Επανεξέταση γνωστοποίησης του ΟΑΣΑ για επεξεργασία προσωπικών δεδομένων στο πλαίσιο του Ενιαίου Αυτόματου Συστήματος Συλλογής Κομίστρου (Ηλεκτρονικό Ε

Αθήνα, 04-08-2017 Αριθ. Πρωτ. Γ/ΕΞ/5929/04-08-2017 ΑΡΧΗ ΠΡΟ ΤΑ ΙΑ ∆Ε∆ΟΜΕΝΩΝ ΠΡΟ ΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΓΝΩΜΟ∆Ο Η Σ Η 4/2017 Η Αρχή Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα συνεδρίασε στην έδρα της τη ∆ευτέρα 17.07.2017 και ώρα 10:00 σε έκτακτη συνεδρίαση, µετά από πρόσκληση του Προέδρου της, προκειµένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος και τα τακτικά µέλη της Αρχής Κωνσταντίνος Χριστοδούλου, Αντώνιος υµβώνης, πυρίδων Βλαχόπουλος, Κωνσταντίνος Λαµπρινουδάκης, ως εισηγητής, Χαράλαµπος Ανθόπουλος και Ελένη Μαρτσούκου, επίσης ως εισηγήτρια. τη συνεδρίαση παρέστησαν, επίσης, µε εντολή του Προέδρου, η Φ. Καρβέλα, δικηγόρος-νοµική ελέγκτρια και ο Κ. Λιµνιώτης, πληροφορικός ελεγκτής, ως βοηθοί εισηγητών, οι οποίοι παρέσχαν διευκρινίσεις και αποχώρησαν πριν από τη διάσκεψη και τη λήψη απόφασης, ενώ απουσίαζε, λόγω κωλύµατος, ο βοηθός εισηγητών Λεωνίδας Ρούσσος. Επίσης παρέστη, µε εντολή Προέδρου, η Γεωργία Παλαιολόγου, υπάλληλος του ∆ιοικητικού-Οικονοµικού Τµήµατος της Αρχής, ως γραµµατέας. Η Αρχή συνεδρίασε προκειµένου να γνωµοδοτήσει, σύµφωνα µε το άρθρο 19 παρ. 1 στοιχ. θ΄ του ν. 2472/1997, επί της υπ’ αριθµ. πρωτ. ΓΝ/ΕΙ /1570/02-06-2017 γνωστοποίησης επεξεργασίας προσωπικών δεδοµένων –όπως αυτή συµπληρώθηκε– που υπέβαλε ο Οργανισµός Αστικών υγκοινωνιών Αθηνών Α.Ε. (εφεξής ΟΑ Α ή υπεύθυνος επεξεργασίας, κατά την έννοια του άρ. 2 στοιχ. ζ΄ του ν. 2472/1997), σε συνέχεια της υπ’ αριθµ. 1/2017 Γνωµοδότησης της Αρχής, στο πλαίσιο του νέου 1 Αυτοµάτου υστήµατος υλλογής Κοµίστρου (εφεξής Α Κ) στο οποίο γίνεται αναφορά και µε τον όρο «ηλεκτρονικό εισιτήριο». Με την ως άνω γνωστοποίηση ο ΟΑ Α ανακάλεσε την υπ’ αριθµ. πρωτ. ΓΝ/ΕΙ /2139/15-09-2016 γνωστοποίηση επεξεργασίας προσωπικών δεδοµένων επί της οποίας η Αρχή είχε εκδώσει την ως άνω Γνωµοδότηση, υποβάλλοντας νέα τροποποιηµένη δηλώνοντας ότι ουδέποτε τέθηκε σε λειτουργία το Α γνωστοποίηση και Κ µε τις αναφερόµενες στην προηγούµενη γνωστοποίηση ρυθµίσεις. ύµφωνα µε τη νέα γνωστοποίηση του ΟΑ Α, το Α Κ θα υποστηρίζει δύο µέσα κοµίστρου υπό τη µορφή ηλεκτρονικών «έξυπνων καρτών», τα οποία είναι: • «Πολλαπλό»: Έξυπνη κάρτα χωρίς επαφή (Contactless Smart Card-SC) στην οποία θα αποθηκεύονται κόµιστρα µικρής αξίας (εισιτήρια) • «Κάρτα»: Έξυπνη Κάρτα χωρίς επαφή (Contactless Smart Card - SC) µε µικροεπεξεργαστή η οποία θα υλοποιεί διάφορα προϊόντα κοµίστρου, για παράδειγµα: τα προϊόντα απεριορίστων διαδροµών, µεγάλης διάρκειας ή µεγάλης αποθηκευµένης αξίας. Όπως επισηµαίνει ο ΟΑ Α στην ως άνω γνωστοποίησή του, «η Κάρτα δύναται να είναι είτε απρόσωπη είτε προσωποποιηµένη. την κάρτα θα αποθηκεύεται χρηµατική αξία (stored value), εισιτήρια ή κάρτες απεριορίστων διαδροµών. Οι απρόσωπες Κάρτες και τα Πολλαπλά εισιτήρια αποτελούν τη συντριπτική πλειοψηφία (άνω του 90%) των µέσων κοµίστρου που θα διακινούνται στο Α Κ, ενώ η προσωποποιηµένη Κάρτα θα υποκαταστήσει κυρίως τις υφιστάµενες µηνιαίες, τριµηνιαίες, εξαµηνιαίες, ετήσιες κάρτες και ελευθέρας». Η σχεδίαση του νέου συστήµατος που υποστηρίζει τη λειτουργία του Α Κ θεωρεί ως βασική οντότητα την κάρτα και όχι τον επιβάτη. Ως εκ τούτου, όλες οι λειτουργίες του συστήµατος (ήτοι έκδοση, φόρτιση και επικύρωση) χρησιµοποιούν ως µοναδικό στοιχείο καταχώρισης και επεξεργασίας τον αριθµό της κάρτας (οποιουδήποτε τύπου) και όχι τα στοιχεία του επιβάτη. Επιπλέον, προκειµένου να εκτελεστεί οποιαδήποτε συναλλαγή φόρτισης ή επικύρωσης, δεν απαιτείται ταύτιση µε φυσικό πρόσωπο (κάτοχο προσωποποιηµένης κάρτας). Το σύστηµα µπορεί να διαχειρίζεται κατά τρόπο ενιαίο τόσο τις προσωποποιηµένες όσο και τις ανώνυµες κάρτες. Η ανάγκη συστηµικής αντιστοίχισης της κάρτας µε φυσικό πρόσωπο προκύπτει αποκλειστικά 2 από την ανάγκη υλοποίησης των διαδικασιών: α) αντικατάστασης απολεσθείσας κάρτας µε ταυτόχρονη µεταφορά του υπολοίπου στη νέα κάρτα και ακύρωσης της παλαιάς β) αµφισβήτησης των χρεώσεων. Όπως επισηµαίνει ο ΟΑ Α, η µεταφορά υπολοίπου αποτελεί ένα από τα βασικότερα πλεονεκτήµατα του νέου συστήµατος σε σύγκριση µε το προηγούµενο που δεν µπορούσε να την υποστηρίξει και διασφαλίζει τη µη απώλεια των πληρωµένων από τον επιβάτη δικαιωµάτων (προϊόντων κοµίστρου ή/και χρηµατική αξία) ενώ η ακύρωση της απολεσθείσας κάρτας είναι µια δυνατότητα που περιορίζει την απώλεια εσόδων του οργανισµού (καθιστώντας άµεσα µη αξιοποιήσιµη την απολεσθείσα κάρτα). Για την έκδοση κάρτας απεριορίστων διαδροµών των χρηστών του Α Κ, ο ΟΑ Α επιλέγει τη χρήση κρυπτογραφικού αλγορίθµου κατακερµατισµού (hashing) των προσωπικών δεδοµένων των χρηστών. Κάθε καταγραφή δεδοµένων κίνησης των προσωποποιηµένων καρτών δεν θα παραπέµπει σε συγκεκριµένο πρόσωπο αλλά σε ένα «ψηφιακό αποτύπωµα» (hash value) όπως αυτό υπολογίζεται από τη συνάρτηση κατακερµατισµού. To ψηφιακό αποτύπωµα θα προκύπτει από το συνδυασµό του ΑΜΚΑ και ενός 4-ψήφιου κωδικού ασφαλείας (για Έλληνες πολίτες) ή του αριθµού διαβατηρίου και ενός 4-ψήφιου κωδικού ασφαλείας (για αλλοδαπούς). Ο 4-ψήφιος κωδικός ασφαλείας θα καταχωρίζεται (πληκτρολογείται) από τον επιβάτη κατά τη διαδικασία προσωποποίησης και θα απαιτείται προκειµένου να ανακτηθούν τα στοιχεία της κάρτας (σε περίπτωση απώλειας). Ο κωδικός αυτός θα είναι γνωστός µόνο στον επιβάτη και ο συνδυασµός του µε τον ΑΜΚΑ για την παραγωγή του µη αναστρέψιµου ψηφιακού αποτυπώµατος εξασφαλίζει ότι ούτε χρήστες µε γνώση της δοµής του συστήµατος και διαβαθµισµένη πρόσβαση στα δεδοµένα αυτού θα είναι σε θέση να προσδιορίσουν την αντιστοιχία αριθµού κάρτας µε τον ΑΜΚΑ (και κατά συνέπεια την ταυτότητα) του επιβάτη. Για τις ειδικές κατηγορίες χρηστών (δηλαδή ανέργους, φοιτητές, ΑΜΕΑ κ.λπ.), επειδή η κάρτα έχει περαιτέρω έκπτωση και πρέπει να αποκλειστεί η περίπτωση έκδοσης περισσοτέρων καρτών ανά άτοµο, πέραν της ως άνω διαδικασίας και επεξεργασίας, θα τηρείται ένα αρχείο δεδοµένων µε µόνο στοιχείο τον ΑΜΚΑ του χρήστη και την ηµεροµηνία λήξης του ειδικού δικαιώµατος (π.χ. χρόνος ανεργίας, 3 λήξη θητείας κ.λπ.). το αρχείο αυτό δεν θα υφίσταται άλλη πληροφορία ούτε θα µπορεί να πραγµατοποιείται διασύνδεσή του µε άλλο αρχείο. κοπός του θα είναι µόνον η παρεµπόδιση χρήσης του ίδιου ΑΜΚΑ για έκδοση δεύτερης κάρτας ειδικής κατηγορίας. Εποµένως, για τον ΟΑ Α αρκεί η καταχώριση του αριθµού ΑΜΚΑ προκειµένου να µην είναι δυνατόν ο ήδη χρήστης/νόµιµος κάτοχος κάρτας να προβεί σε έκδοση περισσοτέρων (πολλαπλασιασµό της). Με βάση τα ανωτέρω, ο ΟΑ Α τηρεί αρχείο προσωπικών δεδοµένων µε το συγκεκριµένο περιεχόµενο και για το συγκεκριµένο σκοπό και προβαίνει µόνο στην απολύτως απαραίτητη επεξεργασία του δεδοµένου, δηλαδή του ΑΜΚΑ, µόνο για τον σκοπό της αποτροπής χρήσης του ίδιου ΑΜΚΑ για έκδοση δεύτερης κάρτας ειδικών κατηγοριών. Η διαδικασία της έκδοσης της κάρτας δεν απαιτεί οποιαδήποτε αποθήκευση προσωπικών δεδοµένων σε τοπικό (Τερµατικό Έκδοσης Καρτών – ΤΕΚ) ή κεντρικό επίπεδο πλην της καταχώρισης του ΑΜΚΑ για τις ειδικές κατηγορίες. Εποµένως, ο σκοπός του ΟΑ Α να παρέχει ένα ηλεκτρονικό σύστηµα έκδοσης και χρήσης εισιτηρίου πραγµατοποιείται χωρίς τη δυνατότητα αντιστοίχισης των κινήσεων της κάρτας µε τον χρήστη της και τηρείται µόνο το δεδοµένο του ΑΜΚΑ µε ηµεροµηνία λήξης του δικαιώµατος για τις ειδικές κατηγορίες χωρίς οποιαδήποτε αντιστοίχιση µε άλλη πληροφορία. Το αρχείο κίνησης/συναλλαγής των καρτών και των ανωνύµων κοµίστρων είναι ως εκ τούτου –κατά τον ΟΑ Α– ανωνυµοποιηµένο και δεν υφίσταται οποιαδήποτε δυνατότητα προσωποποίησης της διαδροµής χωρίς τη συµβολή του χρήστη της κάρτας. Ειδικότερα, για την έκδοση προσωποποιηµένης κάρτας από Τερµατικό Έκδοσης Καρτών (ΤΕΚ) απαιτείται η προσκόµιση επίσηµου εγγράφου που να προσδιορίζει τον αριθµό ΑΜΚΑ του επιβάτη, καθώς και της αστυνοµικής του ταυτότητας. Εναλλακτικά, για αλλοδαπούς, απαιτείται η προσκόµιση έγκυρου διαβατηρίου. Εφόσον ο επιβάτης ανήκει σε ειδική κατηγορία, οφείλει να προσκοµίσει και έγγραφο απόδειξης του δικαιώµατός του. Ο εκδότης οφείλει να εισάγει στην εφαρµογή του ΤΕΚ τον ΑΜΚΑ, το όνοµα, το επώνυµο καθώς και τον µήνα και έτος γέννησης και την ειδική κατηγορία κοµίστρου εφόσον υπάρχει1. Εν συνεχεία ο εκδότης προχωρά 1 Ο ΟΑ Α αναφέρει ότι, όταν και εφόσον υπάρξει διασύνδεση µε το Web Service της Η∆ΙΚΑ, η άντληση δεδοµένων πέραν του ΑΜΚΑ, ήτοι όνοµα, επώνυµο, µήνας & έτος γέννησης θα γίνεται αυτόµατα. 4 σε επιβεβαίωση της ταυτότητας του επιβάτη (µέσω της αστυνοµικής ταυτότητας) ο οποίος και καλείται να εισάγει τον 4-ψήφιο κωδικό ασφαλείας. Για τους αλλοδαπούς, ο εκδότης οφείλει να εισάγει το όνοµα, το επώνυµο και τον αριθµό διαβατηρίου στη φόρµα της εφαρµογής του ΤΕΚ και να ζητήσει από τον επιβάτη να εισάγει τον 4ψήφιο κωδικό ασφαλείας. Τέλος, ο εκδότης προχωρά σε λήψη φωτογραφίας του επιβάτη (µέσω της φωτογραφικής µηχανής που διαθέτει το ΤΕΚ ή µέσω σάρωσης προεκτυπωµένης φωτογραφίας) και έκδοση της προσωποποιηµένης κάρτας. Κατά τη διαδικασία έκδοσης της κάρτας το σύστηµα παράγει και αποθηκεύει στη βάση δεδοµένων το «ψηφιακό αποτύπωµα» (hashed value) που προκύπτει από τον συνδυασµό ΑΜΚΑ (ή αριθµού διαβατηρίου) και 4-ψήφιου κωδικού, καθώς και τον µήνα και έτος γέννησης αλλά και την ειδική κατηγορία του κοµίστρου. Ο µήνας και έτος γέννησης αλλά και η ειδική κατηγορία του κοµίστρου αποθηκεύονται επίσης στη µνήµη της έξυπνης κάρτας. Το λοιπά στοιχεία (όνοµα, επώνυµο και φωτογραφία) εκτυπώνονται στην επιφάνεια της κάρτας και δεν αποθηκεύονται πουθενά ούτε στο ΤΕΚ ούτε και στο κεντρικό σύστηµα του Α Κ. ε περίπτωση έκδοσης κάρτας ειδικής κατηγορίας αποθηκεύεται σε ξεχωριστό αρχείο δεδοµένων µόνο ο αριθµός ΑΜΚΑ και η ηµεροµηνία λήξης του δικαιώµατος. Η διαδικασία έκδοσης κάρτας µε χρήση της Web εφαρµογής διαφοροποιείται µόνο ως προς τη µέθοδο εισαγωγής των στοιχείων στην εφαρµογή του ΤΕΚ: υγκεκριµένα, ο επιβάτης εισάγει στο σχετικό ιστότοπο του ΟΑ Α (portal) τον ΑΜΚΑ, το όνοµα και το επώνυµό του2. Εν συνεχεία, η εφαρµογή ζητά από τον επιβάτη να εισάγει τον 4-ψήφιο κωδικό ασφαλείας και παράγει έναν εκτυπώσιµο κωδικό άµεσης απόκρισης (Quick Response QR Code). Ο επιβάτης προσκοµίζει το εκτυπωµένο QR Code στο ΤΕΚ προκειµένου να µεταφερθούν τα στοιχεία στην εφαρµογή µέσω σάρωσης. Η διασταύρωση των στοιχείων µε χρήση της αστυνοµικής ταυτότητας καθώς και η λήψη φωτογραφίας ακολουθούν την ίδια λογική. Αν πρόκειται περί ειδικής κατηγορίας, ο χρήστης προσθέτει αυτό το δεδοµένο σε ειδική θέση στην οθόνη του υπολογιστή του ώστε όταν προσέλθει στο ΤΕΚ µε τον κωδικό QR και προ της έκδοσης της κάρτας να καταχωριστεί στο ειδικό αρχείο ο ΑΜΚΑ και η λήξη του δικαιώµατος. Η µέθοδος αυτή δεν διαφέρει σε τίποτα ως προς τα στοιχεία που αποθηκεύονται ή εκτυπώνονται. ε περίπτωση απώλειας προσωποποιηµένης έξυπνης κάρτας, ο νόµιµος κάτοχος 2 Και για αυτήν την περίπτωση γίνεται ειδική µνεία στη δυνατότητα διασύνδεσης µε την Η∆ΙΚΑ. 5 οφείλει να προσκοµίσει στο εκδοτήριο ένα επίσηµο έγγραφο που να προσδιορίζει τον ΑΜΚΑ του καθώς και την αστυνοµική του ταυτότητα (ή αντίστοιχα έγκυρο διαβατήριο για τους αλλοδαπούς). Ο εκδότης εισάγει στην εφαρµογή του ΤΕΚ τον ΑΜΚΑ (ή τον αριθµό διαβατηρίου) και ζητά από τον επιβάτη να εισάγει τον 4ψήφιο κωδικό. Η εφαρµογή συνδυάζει τα δύο αυτά στοιχεία και παράγει ένα ψηφιακό αποτύπωµα (hashed value). την περίπτωση ταύτισης µε αποθηκευµένο στη βάση δεδοµένων ψηφιακό αποτύπωµα που συσχετίζεται µε ενεργή έξυπνη κάρτα, ο εκδότης έχει τη δυνατότητα να προχωρήσει σε έκδοση νέας κάρτας µε ταυτόχρονη µεταφορά του υπολοίπου και ακύρωση (blacklisting) της παλαιάς. Κανένα επιπλέον στοιχείο του επιβάτη δεν απαιτείται και δεν αποθηκεύεται κατά τη διαδικασία αυτή. υγκεντρωτικά, τα προσωπικά δεδοµένα που τυγχάνουν επεξεργασίας προκειµένου να εκδοθεί η προσωποποιηµένη κάρτα απεριορίστων διαδροµών ή/και ειδικών κατηγοριών µειωµένου κοµίστρου, µε βάση τα όσα αναφέρει ο ΟΑ Α στην ως άνω γνωστοποίησή του, περιγράφονται ως εξής: α) την επιφάνεια της κάρτας θα εκτυπώνονται το όνοµα, το επώνυµο και η φωτογραφία του κατόχου. Τα στοιχεία αυτά αφορούν µόνο τον φυσικό έλεγχο, δηλαδή τη φυσική ταυτοποίηση κατά τον έλεγχο του επιβάτη, γεγονός ιδιαιτέρως σηµαντικό κυρίως στην περίπτωση κατά την οποία η κάρτα είναι εκπτωτική. β) τον µικροεπεξεργαστή (chip) της κάρτας θα αποθηκεύεται ο µήνας και το έτος γέννησης του κατόχου της αλλά και η κατηγορία στην οποία αυτός εµπίπτει. Ο µήνας και το έτος γέννησης απαιτούνται ως προσδιοριστικά θεµελίωσης ή µη του δικαιώµατος καταβολής µειωµένου κοµίστρου βάσει ηλικίας (παιδιά και νέοι κάτω των 18, ενήλικες, ενήλικες άνω των 65). το µικροεπεξεργαστή διατηρούνται επίσης οι έξι τελευταίες κινήσεις-συναλλαγές οι οποίες είναι απολύτως απαραίτητες για τη χρέωση της κάρτας. Τις κινήσεις αυτές έχει καταγράψει και το κεντρικό σύστηµα βάσης. Από τον µικροεπεξεργαστή της κάρτας διαγράφονται οι κινήσεις µόνο όταν εγγραφούν νέες επί αυτών. Οι τελευταίες έξι κινήσεις δεν µπορούν να διαγραφούν από τον µικροεπεξεργαστή. γ) το κεντρικό σύστηµα τηρούνται ο ΑΜΚΑ, ο µήνας και το έτος γέννησης, το «ψηφιακό αποτύπωµα» (hashed value) του ΑΜΚΑ µε τον 4-ψήφιο κωδικό όπως περιεγράφηκε ανωτέρω και η κατηγορία του χρήστη. Ήδη προαναφέρθηκε ότι ο ΑΜΚΑ καταχωρίζεται σε εντελώς ανεξάρτητο αρχείο χωρίς καµία περαιτέρω πληροφορία πλην αυτής της λήξεως του δικαιώµατος και αφορά µόνο και αδιακρίτως 6 στις ειδικές κατηγορίες προκειµένου να µην υπάρξει περίπτωση πολλαπλής έκδοσης κάρτας αφού υπάρχει δικαίωµα έκδοσης µίας και µόνο ειδικής κατηγορίας κάρτας και το δικαίωµα αυτό ανήκει σε έναν και µόνο δικαιούχο (π.χ. φοιτητής). Η αυθεντικοποίηση του υποκειµένου γίνεται µε τη χρήση φωτογραφίας και στοιχείων ονόµατος και επωνύµου τα οποία αναγράφονται µόνο επί της κάρτας. Η συµπληρωµατική επίδειξη ταυτότητας βοηθά στην αυθεντικοποίηση του υποκειµένου ως του νοµίµου κατόχου της κάρτας. Ο ελεγκτής κοµίστρου µπορεί να ζητήσει περαιτέρω εξακρίβωση στοιχείων ειδικής κατηγορίας, δηλαδή αιτιολόγηση της ένταξης σε ειδικής κατηγορίας µετακίνησης. Οι αντίστοιχοι φορείς προµηθεύουν τους δικαιούχους µε σχετικά έγγραφα πιστοποίησης των δικαιωµάτων µετακίνησης (π.χ. κάρτες ανεργίας). Περαιτέρω, στα σηµεία επικύρωσης, η αυθεντικοποίηση µέσω έξυπνης κάρτας πραγµατοποιείται στις πύλες εισόδου και εξόδου και στα σηµεία επικύρωσης των οδικών µέσων. Επιπροσθέτως, ο ΟΑ Α επαναφέρει µε την ως άνω νέα γνωστοποίηση το αίτηµα που είχε θέσει και στην αρχική του γνωστοποίηση σχετικά µε την επαλήθευση και ορθότητα των δεδοµένων που χορηγεί ο χρήστης µέσω διαδικτυακής υπηρεσίας (web service) της Η∆ΙΚΑ καθώς είναι απαραίτητη η επαλήθευση αυτών για την αποφυγή λαθών κατά την πληκτρολόγηση και ταυτοποίηση. Η βάση της Η∆ΙΚΑ θεωρείται ακριβής και σε κάθε περίπτωση συσχετίζει τον ΑΜΚΑ µε τα απαραίτητα για επεξεργασία προσωπικά δεδοµένα του υποκειµένου. Η χρήση της βάσεως της Η∆ΙΚΑ εξυπηρετεί µόνο την επαλήθευση εκείνων των προσωπικών δεδοµένων που είναι απαραίτητα για την ταυτοποίηση των χρηστών. Καµία περαιτέρω επεξεργασία των δεδοµένων της βάσης δεν γίνεται, η δε πληκτρολόγηση του ΑΜΚΑ στην οθόνη του εκδοτηρίου δεν επιτρέπει στον χειριστή την άντληση δεδοµένων εκ της βάσεως. Το σχετικό web service της Η∆ΙΚΑ που µνηµονεύει ο ΟΑ Α ονοµάζεται AMKA2dataLight. Ο ΟΑ Α επίσης στην ως άνω γνωστοποίησή του περιγράφει το πλαίσιο ασφαλείας των πληροφοριών του, αναφέροντας, µεταξύ άλλων, ότι διαθέτει και συνεχώς εξελίσσει πολιτική ασφάλειας πληροφοριών αλλά και σχέδιο ασφάλειας. Επιπροσθέτως περιγράφονται οι διαδικασίες άσκησης των δικαιωµάτων πρόσβασης και αντίρρησης από την πλευρά των υποκειµένων των δεδοµένων και αναφέρεται ότι 7 οποιαδήποτε πληροφορία επί του µικροεπεξεργαστή της κάρτας απεριορίστων διαδροµών διατηρείται ως καθαρό κείµενο διότι η κάρτα είναι εξ ορισµού ασφαλής χώρος φύλαξης/αποθήκευσης δεδοµένων. Ο ΟΑ Α, εν κατακλείδι, συµπεραίνει ότι κατοχυρώνει τη δυνατότητα των επιβατών σε πλήρως ανωνυµοποιηµένη χρήση των αστικών συγκοινωνιών και σε περίπτωση ειδικών προϊόντων εξασφαλίζει την ανωνυµία του χρήστη µέσω συστήµατος αλγορίθµου κατακερµατισµού (hashing). Τέλος, ο ΟΑ Α γνωστοποιεί στην Αρχή και τη δηµιουργία ενός νέου αρχείου προσωπικών δεδοµένων το οποίο ουδεµία σχέση έχει µε το µεταφορικό έργο ή µε οποιοδήποτε άλλο αρχείο του ΟΑ Α και λειτουργεί αυτόνοµα. Το αρχείο αυτό έχει ως σκοπό την επικοινωνία του ΟΑ Α µε όσους επιθυµούν να ενηµερώνονται για νέα προϊόντα, προσφορές και ειδικά ή έκτακτα νέα που αφορούν στις αστικές συγκοινωνίες. το αρχείο αυτό εγγράφονται ηλεκτρονικά όσοι επιθυµούν να λαµβάνουν ενηµέρωση για τις δράσεις και προσφορές του ΟΑ Α. Η διαδικασία καταχώρισης των δεδοµένων γίνεται βάσει της Οδηγίας 2/2011 της Αρχής. Ο χρήστης στη σχετική ηλεκτρονική σελίδα καταχωρεί το όνοµα, το επώνυµο, την ηλεκτρονική ή ταχυδροµική διεύθυνση ή τον αριθµό κινητού τηλεφώνου. την ίδια σελίδα µπορεί να ασκεί ψηφιακά το δικαίωµα αντίρρησης και διαγραφής από τη λίστα των πελατών/ενδιαφεροµένων. Ο πελάτης µπορεί να είναι χρήστης οποιουδήποτε προϊόντος και οποιασδήποτε κατηγορίας. Το ενδιαφέρον και ο σκοπός του ΟΑ Α στην τήρηση αυτού του αρχείου είναι να ωθεί µέσω προσφορών τους χρήστες στη χρήση των µέσων µαζικής µεταφοράς και στην προτίµηση αυτών για ενδεχόµενες δράσεις τους (όπως π.χ. προσφορά ή δωρεάν µετάβαση ή έκπτωση σε όλους τους κατόχους προσωποποιηµένων καρτών για συγκεκριµένες εκδηλώσεις, παραστάσεις κ.λπ.). Οι ενηµερώσεις αυτές δεν έχουν προσωπικό αλλά µαζικό χαρακτήρα και στη βάση δεδοµένων δεν καταχωρούνται συγκεκριµένα χαρακτηριστικά των πελατών. Κατόπιν της ως άνω νέας γνωστοποίησης, η Αρχή απέστειλε στον ΟΑ Α το υπ’ αριθµ. πρωτ. ΓΝ/ΕΞ/1570-1/15-06-2017 έγγραφο, µε το οποίο ζήτησε την παροχή συµπληρωµατικών διευκρινίσεων επί κάποιων ειδικών θεµάτων. Ο ΟΑ Α απάντησε µε το υπ’ αριθµ. πρωτ. ΓΝ/ΕΙ /1894/30-06-2017 έγγραφο. Λόγω της ανάγκης 8 αποσαφήνισης κάποιων από τα ζητήµατα της ως άνω επιστολής, η Αρχή απέστειλε νέα επιστολή µε ερωτήµατα µε το υπ’ αριθµ. πρωτ. ΓΝ/ΕΞ/1570-2/3-07-2017 έγγραφο, στο οποίο ο ΟΑ Α απάντησε µε το υπ’ αριθµ. πρωτ. ΓΝ/ΕΙ /2020/10-072017 έγγραφο. Από τα έγγραφα αυτά προκύπτουν τα εξής: α) Ο µήνας και το έτος γέννησης τηρούνται για όλους ανεξαιρέτως τους κατόχους προσωποποιηµένων καρτών και αφορούν στη µετάπτωση της κάρτας σε άλλη κατηγορία µε βάση την ηλικία (χωρίς αναφορά στην πλήρη ηµεροµηνία αλλά µόνο στο µήνα και έτος γεννήσεως). Η πληροφορία αυτή είναι απαραίτητη για την εφαρµογή όλων των πολιτικών κοµίστρου που συναρτώνται µε την ηλικία του επιβάτη (όπως περιγράφονται αναλυτικά στη συνέχεια). Η έναρξη και λήξη του εκπτωτικού δικαιώµατος αφορά άτοµα που πλησιάζουν για παράδειγµα την ηλικία των 18 ή των 65 ετών. Ο ΟΑ Α δεν µπορεί να γνωρίζει για πόσο διάστηµα θα διατηρήσει ο χρήστης την κάρτα του, εποµένως η αυτόµατη µετάπτωση µπορεί να συµβεί σε µικρό ή µεγάλο χρονικό διάστηµα. Για τον λόγο αυτό ο ΟΑ Α έχει επιλέξει να µην τηρεί την πλήρη ηµεροµηνία γεννήσεως αλλά µόνο µήνα/έτος ώστε να είναι αδύνατον να ταυτοποιηθεί κάποιος χρήστης από την ηµεροµηνία γεννήσεως και συγχρόνως να επιτυγχάνεται ο σκοπός της αυτόµατης µετάπτωσης στην επόµενη κατηγορία χωρίς απώλεια εσόδων του οργανισµού ή απώλεια δικαιωµάτων των χρηστών. Πέραν της εφαρµογής των υπαρχουσών πολιτικών κοµίστρου, το έτος γεννήσεως των επιβατών αποτελεί και ένα από τα στοιχεία που δύνανται να χρησιµοποιηθούν για στατιστική επεξεργασία των δεδοµένων µετακίνησης και εξαγωγή συµπερασµάτων για τη χρήση των µέσων από διαφορετικές ηλικιακές οµάδες. Η επεξεργασία αυτή είναι καθαρά στατιστική επί µεγάλου όγκου ανώνυµων δεδοµένων και σε καµία περίπτωση δεν προσδιορίζει στοιχεία µετακίνησης µεµονωµένων ατόµων. υγκεκριµένα, οι δικαιούχοι µετακίνησης µε µειωµένους τύπους κοµίστρου λόγω ηλικίας είναι οι εξής:

1. i)άτοµα άνω των 65 ετών,
2. ii)νέοι 7 έως 18 ετών, iii) φοιτητές Ανώτατων Εκπαιδευτικών Ιδρυµάτων της αλλοδαπής (µέχρι τα 25 έτη),
3. iv)Μαθητές άνω των 18 ετών,
4. v)πουδαστές ∆ηµόσιων Ι.Ε.Κ. (µέχρι τα 22 έτη). Όπως ήδη έχει αναφερθεί παραπάνω, ο ΑΜΚΑ τηρείται επιπρόσθετα για τους δικαιούχους µη σχετικού µε την ηλικία εκπτωτικού δικαιώµατος (ανέργους, ΑΜΕΑ, φοιτητές κ.λπ.), σε ανεξάρτητο πίνακα της βάσης δεδοµένων µαζί µε την ηµεροµηνία λήξης δικαιώµατος για την οποία θα τηρείται µόνο ο µήνας και το έτος. Μεταξύ του πίνακα αυτού και του πίνακα στον οποίο καταχωρίζονται οι κάρτες µε τα δεδοµένα 9 που αναφέρονται παραπάνω δεν υπάρχει κανένα κοινό πεδίο (κλειδί) που να επιτρέπει συσχέτιση των στοιχείων. β) Η πληροφορία της ηµεροµηνίας λήξης του δικαιώµατος βρίσκεται και στον ως άνω ανεξάρτητο πίνακα όπου τηρούνται οι ΑΜΚΑ αλλά και στον πίνακα µε τα στοιχεία των καρτών. Όµως αυτή η πληροφορία δεν συνιστά κλειδί συσχέτισης γιατί, όπως εξηγείται στη συνέχεια, η ηµεροµηνία λήξης του δικαιώµατος περιορίζεται µόνο σε µήνα και έτος και είναι ίδια για µεγάλες οµάδες χρηστών. Η πληροφορία της λήξης του δικαιώµατος συναρτάται µε την ανάγκη γνώσης του ΟΑ Α για τη µετάπτωση της ειδικής κατηγορίας κάρτας σε κανονική κατηγορία µετά τη λήξη του δικαιώµατος. Ο ΑΜΚΑ διαγράφεται από τον πίνακα µετά τη µετάπτωση σε κανονική κατηγορία. Ως προς τις ηµεροµηνίες λήξης του δικαιώµατος, ο ΟΑ Α αναφέρει ότι τα δικαιώµατα µειωµένου κοµίστρου προσδιορίζονται κάθε φορά µε κοινή υπουργική απόφαση και στη συνέχεια τα δικαιώµατα χορηγούνται µε συµβάσεις µεταξύ του ΟΑ Α και των εκάστοτε δικαιούχων οργανισµών. Οι ηµεροµηνίες λήξης των δικαιωµάτων είναι συνήθως η 31η ∆εκεµβρίου εκάστου έτους ή η ηµεροµηνία λήξης του χρόνου φοίτησης, θητείας κ.λπ. Πρόκειται δηλαδή για δεδοµένα µαζικά και όχι για συγκεκριµένες ηµεροµηνίες λήξεως που εξατοµικεύουν το κάθε υποκείµενο. Εποµένως τέτοια δεδοµένα όπως π.χ. η λήξη εξαµήνου φοίτησης ή η λήξη της θητείας δεν µπορούν να οδηγήσουν σε ταυτοποίηση επιβάτη διότι είναι, κατά τους ισχυρισµούς του ΟΑ Α, ίδια για πολύ µεγάλες οµάδες δικαιούχων. Ο ΟΑ Α εξέτασε την περίπτωση να µην τηρεί αναλυτικά την ηµεροµηνία λήξης δικαιώµατος αλλά µόνο τον µήνα και έτος λήξης αυτού και κατέληξε στην αποδοχή της χρήσης µόνο αυτής της πληροφορίας. γ) Κατά τον έλεγχο της κάρτας από ελεγκτή, τα δεδοµένα που είναι αποθηκευµένα στο chip της κάρτας και επί της κάρτας διαβάζονται τοπικά µε χρήση της ειδικής συσκευής ελέγχου χωρίς να γίνεται ανταλλαγή στοιχείων µε το κεντρικό σύστηµα. το chip της κάρτας βρίσκεται αποθηκευµένος ο µήνας και το έτος γέννησης και η κατηγορία της κάρτας (πολλαπλών διαδροµών, ΑΜΕΑ, άνεργος, φοιτητής κ.λπ.). Επίσης αποθηκεύονται οι έξι τελευταίες κινήσεις, ο αριθµός της κάρτας καθώς και το υπόλοιπο ποσό στην περίπτωση της ύπαρξης αποθηκευµένης αξίας. δ) Οι τελευταίες έξι κινήσεις της κάρτας (ώρες επικύρωσης και σταθµοί/στάσεις) καταγράφονται σε όλες τις κάρτες (προσωποποιηµένες και µη) όπως και στα πολλαπλά εισιτήρια. Οι ώρες επικύρωσης, οι σταθµοί/στάσεις και ο αριθµός όλων 10 των καρτών τηρούνται και στη βάση δεδοµένων. ηµειώνεται ότι δεν είναι γνωστή η ταυτότητα του επιβάτη παρά µόνο ο αριθµός της κάρτας. Το ακριβές ιστορικό των µετακινήσεων είναι απαραίτητο για τον υπολογισµό του κοµίστρου βάσει της επικύρωσης επιβίβασης ή της επικύρωσης αποβίβασης. Παραδείγµατος χάριν, το σύστηµα χρησιµοποιεί τα προαναφερθέντα δεδοµένα για να υπολογίσει εάν η κάρτα κυκλοφορεί εντός του χρονικού ορίου των 90 λεπτών ή εάν τα έχει υπερβεί καθώς και για να υπολογίσει εάν η κάρτα έχει υπερβεί ή όχι το µέγιστο αριθµό µετεπιβιβάσεων εντός του επιτρεπόµενου χρονικού ορίου. Επίσης, το σύστηµα εφαρµόζει µέγιστη επιτρεπόµενη ηµερήσια χρέωση (fare cap) στα προϊόντα Πολλαπλών ∆ιαδροµών (Count Based Ticket) και Αποθηκευµένης Αξίας. ∆ηλαδή, εάν εντός µίας ηµέρας η αξία του αθροίσµατος των κοµίστρων φτάσει την καθορισµένη µέγιστη ηµερήσια χρέωση, το σύστηµα σταµατάει πλέον να αφαιρεί διαδροµές/αξία από την κάρτα για την αποφυγή φαινοµένων υπερβολικής χρέωσης. Οι προαναφερθείσες λειτουργίες απαιτούν την τήρηση του ιστορικού µετακινήσεων στην κάρτα για την ορθή υλοποίησή τους. Η τήρηση των δεδοµένων κίνησης της κάρτας δεν αφορά σε δεδοµένα κίνησης «επιβατών» καθώς τα δεδοµένα αυτά έχουν ψευδωνυµοποιηθεί µε τη χρήση ανεπίστρεπτου ψηφιακού αποτυπώµατος (hashed value). Εποµένως, τα δεδοµένα κίνησης που τηρούνται δεν αναφέρονται σε υποκείµενα αλλά σε αριθµούς καρτών. Αν υφίσταται υπόλοιπο στην κάρτα τότε το µεταφορικό δικαίωµα παραµένει ενεργό και δεν υπάρχει σε αυτήν την περίπτωση λόγος διαγραφής της κάρτας. Αν το υπόλοιπο της κάρτας είναι µηδενικό, τότε τα δεδοµένα κίνησης διατηρούνται για δύο έτη. Περαιτέρω, ο χρήστης είναι πιθανό να ζητήσει ανάλυση του ιστορικού των µετακινήσεών του. Παραδείγµατος χάριν, εάν ένας επιβάτης παραπονεθεί για υπερβολική χρέωση κατά την επικύρωση της κάρτας του σε σταθµό ή όχηµα, ο έλεγχος του ιστορικού µετακινήσεων είναι αναγκαίος για την επιβεβαίωση ή µη των ισχυρισµών του επιβάτη και εν τέλει την επίλυση του προβλήµατος. Εξάλλου ο χρήστης µπορεί να θεωρήσει ότι δικαιούται να αµφισβητήσει το τυχόν µηδενικό υπόλοιπο της κάρτας του ή οποιαδήποτε χρέωση έγινε εντός της τελευταίας πενταετίας (οπότε παραγράφεται και το δικαίωµα εξ αδικοπραξίας). Προκειµένου να µην διατηρούνται στο αρχείο του ΟΑ Α εκατοµµύρια κινήσεις καρτών, ο ΟΑ Α διαγράφει τα δεδοµένα κινήσεων προ της παρόδου της πενταετίας, δηλαδή µε το τέλος της διετίας αχρησίας της κάρτας µηδενικού υπολοίπου. Η διετία θεωρείται εύλογος χρόνος διατήρησης ιστορικού κινήσεων της κάρτας και για 11 στατιστικούς σκοπούς. Ο ΟΑ Α αναλαµβάνει την υποχρέωση, αν τυχόν εµφανισθούν αµφισβητήσεις κινήσεων που υπερβαίνουν τη διετία, να τις χειριστεί κατά περίπτωση. ε κάθε περίπτωση, τα δεδοµένα κινήσεων που τηρούνται αφορούν σε κινήσεις καρτών, όχι υποκειµένων, οι οποίες συνδυάζονται µε µη αντιστρεφόµενες τιµές συνάρτησης κατακερµατισµού («ψηφιακά αποτυπώµατα»). ε) Τα δεδοµένα που θα λαµβάνονται από την υπηρεσία της Η∆ΙΚΑ θα χρησιµοποιούνται µόνο για αυτόµατη επαλήθευση των χορηγούµενων από το υποκείµενο δεδοµένων. Τα δεδοµένα δεν καταχωρίζονται σε αρχείο του ΟΑ Α. το αρχείο του ΟΑ Α καταχωρίζεται µόνο η τιµή της συνάρτησης κατακερµατισµού (hash code), ο αριθµός της κάρτας και ο µήνας και το έτος γέννησης. Το όνοµα και το επώνυµο του επιβάτη χρησιµοποιούνται µόνο για την εκτύπωση της κάρτας και δεν καταχωρίζονται. στ) Η χρήση 4ψήφιου κωδικού ασφαλείας υιοθετήθηκε, έναντι της δυνατότητας χρήσης οποιουδήποτε αλφαριθµητικού ανεξαρτήτου µήκους εν είδει συνθηµατικού, αφενός µεν διότι είναι κάτι στο οποίο το κοινό είναι εξοικειωµένο (pin πιστωτικών/χρεωστικών καρτών, κωδικός sim κινητών τηλεφώνων) αφετέρου δε διότι δύναται να εισαχθεί από τον επιβάτη µε χρήση ασύρµατου numpad κατά τη διαδικασία έκδοσης της κάρτας στο ΤΕΚ. Ο τελευταίος περιορισµός δεν υφίσταται φυσικά κατά τη διαδικασία καταχώρισης των στοιχείων µέσω του portal και δηµιουργίας του QR code. Η χρήση όµως αλφαριθµητικών κωδικών θα αύξανε τη πιθανότητα απώλειάς τους µε αρνητικές συνέπειες στη διαδικασία αντικατάστασης καρτών µε µεταφορά υπολοίπου. Η Αρχή, µετά από εξέταση όλων των στοιχείων του φακέλου, αφού άκουσε τους εισηγητές και τις διευκρινίσεις των βοηθών εισηγητών οι οποίοι στην συνέχεια αποχώρησαν, κατόπιν διεξοδικής συζήτησης, εκδίδει την ακόλουθη ΓΝΩΜΟ∆Ο 1. ΗΣΗ Η Αρχή είναι αρµόδια σύµφωνα µε το άρθρο 19 παρ. 1 στοιχ. θ΄ του ν. 2472/1997 να «γνωµοδο εί για κάθε ρύθµιση που αφορά ην επεξεργασία και προσ ασία δεδοµένων προσωπικού χαρακ ήρα». H γνωµοδοτική αρµοδιότητα της Αρχής δεν περιορίζεται µόνο στους τοµείς που ρυθµίζονται από την Οδηγία 95/46/ΕΚ 12 αλλά καταλαµβάνει όλα τα θέµατα που αφορούν στην επεξεργασία και προστασία των προσωπικών δεδοµένων. 2. Ήδη µε την υπ’ αριθµ. 1/2017 Γνωµοδότηση η Αρχή έθεσε το σύνολο των προϋποθέσεων που πρέπει να πληρούνται ώστε η επεξεργασία προσωπικών δεδοµένων στο πλαίσιο ενός ηλεκτρονικού συστήµατος για τις µετακινήσεις που γίνονται µε µέσα µαζικής µεταφοράς να είναι σύµφωνη µε τις επιταγές του σχετικού νοµικού πλαισίου και να µη θίγει τα θεµελιώδη δικαιώµατα και ελευθερίες των ατόµων. Όπως επεσήµανε, µεταξύ άλλων, η Αρχή στην ως άνω Γνωµοδότηση, οι σκοποί που δήλωσε ο ΟΑ Α για την εν λόγω επεξεργασία είναι καθορισµένοι, σαφείς, θεµιτοί και νόµιµοι ενώ η επίτευξή τους χωρίς τη χρήση ηλεκτρονικού εισιτηρίου είναι εξαιρετικά δυσχερής µε την υπάρχουσα έγχαρτη µορφή των εισιτηρίων για τα µέσα µαζικής µεταφοράς που τελούν υπό την εποπτεία του ΟΑ Α (βλ. Γνωµοδότηση 1/2017, κέψη 6). Ωστόσο, όπως επίσης αναφέρεται στην ως άνω Γνωµοδότηση, για την επίτευξη των σκοπών αυτών η εν λόγω επεξεργασία προσωπικών δεδοµένων είναι εµφανώς διαφορετικής «έντασης» (τήρηση ηλεκτρονικής βάσης δεδοµένων, χρήση microchip ανέπαφης contactless τεχνολογίας, τήρηση µεγάλου εύρους προσωπικών δεδοµένων κτλ.) σε σχέση µε την επεξεργασία προσωπικών δεδοµένων που πραγµατοποιεί µέχρι τώρα ο ΟΑ Α στο πλαίσιο της παροχής των υπηρεσιών του στο επιβατικό κοινό. Επιπλέον, η αιτούµενη επεξεργασία θα είναι υποχρεωτική και θα αφορά µεγάλο πλήθος υποκειµένων των δεδοµένων, οπότε και καθίσταται αναγκαίο, κατά τον σχεδιασµό του ηλεκτρονικού συστήµατος, να διασφαλίζεται ότι πληρούνται οι αναγκαίες προϋποθέσεις για την αντιµετώπιση των κινδύνων ως προς την προστασία των προσωπικών δεδοµένων («προστασία των δεδοµένων ήδη από τον σχεδιασµό», βλ. Γνωµοδότηση 1/2017, κέψη 7). Περαιτέρω, η Αρχή ρητώς επεσήµανε ότι ο κύριος κίνδυνος που ελλοχεύει, ως προς την προστασία των προσωπικών δεδοµένων, στο πλαίσιο ενός συστήµατος προσωποποιηµένων ηλεκτρονικών εισιτηρίων, συνίσταται στο ότι η χρήση ενός τέτοιου συστήµατος µπορεί να συνεπάγεται τη συλλογή δεδοµένων σχετικά µε τις διαδροµές που πραγµατοποιεί ο εκάστοτε επιβάτης µε αποτέλεσµα να θίγεται υπέρµετρα η ελευθερία κίνησης ή κυκλοφορίας της οποίας αναπόσπαστο µέρος αποτελεί το δικαίωµα της ανώνυµης µετακίνησης (βλ. Γνωµοδότηση 1/2017, κέψη 8). Ο κίνδυνος αυτός ήταν υπαρκτός µε βάση την αρχική µορφή του συστήµατος που περιέγραφε ο ΟΑ Α στην αρχική του γνωστοποίηση. υναφώς, ο υπεύθυνος 13 επεξεργασίας ούτε τεκµηρίωσε την αναγκαιότητα της επεξεργασίας του συνόλου των προσωπικών δεδοµένων τα οποία θα υφίσταντο επεξεργασία σύµφωνα µε το αρχικό σύστηµα ούτε κατέδειξε ότι εξέτασε εναλλακτικές τεχνικές λύσεις που αφενός µεν θα επετύγχαναν εξίσου τους επιδιωκόµενους σκοπούς αφετέρου δε θα εξασφάλιζαν την προστασία της ιδιωτικότητας των χρηστών (βλ. Γνωµοδότηση 1/2017, κέψη 9). 3. Η υπό εξέταση νέα γνωστοποίηση, όπως περιγράφεται στο ιστορικό της παρούσας, έχει εναρµονιστεί σε ικανοποιητικό βαθµό µε τις προϋποθέσεις που έθεσε η Αρχή στη Γνωµοδότηση 1/2017. υγκεκριµένα, όπως συνάγεται από το ιστορικό της παρούσας, ο υπεύθυνος επεξεργασίας έχει περιορίσει το σύνολο των προσωπικών δεδοµένων που συλλέγει και επεξεργάζεται εν όψει των επιδιωκόµενων σκοπών ενώ έχει επίσης προβεί σε νέα συνολική σχεδίαση του συστήµατος. Προκύπτει επίσης ότι για το σύστηµα ΗΛΕΚΤΡΟΝΙΚΟ ΕΙ ΙΤΗΡΙΟ τέθηκε πλέον ως σχεδιαστικός στόχος η αντιµετώπιση των κινδύνων για την προστασία των προσωπικών δεδοµένων που περιέγραψε η Αρχή στη Γνωµοδότηση 1/2017. ε συµµόρφωση µε την προαναφερόµενη Γνωµοδότηση, η νέα γνωστοποίηση, µεταξύ άλλων, προβλέπει τη δηµιουργία ψηφιακού αποτυπώµατος µε την εισαγωγή κωδικού που θα γνωρίζει µόνο ο χρήστης. Η νέα γνωστοποίηση εξάλλου περιέχει όλες τις πληροφορίες που προσδιορίζονται στο άρ. 6 του ν. 2472/1997. 4. Επιπροσθέτως, η Αρχή κρίνει ότι η αξιοποίηση της διαδικτυακής υπηρεσίας της Η∆ΙΚΑ για τον σκοπό της ακρίβειας των προσωπικών δεδοµένων (όνοµα, επώνυµο, µήνας και έτος γέννησης), όπως περιγράφεται από τον ΟΑ Α στη νέα γνωστοποίησή του, δεν προσκρούει στις θεµελιώδεις αρχές της προστασίας προσωπικών δεδοµένων αφού µια τέτοια επεξεργασία γίνεται για σαφή, θεµιτό και νόµιµο σκοπό και δεν έχει ως αποτέλεσµα τη συλλογή, από πλευράς ΟΑ Α, περισσότερων προσωπικών δεδοµένων από όσα απαιτούνται για την επίτευξη των επιδιωκόµενων σκοπών του – δεδοµένου άλλωστε ότι ο ΟΑ Α θα συλλέγει τα ίδια ακριβώς δεδοµένα ακόµα και χωρίς την αξιοποίηση της διαδικτυακής υπηρεσίας της Η∆ΙΚΑ. Αυτονόητο είναι ότι η εν λόγω διαδικτυακή υπηρεσία δεν θα πρέπει να παρέχει καµία άλλη πληροφορία προς τον ΟΑ Α, πέραν των όσων ρητώς προσδιορίζονται ανωτέρω, καθώς επίσης και ότι ο ΟΑ Α οφείλει ως υπεύθυνος επεξεργασίας να λαµβάνει πάντα τα πλέον ενδεδειγµένα µέτρα για την ασφάλεια της επεξεργασίας στο πλαίσιο της εν λόγω διαδικτυακής υπηρεσίας. 5. Περαιτέρω, η Αρχή κρίνει ότι, ιδίως ως προς τον κίνδυνο της συστηµικής αντιστοίχισης του αριθµού της κάρτας µε τον κάτοχό της, η οποία τελικά θα 14 ισοδυναµούσε µε γνώση του ιστορικού όλων των µετακινήσεων για συγκεκριµένο επιβάτη –κάτι που αντίκειται στις προϋποθέσεις που έθεσε η Αρχή στη Γνωµοδότηση 1/2017– ο υπεύθυνος επεξεργασίας θα πρέπει να εξετάσει προσεγγίσεις προς βελτίωση του συστήµατος. Τούτο διότι µε το περιγραφόµενο σύστηµα ο κίνδυνος αυτός περιορίζεται µεν σηµαντικά αλλά φαίνεται ότι δεν εξαλείφεται πλήρως ιδίως λόγω της τήρησης, για συγκεκριµένους έστω χρήστες, του ΑΜΚΑ. ηµειώνεται ότι η Αρχή στη Γνωµοδότηση 1/2017 είχε ρητώς επισηµάνει ότι ο υπεύθυνος επεξεργασίας θα πρέπει να διασφαλίσει ότι από το σύνολο της τηρούµενης πληροφορίας, ακόµα και αν αυτή είναι διαµοιρασµένη σε ανεξάρτητα υποσυστήµατα, δεν θα πρέπει να είναι εφικτή η εξαγωγή πλήρους πληροφόρησης για τις ακριβείς διαδροµές που πραγµατοποιεί ο κάθε επιβάτης έτσι ώστε να διασφαλίζεται το δικαίωµα της ανώνυµης µετακίνησης (βλ. κέψη 9 αυτής). Εντούτοις το νέο σύστηµα παρέχει αυτήν την, έστω και αποµακρυσµένη πρακτικά, δυνατότητα επειδή, όπως περιγράφεται αναλυτικά στη συνέχεια, δεν αποκλείει τη διασύνδεση πληροφοριών που τηρούνται µεν σε ανεξάρτητους πίνακες της βάσης δεδοµένων, ωστόσο µέσω της κατάλληλης µεταξύ τους διασύνδεσης µπορεί να δηµιουργήσουν προφίλ µετακινήσεων συγκεκριµένου επιβάτη/συγκεκριµένων επιβατών:
5. i)Για δοθέν AMKA που εµφανίζεται στον ανεξάρτητο πίνακα, καταγραφή του µήνα και έτους λήξης δικαιώµατος της αντίστοιχης κάρτας.
6. ii)Αναζήτηση της ανωτέρω τιµής «µήνας/έτος λήξης δικαιώµατος» στον κεντρικό πίνακα της βάσης. Όπως αναφέρει ο ΟΑ Α, πολλοί χρήστες –άρα, πολλές καταχωρίσεις στον κεντρικό αυτό πίνακα– θα έχουν κοινή τιµή σε αυτό το πεδίο (π.χ. θα είναι για πολλούς η 31η ∆εκεµβρίου του τρέχοντος κάθε φορά έτους) και, ως εκ τούτου, η αναζήτηση αυτή θα έχει ως αποτέλεσµα πολλές –και όχι αποκλειστικά µία– καταχωρίσεις (δηλαδή πολλούς διαφορετικούς χρήστες, ένας µόνο εκ των οποίων θα αντιστοιχεί στον δοθέντα ΑΜΚΑ). iii) Λαµβάνοντας υπόψη ότι ο ΑΜΚΑ περιέχει τον µήνα και το έτος γέννησης, από το σύνολο των πολλών αυτών χρηστών µπορούν να εξαιρεθούν εκείνοι για τους οποίους ο µήνας και το έτος γέννησης – που τηρούνται στον κεντρικό πίνακα– δεν αντιστοιχεί στην αρχική τιµή του ΑΜΚΑ που επελέγη. 15 Η ανωτέρω περιγραφείσα διαδικασία καταδεικνύει ότι δεν µπορεί να αποκλειστεί το ενδεχόµενο, για κάποιες έστω τιµές του ΑΜΚΑ, να προσδιοριστεί µονοσήµαντα το ποια είναι η κάρτα που αντιστοιχεί σε κάθε έναν από τους χρήστες µε τις εν λόγω τιµές του ΑΜΚΑ – δηλαδή τελικά να αναγνωριστούν οι κάτοχοι συγκεκριµένων καρτών. Ως εκ τούτου, για την αντιµετώπιση και του ανωτέρω κινδύνου, ο υπεύθυνος επεξεργασίας θα πρέπει να εξετάσει την ενσωµάτωση των απαραίτητων εγγυήσεων στην επεξεργασία ώστε να προστατεύονται τα δικαιώµατα των υποκειµένων των δεδοµένων. Ενδεικτικά, θα µπορούσε να εξεταστεί να µην τηρείται ο AMKA σε αυτούσια µορφή αλλά αντ’ αυτού να τηρείται ένα µη αναστρέψιµο ψηφιακό αποτύπωµα (hashed value) του ΑΜΚΑ3. υναφώς µε τον ανωτέρω κίνδυνο, ο υπεύθυνος επεξεργασίας θα πρέπει να επιτρέπει στους χρήστες, για τον υπολογισµό του «ψηφιακού αποτυπώµατος» που περιγράφεται στο ιστορικό της παρούσας, να επιλέγουν οποιοδήποτε συνθηµατικό επιθυµούν και όχι να περιορίζονται σε τετραψήφιο κωδικό. Και τούτο διότι ο τετραψήφιος κωδικός συνεπάγεται ότι για κάθε ΑΜΚΑ, µόνο 10.000 πιθανές τιµές ψηφιακού αποτυπώµατος4 µπορούν να προκύψουν – αριθµός τέτοιος που τελικά επιτρέπει υπολογιστικά τον έλεγχο για το εάν µία δοθείσα τιµή του ΑΜΚΑ αντιστοιχεί σε κάποια από τις κάρτες που τηρούνται στον κεντρικό πίνακα της βάσης. 6. Η Αρχή στη Γνωµοδότηση 1/2017 (βλ. κέψη 11 αυτής) επεσήµανε ότι, λαµβάνοντας υπόψη τα χαρακτηριστικά της επεξεργασίας, σκόπιµο είναι ο ΟΑ Α, ως υπεύθυνος επεξεργασίας, να προβεί στην εκπόνηση µελέτης εκτίµησης επιπτώσεων στην προστασία προσωπικών δεδοµένων, προκειµένου να καταδειχτούν και να αντιµετωπιστούν όλα τα ζητήµατα που εγείρονται ως προς την προστασία των δεδοµένων, καθώς επίσης και να ληφθούν τα απαραίτητα µέτρα. ∆εδοµένου ότι δεν υποβλήθηκε στην Αρχή µια τέτοια µελέτη εκτίµησης επιπτώσεων, η Αρχή επαναφέρει την ανάγκη εκπόνησης µιας τέτοιας µελέτης η οποία θα πρέπει να περιέχει τουλάχιστον5: α) συστηµατική περιγραφή των προβλεπόµενων πράξεων επεξεργασίας και των σκοπών της επεξεργασίας, β) εκτίµηση της αναγκαιότητας και της αναλογικότητας των πράξεων επεξεργασίας σε συνάρτηση µε τους 3 Π.χ. µια κατακερµατισµένη τιµή της τριπλέτας «ΑΜΚΑ-Επώνυµο-Όνοµα» τα οποία παρέχονται από τη διαδικτυακή υπηρεσία της Η∆ΙΚΑ. 4 Όσο είναι και το σύνολο όλων των διαφορετικών τετραψήφιων κωδικών. 5 Υπό το πρίσµα των όσων αναφέρονται και στο άρθρο 35 του Κανονισµού (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδοµένων προσωπικού χαρακτήρα, ο οποίος θα τεθεί σε εφαρµογή στα Κράτη Μέλη στις 25 Μαΐου 2018. 16 επιδιωκόµενους σκοπούς, γ) εκτίµηση των κινδύνων για τα δικαιώµατα και τις ελευθερίες των υποκειµένων των δεδοµένων, και δ) τα προβλεπόµενα µέτρα αντιµετώπισης των κινδύνων, περιλαµβανοµένων των εγγυήσεων, των µέτρων και µηχανισµών ασφάλειας (όπως ανωνυµοποίηση ή/και ψευδωνυµοποίηση), ώστε να διασφαλίζεται η προστασία των δεδοµένων προσωπικού χαρακτήρα. 7. Τέλος, ως προς το νέο (σε σχέση µε την παλαιότερη γνωστοποίηση) αρχείο που γνωστοποίησε ο ΟΑ Α για τους σκοπούς της ενηµέρωσης –όσων επιθυµούν– για τις προσφορές του Οργανισµού κ.λπ., κρίνεται ότι αυτό δεν προσκρούει στις διατάξεις του ν. 2472/1997. Αυτονόητο είναι ότι, και για αυτό το αρχείο, θα πρέπει να λαµβάνονται τα κατάλληλα µέτρα ασφάλειας σύµφωνα µε το άρ. 10 ν. 2472/1997. 8. Λαµβάνοντας υπόψη όλα τα ανωτέρω, η Αρχή γνωµοδοτεί θετικά για το νέο σύστηµα αναφορικά µε την περιγραφόµενη επεξεργασία προσωπικών δεδοµένων συµπεριλαµβανοµένης της κατάλληλης αξιοποίησης της διαδικτυακής υπηρεσίας της Η∆ΙΚΑ όπως αναφέρεται στη κέψη 4 της παρούσας. Ωστόσο, ο υπεύθυνος επεξεργασίας θα πρέπει αµελλητί να προβεί σε κατάλληλες τροποποιήσεις του συστήµατος, σύµφωνα µε τα όσα διαλαµβάνονται στη κέψη 5 της παρούσας. Περαιτέρω, η αποτελεσµατικότητα των σχετικών τροποποιήσεων θα πρέπει να τεκµαίρεται από µελέτη εκτίµησης επιπτώσεων στην προστασία προσωπικών δεδοµένων την οποία ο υπεύθυνος επεξεργασίας οφείλει να εκπονήσει σύµφωνα µε τα όσα διαλαµβάνονται στη κέψη 6 της παρούσας. Η µελέτη αυτή θα πρέπει να αποτυπώνεται σε εγκεκριµένο από τη διοίκηση του ΟΑ Α έγγραφο και να είναι διαθέσιµη έως τις 25 Μαΐου 2018. Ο Πρόεδρος Κωνσταντίνος Μενουδάκος Η Γραµµατέας Γεωργία Παλαιολόγου 17