποδοτικότητας των εργαζομένων. Τα μεταδεδομένα, όπως και όλα τα προσωπικά δεδομένα που υποβάλλονται σε επεξεργασία στο πλαίσιο της εξ αποστάσεως εκπαίδευσης, εξαιρουμένων των δεδομένων που η CISCO οφείλει, σύμφωνα με το νόμο, να τηρήσει περαιτέρω, διαγράφονται αμελλητί μόλις εκπληρωθεί ο σκοπός της σύμβασης. Εν προκειμένω, υπερισχύει ο συμφωνηθείς ειδικός όρος της συναφθείσας σύμβασης. Δεν εφαρμόζεται ο γενικός όρος της Cisco που περιλαμβάνεται στο έγγραφο με τίτλο Master Data Protection Agreement. 9) Το ΥΠΑΙΘ παραμένει Υπεύθυνος Επεξεργασίας για τη διαδικασία της παροχής σύγχρονης εξ αποστάσεως εκπαίδευσης και η Cisco επεξεργάζεται για λογαριασμό του όσα μεταδεδομένα είναι απαραίτητα για την παροχή της υπηρεσίας αυτής, στην οποία εντάσσεται και η επίλυση των τεχνικής φύσεως ζητημάτων. Διαφορετικό είναι το ζήτημα ότι η Cisco απαιτείται να συμμορφώνεται προς τη νομοθεσία στην οποία η ίδια υπάγεται (πχ φορολογική 5 νομοθεσία) και ως εκ τούτου για τον σκοπό αυτό είναι απαραίτητο να λειτουργεί η ίδια ως Υπεύθυνος Επεξεργασίας. 10) Δεν συντρέχει κανένα συστατικό στοιχείο έννοιας που σχετίζεται με κατάρτιση προφίλ. 11) Το ΥΠΑΙΘ τροποποίησε τη σύμβαση με τη Cisco και ως προς το ζήτημα αυτό δεν ισχύουν οι γενικοί όροι της εταιρείας Cisco αλλά η ειδική συμφωνία που έχει συνάψει με το ΥΠΑΙΘ και, σε περίπτωση που διαβιβαστούν, θα υπερκαλύπτονται οι προϋποθέσεις του ΓΚΠΔ. 12) Η Υπουργική Απόφαση δεν επέχει από μόνη της ρόλο ενημέρωσης των Υποκειμένων αλλά λειτουργεί συμπληρωματικά προς το ενημερωτικό κείμενο που χορηγείται σε αυτά, τις εγκυκλίους και την ΕΑΠΔ. Η Αρχή, λαμβάνοντας υπόψη τα ανωτέρω έγγραφα, με το υπ’ αριθμ. πρωτ. Γ/ΕΞΕ/613/11-02-2021 έγγραφό της κάλεσε το ΥΠΑΙΘ να διευκρινίσει μια σειρά ζητημάτων θέτοντας συγκεκριμένα ερωτήματα και συγκεκριμένα:
2. Στη σελ. 18 της γνωμοδότησης 4/2020 της Αρχής επισημαίνεται ότι «θα πρέπει να συνυπολογίζεται η διαφοροποίηση των αναγκών και των συνθηκών ανά βαθμίδα εκπαίδευσης (και ίσως ανά ομάδα τάξεων, π.χ. Α-Β Δημοτικού, Γ-Δ κλπ). Συνεπώς απαιτείται μελέτη περισσότερων εναλλακτικών λύσεων/μεθόδων και προσδιορισμός ειδικών μέτρων και τεχνικών (συμπεριλαμβανομένων των εκπαιδευτικών μεθόδων) για την ελαχιστοποίηση των επιπτώσεων στα δικαιώματα των υποκειμένων των δεδομένων, προσαρμοσμένων ανά ηλικιακή ομάδα, για την τεκμηρίωση της αναγκαιότητας και αναλογικότητας.» Στην επικαιροποιημένη ΕΑΠΔ και στις συνημμένες μελέτες (του ΙΕΠ και ακαδημαϊκών) αναλύονται οι ανάγκες και οι διαφοροποιήσεις και προσδιορίζονται κατάλληλες μέθοδοι, ως εργαλεία για τον εκάστοτε εκπαιδευτικό. Προτείνονται ενδεικτικά η οργάνωση διαδικτυακών μαθημάτων και η αξιοποίηση του οδηγού «για τον εκπαιδευτικό σχεδιασμό μαθημάτων εξ αποστάσεως» του ΙΕΠ. Ερώτημα: Με ποιο τρόπο το σύνολο των εκπαιδευτικών έχει ενημερωθεί για τις εν λόγω μεθόδους ώστε να τεθούν σε εφαρμογή αποτελεσματικά;
3. Σύμφωνα με την ΕΑΠΔ (σελ. 53) «Οι γνώμες των εκπροσώπων των Υποκειμένων διατυπώθηκαν:
4. Την 13.07.2020, στο πλαίσιο σχετικής συνάντησης με την Υπουργό Παιδείας και Θρησκευμάτων.
5. Με τις αναφορές αντίστοιχα των ΟΙΕΛΕ, ΔΟΕ και γονέα/κηδεμόνα μαθητή κατά του ΥΠΑΙΘ.
6. Την 14.07.2020, στη συνεδρίαση 6 της Ολομέλειας της ΑΠΔΠΧ στο πλαίσιο της οποίας συζητήθηκαν οι ανωτέρω (υπό 2) αναφορές.» Μάλιστα, ενώ ανατέθηκε στο Εργαστήριο Νομικής Πληροφορικής της Νομικής Σχολής του ΕΚΠΑ η αναθεώρηση της από 15.5.2020 Μελέτης ΕΑΠΔ, δεν διενεργήθηκε διαβούλευση με εκπροσώπους υποκειμένων μετά την ανάθεση αυτή. Ερώτημα: Θεωρείτε επαρκή την διαδικασία αυτή σε σχέση με τις συστάσεις της Αρχής; Εξετάσατε άλλες μεθόδους διατύπωσης γνώμης των υποκειμένων των δεδομένων ή των εκπροσώπων τους (π.χ. μέσω πλατφορμών όπως το opengov) και μάλιστα μετά τη συμβολή του ΙΕΠ και των ακαδημαϊκών;
7. Ποια μορφή συνδρομής παρείχαν οι εκτελούντες την επεξεργασία, λαμβανομένης υπόψη της φύσης της επεξεργασίας και των πληροφοριών που διαθέτουν, για τη διενέργεια της ΕΑΠΔ;
8. Σε σχέση με τον κίνδυνο 1 (Παράνομη πρόσβαση σε προσωπικά δεδομένα) της αρχικής ΕΑΠΔ, από την επικαιροποιημένη ΕΑΠΔ προκύπτει ότι η αντιμετώπισή του εξαρτάται από έλεγχο ταυτοπροσωπίας που οφείλει να κάνει ο εκάστοτε εκπαιδευτικός. Ερώτημα: Με ποιο τρόπο έχουν ενημερωθεί οι εκπαιδευτικοί ώστε να γνωρίζουν ότι ο έλεγχος αυτός αποτελεί μέτρο ασφάλειας ή υποχρέωση;
9. Στη γνωμοδότηση 4/2020 της Αρχής γίνεται αναφορά σε κινδύνους από χρήση εξοπλισμού που δεν βρίσκεται στην ευθύνη του υπευθύνου επεξεργασίας, ιδίως όσον αφορά στους εκπαιδευτικούς ενώ παράλληλα αναφέρεται ότι θα πρέπει να εξεταστεί και το ζήτημα της χρήσης προσωπικής συσκευής για υπηρεσιακό σκοπό (πρβλ. και απόφαση 77/2018 της Αρχής). Στην επικαιροποιημένη ΕΑΠΔ γίνεται αναφορά στο ότι έχει αντιμετωπισθεί ο κίνδυνος αυτός (σελ. 15), αλλά χωρίς ειδικότερη επεξήγηση στις σελίδες 47-51 αυτής. Στη συνημμένη γνωμοδότηση του καθηγητή κ. Α γίνεται αναφορά σε κατάλληλα μέτρα προστασίας εξοπλισμού χρηστών, τα οποία πρακτικά υλοποιούνται μέσω ενημέρωσης και ευαισθητοποίησης των χρηστών. Ερώτημα: Ποια μέτρα επακριβώς ελήφθησαν για το μετριασμό αυτού του κινδύνου; Εξετάστηκαν τα ζητήματα που προκύπτουν κατά τη χρήση προσωπικής συσκευής για υπηρεσιακό σκοπό; 7
10. Σε σχέση με το ζήτημα της διαβίβασης δεδομένων εκτός Ε.Ε., όπως προκύπτει από τα έγγραφα απάντησης, το υπουργείο τροποποίησε τη σύμβαση με τη Cisco και υποστηρίζετε ότι ως προς το ζήτημα αυτό δεν ισχύουν οι γενικοί όροι της εταιρείας Cisco αλλά η ειδική συμφωνία. Η Αρχή στη γνωμοδότηση 4/2020 είχε θέσει μια σειρά ζητημάτων σε σχέση με τις διαβιβάσεις εκτός Ε.Ε.. Ερώτημα: Έχουν αντιμετωπισθεί τα ζητήματα που ανακύπτουν από την απόφαση C-311/18 του ΔΕΕ; Εξετάστηκε το εφαρμοστέο νομικό καθεστώς στη χώρα του εισαγωγέα, ώστε να εξασφαλίζει την εφαρμογή των δικαιωμάτων των υποκειμένων των δεδομένων, σε κάθε περίπτωση; Τούτο λαμβάνοντας υπόψη ότι με τα διαθέσιμα στην Αρχή στοιχεία φαίνεται ότι η βασική εταιρεία του ομίλου Cisco εδρεύει στις Η.Π.Α., ενώ χρησιμοποιείται πλατφόρμα υπολογιστικού νέφους (Cisco universal cloud) και άρα είναι πιθανή η εφαρμογή της νομοθεσίας της χώρας αυτής. Εξετάσθηκαν αναλυτικά τα εν λόγω ζητήματα;
11. Η Αρχή, στη γνωμοδότηση 4/2020 είχε επισημάνει κινδύνους που απορρέουν από τους όρους της σύμβασης (βλ. σελ. 26). Ως προς αυτούς η επικαιροποιημένη ΕΑΠΔ παραπέμπει στις πρόσθετες συμβάσεις (σχ. 10 και 11 – ήτοι οι από 11/09/2020 και 09/11/2020 συμβάσεις με τη CISCO HELLAS A.E.) χωρίς περαιτέρω ανάλυση. Επισημαίνεται ότι από τις συμβάσεις προκύπτει ότι τηρούνται, για επτά έτη, μια σειρά από δεδομένα προσωπικού χαρακτήρα, τα οποία περιλαμβάνουν τα δεδομένα εγγραφής, αλλά και ψευδώνυμα δεδομένα για σκοπούς «analytics» και μέτρησης απόδοσης. Για παράδειγμα, στις πρόσθετες συμβάσεις φαίνεται να περιλαμβάνονται δεδομένα που διατίθενται από το Υπουργείο, αλλά όχι παραγόμενα κατά τη χρήση δεδομένα, που καθίστανται γνωστά στον εκτελούντα την επεξεργασία. Ερώτημα: Εξετάσθηκαν αναλυτικά τα εν λόγω ζητήματα;
12. Στις νέες συμβάσεις (σχ. 10-11) γίνεται γενική αναφορά σε υπεργολάβους. Η εποπτεία αυτών ανατίθεται στη Cisco ενώ δεν υπάρχει προσδιορισμός τους. Στην υπ’ αριθμ. 20 υποσημείωση αναφέρεται ότι οι υπεργολάβοι έχουν γνωστοποιηθεί στο ΥΠΑΙΘ, ότι σε περίπτωση που υπάρξουν περαιτέρω υπεργολάβοι θα γνωστοποιηθούν στο ΥΠΑΙΘ προκειμένου αυτό να διατυπώσει τυχόν αντιρρήσεις και θα δεσμευτούν με τις απαραίτητες υποχρεώσεις. Σε περίπτωση δε που βρίσκονται εκτός ΕΟΧ, η CISCO έχει αναλάβει συμβατικώς τη 8 δέσμευση να διασφαλίζει την τήρηση των προϋποθέσεων του Κεφαλαίου V του ΓΚΠΔ και να ενημερώνει σχετικά το ΥΠΑΙΘ. Ερώτημα: Σε περίπτωση εκτελούντος την επεξεργασία σε χώρα εκτός ΕΟΧ, έχει ελεγχθεί η πληρότητα της νομιμότητας της διαβίβασης; Παρακαλούμε να διαβιβασθεί στην Αρχή η γνωστοποίηση στο Υπουργείο των υπεργολάβων από τη Cisco καθώς και κάθε άλλο σχετικό έγγραφο.
13. Η Αρχή στη γνωμοδότηση 4/2020 επισήμανε την υποχρέωση του υπευθύνου επεξεργασίας για αυξημένη διαφάνεια και για την υλοποίηση δράσεων ενημέρωσης και ευαισθητοποίησης των εμπλεκομένων (εκπαιδευτικοί, μαθητές, οικογένεια) σε σχέση με τη διαδικασία τηλεκπαίδευσης και τα δεδομένα προσωπικού χαρακτήρα (βλ. ιδίως σελ. 28). Από τα μέτρα που περιγράφονται στην ΕΑΠΔ σε σχέση με τις πληροφορίες που παρέχονται στα υποκείμενα των δεδομένων, φαίνεται ότι ακολουθείται πάλι μια τυπική -υπηρεσιακή- πληροφόρηση η οποία βασίζεται, κυρίως στα κείμενα των εγκυκλίων και σε ανακοινώσεις προς γονείς και μαθητές. Ερώτημα: Με ποιο τρόπο εξασφαλίζεται η ικανοποίηση της αρχής της διαφάνειας του ΓΚΠΔ (άρθρο 5 παρ. 1 α’ ΓΚΠΔ); Εκτός από τις εγκυκλίους και ανακοινώσεις, παρέχεται ενημέρωση με άλλο τρόπο; Έχει δημιουργηθεί κατάλληλο για κάθε ομάδα εμπλεκομένων ενημερωτικό υλικό και έχουν υλοποιηθεί δράσεις ενημέρωσης και ευαισθητοποίησης; Ποιες ενέργειές σας είναι προσανατολισμένες σε ανηλίκους και στο οικογενειακό περιβάλλον; Επίσης, η Αρχή με το έγγραφό της επισήμανε ότι στην υπ’ αρ. πρωτ. Γ/ΕΙΣ/3701/29-05-2020 αναφορά της ΟΙΕΛΕ στην Αρχή, τίθεται ζήτημα των αρμοδιοτήτων και της συμμετοχής του Υπευθύνου Προστασίας Δεδομένων (ΥΠΔ) στη σχετική επεξεργασία δεδομένων. Ειδικότερα, όπως αναφέρει η ΟΙΕΛΕ, απουσιάζει οιαδήποτε αναφορά στο πρόσωπο, το ρόλο, τις αρμοδιότητες, τους σκοπούς και την ομάδα υποστήριξης του πλέον κεντρικού προσώπου στη διασφάλιση της προστασίας των δεδομένων των υποκειμένων, καθώς και οιαδήποτε αναφορά ότι οι «οδηγίες» της εγκυκλίου εκδόθηκαν κατόπιν έκφρασης γνώμης του ΥΠΔ, δεδομένου όπως αναφέρεται, ότι η συμμετοχή του ΥΠΔ στον σχεδιασμό μιας επεξεργασίας και η έκφραση γνώμης δεν είναι τυπική, αλλά συνιστά ουσιαστικό μέτρο και ταυτόχρονα εγγύηση της προστασίας των ατομικών ελευθεριών και των δεδομένων των υποκειμένων. Για τον λόγο αυτό και λαμβάνοντας υπόψη την ιδιαίτερη δομή και τον 9 μεγάλο αριθμό οργανικών και εποπτευόμενων μονάδων του Υπουργείου Παιδείας, ζητήθηκε να διευκρινιστεί με ποιον τρόπο εξασφαλίζονται οι απαιτήσεις του άρθρου 38 του ΓΚΠΔ όχι μόνο για την ανεξαρτησία, αλλά και για την παροχή κατάλληλων μέσων και πόρων για την εκτέλεση των καθηκόντων και αρμοδιοτήτων του ΥΠΔ. Επισημάνθηκε ότι από τα διαθέσιμα στην Αρχή στοιχεία προκύπτει ότι δεν έχει τηρηθεί η διαδικασία ανακοίνωσης των στοιχείων του ΥΠΔ στην Αρχή (άρθρο 37 παρ. 7 ΓΚΠΔ) αν και κατά την εξέταση της υπόθεσης η Αρχή ενημερώθηκε για αλλαγή στα στοιχεία του ΥΠΔ. Παράλληλα με το έγγραφο αυτό, η Αρχή κοινοποίησε στη ΔΟΕ και την ΟΙΕΛΕ αντίγραφο της επικαιροποιημένης ΕΑΠΔ και τις απόψεις του υπουργείου, καλώντας τις να καταθέσουν τυχόν συμπληρωματικές απόψεις επί αυτών. Η ΔΟΕ δεν κατάθεσε απόψεις, ενώ η ΟΙΕΛΕ απέστειλε τις απόψεις της στην Αρχή με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/1682/09-03-2021 έγγραφό της. Με αυτό υποστηρίζει, περιληπτικά, τα εξής: 1) Μη νομίμως γίνεται αποδεκτή η ΕΑΠΔ της 15/5/2020, ενώ δεν τίθεται ανάλογο ζήτημα για την επικαιροποιημένη μελέτη. 2) Η επικαιροποιημένη ΕΑΠΔ δε φέρει ασφαλή χρονοσήμανση, δε βασίζεται σε Αναγνωρισμένο Πιστοποιητικό και δε δημιουργήθηκε από Ασφαλή Διάταξη Δημιουργίας Υπογραφής αδυνατώντας να επιφέρει συνέπειες κατά το ουσιαστικό (και δικονομικό) δίκαιο. 3) Συνεχίζεται η τακτική των μη δημοσιοποιούμενων εγγράφων, της παραβίασης της αρχής της διαφάνειας και της καταπάτησης των δικαιωμάτων των υποκειμένων. 4) Είναι εντελώς ο αβάσιμος ο ισχυρισμός ότι ζητήθηκε και εκφράστηκε η γνώμη των υποκειμένων των δεδομένων σε σχέση με την σύγχρονη εξ αποστάσεως εκπαίδευση. 5) Δεν έχουν εξεταστεί οι επιστημονικές παραδοχές, βάσει των οποίων ελήφθησαν οι αποφάσεις αναστολής λειτουργίας των σχολικών μονάδων και άρα κατά πόσο κρίθηκε αναγκαία και τέθηκε νόμιμα σε εφαρμογή η σύγχρονη εξ αποστάσεως εκπαίδευση, η οποία συνεπάγεται επεξεργασία δεδομένων προσωπικού χαρακτήρα. Η Αρχή θα έπρεπε να λάβει υπόψη το ζήτημα της ποιότητας της νομοθέτησης και ειδικότερα κατά πόσο ο νόμος (κατά τυπική αλλά και ουσιαστική έννοια) που επάγεται επεξεργασία δεδομένων, είναι προσβάσιμος και προβλέψιμος. Δεδομένης της μη δημοσιοποίησης των εισηγήσεων της επιτροπής λοιμοξιωλόγων δυνάμει των οποίων κλήθηκε σε εφαρμογή η σύγχρονη 10 εξ αποστάσεως εκπαίδευση και των παρεπόμενων συνεπειών αυτής για τα υποκείμενα, καθίσταται σαφές ότι το μέτρο αυτό είναι προδήλως παράνομο, πρέπει να παύσει, χωρίς να υφίσταται ανάγκη να εκτιμήσουμε κατά πόσο πληρούνται τα επόμενα κριτήρια που εξετάσει το ΕΔΔΑ (αν τηρείται η ουσία του δικαιώματος κλπ). Συνεπώς, δεν αποδεικνύεται η επικαλούμενη νόμιμη βάση της προστασίας της δημόσιας υγείας στην οποία στηρίζεται η διενέργεια σύγχρονης εξ αποστάσεως εκπαίδευσης. 6) Η σύγχρονη εξ αποστάσεως εκπαίδευση, υπό τις τεχνικές απαιτήσεις που αυτή έχει και τα πραγματικά οικονομικά και δημογραφικά δεδομένα της ελληνικής κοινωνίας και των διαμενόντων σε αυτή μεταναστών και προσφύγων, έχει ως αποτέλεσμα τον αποκλεισμό των ασθενέστερων κοινωνικά στρωμάτων από το δικαίωμα της εκπαίδευσης, άρα επάγεται διακρίσεις και η κατάσταση αυτή δεν έχει εξεταστεί επαρκώς από τον υπεύθυνο επεξεργασίας, παρά και τις σαφείς συστάσεις που περιείχε η υπ’ αριθμ 4/2020 Γνωμοδότηση. Η μελέτη ΕΑΠΔ και σε αυτό το σημείο, επιδεικνύει μια αναιτιολόγητη προχειρότητα και καταλήγει σε εντελώς αυθαίρετα συμπεράσματα. 7) Η ΕΑΠΔ, δεν έχει επιληφθεί καθόλου των κινδύνων που υφίστανται και επιτείνονται για τα παιδιά, αναφορικά με την κακοποίηση που δέχονται στο οικογενειακό περιβάλλον. 8) Οι ισχυρισμοί του Υπουργείου περί των κατηγοριών των συλλεγόμενων δεδομένων και μεταδεδομένων κατά τη χρήση της πλατφόρμας, περί ανωνυμοποίησης, περί του χρόνου διατήρησης και περί στατιστικών/ερευνητικών σκοπών είναι αναπόδεικτοι και παραβιάζουν κάθε έννοια διαφάνειας και τήρησης της αρχής της λογοδοσίας. Δεν προκύπτει συνέργεια της εκτελούσας την επεξεργασία και δεν έχει αξιολογηθεί κατά πόσο πληρούνται οι προϋποθέσεις νομιμότητας σε σχέση με την επεξεργασίας αυτών των δεδομένων. Εφαρμοστέο δίκαιο σε σχέση με αυτά δεν είναι πρωτίστως ο ΓΚΠΔ, αλλά η οδηγία eprivacy και ο εθνικός νόμος 3471/2006, παρότι υφίστανται σημεία τομής μεταξύ τους. Οι προϋποθέσεις εφαρμογής της νομοθεσίας αυτής δεν έχουν επισημανθεί ούτε αξιολογηθεί. 9) Στην ΕΑΠΔ δεν γίνεται αναφορά για το ζήτημα των διαβιβάσεων των δεδομένων εκτός Ε.Ε. 10) Από την υπ’ αριθμ. 12/2/2021 αρ. πρωτ. Φ1/17598/ΓΔ4 εγκύκλιο του ΥΠΑΙΘ προκύπτει ότι η ψηφιακή υποδομή που έχει αναπτυχθεί για την υλοποίηση της σύγχρονης εξ αποστάσεως εκπαίδευσης των μαθητών αξιοποιείται, άκριτα, για χρήσεις για τις οποίες δεν έχει εξεταστεί κατά πόσο νόμιμα μπορούν να εξυπηρετηθούν μέσω αυτής, όπως για την παροχή της εξ αποστάσεως υποστήριξης 11 και συμβουλευτικής. 11) Οι επιστολές των πανεπιστημιακών καθηγητών που επικαλέστηκε το Υπουργείο Παιδείας, αποδεικνύουν το γεγονός ότι η από 7/12/2020 μελέτη ΕΑΠΔ όπως και η εν γένει οργάνωση της επεξεργασίας, δεν έλαβε υπόψη τις υψηλές απαιτήσεις για τη σωστή οργάνωση της τηλεκπαίδευσης όπως και τις παράπλευρες και σοβαρές συνέπειες στο δικαίωμα της εκπαίδευσης και την ψυχική υγεία μαθητών και εκπαιδευτικών. 12) Η θέση του τεχνικού συμβούλου, ο οποίος παραστάθηκε στην ενώπιον της Αρχής διαδικασία για λογαριασμό του υπευθύνου επεξεργασίας, δυσχερώς μπορεί να συμβιβασθεί με τις εγγυήσεις ανεξαρτησίας που απαιτούνται στο πρόσωπο του διενεργούντος μια μελέτη ΕΑΠΔ, για τον ίδιο υπεύθυνο επεξεργασίας. Σημειώνεται ότι η Αρχή με το υπ’ αριθμ. πρωτ. Γ/ΕΞΕ/824/10-03-2021 έγγραφό της χορήγησε στην ΟΙΕΛΕ σειρά εγγράφων κατόπιν του υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/1182/18-02-2021 εγγράφου της, ενώ κατόπιν αυτών η ΟΙΕΛΕ δεν επανήλθε με νεότερο έγγραφο. Το ΥΠΑΙΘ με το υπ’ αριθμ. πρωτ. 42593/ΥΠΔ/13-04-2021 έγγραφό του (αρ. πρωτ. Αρχής Γ/ΕΙΣ/2553/14-04-2021) απάντησε στο από 11-02-2021 έγγραφο της Αρχής, παρέχοντας τις απόψεις του σε σχέση με τα ερωτήματα που τέθηκαν οι οποίες συνοψίζονται στα εξής (ακολουθείται αρίθμηση αντίστοιχη προς την αρίθμηση του εγγράφου της Αρχής):
14. Σχετικά με την ενημέρωση του συνόλου των εκπαιδευτικών για τις μεθόδους εξ αποστάσεως εκπαίδευσης. Το Υπουργείο παραθέτει μια σειρά από δράσεις και συγκεκριμένα: α) Κατόπιν πρωτοβουλίας του Υ.ΠΑΙ.Θ. υλοποιήθηκε σε συνεργασία με το ΙΕΠ και το Πανεπιστήμιο Αιγαίου ταχύρρυθμο πρόγραμμα επιμόρφωσης - ιδίως των εκπαιδευτικών- στη μεθοδολογία της σχολικής εκπαίδευσης από απόσταση β) Διαβιβάστηκε στις αρμόδιες υπηρεσίες του ΥΠΑΙΘ, μετά από σχετική εισήγηση του ΙΕΠ, o «Οδηγός για τον εκπαιδευτικό σχεδιασμό των μαθημάτων της εξ αποστάσεως εκπαίδευσης κατά το σχολικό έτος 2020-21». Οι εκπαιδευτικοί δήλωσαν ενυπογράφως ότι ενημερώθηκαν για τον «Οδηγό». 12 γ) Υλοποιήθηκε πρόγραμμα «Ταχύρρυθμης επιμόρφωσης εκπαιδευτικών στην εξ αποστάσεως εκπαίδευση» μέσω συμπράξεως του ΥΠΑΙΘ με οκτώ

(8)φορείς (ΑΕΙ και ΙΤΥΕ-Διόφαντος). Σκοπός της συγκεκριμένης ενέργειας είναι «η περαιτέρω καλλιέργεια των γνώσεων και δεξιοτήτων των εκπαιδευτικών σε παιδαγωγικές και διδακτικές μεθόδους, προκειμένου να εφαρμοστεί με ποιοτικούς όρους η μεθοδολογία της εξ αποστάσεως εκπαίδευσης.

1. Σχετικά με τη διαδικασία διατύπωσης της γνώμης των υποκειμένων. Το ΥΠΑΙΘ υποστηρίζει ότι η γνώμη των εκπροσώπων των υποκειμένων διατυπώθηκε με σαφήνεια κατά την εφαρμογή θεσμοθετημένων διαδικασιών (συνάντηση – αναφορές συνδικαλιστικών φορέων – συνεδρίαση Αρχής). Επίσης, υποκείμενα των δεδομένων απευθύνθηκαν σε αρκετές περιπτώσεις στις αρμόδιες υπηρεσίες του ΥΠΑΙΘ είτε διατυπώνοντας γνώμη αναφορικά με το ζήτημα της εξ αποστάσεως εκπαίδευσης είτε θέτοντας σχετικά ερωτήματα. Μετά την ανάθεση στο εργαστήριο Νομικής Πληροφορικής της Νομικής Σχολής του ΕΚΠΑ εξετάστηκε το ενδεχόμενο αξιοποίησης τεχνολογικών λύσεων (σύμφωνα με τις συστάσεις της Αρχής) και «ενόψει των διαθέσιμων πόρων και του περιορισμένου χρόνου υλοποίησης» κατέληξε σε διαπίστωση ότι η χρήση δημόσιας πλατφόρμας (ή συναφών μεθόδων) ήταν ιδιαιτέρως πιθανό να οδηγήσει σε εσφαλμένα και μη αξιόπιστα συμπεράσματα. Αποφασίστηκε η διενέργεια έρευνας (σε συνεργασία με το ΙΕΠ) προκειμένου να προσδιορισθούν οι επιπτώσεις της απομάκρυνσης από τη δια ζώσης διδασκαλία. Η έρευνα βρίσκεται σε εξέλιξη.
2. Σχετικά με τη μορφή της συνδρομής των Εκτελούντων την Επεξεργασία στην εκπόνηση της ΕΑΠΔ Το Υπουργείο υποστηρίζει ότι σχετικές προβλέψεις υπάρχουν στις συμβάσεις με το ΙΤΥΕ Διόφαντος και με τη CISCO. Για την εφαρμογή των προβλέψεων αναφέρει ότι οι εκτελούντες παρείχαν πληροφορίες τόσο στο Υπουργείο όσο και στους συντάκτες της ΕΑΠΔ κατόπιν αιτήματος, εγγράφως ή προφορικά (στο πλαίσιο διαδικτυακών συναντήσεων) και περιλάμβαναν: α) Τα εγχειρίδια χρήσης των συστημάτων, β) Τις πολιτικές ασφάλειας των πληροφοριακών συστημάτων και προστασίας των προσωπικών δεδομένων, γ) 13 απαντήσεις σε ερωτήματα αναφορικά με τη λειτουργία των συστημάτων και την εφαρμογή των σχετικών διαδικασιών, δ) Πληροφορίες σχετικά με τα ήδη υλοποιημένα μέτρα μετριασμού των κινδύνων για τα προσωπικά δεδομένα, και ε) για την εφαρμογή μέτρων, το σκοπό της περαιτέρω αντιμετώπισης - οριστικής εξάλειψης των κινδύνων για τα προσωπικά δεδομένα.
3. Ενημέρωση εκπαιδευτικών για τον έλεγχο ταυτοπροσωπίας Το Υπουργείο αναφέρει ότι σχετική πρόβλεψη υφίσταται στην ΚΥΑ 120126/ΓΔ4 (ΦΕΚ β’ 3882/12-9-2020), με την οποία ορίστηκε ότι οι τάξεις είναι κλειδωμένες, οι μαθητές/τριες περιμένουν στην αίθουσα αναμονής και ο εκπαιδευτικός καλείται να εγκρίνει την είσοδο κάθε συμμετέχοντα. Το Υπουργείο δέχεται ότι o έλεγχος ταυτοπροσωπίας συνιστά μέτρο ασφαλείας μέσω του οποίου δύναται να αποτραπεί η μη εξουσιοδοτημένη πρόσβαση στη διαδικτυακή τάξη. Κατά την εφαρμογή της διαδικασίας τηλεκπαίδευσης, παρέχεται ενημέρωση από την Ομάδα Υποστήριξης κάθε σχολικής μονάδας και, εφόσον απαιτηθεί, από την υπηρεσία υποστήριξης χρηστών («Help Desk») του Πανελλήνιου Σχολικού Δικτύου (ΠΣΔ). Επίσης, το ζήτημα του ελέγχου ταυτοπροσωπίας αναλύεται επαρκώς στο πλαίσιο των προγραμμάτων επιμόρφωσης.
4. Σχετικά με τη χρήση εξοπλισμού που δεν υπόκειται στον έλεγχο του Υπευθύνου Επεξεργασίας Το Υπουργείο αναφέρει ότι η χρήση προσωπικών συσκευών (μαθητών ή εκπαιδευτικών) περιγράφεται ως «κύρια απειλή» για την πραγμάτωση του κινδύνου της παράνομης πρόσβασης σε προσωπικά δεδομένα κατά τη μετάδοσή τους, και, συνακόλουθα, της (παράνομης) καταγραφής του ηλεκτρονικά μεταδιδόμενου μαθήματος, ιδίως στις περιπτώσεις που στις χρησιμοποιούμενες συσκευές έχουν αποθηκευτεί τα διαπιστευτήρια εισόδου των χρηστών στο (ΠΣΔ) ή/και ο σύνδεσμος της διαδικτυακής τάξης. Ως μέτρο για την αντιμετώπιση της εν λόγω απειλής πραγματοποιήθηκε ενημέρωση προς τους χρήστες του ΠΣΔ (μεταξύ των οποίων εκπαιδευτικοί και μαθητές) ότι δεν πρέπει να επιλέγουν την «απομνημόνευση κωδικών» σε προσωπικές συσκευές. Επισημαίνεται επίσης ότι διαχρονικά οι εκπαιδευτικοί και οι μαθητές χρησιμοποιούν προσωπικές συσκευές για την 14 πρόσβαση στις υπηρεσίες του ΠΣΔ, ήτοι για υπηρεσιακούς/εκπαιδευτικούς σκοπούς. Το ΙΤΥΕ παρέχει τεχνική υποστήριξη στους χρήστες του ΠΣΔ, στην οποία περιλαμβάνονται πρωτοβουλίες ευαισθητοποίησης και παροχή κατευθύνσεων για την ορθή χρήση των προσωπικών συσκευών, καθώς και για την αποτελεσματική αντιμετώπιση τυχόν τεχνικών ζητημάτων. Το Υπουργείο αναφέρει ότι πρόκειται να εκδώσει οδηγίες σύμφωνα με τις Κατευθυντήριες Γραμμές της Αρχής για την προστασία δεδομένων κατά την τηλεργασία, ενώ ταυτόχρονα μεριμνά για τη διαρκή υποστήριξη των εκπαιδευτικών μέσω του συστήματος εξυπηρέτησης δύο

(2)επιπέδων.

1. Σχετικά με τη διαβίβαση δεδομένων εκτός ΕΕ Ιδίως ενόψει της απόφασης του ΔΕΕ C-311/18 (Schrems ΙΙ) Το Υπουργείο αναφέρει ότι οι συμβάσεις δωρεάς, συνήφθησαν με την «CISCO HELLAS Α.Ε.», την εταιρεία του ομίλου που δραστηριοποιείται στην Ελλάδα. Επισημαίνει ότι το σύνολο των εταιρειών του Ομίλου CISCO εφαρμόζει κατάλληλες διαδικασίες συμμόρφωσης με τις διατάξεις του ΓΚΠΔ καθώς οι δραστηριότητες επεξεργασίας στις οποίες προβαίνει σχετίζονται με την προσφορά υπηρεσιών σε υποκείμενα που βρίσκονται εντός ΕΕ. Η «CISCO HELLAS A.E.» ανέλαβε συμβατικά τη δέσμευση να μη διαβιβάζει εκτός EE/EOX τα προσωπικά δεδομένα που επεξεργάζεται για λογαριασμό του Υπουργείου χωρίς να έχει προηγουμένως ενημερώσει. Σε περίπτωση δε που τυχόν ελάμβανε χώρα διαβίβαση δεδομένων εκτός EE/EOX, αυτή θα πραγματοποιείται υπό τις προϋποθέσεις του κεφαλαίου V του ΓΚΠΔ και εφόσον η CISCO είχε προηγουμένως ενημερώσει το ΥΠΑΙΘ παρέχοντας επαρκείς πληροφορίες και αποδείξεις που τεκμηριώνουν ότι πληρούνται οι εν λόγω προϋποθέσεις. Ενόψει της απόφασης C-311/18 του ΔΕΕ (Schrems ΙΙ), το Υπουργείο απευθύνθηκε στη CISCO και έλαβε διαβεβαιώσεις, με παραπομπή στις σχετικές πολιτικές του ομίλου, πως οι διασυνοριακές διαβιβάσεις ερείδονται επί αποφάσεων επάρκειας και λοιπών κατάλληλων εγγυήσεων, στις οποίες δεν περιλαμβάνεται ο καταργηθείς μηχανισμός «Privacy Shield». Περαιτέρω, τα στελέχη της CISCO, ενημέρωσαν το Υπουργείο πως από την αρχική αξιολόγηση που πραγματοποιήθηκε, κατ' εφαρμογή των σχετικών οδηγιών του ΕΣΠΔ, προέκυψε πως οι ερειδόμενες ιδίως 15 σε τυποποιημένες συμβατικές ρήτρες και δεσμευτικούς εταιρικούς κανόνες διαβιβάσεις είναι νόμιμες, καθώς εξασφαλίζεται η εφαρμογή των δικαιωμάτων των υποκειμένων. Η πραγματοποιηθείσα από τον Όμιλο CISCO αξιολόγηση θα αναθεωρηθεί με την έκδοση σχετικών οδηγιών από το ΕΣΠΔ. Για την αξιολόγηση αυτή ελήφθησαν υπ' όψη, αφενός τα ήδη υλοποιημένα μέτρα προστασίας των προσωπικών δεδομένων και αφετέρου η διαβεβαίωση πως μέχρι σήμερα ουδέποτε έχει υποβληθεί στις εδρεύουσες στις ΗΠΑ εταιρείες του Ομίλου αίτημα από τις αρμόδιες υπηρεσίες για παροχή/αποκάλυψη δεδομένων.
2. Σχετικά με τους όρους της σύμβασης Το Υπουργείο αναφέρει ότι την 04/12/2020 υπεγράφη με τη «CISCO HELLAS Α.Ε.» πράξη τροποποίησης της από 09/11/2020 συμβάσεως δωρεάς ώστε να αντιμετωπιστούν οι κίνδυνοι που πήγαζαν από τους συμβατικούς όρους, όπως είχε επισημάνει η Αρχή με τη Γνωμοδότηση 4/2020 και προκειμένου το περιεχόμενο της σύμβασης να ανταποκρίνεται πλήρως στις συστάσεις της Αρχής. Ως προς την επισήμανση για τήρηση δεδομένων για επτά έτη διευκρινίζεται ότι, με την εκπλήρωση του σκοπού των συμβάσεων, η CISCO προβαίνει αμελλητί σε διαγραφή των προσωπικών δεδομένων που επεξεργάστηκε για λογαριασμό του Υπουργείου, κατόπιν σχετικού αιτήματος, εκτός αν άλλως απαιτείται εκ του νόμου. H διαγραφή αυτή περιλαμβάνεται στα ζητήματα για τα οποία προηγήθηκε ειδική διαπραγμάτευση και για τα οποία δεν ισχύουν οι γενικοί όροι της πολιτικής του Ομίλου, αλλά η ειδική συμφωνία με τη «CISCO HELLAS A.E.». Επίσης με πράξη τροποποίησης της σύμβασης οι αναφορές σε δεδομένα που θα διατεθούν/διατίθενται αντικαταστάθηκαν με τρόπο που να καλύπτεται, ρητώς και με μεγαλύτερη σαφήνεια προς άρση τυχόν αμφιβολιών, το σύνολο των δεδομένων, ώστε να αποτυπώνεται η βούληση των μερών, η οποία και ερμηνευτικώς προέκυπτε από το περιεχόμενο των ήδη συμβάσεων δωρεάς.
3. Σχετικά με τους υπεργολάβους επεξεργασίας ιδίως όσους εδρεύουν εκτός E.E./EOX Το Υπουργείο αναφέρει ότι στην από 04/12/2020 Πράξη Τροποποίησης της σύμβασης δωρεάς προσαρτάται ως Παράρτημα Α κατάλογος υπεργολάβων (Σχετικό 16 9) ο οποίος περιλαμβάνει για κάθε υπεργολάβο: α) επωνυμία β) κατηγορίες προσωπικών δεδομένων που επεξεργάζεται κατ’ εντολήν του εκτελούντος την επεξεργασία (CISCO), γ) περιγραφή της εκ μέρους του παρεχόμενης υπηρεσίας, δ) την/τις χώρα/ες που αυτός δραστηριοποιείται, ε) τις προϋποθέσεις που τηρούνται για τη διασυνοριακή διαβίβαση ("μηχανισμός διαβίβασης»), όπου απαιτείται. Κατ' αυτόν τον τρόπο το Υπουργείο δύναται να ελέγξει αποτελεσματικά τη νομιμότητα των διενεργούμενων διασυνοριακών διαβιβάσεων και, συναφώς, την τήρηση εκ μέρους του εκτελούντος την επεξεργασία των συμβατικών του δεσμεύσεων.
4. Σχετικά με τη διαφάνεια και τις υλοποιούμενες δραστηριότητες ενημέρωσης και ευαισθητοποίησης Το Υπουργείο αναφέρει ότι έχει παράσχει στα υποκείμενα των δεδομένων αναλυτικές πληροφορίες σχετικά με την εφαρμογή της διαδικασίας της τηλεκπαίδευσης, όπως αναλυτικά περιγράφεται στην ΕΑΠΔ (παρ. 45). Οι κυριότερες μέθοδοι που αξιοποιήθηκαν προς το σκοπό της ενημέρωσης-ευαισθητοποίησης των υποκειμένων είναι: α) Εγκύκλιοι-ανακοινώσεις («τυπική-υπηρεσιακή πληροφόρηση»). Το Υπουργείο αναφέρει ότι η αξιοποίηση των θεσμοθετημένων διαδικασιών, με τις οποίες η εκπαιδευτική κοινότητα είναι αρκούντως εξοικειωμένη, διευκολύνει την ικανοποίηση της αρχής της λογοδοσίας καθώς το ΥΠΑΙΘ είναι σε θέση να αποδείξει ότι τα υποκείμενα έλαβαν γνώση των οδηγιών και των λοιπών πληροφοριών, καθώς και λοιπών θεμελιωδών αρχών που διέπουν τη δράση της Δημόσιας Διοίκησης. β) Διαδικτυακοί Ιστότοποι: Το ΥΠΑΙΘ έχει αναπτύξει δύο

(2)ιστοτόπους με φιλικό προς τους (ανήλικους) χρήστες και πλήρως επικαιροποιημένο περιεχόμενο προκειμένου να ενημερώσει-ευαισθητοποιήσει τους μαθητές και τις οικογένειές τους. γ) Επιμορφωτικές Δράσεις / Προγράμματα: Το ΥΠΑΙΘ έχει οργανώσει, τις δράσεις που αναφέρθηκαν νωρίτερα.

1. Σχετικά με την εξασφάλιση των απαιτήσεων του άρ. 38 ΓΚΠΔ για την ανεξαρτησία και την παροχή των απαραίτητων πόρων στον ΥΠΔ του Υπουργείου 17 Σύμφωνα με το Υπουργείο, η συμμετοχή της ΥΠΔ στο σχεδιασμό και την υλοποίηση της διαδικασίας της τηλεκπαίδευσης προκύπτει από το ίδιο το κείμενο της ΕΑΠΔ, καθώς στη παρ. 84 αναγράφεται ότι παρασχέθηκε στις 7/12/2020 η συμβουλή του ΥΠΔ (άρ.35§2 ΓΚΠΔ) πριν από την οριστικοποίηση και αποδοχή της μελέτης. Το Υπουργείο θεωρεί ότι η οποιαδήποτε περαιτέρω ανάλυση σχετικά με τη διατύπωση της γνώμης της και την άσκηση των αρμοδιοτήτων της στο πλαίσιο της συγκεκριμένης δραστηριότητας επεξεργασίας παρέλκει. Για το ζήτημα της ανεξαρτησίας επισημαίνεται ότι η ΥΠΔ δεν υπόκειται σε εντολές σχετικά με την άσκηση των καθηκόντων της ούτε ελέγχεται καθ' οιονδήποτε τρόπο, δεν λαμβάνει αποφάσεις ούτε κατέχει θέση από την οποία μπορεί να καθορίζει τους σκοπούς ή/και τα μέσα οποιασδήποτε επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Υποστηρίζει ότι η ΥΠΔ ανέλαβε το συγκεκριμένο ρόλο λόγω της εμπειρογνωσίας που διαθέτει και της ικανότητάς της να εκπληρώσει τα σχετικά καθήκοντα. Προσθέτει επίσης ότι δεδομένης της φύσης των δραστηριοτήτων επεξεργασίας αλλά και του μεγέθους του Υπουργείου, ήδη από το Σεπτέμβριο του 2020 εξετάζεται σχέδιο ανάθεσης καθηκόντων ΥΠΔ σε επίπεδο περιφερειακών διευθύνσεων, τα οποία θα αναλάβουν το συγκεκριμένο ρόλο, θα επιλεγούν με κριτήριο τις επαγγελματικές τους δεξιότητες και θα ασκούν τις αρμοδιότητες που θα τους ανατεθούν υπό την εποπτεία της ΥΠΔ του Υπουργείου. Με τον τρόπο αυτό είχε απαντήσει το Υπουργείο σε σχετική υπόθεση (μετά από αναφορά βουλευτή, βλ. το με αρ. πρωτ. Γ/ΕΙΣ/4109/15-06-2020 έγγραφο). Η ΥΠΔ συνεργάζεται με όλα τα τμήματα του Υπουργείου και υποστηρίζεται από ανώτερα στελέχη των Διευθύνσεων του Υπουργείου. Τα στοιχεία επικοινωνίας της ΥΠΔ είναι διαθέσιμα τόσο στην Αρχή όσο και στα υποκείμενα των δεδομένων. Τέλος, ο Συνήγορος του Πολίτη με το υπ’ αριθμ. πρωτ. 296136/20507/10-042021 έγγραφό του (αρ. πρωτ. Αρχής Γ/ΕΙΣ/2512/12-04-2021) ενημέρωσε την Αρχή ότι έλαβε και εξετάζει από την πλευρά των αρμοδιοτήτων του μεγάλο αριθμό αναφορών γονέων και εκπαιδευτικών σχετικά με την προστασία των προσωπικών δεδομένων των υποκειμένων που χρησιμοποιούν την πλατφόρμα WEBEX στο πλαίσιο της τηλεκπαίδευσης, και παρακαλεί για την αποστολή του πορίσματος της Αρχής. 18 Η Αρχή, μετά από εξέταση όλων των στοιχείων του φακέλου και αφού άκουσε τον εισηγητή και τους βοηθούς εισηγητές, οι οποίοι (βοηθοί) αποχώρησαν μετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη, μετά από διεξοδική συζήτηση ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
2. Σύμφωνα με τις διατάξεις των άρθρων 51, 55 και 57 του Γενικού Κανονισμού Προστασίας Δεδομένων (EE) 2016/679 (εφεξής ΓΚΠΔ) και των άρθρων 9 και 13 του ν. 4624/2019 (ΦΕΚ Α ́ 137), η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων.
3. Στο άρθρο 5 του ΓΚΠΔ ορίζονται οι βασικές αρχές για την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Οι αρχές αυτές περιλαμβάνουν την αρχή της νομιμότητας, αντικειμενικότητας και διαφάνειας, σύμφωνα με την οποία τα δεδομένα υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων (παρ. 1 α’), την αρχή του περιορισμού του σκοπού, σύμφωνα με την οποία τα δεδομένα συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς, ενώ η περαιτέρω επεξεργασία για σκοπούς επιστημονικής ή στατιστικούς σκοπούς δεν θεωρείται ασύμβατη με τους αρχικούς σκοπούς (παρ. 1 β΄), την αρχή της ελαχιστοποίησης των δεδομένων, σύμφωνα με την οποία τα δεδομένα είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία (παρ. 1 γ΄). Επισημαίνεται ειδικότερα ότι ο υπεύθυνος επεξεργασίας, στο πλαίσιο της από μέρους του τήρησης της αρχής της θεμιτής ή δίκαιης επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, οφείλει να ενημερώνει το υποκείμενο των δεδομένων ότι πρόκειται να επεξεργαστεί τα δεδομένα του με νόμιμο και διαφανή τρόπο (σχετικά βλ. ΔΕΕ C-496/17 οπ.π. παρ. 59 και ΔΕΕ C-201/14 της 01-10-2015 παρ. 31-35 και ιδίως 34) και να βρίσκεται σε θέση ανά πάσα στιγμή να αποδείξει τη συμμόρφωσή του με τις αρχές αυτές (αρχή της λογοδοσίας κατ’ άρθ. 5 παρ. 2 σε συνδυασμό με άρθρα 24 παρ. 1 και 32 ΓΚΠΔ). 19 Η επεξεργασία δεδομένων προσωπικού χαρακτήρα με διαφανή τρόπο συνιστά έκφανση της αρχής της θεμιτής επεξεργασίας και συνδέεται με την αρχή της λογοδοσίας, παρέχοντας το δικαίωμα στα υποκείμενα να ασκούν έλεγχο επί των δεδομένων τους καθιστώντας υπόλογους τους υπεύθυνους επεξεργασίας
5. Με τον ΓΚΠΔ υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό στοιχείο του οποίου συνιστά η αρχή της λογοδοσίας, στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να αποδεικνύει ο ίδιος και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ. Δεν είναι τυχαίο ότι ο ΓΚΠΔ εντάσσει τη λογοδοσία (άρθρο 5 παρ. 2 ΓΚΠΔ) στη ρύθμιση των αρχών (άρθρο 5 παρ. 1 ΓΚΠΔ) που διέπουν την επεξεργασία, προσδίδοντας σε αυτήν, τη λειτουργία ενός μηχανισμού τήρησής τους, αντιστρέφοντας κατ’ ουσίαν το «βάρος της απόδειξης» ως προς τη νομιμότητα της επεξεργασίας (και εν γένει την τήρηση των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ), μεταθέτοντάς τη στον υπεύθυνο επεξεργασίας, ώστε να υποστηρίζεται βάσιμα ότι εκείνος φέρει το βάρος της επίκλησης και απόδειξης της νομιμότητας της επεξεργασίας . Έτσι, συνιστά υποχρέωση του υπευθύνου επεξεργασίας αφενός να λαμβάνει από μόνος του τα αναγκαία μέτρα προκειμένου να συμμορφώνεται προς τις απαιτήσεις του ΓΚΠΔ, αφετέρου, να αποδεικνύει ανά πάσα στιγμή την ανωτέρω συμμόρφωσή του, χωρίς μάλιστα να απαιτείται η Αρχή, στο πλαίσιο άσκησης των ερευνητικών ελεγκτικών εξουσιών της, να υποβάλλει επιμέρους – εξειδικευμένα ερωτήματα και αιτήματα προς διαπίστωση της συμμόρφωσης. Ο υπεύθυνος επεξεργασίας οφείλει στο πλαίσιο των ελέγχων – ερευνών της Αρχής να παρουσιάζει από μόνος του και χωρίς σχετικά ερωτήματα και αιτήσεις της Αρχής τα μέτρα και πολιτικές που υιοθέτησε στο πλαίσιο της εσωτερικής οργάνωσης της συμμόρφωσής του, καθώς αυτός τελεί σε γνώση τους αφού σχεδίασε και υλοποίησε τη σχετική εσωτερική οργάνωση. 1 Βλ. Ο.Ε. άρθρου 29 όπως έχει υιοθετηθεί από το ΕΣΠΔ - Κατευθυντήριες Γραμμές για την διαφάνεια υπό τον ΓΚΠΔ (Guidelines on transparency under Regulation 2016/679) της 11-4-2018 (WP 260 rev.1), σελ. 4 και 5 20
6. Σε σχέση με την αρχή της διαφάνειας, στις Κατευθυντήριες Γραμμές του ΕΣΠΔ2 αναφέρεται ότι η έννοια της διαφάνειας στον ΓΚΠΔ θέτει στο επίκεντρο τον χρήστη και δεν είναι φορμαλιστική, ενώ πραγματώνεται μέσω ειδικών πρακτικών απαιτήσεων για τους υπευθύνους επεξεργασίας και τους εκτελούντες την επεξεργασία που προβλέπονται σε διάφορα άρθρα του Κανονισμού. Οι πρακτικές απαιτήσεις (ενημέρωσης) περιγράφονται στα άρθρα 12 έως 14 του ΓΚΠΔ. Ωστόσο, η ποιότητα, η προσβασιμότητα και η σαφήνεια κατανόησης των πληροφοριών είναι εξίσου σημαντικές με το πραγματικό περιεχόμενο των πληροφοριών για τη διαφάνεια που πρέπει να παρέχονται στα υποκείμενα των δεδομένων. Το άρθρο 12 του ΓΚΠΔ απαιτεί οι παρεχόμενες πληροφορίες να συμμορφώνονται με συγκεκριμένους κανόνες στους οποίους περιλαμβάνονται οι πιο κάτω υποχρεώσεις: να είναι συνοπτικές, διαφανείς, κατανοητές και εύκολα προσβάσιμες (άρθρο 12 παράγραφος 1), να χρησιμοποιείται απλή και σαφής διατύπωση (άρθρο 12 παράγραφος 1), η απαίτηση δε για σαφή και απλή διατύπωση είναι ιδιαίτερης σημασίας κατά την παροχή πληροφοριών σε παιδιά (άρθρο 12 παράγραφος 1). Περαιτέρω, στο άρθρο 13 παρ. 1 και 2 του ΓΚΠΔ ορίζεται συγκεκριμένο σύνολο πληροφοριών τις οποίες οφείλει ο υπεύθυνος επεξεργασίας να παρέχει στο υποκείμενο των δεδομένων κατά το χρόνο λήψης των δεδομένων προσωπικού χαρακτήρα.
7. Σύμφωνα με τις διατάξεις του άρθρου 6 παρ. 1 του ΓΚΠΔ, η επεξεργασία είναι σύννομη μόνον εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις: …γ) η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας,…..ε) η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας.
8. Ειδικά ως προς την πρόσβαση σε πληροφορίες που είναι αποθηκευμένες στον τερματικό εξοπλισμό ενός χρήστη, εφαρμόζεται η ειδικότερη νομοθεσία για την προστασία δεδομένων προσωπικού χαρακτήρα και της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών3 (ePrivacy) και συγκεκριμένα το άρθρο 4 παρ. 5 του 2 Για πλήρη ανάλυση βλ. σκέψεις 4,7,8,9,11, 12, 14, 15 και 16 στο προαναφερθέν έγγραφο WP 260 rev.1 3 Βλ. και αιτιολογική σκέψη 173 του ΓΚΠΔ 21 ν. 3471/2006 στο οποίο προβλέπεται ότι η αποθήκευση πληροφοριών ή η απόκτηση πρόσβασης σε ήδη αποθηκευμένες πληροφορίες στον τερματικό εξοπλισμό συνδρομητή ή χρήστη επιτρέπεται μόνο αν ο συγκεκριμένος συνδρομητής ή χρήστης έχει δώσει τη συγκατάθεση του μετά από σαφή και εκτενή ενημέρωση κατά την παρ. 1 του άρθρου 11 του ν. 2472/19974, όπως ισχύει. Η συγκατάθεση του συνδρομητή ή χρήστη μπορεί να δίδεται μέσω κατάλληλων ρυθμίσεων στο φυλλομετρητή ιστού ή μέσω άλλης εφαρμογής. Τα παραπάνω δεν εμποδίζουν την οποιαδήποτε τεχνικής φύσεως αποθήκευση ή πρόσβαση, αποκλειστικός σκοπός της οποίας είναι η διενέργεια της διαβίβασης μίας επικοινωνίας μέσω δικτύου ηλεκτρονικών επικοινωνιών ή η οποία είναι αναγκαία για την παροχή υπηρεσίας της κοινωνίας της πληροφορίας, την οποία έχει ζητήσει ρητά ο χρήστης ή ο συνδρομητής. Πλέον, για την έννοια της συγκατάθεσης όπως και για τους λοιπούς ορισμούς του ν. 2472/1997 οι οποίοι χρησιμοποιούνται στη νομοθεσία ePrivacy (η οποία όπου εφαρμόζεται υπερισχύει ως lex specialis) εφαρμόζονται οι ορισμοί του ΓΚΠΔ.
9. Η έννοια της ΕΑΠΔ ορίζεται στο άρθρο 35 του ΓΚΠΔ. Με βάση τον ΓΚΠΔ, οι υπεύθυνοι επεξεργασίας οφείλουν να εφαρμόζουν ενδεδειγμένα μέτρα για να διασφαλίζουν και να είναι σε θέση να αποδεικνύουν τη συμμόρφωσή τους, λαμβάνοντας υπόψη μεταξύ άλλων «τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων» (άρθρο 24 παρ. 1). Όπως επισημαίνει η Ο.Ε. του άρθρου 29 στις σχετικές κατευθυντήριες γραμμές που έχει υιοθετήσει το ΕΣΠΔ5, η υποχρέωση των υπεύθυνων επεξεργασίας για τη διενέργεια ΕΑΠΔ σε ορισμένες περιστάσεις θα πρέπει να γίνεται αντιληπτή σε σχέση με τη γενική τους υποχρέωση να διαχειρίζονται με ενδεδειγμένο τρόπο τους κινδύνους που ενέχει η επεξεργασία των δεδομένων προσωπικού χαρακτήρα. Περαιτέρω, η ΕΑΠΔ αποτελεί βασικό εργαλείο για την ικανοποίηση της αρχής της προστασίας των δεδομένων από το σχεδιασμό, όπως προσδιορίζεται στο άρθρο 25 παρ. 1 του ΓΚΠΔ, σύμφωνα με την 4 Βλ. άρθρο 94 παρ. 2 ΓΚΠΔ. Πλέον κάθε παραπομπή στο ν. 2472/1997 θεωρείται ως παραπομπή στο ΓΚΠΔ. 5 Κατευθυντήριες γραμμές για την εκτίμηση του αντικτύπου σχετικά με την προστασία δεδομένων (ΕΑΠΔ) και καθορισμός του κατά πόσον η επεξεργασία «ενδέχεται να επιφέρει υψηλό κίνδυνο» για τους σκοπούς του κανονισμού 2016/
10. (WP 248 αναθ. 01) 22 οποία ο υπεύθυνος επεξεργασίας, λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων από την επεξεργασία, εφαρμόζει αποτελεσματικά, τόσο κατά τη στιγμή του καθορισμού των μέσων επεξεργασίας όσο και κατά τη στιγμή της επεξεργασίας, κατάλληλα τεχνικά και οργανωτικά μέτρα, όπως η ψευδωνυμοποίηση, σχεδιασμένα για την εφαρμογή αρχών προστασίας των δεδομένων, όπως η ελαχιστοποίηση των δεδομένων, και την ενσωμάτωση των απαραίτητων εγγυήσεων στην επεξεργασία κατά τρόπο ώστε να πληρούνται οι απαιτήσεις του ΓΚΠΔ και να προστατεύονται τα δικαιώματα των υποκειμένων των δεδομένων. Επισημαίνεται ότι στην παρ. 9 του εν λόγω άρθρου 35 ορίζεται ότι «Όπου ενδείκνυται, ο υπεύθυνος επεξεργασίας ζητεί τη γνώμη των υποκειμένων των δεδομένων ή των εκπροσώπων τους για τη σχεδιαζόμενη επεξεργασία, με την επιφύλαξη της προστασίας εμπορικών ή δημόσιων συμφερόντων ή της ασφάλειας των πράξεων επεξεργασίας.»
11. Η Αρχή με τη γνωμοδότησή της 4/2020 εξέτασε ήδη τη νομιμότητα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα κατά την εφαρμογή διαδικασιών σύγχρονης εξ αποστάσεως εκπαίδευσης από σχολικές μονάδες πρωτοβάθμιας και δευτεροβάθμιας εκπαίδευσης, η οποία υλοποιήθηκε κατόπιν της υπ’ αριθ. 57233/Υ1 Υπουργικής απόφασης. Προ της εν λόγω Υ.Α. το Υπουργείο Παιδείας και Θρησκευμάτων διενήργησε ΕΑΠΔ, με βάση το άρθρο 35 του ΓΚΠΔ και κατόπιν πρόβλεψης στο άρθρο 63 του ν. 4686/
12. Η Αρχή, έκρινε νόμιμη τη διαδικασία σύγχρονης εξ αποστάσεως εκπαίδευσης, διαπιστώνοντας όμως ότι η διενεργηθείσα ΕΑΠΔ δεν έχει εξετάσει με πληρότητα μια σειρά από παράγοντες και κινδύνους σε σχέση με τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων. Αναγνωρίζοντας την αναγκαιότητα της σύγχρονης εξ αποστάσεως εκπαίδευσης, ιδίως σε περιπτώσεις πανδημίας, η Αρχή παρείχε γνώμη προς το Υπουργείο, ώστε να αντιμετωπισθούν οι ανωτέρω ελλείψεις και το κάλεσε, όπως εντός αποκλειστικού διαστήματος τριών μηνών προβεί στις απαραίτητες ενέργειες τροποποίησης και συμπλήρωσης της ΕΑΠΔ και των λαμβανόμενων μέτρων.
13. Στο άρθρο 37 του ΓΚΠΔ εισάγεται η υποχρέωση των δημοσίων αρχών να ορίζουν υπεύθυνο προστασίας δεδομένων (ΥΠΔ). Με βάση τις παρ. 5 και 7, ο ορισμός 23 πραγματοποιείται βάσει επαγγελματικών προσόντων και ιδίως βάσει της εμπειρογνωσίας που διαθέτει στον τομέα του δικαίου και των πρακτικών περί προστασίας δεδομένων, καθώς και βάσει της ικανότητας εκπλήρωσης των καθηκόντων που αναφέρονται στο άρθρο 39, ενώ τα στοιχεία επικοινωνίας του δημοσιεύονται και ανακοινώνονται στην εποπτική αρχή. Σύμφωνα με το άρθρο 38 παρ. 2 του ΓΚΠΔ, ο οργανισμός στηρίζει τον υπεύθυνο προστασίας δεδομένων του παρέχοντας απαραίτητους πόρους για την άσκηση των καθηκόντων του και πρόσβαση σε δεδομένα προσωπικού χαρακτήρα και σε πράξεις επεξεργασίας, καθώς και πόρους απαραίτητους για τη διατήρηση της εμπειρογνωσίας του. Το ΕΣΠΔ έχει εξειδικεύσει τα στοιχεία που πρέπει να λαμβάνει υπόψη ένας υπεύθυνος επεξεργασίας ώστε να είναι σε θέση να υποστηρίξει ότι στηρίζει έμπρακτά τον ΥΠΔ του6 αλλά και για την τήρηση της ανεξαρτησίας του.
14. Οι ΟΙΕΛΕ και ΔΟΕ υπέβαλαν αναφορές – καταγγελίες στην Αρχή, κατά της διαδικασίας εξ αποστάσεως εκπαίδευσης, υποστηρίζοντας ότι αυτή διενεργείται κατά παράβαση της νομοθεσίας για την επεξεργασία δεδομένων προσωπικού χαρακτήρα και εκθέτοντας σειρά επιχειρημάτων τα οποία παρουσιάζονται εν συντομία στο ιστορικό της παρούσης. Στο άρθρο 77 παρ. 1 του ΓΚΠΔ ορίζεται ότι «Με την επιφύλαξη τυχόν άλλων διοικητικών ή δικαστικών προσφυγών, κάθε υποκείμενο των δεδομένων έχει το δικαίωμα να υποβάλει καταγγελία σε εποπτική αρχή, ιδίως στο κράτος μέλος στο οποίο έχει τη συνήθη διαμονή του ή τον τόπο εργασίας του ή τον τόπο της εικαζόμενης παράβασης, εάν το υποκείμενο των δεδομένων θεωρεί ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορά παραβαίνει τον παρόντα κανονισμό.» Παράλληλα στο άρθρο 80 παρ. 1 και 2 ορίζεται ότι «
15. Tο υποκείμενο των δεδομένων έχει το δικαίωμα να αναθέσει σε μη κερδοσκοπικό φορέα, οργάνωση ή ένωση (…) να υποβάλει την καταγγελία για λογαριασμό του (…) εφόσον προβλέπεται από το δίκαιο του κράτους μέλους.
16. Τα κράτη μέλη μπορούν να προβλέπουν ότι κάθε φορέας, οργάνωση ή ένωση που αναφέρεται στην παράγραφο 1 του παρόντος άρθρου έχει το δικαίωμα, ανεξάρτητα από τυχόν ανάθεση του υποκειμένου των δεδομένων, να υποβάλει στο εν λόγω κράτος μέλος καταγγελία στην εποπτική αρχή που είναι αρμόδια δυνάμει του 6 Βλ. Ο.Ε. άρθρου 29 «Κατευθυντήριες γραμμές σχετικά με τους υπεύθυνους προστασίας δεδομένων» οι οποίες υιοθετήθηκαν από το ΕΣΠΔ - ενότητα 3.2 - WP 243 rev.01 24 άρθρου 77 (…) εφόσον θεωρεί ότι τα δικαιώματα του υποκειμένου των δεδομένων δυνάμει του παρόντος κανονισμού παραβιάστηκαν ως αποτέλεσμα της επεξεργασίας.» Στο άρθρο 41 του ν. 4624/2019 προβλέφθηκε ότι υποκείμενο δεδομένων δύναται να αναθέσει την εκ μέρους του υποβολή καταγγελίας σε μη κερδοσκοπικό φορέα, οργανισμό, οργάνωση ή σωματείο ή ένωση προσώπων χωρίς νομική προσωπικότητα μη κερδοσκοπικού χαρακτήρα, αλλά δεν δόθηκε η δυνατότητα υποβολής καταγγελίας χωρίς ανάθεση από υποκείμενο δεδομένων. Συνεπώς, τα έγγραφα της ΟΙΕΛΕ και της ΔΟΕ δεν είναι δυνατό να εξεταστούν ως καταγγελίες του άρθρου 77 του ΓΚΠΔ. Η Αρχή όμως, έχει τη δυνατότητα να διενεργεί αυτεπαγγέλτως έρευνες ή ελέγχους για την εφαρμογή των ρυθμίσεων που αφορούν την προστασία του ατόμου έναντι της επεξεργασίας προσωπικών δεδομένων (βλ. ΓΚΠΔ άρθρο 57 παρ. 1 περ. η’ και κβ’ καθώς και άρθρο 13 παρ. 1 περ. η’ ν. 4624/2019). Στην προκειμένη περίπτωση, η Αρχή λαμβάνει υπόψη τις αναφορές των δύο ομοσπονδιών και εξετάζει αυτεπάγγελτα την υπόθεση, στο βαθμό που το κρίνει απαραίτητο.
17. Κατά το σχολικό έτος 2020-2021, η πανδημία του κορονοϊού Covid-19 συνεχίστηκε, ενώ για μεγάλα χρονικά διαστήματα οι σχολικές μονάδες δεν λειτούργησαν δια ζώσης, είτε συνολικά λόγω απόφασης καθολικής μη λειτουργίας τους για λόγους προστασίας της δημόσιας υγείας, είτε μεμονωμένες σχολικές μονάδες ή τμήματα, κατ’ εφαρμογή των υγειονομικών πρωτοκόλλων. Στις περιπτώσεις αυτές, είναι σαφές ότι η παροχή εκπαίδευσης, που αποτελεί υποχρέωση του κράτους, είναι απαραίτητο να συνεχίζεται εξ αποστάσεως, μέσω διαδικασιών σύγχρονης ή ασύγχρονης εκπαίδευσης. Οι μέθοδοι παροχής εξ αποστάσεως εκπαίδευσης μπορούν, συνολικά, να διακριθούν σε μεθόδους ασύγχρονης εξ αποστάσεως εκπαίδευσης και σύγχρονης εξ αποστάσεως εκπαίδευσης. Όπως τεκμηριώνεται από το υπόμνημα του ΥΠΑΙΘ και τις συνημμένες σε αυτό μελέτες, η παροχή σύγχρονης εξ αποστάσεως εκπαίδευσης κρίνεται ως απαραίτητο εργαλείο ώστε να είναι αποτελεσματική η εκπαιδευτική διαδικασία, πόσο μάλλον για μακροχρόνιες περιόδους μη δυνατότητας λειτουργίας της δια ζώσης εκπαίδευσης για λόγους προστασίας της δημόσιας υγείας, καθώς ο σκοπός της παροχής εκπαίδευσης δεν μπορεί να εκπληρωθεί αποτελεσματικά με παροχή μόνο ασύγχρονης εξ αποστάσεως εκπαίδευσης. Καθώς η σύγχρονη εξ αποστάσεως εκπαίδευση μπορεί 25 να γίνει μόνο με ηλεκτρονικά μέσα τα οποία εξασφαλίζουν αμφίδρομη επικοινωνία εκπαιδευτικού και εκπαιδευομένων, η οποία εκ των πραγμάτων προϋποθέτει επεξεργασία δεδομένων προσωπικού χαρακτήρα των συμμετεχόντων στην εκπαιδευτική διαδικασία, η εν λόγω επεξεργασία είναι αναγκαία. Για τη νομιμότητα της επεξεργασίας, πρέπει βέβαια να διασφαλιστεί η τήρηση των αρχών που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα (άρθρο 5 ΓΚΠΔ).
18. Από την επικαιροποιημένη ΕΑΠΔ και τα στοιχεία του φακέλου της υπόθεσης (συμπεριλαμβανομένου του αρχείου δραστηριοτήτων), προκύπτουν τα εξής σε σχέση με τις διενεργούμενες πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα, μέσω του συστήματος Webex. Συγκεκριμένα, από την ανάλυση των “privacy data sheets” της Cisco και από την ενότητα 2.3 της ΕΑΠΔ προκύπτει ότι κατά την επεξεργασία συλλέγονται οι εξής κατηγορίες δεδομένων: Α) Δεδομένα πληροφοριών χρήστη: όνομα (name), διεύθυνση email, κωδικός πρόσβασης, λογισμικό φυλλομετρητή (browser), τηλεφωνικός (προαιρετικά), διεύθυνση ταχυδρομείου (προαιρετικά), εικονίδιο αριθμός avatar (προαιρετικό), πληροφορίες χρήστη που περιλαμβάνονται στο φάκελό του (σε περίπτωση συγχρονισμού), μοναδικό αναγνωριστικό χρήστη (UUID). B) Δεδομένα υπολογιστών και χρήσης: διεύθυνση IP, αναγνωριστικό User Agent, τύπος υλισμικού, τύπος και έκδοση λειτουργικού συστήματος, έκδοση προγράμματος πελάτη, διευθύνσεις IP δικτυακής διαδρομής, διεύθυνση MAC χρήστη (όπου εφαρμόζεται), έκδοση υπηρεσίας, ενέργειες που έγιναν, γεωγραφική περιοχή, πληροφορίες συνόδου συνάντησης (Session Information π.χ. ημέρα και ώρα, συχνότητα, μέση και πραγματική διάρκεια, ποσότητα, ποιότητα, δικτυακή δραστηριότητα, και δικτυακή συνδεσιμότητα), αριθμό συναντήσεων, αριθμό συνόδων με και χωρίς διαμοιρασμό οθόνης, αριθμό συμμετεχόντων, ανάλυση οθόνης, μέθοδος σύνδεσης, απόδοση, πληροφορίες διάγνωσης και αντιμετώπισης προβλημάτων, πληροφορίες του φιλοξενούντα (host) τη συνάντηση για σκοπούς χρέωσης (όνομα και ID host, URL συνάντησης, ώρα αρχής/τέλους συνάντησης), τίτλος συνάντησης, πληροφορία συμμετεχόντων η οποία περιλαμβάνει διευθύνσεις email, διευθύνσεις IP, ονόματα χρήστη, τηλεφωνικούς αριθμούς, πληροφορίες συσκευής δωματίου (room device information). 26 Γ) Πληροφορίες που δημιουργούνται από τον χρήστη: εγγραφές συνάντησης (αν έχουν ενεργοποιηθεί), μεταγραφές εγγραφών συνάντησης (προαιρετικό, μόνο αν ενεργοποιηθεί), μεταφορτωμένα αρχεία (για το Webex Events and Training μόνο). Οι χρόνοι τήρησης είναι ως εξής για κάθε κατηγορία: α. για ενεργές συνδρομές: όσο είναι ενεργή η συνδρομή. Για ληγμένες συνδρομές: Τα δεδομένα διαγράφονται εκτός από τα Name και UUID, τα οποία διατηρούνται για 7 έτη ως μέρος των επιχειρηματικών αρχείων της Cisco και διατηρούνται ώστε να η εταιρεία να συμμορφώνεται με οικονομικές και ελεγκτικές απαιτήσεις (όπως και τα δεδομένα που αφορούν χρεώσεις). β. Διατηρούνται για 3 έτη, για το αρχείο που σχετίζεται με την παράδοση των υπηρεσιών της Cisco. Οι πληροφορίες αυτές χρησιμοποιούνται για την εξαγωγή αναλυτικών στοιχείων και για τη στατιστική μέτρηση της απόδοσης αλλά ψευδωνυμοποιημένες. Οι πληροφορίες χρέωσης (billing) που τηρούνται για 7 έτη.) γ. Οι πληροφορίες αυτές διατηρούνται έως 60 ημέρες μετά τη λήξη της υπηρεσίας. Σε σχέση με τα μέτρα ασφάλειας, τα δεδομένα κατηγοριών α και γ κρυπτογραφούνται κατά τη μετάδοση και κατά την αποθήκευση, ενώ της κατηγορίας β μόνο κατά την αποθήκευση. Από τις πληροφορίες που παρέχει η Cisco, τα ανωτέρω δεδομένα χρησιμοποιούνται για τους παρακάτω σκοπούς: α και γ. Ανάλογα με τους σκοπούς του πελάτη της Cisco (εν προκειμένω του ΥΠΑΙΘ) για τη διαχείριση των τηλεδιασκέψεων και για την υποστήριξη της παροχής της υπηρεσίας από τη Cisco. β. Οι σκοποί είναι παρόμοιοι, εκτός από το ότι στους σκοπούς προστίθεται η βελτίωση της παρεχόμενης από τη Cisco υπηρεσίας. Συνεπώς, σε συνδυασμό με όσα αναφέρονται στην ενότητα 2.4 της ΕΑΠΔ, προκύπτουν οι εξής σκοποί και υπεύθυνοι επεξεργασίας: Σκοπός 1ος: Η παροχή σύγχρονης εξ αποστάσεως εκπαίδευσης, για την ικανοποίηση της υποχρέωσης του κράτους να παρέχει εκπαίδευση, με υπεύθυνο επεξεργασίας το ΥΠΑΙΘ και εκτελούντες την επεξεργασία τη CISCO και το ITYE Διόφαντος. Σκοπός 2ος: η υποστήριξη της παροχής σύγχρονης εξ αποστάσεως εκπαίδευσης, με υπεύθυνο επεξεργασίας το ΥΠΑΙΘ και εκτελούντες CISCO και ITYE Διόφαντος. Ο σκοπός αυτός μπορεί να θεωρηθεί ως επιμέρους σκοπός του 1ου. Σκοπός 3ος: Η εξαγωγή συμπερασμάτων σχετικά με την τηλεκπαίδευση, ως στατιστικός και ερευνητικός σκοπός, με υπεύθυνο επεξεργασίας το ΥΠΑΙΘ και εκτελούντα την επεξεργασία τη 27 CISCO. Σκοπός 4ος: Η βελτίωση της παρεχόμενης από τη Cisco υπηρεσίας, για την οποία προκύπτει ότι υπεύθυνος επεξεργασίας μπορεί να είναι η Cisco. Σκοπός 5ος: Η συμμόρφωση της Cisco με οικονομικές και ελεγκτικές απαιτήσεις, συμπεριλαμβανομένης της χρέωσης των υπηρεσιών, με υπεύθυνο επεξεργασίας τη Cisco.
19. Οι βασικές πτυχές της νομιμότητας της επεξεργασίας σε σχέση με τον 1ο και 2 ο σκοπό, όπως περιγράφονται ανωτέρω, έχουν ήδη εξεταστεί με τη γνωμοδότηση 4/2020 της Αρχής. Η νομιμότητα της επεξεργασίας ερείδεται στις παρ. 1 γ) (ιδίως ως προς τον 1ο σκοπό) και 1 ε) (ιδίως ως προς τον 2ο σκοπό) του άρθρου 6 του ΓΚΠΔ. Επισημαίνεται ότι για την εξυπηρέτηση των εν λόγω σκοπών πραγματοποιείται πρόσβαση σε πληροφορίες οι οποίες είναι αποθηκευμένες στον τερματικό εξοπλισμό ενός χρήστη, η οποία όμως είναι απαραίτητη για την παροχή της υπηρεσίας εξ αποστάσεως εκπαίδευσης, την οποία έχει ρητά ζητήσει ο χρήστης της υπηρεσίας.
20. Σε σχέση με τον 3ο σκοπό, σύμφωνα με το ΥΠΑΙΘ, η συγκεκριμένη διαδικασία δεν περιλαμβάνει πράξεις επεξεργασίας προσωπικών δεδομένων εξαιρουμένης της αρχικής εφαρμογής επ’ αυτών της «μεθόδου ανωνυμοποίησης» και είναι συμπληρωματική και εκτός του πεδίου της ΕΑΠΔ. Για την αξιολόγηση της νομιμότητας της δραστηριότητας αυτής κρίσιμο είναι να εξεταστεί το εφαρμοστέο δίκαιο. Με βάση τις πληροφορίες της ΕΑΠΔ, των αρχείων δραστηριοτήτων επεξεργασίας και των privacy data sheets, για την εξαγωγή στατιστικών χρησιμοποιούνται τόσο δεδομένα που προέρχονται από την τερματική συσκευή του εκάστοτε χρήστη (π.χ. λογισμικό φυλλομετρητή, διεύθυνση IP, αναγνωριστικό User Agent, τύπος υλισμικού, τύπος και έκδοση λειτουργικού συστήματος, έκδοση προγράμματος πελάτη, διευθύνσεις IP δικτυακής διαδρομής, διεύθυνση MAC χρήστη) όσο και δεδομένα τα οποία παράγονται κατά τη χρήση της υπηρεσίας (π.χ. ενέργειες που έγιναν, πληροφορίες συνόδου συνάντησης). Καθώς η εξαγωγή στατιστικών και ερευνητικών συμπερασμάτων σε σχέση με τη διαδικασία εξ αποστάσεως εκπαίδευσης δεν είναι απαραίτητη για την παροχή της υπηρεσίας της κοινωνίας της πληροφορίας (εξ αποστάσεως εκπαίδευση), την οποία ζητάει ρητά ένας χρήστης, η πρόσβαση στις πληροφορίες που προέρχονται από την τερματική συσκευή του εκάστοτε χρήστη μπορεί να γίνει μόνο με βάση τη συγκατάθεση του 28 εν λόγω χρήστη. Για τα λοιπά δεδομένα, τα οποία παράγονται κατά τη χρήση της υπηρεσίας και συλλέγονται για διαφορετικό σκοπό από τον αρχικό, χωρίς συγκατάθεση ή διάταξη για τη διασφάλιση των σκοπών που αναφέρονται στο άρθρο 23 παρ. 1 του ΓΚΠΔ, η νομιμότητα της επεξεργασίας μπορεί να τεκμηριωθεί αν εξεταστούν οι προϋποθέσεις του άρθρου 6 παρ. 4 του Κανονισμού. Από το υπόμνημα του ΥΠΑΙΘ δεν προκύπτει ότι έχει διενεργηθεί αναλυτική διερεύνηση της νομιμότητας του εν λόγω σκοπού. Άλλωστε, η αναφορά σε μέθοδο ανωνυμοποίησης δεν υποστηρίζεται από ευρήματα ή από στοιχεία τα οποία έχουν συλλεγεί από τη Cisco. Αντίθετα, στα privacy data sheets της Cisco ευθέως γίνεται αναφορά σε ψευδωνυμοποίηση για την εξαγωγή αναλυτικών στοιχείων και για τη στατιστική μέτρηση της απόδοσης.
21. Σε σχέση με τον 4ο σκοπό, είναι σαφής η πρόθεση του Υπουργείου, ειδικά με τις τροποποιήσεις των συμβάσεων, να οριοθετήσει την επεξεργασία με τρόπο που να μην αφήνει περιθώριο περαιτέρω χρήσης. Συγκεκριμένα, όπως αναφέρει το ΥΠΑΙΘ, τα μεταδεδομένα, όπως και όλα τα προσωπικά δεδομένα που υποβάλλονται σε επεξεργασία στο πλαίσιο της εξ αποστάσεως εκπαίδευσης, εξαιρουμένων των δεδομένων που η CISCO οφείλει, σύμφωνα με το νόμο, να τηρήσει περαιτέρω, διαγράφονται αμελλητί μόλις εκπληρωθεί ο σκοπός της σύμβασης. Εν προκειμένω, υπερισχύει ο ειδικός όρος της συναφθείσας σύμβασης του γενικού όρου της Cisco. Το ΥΠΑΙΘ ως υπεύθυνος επεξεργασίας όφειλε να εξασφαλίσει ότι ακόμα και κατά το χρονικό διάστημα λειτουργίας της εξ αποστάσεως εκπαίδευσης δεν θα διενεργηθεί επεξεργασία με υπεύθυνο τη Cisco ή αν διενεργηθεί, αυτό θα συμβεί με διασφάλιση της νομιμότητας (π.χ. με διακριτή συγκατάθεση, ιδίως αν συνυπολογιστεί ότι σημαντικό τμήμα των μεταδεδομένων προέρχονται από τις τερματικές συσκευές των χρηστών). Αν και το ΥΠΑΙΘ δεν έχει επιρροή στον τρόπο με τον οποίο η Cisco χρησιμοποιεί τα εν λόγω δεδομένα, έχει επίγνωση ότι μέσω της επιλογής για χρήση της εφαρμογής Webex Meetings επιτρέπει τη διαβίβαση δεδομένων προσωπικού χαρακτήρα των χρηστών στη Cisco για σκοπούς της εταιρείας. Συνεπώς, ως προς τη συγκεκριμένη δραστηριότητα θα πρέπει να θεωρείται τουλάχιστον από κοινού υπεύθυνος επεξεργασίας με τη Cisco
22. Η Αρχή 7 Βλ. και απόφαση του ΔΕΕ στην υπόθεση C-40/17, Fashion ID GmbH & Co. KG κατά Verbraucherzentrale NRW eV 29 επισημαίνει ότι ο κίνδυνος από την εν λόγω δραστηριότητα φαίνεται να περιορίζεται από το γεγονός ότι τα δεδομένα είναι ψευδωνυμοποιημένα και είναι ενδεχομένως μικρής «επικινδυνότητας» καθώς είναι αμφίβολο (αλλά όχι αδύνατο) αν μπορούν να χρησιμοποιηθούν με τρόπο που να επιφέρει δυσμενείς συνέπειες στα υποκείμενα των δεδομένων. Με βάση την αρχή της λογοδοσίας, εναπόκειται στον υπεύθυνο επεξεργασίας, εν προκειμένω στο ΥΠΑΙΘ, να εξετάσει ενεργά και διεξοδικά όλες τις πτυχές της επεξεργασίας (της διαβίβασης προς τη Cisco και της χρήσης για δικούς της σκοπούς) και να εξασφαλίσει τη νομιμότητά της 8, κάτι που δεν έχει συμβεί ως προς το συγκεκριμένο σκοπό. Περαιτέρω, επιμέρους συστατικά της επεξεργασίας χρήζουν διευκρίνισης, όπως η διαγραφή δεδομένων κατόπιν αιτήματος του Υπουργείου αντί για αυτόματα, μετά την εκπλήρωση του σκοπού των συμβάσεων.
23. Το ανωτέρω σκεπτικό εφαρμόζεται ανάλογα και ως προς τον 5ο σκοπό. Η αναφορά «εκτός αν άλλως απαιτείται εκ του νόμου» δεν διευκρινίζει ποιο είναι το εφαρμοστέο δίκαιο σε αυτή την περίπτωση. Η Cisco, όπως προκύπτει από τα privacy data sheets, αναφέρει ότι τηρεί δεδομένα για σκοπούς χρέωσης έως 7 έτη, για την ικανοποίηση των εννόμων υποχρεώσεών της. Στην περίπτωση της σύμβασης με το Υπουργείο, καθώς η χρέωση δεν στηρίζεται στη χρήση, τα δεδομένα χρέωσης και αυτά που σχετίζονται με οικονομικές και ελεγκτικές απαιτήσεις δεν προκύπτει αν περιλαμβάνουν ή όχι δεδομένα χρηστών της εφαρμογής. Με βάση την αρχή της λογοδοσίας, είναι ευθύνη του ΥΠΑΙΘ να ελέγξει ενεργά και να διασφαλίσει ότι δεν διαβιβάζονται στη Cisco δεδομένα που δεν είναι απαραίτητα για τον εν λόγω σκοπό.
24. Σε σχέση με την αρχή της διαφάνειας και την παροχή των απαιτούμενων πληροφοριών για την επεξεργασία, διαπιστώνεται ότι το Υπουργείο έχει κάνει ενέργειες προς το σκοπό της ενημέρωσης αλλά είναι αμφίβολο αν η ενημέρωση αυτή πληροί τα κριτήρια του ΓΚΠΔ. Ο ρόλος των εκπαιδευτικών και ενημερωτικών δράσεων δεν περιορίζεται στην ικανοποίηση της αρχής της διαφάνειας αλλά και στην ορθή κατανόηση των κινδύνων και των συνεπειών από πιθανή επεξεργασία δεδομένων κατά τη διαδικασία τηλεκπαίδευσης. Απαιτείται λοιπόν προσέγγιση 8 Για το ρόλο των υπευθύνων επεξεργασίας σε σχέση με την αρχή της λογοδοσίας βλ. σκέψη 3 των συστάσεων 01/2020 του ΕΣΠΔ σε σχέση με τα συμπληρωματικά μέτρα για διαβιβάσεις με σκοπό τη διασφάλιση της συμμόρφωσης με το επίπεδο προστασίας δεδομένων της Ε.Ε. 30 σύμφωνη με τις κατευθύνσεις της ΟΕ του άρθρου 29 τις οποίες έχει υιοθετήσει το ΕΣΠΔ ώστε να εξασφαλίζεται ότι οι πληροφορίες οι οποίες απευθύνονται στις διαφορετικές κατηγορίες υποκειμένων των δεδομένων είναι συνοπτικές, διαφανείς, κατανοητές και εύκολα προσβάσιμες, με απλή διατύπωση ειδικά όσον αφορά σε παιδιά. Ειδικότερα, σε σχέση με τις εφαρμοζόμενες μεθόδους επισημαίνονται τα εξής α) Το ΥΠΑΙΘ ορθά αναφέρει ότι οι εγκύκλιοι και ανακοινώσεις καταλήγουν σε όλους τους εκπαιδευτικούς. Είναι όμως κοινή πείρα ότι ένας εκπαιδευτικός λαμβάνει αρκετές ανακοινώσεις και εγκυκλίους κάθε εβδομάδα, συνεπώς, η ενημέρωση μέσω των εγκυκλίων όσον αφορά τη συγκεκριμένη ομάδα υποκειμένων των δεδομένων, είναι κατ’ αρχάς ορθή, αλλά πρέπει να συμπληρώνεται με παροχή των πληροφοριών κατά το στάδιο της λήψης των δεδομένων, ώστε να εξασφαλίζεται η μέγιστη αποτελεσματικότητα. Επισημαίνεται ότι ο συγκεκριμένος τρόπος ενημέρωσης, ο οποίος δεν αφορά άλλες κατηγορίες υποκειμένων των δεδομένων εκτός των εκπαιδευτικών, δεν φαίνεται να περιέχει τις απαιτούμενες από το άρθρο 13 πληροφορίες. β) Οι χρησιμοποιούμενοι διαδικτυακοί ιστότοποι παρέχουν μια βασική ενημέρωση σε σχέση με την επεξεργασία, αλλά απουσιάζουν βασικές πληροφορίες του άρθρου 13 του ΓΚΠΔ. Η πληροφόρηση είναι δομημένη με συχνές ερωτήσεις ενώ απουσιάζει συγκεκριμένος σύνδεσμος ειδικά για τα προσωπικά δεδομένα (ο οποίος θα μπορούσε να διαφοροποιείται κατάλληλα για τις κατηγορίες υποκειμένων των δεδομένων). Ενδεικτικά, το κείμενο ενημέρωσης9 το οποίο αφορά μαθητές και γονείς έχει ως εξής: «Κατ’ εφαρμογή του Νέου Ευρωπαϊκού Κανονισμού Προστασίας Προσωπικών Δεδομένων 2016/679 και του νόμου 4624/2019), σας ενημερώνουμε σχετικά με την επεξεργασία των προσωπικών δεδομένων σας από το Ελληνικό Δημόσιο όπως εκπροσωπείται από το Υπουργείο Παιδείας και Θρησκευμάτων, ως υπεύθυνο επεξεργασίας. Τα προσωπικά σας δεδομένα (e-mail) αποτελούν αντικείμενο επεξεργασίας από τη σχολική μονάδα λόγω της ιδιότητά σας ως μαθητών ή/και γονέων ή κηδεμόνων και της σχέσης σας με το Ελληνικό Δημόσιο, είναι δε αναγκαία 9 Έλεγχος κατά την ημερομηνία συνεδρίασης - https://mathainoumestospiti.gov.gr/sychnes-erotiseis/ 31 για την εκπλήρωση των σκοπών και υποχρεώσεων του Ελληνικού Δημοσίου, κατά τις κείμενες διατάξεις, για τη διασφάλιση της απρόσκοπτης λειτουργίας της εκπαιδευτικής δραστηριότητας κατά την περίοδο εφαρμογής των έκτακτων μέτρων για την αντιμετώπιση του κορωνοϊού Covid-19 και την απαγόρευση διδασκαλίας με φυσική παρουσία. Επιπλέον, οι μαθητές κατά τη συμμετοχή τους στην εξ αποστάσεως εκπαίδευση κοινοποιούν σε συνεργαζόμενους με το Υπουργείο Παιδείας και Θρησκευμάτων παρόχους υπηρεσιών πληροφορικής και διαδικτυακού χώρου, κατ’ επιλογήν τους, όνομα ή όνομα χρήστη, αποκλειστικά προκειμένου να καταστεί τεχνικά δυνατή η σύγχρονη εξ αποστάσεως διδασκαλία, μέσω της σχετικής πλατφόρμας τηλεδιασκέψεων, και αποκλειστικά για όσο χρονικό διάστημα ισχύει η ως άνω απαγόρευση, και εν συνεχεία θα διαγραφούν από τους εν λόγω παρόχους. Συστήνεται η σύνδεση των μαθητών μέσω λογισμικού πλοήγησης (browser) (και όχι μέσω εφαρμογής). Έχετε δικαίωμα να λάβετε επιβεβαίωση για το κατά πόσον ή όχι προσωπικά δεδομένα που σας αφορούν υφίστανται επεξεργασία. Σε περίπτωση που τα προσωπικά σας δεδομένα υφίστανται επεξεργασία, έχετε το δικαίωμα πρόσβασης στα προσωπικά σας δεδομένα, λήψης αντιγράφου αυτών, διόρθωσης ανακριβειών, συμπλήρωσης ελλιπών προσωπικών δεδομένων, διαγραφής προσωπικών δεδομένων, διακοπής της επεξεργασίας τους, λήψης τους σε δομημένη, κοινώς χρησιμοποιούμενη και αναγνωρίσιμη από μηχανήματα μορφή, διαβίβασής τους σε άλλον υπεύθυνο επεξεργασίας, χωρίς αντίρρηση από το Ελληνικό Δημόσιο, διαβίβασής τους από το Ελληνικό Δημόσιο σε άλλον υπεύθυνο επεξεργασίας, εφόσον αυτό είναι τεχνικά εφικτό, υποβολής καταγγελίας στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, αντίταξης ανά πάσα στιγμή στην επεξεργασία τους για σκοπούς εμπορικής προώθησης. Για οποιαδήποτε απορία έχετε σε σχέση με την επεξεργασία των προσωπικών σας δεδομένων από το Ελληνικό Δημόσιο ή/και τα σχετικά δικαιώματά σας, παραμένουμε στη διάθεσή σας (e-mail επικοινωνίας cst@minedu.gov.gr).» Συνεπώς, διαπιστώνονται τα εξής: α) Απουσιάζουν τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων 32 β) Οι αποδέκτες/κατηγορίες αποδεκτών περιγράφονται γενικά ως «πάροχοι υπηρεσιών πληροφορικής και διαδικτυακού χώρου» χωρίς να διευκρινίζεται ο ρόλος τους γ) Δεν υπάρχει διευκρίνιση σε σχέση με την τήρηση μεταδεδομένων, συνεπώς η ενημέρωση είναι ελλιπής όσον αφορά τις κατηγορίες των δεδομένων, τους σκοπούς και τους χρόνους τήρησης που σχετίζονται με την επεξεργασία αυτών των δεδομένων. δ) Το κείμενο είναι γραμμένο με μη δομημένο τρόπο, ώστε να μην είναι ευδιάκριτη η παροχή των πληροφοριών του άρθρου 13 του ΓΚΠΔ. ε) Το κείμενο δεν είναι εύκολα προσβάσιμο, καθώς εμπεριέχεται εντός συχνών ερωτήσεων. Περαιτέρω δεν εξασφαλίζεται η παροχή των πληροφοριών πριν την επεξεργασία. στ) Το κείμενο δεν είναι κατάλληλο για την παροχή πληροφοριών σε παιδιά, διαφόρων ηλικιών και γνωστικού επιπέδου. ζ) είναι αμφίβολο αν αρκετοί γονείς και μαθητές επισκέπτονται τους δύο ιστοτόπους που αναφέρει το Υπουργείο. Για παράδειγμα, το περιεχόμενο των ενημερωτικών ιστοσελίδων θα μπορούσε να εμπλουτιστεί με τα στοιχεία που απουσιάζουν, να σχεδιαστεί ώστε να απευθύνεται σε διάφορες ηλικιακές ομάδες, να περιλαμβάνει αναλυτικότερη ενημέρωση, κατάλληλη πληροφόρηση στην αρχική σελίδα σύνδεσης των μαθητών για την εφαρμογή webex meetings, δράσεις ενημερωτικού χαρακτήρα εντός σχολείου, δημιουργία αναλυτικής παρουσίασης σε μορφή κατάλληλη για παιδιά αλλά και σε γονείς κι εκπαιδευτικούς.
25. Το ΥΠΑΙΘ με τα υπομνήματά του, τις ενέργειές του και την επικαιροποιημένη ΕΑΠΔ επιχειρεί να αντιμετωπίσει μια σειρά από κινδύνους που ενέχει η επεξεργασία των δεδομένων προσωπικού χαρακτήρα. Η Αρχή, μετά την αρχική μελέτη των στοιχείων αυτών, έθεσε συγκεκριμένα ερωτήματα προς το Υπουργείο, ώστε να διερευνήσει αν συγκεκριμένοι κίνδυνοι έχουν αντιμετωπιστεί επαρκώς, ώστε να ελαχιστοποιηθεί η πιθανότητα επέλευσής τους. Όπως προκύπτει από το φάκελο της υπόθεσης, ο έλεγχος ταυτοπροσωπίας είναι ένα βασικό μέτρο ασφάλειας για τον περιορισμό της πρόσβασης τρίτων στις «ψηφιακές τάξεις». Το ΥΠΑΙΘ, αν και αποδέχεται τη χρησιμότητα του, δεν 33 προκύπτει ότι έχει παράσχει κατάλληλες οδηγίες και εκπαίδευση προς το προσωπικό του (τους εκπαιδευτικούς), ώστε να ο έλεγχος να εφαρμόζεται σε κάθε περίπτωση. Το Υπουργείο αναφέρει συγκεκριμένες δράσεις (ομάδα υποστήριξης, εκπαίδευση) οι οποίες είναι ορθές, αλλά δεν εξασφαλίζουν ότι έχει ενημερωθεί κατάλληλα το σύνολο (ή η συντριπτική πλειονότητα) των εκπαιδευτικών για τις ευθύνες τους. Είναι μεν εύλογο το επιχείρημα ότι η πλειονότητα των εκπαιδευτικών προχωρούσαν σε κάποιας μορφή έλεγχο ταυτοπροσωπίας, αλλά αυτό, αν και υποδεικνύει ότι οι επιπτώσεις από τη μη εφαρμογή κατάλληλου μέτρου είναι μικρές, δεν αναιρεί την υποχρέωση του υπευθύνου επεξεργασίας να παρέχει στο προσωπικό του κατάλληλες οδηγίες. Επίσης, το ΥΠΑΙΘ ήδη περιγράφει τη χρήση προσωπικών συσκευών (μαθητών ή εκπαιδευτικών) ως μια «κύρια απειλή» και αποδέχεται ότι ο εν λόγω κίνδυνος είναι υπαρκτός. Όπως και παραπάνω, τα μέτρα μείωσης του κινδύνου, τα οποία εξ αιτίας της φύσης της δραστηριότητας, πρέπει να περιλαμβάνουν κυρίως οργανωτικά μέτρα και δράσεις ενημέρωσης και ευαισθητοποίησης (όπως ορθά επισημαίνει στη γνωμοδότησή του ο καθηγητής κ. Α). Το ΥΠΑΙΘ ως υπεύθυνος επεξεργασίας δεν παρείχε στοιχεία από τα οποία να προκύπτει ότι έχουν υλοποιηθεί με συστηματικό τρόπο, κατάλληλα προσαρμοσμένο για τις ομάδες εκπαιδευτικών και μαθητών, τέτοιες δράσεις. Από την απάντηση του ΥΠΑΙΘ στο 1ο ερώτημα της Αρχής προκύπτει αστοχία του υπευθύνου επεξεργασίας για τα ζητήματα ενημέρωσης και ευαισθητοποίησης. Συγκεκριμένα: α) Δεν παρασχέθηκαν συγκεκριμένα στοιχεία από τα οποία προκύπτει ότι έχει συμβεί «προσδιορισμός ειδικών μέτρων και τεχνικών (συμπεριλαμβανομένων των εκπαιδευτικών μεθόδων) για την ελαχιστοποίηση των επιπτώσεων στα δικαιώματα των υποκειμένων των δεδομένων». Στην πλατφόρμα https://t4e.sch.gr/ έχει αναρτηθεί το πρόγραμμα της δράσης «Ταχύρρυθμη επιμόρφωση εκπαιδευτικών στην εφαρμογή της εξ αποστάσεως εκπαίδευσης (ολιστική προσέγγιση)» στην οποία δεν φαίνεται να περιέχονται ζητήματα σχετικά με την επεξεργασία 34 δεδομένων προσωπικού χαρακτήρα ή με τα παραπάνω ειδικά μέτρα. Περαιτέρω, τέτοια αναφορά δεν υπάρχει και στη σχετική πρόσκληση 10 ΕΣΠΑ. β) Διαπιστώθηκε ιδιαίτερα καθυστερημένη εφαρμογή της ταχύρρυθμης εκπαίδευσης, η οποία ξεκίνησε μετά τον Ιανουάριο του 2021, όπως προκύπτει από την πλατφόρμα. γ) Εθελοντική εφαρμογή της εκπαίδευσης. Από τα στατιστικά στοιχεία της ανωτέρω πλατφόρμας11 προκύπτει ότι κάτω των 85.000 εκπαιδευτικοί Α’βάθμιας και Β’βάθμιας εκπαίδευσης συμμετείχαν στα προγράμματα, συνεπώς το πρόγραμμα δεν κάλυψε το σύνολο των εκπαιδευτικών των δύο αυτών βαθμίδων
26. Επισημαίνεται όμως, ότι η διενέργεια της εν λόγω δραστηριότητας κρίνεται ως ιδιαίτερα θετική, καθώς διασφαλίζει, σε ικανοποιητικό βαθμό, την εξοικείωση των συμμετεχόντων εκπαιδευτικών με τις διαδικασίες εξ αποστάσεως εκπαίδευσης και την παροχή προσαρμοσμένης ανά βαθμίδα εκπαίδευσης. Περαιτέρω όμως, προς τον ίδιο σκοπό και σε σχέση με τις δράσεις ενημέρωσης κι ευαισθητοποίησης που αφορούν όχι μόνο εκπαιδευτικούς, αλλά και μαθητές, το Υπουργείο είχε τη δυνατότητα να οργανώσει δράσεις ενημερωτικού χαρακτήρα, ενδεχομένως και εντός του ωρολογίου προγράμματος, να εμπλουτίσει το ωρολόγιο πρόγραμμα των μαθητών με δραστηριότητες που αποσκοπούν στην καλύτερη (πιο ασφαλή, με σεβασμό στα προσωπικά δεδομένα τρίτων, με δράσεις κατανόησης των κινδύνων κλπ) χρήση των νέων εργαλείων. Τέτοιες δράσεις θα οδηγούσαν όχι μόνο σε αυξημένη διαφάνεια, αλλά και σε μείωση των κινδύνων από τη μη νόμιμη χρήση δεδομένων προσωπικού χαρακτήρα, των οποίων οι μαθητές (αλλά ακόμα και τρίτοι παριστάμενοι) ενδέχεται να λάβουν γνώση στο πλαίσιο λειτουργίας μιας εξ αποστάσεως ψηφιακής τάξης. Συνεπώς, προκύπτει ότι το ΥΠΑΙΘ ως υπεύθυνος επεξεργασίας, για τους παραπάνω λόγους, δεν εφαρμόζει κατά τη στιγμή της επεξεργασίας κατάλληλα τεχνικά και οργανωτικά μέτρα για την εφαρμογή αρχών προστασίας των δεδομένων και την ενσωμάτωση των απαραίτητων εγγυήσεων. Τα εφαρμοζόμενα μέτρα βρίσκονται 10 https://www.espa.gr/el/Pages/ProclamationsFS.aspx?item=4901 Κατά το χρόνο διάσκεψης 12 Βλ. https://www.alfavita.gr/ekpaideysi/335358_ekpaideytikoi-analytika-stoiheia-gia-synolo-tonypiretoynton-stin-protobathmia από όπου προκύπτει ότι ο αριθμός των εκπαιδευτικών μόνο της Α’βάθμιας είναι πλέον των 88.
27. 11 35 όμως προς τη σωστή κατεύθυνση και πρέπει να συμπληρωθούν, με τρόπο που να είναι διαθέσιμος σε κάθε εκπαιδευτικό, ενώ πρέπει να εξασφαλιστεί ότι το σύνολο των εκπαιδευτικών που εμπλέκονται στη διαδικασία εξ αποστάσεως εκπαίδευσης έχουν λάβει ελάχιστη ενημέρωση ώστε να εξασφαλίζεται η μείωση των κινδύνων.
28. Σε σχέση με την προβλεπόμενη στο άρθρο 35 παρ. 9 του ΓΚΠΔ εμπλοκή των υποκειμένων των δεδομένων, το ΕΣΠΔ θεωρεί ότι οι εν λόγω γνώμες θα μπορούσαν να ζητηθούν με διάφορα μέσα, ανάλογα με το πλαίσιο (π.χ. με γενική μελέτη που σχετίζεται με τον σκοπό και τα μέσα της πράξης επεξεργασίας, με ερώτημα προς τους εκπροσώπους των εργαζομένων ή με συνήθεις έρευνες που αποστέλλονται στους μελλοντικούς πελάτες του υπεύθυνου επεξεργασίας) διασφαλίζοντας ότι ο υπεύθυνος επεξεργασίας έχει νόμιμη βάση επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που διακυβεύονται όταν ζητούνται οι εν λόγω γνώμες. Πρέπει να σημειωθεί ότι η συναίνεση στην επεξεργασία προφανώς δεν αποτελεί μέσο αναζήτησης της γνώμης των υποκειμένων των δεδομένων. Το ΥΠΑΙΘ υποστηρίζει ότι η γνώμη διατυπώθηκε κατά την εφαρμογή θεσμοθετημένων διαδικασιών κι ότι αποφασίστηκε η διενέργεια έρευνας σε συνεργασία με το ΙΕΠ, η οποία βρίσκεται σε εξέλιξη. Στην ανωτέρω διάταξη του ΓΚΠΔ γίνεται αναφορά σε «…γνώμη των υποκειμένων των δεδομένων ή των εκπροσώπων τους για τη σχεδιαζόμενη επεξεργασία…». Συνεπώς η έκφραση γνώμης έχει, πρωτίστως, νόημα στα αρχικά στάδια της ΕΑΠΔ και αφού έχουν γίνει γνωστά στα επηρεαζόμενα πρόσωπα τα βασικά χαρακτηριστικά της επεξεργασίας, οι πιθανοί κίνδυνοι, οι σχετικές συνέπειες και τα αντίστοιχα μέτρα μείωσης. Ο ΓΚΠΔ δεν ορίζει τη διαδικασία λήψης γνώμης, αλλά αφήνει ευχέρεια στον υπεύθυνο επεξεργασίας να την οργανώσει όπως θεωρεί αποδοτικότερα. Στη συγκεκριμένη όμως περίπτωση, οι τυπικές συναντήσεις δεν μπορεί να θεωρηθούν ως τμήμα της διαδικασίας έκφρασης γνώμης των υποκειμένων. Και τούτο καθώς στις συναντήσεις δεν είχαν γίνει γνωστά τα χαρακτηριστικά της επεξεργασίας και οι προσδιορισμένοι κίνδυνοι για ικανό χρονικό διάστημα, ούτε αποδείχθηκε ότι ακολούθησε συζήτηση, παρουσίαση ή επεξήγηση των κινδύνων κατά τις συναντήσεις. Περαιτέρω, κατά τη διαδικασία αναθεώρησης της ΕΑΠΔ δεν υλοποιήθηκε καμία σχετική διαδικασία. Η αναφορά σε έρευνα σε συνεργασία με το ΙΕΠ, βασίζεται σε απόφαση του ΔΣ του ΙΕΠ κατά τη συνεδρίαση του στις 18/03/2021 (πλέον των τριών μηνών από την 36 ολοκλήρωση της ΕΑΠΔ) για την έγκριση έρευνας με τίτλο «Διερεύνηση των επιπτώσεων της απομάκρυνσης από τη δια ζώσης διδασκαλία και της εφαρμογής της εξ αποστάσεως εκπαίδευσης, σε μαθητές/ μαθήτριες και εκπαιδευτικούς, πρωτοβάθμιας και δευτεροβάθμιας εκπαίδευσης, εξαιτίας της πανδημίας COVID19». Ο σκοπός της έρευνας, αλλά και το αντικείμενό της δεν προκύπτει ότι αφορά ζητήματα αντιμετώπισης κινδύνων που σχετίζονται με την επεξεργασία δεδομένων προσωπικού χαρακτήρα, ενώ, ακόμα και αν γινόταν δεκτό ότι η έρευνα, έστω και παρεμπιπτόντως, έχει περιλάβει τα ζητήματα της ΕΑΠΔ, η ημερομηνία συνεδρίασης αποδεικνύει ότι δεν ικανοποιεί την απαίτηση για προσδιορισμό των κινδύνων στα αρχικά στάδια, ούτε υπάρχουν στοιχεία που συνδέουν την ΕΑΠΔ με τη διενέργεια της έρευνας. Όπως είχε ήδη επισημάνει η Αρχή με τη γνωμοδότηση 4/202013, η εμπλοκή των υποκειμένων των δεδομένων, τα οποία επηρεάζονται άμεσα ή έμμεσα είναι απαραίτητη, έχει ως αποτέλεσμα αυξημένη διαφάνεια και εν τέλει, μπορεί να οδηγήσει σε αυξημένη εμπιστοσύνη των υποκειμένων των δεδομένων στις πράξεις επεξεργασίας. Καθώς διαπιστώνεται ότι δεν έγιναν ενέργειες προς την κατεύθυνση αυτή14, προκύπτει ότι ο υπεύθυνος επεξεργασίας παραβίασε την υποχρέωση του άρθρου 35 παρ. 9 του ΓΚΠΔ.
29. Στο άρθρο 46 του ΓΚΠΔ ορίζεται ότι «
30. Ελλείψει απόφασης δυνάμει του άρθρου 45 παράγραφος 3, ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία μπορεί να διαβιβάσει δεδομένα προσωπικού χαρακτήρα σε τρίτη χώρα ή διεθνή οργανισμό μόνο εάν ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία έχει παράσχει κατάλληλες εγγυήσεις και υπό την προϋπόθεση ότι υφίστανται εκτελεστά δικαιώματα και αποτελεσματικά ένδικα μέσα για τα υποκείμενα των δεδομένων.
31. Οι κατάλληλες εγγυήσεις που αναφέρονται στην παράγραφο 1 μπορούν να προβλέπονται, χωρίς να απαιτείται ειδική άδεια εποπτικής αρχής, μέσω: (…) β) δεσμευτικών εταιρικών κανόνων σύμφωνα με το άρθρο 47, γ) τυποποιημένων ρητρών προστασίας δεδομένων που εκδίδονται από την Επιτροπή σύμφωνα με τη διαδικασία εξέτασης που προβλέπεται στο άρθρο 93 παράγραφος 2, (…)». 13 14 Βλ. ενότητα 2.2 τμήμα Β της γνωμοδότησης 4/2020 (σελ. 18-20) Αντίθετα, προκύπτει ότι υπήρξε εμπλοκή εμπείρων φορέων και εμπειρογνωμόνων 37 Στην πρόσφατη απόφασή του C-311/18 (Schrems II), το ΔΕΕ επεσήμανε ότι η παραπάνω διάταξη πρέπει να ερμηνευθεί σε συνδυασμό με το άρθρο 44 του ΓΚΠΔ, το οποίο αποσκοπεί να διασφαλίσει ότι το επίπεδο προστασίας των προσωπικών δεδομένων που εγγυάται ο ΓΚΠΔ, δεν υπονομεύεται, ανεξάρτητα από τη χώρα στην οποία αυτά διαβιβάζονται και ανεξάρτητα από τη διάταξη με βάση την οποία πραγματοποιείται η διαβίβαση
32. Το Δικαστήριο διευκρίνισε ότι το επίπεδο προστασίας σε τρίτες χώρες δεν χρειάζεται να είναι πανομοιότυπο με αυτό εντός του ΕΟΧ αλλά ουσιαστικά ισοδύναμο
33. Οι τυποποιημένες συμβατικές ρήτρες, ως εργαλείο διαβίβασης, έχουν σκοπό να παρέχουν στους εγκατεστημένους εντός ΕΕ εξαγωγείς δεδομένων συμβατικές εγγυήσεις που εφαρμόζονται ομοιόμορφα σε όλες τις τρίτες χώρες
34. Ωστόσο, όπως τόνισε το Δικαστήριο18, λόγω του εγγενούς συμβατικού τους χαρακτήρα, οι τυποποιημένες συμβατικές ρήτρες δεσμεύουν τα συμβαλλόμενα μέρη και όχι τις αρχές της τρίτης χώρας και, ως εκ τούτου, ενδέχεται να απαιτείται η λήψη συμπληρωματικών μέτρων, προκειμένου να εξασφαλίζεται η τήρηση του απαιτούμενου από δίκαιο της ΕΕ επιπέδου προστασίας. Το Δικαστήριο αναφέρει περαιτέρω19 ότι οι εξαγωγείς δεδομένων (υπεύθυνοι ή εκτελούντες την επεξεργασία), είναι υπεύθυνοι να ελέγχουν, κατά περίπτωση και, όπου απαιτείται, σε συνεργασία με τον εισαγωγέα στην τρίτη χώρα, εάν η νομοθεσία της τρίτης χώρας επηρεάζει την αποτελεσματικότητα των κατάλληλων διασφαλίσεων που παρέχονται από τα εργαλεία διαβίβασης του άρθρου 46 ΓΚΠΔ. Στις περιπτώσεις κατά τις οποίες η νομοθεσία της τρίτης χώρας δεν εξασφαλίζει την απαιτούμενη από το δίκαιο της ΕΕ προστασία των διαβιβαζόμενων προσωπικών δεδομένων, το Δικαστήριο αφήνει ανοικτή τη δυνατότητα στους εξαγωγείς δεδομένων να εφαρμόσουν συμπληρωματικά μέτρα τα οποία εξασφαλίζουν το επίπεδο προστασίας που απαιτείται από το δίκαιο της ΕΕ. Οι εξαγωγείς θα πρέπει να προσδιορίζουν τα μέτρα αυτά κατά περίπτωση. Αυτό συνάδει με την αρχή της λογοδοσίας του άρθρου 5 παρ. 2 του ΓΚΠΔ
35. 15 Βλ. Απόφαση C-311/18 (Schrems II), Σκ. 92, 93 Ο.π. σκ.
36. 17 Ο.π., σκ. 133 18 Ο.π., σκ. 133,
37. 19 Ο.π., σκ. 134, 135 20 Βλ. Συστάσεις 1/2020 για τα Συμπληρωματικά Μέτρα, σελ.
38. 16 38 Εξετάζοντας τις δραστηριότητες επεξεργασίας στη συγκεκριμένη περίπτωση και σε σχέση με το ζήτημα της διαβίβασης δεδομένων εκτός ΕΟΧ, από τα Privacy Data Sheets της Cisco για το Webex Meetings (ενότητα 3, έκδοση 4.6 – Απρ 2021) προκύπτει ότι οι «πληροφορίες που δημιουργούνται από τον χρήστη» τηρούνται μόνο στην Ευρώπη. Όμως, οι πληροφορίες κατηγοριών Α και Β (δεδομένα πληροφοριών χρήστη συμπεριλαμβανομένων των δεδομένων χρέωσης και δεδομένα υπολογιστών και χρήσης) τηρούνται στις ΗΠΑ. Το Υπουργείο αναφέρει ότι η Cisco χρησιμοποιεί διάφορους μηχανισμούς για να εξασφαλίσει τις διαβιβάσεις δεδομένων σε χώρες εκτός Ε.Ε. και παραπέμπει ειδικά σε δεσμευτικούς εταιρικούς κανόνες (οι οποίοι, όπως προκύπτει από την έρευνα της Αρχής, έχουν εγκριθεί μεν από την Ολλανδική εποπτική αρχή, αλλά δεν αφορούν τις υπό εξέταση δραστηριότητες επεξεργασίας δεδομένων ούτε μπορεί να εφαρμοστούν για το ΥΠΑΙΘ, αλλά μόνο για διαβιβάσεις δεδομένων μεταξύ εταιρειών που ανήκουν στον όμιλο της Cisco) και τυποποιημένες ρήτρες προστασίας δεδομένων που έχουν εκδοθεί από την Ε. Επιτροπή. Εν προκειμένω, αν και το ΥΠΑΙΘ δεν το επισημαίνει στο υπόμνημά του, εφαρμοστέες μπορεί να είναι μόνο οι τυποποιημένες συμβατικές ρήτρες οι οποίες περιλαμβάνονται στο εκάστοτε «MASTER DATA PROTECTION AGREEMENT» που αποτελεί αναπόσπαστο τμήμα των συμβάσεων δωρεάν παραχώρησης της πλατφόρμας Webex. Με βάση τις ρήτρες αυτές, προκύπτει ότι πραγματοποιείται διαβίβαση δεδομένων από το ΥΠΑΙΘ ως υπεύθυνο επεξεργασίας, προς την εδρεύουσα στις ΗΠΑ Cisco. Οι δραστηριότητες επεξεργασίας εξειδικεύονται στο παράρτημα των ρητρών στους εξής επιμέρους σκοπούς: εγγραφή του πελάτη στην υπηρεσία, εμφάνιση της εικόνας avatar ενός χρήστη σε άλλους χρήστες, παροχή υποστήριξης, κατανόηση του τρόπου λειτουργίας, διάγνωση τεχνικών θεμάτων, βελτίωση της υπηρεσίας με ανάλυση συγκεντρωτικών στοιχείων, απάντηση σε αιτήματα πελάτη, παροχή προαιρετικών συστατικών της υπηρεσίας, επίβλεψη ποιότητας της υπηρεσίας, ανάλυση της υπηρεσίας. Είναι σαφές ότι η εταιρεία Cisco (εν προκειμένω ο όμιλος και οι εταιρείες του) υπόκειται στο δίκαιο των ΗΠΑ, συνεπώς, κατ’ αρχήν, δεν εξασφαλίζεται επαρκές επίπεδο προστασίας προσωπικών δεδομένων. Επομένως, κάθε διαβίβαση πρέπει να εξετάζεται ξεχωριστά ως προς τη νομιμότητά της. Στις συστάσεις του ΕΣΠΔ για τα 39 πρόσθετα μέτρα για τις διεθνείς διαβιβάσεις για την εξασφάλιση της συμμόρφωσης με το επίπεδο προστασίας δεδομένων της Ε.Ε.21, στην παρ. 43.3 αναφέρεται ότι η αξιολόγηση του υπεύθυνου επεξεργασίας μπορεί να αποκαλύψει ότι η σχετική νομοθεσία στην τρίτη χώρα είναι προβληματική 22 και ότι τα διαβιβαζόμενα δεδομένα και/ή ο εισαγωγέας των δεδομένων εμπίπτει ή μπορεί να εμπίπτει στο πεδίο εφαρμογής της νομοθεσίας αυτής. Εν όψει της αβεβαιότητας σε σχέση με την πιθανή εφαρμογή της προβληματικής νομοθεσίας, ο εξαγωγέας μπορεί τότε να αποφασίσει: Να αναστείλει τη διαβίβαση ή να υλοποιήσει συμπληρωματικά μέτρα για να αποτρέψει τον κίνδυνο της πιθανούς εφαρμογής στον εισαγωγέα των δεδομένων ή στα διαβιβαζόμενα δεδομένα νομοθεσίας ή πρακτικών στη χώρα του εισαγωγέα, που δύναται να επηρεάσουν τις συμβατικές εγγυήσεις του εργαλείου διαβίβασης με τις οποίες επιχειρείται να εξασφαλιστεί ισοδύναμο επίπεδο προστασίας με αυτό του ΕΟΧ. Εναλλακτικά, ο εξαγωγέας μπορεί να αποφασίσει να προχωρήσει στην διαβίβαση χωρίς να υλοποιήσει συμπληρωματικά μέτρα, αν θεωρεί ότι δεν υπάρχει λόγος για να πιστεύει ότι η προβληματική νομοθεσία θα εφαρμοστεί στην πράξη στα διαβιβαζόμενα δεδομένα ή τον εισαγωγέα. Ο εξαγωγέας απαιτείται να είναι σε θέση να αποδείξει και να τεκμηριώσει μέσω της αξιολόγησής του, όπου ενδείκνυται σε συνεργασία με τον εισαγωγέα, ότι ο προβληματικός νόμος της τρίτης χώρας δεν ερμηνεύεται και/ή δεν εφαρμόζεται στην πράξη με τρόπο που να καταλαμβάνει τα διαβιβαζόμενα δεδομένα και τον εισαγωγέα, λαμβάνοντας επίσης υπόψη την εμπειρία άλλων φορέων που δραστηριοποιούνται στον ίδιο τομέα και/ή σχετίζονται με παρόμοια διαβιβαζόμενα προσωπικά δεδομένα και τις πρόσθετες πηγές πληροφοριών που περιγράφονται στις σκέψεις 45 – 47 του κειμένου των συστάσεων του ΕΣΠΔ. 21 Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data – έκδοση 2.0 – 18/6/2021 22 Με βάση τις κατευθυντήριες γραμμές του ΕΣΠΔ, προβληματική νομοθεσία είναι αυτή που 1) επιβάλλει στον αποδέκτη των προσωπικών δεδομένων υποχρεώσεις ή/και επηρεάζει τα δεδομένα που διαβιβάζονται, με τέτοιο τρόπο ώστε να μπορεί να επηρεάσει τις συμβατικές εγγυήσεις των εργαλείων διαβίβασης οι οποίες εξασφαλίζουν ουσιαστικά ισοδύναμο επίπεδο προστασίας και 2) δεν σέβεται την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών που αναγνωρίζονται από τον Χάρτη των Θεμελιωδών Δικαιωμάτων της ΕΕ ή υπερβαίνει αυτό που είναι απαραίτητο και ανάλογο σε μια δημοκρατική κοινωνία για τη διασφάλιση ενός από τους σημαντικούς στόχους που αναγνωρίζονται επίσης στο δίκαιο της Ένωσης ή των Κρατών Μελών, όπως αυτοί που αναφέρονται στο άρθρο 23 παρ. 1 του ΓΚΠΔ. 40 Στην συγκεκριμένη περίπτωση απουσιάζει τέτοια εμπεριστατωμένη μελέτη. Η αναφορά ότι η «CISCO HELLAS A.E.» ανέλαβε συμβατικά τη δέσμευση να μη διαβιβάζει εκτός EE/EOX τα προσωπικά δεδομένα που επεξεργάζεται για λογαριασμό του Υπουργείου χωρίς να έχει προηγουμένως ενημερώσει, απλά επαναλαμβάνει την υποχρέωση του νόμου, χωρίς να παρέχει τεκμήρια για τη μη εφαρμογή της νομοθεσίας των ΗΠΑ
39. Γίνεται αναφορά σε αξιολόγηση από τον Όμιλο CISCO (που βασίζεται ιδίως σε τυποποιημένες συμβατικές ρήτρες και δεσμευτικούς εταιρικούς κανόνες διαβιβάσεις με τις οποίες εξασφαλίζεται η εφαρμογή των δικαιωμάτων των υποκειμένων και κατά την οποία ελήφθησαν υπ' όψη, τα μέτρα προστασίας και η διαβεβαίωση πως μέχρι σήμερα ουδέποτε έχει υποβληθεί στις εδρεύουσες στις ΗΠΑ εταιρείες του Ομίλου αίτημα για παροχή/αποκάλυψη δεδομένων) η οποία όμως δεν έχει παρασχεθεί, ενώ είναι σαφές ότι οι δεσμευτικοί εταιρικοί κανόνες δεν είναι εφαρμοστέοι στην υπό εξέταση περίπτωση. Η αναφορά σε διαβεβαίωση πως μέχρι σήμερα ουδέποτε έχει υποβληθεί στις εδρεύουσες στις ΗΠΑ εταιρείες του Ομίλου αίτημα για παροχή/αποκάλυψη δεδομένων δεν επαρκεί24, ενώ δεν είναι τεκμηριωμένη σε πληροφορίες που είναι διαθέσιμες, δημόσια ή με άλλο επαληθεύσιμο τρόπο. Επομένως, το Υπουργείο οφείλει να αποδείξει και τεκμηριώσει με μια λεπτομερή έκθεση ότι η προβληματική νομοθεσία δεν θα εφαρμοστεί στην πράξη στα διαβιβαζόμενα δεδομένα ή/και στον εισαγωγέα και, κατά συνέπεια, ότι η νομοθεσία αυτή δεν θα εμποδίσει τον εισαγωγέα να εκπληρώσει τις υποχρεώσεις του οι οποίες απορρέουν από το άρθρο 46 του ΓΚΠΔ. Περαιτέρω, κατά τη μελέτη αυτή το Υπουργείο οφείλει να εξετάσει και τον τρόπο με τον οποίο διασφαλίζονται οι διαβιβάσεις δεδομένων εκτός ΕΟΧ μετά την έκδοση της Εκτελεστικής Απόφασης (ΕΕ) 2021/914 της Επιτροπής της 4ης Ιουνίου 2021 «σχετικά με τις τυποποιημένες συμβατικές ρήτρες για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τρίτες χώρες σύμφωνα με τον κανονισμό (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου». Επισημαίνεται ότι με βάση το άρθρο 4 της εν λόγω απόφασης, οι αποφάσεις 2001/497/ΕΚ και 2010/87/ΕΕ καταργούνται από τις 23 Το ΔΕΕ στην απόφαση Schrems II έχει ήδη εκφράσει προβληματισμό για το άρθρο 702 του Foreign Intelligence Surveillance Act (FISA) και το εκτελεστικό διάταγμα 12333, βλ. σκ. 184, 192, 195 επ. 24 Βλ. Συστάσεις 1/2020 για τα Συμπληρωματικά Μέτρα, σελ. 19, παρ.
40. 41 27 Σεπτεμβρίου 2021 και οι συμβάσεις που έχουν συναφθεί πριν από τις 27 Σεπτεμβρίου 2021 με βάση τις αποφάσεις αυτές θεωρείται ότι παρέχουν κατάλληλες εγγυήσεις έως τις 27 Δεκεμβρίου 2022, υπό την προϋπόθεση ότι οι πράξεις επεξεργασίας που αποτελούν αντικείμενο της σύμβασης παραμένουν αμετάβλητες και ότι η επίκληση των ρητρών αυτών διασφαλίζει ότι η διαβίβαση δεδομένων προσωπικού χαρακτήρα υπόκειται σε κατάλληλες εγγυήσεις.
41. Το ζήτημα της της ανεξαρτησίας και της επάρκειας πόρων της ΥΠΔ του Υπουργείου δεν αφορά μόνο τη συγκεκριμένη υπόθεση. Για να κρίνει η Αρχή για το κατά πόσο υπάρχει θέμα ανεξαρτησίας απαιτείται ειδικότερος έλεγχος, ο οποίος δε σχετίζεται με τη νομιμότητα της επεξεργασίας κατά την εξ αποστάσεως εκπαίδευση. Όσον αφορά στους πόρους του ΥΠΔ, κατ΄ αρχήν πρέπει να γίνει δεκτό ότι ένα άτομο ως ΥΠΔ δεν επαρκεί για το ΥΠΑΙΘ. Αυτό ήδη έχει γίνει δεκτό από το Υπουργείο, το οποίο από το Σεπτέμβριο του 2020 έχει προδιαγράψει νέο μοντέλο λειτουργίας του ΥΠΔ, μέσω συνδέσμων στις περιφερειακές διευθύνσεις εκπαίδευσης. Το μοντέλο αυτό φαίνεται να είναι αποδοτικότερο και αν και δεν εξετάζεται με την παρούσα, σκόπιμο είναι να επισπευσθούν οι ενέργειες για την ενδυνάμωση του ρόλου του ΥΠΔ. Συνεπώς, καθώς στη συγκεκριμένη υπόθεση εξετάζονται πρωτίστως τα ζητήματα επεξεργασίας δεδομένων προσωπικού χαρακτήρα κατά τη σύγχρονη εξ αποστάσεως εκπαίδευσης, η εξέταση των ζητημάτων ανεξαρτησίας και επάρκειας πόρων του ΥΠΔ πρέπει να διαχωριστεί. Και τούτο καθώς απαιτείται ειδικότερος έλεγχος που να λαμβάνει υπόψη την οργανωτική δομή του Υπουργείου, τον αριθμό υπαλλήλων και υποκειμένων των δεδομένων, τις υπηρεσίες και ηλεκτρονικές εφαρμογές που προσφέρει σε φυσικά πρόσωπα, τους πόρους που παρέχει στον ΥΠΔ για την επίβλεψη των δραστηριοτήτων του, τον τρόπο, με τον οποίο ασκούνται στην πράξη οι αρμοδιότητες του ΥΠΔ. Όσον αφορά τη δήλωση του ΥΠΔ στην Αρχή, έγινε καθυστερημένα (με το με αριθμ. πρωτ. Γ/ΕΙΣ/1821/14-03-2021 έγγραφο), η καθυστέρηση, όμως, αυτή συνιστά τυπική μόνο παράλειψη, καθώς είναι σαφές από τα στοιχεία της υπόθεσης ότι η συγκεκριμένη ΥΠΔ είχε ορισθεί από το Μάιο του 2020, προς αντικατάσταση της αρχικώς ορισθείσας ΥΠΔ, ενώ έχουν υπάρξει επικοινωνίες της ΥΠΔ με την Αρχή για διαφορετικές υποθέσεις (ενδεικτικά, ως σημείο επικοινωνίας στο πλαίσιο γνωστοποιήσεων παραβίασης δεδομένων). Όπως, όμως, έχει ήδη επισημανθεί παραπάνω στη σκέψη 17 κατά την εξέταση των 42 απαιτήσεων για την ικανοποίηση της αρχής της διαφάνειας, στην ιστοσελίδα του Υπουργείου υπάρχει ουσιώδης παράλειψη που συνίσταται στην έλλειψη ειδικής ενημέρωσης σε σχέση με τα προσωπικά δεδομένα (πολιτική) και αναφοράς στα στοιχεία επικοινωνίας του ΥΠΔ. Τέτοιες αναφορές υπάρχουν σε σχέση με ειδικότερες εφαρμογές ή ιστοσελίδες του Υπουργείου25, οι οποίες όμως δεν καλύπτουν την υποχρέωση που απορρέει από το άρθρο 37 παρ. 7 του ΓΚΠΔ.
42. Εν όψει των παραπάνω σκέψεων, η Αρχή κρίνει τα εξής: α) σε σχέση με τα ζητήματα νομιμότητας της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, όπως ιδίως εκτίθενται στις σκέψεις 11 έως και 16 της παρούσης, διαπιστώνεται ότι το Υπουργείο έχει παραβιάσει τις διατάξεις του άρθρου 6 του ΓΚΠΔ, σε συνδυασμό με το άρθρο 4 παρ. 5 του ν. 3471/2006, όπως ισχύει. Συγκεκριμένα, σε σχέση με τους αναφερόμενους στις εν λόγω σκέψεις σκοπούς 3, 4 και 5, διαπιστώνει πρόσβαση σε πληροφορίες που είναι αποθηκευμένες στον τερματικό εξοπλισμό ενός χρήστη κατά παράβαση του άρθρου 4 παρ. 5 του ν. 3471/2006, και ότι δεν έχει διενεργηθεί αναλυτική διερεύνηση της νομιμότητας των εν λόγω σκοπών, ώστε να μπορεί να τεκμηριωθεί η νομιμότητά του με βάση το άρθρο 6 του ΓΚΠΔ. Ως προς την εν λόγω παράβαση, η Αρχή κρίνει ότι, σε αυτό το στάδιο, το αποτελεσματικό, αναλογικό και αποτρεπτικό μέτρο για την αντιμετώπιση της εν λόγω παράβασης είναι, με βάση το άρθρο 58 παρ. 2 β’ ΓΚΠΔ, να απευθύνει επίπληξη προς το ΥΠΑΙΘ και παράλληλα να του δώσει εντολή, με βάση το άρθρο 58 παρ. 2 δ’ ΓΚΠΔ, να καταστήσει τις πράξεις επεξεργασίας σύμφωνες με τις διατάξεις του ΓΚΠΔ, αντιμετωπίζοντας τις παραβάσεις που αναλύονται στις σκέψεις 11 έως και 16 της παρούσας εντός προθεσμίας δύο μηνών από την επίδοση της απόφασης. Μετά το διάστημα αυτό, το ΥΠΑΙΘ οφείλει να έχει εξασφαλίσει ότι λαμβάνει συγκατάθεση για την πρόσβαση σε πληροφορίες που είναι αποθηκευμένες στον τερματικό εξοπλισμό ενός χρήστη, όταν αυτό δεν είναι απαραίτητο για την παροχή της υπηρεσίας που ζήτησε ο χρήστης, και να έχει τεκμηριώσει αναλυτικά τη νομιμότητα των σκοπών επεξεργασίας με αριθμό 3 έως
43. 25 Ενδεικτικά, βλ. https://smsresults.minedu.gov.gr/panelladikes_sms_2021_proswpika_dedomena.pdf, https://edutv.minedu.gov.gr/index.php/profil-menu/videos/pnevmatika-prosopika, https://www.minedu.gov.gr/publications/docs2019/5.Επεξεργασία_Δεδομένων_Προσωπικού_Χαρακ τήρα.pdf, 43 β) σε σχέση με τα ζητήματα διαφάνειας, όπως αναλύονται στη σκέψη 17 της παρούσας και όσον αφορά την ανακοίνωση στοιχείων ΥΠΔ, στη σκέψη 21 της παρούσας, διαπιστώνεται ότι το Υπουργείο έχει παραβιάσει τις διατάξεις του άρθρου 13, σε συνδυασμό με το άρθρο 5 παρ. 1 α του ΓΚΠΔ, το άρθρο 12 και το άρθρο 37 παρ. 7 ΓΚΠΔ. Συγκεκριμένα, διαπιστώνεται ότι οι παρεχόμενες πληροφορίες είναι λιγότερες από όσες επιβάλλει ο ΓΚΠΔ, ότι οι πληροφορίες δεν είναι σε κατανοητή και εύκολα προσβάσιμη μορφή και δεν χρησιμοποιείται σαφής και απλή διατύπωση, λαμβάνοντας ιδίως υπόψη και ότι πρόκειται για πληροφορία που απευθύνεται και σε παιδιά. Ως προς την εν λόγω παράβαση, η Αρχή κρίνει ότι σε αυτό το στάδιο, το αποτελεσματικό, αναλογικό και αποτρεπτικό μέτρο για την αντιμετώπιση της εν λόγω παράβασης είναι, με βάση το άρθρο 58 παρ. 2 β’ ΓΚΠΔ, να απευθύνει επίπληξη προς το ΥΠΑΙΘ και παράλληλα να του δώσει εντολή, με βάση το άρθρο 58 παρ. 2 δ’ ΓΚΠΔ, να καταστήσει τις πράξεις επεξεργασίας σύμφωνες με τις διατάξεις του ΓΚΠΔ, αντιμετωπίζοντας τις παραβάσεις που αναλύονται στη σκέψη 17 της παρούσας και τροποποιώντας τη διαδικασία και το περιεχόμενο της παρεχόμενης ενημέρωσης εντός προθεσμίας δύο μηνών από την επίδοση της απόφασης. γ) Σε σχέση με τους κινδύνους που ενέχει η συγκεκριμένη επεξεργασία δεδομένων προσωπικού χαρακτήρα όπως αναλύονται στη σκέψη 18 της παρούσης, διαπιστώνεται ότι το Υπουργείο έχει παραβιάσει τις διατάξεις του άρθρου 25 παρ. 1 του ΓΚΠΔ, καθώς τα λαμβανόμενα τεχνικά και οργανωτικά μέτρα δεν προστατεύουν επαρκώς τα δικαιώματα των υποκειμένων των δεδομένων. Ως προς την εν λόγω παράβαση, η Αρχή κρίνει ότι, σε αυτό το στάδιο, το αποτελεσματικό, αναλογικό και αποτρεπτικό μέτρο για την αντιμετώπιση της εν λόγω παράβασης είναι, με βάση το άρθρο 58 παρ. 2 β’ ΓΚΠΔ, να απευθύνει επίπληξη προς το ΥΠΑΙΘ και παράλληλα να του δώσει εντολή, με βάση το άρθρο 58 παρ. 2 δ’ ΓΚΠΔ, να καταστήσει τις πράξεις επεξεργασίας σύμφωνες με τις διατάξεις του ΓΚΠΔ με τον τρόπο που αναλύεται στη σκέψη 18 της παρούσας εντός προθεσμίας δύο μηνών από την επίδοση της απόφασης. δ) Σε σχέση με την έκφραση γνώμης των υποκειμένων των δεδομένων ή των εκπροσώπων τους για τη σχεδιαζόμενη επεξεργασία, διαπιστώνεται ότι το ΥΠΑΙΘ παραβίασε την υποχρέωση του άρθρου 35 παρ. 9 του ΓΚΠΔ. Ως προς την εν λόγω 44 παράβαση, η Αρχή κρίνει ότι, σε αυτό το στάδιο, το αποτελεσματικό, αναλογικό και αποτρεπτικό μέτρο για την αντιμετώπιση της εν λόγω παράβασης είναι, με βάση το άρθρο 58 παρ. 2 β’ ΓΚΠΔ, να απευθύνει επίπληξη προς το ΥΠΑΙΘ. ε) Σε σχέση με το ζήτημα της διαβίβασης δεδομένων εκτός Ε.Ε., όπως αναλύεται στη σκέψη 20 της παρούσης, διαπιστώνεται ότι το ΥΠΑΙΘ παραβίασε τις υποχρεώσεις του άρθρου 46 του ΓΚΠΔ, καθώς δεν έχει πραγματοποιηθεί αξιολόγηση της διαβίβασης με τον τρόπο που περιγράφεται στην εν λόγω σκέψη. Ως προς την εν λόγω παράβαση και λαμβάνοντας υπόψη την πολύ πρόσφατη σχετική καθοδήγηση του ΕΣΠΔ, η Αρχή κρίνει ότι, σε αυτό το στάδιο, το αποτελεσματικό, αναλογικό και αποτρεπτικό μέτρο για την αντιμετώπιση της εν λόγω παράβασης είναι, με βάση το άρθρο 58 παρ. 2 β’ ΓΚΠΔ, να απευθύνει επίπληξη προς το ΥΠΑΙΘ και παράλληλα να του δώσει εντολή, με βάση το άρθρο 58 παρ. 2 δ’ ΓΚΠΔ, να καταστήσει τις πράξεις επεξεργασίας σύμφωνες με τις διατάξεις του ΓΚΠΔ, αντιμετωπίζοντας τις παραβάσεις με τον τρόπο που αναλύεται στις σκέψη 20 της παρούσας, εντός προθεσμίας τεσσάρων μηνών από την επίδοση της απόφασης. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή: Α. Απευθύνει στο Υπουργείο Παιδείας και Θρησκευμάτων: α) Επίπληξη για τις παραβάσεις των διατάξεων του άρθρου 6 του ΓΚΠΔ, σε συνδυασμό με το άρθρο 4 παρ. 5 του ν. 3471/
44. β) Επίπληξη για τις παραβάσεις των διατάξεων του άρθρου 13, σε συνδυασμό με το άρθρο 5 παρ. 1 α του ΓΚΠΔ, του άρθρου 12 και του άρθρου 37 παρ. 7 ΓΚΠΔ. γ) Επίπληξη για τις παραβάσεις των διατάξεων του άρθρου 25 παρ. 1 του ΓΚΠΔ. δ) Επίπληξη για την παράβαση του άρθρου 35 παρ. 9 του ΓΚΠΔ. ε) Επίπληξη για τις παραβάσεις των διατάξεων του άρθρου 46 του ΓΚΠΔ. 45 Β. Δίνει εντολή στο Υπουργείο Παιδείας και Θρησκευμάτων, ως υπεύθυνο επεξεργασίας, όπως καταστήσει τις πράξεις επεξεργασίας σύμφωνες με τις διατάξεις του κανονισμού και συγκεκριμένα όπως: 1) εντός δύο

(2)μηνών από την παραλαβή της παρούσας: α) Αντιμετωπίσει τις παραβάσεις των διατάξεων του άρθρου 6 του ΓΚΠΔ, σε συνδυασμό με το άρθρο 4 παρ. 5 του ν. 3471/2006 με τον τρόπο που αναλύεται στις σκέψεις 11 έως και 16 της παρούσας. β) Αντιμετωπίσει τις παραβάσεις των διατάξεων του άρθρου 13, σε συνδυασμό με το άρθρο 5 παρ. 1 α του ΓΚΠΔ, το άρθρο 12 και το άρθρο 37 παρ. 7 ΓΚΠΔ, όπως αναλύονται στις σκέψεις 17 και 21 της παρούσας, τροποποιώντας τη διαδικασία και το περιεχόμενο της παρεχόμενης ενημέρωσης γ) Αντιμετωπίσει τις παραβάσεις των διατάξεων του άρθρου 25 παρ. 1 του ΓΚΠΔ με τον τρόπο που αναλύεται στις σκέψη 18 της παρούσης. 2) εντός τεσσάρων

(4)μηνών από την παραλαβή της παρούσας αντιμετωπίσει τις παραβάσεις των διατάξεων του άρθρου 46 του ΓΚΠΔ με τον τρόπο που αναλύεται στις σκέψη 20 της παρούσης. Μετά την πάροδο της αντίστοιχης προθεσμίας, το Υπουργείο οφείλει να ενημερώσει την Αρχή για τη συμμόρφωσή του. Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 46