Επεξεργασία προσωπικών δεδομένων μέσω διαδικτυακών τόπων του Υπουργείου Παιδείας

ΕΛΛΗΝΙΚΗ ∆ΗΜΟΚΡΑΤΙΑ ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ∆Ε∆ΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΑΠΟΦΑΣΗ Αθήνα, 05-09-2014 Αριθ. Πρωτ.: Γ/ΕΞ/5260/05-09-2014 ΑΡ. 121/2014 Η Αρχή Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα συνήλθε µετά από πρόσκληση του Προέδρου της σε τακτική συνεδρίαση στην έδρα της την 25-06-2014, σε συνέχεια της από 26-03-2014 τακτικής συνεδρίασής της, προκειµένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Π. Χριστόφορος, Πρόεδρος της Αρχής, και τα τακτικά µέλη της Αρχής Λ. Κοτσαλής, Αν. – Ιωάν. Μεταξάς, ∆. Μπριόλας, Α. Συµβώνης, ως εισηγητής, και Κ. Χριστοδούλου. Το τακτικό µέλος Π. Τσαντίλας, αν και προσκλήθηκε νοµίµως, δεν προσήλθε λόγω κωλύµατος. Στη συνεδρίαση παρέστησαν, επίσης, µε εντολή του Προέδρου, οι Γ. Ρουσόπουλος, ειδικός επιστήµων – πληροφορικός, και Κ. Λιµνιώτης, ειδικός επιστήµων – πληροφορικός, ως βοηθοί εισηγητή. Επίσης, παρέστη, µε εντολή του Προέδρου, και η Ε. Παπαγεωργοπούλου, υπάλληλος του ∆ιοικητικού – Οικονοµικού Τµήµατος της Αρχής, ως γραµµατέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Η Αρχή ∆ιασφάλισης του Απορρήτου των Επικοινωνιών (εφεξής Α∆ΑΕ) διαβίβασε στην Αρχή δύο καταγγελίες σχετικά µε την επεξεργασία προσωπικών δεδοµένων χρηστών δύο διαδικτυακών τόπων του Υπουργείου Παιδείας και Θρησκευµάτων (εφεξής, υπεύθυνος επεξεργασίας). Ειδικότερα, οι δύο καταγγελίες αφορούσαν τα κάτωθι (βλ. α’ και β’ αντιστοίχως): α) Η Α∆ΑΕ διαβίβασε στην Αρχή, µε το υπ’ αριθµ. πρωτ. …./..-..-.2013 έγγραφό της (αριθµ. πρωτ. Αρχής: Γ/ΕΙΣ/7918/12-12-2013), την καταγγελία που της υποβλήθηκε από το A αναφορικά µε την ασφάλεια του διαδικτυακού τόπου http://odysseas.it.minedu.gov.gr/1 του υπευθύνου επεξεργασίας, µέσω του οποίου απογράφησαν οι υπάλληλοι συγκεκριµένων κλάδων οκτώ Πανεπιστηµίων, σύµφωνα µε την υπ’ αριθµ. ∆ΙΠΙ∆∆/Β.2/∆/33/οικ.27653/1110-2013 Υπουργική Απόφαση. Όπως αναφέρεται στην ως άνω καταγγελία, η σύνδεση των χρηστών στον ανωτέρω διαδικτυακό τόπο δεν ήταν κρυπτογραφηµένη, ενώ επίσης δεν ήταν σε ισχύ επαρκείς µηχανισµοί για την αυθεντικοποίηση των χρηστών της συγκεκριµένης διαδικτυακής εφαρµογής, αφού για την πρόσβαση σε αυτή απαιτείτο η εισαγωγή προσωπικών στοιχείων του εκάστοτε υπαλλήλου τα οποία δύνανται να γνωρίζουν και άλλοι, χωρίς να πραγµατοποιείται κανένας άλλος έλεγχος σχετικά µε την επιβεβαίωση της ταυτότητάς του. Επίσης, βάσει της καταγγελίας, o συγκεκριµένος διαδικτυακός τόπος δεν παρείχε ενηµέρωση περί του ακριβούς είδους της επεξεργασίας και των αποδεκτών των δεδοµένων. Η Αρχή, στο πλαίσιο εξέτασης της εν λόγω καταγγελίας, απέστειλε στον υπεύθυνο επεξεργασίας το υπ’ αριθµ. πρωτ. Γ/ΕΞ/131/10-01-2014 έγγραφο, µε το οποίο ζητούσε µεταξύ άλλων τις απόψεις επί των καταγγελλοµένων, καθώς επίσης και ειδικότερες διευκρινίσεις περί του τρόπου λειτουργίας του ανωτέρω διαδικτυακού τόπου, του ακριβούς είδους της επεξεργασίας προσωπικών δεδοµένων αλλά και των µέτρων ασφαλείας που ελήφθησαν για την εν λόγω επεξεργασία, λαµβάνοντας υπόψη ότι οι κανόνες και πρότυπα αναφορικά µε την εγγραφή, ταυτοποίηση και ηλεκτρονική αναγνώριση πολιτών σε ηλεκτρονικές υπηρεσίες του δηµόσιου τοµέα καθορίζονται στο Πλαίσιο Παροχής Υπηρεσιών Ηλεκτρονικής ∆ιακυβέρνησης (ΥΑΠ Φ.40.4/1/989, ΦΕΚ 1301/Β/2012) – εφεξής, ΠΠΥΗ∆ και, µάλιστα, στο Παράρτηµα ΙΙΙ αυτού (Πλαίσιο Ψηφιακής Αυθεντικοποίησης). Ο υπεύθυνος επεξεργασίας (ειδικότερα µέσω της ∆/νσης Λειτουργικής Ανάπτυξης Πληροφοριακών Συστηµάτων) απάντησε στην Αρχή µε το υπ’ αριθµ. πρωτ. ……/… και µε ηµεροµηνία ..-..-2014 έγγραφο (αρ. πρωτ. Αρχής: Γ/ΕΙΣ/858/10-02-2014), στο οποίο επισηµαίνονται τα εξής:

1. i)Όπως προβλέπεται από την παρ. 3 του άρθρου 2 της µε αριθµ. ∆ΙΠΙ∆∆/Β.2/2/οι.21634/2.8.2013 (ΦΕΚ 1914/Β/7.8.2013) Απόφασης του Υπουργού ∆ιοικητικής Μεταρρύθµισης και Ηλεκτρονικής ∆ιακυβέρνησης, το Ανώτατο Συµβούλιο Επιλογής Προσωπικού (εφεξής ΑΣΕΠ) παρέχει ενιαίο λογισµικό για τη σύνταξη πινάκων συνδροµής κριτηρίων επιλογής, σε ψηφιακή µορφή, για τη θέση σε διαθεσιµότητα. Ως εκ τούτου, για το εν λόγω πληροφοριακό σύστηµα, σχεδιάστηκαν ηλεκτρονικές φόρµες 1 Ο εν λόγω διαδικτυακός τόπος δεν είναι πλέον σε λειτουργία. αντίστοιχες µε αυτές του ΑΣΕΠ, ακολουθώντας τις σχετικές επεξηγηµατικές οδηγίες.
2. ii)Τα δεδοµένα που συλλέχθηκαν παραδόθηκαν εν συνεχεία στην αρµόδια υπηρεσία του υπευθύνου επεξεργασίας για τις περαιτέρω ενέργειες. Όπως προβλέπεται από τις προαναφερθείσες διατάξεις, το ΑΣΕΠ µοριοδότησε τα προσόντα των υπαλλήλων, κατάρτισε Πίνακα κατάταξης υπαλλήλων κατά φθίνουσα σειρά βαθµολογίας, ανά φορέα, κατηγορία, κλάδο ή/και ειδικότητα, και διαβίβασε τους σχετικούς πίνακες στο αρµόδιο τριµελές ειδικό υπηρεσιακό συµβούλιο του οικείου φορέα, το οποίο και εξέδωσε τους τελικούς πίνακες που αναρτήθηκαν σε επίσηµους διαδικτυακούς τόπους του Υπουργείου ∆ιοικητικής Μεταρρύθµισης και Ηλεκτρονικής ∆ιακυβέρνησης και του ΑΣΕΠ. Λόγω της προβλεπόµενης στην προαναφερθείσα Υπουργική Απόφαση δηµόσιας ανάρτησης των στοιχείων των απογραφέντων υπαλλήλων, κρίθηκαν επαρκή τα µέτρα ασφαλείας για το εν λόγω πληροφοριακό σύστηµα. Περαιτέρω, όλα τα απαραίτητα δικαιολογητικά των στοιχείων που δηλώθηκαν από τους απογραφέντες έπρεπε να κατατεθούν και εγγράφως στο αρµόδιο Τµήµα του υπευθύνου επεξεργασίας, σύµφωνα µε το αρ. πρωτ. 150628/Β2/15.10.2013 έγγραφο της ∆/νσης Ανωτάτης Πανεπιστηµιακής Εκπαίδευσης του Υπουργείου, οπότε και – όπως αναφέρεται στην ως άνω απάντηση του υπευθύνου επεξεργασίας – διασφαλιζόταν η ακεραιότητα των δεδοµένων, η αποτροπή κακόβουλης πρόσβασης καθώς και κάθε άλλη µορφή αθέµιτης ενέργειας. Συνεπώς, κρίθηκε µη αναγκαία η χρήση πρόσθετων µηχανισµών αποφυγής κακόβουλης παραποίησης των καταγεγραµµένων ηλεκτρονικών δεδοµένων. iii) Η εν λόγω διαδικτυακή υπηρεσία, κατά τον υπεύθυνο επεξεργασίας, ήταν σύµφωνη µε τους κανόνες που αναφέρονται στο ΠΠΥΗ∆: ειδικότερα, η υπηρεσία εντάχθηκε στο επίπεδο εµπιστοσύνης 2, λόγω της φύσης των δεδοµένων, και στο επίπεδο αυθεντικοποίησης 1 λόγω του ότι θα ακολουθούσε επικοινωνία του χρήστη µε τον φορέα και σε φυσικό επίπεδο. Ως εκ τούτου, κρίθηκε επαρκές το να χρησιµοποιηθεί ο συνδυασµός του Αριθµού Φορολογικού Μητρώου (ΑΦΜ) και του Αριθµού Μητρώου Κοινωνικής Ασφάλισης (ΑΜΚΑ) ως µηχανισµός αυθεντικοποίησης των χρηστών. β) H Α∆ΑΕ διαβίβασε στην Αρχή, µε το υπ’ αριθµ. πρωτ. …./..-..-.2013 έγγραφό της (αρ. πρωτ. Αρχής: Γ/ΕΙΣ/7919/12-12-2013) καταγγελία του B αναφορικά µε την ασφάλεια του διαδικτυακού τόπου http://iekteachers.sch.gr/Login του υπευθύνου επεξεργασίας, µέσω του οποίου καθηγητές υπέβαλαν αιτήσεις για απασχόληση σε ∆ηµόσια ΙΕΚ. Ειδικότερα, µε βάση την καταγγελία, τα δεδοµένα που αποστέλλονται στον ανωτέρω διαδικτυακό τόπο, όπως ο Αριθµός Φορολογικού Μητρώου και ο Αριθµός Μητρώου Κοινωνικής Ασφάλισης, δεν είναι κρυπτογραφηµένα. Η Αρχή, στο πλαίσιο εξέτασης την εν λόγω υπόθεσης, και δεδοµένου ότι δεν ήταν σαφής ο υπεύθυνος του εν λόγω διαδικτυακού τόπου, απέστειλε στο Ίδρυµα Νεολαίας και ∆ια Βίου Μάθησης (Ι.ΝΕ.∆Ι.ΒΙ.Μ.), µε κοινοποίηση στο Υπουργείο Παιδείας και Θρησκευµάτων, το υπ’ αριθµ. πρωτ. Γ/ΕΞ/448/22-01-2014 έγγραφο, µε το οποίο ζητούσε τις απόψεις επί των καταγγελλοµένων. Ακολούθως, το Υπουργείο Παιδείας (και ειδικότερα η ∆/νση ∆ιοικητικού - Οικονοµικού), ως υπεύθυνος επεξεργασίας, απέστειλε στην Αρχή το µε αρ. πρωτ. … και µε ηµ/νία ..-..-..-2014 έγγραφο (αρ. πρωτ. Αρχής: Γ/ΕΙΣ/966/13-02-2014), στο οποίο αναφέρονται τα εξής:
3. i)Η πιστοποίηση των χρηστών της εν λόγω υπηρεσίας γίνεται µε τον ΑΦΜ, τον ΑΜΚΑ, και προσωπικό συνθηµατικό που επιλέγει ο κάθε χρήστης. Αναφορικά µε τη µη χρήση κρυπτογράφησης (πρωτόκολλο HTTP αντί για το HTTPS), ο υπεύθυνος επεξεργασίας αναφέρει ότι υποκλοπή στοιχείων ενός χρήστη θα µπορούσε να γίνει µόνο αν κάποιος τρίτος αποκτούσε πρόσβαση στη δικτυακή κίνηση από το µηχάνηµα από το οποίο γίνεται η υποβολή, κάτι το οποίο αποτελεί έναν µόνιµο κίνδυνο που δεν αντιµετωπίζεται µε το πρωτόκολλο HTTPS.
4. ii)Η σχετική βάση δεδοµένων βρίσκεται σε εξαιρετικά ασφαλή υποδοµή, µε σχήµα κατανεµηµένων εξυπηρετητών και «τείχος προστασίας» (firewall), µε πρόσβαση µόνο µέσω εικονικού ιδεατού δικτύου (VPN). Το Υπουργείο Παιδείας και Θρησκευµάτων κλήθηκε νοµίµως, µε το υπ’ αριθµ. πρωτ. Γ/ΕΞ/1750/17-03-2014 έγγραφο της Αρχής, σε ακρόαση ενώπιον της Αρχής στη συνεδρίαση της 26-03-2014, ως υπεύθυνος επεξεργασίας, για να δώσει περαιτέρω διευκρινίσεις και να εκθέσει διεξοδικά τις απόψεις του επί των ανωτέρω. Στη συνεδρίαση της 26-03-2014, παρέστησαν νοµίµως, ως εκπρόσωποι του Υπουργείου, η κα Γ, ∆ιευθύντρια …, και η κα. ∆, Αναπληρώτρια ∆/ντρια …, για το ζήτηµα της υπό του ανωτέρω σηµείου α’ καταγγελίας (ήτοι της απογραφής υπαλλήλων), καθώς επίσης και o κ. Ε, στέλεχος [της] Γενικής Γραµµατείας ∆ια βίου Μάθησης, για το ζήτηµα της υπό του ανωτέρω σηµείου β’ καταγγελίας (ήτοι των αιτήσεων εκπαιδευτών). Κατά την ακρόαση, οι ως άνω εκπρόσωποι εξέθεσαν προφορικά τις απόψεις τους. Κατόπιν της ακρόασης, ο υπεύθυνος επεξεργασίας κατέθεσε εµπροθέσµως σχετικά υποµνήµατα τόσο για το ζήτηµα της απογραφής υπαλλήλων (υπ' αριθµ. πρωτ. …./.. και µε ηµεροµηνία ..-..-2014 έγγραφο - αρ. πρωτ. Αρχής: Γ/ΕΙΣ/2126/02-04-2014), όσο και για το ζήτηµα των αιτήσεων εκπαιδευτών (υπ' αριθµ. πρωτ. …. και µε ηµεροµηνία ..-..-2014 έγγραφο - αρ. πρωτ. Αρχής: Γ/ΕΙΣ/2119/02-04-2014). Με βάση τα όσα εκτέθηκαν προφορικά κατά τη συνεδρίαση της Αρχής, αλλά και όσα παρατίθενται στα ως άνω υποµνήµατα, προκύπτουν τα κάτωθι για την επεξεργασία δεδοµένων µέσω των δύο διαδικτυακών τόπων (βλ. α’ για την απογραφή υπαλλήλων και β’ για τις αιτήσεις εκπαιδευτών αντιστοίχως): α) Το Υπουργείο, µετά τη δηµοσίευση της υπ’ αριθµ. 135211/Β2/23-9-2013 (ΦΕΚ 2384/Β/2013) ΚΥΑ, όπως τροποποιήθηκε µε την υπ’ αριθ. 150539/Β2/15-10-2013 (ΦΕΚ 2601/Β/2013) ΚΥΑ, δυνάµει της οποίας καταργήθηκαν 1349 οργανικές και προσωποπαγείς θέσεις µόνιµου και µε σχέση εργασίας ιδιωτικού δικαίου αορίστου χρόνου διοικητικού προσωπικού οκτώ Πανεπιστηµίων, απέστειλε τη µε αριθ. 139550/Β2/30-09-2013 εγκύκλιο του Γενικού Γραµµατέα, σχετικά µε την εφαρµογή των διατάξεων διαθεσιµότητας ∆ιοικητικού Προσωπικού Πανεπιστηµίων, σύµφωνα µε το άρθρο 90 του ν. 4172/2013. Σηµειώνεται ότι η διαδικασία επιλογής των υπαλλήλων που τίθενται σε διαθεσιµότητα, τα κριτήρια επιλογής και κατάταξής τους, ο τρόπος µοριοδότησής τους και λοιπά συναφή ζητήµατα καθορίζονται µε την υπ’ αριθ. ∆ΙΠΙ∆∆/Β.2/2/οικ.21634/2-8-2013 (ΦΕΚ 1914/Β/2013) απόφαση του Υπουργού ∆ιοικητικής Μεταρρύθµισης και Ηλεκτρονικής ∆ιακυβέρνησης, κατ’ εξουσιοδότηση των διατάξεων της περ. Ε΄ της παρ. 2 του άρθρου 90 του ν. 4172/2013. Σύµφωνα µε τις ανωτέρω διατάξεις, οι ∆/νσεις ∆ιοικητικού Προσωπικού των οικείων Πανεπιστηµίων, εντός δεκαπέντε ηµερών από τη δηµοσίευση της 135211/Β2/23-9-2013 ΚΥΑ, είχαν υποχρέωση να συντάξουν πίνακες συνδροµής κριτηρίων σε ψηφιακή µορφή, σύµφωνα µε ενιαίο λογισµικό που παρέχει για το σκοπό αυτό το ΑΣΕΠ, και να καταγράψουν σε αυτούς τα προσόντα όλων των υπαλλήλων του κλάδου ή/και της ειδικότητας που ανήκαν οι υπό κατάργηση θέσεις. Επίσης, εντός της ανωτέρω προθεσµίας, οι σχετικοί πίνακες έπρεπε να αποσταλούν τόσο εγγράφως, όσο και σε ψηφιακή µορφή, στο ΑΣΕΠ. Παράλληλα, οι ∆/νσεις ∆ιοικητικού Προσωπικού των οικείων Πανεπιστηµίων όφειλαν να αναζητήσουν, από τους υπαλλήλους που ενέπιπταν στις εξαιρέσεις από τη διαθεσιµότητα σύµφωνα µε την περ. ∆ της παρ. 2 του άρθρου 90 του ν. 4172/2013, τα νόµιµα σχετικά δικαιολογητικά και αφού τα ελέγξουν, να τα αποστείλουν εντός της ως άνω αποκλειστικής προθεσµίας στο ΑΣΕΠ αλλά και στο Τριµελές Ειδικό Υπηρεσιακό Συµβούλιο, το οποίο έχει συσταθεί µε την υπ’ αριθµ. 129808/Β2/16-9-2013 (ΦΕΚ 2337/Β/20103) Απόφαση του Υπουργού Παιδείας και Θρησκευµάτων, και εδρεύει στην Κεντρική Υπηρεσία του Υπουργείου. Αφού παρήλθε άπρακτη η ως άνω προθεσµία των δεκαπέντε ηµερών, το Υπουργείο εξέδωσε την υπ’ αριθ. 15628/Β2/15-10-2013 πρόσκληση απογραφής των υπηρετούντων υπαλλήλων για τα εν λόγω Πανεπιστήµια, προς εφαρµογή των διατάξεων της διαθεσιµότητας (σύµφωνα µε την υπ’ αριθ. ∆ΙΠΙ∆∆/Β.2/2/οικ.21634/2-8-2013 (ΦΕΚ 1914/Β/2013) Υπουργική Απόφαση, όπως τροποποιήθηκε µε την υπ’ αριθ. ∆ΙΠΙ∆∆/Β.2/∆/33/οι. 27653/1110-2013 (ΦΕΚ 2560/Β/2013) Υπουργική Απόφαση). Η απογραφή αποτελείτο από δύο σκέλη:
5. i)την ηλεκτρονική απογραφή µέσω του ανωτέρω διαδικτυακού τόπου,
6. ii)την κατάθεση των απαραίτητων δικαιολογητικών των στοιχείων που δηλώθηκαν στην ηλεκτρονική απογραφή, η οποία έλαβε χώρα από 16-10-2013 µέχρι και 22-10-2013. Την ίδια υποχρέωση είχαν και οι υπάλληλοι που ενέπιπταν στις κατηγορίες των εξαιρέσεων της περίπτωσης ∆ της παραγράφου 2 του άρθρου 90 του ν. 4172/2013 και του άρθρου 53 του ν. 4186/2013 (ΦΕΚ 193/Α/2013). Σηµειώνεται ότι, όπως επιβεβαιώθηκε και από τους εκπροσώπους του Υπουργείου κατά την ακρόασή τους ενώπιον της Αρχής, κατά την ως άνω διαδικασία της ηλεκτρονικής απογραφής, οι υπάλληλοι που ενέπιπταν στις ως άνω εξαιρέσεις της διαθεσιµότητας δήλωναν ηλεκτρονικά ρητώς την εξαίρεση στην οποία ενέπιπταν (όπως για παράδειγµα, αν ο υπάλληλος είναι ανάπηρος σε ποσοστό τουλάχιστον 67%, ή αν ο/η σύζυγος ή τέκνο που ανήκει στην κατηγορία των εξαρτώµενων µελών έχει αναπηρία σε ποσοστό τουλάχιστον 67% και εφόσον το ετήσιο εισόδηµα είναι χαµηλότερο των 12000 €). Τα δεδοµένα που συλλέχθηκαν από το εν λόγω πληροφοριακό σύστηµα παραδόθηκαν στην αρµόδια υπηρεσία του Υπουργείου για τις περαιτέρω ενέργειες. Ο υπεύθυνος επεξεργασίας επισηµαίνει στο υπόµνηµά του ότι η ως άνω διαδικασία αποτιµήσεως προσόντων των υπό καθεστώς διαθεσιµότητας υπαλλήλων των Πανεπιστηµίων επιβλήθηκε εκ του νόµου και χάριν του δηµοσίου σκοπού αυτού, ως υποχρέωση των αρµοδίων υπηρεσιών των ιδρυµάτων αυτών, του ΑΣΕΠ, των υπηρεσιών του εποπτεύοντος Υπουργείου και, προεχόντως, των υπαχθέντων στην εν λόγω διαδικασία υπαλλήλων, δια του συστήµατος της αυτο-απογραφής τους. Όσον αφορά την ασφάλεια της επεξεργασίας, οι εκπρόσωποι του Υπουργείου, κατά την ακρόασή τους ενώπιον της Αρχής, επανέλαβαν τους ισχυρισµούς που είχαν ήδη διατυπωθεί στο υπ’ αριθµ. πρωτ. ……/… και µε ηµεροµηνία ..-..-2014 έγγραφο (βλ. ανωτέρω) – οι οποίοι ισχυρισµοί διατυπώνονται εκ νέου και στο υπ’ αριθµ. πρωτ. …./.. και µε ηµεροµηνία ..-..-2014 υπόµνηµα. ∆εδοµένου ωστόσο ότι δεν ήταν απόλυτα σαφές από το ως άνω υπόµνηµα εάν πραγµατοποιήθηκε από την πλευρά του υπευθύνου επεξεργασίας αντιπαραβολή των δεδοµένων της απογραφής µε όσα έγγραφα δικαιολογητικά απέστειλαν οι υπόχρεοι απογραφής, πριν την αποστολή αυτών στο ΑΣΕΠ, η Αρχή απηύθυνε εκ νέου προς τον υπεύθυνο επεξεργασίας ερωτήµατα για αυτό το ζήτηµα µε το υπ’ αριθµ. πρωτ. Γ/ΕΞ/2805/06-05-2014 έγγραφό της. Ο υπεύθυνος επεξεργασίας απάντησε µε το υπ΄ αριθµ. πρωτ. …../../..-..-2014 έγγραφό του (αρ. πρωτ. Αρχής: Γ/ΕΙΣ/3191/22-05-2014), όπου και αναφέρει: «παρότι έγινε η αντιπαραβολή των δηλωθέντων στοιχείων µε τα προσκοµισθέντα δικαιολογητικά, εν τούτοις δεν έγινε καµία επέµβαση στα στοιχεία που εστάλησαν στο ΑΣΕΠ». Στο ίδιο έγγραφο σηµειώνει ότι οι σχετικοί πίνακες µοριοδότησης που ανήρτησε το ΑΣΕΠ στις 18 και 21 Νοεµβρίου 2013 µε βάση τα στοιχεία που του απέστειλε ο υπεύθυνος επεξεργασίας είναι πλέον άνευ αντικειµένου και δεν έχουν ισχύ, αφού έκτοτε οι ∆ιευθύνσεις ∆ιοικητικού των αντίστοιχων Ιδρυµάτων έστειλαν απευθείας στο ΑΣΕΠ, όπως αρχικά είχε προβλεφθεί, τα στοιχεία των υπαλλήλων τους και βάσει αυτών αναρτήθηκαν από το ΑΣΕΠ νέοι πίνακες µοριοδότησης εντός του διαστήµατος Ιανουαρίου – Φεβρουαρίου 2014, οπότε και εν συνεχεία εξεδόθη η υπ’ αριθ. πρωτ. 70810/Β2/8-5-2014 ∆ιαπιστωτική Πράξη του Υπουργού Παιδείας και Θρησκευµάτων που αφορά στη διαθεσιµότητα των διοικητικών υπαλλήλων των οκτώ Πανεπιστηµίων, η οποία στηρίζεται αποκλειστικά στα ορθά στοιχεία που εστάλησαν από τα συγκεκριµένα Πανεπιστήµια και είναι, ως εκ τούτου, η µόνη ισχυρή. β) Η Γενική Γραµµατεία ∆ία Βίου Μάθησης του Υπουργείου Παιδείας και Θρησκευµάτων (εφεξής, ΓΓ∆ΒΜ) απηύθυνε – δυνάµει του ν. 4186/2013 – πρόσκληση (αρ. πρωτ.11871/16-10-2013) εκδήλωσης ενδιαφέροντος εκπαιδευτών ενηλίκων, για την κάλυψη των αναγκών ωροµισθίων εκπαιδευτικών στα Ι.Ε.Κ. κατά την περίοδο 2013-2014. Οι υποψήφιοι εκλήθησαν να υποβάλουν, εντός συγκεκριµένης προθεσµίας, ηλεκτρονική αίτηση στο ειδικό πληροφοριακό σύστηµα που παρέχεται στο διαδικτυακό σύνδεσµο http://iekteachers.sch.gr. Για την υποβολή της αίτησης εισάγεται ο ΑΜΚΑ καθώς και ένα συνθηµατικό που επιλέγει ο κάθε υποψήφιος. Άπαξ και συνδεθεί ο χρήστης, συµπληρώνει τα προσωπικά του στοιχεία, καταχωρεί τα στοιχεία εκπαίδευσης και διδακτικής του εµπειρίας, καθώς και τα κοινωνικά κριτήρια που τον χαρακτηρίζουν (π.χ. ΑΜΕΑ, πολυτεκνία κτλ.). Μετά το πέρας της προθεσµίας υποβολής των αιτήσεων, οι υποψήφιοι κατατάσσονται σε αξιολογικό πίνακα κατάταξης, ανά ∆ιεύθυνση ∆ια Βίου Μάθησης, σύµφωνα µε την ειδικότητά τους και την κατηγορία εκπαίδευσης, τα κριτήρια και τη µοριοδότησή τους, όπως αυτά ορίζονται στη µε αριθ. πρωτ. 11869/16-10-2013 Απόφαση του Υπουργού Παιδείας και Θρησκευµάτων. Όλα τα απαραίτητα δικαιολογητικά των στοιχείων που δηλώνονται στο ανωτέρω πληροφοριακό σύστηµα, καθώς και το αντίγραφο της αίτησης - την οποία µπορεί να εκτυπώσει ο χρήστης – πρέπει να κατατεθούν, από όσους επιλεγούν και κληθούν να αναλάβουν υπηρεσία και καθήκοντα, στο αντίστοιχο ΙΕΚ ή ΣΕΚ. Η Αρχή, µετά από εξέταση των προαναφεροµένων στοιχείων, αφού αναγνώστηκαν τα πρακτικά της συνεδρίασης της 26-03-2014, άκουσε τον εισηγητή και τους βοηθούς εισηγητή, οι οποίοι στη συνέχεια αποχώρησαν, και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΘΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ 1. Το άρθρο 2 του ν. 2472/1997, ορίζει ότι «δεδοµένα προσωπικού χαρακτήρα» είναι «κάθε πληροφορία που αναφέρεται στο υποκείµενο των δεδοµένων». «Υποκείµενο των δεδοµένων» είναι «το φυσικό πρόσωπο στο οποίο αναφέρονται τα δεδοµένα, και του οποίου η ταυτότητα είναι γνωστή ή µπορεί να εξακριβωθεί, δηλαδή µπορεί να προσδιορισθεί αµέσως ή εµµέσως, ιδίως βάσει αριθµού ταυτότητας ή βάσει ενός η περισσότερων συγκεκριµένων στοιχείων που χαρακτηρίζουν την υπόστασή του από άποψη φυσική, βιολογική, ψυχική, οικονοµική, πολιτιστική, πολιτική ή κοινωνική». Περαιτέρω, ευαίσθητα δεδοµένα είναι «τα δεδοµένα που αφορούν στη φυλετική ή εθνική προέλευση, στα πολιτικά φρονήµατα, στις θρησκευτικές ή φιλοσοφικές πεποιθήσεις, στη συµµετοχή σε συνδικαλιστική οργάνωση, στην υγεία, στην κοινωνική πρόνοια και στην ερωτική ζωή, στα σχετικά µε ποινικές διώξεις και καταδίκες, καθώς και στη συµµετοχή σε συναφείς µε τα ανωτέρω ενώσεις προσώπων». Στο ίδιο άρθρο επίσης ορίζεται ως επεξεργασία δεδοµένων προσωπικού χαρακτήρα «κάθε εργασία ή σειρά εργασιών που πραγµατοποιείται, από το ∆ηµόσιο ή από νοµικό πρόσωπο δηµοσίου δικαίου ή ιδιωτικού δικαίου ή ένωση προσώπων ή φυσικό πρόσωπο µε ή χωρίς τη βοήθεια αυτοµατοποιηµένων µεθόδων και εφαρµόζονται σε δεδοµένα προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διατήρηση ή αποθήκευση, η τροποποίηση, η εξαγωγή, η χρήση, η διαβίβαση, η διάδοση ή κάθε άλλης µορφής διάθεση, η συσχέτιση ή ο συνδυασµός, η διασύνδεση, η δέσµευση (κλείδωµα), η διαγραφή, η καταστροφή». Επίσης, ως υπεύθυνος επεξεργασίας ορίζεται οποιοσδήποτε καθορίζει το σκοπό και τον τρόπο επεξεργασίας των δεδοµένων προσωπικού χαρακτήρα, όπως φυσικό ή νοµικό πρόσωπο, δηµόσια αρχή ή υπηρεσία ή οποιοσδήποτε άλλος οργανισµός. 2. Σύµφωνα µε το αρ. 4 παρ. 1 στοιχ. α) του ν. 2472/1997, τα δεδοµένα προσωπικού χαρακτήρα για να τύχουν νόµιµης επεξεργασίας πρέπει να συλλέγονται µε τρόπο θεµιτό και νόµιµο, για καθορισµένους, σαφείς και νόµιµους σκοπούς και να υφίστανται θεµιτή και νόµιµη επεξεργασία ενόψει των σκοπών αυτών (αρχή του σκοπού). Επιπλέον, σύµφωνα µε το αρ. 4 παρ. 1 στοιχ. β) του ν. 2472/1997, τα δεδοµένα προσωπικού χαρακτήρα πρέπει να είναι συναφή, πρόσφορα, και όχι περισσότερα από όσα κάθε φορά απαιτείται εν όψει των σκοπών της επεξεργασίας (αρχή της αναλογικότητας), ενώ σύµφωνα µε το αρ. 4 παρ. 1 στοιχ. γ) του ν. 2472/1997, τα δεδοµένα πρέπει να είναι ακριβή και, εφόσον χρειάζεται, να υποβάλλονται σε ενηµέρωση. Περαιτέρω, η επεξεργασία δεδοµένων προσωπικού χαρακτήρα επιτρέπεται µόνο όταν το υποκείµενο έχει δώσει τη συγκατάθεσή του, όπως επιτάσσει το αρ. 5 παρ. 1 του ν. 2472/1997, εκτός εάν συντρέχει µία από τις προβλεπόµενες από την παράγραφο 2 του ιδίου άρθρου εξαιρέσεις, οπότε είναι νόµιµη η επεξεργασία και χωρίς τη συγκατάθεση του υποκειµένου. Ως προς τα ευαίσθητα δεδοµένα, προϋπόθεση της νόµιµης επεξεργασίας αποτελεί η χορήγηση άδειας κατά το άρθρο 7 παρ. 2 του ιδίου νόµου, µόνο εφόσον συντρέχει µία ή περισσότερες από τις προϋποθέσεις που ρητώς επισηµαίνονται στο άρθρο 7 παρ. 2 του ν. 2472/1997. Ο υπεύθυνος επεξεργασίας απαλλάσσεται από την υποχρέωση λήψης άδειας εφόσον η επεξεργασία εµπίπτει σε κάποια από τις εξαιρέσεις που προβλέπονται στο άρθρο 7Α του ν. 2472/1997. 3. Σύµφωνα µε το άρθρο 6 του ν. 2472/1997, ο υπεύθυνος επεξεργασίας υποχρεούται να γνωστοποιήσει εγγράφως στην Αρχή τη σύσταση και λειτουργία αρχείου ή την έναρξη της επεξεργασίας – εκτός αν εµπίπτει σε κάποια από τις εξαιρέσεις που προβλέπονται στο άρθρο 7Α του ν. 2472/1997. 4. Από τις διατάξεις των άρθρων 2, 4 παρ. 1 και 5 παρ. 2 του ν. 2472/1997 προκύπτει ότι η επεξεργασία απλών προσωπικών δεδοµένων επιτρέπεται και χωρίς τη συγκατάθεση των υποκειµένων των δεδοµένων στην περίπτωση που ο σκοπός της επεξεργασίας είναι νόµιµος, σαφής και καθορισµένος, τα δεδοµένα τα οποία τυγχάνουν επεξεργασίας είναι συναφή, πρόσφορα και όχι περισσότερα από όσα απαιτούνται για την επίτευξη του σκοπού της επεξεργασίας και επιπλέον συντρέχει µία από τις προϋποθέσεις που προβλέπονται στο άρθρο 5 παρ. 2 του προαναφερθέντος νόµου, όπως π.χ. η επεξεργασία να είναι αναγκαία για την εκπλήρωση υποχρεώσεως του υπευθύνου επεξεργασίας, η οποία επιβάλλεται από νόµο (στοιχ. β’). Εξάλλου, η επεξεργασία προσωπικών δεδοµένων από δηµόσια αρχή για τους απασχολουµένους στη δηµόσια διοίκηση λειτουργεί και αναπτύσσει τις συνέπειές της στο πλαίσιο του κράτους δικαίου και της αρχής της νοµιµότητας. Όπως παγίως γίνεται δεκτό, η αρχή της νοµιµότητας λειτουργεί ως περιοριστικό όριο της διοικητικής δράσης, ή, µε αντίστροφο συλλογισµό, η διοικητική ενέργεια πρέπει να είναι σύµφωνη προς τον κανόνα δικαίου που διέπει τη δράση της διοίκησης. Για την επεξεργασία προσωπικών δεδοµένων µέσω του διαδικτυακού τόπου http://odysseas.it.minedu.gov.gr/ (εφεξής, διαδικτυακός τόπος απογραφής υπαλλήλων), ο σκοπός της επεξεργασίας αλλά και οι κατηγορίες των υπό επεξεργασία δεδοµένων (ήτοι κριτήρια αποτίµησης προσόντων για την επιλογή υπαλλήλων που θα τεθούν σε διαθεσιµότητα) προσδιορίζεται από την υπ’ αριθµ. ∆ΙΠΙ∆∆/Β.2/2/οι.21634/2.8.2013 (ΦΕΚ 1914/Β/7.8.2013) Υπουργική Απόφαση, κατ’ εξουσιοδότηση του άρθρου 90 του ν. 4172/2013 (περ. Ε’, παρ. 2). Το είδος της επεξεργασίας (ήτοι ηλεκτρονική υποβολή των στοιχείων, σε συνδυασµό µε έγγραφη κατάθεση των απαραίτητων δικαιολογητικών) προσδιορίστηκε µε την υπ’ αριθµ. ∆ΙΠΙ∆∆/Β.2/∆/33/οικ.27653/11-10-2013 Υπουργική Απόφαση (ΦΕΚ 2560/Β/2013), όπου αναφέρεται ότι «οι υπηρετούντες µε οποιαδήποτε σχέση εργασίας σε εποπτευόµενα από Υπουργεία ΝΠ∆∆ υποχρεούνται, εντός πέντε