Γνωμοδότηση σε σχέση με τη σύγχρονη εξ αποστάσεως εκπαίδευση στις σχολικές μονάδες της πρωτοβάθμιας και της δευτεροβάθμιας εκπαίδευσης

Αθήνα, 07-09-2020 Αριθ. Πρωτ.: Γ/ΕΞ/6031/07-09-2020 ΑΡΧΗ ΠΡΟ ΤΑ ΙΑ ∆Ε∆ΟΜΕΝΩΝ ΠΡΟ ΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΓΝΩΜΟ∆Ο ΗΣΗ 4/2020 Η Αρχή Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα συνήλθε µετά από πρόσκληση του Προέδρου της σε τακτική συνεδρίαση µέσω τηλεδιάσκεψης την 19.08.20 σε συνέχεια των από 14.7.20 και 12.8.20 συνεδριάσεών της, προκειµένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής Κωνσταντίνος Μενουδάκος, και τα τακτικά µέλη της Αρχής πυρίδων Βλαχόπουλος, Χαράλαµπος Ανθόπουλος και Κων/νος Λαµπρινουδάκης, οι δύο τελευταίοι και ως εισηγητές της υπόθεσης. Παρόντες χωρίς δικαίωµα ψήφου ήταν οι Καλλιόπη Καρβέλη και Γεώργιος Ρουσόπουλος, ειδικοί επιστήµονες, ως βοηθοί εισηγητών, οι οποίοι αποχώρησαν µετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη απόφασης και η Γεωργία Παλαιολόγου, υπάλληλος του τµήµατος διοικητικών υποθέσεων της Αρχής, ως γραµµατέας. Η Αρχή έλαβε υπόψη τα παρακάτω: Με τις υπ’ αριθ. πρωτ. Γ/ΕΙ /3307/14.05.20 και Γ/ΕΙ /3701/29.05.20, Γ/ΕΙ /4144/16.6.20 και Γ/ΕΙ /3866/5.6.20 αναφορές τους κατά του Υπουργείου Παιδείας και Θρησκευµάτων (εφεξής Υ.ΠΑΙ.Θ.) αντίστοιχα η Οµοσπονδία Ιδιωτικών Εκπαιδευτικών Λειτουργών Ελλάδος (εφεξής ΟΙΕΛΕ), η ∆ιδασκαλική Οµοσπονδία Ελλάδος (εφεξής ∆ΟΕ) και η A προβάλλονται παραβιάσεις της νοµοθεσίας για την προστασία των προσωπικών από το Υπουργείο Παιδείας και Θρησκευµάτων και ζητούν την παρέµβαση της Αρχής. Μεταξύ άλλων ζητείται να διερευνηθεί η 1 συµβατότητα της σύγχρονης εξ αποστάσεως εκπαίδευσης στις σχολικές µονάδες της πρωτοβάθµιας και δευτεροβάθµιας εκπαίδευσης µε τις διατάξεις του Γενικού Κανονισµού Προστασίας ∆εδοµένων (εφεξής ΓΚΠ∆) και του ν. 4624/2019 καθώς και κατά πόσον η παροχή της συνιστά νόµιµη επεξεργασία προσωπικών δεδοµένων ή όχι. Με την παρούσα γνωµοδότηση εξετάζονται τα ζητήµατα που σχετίζονται µε το τελευταίο αυτό θέµα, επιφυλάσσεται δε η Αρχή ως προς τις λοιπές αιτιάσεις που περιέχονται στις ανωτέρω αναφορές Ως προς το εξεταζόµενο θέµα, η ΟΙΕΛΕ και η ∆ΟΕ µε τις υπ’ αριθ. πρωτ. Γ/ΕΙ /3307/14.05.20, Γ/ΕΙ /3701/29.05.20 και Γ/ΕΙ /4144/16.6.20 αντίστοιχες αναφορές τους ζητούν την παρέµβαση της Αρχής προκειµένου να διερευνηθεί: α) η συµβατότητα της σύγχρονης εξ αποστάσεως εκπαίδευσης στις σχολικές µονάδες της πρωτοβάθµιας και δευτεροβάθµιας εκπαίδευσης µε τις διατάξεις του ΓΚΠ∆ και του ν. 4624/2019, β) κατά πόσον η επεξεργασία προσωπικών δεδοµένων που έλαβε χώρα από τα µέσα Μαρτίου 2020 µέχρι και τις αρχές Μαΐου 2020 στα δηµόσια και ιδιωτικά σχολεία στο πλαίσιο της ασύγχρονης αλλά κυρίως της σύγχρονης εξ αποστάσεως διδασκαλίας ήταν σύµφωνη µε τις διατάξεις του ΓΚΠ∆ και γ) κατά πόσον η επεξεργασία προσωπικών δεδοµένων που πραγµατοποιήθηκε στα ιδιωτικά σχολεία της Αθήνας και του Πειραιά από τη ∆ευτέρα 11 Μαΐου 2020, στο πλαίσιο της σύγχρονης εξ αποστάσεως διδασκαλίας, είναι σύµφωνη µε τις διατάξεις του ΓΚΠ∆. Επίσης η ΟΙΕΛΕ καταγγέλλει ότι από την εγκύκλιο του Υ.ΠΑΙ.Θ. υπ’ αριθ. 57521/Γ∆4/17.05.2020: α) επιβεβαιώνεται το παράνοµο της επεξεργασίας της σύγχρονης εκπαίδευσης, από τα µέσα Μαρτίου µέχρι και τις 15.5.20, στη δηµόσια και ιδιωτική εκπαίδευση, λόγω παραβίασης της αρχής της νοµιµότητας (έλλειψη νοµίµου βάσεως επεξεργασίας) αναφορικά µε τον δηµόσιο και ιδιωτικό τοµέα, β) εντοπίζεται συστηµατική και µε ποικίλους τρόπους παραβίαση των κανόνων των άρθρων 24 και 25 ΓΚΠ∆ (ιδίως η αρχή της προστασίας των δεδοµένων ήδη από τον σχεδιασµό) εκ µέρους του Υ.ΠΑΙ.Θ. στον κανονιστικό, οργανωτικό και τεχνικό σχεδιασµό της επεξεργασίας, γ) το περιεχόµενο της εγκυκλίου αποκαλύπτει περιορισµό στα αναγνωρισµένα εκ του ΓΚΠ∆ δικαιώµατα των υποκειµένων, δίχως να είναι συνταγµατικά ανεκτή µια τέτοια επιλογή και δίχως να εξασφαλίζεται από κανένα κείµενο η τήρηση των εγγυήσεων του άρθ. 23 ΓΚΠ∆ και δ) δεν διασφαλίζονται σαφείς διαδικασίες για την άσκηση δικαιωµάτων των υποκειµένων, στην ως άνω επεξεργασία. Ακόµη η ∆ΟΕ ζητά από την Αρχή να εξετάσει την τήρηση από το 2 Υ.ΠΑΙ.Θ. της αρχής της λογοδοσίας, ήτοι να αξιολογηθεί η πληρότητα της εκπονηθείσας µελέτης εκτίµησης αντικτύπου. το πλαίσιο διερεύνησης των καταγγελιών η Αρχή απέστειλε τα µε αριθ. πρωτ. Γ/ΕΞ/3307-1/18.05.20, Γ/ΕΞ/3701-1/02-06-2020, Γ/ΕΞ/4144-1/22.06.20 και Γ/ΕΞ/3866-1/23.06.20 έγγραφα προς παροχή διευκρινίσεων στο Υ.ΠΑΙ.Θ., το οποίο στις µε αριθ. πρωτ. Γ/ΕΙ /4844/13.07.20 και Γ/ΕΙ /4644/03.07.20 απαντήσεις του ανέφερε τα εξής : α) η ταυτόχρονη διδασκαλία σε µαθητές τόσο µε φυσική παρουσία όσο και µε τη µέθοδο της εξ αποστάσεως εκπαίδευσης µε χρήση µέσων τεχνολογίας σε περίπτωση καθολικής ή µερικής αναστολής ή απαγόρευσης λειτουργίας εκπαιδευτικής δοµής είτε για άλλον λόγο που ανάγεται σε έκτακτο ή απρόβλεπτο γεγονός, προβλέπεται στο άρθρο 63 του ν. 4686/20, β) σε συνέχεια της δυνατότητας αυτής εκπονήθηκε η Μελέτη Εκτίµησης Αντικτύπου, σύµφωνα µε το άρθρο 35 του ΓΚΠ∆, γ) στη συνέχεια, η δυνατότητα οι σχολικές µονάδες της πρωτοβάθµιας και δευτεροβάθµιας εκπαίδευσης να παρέχουν σύγχρονη εξ αποστάσεως εκπαίδευση ρυθµίστηκε µε την υπ’ αριθ. 57233/Υ1 Υπουργική απόφαση, στην οποία προβλέφθηκαν όλα τα συναφή ζητήµατα για την εφαρµογή της τηλεκπαίδευσης, όπως οι όροι και προϋποθέσεις διενέργειας της διαδικασίας, συµπεριλαµβανοµένων τυχόν οργανωτικών ή/και τεχνικών µέτρων προς διασφάλιση της προστασίας των προσωπικών δεδοµένων των συµµετεχόντων, καθώς και ο τρόπος και τα µέσα που χρησιµοποιούνται για την υλοποίηση της εξ αποστάσεως εκπαίδευσης και ο τρόπος συµµετοχής των εκπαιδευτικών και των µαθητών σε αυτή, δ) η υλοποίηση της σύγχρονης εξ αποστάσεως εκπαίδευσης πραγµατοποιείται µέσω κατάλληλης ψηφιακής πλατφόρµας, η οποία καθιστά δυνατή την απευθείας µετάδοση ήχου ή/και εικόνας του µαθήµατος από τους ίδιους τους εκπαιδευτικούς προς τους µαθητές. Προς τον σκοπό αυτό το Υ.ΠΑΙ.Θ. έχει συνάψει σχετική σύµβαση µε την εταιρία Cisco Hellas A.E. ως εκτελούσα την επεξεργασία, στην οποία περιλήφθηκαν όροι για την προστασία των προσωπικών δεδοµένων σύµφωνα µε τις διατάξεις του άρθρου 28 ΓΚΠ∆, ε) νοµική βάση της επεξεργασίας προσωπικών δεδοµένων από το Υ.ΠΑΙ.Θ προς τον σκοπό της παροχής σύγχρονης εξ αποστάσεως εκπαίδευσης είναι η εκπλήρωση της υποχρέωσης για παροχή δηµόσιας εκπαίδευσης που αποτελεί ταυτόχρονα και σκοπό δηµοσίου συµφέροντος (άρθρο 6 παρ. 1 περ. γ’ και ε’ του ΓΚΠ∆), στ) το Υ.ΠΑΙ.Θ έχει ενηµερώσει τα υποκείµενα για την επεξεργασία των προσωπικών τους δεδοµένων που διενεργεί µέσω της διαδικασίας της τηλεκπαίδευσης, σύµφωνα µε τις διατάξεις των άρθρων 12-14 του ΓΚΠ∆, καθώς 3 όλες οι σχετικές πληροφορίες περιλαµβάνονται στη διάταξη του άρθρου 63 του ν. 4686/20 και στη βάσει αυτής εκδοθείσα υπ’ αριθ. 57233/Υ1 Υπουργική απόφαση, περαιτέρω, τόσο στους διδάσκοντες όσο και στους µαθητές και στους γονείς/κηδεµόνες αυτών χορηγήθηκε αναλυτικό ενηµερωτικό έγγραφο σε φυσική ή ηλεκτρονική µορφή, ζ) δεν επιτρέπεται βάσει του άρθρου 63 παρ. 2 του ν. 4686/20, η καταγραφή και αποθήκευση του µαθήµατος, είτε η παράδοση γίνεται σε αίθουσα διδασκαλίας παρουσία κάποιων µαθητών είτε σε άλλο χώρο δίχως τη παρουσία µαθητών, επιτρέπεται µόνον η ζωντανή µετάδοση ήχου ή/και εικόνας σε πραγµατικό χρόνο, µε µοναδικούς αποδέκτες τους µαθητές και τον ίδιο τον εκπαιδευτικό και έχει απενεργοποιηθεί στην εφαρµογή η δυνατότητα καταγραφής/αποθήκευσης του διαδικτυακού µαθήµατος, η) η ζωντανή µετάδοση αφορά µόνο στο τµήµα της σχολικής ώρας που αφιερώνεται στη διδασκαλία-παράδοση και όχι κατά την ενδεχόµενη εξέταση-αξιολόγηση µαθητών, θ) τόσο ο εκπαιδευτικός όσο και οι µαθητές µπορούν να ενεργοποιούν/απενεργοποιούν τη χρήση της κάµερας και του µικροφώνου τους καθ’ όλη τη διάρκεια του διαδικτυακού µαθήµατος, ι) για τη µετάδοση του ήχου η συσκευή του εκπαιδευτικού επιβάλλεται να είναι σταθερά τοποθετηµένη κοντά στον ίδιο, ενώ ο εκπαιδευτικός διατηρεί το δικαίωµα σίγασης της φωνής του µαθητή ή ακόµα και διακοπής της µετάδοσης, εάν το κρίνει απαραίτητο, ιδίως για την προστασία κάποιου µαθητή, ια) στην περίπτωση που επιλεγεί η µετάδοση εικόνας, η κάµερα επιβάλλεται να εστιάζει αποκλειστικά και µόνο στον εκπαιδευτικό ή/και στον πίνακα της αίθουσας διδασκαλίας, εφόσον δεν χρησιµοποιείται από µαθητή, και απαγορεύεται να εστιάζει σε µαθητές που βρίσκονται στην αίθουσα διδασκαλίας, ιβ) κατά τη διάρκεια του διαδικτυακού µαθήµατος συλλέγονται µεταδεδοµένα, τα οποία παράγονται κατά τη χρήση της πλατφόρµας τηλεκπαίδευσης και είναι απαραίτητα για διάγνωση των ανακυπτόντων τεχνικών ζητηµάτων και συνακόλουθα για την τεχνική υποστήριξη της πλατφόρµας τηλεκπαίδευσης, αυτά περιλαµβάνουν ειδικότερα τη διεύθυνση IP, το αναγνωριστικό «User Agent», τον τύπο υλικού, τον τύπο και την έκδοση λειτουργικού συστήµατος, την έκδοση διακοµιστή-πελάτη, τη διεύθυνση Mac κατά περίπτωση, την έκδοση εφαρµογής, τις υλοποιηθείσες ενέργειες (είσοδος-έξοδος), και τις πληροφορίες σύσκεψης (τίτλος, ηµεροµηνία και ώρα, συχνότητα, µέση και πραγµατική συχνότητα, ποιότητα, ποσότητα, δραστηριότητα δικτύου και συνδεσιµότητα) και, τέλος, ιγ) το Υ.ΠΑΙ.Θ. ως υπεύθυνος επεξεργασίας, δύναται µέσω των εξουσιοδοτηµένων στελεχών του, υπό την ιδιότητα του διαχειριστή της πλατφόρµας τηλεκπαίδευσης, να 4 αποκτά πρόσβαση στα ονόµατα χρηστών και τα παραγόµενα για αυτούς µεταδεδοµένα υπό τη µορφή αναφορών για ερευνητικούς και στατιστικούς σκοπούς σχετικά µε την τηλεκπαίδευση, στο πλαίσιο της αποστολής του Υ.ΠΑΙ.Θ. Η Αρχή µε τις υπ’ αριθ. πρωτ. Γ/ΕΞ/4630/02.07.20, Γ/ΕΞ/4631/02.07.20, Γ/ΕΞ/ 4632/02.07.20, Γ/ΕΞ/4633/02.07.20 και Γ/ΕΞ/4634/02.07.20 κλήσεις αντίστοιχα, κάλεσε το Υ.ΠΑΙ.Θ. και τους Α, ΟΙΕΛΕ και ∆ΟΕ να παραστούν στη συνεδρίαση της Ολοµέλειας της Αρχής την 14.07.2020, προκειµένου να συζητηθούν οι ως άνω αναφορές. Επίσης εκλήθη να συµµετέχει στην ως άνω συνεδρίαση και ο ύνδεσµος Ιδιωτικών χολείων (εφεξής Ι ) ως προσθέτως παρεµβαίνων στην υπόθεση. Κατά την ακρόαση της 14.07.20 παρέστησαν η Α, οι πληρεξούσιοι δικηγόροι της ΟΙΕΛΕ, Γεώργιος Μελισσάρης και ∆ηµήτριος Φάκας, ο Πρόεδρος της ∆ΟΕ Αθανάσιος Κικίνης και η Μαρία – Μαγδαληνή Τσίπρα, πληρεξούσια δικηγόρος της Οµοσπονδίας. Εκ µέρους του Υ.ΠΑΙ.Θ. Παπαγιαννόπουλος, Αντιπρόεδρος του Νοµικού Αλέξανδρος Βαρβέρης, Τεχνικός παρέστησαν οι πυρίδων υµβουλίου του Κράτους, ύµβουλος του Υ.ΠΑΙ.Θ., Αρετή Οκονόµου Νοµική ύµβουλος του Υ.ΠΑΙ.Θ. και Ειρήνη Καπελάκη, DPO του Υπουργείου χωρις δικαίωµα διατύπωσης γνώµης. Επίσης παρέστη και ο Γρηγόριος Λαζαράκος, ως πληρεξούσιος δικηγόρος του προσθέτως παρεµβαίνοντος του Ι . Η Α κατά την ανωτέρω ακρόαση της 14.07.20 αλλά και στο µε αριθ. πρωτ. Γ/ΕΙ /5060/20.07.20 συµπληρωµατικό υπόµνηµά της ανέφερε ότι α) το Υ.ΠΑΙ.Θ. εξακολουθεί να µην ανταποκρίνεται στα αιτήµατά της, που αφορούν τη διάθεση και χρήση της πλατφόρµας webex της εταιρείας Cisco κατά την εκπαιδευτική διαδικασία τον Απρίλιο του 2020, και συνεχίζει να µην της γνωστοποιεί: 1) την επίσηµη έγγραφη σύµβαση µεταξύ του Υ.ΠΑΙ.Θ. και της Cisco, 2) την Κ.Υ.Α. που αφορά την προαναφερθείσα εκπαιδευτική διαδικασία, και 3) τον τρόπο αποδοχής της δωρεάς των υπηρεσιών της εταιρείας Cisco, αίτηµα το οποίο διατύπωσε προφορικά, µετά την ανάγνωση του άρθρου εξηκοστού πέµπτου της Π.Ν.Π. της 20ης Μαρτίου 2020 (επικυρώθηκε µε τον νόµο 4683/2020), ενώπιον των νοµικών εκπροσώπων του Υ.ΠΑΙ.Θ. κατά την 14/7/2020 ακροαµατική διαδικασία ενώπιον της Αρχής, β) το Υ.ΠΑΙ.Θ. της γνωστοποίησε µία Μελέτη, που δεν αφορά τον µήνα Απρίλιο 2020, η ανάγνωση της οποίας προκαλεί εύλογη ανησυχία και νέα ερωτηµατικά ως προς τη µεθοδολογία, τη διαφάνεια και την επιστηµονική εγκυρότητα και επάρκεια µε τις οποίες εισήχθη η τηλεκπαίδευση µε εντολή Υ.ΠΑΙ.Θ. στην εκπαιδευτική διαδικασία πανελλαδικά. 5 Οι πληρεξούσιοι δικηγόροι της ΟΙΕΛΕ κατά την ανωτέρω ακρόαση της 14.07.20 αλλά και στο µε αριθ. πρωτ. Γ/ΕΙ /5242/24.07.20 συµπληρωµατικό υπόµνηµά τους ανέφεραν τα εξής: α) η από 15.5.20 διενεργηθείσα µελέτη εκτίµησης αντικτύπου (εφεξής ΕΑΠ∆) δεν συνιστά έγγραφο βέβαιης χρονολογίας, δεν φέρει αριθµό εισερχοµένου πρωτοκόλλου µε το οποίο εισήχθη στο αρχείο του Υπουργείου, δεν φέρει αριθµό διαβιβαστικού, ούτε ηλεκτρονική υπογραφή, β) από το σώµα της δηµοσιευµένης ΕΑΠ∆ δεν αναφέρεται το πρόσωπο ή πρόσωπα που τη διενήργησαν, γ) δεν καθίστατο βέβαιο αν η ΕΑΠ∆ αφορά και το χρονικό διάστηµα από 13.3.20 έως και 15.5.20, σε κάθε δε περίπτωση για το διάστηµα αυτό και για την επεξεργασία δεδοµένων που έγινε δεν δηµοσιεύθηκε προ της έναρξής της καµία σχετική ΕΑΠ∆, δ) η έγκριση της ΕΑΠ∆ από τον Υπεύθυνο Προστασίας ∆εδοµένων (ΥΠ∆) του Υπουργείου όχι µόνον δεν ανάγεται στον κύκλο καθηκόντων του ΥΠ∆, αλλά συνιστά παραβίαση του ΓΚΠ∆, διότι επέρχεται ευθεία σύγκρουση συµφερόντων στο πρόσωπό του, µέσω της λήψης δεσµευτικής απόφασης για λογαριασµό του υπευθύνου επεξεργασίας ταυτιζόµενος κατ’ ουσία µε αυτόν, ε) για τη σύνταξη της ΕΑΠ∆ δεν έχουν ληφθεί υπόψη το άρθρο 63 του ν. 4686/20 και η υπ’ αριθ. 57233/Υ1 Υπουργική Απόφαση, καθώς και τµήµατα της σύµβασης µε τη CISCO HELLAS A.E και στ) δεν προκύπτει εάν το Υπουργείο προέβη σε στοιχειώδη σύγκριση µεταξύ των προσφερθέντων πλατφορµών και εάν ναι, µε ποια κριτήρια και ποια ήταν τα αποτελέσµατα αυτής. Η πληρεξούσια δικηγόρος της ∆ΟΕ κατά την ανωτέρω ακρόαση της 14.07.20 αλλά και στο µε αριθ. πρωτ. Γ/ΕΙ /5216/24.07.20 συµπληρωµατικό υπόµνηµά της ανέφερε τα εξής: α) το Υ.ΠΑΙ.Θ βεβαιώνει στην ΕΑΠ∆ ότι τα µεταδεδοµένα διαγράφονται µόλις λήξει η σύµβαση µε τον πάροχο, ήτοι σε διάστηµα 4 µηνών από τις 13.3.20, ενώ σύµφωνα µε το Privacy Data Sheet, που έχει αναρτήσει η Cisco, στο οποίο περιγράφει τις δυνατότητες της πλατφόρµας, αναφέρεται ότι τα µεταδεδοµένα τηρούνται για 7 έτη από τη λήξη της σύµβασης, β) ο σκοπός της τηλεκπαίδευσης είναι καταρχήν νόµιµος, πλην όµως είναι µη καθορισµένος ως προς τα βασικά του χαρακτηριστικά, διότι δεν οριοθετείται το πεδίο εφαρµογής της επεξεργασίας και παρότι παρατίθενται κάποιες περιστάσεις υπό τις οποίες θα µπορούσε να λαµβάνει χώρα η σύγχρονη εξ αποστάσεως εκπαίδευση, οι σχετικές διατυπώσεις είναι ασαφείς και γενικές, γ) υφίσταται υπέρβαση της αρχής της αναλογικότητας στη συγκεκριµένη επεξεργασία και δ) εάν η κατηγορία των τυπικά απλών και κατά περίπτωση ευαίσθητων δεδοµένων καταστούν αντικείµενο επεξεργασίας, τίθενται αυτοµάτως σε 6 κίνδυνο τα υποκείµενα των δεδοµένων, ανεξαρτήτως των τεχνικών µέσων που θα χρησιµοποιηθούν. Ο πληρεξούσιος δικηγόρος του Ι κατά την ανωτέρω ακρόαση της 14.07.20 αλλά και στο µε αριθ. πρωτ. Γ/ΕΙ /5156/23.07.20 συµπληρωµατικό υπόµνηµά του ανέφερε τα εξής: α) η σύγχρονη εξ αποστάσεως εκπαίδευση αποτελεί µέτρο πρόσφορο, αναγκαίο και αναλογικό για την παροχή εκπαίδευσης σε περιόδους έκτακτης και απρόβλεπτης ανάγκης, όπως αυτή της πανδηµίας του COVID-19, β) ο κίνδυνος για την ελεύθερη ανάπτυξη της προσωπικότητας των µαθητών αξιολογείται ως περιορισµένος, γ) η σύγχρονη τηλεκπαίδευση συνιστούσε ένα έκτακτο µέτρο που εισήχθη ως προσωρινός τρόπος διδασκαλίας µε τον χαρακτήρα του επείγοντος, γεγονός που δεν κατέλειπε στα σχολεία εύλογο χρόνο να εκπονήσουν ΕΑΠ∆, δ) δεν απαιτείται η εκπόνηση νέας ΕΑΠ∆ εφόσον η Υπουργική Απόφαση καταλαµβάνει και τα ιδιωτικά σχολεία, ε) θα πρέπει να διερευνηθεί το ζήτηµα της ακεραιότητας και εµπιστευτικότητας καθώς και της ελαχιστοποίησης των δεδοµένων, στ) η ορθή νοµική βάση της τηλεκπαίδευσης στα ιδιωτικά σχολεία πρέπει να είναι το άρθρο 6 παρ. 1 περ. β’ (εκτέλεση σύµβασης) και γ’ (συµµόρφωση σε έννοµη υποχρέωση) του ΓΚΠ∆ και ζ) τα ιδιωτικά σχολεία συµµορφώθηκαν πλήρως µε τις οδηγίες του Υ.ΠΑΙ.Θ. Τέλος, οι εκπρόσωποι του Υ.ΠΑΙ.Θ κατά την ανωτέρω ακρόαση της 14.07.20 αλλά και στο µε αριθ. πρωτ. Γ/ΕΙ /5271/27.07.20 συµπληρωµατικό υπόµνηµά τους ανέφεραν τα εξής: α) επελέγη η πλατφόρµα «WebEx Meetings» της Cisco Hellas A.E., καθώς ήταν η µόνη από τις προσφερόµενες εταιρίες που δεν απαιτούσε τη δηµιουργία λογαριασµού από τον µαθητή και πραγµατοποιήθηκε παραµετροποίηση του συστήµατος σε συνεργασία µε το Υ.ΠΑΙ.Θ. για την προστασία των δεδοµένων των εκπαιδευτικών και των µαθητών, β) η επεξεργασία που διενεργεί ο πάροχος της πλατφόρµας τηλεκπαίδευσης, ο οποίος υπέχει θέση εκτελούντος την επεξεργασία, διέπεται από τους όρους των ακόλουθων συµβατικών κειµένων 1) της από 13.3.20 σύµβασης δωρεάν παραχώρησης της πλατφόρµας τηλεδιασκέψεων WEBEX για την πραγµατοποίηση σύγχρονης εξ αποστάσεως διδασκαλίας, 2) της από 13.3.20 σύµβασης -πλαίσιο περί προστασίας προσωπικών δεδοµένων µε τίτλο «Master Data Protection Agreement», 3) του από 13.3.20 παραρτήµατος µε τίτλο «Cisco WebEx Meetings Privacy Data Sheet» και 4) του από 13.3.20 παραρτήµατος µε τίτλο «CLARIFICATION APPENDIX», γ) ο εκτελών την επεξεργασία προβαίνει αµελλητί σε διαγραφή των δεδοµένων που συλλέγονται στο πλαίσιο της σύµβασης 7 µόλις εκπληρωθεί ο σκοπός αυτής και δεν διαβιβάζει προσωπικά δεδοµένα εκτός ΕΕ, χωρίς την προηγούµενη συγκατάθεση του Υ.ΠΑΙ.Θ., δ) τα µεταδεδοµένα που συλλέγονται κατά τη χρήση της πλατφόρµας τηλεκπαίδευσης υποβάλλονται σε επεξεργασία για σκοπούς ερευνητικούς και στατιστικούς, αφού προηγουµένως ανωνυµοποιηθούν, ε) οι πραγµατοποιηθείσες παραµετροποιήσεις περιλαµβάνουν: 1) την απενεργοποίηση της δυνατότητας καταγραφής της τηλεδιάσκεψης, 2) τη δηµιουργία ψηφιακής τάξης µέσω της εγγραφής των εκπαιδευτικών στην παραµετροποιηµένη πλατφόρµα και της αποστολής σε αυτούς συνδέσµου δηµιουργίας λογαριασµού, 3) την απενεργοποίηση της λειτουργικότητας «People Insights» και της αναγνώρισης προσώπου «facial recognition», 4) την καθιέρωση υποχρέωσης τήρησης των δεδοµένων εντός ΕΕ και διαβίβασης αυτών διασυνοριακά µόνον κατόπιν έγγραφης συγκατάθεσης από το Υ.ΠΑΙ.Θ, 5) την οριστική διαγραφή των δεδοµένων µε τη λήξη ή την καθ’ οιονδήποτε τρόπο λύση της σύµβασης, στ) συνήφθη σύµφωνο µε τις εταιρίες κινητής τηλεφωνίας για δωρεάν παροχή στους µαθητές και εκπαιδευτικούς δεδοµένων κινητής τηλεφωνίας και για παροχή της δυνατότητας σύνδεσης µε την πλατφόρµα ακόµη και µέσω σταθερού τηλεφώνου µε αστική χρέωση και, τέλος, ζ) εξασφαλίστηκαν κονδύλια για παροχή στους µαθητές φορητών συσκευών (tablets). Επίσης, µε το δεύτερο υπόµνηµά του προς την Αρχή, το Υ.ΠΑΙ.Θ. υπέβαλε αντίγραφο της συναφθείσας σύµβασης µεταξύ του ιδίου και της εταιρείας CISCO HELLAS A.E. καθώς και την από 15.05.20 µελέτη εκτίµησης αντικτύπου. Η Αρχή, µετά από εξέταση των στοιχείων του φακέλου, την ακροαµατική διαδικασία και αφού άκουσε τους εισηγητές και τους βοηθούς εισηγητές, οι οποίοι αποχώρησαν µετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη απόφασης, µετά από διεξοδική συζήτηση ΣΚΕΦ ΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΟΝ ΝΟΜΟ

1. ύµφωνα µε τις διατάξεις του άρθρου 5 του ΓΚΠ∆, τα δεδοµένα προσωπικού χαρακτηρα πρέπει να συλλέγονται κατά τρόπο θεµιτό και νόµιµο για καθορισµένους, σαφείς και νόµιµους σκοπούς και να υφίστανται θεµιτή και νόµιµη επεξργασία 8 ενόψει των σκοπών αυτών, καθώς και να είναι συναφή, πρόσφορα και όχι περισσότερα από όσα κάθε φορά απαιτείται ενόψει των σκοπών της επεξεργασίας. Επίσης σύµφωνα µε τις διατάξεις του άρθρου 6 παρ. 1 του ΓΚΠ∆, η επεξεργασία είναι σύννοµη µόνον εάν και εφόσον ισχύει τουλάχιστον µία από τις ακόλουθες προϋποθέσεις: …γ) η επεξεργασία είναι απαραίτητη για τη συµµόρφωση µε έννοµη υποχρέωση του υπευθύνου επεξεργασίας,…..ε) η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δηµόσιο συµφέρον ή κατά την άσκηση δηµόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας… Περαιτέρω, στο άρθρο 35 του ΓΚΠ∆ προβλέπεται το εξής: «
2. Όταν ένα ε δος επεξεργασ ας, ιδ ως µε χρήση νέων τεχνολογιών και συνεκτιµώντας τη φύση, το πεδ ο εφαρµογής, το πλα σιο και τους σκοπούς της επεξεργασ ας, ενδέχεται να επιφέρει υψηλό κ νδυνο για τα δικαιώµατα και τις ελευθερ ες των φυσικών προσώπων, ο υπεύθυνος επεξεργασ ας διενεργε , πριν από την επεξεργασ α, εκτ µηση των επιπτώσεων των σχεδιαζόµενων πράξεων επεξεργασ ας στην προστασ α δεδοµένων προσωπικού χαρακτήρα. Σε µ α εκτ µηση µπορε να εξετάζεται ένα σύνολο παρόµοιων πράξεων επεξεργασ ας οι οπο ες ενέχουν παρόµοιους υψηλούς κινδύνους.
3. Ο υπεύθυνος επεξεργασ ας ζητε τη γνώµη του υπευθύνου προστασ ας δεδοµένων, εφόσον έχει οριστε , κατά τη διενέργεια εκτ µησης αντικτύπου σχετικά µε την προστασ α δεδοµένων. (….)
4. Η εκτ µηση περιέχει τουλάχιστον: α) συστηµατική περιγραφή των προβλεπόµενων πράξεων επεξεργασ ας και των σκοπών της επεξεργασ ας, περιλαµβανοµένου, κατά περ πτωση, του έννοµου συµφέροντος που επιδιώκει ο υπεύθυνος επεξεργασ ας, β) εκτ µηση της αναγκαιότητας και της αναλογικότητας των πράξεων επεξεργασ ας σε συνάρτηση µε τους σκοπούς, γ) εκτ µηση των κινδύνων για τα δικαιώµατα και τις ελευθερ ες των υποκειµένων των δεδοµένων που αναφέρονται στην παράγραφο 1 και 9 δ) τα προβλεπόµενα µέτρα αντιµετώπισης των κινδύνων, περιλαµβανοµένων των εγγυήσεων, των µέτρων και µηχανισµών ασφάλειας, ώστε να διασφαλ ζεται η προστασ α των δεδοµένων προσωπικού χαρακτήρα και να αποδεικνύεται η συµµόρφωση προς τον παρόντα κανονισµό, λαµβάνοντας υπόψη τα δικαιώµατα και τα έννοµα συµφέροντα των υποκειµένων των δεδοµένων και άλλων ενδιαφερόµενων προσώπων. (….)
5. Όπου ενδε κνυται, ο υπεύθυνος επεξεργασ ας ζητε τη γνώµη των υποκειµένων των δεδοµένων ή των εκπροσώπων τους για τη σχεδιαζόµενη επεξεργασ α, µε την επιφύλαξη της προστασ ας εµπορικών ή δηµόσιων συµφερόντων ή της ασφάλειας των πράξεων επεξεργασ ας.
6. Όταν η επεξεργασ α δυνάµει του άρθρου 6 παράγραφος 1 στοιχε ο γ) ή ε) έχει νοµική βάση στο δ καιο της Ένωσης ή στο δ καιο του κράτους µέλους στο οπο ο υπόκειται ο υπεύθυνος επεξεργασ ας, το εν λόγω δ καιο ρυθµ ζει την εκάστοτε συγκεκριµένη πράξη επεξεργασ ας ή σειρά πράξεων και έχει διενεργηθε ήδη εκτ µηση αντικτύπου σχετικά µε την προστασ α δεδοµένων ως µέρος γενικής εκτ µησης αντικτύπου στο πλα σιο της έγκρισης της εν λόγω νοµικής βάσης, οι παράγραφοι 1 έως 7 δεν εφαρµόζονται, εκτός εάν τα κράτη µέλη κρ νουν απαρα τητη τη διενέργεια της εν λόγω εκτ µησης πριν από τις δραστηριότητες επεξεργασ ας.
7. Όπου απαιτε ται, ο υπεύθυνος επεξεργασ ας προβα νει σε επανεξέταση για να εκτιµήσει εάν η επεξεργασ α των δεδοµένων προσωπικού χαρακτήρα διενεργε ται σύµφωνα µε την εκτ µηση αντικτύπου στην προστασ α δεδοµένων τουλάχιστον όταν µεταβάλλεται ο κ νδυνος που θέτουν οι πράξεις επεξεργασ ας.» χετική είναι και η αιτιολογική σκέψη µε αριθµό 75 του ΓΚΠ∆ στην οποία αναφέρεται ότι «Οι κίνδυνο γ α τα δ κα ώµατα κα τ ς ελευθερίες φυσ κών προσώπων, ποικ λης πιθανότητας και σοβαρότητας, είνα δυνατόν να προκύπτουν από την επεξεργασία δεδοµένων προσωπ κού χαρακτήρα η οπο α θα µπορούσε να οδηγήσει σε σωµατική, υλική ή µη υλική βλάβη, ιδ ως όταν η επεξεργασ α µπορε να οδηγήσει σε διακρ σεις, κατάχρηση ή υποκλοπή ταυτότητας, οικονοµική απώλεια, βλάβη φήµης, απώλεια της εµπιστευτικότητας των δεδοµένων προσωπικού χαρακτήρα που προστατεύονται από επαγγελµατικό απόρρητο, παράνοµη άρση της 10 ψευδωνυµοπο ησης, ή οπο οδήποτε άλλο σηµαντ κό ο κονοµ κό ή κο νων κό µε ονέκτηµα· όταν τα υποκε µενα των δεδοµένων θα µπορούσαν να στερηθούν των δικαιωµάτων και ελευθεριών τους ή να εµποδ ζονται από την άσκηση ελέγχου επ των δεδοµένων τους προσωπικού χαρακτήρα· όταν υπόκεινται σε επεξεργασ α δεδοµένα προσωπικού χαρακτήρα τα οπο α αποκαλύπτουν φυλετική ή εθνοτική καταγωγή, πολιτικά φρονήµατα, θρησκε α ή φιλοσοφικές πεποιθήσεις ή συµµετοχή σε συνδικάτα και γ νεται επεξεργασ α γενετικών δεδοµένων, δεδοµένων που αφορούν την υγε α ή δεδοµένων που αφορούν τη σεξουαλική ζωή ή ποινικές καταδ κες και αδικήµατα ή σχετικά µέτρα ασφάλειας· όταν αξιολογούνται προσωπικές πτυχές, ιδ ως όταν επιχειρε ται ανάλυση ή πρόβλεψη πτυχών που αφορούν τις επιδόσεις στην εργασ α, την οικονοµική κατάσταση, την υγε α, προσωπικές προτιµήσεις ή συµφέροντα, την αξιοπιστ α ή τη συµπεριφορά, τη θέση ή µετακινήσεις, προκειµένου να δηµιουργηθούν ή να χρησιµοποιηθούν προσωπικά προφ λ· όταν υποβάλλονται σε επεξεργασ α δεδοµένα προσωπικού χαρακτήρα ευάλωτων φυσικών προσώπων, ιδ ως παιδιών· ή όταν η επεξεργασ α περιλαµβάνει µεγάλη ποσότητα δεδοµένων προσωπικού χαρακτήρα και επηρεάζει µεγάλο αριθµό υποκειµένων των δεδοµένων.» Προς περαιτέρω καθοδήγηση, το Ε Π∆ έχει υιοθετήσει τις «Κατευθυντήριες γραµµές για την εκτίµηση του αντικτύπου σχετικά µε την προστασία δεδοµένων (ΕΑΠ∆) και καθορισµός του κατά πόσον η επεξεργασία «ενδέχεται να επιφέρει υψηλό κίνδυνο» για τους σκοπούς του κανονισµού 2016/679.» (WP 248 αναθ. 01) που εκδόθηκαν από την Ο.Ε. του άρ. 29 (εφεξής κατευθυντήριες γραµµές ΕΑΠ∆). το κείµενο αυτό επισηµαίνεται ότι «Το άρθρο 35 κάνει λόγο για ενδεχόµενο υψηλό κ νδυνο «για τα δικαιώµατα και τις ελευθερ ες των φυσικών προσώπων». Όπως προκύπτει από τη δήλωση της οµάδας εργασ ας του άρθρου 29 για την προστασ α των δεδοµένων αναφορικά µε τον ρόλο µιας προσέγγισης βάσει κινδύνου στο νοµικό πλα σιο της προστασ ας δεδοµένων, η παραποµπή «στα δικαιώµατα και στις ελευθερ ες» των υποκειµένων των δεδοµένων αφορά πρωτ στως τα δικαιώµατα προστασ ας των δεδοµένων και της ιδιωτικής ζωής, ενδέχετα όµως να συµπερ λαµβάνε κα άλλα θεµελ ώδη δ κα ώµατα, όπως την ελευθερ α του λόγου, την ελευθερ α της σκέψης, την ελευθερ α κυκλοφορ ας, την απαγόρευση των διακρ σεων, το δικα ωµα στην ελευθερ α, την ελευθερ α συνειδήσεως και θρησκε ας.» ε σχέση µε την προβλεπόµενη στο άρθρο 35 παρ. 9 του ΓΚΠ∆ εµπλοκή των υποκειµένων των δεδοµένων το εν λόγω κείµενο αναφέρει: «Ο υπεύθυνος 11 επεξεργασ ας οφε λει, «όποτε ενδε κνυται», να «ζητε τη γνώµη των υποκειµένων των δεδοµένων ή των εκπροσώπων τους» (άρθρο 35 παράγραφος 9). Η οµάδα εργασ ας του άρθρου 29 θεωρε ότι: - οι εν λόγω γνώµες θα µπορούσαν να ζητηθούν µε διάφορα µέσα, ανάλογα µε το πλα σιο (π.χ. µε γενική µελέτη που σχετ ζεται µε τον σκοπό και τα µέσα της πράξης επεξεργασ ας, µε ερώτηµα προς τους εκπροσώπους των εργαζοµένων ή µε συνήθεις έρευνες που αποστέλλονται στους µελλοντικούς πελάτες του υπεύθυνου επεξεργασ ας) διασφαλ ζοντας ότι ο υπεύθυνος επεξεργασ ας έχει νόµιµη βάση επεξεργασ ας των δεδοµένων προσωπικού χαρακτήρα που διακυβεύονται όταν ζητούνται οι εν λόγω γνώµες. Παρά ταύτα, θα πρέπει να σηµειωθε ότι η συνα νεση στην επεξεργασ α προφανώς δεν αποτελε µέσο αναζήτησης της γνώµης των υποκειµένων των δεδοµένων· - εάν η τελική απόφαση του υπεύθυνου επεξεργασ ας διαφέρει από τη γνώµη των υποκειµένων των δεδοµένων, τότε θα πρέπει να τεκµηριώνει τους λόγους για τους οπο ους αποφάσισε να συνεχ σει ή όχι· - ο υπεύθυνος επεξεργασ ας θα πρέπει επ σης να τεκµηριώνει τον λόγο για τον οπο ο δεν ζήτησε τη γνώµη των υποκειµένων των δεδοµένων, εφόσον αποφασ ζει ότι δεν ενδε κνυται, για παράδειγµα εάν κάτι τέτοιο θα διακινδύνευε την εµπιστευτικότητα των επιχειρηµατικών σχεδ ων της εταιρε ας ή θα ήταν δυσανάλογο ή µη εφαρµόσιµο. Τέλος, συνιστά ορθή πρακτική ο καθορισµός και η τεκµηρ ωση άλλων ειδικών ρόλων και αρµοδιοτήτων, ανάλογα µε την εσωτερική πολιτική, τις διαδικασ ες και τους κανόνες, π.χ.: - όποτε συγκεκριµένες επιχειρηµατικές µονάδες προτε νουν τη διενέργεια ΕΑΠ∆, τότε θα πρέπει να εισφέρουν δεδοµένα στην ΕΑΠ∆ και να µετέχουν στη διαδικασ α επικύρωσής της· - όποτε ενδε κνυται, εµπειρογνωµόνων από συνιστάται διαφορετικά να ζητε ται επαγγέλµατα η (από γνώµη ανεξάρτητων δικηγόρους, ειδικούς τεχνολογ ας πληροφοριών, εµπειρογνώµονες σε θέµατα ασφαλε ας, δεοντολογ ας, κοινωνιολόγους κ.ο.κ.). 12 - οι ρόλοι και οι αρµοδιότητες των εκτελούντων την επεξεργασ α πρέπει να ορ ζονται συµβατικά· και η ΕΑΠ∆ πρέπει να διενεργε ται µε τη συνδροµή του εκτελούντος την επεξεργασ α, λαµβανοµένης υπόψη της φύσης της επεξεργασ ας και των πληροφοριών που διαθέτει ο εκτελών την επεξεργασ α [άρθρο 28 παράγραφος 3 στοιχε ο στ)]· - ο υπεύθυνος ασφάλειας πληροφοριών (ΥΑΠ), εφόσον έχει οριστε , καθώς και ο υπεύθυνος προστασ ας δεδοµένων (ΥΠ∆) θα µπορούσαν να προτε νουν τη διενέργεια ΕΑΠ∆ από τον υπεύθυνο επεξεργασ ας σε συγκεκριµένη πράξη επεξεργασ ας και θα πρέπει να συνδράµουν τους ενδιαφερόµενους παράγοντες στη µεθοδολογ α, να συνδράµουν στην αξιολόγηση της ποιότητας της εκτ µησης κινδύνου και στον καθορισµό του κατά πόσον ο υπολειπόµενος κ νδυνος ε ναι αποδεκτός και στην ανάπτυξη ειδικής γνώσης σε σχέση µε το πλα σιο του υπεύθυνου επεξεργασ ας· - ο υπεύθυνος ασφάλειας πληροφοριών (ΥΑΠ), εφόσον έχει οριστε , και/ή το τµήµα τεχνολογ ας πληροφοριών, θα πρέπει να παράσχουν συνδροµή στον υπεύθυνο επεξεργασ ας και θα µπορούσαν να προτε νουν τη διενέργεια ΕΑΠ∆ σε συγκεκριµένη πράξη επεξεργασ ας ανάλογα µε τις λειτουργικές ανάγκες ή τις ανάγκες ασφαλε ας. » ύµφωνα µε τη διάταξη του άρθρου 63 του ν. 4686/2020 (Α’ 96): «Παροχή σύγχρονης εξ αποστάσεως εκπα δευσης
8. Ε ναι δυνατή η, κατά παρέκκλιση κάθε άλλης διάταξης, παροχή σύγχρονης εξ αποστάσεως εκπα δευσης µε χρήση µέσων τεχνολογ ας σε µαθητές πρωτοβάθµιας και δευτεροβάθµιας εκπα δευσης που δεν δύνανται να παρακολουθήσουν δια ζώσης την εκπαιδευτική διαδικασ α ε τε λόγω καθολικής ή µερικής αναστολής ή απαγόρευσης λειτουργ ας εκπαιδευτικής δοµής ε τε για άλλον λόγο που ανάγεται σε έκτακτο ή απρόβλεπτο γεγονός. Η ταυτόχρονη διδασκαλ α σε µαθητές οι οπο οι συµµετέχουν στο µάθηµα µε φυσική παρουσ α και σε άλλους µαθητές οι οπο οι συµµετέχουν εξ αποστάσεως επιτρέπεται µόνο σε περ πτωση επιδηµικών νόσων. Σκοπός της παρεχόµενης δυνατότητας όλων των ανωτέρω περιπτώσεων ε ναι αποκλειστικά η παροχή εκπα δευσης.
9. Στο πλα σιο της διαδικασ ας της παραγράφου 1, δεν επιτρέπεται η καταγραφή και αποθήκευση του παραδιδόµενου µαθήµατος, παρά µόνον η ζωντανή µετάδοση ήχου ή/και εικόνας σε πραγµατικό χρόνο για τον ανωτέρω συγκεκριµένο σκοπό. Τα 13 µεταδεδοµένα που τυχόν παράγονται στο διο ως άνω πλα σιο διατηρούνται για συγκεκριµένο εύλογο χρονικό διάστηµα, όπως αυτό προσδιορ ζεται στο πλα σιο επεξεργασ ας των συγκεκριµένων δεδοµένων, µετά την πάροδο του οπο ου καταστρέφονται. Η επεξεργασ α των εν λόγω µεταδεδοµένων επιτρέπεται αποκλειστικά για σκοπούς ερευνητικούς ή στατιστικούς. Υπεύθυνος επεξεργασ ας δεδοµένων κατά την έννοια του άρθρου 4 του Κανονισµού (ΕΕ) 2016/679 (Γενικός Κανονισµός για την Προστασ α ∆εδοµένων, «Γ.Κ.Π.∆.») ε ναι: α) για όλες τις εκπαιδευτικές δοµές της πρωτοβάθµιας και της δευτεροβάθµιας δηµόσιας εκπα δευσης το Υπουργε ο Παιδε ας και Θρησκευµάτων και β) για όλες τις εκπαιδευτικές δοµές της πρωτοβάθµιας και της δευτεροβάθµιας ιδιωτικής εκπα δευσης το πρόσωπο, φυσικό ή νοµικό, ή άλλου ε δους νοµική οντότητα ανεξαρτήτως νοµικής προσωπικότητας στα οπο α έχει χορηγηθε η άδεια λειτουργ ας της αντ στοιχης ιδιωτικής εκπαιδευτικής δοµής.
10. Με απόφαση του Υπουργού Παιδε ας και Θρησκευµάτων, η οπο α εκδ δεται µετά τη διενέργεια εκτ µησης αντικτύπου σχετικά µε την προστασ α δεδοµένων (Ε.Α.Π.∆.) σύµφωνα µε τα άρθρα 35 παράγραφος 1 του Γ.Κ.Π.∆. και 65 του ν. 4624/2019 (Α΄ 137), ορ ζονται και ρυθµ ζονται ο τρόπος και τα µέσα τεχνολογ ας που χρησιµοποιούνται για την υλοπο ηση της εξ αποστάσεως εκπα δευσης στις περιστάσεις αυτές, ο τρόπος συµµετοχής των εκπαιδευτικών και των µαθητών σε αυτήν, οι όροι και οι προϋποθέσεις διενέργειας της διαδικασ ας, συµπεριλαµβανοµένων τυχόν οργανωτικών ή/και τεχνικών µέτρων προς διασφάλιση της προστασ ας των προσωπικών δεδοµένων των συµµετεχόντων, καθώς και κάθε άλλη λεπτοµέρεια για την εφαρµογή του παρόντος.» Με την από 10/08/2020 ΠΝΠ (ΦΕΚ Α 157) το άρθρο 63 του ν. 4686/2020 τροποποιήθηκε ως εξής: «Άρθρο δέκατο έβδοµο Παροχή σύγχρονης εξ αποστάσεως εκπα δευσης Το πρώτο εδάφιο της παρ. 1 του άρθρου 63 του ν. 4686/2020 (Α’ 96) αντικαθ σταται ως εξής: «Παρέχεται, κατά παρέκκλιση κάθε άλλης διάταξης και υπό τους ειδικότερους όρους, τις προϋποθέσεις και την έκταση που αποφασ ζονται κατά 14 περ πτωση από τον Υπουργό Παιδε ας και Θρησκευµάτων, σύγχρονη εξ αποστάσεως εκπα δευση µε χρήση µέσων τεχνολογ ας σε µαθητές πρωτοβάθµιας και δευτεροβάθµιας εκπα δευσης που δεν δύνανται να παρακολουθήσουν διά ζώσης την εκπαιδευτική διαδικασ α ε τε λόγω καθολικής ή µερικής αναστολής ή απαγόρευσης ή εκ περιτροπής λειτουργ ας εκπαιδευτικής δοµής ε τε για άλλο λόγο που ανάγεται σε έκτακτο ή απρόβλεπτο γεγονός.». Τέλος µε την υπ’ αριθ. 57233/Υ1 από 15.05.20 Κοινή Απόφαση της Υπουργού και της Υφυπουργού Παιδείας και Θρησκευµάτων (ΦΕΚ Β΄ 1859/15.05.2020) προβλέφθηκε η δυνατότητα παροχής σύγχρονης εξ αποστάσεως εκπαίδευσης στις σχολικές µονάδες πρωτοβάθµιας και δευτεροβάθµιας εκπαίδευσης µέχρι τη λήξη του σχολικού έτους 2019-2020 και ρυθµίστηκαν: α) τα ειδικότερα ζητήµατα σχετικά µε τον τρόπο και τα µέσα υλοποίησης της εξ αποστάσεως εκπαίδευσης τον τρόπο συµµετοχής των εκπαιδευτικών και των µαθητών σε αυτήν, καθως και β) οι όροι και οι προϋποθέσεις διενέργειας της διαδικασίας, συµπεριλαµβανοµένων τυχόν οργανωτικών ή/και τεχνικών µέτρων προς διασφάλιση της προστασίας των προσωπικών δεδοµένων των συµµετεχόντων. 2.
11. Επί της νοµιµότητας της σκοπούµενης επεξεργασίας την κρινόµενη περίπτωση, ο σκοπός που επιδιώκεται µε την υπό εξέταση επεξεργασία είναι ρητώς και σαφώς καθορισµένος στον νόµο και ειδικότερα στην παρ. 1 του άρθρου 63 του ν. 4686/20, σύµφωνα µε την οποία, ο αποκλειστικός σκοπός της εξεταζόµενης επεξεργασίας είναι η παροχή σύγχρονης εξ αποστάσεως εκπαίδευσης µε χρήση µέσων τεχνολογίας σε µαθητές πρωτοβάθµιας και δευτεροβάθµιας εκπαίδευσης που δεν δύνανται να παρακολουθήσουν δια ζώσης την εκπαιδευτική διαδικασία είτε λόγω καθολικής ή µερικής αναστολής ή απαγόρευσης λειτουργίας εκπαιδευτικής δοµής είτε για άλλον λόγο που ανάγεται σε έκτακτο ή απρόβλεπτο γεγονός. Η ταυτόχρονη διδασκαλία σε µαθητές οι οποίοι συµµετέχουν εξ αποστάσεως επιτρέπεται µόνον σε περίπτωση επιδηµικών νόσων. ηµειώνεται ότι στην προαναφερόµενη υπ’ αριθ. 57233/Υ1 από 15.05.20 Υπουργική Απόφαση – της οποίας η ισχύς έληξε το τέλος του σχολικού έτους 20192020 – αναφέρεται ότι τα προσωπικά δεδοµένα των µαθητών/τριων, γονέων ή/και κηδεµόνων, συγκεκριµένα η διεύθυνση ηλεκτρονικής αλληλογραφίας αυτών, 15 αποτελούν αντικείµενο επεξεργασίας από τη σχολική µονάδα λόγω της ιδιότητάς τους ως µαθητών/τριών ή/και γονέων ή κηδεµόνων και της σχέσης τους, αντίστοιχα, µε το ελληνικό δηµόσιο ή µε ιδιωτική σχολική µονάδα, η επεξεργασία δε αυτή είναι αναγκαία για την εκπλήρωση των σκοπών και υποχρεώσεων του ελληνικού δηµοσίου ή ιδιωτικού εκπαιδευτικού φορέα για τη διασφάλιση της απρόσκοπτης λειτουργίας της εκπαιδευτικής δραστηριότητας κατά την περίοδο εφαρµογής των έκτακτων µέτρων για την αντιµετώπιση του κορωνοϊού COVID-19 (παρ. 5 περ, β΄). ύµφωνα µε τα προβλεπόµενα στην υπουργική αυτή απόφαση (παρ. 7), σκοπός επεξεργασίας των δεδοµένων αυτών είναι το δηµόσιο αγαθό της παροχής εκπαίδευσης υπό καταστάσεις εκτάκτου ανάγκης, όπως είναι η πανδηµία του COVID-19, η νόµιµη δε βάση επεξεργασίας των εν λόγω δεδοµένων είναι το άρθρο 6 παρ. 1 στοιχ. γ’ (συµµόρφωση σε έννοµη υποχρέωση) και ε’ (εκπλήρωση καθήκοντος που εκτελείται προς το δηµόσιο συµφέρον ) του ΓΚΠ∆. Το υπό εξέταση µέτρο της σύγχρονης εξ αποστάσεως εκπαίδευσης είναι απολύτως συµβατό µε τη βασική αποστολή του Κράτους, όπως αυτή απορρέει από τις διατάξεις του άρθρου 16 του ., είναι δε πρόσφορο για τη διατήρηση της σχέσης εκπαιδευτικού-µαθητή και αναγκαίο εν µέσω υγειονοµικής κρίσης, καθώς η χρήση ηπιότερων µεσων, όπως η ασύγχρονη τηλεκπαίδευση, δεν είναι δυνατόν εκ της φύσεώς της να έχει τα ίδια αποτελέσµατα. Κατά συνέπεια, σύµφωνα µε τα προαναφερόµενα, η επεξεργασία την οποία συνεπάγεται καταρχήν η παροχή σύγχρονης εξ αποστάσεως εκπαίδευσης δεν αντίκειται στη νοµοθεσία για την προστασία των δεδοµένων προσωπικού χαρακτήρα, εφόσον ο σκοπός που εξυπηρετείται µε τη συγκεκριµένη επεξεργασία είναι νόµιµος, δεν καταγράφονται προσωπικά δεδοµένα εικόνας και ήχου από τις τηλεδιασκέψεις και δεν επιβάλλεται η υποχρέωση τηλεδιδασκαλίας πριν τη σχετική απόφαση του Υπουργού. 2.2 Επί της ΕΑΠ∆ Α. Σε σχέση µε την αναγκαιότητα και την αναλογικότητα των πράξεων επεξεργασίας σε συνάρτηση µε τους σκοπούς Η ΕΑΠ∆ περιέχει στην ενότητα 2.4, σύµφωνα και µε τη σχετική υποχρέωση του υπευθύνου επεξεργασίας µε βάση το άρθρο 35 παρ. 7 β) του ΓΚΠ∆, κρίση για 16 την αναγκαιότητα και την αναλογικότητα των πράξεων επεξεργασίας σε συνάρτηση µε τους σκοπούς της διαδικασίας εξ αποστάσεως εκπαίδευσης. Ο υπεύθυνος επεξεργασίας, σε σχέση µε την καταλληλόλητα του µέτρου, εξετάζει, ως ηπιότερο µέτρο, την πραγµατοποίηση από τους µαθητές εργασιών, κρίνοντας ότι δεν είναι καταλληλότερο µέτρο. ε σχέση µε την επέµβαση στη διαδραστική παιδαγωγική σχέση, η οποία επισηµαίνεται ότι αποτελεί το κυριότερο εργαλείο για τη πραγµάτωση του δικαιώµατος στην εκπαίδευση, στην ΕΑΠ∆ κρίνεται ότι, καθώς η ζωντανή µετάδοση του µαθήµατος γίνεται σε εξαιρετικές περιστάσεις, όπως αυτή της πανδηµίας, µε τη λήψη µέτρων, τα συγκρουόµενα συνταγµατικά αγαθά, βρίσκονται σε αρµονία. Κατά τη γνώµη της Αρχής, η ορθότητα της κρίσης αυτής είναι προφανής, στην περίπτωση της «κλασσικής» σύγχρονης τηλεκπαίδευσης σε καιρό πανδηµίας, όταν δεν υπάρχει η δυνατότητα λειτουργίας της τάξης σε σχολική αίθουσα. την περίπτωση αυτή, η επιλογή του υπευθύνου επεξεργασίας είναι µεταξύ µοντέλων ασύγχρονης και σύγχρονης εξ αποστάσεως εκπαίδευσης. υνεπώς, η χρήση σύγχρονης τηλεκπαίδευσης η οποία παρέχει τη δυνατότητα επικοινωνίας, και ικανοποιητικού βαθµού διάδρασης, δεδοµένων των συνθηκών, ικανοποιεί την αρχή της αναλογικότητας. ∆ιαφορετικό ζήτηµα αποτελεί η κρίση σε σχέση µε την αναλογικότητα του µέτρου στην περίπτωση της «ταυτόχρονης» µετάδοσης του µαθήµατος της σχολικής αίθουσας σε µαθητές οι οποίοι απουσιάζουν. την ΕΑΠ∆ δεν διαφοροποιείται η συγκεκριµένη µέθοδος, ως µια διαφορετική µορφή επεξεργασίας αν και εξετάζονται κάποιες από τις παραµέτρους της. Όµως, στην περίπτωση αυτή, η επέµβαση στο δικαίωµα της εκπαίδευσης των µαθητών οι οποίοι βρίσκονται στην αίθουσα, εξ αιτίας της µετάδοσης του µαθήµατος στους µαθητές που απουσιάζουν, αποτελεί ένα παράγοντα που δεν έχει εξετασθεί, αν και ενδέχεται να επηρεάζει σε σηµαντικό βαθµό την κρίση για την αναγκαιότητα και την αναλογικότητα της επεξεργασίας. ε αυτή τη µορφή της εκπαίδευσης, ο εκπαιδευτικός οφείλει, κατά τη διάρκεια µιας συνεδρίας και ταυτόχρονα µε την παρουσία του στην σχολική αίθουσα, να εκτελεί µια σειρά από ενέργειες που διαφοροποιούν ουσιωδώς τον τρόπο εκπαίδευσης. Για παράδειγµα, ο εκπαιδευτικός οφείλει να ελέγχει τη συσκευή µετάδοσης ήχου/εικόνας, να επιτρέπει την εισαγωγή µαθητών στην τάξη, να ανοίγει/κλείνει ήχο και εικόνα, να 17 είναι σε θέση να περιορίσει τον ήχο σε περίπτωση που κάποιος µαθητής µιλήσει, να επαναλαµβάνει ερωτήσεις ή απαντήσεις µαθητών κλπ. Μάλιστα, θα πρέπει να συνυπολογίζεται η διαφοροποίηση των αναγκών και των συνθηκών ανά βαθµίδα εκπαίδευσης (και ίσως ανά οµάδα τάξεων, π.χ. Α-Β ∆ηµοτικού, Γ-∆ κλπ). υνεπώς απαιτείται µελέτη περισσότερων εναλλακτικών λύσεων/µεθόδων προσδιορισµός και ειδικών µέτρων και τεχνικών (συµπεριλαµβανοµένων των εκπαιδευτικών µεθόδων) για την ελαχιστοποίηση των επιπτώσεων στα δικαιώµατα των υποκειµένων των δεδοµένων, προσαρµοσµένων ανά ηλικιακή οµάδα, για την τεκµηρίωση της αναγκαιότητας και αναλογικότητας. Β. Εµπλοκή των υποκειµένων των δεδοµένων και κατάλληλων εµπειρογνωµόνων Για την υλοποίηση της ΕΑΠ∆ δεν ζητήθηκε η γνώµη των υποκειµένων των δεδοµένων ή των εκπροσώπων τους για τη σχεδιαζόµενη επεξεργασία. Όπως απαιτείται, σύµφωνα µε τις προαναφερθείσες κατευθυντήριες γραµµές, στην ΕΑΠ∆ παρατίθεται αιτιολόγηση για την εν λόγω παράλειψη, µε την εξής αναφορά: «
12. Η χρονική περ οδος κατά την οπο α εκπονήθηκε η παρούσα ε ναι ιδιαιτέρως κρ σιµη, καθώς συµπ πτει αφενός µε την επαναλειτουργ α των σχολικών µονάδων µετά τη λήξη της προσωρινής απαγόρευσης λειτουργ ας τους λόγω της πανδηµ ας Covid_19 και αφετέρου µε την προετοιµασ α της διεξαγωγής των Πανελλαδικών Εξετάσεων και τη λήξη του διδακτικού έτους. Εποµένως, η διαβούλευση κρ νεται, κατά τη σύνταξη της παρούσης, µη εφαρµόσιµη για λόγους ουσιαστικού δηµοσ ου συµφέροντος.
13. Η παρούσα ΕΑΠ∆ περιέχει, µεταξύ άλλων, ειδικό κεφάλαιο µε τα µέτρα που έχει λάβει το ΥΠΑΙΘ για την απρόσκοπτη και ασφαλή διεξαγωγή της επεξεργασ ας, τα οπο α πρέπει να παραµε νουν εµπιστευτικά.
14. Στην παρούσα περιγράφονται τα µέτρα προστασ ας Π∆ που εφαρµόζει η Cisco, τα οπο α συνδέονται άρρηκτα µε τον σχεδιασµό και την καθ΄αυτό λειτουργ α της εφαρµογής «Webex Meetings». Η αποκάλυψη τέτοιου ε δους πληροφοριών σε ένα τόσο µεγάλο πλήθος Υποκειµένων δηµιουργε σοβαρούς κινδύνους εµπιστευτικότητας και επιχειρηµατικού απορρήτου.» 18 ηµειώνεται µάλιστα ότι «παρά το γεγονός πως από την παρούσα συνάγεται ότι η δραστηριότητα επεξεργασ ας δεν συνεπάγεται µη διαχειρ σιµους, υψηλούς κινδύνους για τα δικαιώµατα και τις ελευθερ ες των Υποκειµένων, το ΥΠΑΙΘ εξετάζει το ενδεχόµενο διαβούλευσης µε τα εµπλεκόµενα µέρη µετά το τέλος του διδακτικού έτους στο πλα σιο κατάρτισης πολιτικής προστασ ας για την περ πτωση που το µέτρο της τηλεκπα δευσης απαιτηθε εκ νέου στις εξαιρετικές περιπτώσεις που προβλέπει η νοµοθεσ α.» Η ΕΑΠ∆ φαίνεται να υλοποιήθηκε σε εξαιρετικά σύντοµο χρόνο, στο πλαίσιο των έκτακτων συνθηκών που δηµιουργήθηκαν λόγω της πανδηµίας. Η κατάθεση της τροπολογίας πραγµατοποιήθηκε στις 08/05/2020, η διάταξη δηµοσιεύθηκε σε ΦΕΚ στις 12/05/2020 ενώ η ΕΑΠ∆ και η επακόλουθη Υ.Α. υπ’ αριθµ. 57233/Υ1 (ΦΕΚ B 1859) εκδόθηκαν στις 15.05.
15. Το επιχείρηµα ότι ήταν επείγουσα ανάγκη προβάλλεται, κατ’ αρχήν, βάσιµα, χωρίς όµως αυτό να παρέχει επαρκή αιτιολόγηση για την παράκαµψη της διαδικασίας λήψης γνώµης των υποκειµένων των δεδοµένων. Τα επιχειρήµατα µε αριθµό 2 και 3 του υπευθύνου επεξεργασίας, δεν είναι βάσιµα. Τα µέτρα που έχει λάβει το ΥΠΑΙΘ για την απρόσκοπτη και ασφαλή διεξαγωγή της επεξεργασίας και τα οποία υποστηρίζει ότι πρέπει να παραµείνουν εµπιστευτικά, περιλαµβάνουν κυρίως οργανωτικά και λιγότερο τεχνικά µέτρα, τα οποία είτε είναι ήδη δηµόσια γνωστά µέσω των εγκυκλίων του Υπουργείου είτε αποτελούν τυπική πρακτική κατά τη λήψη µέτρων σε αντίστοιχες περιπτώσεις, ώστε να µην τίθεται κανένα θέµα διακινδύνευσης. Όσον αφορά τα µέτρα προστασίας προσωπικών δεδοµένων τα οποία εφαρµόζει η Cisco, αυτά βασίζονται στις ήδη δηµοσιευµένες πρακτικές της εταιρείας (π.χ. Cisco Webex Meetings Privacy Data Sheet, δηµόσια διαθέσιµα στο https://trustportal.cisco.com), χωρίς να µπορεί να τεκµηριωθεί θέµα εµπιστευτικότητας ή επιχειρηµατικού απορρήτου. Όπως προκύπτει από το ιστορικό της υπόθεσης, η επεξεργασία αφορά µεγάλο αριθµό ευάλωτων υποκειµένων (µαθητών και εργαζοµένων) ενώ, έµµεσα ή άµεσα, επηρεάζεται και το οικογενειακό περιβάλλον των µαθητών. Τα επηρεαζόµενα δικαιώµατα συνδέονται µε την εκπαίδευση και την υγεία, και όχι µόνο στενά µε την προστασία των δεδοµένων προσωπικού χαρακτήρα. υνεπώς, ο υπεύθυνος επεξεργασίας που προτίθεται να εισάγει µια καινοφανή λύση (ιδίως ως προς τη παράµετρο της «ταυτόχρονης» τηλεκπαίδευσης) οφείλει να ακολουθεί συστηµατική 19 προσέγγιση ως προς τον εντοπισµό και την αντιµετώπιση των κινδύνων. Απαραίτητο στοιχείο της προσέγγισης αυτής είναι η εµπλοκή των υποκειµένων των δεδοµένων, τα οποία επηρεάζονται άµεσα ή έµµεσα, αλλά και κατάλληλων εµπειρογνωµόνων. Η Αρχή επισηµαίνει ότι η εµπλοκή των υποκειµένων της επεξεργασίας και των εµπείρων φορέων στο στάδιο σύνταξης της ΕΑΠ∆ (όπως και η δηµοσίευση της ΕΑΠ∆ ή µέρους αυτής), έχει ως αποτέλεσµα αυξηµένη διαφάνεια και εν τέλει, µπορεί να οδηγήσει σε αυξηµένη εµπιστοσύνη1 των υποκειµένων των δεδοµένων στις πράξεις επεξεργασίας και την απόδειξη της διαφάνειας και της λογοδοσίας (και εν προκειµένω σε αυξηµένη χρήση των διαδικασιών σύγχρονης τηλεκπαίδευσης). Περαιτέρω, µε δεδοµένο ότι η ΕΑΠ∆ είναι ένα «ζωντανό» κείµενο (όπως άλλωστε αναφέρεται και στο κείµενο της ΕΑΠ∆) η διαδικασία διατύπωσης γνώµης των υποκειµένων (ή των εκπροσώπων τους) θα µπορούσε να έχει αρχικά συντµηθεί, λόγω του επείγοντος χαρακτήρα, αλλά θα έπρεπε να έχει συνεχιστεί συστηµατικότερα σε επόµενο στάδιο. Γ. Μεθοδολογία ΕΑΠ∆. Προσδιορισµός, ανάλυση κινδύνων και µέτρων αντιµετώπισης αυτών Το Υ.ΠΑΙ.Θ., λαµβάνοντας υπόψη το άρθρο 35 του ΓΚΠ∆ και το άρθρο 63 του ν. 4686/2020 διενήργησε εκτίµηση αντικτύπου σχετικά µε την προστασία δεδοµένων (ΕΑΠ∆) για τις δραστηριότητες επεξεργασίας που συνδέονται µε την παροχή σύγχρονης εξ αποστάσεως εκπαίδευσης. Καθώς, σύµφωνα µε την κρίση του υπεύθυνου επεξεργασίας, η επεξεργασία δεν θα προκαλούσε υψηλό κίνδυνο, µετά και τη λήψη των µέτρων µετριασµού του κινδύνου, και για τον λόγο αυτό δεν πραγµατοποιήθηκε διαβούλευση µε την Αρχή, η οποία απαιτείται, µε βάση το άρθρο 36 παρ. 1 του ΓΚΠ∆, µόνον όταν η ΕΑΠ∆ υποδεικνύει ότι η επεξεργασία θα προκαλούσε υψηλό κίνδυνο ελλείψει µέτρων µετριασµού. Επισηµαίνεται όµως, ότι από τα προσκοµισθέντα στοιχεία δεν προκύπτει µε βεβαιότητα η ηµεροµηνία εκτέλεσης και ολοκλήρωσης της ΕΑΠ∆, αφού στο κείµενο που έχει κατατεθεί στην Αρχή δεν έχει τεθεί έγγραφη ή ηλεκτρονική σήµανση (π.χ. αρ. πρωτοκόλλου, 1 Πρβλ. ΟΕ. Αρ 29 - Κατευθυντήριες γραµµές σχετικά µε τη διαφάνεια βάσει του κανονισµού 2016/679 - WP260 rev.01, σκέψη
16. 20 ηλεκτρονική υπογραφή κλπ). ηµειώνεται ότι ο υπεύθυνος επεξεργασίας θα πρέπει να είναι σε θέση να αποδείξει τον χρόνο εκπόνησης και ολοκλήρωσης της ΕΑΠ∆. Η προσκοµισθείσα ΕΑΠ∆, ακολουθεί µεθοδολογία που φαίνεται να βασίζεται στις κατευθυντήριες γραµµές του Ε Π∆ και εποπτικών αρχών (ιδίως των CNIL και ICO). Όµως, από το κείµενο της ΕΑΠ∆ δεν προκύπτει µε ποιο τρόπο έχει εφαρµοστεί η µεθοδολογία και έχει εκπονηθεί η ΕΑΠ∆, ώστε να είναι σαφές ότι η µελέτη είναι πλήρης. υγκεκριµένα, από την ΕΑΠ∆ δεν προκύπτει ποια άτοµα και µε ποιο τρόπο, έχουν εµπλακεί για την εκτέλεση της ΕΑΠ∆ και συγκεκριµένα για ενέργειες που είναι απαραίτητες για την εκπόνησή της και περιλαµβάνουν την ανάλυση των χαρακτηριστικών της επεξεργασίας, τον προσδιορισµό των πηγών των κινδύνων, των δυνητικών επιπτώσεων στα δικαιώµατα και τις ελευθερίες των υποκειµένων των δεδοµένων, την εξακρίβωση πιθανών απειλών, τον καθορισµό µέτρων αντιµετώπισης των κινδύνων ή την αποδοχή αυτών. ηµειώνεται ότι στις κατευθυντήριες γραµµές ΕΑΠ∆ γίνεται ειδική αναφορά για τον τοµέα αυτό: «Τέλος, συνιστά ορθή πρακτική ο καθορισµός και η τεκµηρ ωση άλλων ειδικών ρόλων και αρµοδιοτήτων, ανάλογα µε την εσωτερική πολιτική, τις διαδικασ ες και τους κανόνες, π.χ.: … - όποτε ενδε κνυται, εµπειρογνωµόνων από συνιστάται διαφορετικά να ζητε ται επαγγέλµατα η (από γνώµη ανεξάρτητων δικηγόρους, ειδικούς τεχνολογ ας πληροφοριών, εµπειρογνώµονες σε θέµατα ασφαλε ας, δεοντολογ ας, κοινωνιολόγους κ.ο.κ.). - οι ρόλοι και οι αρµοδιότητες των εκτελούντων την επεξεργασ α πρέπει να ορ ζονται συµβατικά· και η ΕΑΠ∆ πρέπει να διενεργε ται µε τη συνδροµή του εκτελούντος την επεξεργασ α, λαµβανοµένης υπόψη της φύσης της επεξεργασ ας και των πληροφοριών που διαθέτει ο εκτελών την επεξεργασ α [άρθρο 28 παράγραφος 3 στοιχε ο στ)]· - ο υπεύθυνος ασφάλειας πληροφοριών (ΥΑΠ), εφόσον έχει οριστε , καθώς και ο υπεύθυνος προστασ ας δεδοµένων (ΥΠ∆) θα µπορούσαν να προτε νουν τη διενέργεια 21 ΕΑΠ∆ από τον υπεύθυνο επεξεργασ ας σε συγκεκριµένη πράξη επεξεργασ ας και θα πρέπει να συνδράµουν τους ενδιαφερόµενους παράγοντες στη µεθοδολογ α, να συνδράµουν στην αξιολόγηση της ποιότητας της εκτ µησης κινδύνου και στον καθορισµό του κατά πόσον ο υπολειπόµενος κ νδυνος ε ναι αποδεκτός και στην ανάπτυξη ειδικής γνώσης σε σχέση µε το πλα σιο του υπεύθυνου επεξεργασ ας· - ο υπεύθυνος ασφάλειας πληροφοριών (ΥΑΠ), εφόσον έχει οριστε , και/ή το τµήµα τεχνολογ ας πληροφοριών, θα πρέπει να παράσχουν συνδροµή στον υπεύθυνο επεξεργασ ας και θα µπορούσαν να προτε νουν τη διενέργεια ΕΑΠ∆ σε συγκεκριµένη πράξη επεξεργασ ας ανάλογα µε τις λειτουργικές ανάγκες ή τις ανάγκες ασφαλε ας» Το τµήµα της ΕΑΠ∆, στο οποίο γίνεται η τελική εκτίµηση των πράξεων επεξεργασίας για τον προσδιορισµό αναγκαίων παρεµβάσεων είναι το κρισιµότερο για την πληρότητα της µελέτης, καθώς, όπως αναφέρεται στις σχετικές κατευθυντήριες γραµµές, πρέπει να τελούν υπό διαχείριση οι κίνδυνοι για τα δικαιώµατα και τις ελευθερίες των υποκειµένων των δεδοµένων (πρβλ. ΓΚΠ∆ άρθρο 35 παρ. 7 γ). Προς τον σκοπό αυτό, στην ΕΑΠ∆ (σελ. 5) αναφέρεται ότι «Ειδικός στόχος της παρούσας µελέτης ε ναι να αναγνωριστούν και να καταγραφούν οι κ νδυνοι για την ιδιωτικότητα και ειδικότερα για τα προσωπικά δεδοµένα κατά την τηλεκπα δευση.» Όπως έχει αναλυθεί παραπάνω, η εν λόγω αναφορά είναι ελλιπής, καθώς πρέπει να λαµβάνονται υπόψη οι κίνδυνοι για τα δικαιώµατα και τις ελευθερίες φυσικών προσώπων και όχι µόνο για την ιδιωτικότητα. Εξάλλου, σε σχέση µε την ανάλυση κινδύνων, επιπτώσεων και συνεπειών, στην ΕΑΠ∆ εξετάζονται, συνοπτικά, οι εξής κίνδυνοι:
17. Παράνοµη πρόσβαση σε προσωπικά δεδοµένα,
18. Παράνοµη καταγραφή προσωπικών δεδοµένων,
19. Αλλαγή / αλλοίωση προσωπικών δεδοµένων (τροποποίηση),
20. Αποκάλυψη πληροφοριών στους γονείς των µαθητών ή σε τρίτους,
21. Ανισότητα µεταξύ µαθητών,
22. Ακαδηµαϊκή ελευθερία του εκπαιδευτικού,
23. Ελεύθερη ανάπτυξη της προσωπικότητας των µαθητών. 22 υνεπώς, φαίνεται ότι τελικά ο υπεύθυνος επεξεργασίας περιλαµβάνει µόνον τρεις κατηγορίες κινδύνων οι οποίοι σχετίζονται µε δικαιώµατα και ελευθερίες φυσικών προσώπων διαφορετικά από το δικαίωµα της προστασίας δεδοµένων προσωπικού χαρακτήρα. τον πίνακα των σελ. 32-35 της ΕΑΠ∆ παρουσιάζονται οι κίνδυνοι, οι επιπτώσεις τους, η πιθανότητα εµφάνισης και η πιθανότητα ο κίνδυνος να επιφέρει βλάβη. τον εν λόγω πίνακα οι κίνδυνοι αναφέρονται χωρίς περαιτέρω ανάλυση, ενώ επίσης οι εκτιµήσεις του υπεύθυνου επεξεργασίας παρουσιάζονται άνευ περαιτέρω τεκµηρίωσης (µε αριθµητικές τιµές και µε επαρκή αιτιολόγηση) . υνεπώς, σε καµία από τις παραπάνω κατηγορίες δεν αναλύεται επαρκώς, ο προσδιορισµένος κίνδυνος. Οµοίως, δεν αναλύεται ούτε τεκµηριώνεται επαρκώς η επιλογή σε σχέση µε τη σοβαρότητα των συνεπειών στα δικαιώµατα και τις ελευθερίες των υποκειµένων των δεδοµένων, τη σοβαρότητα των συνεπειών, την πιθανότητα εµφάνισης του κινδύνου και την πιθανότητα ο κίνδυνος να επιφέρει βλάβη. ηµειώνεται ότι στις κατευθυντήριες γραµµές ΕΑΠ∆ επισηµαίνονται ως κριτήρια αποδοχής της, όσον αφορά στον συγκεκριµένο τοµέα, τα εξής: • «έχουν αξιολογηθε η προέλευση, η φύση, η ιδιαιτερότητα και η σοβαρότητα των κινδύνων (πρβλ. αιτιολογική σκέψη 84) ή ειδικότερα κάθε κ νδυνος (αθέµιτη πρόσβαση, ανεπιθύµητη τροποπο ηση, και εξαφάνιση δεδοµένων) από την οπτική των υποκειµένων των δεδοµένων· • έχουν ληφθε υπόψη οι πηγές των κινδύνων (αιτιολογική σκέψη 90)· • εξακριβώνονται οι δυνητικές επιπτώσεις στα δικαιώµατα και τις ελευθερ ες των υποκειµένων των δεδοµένων σε περιπτώσεις συµβάντων που περιλαµβάνουν αθέµιτη πρόσβαση, ανεπιθύµητη τροποπο ηση και εξαφάνιση δεδοµένων· • εξακριβώνονται απειλές που θα µπορούσαν να επιφέρουν αθέµιτη πρόσβαση, ανεπιθύµητη τροποπο ηση και εξαφάνιση δεδοµένων· • εκτιµώνται η πιθανότητα και η σοβαρότητα (αιτιολογική σκέψη 90)» Περαιτέρω, η ΕΑΠ∆ εκπονήθηκε σε σύντοµο χρονικό διάστηµα, όπως αναφέρεται ανωτέρω, ουδεµία δε αναφορά γίνεται στη µέθοδο προσδιορισµού των κινδύνων και στα πρόσωπα τα οποία συνέβαλλαν, µε τη γνώµη τους ή εκ της αρµοδιότητάς τους, στην κατάρτιση του εν λόγω πίνακα. Υπενθυµίζεται ότι, µε βάση 23 τις κατευθυντήριες γραµµές, συνιστάται η εµπλοκή ανεξάρτητων εµπειρογνωµόνων από τα κατάλληλα επαγγέλµατα, του εκτελούντος την επεξεργασία, του υπεύθυνου ασφάλειας πληροφοριών, εφόσον έχει οριστεί, και/ή του σχετικού τµήµατος τεχνολογίας πληροφοριών. την προκειµένη περίπτωση, καθώς, όπως έχει ήδη αναφερθεί, εισάγεται µια καινοφανής διαδικασία, η οποία επηρεάζει δικαιώµατα που δεν περιορίζονται στην προστασία των προσωπικών δεδοµένων, είναι απαραίτητη η συµµετοχή κατάλληλων εµπειρογνωµόνων (ενδεικτικά: ακαδηµαϊκοί φορείς, δηµόσιοι φορείς εκπαιδευτικής πολιτικής κλπ.). Ως επακόλουθο, ο «χάρτης κινδύνων» που παρουσιάζεται στην ΕΑΠ∆ εµφανίζει µη τεκµηριωµένες, υποκειµενικές, εκτιµήσεις του υπεύθυνου επεξεργασίας. υνεπώς, είναι απαραίτητο, στη διαδικασία προσδιορισµού, ανάλυσης κινδύνων και εντοπισµού µέτρων αντιµετώπισης αυτών να παρέχεται πλήρης ανάλυση των κινδύνων, ώστε να είναι κατανοητή από τον αναγνώστη της ΕΑΠ∆, η τεκµηρίωση των επιλογών του υπευθύνου επεξεργασίας για τις εκτιµήσεις που κάνει σε σχέση µε τους δείκτες από τους οποίους προκύπτει, ακόµα κι αν οι εκτιµήσεις αυτές παραµένουν ως ένα βαθµό υποκειµενικές. Επισηµαίνεται ότι ακόµα και στους προσδιορισµένους κινδύνους, πολλές επιλογές του υπεύθυνου επεξεργασίας ενδέχεται να χρήζουν πληρέστερης αξιολόγησης. Ενδεικτικά: α) στον κίνδυνο 1 (Παράνοµη πρόσβαση σε προσωπικά δεδοµένα) η επιλογή ότι ο κίνδυνος είναι αµελητέος επειδή η τηλεδιάσκεψη πραγµατοποιείται µε πρόσκληση σε συγκεκριµένο αριθµό χρηστών δεν είναι αυτονοήτως ορθή καθώς: αα) όλοι οι µαθητές ενός εκπαιδευτικού γνωρίζουν την «προσωπική του τάξη», συνεπώς, ενδέχεται να δοκιµάσουν να συνδεθούν σε διαφορετικό χρόνο, αβ) η διεύθυνση της προσωπικής τάξης µπορεί να γίνει (ειδικά µε την πάροδο του χρόνου) γνωστή και σε τρίτους, αγ) ο εκπαιδευτικός, µε δεδοµένο ότι ο µαθητής µπορεί να επιλέξει όποιο όνοµα επιθυµεί, δεν γνωρίζει πάντα ποιος είναι ο χρήστης που ζητάει να συνδεθεί στην αίθουσα· β) στους κινδύνους 2 και 4 (αποκάλυψη πληροφοριών στους γονείς των µαθητών ή σε τρίτους) η σοβαρότητα των συνεπειών µπορεί, σε κάποιες περιπτώσεις, να είναι µεγάλη (ιδίως αν ληφθεί υπόψη ότι ενδέχεται να καταγραφούν ειδικές κατηγορίες δεδοµένων) ενώ η πιθανότητα εµφάνισης του κινδύνου ενδέχεται να είναι ιδιαίτερα µεγαλύτερη, καθώς λόγω του µεγάλου αριθµού µαθητών µπορεί βασίµως να πιθανολογηθεί ότι κάποιοι γονείς/τρίτοι παρακολουθούν· γ) Η πιθανότητα εµφάνισης του κινδύνου της 24 ανισότητας είναι µεγάλη καθώς είναι γνωστό ότι δεν διαθέτουν όλοι οι µαθητές και οι σχολικές µονάδες υποδοµή σύνδεσης, ή την ίδια υποδοµή σύνδεσης. Περαιτέρω, από τους προσδιορισµένους κινδύνους φαίνεται να απουσιάζουν ή να µην αναλύονται επαρκώς µια σειρά από κινδύνους. Ενδεικτικά η Αρχή παραθέτει τους παρακάτω κινδύνους, οι οποίοι θα πρέπει να αντιµετωπισθούν: • Κίνδυνοι σχετιζόµενοι µε την επέµβαση στην εκπαιδευτική διαδικασία, οι οποίοι επηρεάζουν το δικαίωµα στην εκπαίδευση. Απουσιάζει εκτίµηση και ανάλυση της επέµβασης ανά εκπαιδευτική βαθµίδα/τάξη, προσαρµοσµένη στις ιδιαιτερότητες των µαθητών. Για παράδειγµα, οι κίνδυνοι αυτοί µπορεί να αντιµετωπιστούν µε την εισαγωγή ή χρήση νέων εκπαιδευτικών µεθόδων, την παροχή κατάλληλης εκπαίδευσης και επιµόρφωσης στους εκπαιδευτικούς, µε τη συµβολή των κατάλληλων εκπαιδευτικών και ακαδηµαϊκών φορέων. • Κίνδυνοι από τη χρήση εξοπλισµού που δεν βρίσκεται στην ευθύνη του υπευθύνου επεξεργασίας, ιδίως όσον αφορά στους εκπαιδευτικούς. το πλαίσιο αυτής της ανάλυσης θα πρέπει να εξεταστεί και το ζήτηµα της χρήσης προσωπικής συσκευής για υπηρεσιακό σκοπό (πρβλ. και απόφαση 77/2018 της Αρχής). Περαιτέρω στην ΕΑΠ∆ αναφέρεται ότι η πλατφόρµα και οι χρήστες δεν κινδυνεύουν από πιθανή ύπαρξη ιών σε τερµατικό εξοπλισµό συγκεκριµένου χρήστη (σελ 16), χωρίς περαιτέρω τεκµηρίωση. • Κίνδυνοι από τις διαβιβάσεις δεδοµένων εκτός Ε.Ε. Να σηµειωθεί ότι όπως προκύπτει από την προσκοµισθείσα σύµβαση, δεν αποκλείεται η πιθανότητα χρήσης κέντρου δεδοµένων εκτός Ε.Ε., τουλάχιστον σε περίπτωση «βλάβης». Να σηµειωθεί, ότι πλέον, ο υπεύθυνος επεξεργασίας οφείλει να µελετήσει την απόφαση C-311/18 του ∆ΕΕ και να διασφαλίσει ότι δεν υπάρχει περίπτωση διαβίβασης δεδοµένων προσωπικού χαρακτήρα εκτός Ε.Ε.2 Ο υπεύθυνος επεξεργασίας οφείλει να διερευνά το εφαρµοστέο νοµικό καθεστώς στη χώρα του εισαγωγέα, 2 Βλ. σχετικά τη δήλωση του Ε Π∆ επί της απόφασης του ∆ικαστηρίου της Ευρωπαϊκής Ένωσης στην υπόθεση C-311/18-Data Protection Commissioner κατά Facebook Ireland και Maximillian Schrems https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_statement_20200717_cjeujudgmentc311_18_el.pdf και τις σχετικές υχνές Ερωτήσεις https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_faqs_schrems_ii_202007_adopted_el.pdf 25 ώστε να εξασφαλίζει την εφαρµογή των δικαιωµάτων των υποκειµένων των δεδοµένων, σε κάθε περίπτωση. Τονίζεται ότι ο κίνδυνος αυτός ενδέχεται να υφίσταται στην περίπτωση χρήσης εταιρειών οι οποίες εµπίπτουν στη νοµοθεσία των ΗΠΑ (π.χ. άρθρο 702 του νόµου FISA και εκτελεστικό διάταγµα EO 12333), ανεξάρτητα του τόπου τήρησης των δεδοµένων. • Κίνδυνοι που απορρέουν από τους όρους της σύµβασης. Ειδικότερα, από τη µελέτη της σύµβασης, προκύπτει ότι κάποια δεδοµένα διατηρούνται από τον εκτελούντα την επεξεργασία (Cisco). Τα δεδοµένα αυτά περιλαµβάνουν δεδοµένα που παράγονται κατά τη χρήση των υπηρεσιών· επισηµαίνεται ότι η σύµβαση διασφαλίζει δεδοµένα τα οποία «διαθέτει» το Υπουργείο στη Cisco, χωρίς να είναι σαφές αν σε αυτά περιλαµβάνονται και τα παραγόµενα δεδοµένα χρηστών. Από τη σύµβαση3 προκύπτει σαφώς ότι τηρούνται, για επτά έτη, µια σειρά από δεδοµένα προσωπικού χαρακτήρα, τα οποία περιλαµβάνουν τα δεδοµένα εγγραφής, αλλά και ψευδώνυµα δεδοµένα για σκοπούς «analytics» και µέτρησης απόδοσης. Επισηµαίνεται ότι σύµφωνα µε τους ορισµούς του ΓΚΠ∆, τα ψευδώνυµα δεδοµένα αποτελούν προσωπικά δεδοµένα και η άρση της ψευδωνυµοποίησης αποτελεί κίνδυνο ο οποίος πρέπει να αντιµετωπισθεί. Μάλιστα, στη σελ. 19 της ΕΑΠ∆ γίνεται αναφορά σε «Μεταδεδοµένα αµιγώς τεχνικής φύσης µέσω των οπο ων δεν καθ σταται ικανή η προσωπική ταυτοπο ηση των χρηστών». ηµειώνεται επίσης ότι, υπό προϋποθέσεις, µπορεί να υπάρξει αναγνώριση υποκειµένων δεδοµένων, π.χ. µέσω συσχέτισης των µεταδεδοµένων µε άλλες γνωστές πληροφορίες που αφορούν ένα υποκείµενο των δεδοµένων. Περαιτέρω, ένας επιπλέον κίνδυνος απορρέει από την έλλειψη συµπλήρωσης, στη σύµβαση, του πεδίου το οποίο αφορά το πρόσωπο του υπεύθυνου επεξεργασίας, τον οποίο θα ενηµερώσει η Cisco (ως εκτελούσα την επεξεργασία) σε περίπτωση περιστατικού παραβίασης (βλ. σελ. 7 του παραρτήµατος Α). • Κίνδυνοι από τη χρήση τρίτων εκτελούντων την επεξεργασία (subprocessors), οι οποίοι δεν φαίνεται να έχουν προσδιοριστεί. 3 βλ. Cisco Webex Meetings Privacy Sheet – ενότητα
24. Data Deletion & Retention – Registration Information, User Generated Information, Host and Usage Information 26 Επισηµαίνεται ότι µε βάση το άρθρο 28 παρ. 2 του ΓΚΠ∆, ο εκτελών την επεξεργασία δεν προσλαµβάνει άλλον εκτελούντα την επεξεργασία χωρίς προηγούµενη ειδική ή γενική γραπτή άδεια του υπευθύνου επεξεργασίας και σε περίπτωση γενικής γραπτής άδειας, όπως φαίνεται να ισχύει µε την υφιστάµενη σύµβαση, ο εκτελών την επεξεργασία ενηµερώνει τον υπεύθυνο επεξεργασίας για τυχόν σκοπούµενες αλλαγές που αφορούν την προσθήκη ή την αντικατάσταση των άλλων εκτελούντων την επεξεργασία, παρέχοντας µε τον τρόπο αυτό τη δυνατότητα στον υπεύθυνο επεξεργασίας να αντιταχθεί σε αυτές τις αλλαγές. • Κίνδυνοι από τη χρήση προσωπικών ηλεκτρονικών διευθύνσεων των εκπαιδευτικών και τη διαβίβαση ηλεκτρονικά στη Cisco, ακόµα κι αν ένας εκπαιδευτικός δεν ενεργοποιήσει την τηλεκπαίδευση. το σύστηµα «myschool» φαίνεται να συµπεριλαµβάνονται οι διευθύνσεις ηλεκτρονικού ταχυδροµείου (email) των εκπαιδευτικών χωρίς να είναι σαφές για ποιο σκοπό έχουν συλλεγεί. Περαιτέρω, καθώς οι εκπαιδευτικοί χρησιµοποιούν για επικοινωνία προσωπικά email (πολλές φορές) υπάρχει κίνδυνος για αυτούς. Π.χ. σκόπιµο θα ήταν όλες οι ενέργειες να γίνονται από τους λογαριασµούς του σχολικού δικτύου (email επικοινωνίας; @sch.gr). Τέλος, επισηµαίνεται ότι µετά τη διενέργεια της ΕΑΠ∆, πέραν των ήδη ληφθέντων τεχνικών και οργανωτικών µέτρων, ο υπεύθυνος επεξεργασίας κρίνει ότι δεν είναι απαραίτητη η λήψη περαιτέρω µέτρων µε τη σκέψη ότι δεν υπολείπονται υψηλοί κίνδυνοι και, συνεπώς, δεν απαιτείται να λάβει άλλα µέτρα για τον περιορισµό αυτών. ύµφωνα µε όσα προαναφέρθηκαν, ο στόχος της ΕΑΠ∆ είναι να προσδιοριστούν µέτρα αντιµετώπισης των κινδύνων, περιλαµβανοµένων των εγγυήσεων, των µέτρων και µηχανισµών ασφάλειας, ώστε να διασφαλίζεται η προστασία των δεδοµένων προσωπικού χαρακτήρα και να αποδεικνύεται η συµµόρφωση προς τον ΓΚΠ∆. Με βάση την αρχή της προστασίας των δεδοµένων ήδη από τον σχεδιασµό (αρ. 25 παρ. 1 ΓΚΠ∆) ο υπεύθυνος επεξεργασίας, λαµβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρµογής και τη φύση, το 27 πεδίο εφαρµογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώµατα και τις ελευθερίες των φυσικών προσώπων από την επεξεργασία, εφαρµόζει αποτελεσµατικά, τόσο κατά τη στιγµή του καθορισµού των µέσων επεξεργασίας όσο και κατά τη στιγµή της επεξεργασίας, κατάλληλα τεχνικά και οργανωτικά µέτρα. υνεπώς, ο υπεύθυνος οφείλει να ελαχιστοποιήσει κάθε κίνδυνο, τεκµηριώνοντας επαρκώς το συµπέρασµα ότι ένας υπολειπόµενος κίνδυνος, έστω και µη υψηλός, γίνεται αποδεκτός, δεδοµένου ότι η ΕΑΠ∆ χρησιµοποιείται για να περιορίσει το επίπεδο όλων των κινδύνων. υνεπώς, απαιτείται κρίση για το αν απαιτούνται περαιτέρω µέτρα αντιµετώπισης κάθε κινδύνου, ακόµα κι αν αυτός δεν φαίνεται να είναι υψηλός. Εποµένως, στην ΕΑΠ∆ δεν τεκµηριώνεται ότι οι προσδιορισµένοι κίνδυνοι έχουν ελαχιστοποιηθεί και δεν απαιτείται προσδιορισµός κατάλληλων µέτρων. Όσον αφορά στα λαµβανόµενα µέτρα µετριασµού των επιπτώσεων, η Αρχή επισηµαίνει την υποχρέωση του υπευθύνου επεξεργασίας για αυξηµένη διαφάνεια και δράσεις ενηµέρωσης και ευαισθητοποίησης των εµπλεκοµένων (εκπαιδευτικοί, µαθητές, οικογένεια) σε σχέση µε τη διαδικασία τηλεκπαίδευσης και τα δεδοµένα προσωπικού χαρακτήρα. τη σελ. 21 της ΕΑΠ∆ γίνεται αναφορά στις πληροφορίες που παρέχονται στα υποκείµενα των δεδοµένων. Φαίνεται ότι ακολουθείται µια τυπική -υπηρεσιακή- πληροφόρηση η οποία βασίζεται, κυρίως στα κείµενα των εγκυκλίων. ύµφωνα µε όσα αναφέρονται στις κατευθυντήριες γραµµές του Ε Π∆4 για τη διαφάνεια, απαιτείται ενηµέρωση µε κατάλληλο τρόπο, προσαρµοσµένη στα παιδιά και τις ευάλωτες οµάδες. Η παροχή κατάλληλης ενηµέρωσης και προγραµµάτων ευαισθητοποίησης, σε εκπαιδευτικούς, αλλά κυρίως µαθητές και οικογένεια, µπορεί µάλιστα να λειτουργήσει ως ένα κατάλληλο µέτρο µετριασµού των επιπτώσεων των κινδύνων που σχετίζονται µε µη νόµιµη διάδοση δεδοµένων. την ΕΑΠ∆ γίνεται αναφορά σε κατάρτιση κώδικα ορθής συµπεριφοράς5 / ευπρέπειας και σε αναλυτικές οδηγίες από τους εκπαιδευτικούς προς τους µαθητές, οι οποίες όµως δεν φαίνεται να έχουν καταρτιστεί. 4 ΟΕ. Αρ 29 - Κατευθυντήριες γραµµές σχετικά µε τη διαφάνεια βάσει του κανονισµού 2016/679 WP260 rev.01 5 το κείµενο της ΕΑΠ∆ ο εν λόγω κώδικας συγχέεται µε τους Κώδικες ∆εοντολογίας του αρ. 40 του ΓΚΠ∆. Είναι σαφές ότι δεν υφίσταται τέτοιος κώδικας δεοντολογίας. 28 ∆. Επιµέρους θέµατα – παρατηρήσεις Τέλος, η Αρχή, εξετάζοντας το κείµενο της ΕΑΠ∆ επισηµαίνει επιπλέον τα εξής σηµεία για τα οποία είναι αναγκαίες βελτιώσεις: 1) τη σελ. 37 της ΕΑΠ∆, η «επίσηµη αποδοχή» της φαίνεται να γίνεται από την Υπεύθυνο Προστασίας ∆εδοµένων του Υπουργείου. Ειδικότερα, αναφέρεται ότι «εγκρίθηκαν τα µέτρα» και «παρασχέθηκε η συµβουλή της DPO». Επισηµαίνεται ότι στα καθήκοντα του Υπευθύνου Προστασίας ∆εδοµένων (βλ. αρ. 39 ΓΚΠ∆) δεν περιλαµβάνεται η έγκριση της ΕΑΠ∆. Οι αποφάσεις, σε σχέση µε τη λήψη µέτρων λαµβάνονται από τον υπεύθυνο επεξεργασίας µε τη συµβουλή του Υπευθύνου Προστασίας ∆εδοµένων, ο οποίος δεν έχει αποφασιστική αρµοδιότητα. χετική αναφορά γίνεται και στο κείµενο των κατευθυντήριων γραµµών ΕΑΠ∆ (σελ. 18) όπου αναφέρεται ότι : «…Ο υπεύθυνος επεξεργασ ας πρέπει επ σης να ζητε τη γνώµη του υπευθύνου προστασ ας δεδοµένων (ΥΠ∆), εφόσον έχει οριστε (άρθρο 35 παράγραφος 2) και η γνώµη αυτή, καθώς και οι αποφάσεις του υπεύθυνου επεξεργασ ας, θα πρέπει να τεκµηριώνονται στην ΕΑΠ∆. Ο ΥΠ∆ θα πρέπει επ σης να παρακολουθε την υλοπο ηση της ΕΑΠ∆ [άρθρο 39 παράγραφος 1 στοιχε ο γ)]….» Επίσης, επισηµαίνεται ότι τόσο η γνώµη της ΥΠ∆ όσο και οι αποφάσεις του υπεύθυνου επεξεργασίας θα πρέπει να τεκµηριώνονται στην ΕΑΠ∆. 2) τη σελ 20 της ΕΑΠ∆ η εταιρεία Cisco αναφέρεται ως «τρίτος», ενώ αποτελεί εκτελούντα την επεξεργασία. Από τους ορισµούς του κανονισµού (βλ. άρθρο 4 παρ. 10), ένας «εκτελών την επεξεργασία» δεν αποτελεί τρίτο, εκτός από την περίπτωση που αποφασίσει να επεξεργαστεί δεδοµένα για δικό του, διαφορετικό, σκοπό. Ε. Προθεσµία προς συµµόρφωση Εν όψει των ανωτέρω σκέψεων και λαµβάνοντας υπόψη ότι: Α) η εκπαιδευτική διαδικασία πρέπει απαραίτητα να λειτουργήσει µε τον καλύτερο δυνατό τρόπο 29 Β) η σύγχρονη εξ αποστάσεως εκπαίδευση αποτελεί χρήσιµο εργαλείο εκπαίδευσης, µε αυξηµένη χρησιµότητα ειδικά σε περιόδους πανδηµίας Γ) η επεξεργασία δεδοµένων προσωπικού χαρακτήρα που διενεργείται κατά τη σύγχρονη εξ αποστάσεως εκπαίδευση µπορεί να συντελεστεί µε τρόπο συµβατό µε τον ΓΚΠ∆, και ∆) για τη συµµόρφωση προς τις ανωτέρω συστάσεις απαιτείται εύλογο χρονικό διάστηµα το οποίο δεν µπορεί να υπερβαίνει τους τρεις µήνες η Αρχή κρίνει ότι πρέπει στην παρούσα περίπτωση να ασκήσει τη συµβουλευτική της εξουσία, η οποία απορρέει από το άρθρο 58 παρ. 3 εδ. β του ΓΚΠ∆. ΓΙΑ ΟΥΣ ΛΟΓΟΥΣ ΑΥ ΟΥΣ Η Αρχή: 1) ΚΡΙΝΕΙ νόµιµη την κατά το άρθρο 63 του ν. 4686/2020 σύγχρονη εξ αποστάσεως εκπαίδευση για τους λόγους που αναφέρονται στο σκεπτικό της παρούσας. 2) ΚΑΛΕΙ το Υπουργείο Παιδείας και Θρησκευµάτων να λάβει υπόψη τις συστάσεις που αναφέρονται στο σκεπτικό της παρούσας και να τροποποιήσει και συµπληρώσει αναλόγως την ανωτέρω ΕΑΠ∆ σε αποκλειστική προθεσµία τριών