Προσωρινή διαταγή σχετικά με περιστατικό παραβίασης προσωπικών δεδομένων

Αθήνα, 24-07-2023 Αριθ. Πρωτ.: 1973 Απόφαση του Προέδρου της Αρχής αριθ. 28/2023 (Μονοπρόσωπο όργανο – Προσωρινή Διαταγή) Ο Πρόεδρος της Αρχής ως μονοπρόσωπο όργανο κατά τα άρθρα 17 παρ. 1 του ν. 4624/2019 (ΦΕΚ Α΄ 137), στο πλαίσιο των αρμοδιοτήτων που προβλέπονται στα άρθρα, 4 παρ. 3 περ. α΄ και 10 παρ. 4 του Κανονισμού Λειτουργίας της Αρχής (ΦΕΚ Β΄879/25.02.2022) και των εξουσιών που προβλέπονται στο άρθρο 15 παρ. 8 του ν. 4624/2019 σε συνδυασμό με το άρθρο 58 παρ. 2 στ΄ του Κανονισμού (ΕΕ) 2016/679 (ΓΚΠΔ), εξέτασε την υπόθεση που αναφέρεται κατωτέρω στο ιστορικό της παρούσας απόφασης. Η Αρχή έλαβε υπ’ όψιν της τα παρακάτω:

1. Επειδή με την υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/4615/20-06-2023 καταγγελία, ο Α (εφεξής καταγγέλλων) ενημέρωσε την Αρχή για περιστατικό παραβίασης προσωπικών δεδομένων του Δήμου Χ. Σύμφωνα με την ως άνω καταγγελία, αρχεία με προσωπικά δεδομένα δημοτών του Δήμου Χ ήταν ευχερώς προσπελάσιμα από οποιονδήποτε χρήστη μέσω του ιστότοπου «…», αλλάζοντας τον τελευταίο πενταψήφιο αριθμό που εμφανίζεται στη σχετική ηλεκτρονική (URL) διεύθυνση. Κατόπιν προφορικής ενημέρωσης του Δήμου Χ από την Αρχή στις 21-06-2023, ο Δήμος προέβη στην άμεση διακοπή της λειτουργίας του ιστοτόπου και, ακολούθως υπέβαλε την υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/4715/23-06-2023 γνωστοποίηση του περιστατικού παραβίασης προσωπικών δεδομένων στην Αρχή, ενώ επίσης με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/4747/26-06-2023 έγγραφό του παρείχε στην Αρχή Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr κάποιες διευκρινίσεις επί του εν λόγω περιστατικού, αναφέροντας μεταξύ άλλων ότι, για την αντιμετώπιση του προβλήματος, δεν θα απαιτείται πλέον το ID που διαθέτει κάθε αρχείο για τη λήψη του από τον ιστότοπο αλλά το GUID.
2. Επειδή η Αρχή εξετάζει τόσο την εν λόγω καταγγελία όσο και αυτεπάγγελτα το περιστατικό παραβίασης προσωπικών δεδομένων και τη σχετιζόμενη επεξεργασία δεδομένων προσωπικού χαρακτήρα. Στο πλαίσιο αυτό, η Αρχή απέστειλε στον Δήμο το υπ’ αριθμ. πρωτ. Γ/ΕΞΕ/1649/27-06-2023 έγγραφο, με το οποίο ζήτησε περισσότερες διευκρινίσεις επί του εν λόγω περιστατικού.
3. Επειδή στις 03-07-2023, παρά τις διορθωτικές ενέργειες που είχαν ληφθεί σύμφωνα με τους ισχυρισμούς του Δήμου, ο ανωτέρω ιστότοπος κατέστη πάλι διαθέσιμος οπότε και τα αρχεία ήταν εκ νέου ευχερώς προσπελάσιμα με τον ίδιο ακριβώς τρόπο, όπως επισήμανε ο καταγγέλλων με νεότερο έγγραφό του (υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/4916/03-07-2023) και επιβεβαίωσε η Αρχή. Κατόπιν νέας τηλεφωνικής ενημέρωσης του Δήμου από την Αρχή για το εν λόγω ζήτημα, ο Δήμος Χ προέβη εκ νέου στην διακοπή λειτουργίας του άνω ιστότοπου στις 0307-
4. Στη συνέχεια, ο Δήμος παρείχε εκ νέου τις απόψεις του στην Αρχή με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/5144/12-07-2023 έγγραφό του, δίνοντας απαντήσεις σε ορισμένα από τα ερωτήματα που είχαν τεθεί με το ανωτέρω αναφερθέν Γ/ΕΞΕ/1649/27-06-2023 έγγραφο της Αρχής.
5. Επειδή μετά και τις νεότερες διευκρινίσεις του Δήμου Χ, και δεδομένου ότι εξακολουθούν να παραμένουν ασαφείς διάφορες σημαντικές πτυχές του εν λόγω περιστατικού, η Αρχή απέστειλε νεότερο έγγραφο προς το Δήμο με νέα, ειδικότερα, ερωτήματα (υπ’ αριθμ. πρωτ. Γ/ΕΞΕ/1783/13-07-2023), επί του οποίου ακόμα δεν έχει λάβει απαντήσεις.
6. Επειδή στις 19-07-2023, κι ενώ ακόμα εκκρεμούν οι συμπληρωματικές διευκρινίσεις από το Δήμο Χ, ο ιστότοπος κατέστη και πάλι διαθέσιμος και παρά τις διορθωτικές ενέργειες που αναφέρει ότι έλαβε ήδη από το από 26-06-2023 έγγραφό του, τα αρχεία είναι πάλι – όπως εξάλλου ίσχυε και στις 03-07-2023 ευχερώς προσπελάσιμα κατά τον ίδιο ακριβώς τρόπο.
7. Επειδή η Αρχή έχει με βάση το άρθρο 15 παρ. 8 του ν. 4624/2019 σε συνδυασμό με το άρθρο 58 παρ. 2 στ’ ΓΚΠΔ την αρμοδιότητα να εκδώσει αυτεπαγγέλτως 2 προσωρινή διαταγή για άμεσο ολικό ή μερικό, προσωρινό περιορισμό της επεξεργασίας.
8. Επειδή η συλλογή, η αποθήκευση, η χρήση, η διάδοση ή κάθε άλλη μορφής διάθεση δεδομένων προσωπικού χαρακτήρα αποτελεί μορφή επεξεργασίας με βάση το άρθρο 4 περ. 2 του ΓΚΠΔ.
9. Επειδή στη συγκεκριμένη περίπτωση, από το ανωτέρω περιστατικό παραβίασης, που έχει ως συνέπεια να καταστούν ευχερώς προσπελάσιμα από οποιονδήποτε χρήστη του ιστοτόπου του Δήμου Χ αρχεία με προσωπικά δεδομένα δημοτών του Δήμου αυτού, απορρέουν υψηλοί κίνδυνοι για μεγάλο αριθμό προσώπων. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η ΑΡΧΗ Διατάσσει τον Δήμο Χ, όπως προβεί σε κάθε αναγκαία ενέργεια ώστε να περιοριστεί η ελεύθερη πρόσβαση των χρηστών του διαδικτύου στα αρχεία με προσωπικά δεδομένα του ανωτέρω ιστότοπου και να εξασφαλιστεί ότι, εφόσον η σχετική εφαρμογή λειτουργεί, αρχεία με προσωπικά δεδομένα χρηστών της είναι διαθέσιμα μόνο σε κατάλληλα εξουσιοδοτημένους χρήστες ή και τα υποκείμενα των δεδομένων χωρίς να είναι ευχερώς προσβάσιμα από λοιπούς χρήστες Διαδικτύου κατά τον τρόπο που περιγράφεται στο ιστορικό της παρούσας, μέχρι εκδόσεως νέας απόφασης της Αρχής. Ο Πρόεδρος Κωνσταντίνος Μενουδάκος 3