Αθήνα, 04-03-2013 ΕΛΛΗΝΙΚΗ ΗΜΟΚΡΑΤΙΑ ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ΕΟΜΕΝΝ ΠΡΟΣΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Αριθ. Πρωτ.: Γ/ΕΞ/1595/04-03-2013 ΑΠΟΦΑΣΗ ΑΡ. 27/ 2013 Η Αρχή Προστασ ας εδο ένων Προσωπικού Χαρακτήρα συνήλθε ετά από πρόσκληση του Προέδρου της σε τακτική συνεδρ αση στην έδρα της την Πέ πτη 21.2.2013 και ώρα 10:00 προκει ένου να εξετάσει την υπόθεση του αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος, Πέτρος Χριστόφορος και τα τακτικά έλη της Αρχής Λεων δας Κοτσαλής, Αναστάσιος-Ιωάννης Μεταξάς, η ήτριος Μπριόλας, Αντώνιος Συ βώνης, ως εισηγητής, Κωνσταντ νος Χριστοδούλου και Πέτρος Τσαντ λας. Στη συνεδρ αση παρέστη, επ σης, χωρ ς δικα ω α ψήφου, ε εντολή του Προέδρου, ο Λεων δας Ρούσσος, πληροφορικός ελεγκτής του Τ ή ατος Ελεγκτών, ως βοηθός εισηγητή, ενώ η βοηθός εισηγητή Ευφροσύνη Σιουγλέ, πληροφορικός ελεγκτής του Τ ή ατος Ελεγκτών, δεν παρέστη λόγω κωλύ ατος. Επ σης, παρέστη, ε εντολή του Προέδρου, η Μελπο ένη Γιαννάκη, υπάλληλος του τ ή ατος διοικητικών και οικονο ικών υποθέσεων της Αρχής, ως γρα ατέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Η Αρχή, στο πλα σιο του ετήσιου προγρα ατισ ού των τακτικών ελέγχων της στον το έα της ηλεκτρονικής διακυβέρνησης, πραγ ατοπο ησε στις 19 και 20 εκε βρ ου 2011 επιτόπιο έλεγχο στην Ηλεκτρονική Υπηρεσ α Έκδοσης ελτ ου Ειδικού Εισιτηρ ου (νυν Ηλεκτρονική Υπηρεσ α Απόκτησης Ακαδη αϊκής Ταυτότητας, εφεξής «ελεγχό ενη υπηρεσ α») του Υπουργε ου Παιδε ας και Θρησκευ άτων, Πολιτισ ού και Αθλητισ ού (εφεξής «υπεύθυνος επεξεργασ ας») αναφορικά ε την προστασ α και την ασφάλεια των προσωπικών δεδο ένων που τηρούνται και τυγχάνουν επεξεργασ ας στο πλα σιο της υπηρεσ ας αυτής. Την ελεγχό ενη υπηρεσ α ανέπτυξε, διαχειρ ζεται και υποστηρ ζει για Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ.: 210-6475600, Fax: 210-6475628, contact@dpa.gr, www.dpa.gr -1- λογαριασ ό του υπεύθυνου επεξεργασ ας η Εθνικό κτυο Έρευνας και Τεχνολογ ας A.E. (εφεξής «εκτελών την επεξεργασ α»). Βασικό χαρακτηριστικό της ελεγχό ενης υπηρεσ ας αποτελε η συγκέντρωση των προσωπικών δεδο ένων των φοιτητών που απαιτούνται για την παροχή της σε κεντρική βάση δεδο ένων που φιλοξενε ται στο κέντρο δεδο ένων του εκτελούντος την επεξεργασ α που βρ σκεται στον χώρο του υπευθύνου επεξεργασ ας. Οι φοιτητές έχουν πρόσβαση στην εν λόγω βάση έσω σχετικής διαδικτυακής εφαρ ογής, η οπο α για τους προπτυχιακούς φοιτητές χρησι οποιε ηχανισ ό πρόσβασης που βασ ζεται στη διαδικτυακή ταυτοπο ησή τους έσω των οικε ων ιδρυ άτων τους. Ο έλεγχος πραγ ατοποιήθηκε στις εγκαταστάσεις του εκτελούντος την επεξεργασ α, που βρ σκονται στη διεύθυνση Λ. Μεσογε ων 56, Αθήνα, από τους υπαλλήλους του Τ ή ατος Ελεγκτών της Γρα ατε ας της Αρχής Ευφροσύνη Σιουγλέ, Κωνσταντ να Κα πουράκη και Λεων δα Ρούσσο (εφεξής «ο άδα ελέγχου»), ετά από την υπ’ αρ. πρωτ Γ/ΕΞ/8246/08-12-2011 εντολή διενέργειας ελέγχου του Προέδρου της Αρχής. Η Αρχή ενη έρωσε τον υπεύθυνο επεξεργασ ας σχετικά ε τη διενέργεια του ελέγχου ε την υπ’ αρ. πρωτ Γ/ΕΞ/7452/09-11-2011 επιστολή της, στην οπο α του ζήτησε επ σης τη συ πλήρωση του ειδικού ερωτη ατολογ ου ε σκοπό την αποδοτικότερη προετοι ασ α και διευκόλυνση του ελέγχου. Ο υπεύθυνος επεξεργασ ας, απέστειλε στις 30-11-2011 ε ήνυ α ηλεκτρονικού ταχυδρο ε ου και επισυναπτό ενη επιστολή τις απαντήσεις στο ερωτη ατολόγιο της Αρχής (υπ’ αρ. πρωτ. Γ/ΕΙΣ/8061/02-12-2011 έγγραφο προς την Αρχή), ε υπογραφή του Ειδικού Γρα ατέα Ανώτατης Εκπα δευσης. Κατά τον επιτόπιο έλεγχο, η ο άδα ελέγχου πραγ ατοπο ησε πρώτα σειρά συνεντεύξεων βάσει του ερωτη ατολογ ου ε τους αρ όδιους υπαλλήλους του εκτελούντος και του υπεύθυνου επεξεργασ ας και στη συνέχεια διενήργησε επιτόπιο έλεγχο, τόσο σε τεχνικό επ πεδο, όσο και επ πεδο διαδικασιών. Ο έλεγχος επικεντρώθηκε στα έτρα ασφαλε ας (οργανωτικά, τεχνικά και φυσικής ασφαλε ας) που εφαρ όζονται για την επεξεργασ α των προσωπικών δεδο ένων που τηρούνται στην ελεγχό ενη υπηρεσ α καθώς και στις υποχρεώσεις του υπευθύνου επεξεργασ ας όπως απορρέουν από το ν.2472/1997. Ειδικότερα, οι το ε ς του ελέγχου περιλα βάνουν τα εξής: α) Οργανωτικά έτρα ασφάλειας ήτοι πολιτική και σχέδιο ασφάλειας, υπεύθυνος ασφαλε ας, δέσ ευση ε πιστευτικότητας του προσωπικού, διαχε ριση περιστατικών παραβ ασης προσωπικών δεδο ένων, σχέδιο ανάκα ψης από καταστροφές, διαδικασ ες ελέγχου ευπαθειών, διαδικασ ες καταστροφής δεδο ένων ή/και υλικού/εξοπλισ ού, διαχε ριση αλλαγών, εκτελούντες την επεξεργασ α, β) τεχνικά έτρα ασφάλειας ήτοι ασφάλεια επικοινωνιών, Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ.: 210-6475600, Fax: 210-6475628, contact@dpa.gr, www.dpa.gr -2- διαχε ριση χρηστών και δικαιω άτων πρόσβασης, αρχε α καταγραφής ενεργειών και κρ σι ων συ βάντων ασφαλε ας, αντ γραφα ασφαλε ας, ασφάλεια υπολογιστών γ) έτρα φυσικής ασφάλειας ήτοι φυσική ασφάλεια κέντρου υπολογιστών και κτιρ ου, ασφάλεια φυσικού αρχε ου δ) υποχρεώσεις του υπευθύνου επεξεργασ ας που απορρέουν από το νό ο 2472/1997 ήτοι γνωστοπο ηση της επεξεργασ ας και ικανοπο ηση των δικαιω άτων ενη έρωσης, πρόσβασης και αντ ρρησης. Στο πλα σιο του ελέγχου ζητήθηκε από τους συ ετέχοντες στον έλεγχο η επ δοση ιας σειράς έντυπων και ηλεκτρονικών πειστηρ ων (εφεξής «Πειστήρια»). Για τη διασφάλιση της ακεραιότητας των ηλεκτρονικών Πειστηρ ων εφαρ όστηκε αλγόριθ ος κατακερ ατισ ού (MD5 hash) ε χρήση κατάλληλου λογισ ικού. Η λ στα των ηλεκτρονικών Πειστηρ ων εκτυπώθηκε σε δύο
(2)αντ γραφα και υπογράφηκε από την ο άδα ελέγχου, καθώς και από εκπρόσωπο του εκτελούντος την επεξεργασ α. Άλλα σχετικά ε τον έλεγχο ηλεκτρονικά και έντυπα έγγραφα και κε ενα που ζήτησε η ο άδα ελέγχου υποβλήθηκαν στην Αρχή το επό ενο χρονικό διάστη α. Μετά από την ολοκλήρωση του ελέγχου, η ο άδα ελέγχου συνέταξε τα Πρακτικά του ελέγχου (εφεξής «Πρακτικά»), στα οπο α καταγράφονται οι απαντήσεις/διευκρινήσεις του εκτελούντος την επεξεργασ α και του υπεύθυνου επεξεργασ ας, καθώς και οι επιτόπιες παρατηρήσεις της ο άδας ελέγχου. Τα Πρακτικά απεστάλησαν στις 6/9/2012 ε ήνυ α ηλεκτρονικού ταχυδρο ε ου σε εκπροσώπους του εκτελούντος και του υπεύθυνου επεξεργασ ας για υποβολή σχολ ων ή/και παρατηρήσεων. Η αποσυ π εση των συνη ένων στα σχετικά ηνύ ατα αρχε ων των Πρακτικών απαιτούσε τη χρήση ειδικού κωδικού ασφαλε ας. Στις τα 17/10/2012 Πρακτικά οριστικοποιήθηκαν και πρωτοκολλήθηκαν (αριθ ός πρωτοκόλλου Α/ΕΞ/143/17-10-2012). Στη συνέχεια, η ο άδα ελέγχου ελέτησε τα Πρακτικά σε συνδυασ ό ε τα Πειστήρια που συλλέχθηκαν κατά τη διενέργεια του επιτόπιου ελέγχου καθώς αυτά που εστάλησαν στην Αρχή από τον υπεύθυνο επεξεργασ ας και τον εκτελούντα πριν και ετά τον επιτόπιο έλεγχο και συνέταξε πόρισ α διοικητικού ελέγχου (εφεξής «Πόρισ α»), το οπο ο υπέβαλε στην Αρχή ε το υπ’ αρ. πρωτ. Α/ΕΙΣ/16/25-02-2013 έγγραφο. Στο Πόρισ α καταγράφονται εταξύ άλλων τα ευρή ατα αναφορικά ε ελλιπή έτρα ασφάλειας ή διαδικασ ες προστασ ας προσωπικών δεδο ένων που εντοπ στηκαν, καθώς και οι συστάσεις για την αντι ετώπιση των κινδύνων που δη ιουργούνται. Η Αρχή, ετά από εξέταση των προαναφερο ένων στοιχε ων, αφού άκουσε τον εισηγητή και τους βοηθούς εισηγητές, οι οπο οι στη συνέχεια αποχώρησαν, και κατόπιν διεξοδικής συζήτησης, Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ.: 210-6475600, Fax: 210-6475628, contact@dpa.gr, www.dpa.gr -3- ΣΚΕΦΤΗΚΕ ΣΥΜΦΝΑ ΜΕ ΤΟ ΝΟΜΟ Τα ευρή ατα του ελέγχου σχετ ζονται ιδ ως ε το απόρρητο και την ασφάλεια της επεξεργασ ας των προσωπικών δεδο ένων που τηρούνται στο πληροφοριακό σύστη α της ελεγχό ενης υπηρεσ ας (άρθρο 10 του ν. 2472/1997). Στο πλα σιο του ελέγχου, πέραν της ασφάλειας, ελέγχθηκε και η γενικότερη συ όρφωση του υπεύθυνου επεξεργασ ας ως προς τις προϋποθέσεις νό ι ης επεξεργασ ας προσωπικών δεδο ένων (άρθρα 4 και 6 του ν. 2472/1997), καθώς και τις υποχρεώσεις του αναφορικά ε την ικανοπο ηση των δικαιω άτων των υποκει ένων των δεδο ένων (άρθρα 11, 12 και 13 του ν. 2472/1997). Το άρθρο 10 του ν. 2472/1997 ορ ζει ότι: «
- Η επεξεργ σί δεδο ένων προσωπικού χ ρ κτήρ είν ι πόρρητη. ιεξάγετ ι ποκλειστικά κ ι όνο πό πρόσωπ που τελούν υπό τον έλεγχο του υπεύθυνου επεξεργ σί ς ή του εκτελούντος την επεξεργ σί κ ι όνον κ τ’ εντολή του.
- Γι τη διεξ γωγή της επεξεργ σί ς ο υπεύθυνος επεξεργ σί ς οφείλει ν επιλέγει πρόσωπ ε ντίστοιχ επ γγελ τικά προσόντ που π ρέχουν επ ρκείς εγγυήσεις πό πλευράς τεχνικών γνώσεων κ ι προσωπικής κερ ιότητ ς γι πορρήτου.
- Ο υπεύθυνος επεξεργ σί ς οφείλει ν λ βάνει τ κ τάλληλ οργ νωτικά κ ι τεχνικά έτρ γι την σφάλει θέ ιτη κ τ στροφή, τυχ ί των δεδο ένων κ ι την προστ σί την τήρηση του τους πό τυχ ί ή πώλει , λλοίωση, π γορευ ένη διάδοση ή πρόσβ ση κ ι κάθε άλλη ορφή θέ ιτης επεξεργ σί ς. Αυτά τ έτρ πρέπει ν εξ σφ λίζουν επίπεδο σφ λεί ς νάλογο προς τους κινδύνους που συνεπάγετ ι η επεξεργ σί κ ι η φύση των δεδο ένων που είν ι ντικεί ενο της επεξεργ σί ς. Με την επιφύλ ξη άλλων δι τάξεων, η Αρχή π ρέχει οδηγίες ή εκδίδει κ νονιστικές πράξεις σύ φων ε το άρθρο 19 π ρ. 1 ι' γι τη ρύθ ιση θε άτων σχετικά ε τον β θ ό σφ λεί ς των δεδο ένων κ ι των υπολογιστικών κ ι επικοινωνι κών υποδο ών, τ έτρ σφάλει ς που είν ι ν γκ ίο ν λ βάνοντ ι γι κάθε κ τηγορί κ ι επεξεργ σί δεδο ένων, κ θώς κ ι γι τη χρήση τεχνολογιών ενίσχυσης της ιδιωτικότητ ς.
- Αν η επεξεργ σί διεξάγετ ι γι λογ ρι σ ό του υπεύθυνου πό πρόσωπο η εξ ρτώ ενο πό υτόν, η σχετική νάθεση γίνετ ι υποχρεωτικά εγγράφως. Η νάθεση προβλέπει υποχρεωτικά ότι ο ενεργών την επεξεργ σί την διεξάγει όνο κ τ’ εντολή του υπεύθυνου κ ι ότι οι λοιπές υποχρεώσεις του π ρόντος άρθρου β ρύνουν ν λόγως κ ι υτόν». Περαιτέρω, το άρθρο 4 του ν. 2472/1997 προβλέπει ότι «Τ δεδο έν προσωπικού χ ρ κτήρ γι ν τύχουν νό ι ης επεξεργ σί ς πρέπει : ) Ν συλλέγοντ ι κ τά τρόπο θε ιτό κ ι νό ι ο γι κ θορισ ένους, σ φείς κ ι νό ι ους σκοπούς κ ι ν υφίστ ντ ι Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ.: 210-6475600, Fax: 210-6475628, contact@dpa.gr, www.dpa.gr -4- θε ιτή κ ι νό ι η επεξεργ σί ενόψει των σκοπών υτών. β) Ν είν ι συν φή, πρόσφορ , κ ι όχι περισσότερ πό όσ κάθε φορά π ιτείτ ι εν όψει των σκοπών της επεξεργ σί ς. γ) Ν είν ι κριβή κ ι, εφόσον χρειάζετ ι, ν υποβάλλοντ ι σε ενη έρωση. δ) Ν δι τηρούντ ι σε ορφή που ν επιτρέπει τον προσδιορισ ό της τ υτότητ ς των υποκει ένων τους όνο κ τά τη διάρκει πρ γ της περιόδου που π ιτείτ ι, κ τά την κρίση της Αρχής, γι την τοποίηση των σκοπών της συλλογής τους κ ι της επεξεργ σί ς τους...» Επ σης, το άρθρο 6 του ν. 2472/1997 προβλέπει ότι «Ο υπεύθυνος επεξεργ σί ς υποχρεούτ ι ν γνωστοποιήσει εγγράφως στην Αρχή, τη σύστ ση κ ι λειτουργί ρχείου ή την έν ρξη της επεξεργ σί ς…». Επιπλέον, το άρθρο 11 του ν. 2472/1997 ορ ζει ότι: «ο υπεύθυνος επεξεργ σί ς οφείλει, κ τά το στάδιο της συλλογής δεδο ένων προσωπικού χ ρ κτήρ , ν ενη ερώνει ε τρόπο πρόσφορο κ ι σ φή το υποκεί ενο γι τ εξής τουλάχιστον στοιχεί : . την τ υτότητά του κ ι την τ υτότητ του τυχόν εκπροσώπου του, β. τον σκοπό της επεξεργ σί ς, γ. τους ποδέκτες ή τις κ τηγορίες ποδεκτών των δεδο ένων, δ. την ύπ ρξη του δικ ιώ τος πρόσβ σης…». Το άρθρο 12 του ν. 2472/1997 προβλέπει ότι «
- Το υποκεί ενο των δεδο ένων έχει δικ ίω ν ζητεί κ ι ν λ βάνει πό τον υπεύθυνο επεξεργ σί ς, χωρίς κ θυστέρηση κ ι κ τά τρόπο εύληπτο κ ι σ φή, τις κόλουθες πληροφορίες: ) Όλ τ δεδο έν προσωπικού χ ρ κτήρ που το φορούν, κ θώς κ ι την προέλευσή τους, β) Τους σκοπούς της επεξεργ σί ς, τους ποδέκτες ή τις κ τηγορίες ποδεκτών, γ) Την εξέλιξη της επεξεργ σί ς γι το χρονικό διάστη δ) Τη λογική της υτο πό την προηγού ενη ενη έρωση ή πληροφόρησή του, τοποιη ένης επεξεργ σί ς, ε) κ τά περίπτωση, τη διόρθωση, τη δι γρ φή ή τη δέσ ευση (κλείδω ) των δεδο ένων των οποίων η επεξεργ σί δεν είν ι σύ φωνη προς τις δι τάξεις του π ρόντος νό ου, ιδίως λόγω του ελλιπούς ή ν κριβούς χ ρ κτήρ των δεδο ένων, κ ι στ) την κοινοποίηση σε τρίτους, στους οποίους έχουν ν κοινωθεί τ δεδο έν , κάθε διόρθωσης, δι γρ φής ή δέσ ευσης (κλειδώ διενεργείτ ι σύ φων ε την περίπτωση ε', εφόσον τούτο δεν είν ι προϋποθέτει δυσ νάλογες προσπάθειες. Το δικ ίω πρόσβ σης πορεί ν τος) που δύν τον ή δεν σκείτ ι πό το υποκεί ενο των δεδο ένων κ ι ε τη συνδρο ή ειδικού». Το άρθρο 13 του ν. 2472/1997 προβλέπει ότι «
- Το υποκεί ενο των δεδο ένων έχει δικ ίω ν προβάλλει οποτεδήποτε ντιρρήσεις γι την επεξεργ σί δεδο ένων που το φορούν. Οι ντιρρήσεις πευθύνοντ ι εγγράφως στον υπεύθυνο επεξεργ σί ς κ ι πρέπει ν περιέχουν ίτη γι συγκεκρι ένη ενέργει , όπως διόρθωση, προσωρινή η δι βίβ ση ή η χρησι οποίηση, δέσ ευση, δι γρ φή. Ο υπεύθυνος επεξεργ σί ς έχει την υποχρέωση ν π ντήσει εγγράφως επί των ντιρρήσεων έσ σε ποκλειστική προθεσ ί δεκ πέντε
(15)η ερών. Στην πάντησή του Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ.: 210-6475600, Fax: 210-6475628, contact@dpa.gr, www.dpa.gr -5- οφείλει ν ενη ερώσει το υποκεί ενο γι τις ενέργειες στις οποίες προέβη ή, ενδεχο ένως, γι τους λόγους που δεν ικ νοποίησε το ίτη . Η πάντηση σε περίπτωση πόρριψης των ντιρρήσεων πρέπει ν κοινοποιείτ ι κ ι στην Αρχή.». Λα βάνοντας υπόψη τα ανωτέρω και ετά από εξέταση των ευρη άτων που αναφέρονται στο Πόρισ α, η Αρχή ενέκρινε τις προτάσεις της ο άδας ελέγχου. Ειδικότερα, η Αρχή διαπ στωσε την εφαρ ογή συγκεκρι ένων οργανωτικών και τεχνικών έτρων καθώς και έτρων φυσικής ασφάλειας για την προστασ α των προσωπικών δεδο ένων που επεξεργάζονται στο πλα σιο παροχής της υπό έλεγχο υπηρεσ ας σε βαθ ό ικανοποιητικό. 8στόσο, τα έτρα πρέπει να συ πληρωθούν σύ φωνα ε τις προτεινό ενες συστάσεις του Πορ σ ατος. Η αναλυτική παρουσ αση των ευρη άτων, των κινδύνων που αυτά ενδέχεται να δη ιουργήσουν καθώς και των συστάσεων αντι ετώπισής τους καταγράφονται στο επισυναπτό ενο ε πιστευτικό Πόρισ α. Το Πόρισ α συνοδεύεται από Παράρτη α, το οπο ο περιλα βάνει τα Πρακτικά του ελέγχου, καθώς και ειδικό έντυπο που πρέπει να συ πληρωθε από τον υπεύθυνο επεξεργασ ας για την ενη έρωση της Αρχής σχετικά ε τη συ όρφωσή του ε τις συστάσεις. Το Παράρτη α αποτελε αναπόσπαστο έρος του Πορ σ ατος, το οπο ο κοινοποιε ται στον υπεύθυνο επεξεργασ ας. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή απευθύνει προειδοπο ηση στον υπεύθυνο επεξεργασ ας να συ ορφωθε ε τις συστάσεις που αναφέρονται στο επισυναπτό ενο Πόρισ α και να ενη ερώσει σχετικά την Αρχή εντός έξι
(6)ηνών από τη λήψη του Πορ σ ατος, συ πληρώνοντας το ειδικό έντυπο που περιέχεται στο Παράρτη α αυτού. Ο Πρόεδρος Η Γρα Πέτρος Χριστόφορος ατέας Μελπο ένη Γιαννάκη Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ.: 210-6475600, Fax: 210-6475628, contact@dpa.gr, www.dpa.gr -6-