E-mail Gate: Πρόστιμο 40.000 στην Άννα Μισέλ Ασημακοπούλου και 400.000 στο ΥΠΕΣ

Πρόστιμο 40.000 ευρώ στην Άννα Μισέλ Ασημακοπούλου και αντίστοιχα 400.000 ευρώ στο υπουργείο Εσωτερικών για τη διαρροή προσωπικών δεδομένων επέβαλε η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.

Ως προς τη Νέα Δημοκρατία και τον κ. Θεοδωρόπουλο, η Αρχή ανέβαλε την έκδοση απόφασης, δεδομένου ότι ο τελευταίος μετά την ακρόαση και την υποβολή υπομνημάτων, προσκόμισε ένορκη βεβαίωσή του ως προς τον τρόπο περιέλευσης σε αυτόν των εκλογικών καταλόγων, ως νεότερο κρίσιμο στοιχείο, από το περιεχόμενο του οποίου προκύπτει η ανάγκη περαιτέρω διερεύνησης των εκεί προβαλλόμενων ισχυρισμών.

Σύμφωνα με την απόφαση, το εν λόγω αρχείο δημιουργήθηκε στις 8 Ιουνίου 2023 για εσωτερική χρήση στο Υπουργείο Εσωτερικών με σκοπό που αφορά την εκλογική διαδικασία.

Όπως συμπεραίνει η Αρχή «η διαρροή του συγκεκριμένου αρχείου συνέβη μεταξύ 8 και 23 Ιουνίου 2023, καθώς αποδείχθηκε ότι στις 23 Ιουνίου 2023 το αρχείο διαβιβάστηκε στον τότε Γραμματέα Αποδήμων της Νέας Δημοκρατίας, Νίκο Θεοδωρόπουλο, από αποστολέα του οποίου δεν έχει προσδιοριστεί μέχρι σήμερα η ταυτότητα και η ιδιότητα, προκειμένου, σύμφωνα με τους ισχυρισμούς του, να το χρησιμοποιήσει για την ανάλυση των αποτελεσμάτων των εκλογών».

Στις 20 Ιανουαρίου 2024 το εν λόγω αρχείο σύμφωνα με την ΑΠΔΠΧ εστάλη στην κ. Ασημακοπούλου από τον κ. Θεοδωρόπουλο. «Η κ. Ασημακοπούλου στη συνέχεια επεξεργάστηκε το προερχόμενο από το Υπουργείο Εσωτερικών αρχείο με σκοπό την αποστολή e-mail σε όλους τους εκλογείς που περιέχονταν σε αυτό. Το ηλεκτρονικό μήνυμα της κ. Ασημακοπούλου δεν περιλάμβανε τις απαιτούμενες από το άρθρο 14 ΓΚΠΔ πληροφορίες προς ενημέρωση των αποδεκτών του, ιδίως για την πηγή προέλευσης των προσωπικών τους δεδομένων» αναφέρεται.

Όσον αφορά στο Υπουργείο Εσωτερικών, «η διαρροή αρχείου που προορίζεται αποκλειστικά για εσωτερική χρήση αποτελεί περιστατικό παραβίασης της εμπιστευτικότητας προσωπικών δεδομένων και άρα παραβίαση δεδομένων προσωπικού χαρακτήρα» αναφέρει χαρακτηριστικά. «Κατά τον έλεγχο που διενήργησε η Αρχή στο Υπουργείο Εσωτερικών εντοπίστηκαν ελλείψεις στις διαδικασίες και τις εφαρμοζόμενες πολιτικές προστασίας των δεδομένων, πλημμέλειες στη διερεύνηση του περιστατικού καθώς και μη τεκμηριωμένες ανακοινώσεις των συνθηκών του περιστατικού. Τέλος, διαπιστώθηκαν ελλείψεις και ανακρίβειες στο περιεχόμενο των σχετικών τηρούμενων αρχείων δραστηριοτήτων» συμπληρώνει.

Όσον αφορά στην κ. Ασημακοπούλου, η Αρχή διαπίστωσε ότι η συλλογή προσωπικών δεδομένων αποδήμων ψηφοφόρων, συμπεριλαμβανομένων των στοιχείων ηλεκτρονικής επικοινωνίας και η χρήση τους για την αποστολή μηνύματος πολιτικής επικοινωνίας έγινε «κατά παράβαση της βασικής αρχής της νομιμότητας, αντικειμενικότητας και διαφάνειας της επεξεργασίας, καθώς έγινε κατά παράβαση μιας σειράς διατάξεων της εκλογικής νομοθεσίας και επιπλέον δεν θα μπορούσε να είναι ευλόγως αναμενόμενη για τα υποκείμενα των δεδομένων (εκλογείς εξωτερικού)».

Όπως αναφέρεται στην απόφαση «Για τις παραβάσεις των άρθρων 5 παρ. 1 α’ σε συνδυασμό με άρθρο 6 παρ. 1 και άρθρο 14 του ΓΚΠΔ, όπως αναλύονται στο κεφάλαιο Β1 του σκεπτικού της παρούσης, i) επιβάλλει κατ’ άρθρο 58 παρ. 2 στοιχ. θ΄ ΓΚΠΔ στην Άννα Μισέλ Ασημακοπούλου, ως υπεύθυνο επεξεργασίας, χρηματικό πρόστιμο ύψους σαράντα χιλιάδων (40.000) ευρώ, και ii) δίνει εντολή, κατ’ άρθρο 58 παρ. 2 εδ. ζ’ του ΓΚΠΔ στην Άννα Μισέλ Ασημακοπούλου, ως υπεύθυνο επεξεργασίας, να διαγράψει το σύνολο των δεδομένων των εκλογέων εξωτερικού».

«Για τις παραβάσεις των άρθρων 5 παρ. 1 εδ. στ και 32 του ΓΚΠΔ, του άρθρου 25, παρ. 1, του άρθρου 33 παρ. 3,4,5 του ΓΚΠΔ, καθώς και του άρθρου 30 του ΓΚΠΔ, όπως αναλύονται στο κεφάλαιο Β4 του σκεπτικού της παρούσης, i) επιβάλλει κατ’ άρθρο 58 παρ. 2 στοιχ. θ ΄ ΓΚΠΔ στο Υπουργείο Εσωτερικών, ως υπεύθυνο επεξεργασίας, χρηματικό πρόστιμο ύψους τετρακοσίων χιλιάδων (400.000) ευρώ, και ii) δίνει εντολή, κατ’ άρθρο 58 παρ. 2 στοιχ. δ΄ ΓΚΠΔ, στο Υπουργείο Εσωτερικών.

Για τις παραβάσεις των άρθρων 5 παρ. 1 εδ. στ και 32 του ΓΚΠΔ, του άρθρου 25, παρ. 1, του άρθρου 33 παρ. 3,4,5 του ΓΚΠΔ, καθώς και του άρθρου 30 του ΓΚΠΔ, όπως αναλύονται στο κεφάλαιο Β4 του σκεπτικού της παρούσης, i) επιβάλλει κατ’ άρθρο 58 παρ. 2 στοιχ. θ ́ ΓΚΠΔ στο Υπουργείο Εσωτερικών, ως υπεύθυνο επεξεργασίας, χρηματικό πρόστιμο ύψους τετρακοσίων χιλιάδων (400.000) ευρώ, και ii) δίνει εντολή, κατ’ άρθρο 58 παρ. 2 στοιχ. δ ́ ΓΚΠΔ, στο Υπουργείο Εσωτερικών, ως υπεύθυνο επεξεργασίας, όπως προβεί στις ακόλουθες ενέργειες:

Με αφορμή το περιστατικό αυτό, θα πρέπει το Υπουργείο να καταγράψει σε εγκεκριμένες πολιτικές, να ελέγξει και να αναθεωρήσει τις διαδικασίες και τα μέτρα που εφαρμόζει σχετικά με την προστασία προσωπικών δεδομένων κατά την επεξεργασία προσωπικών δεδομένων των εκλογέων, συμπεριλαμβανομένων όσων στοιχείων τηρούνται στο σύστημα ΟΣΥΕΔ αλλά και σε όποιο άλλο σχετιζόμενο σύστημα. Με τις παραπάνω ενέργειες πρέπει να διασφαλίζονται οι αρχές του άρθρου 5 παρ. 1 του ΓΚΠΔ και ιδίως η εμπιστευτικότητα σε όλη τη διαδικασία εκλογών και να προβλεφθεί διαδικασία περιοδικής αξιολόγησης των μέτρων.

Το Υπουργείο πρέπει εντός τριών μηνών από την κοινοποίηση της παρούσας, να συντάξει σχετικό χρονοδιάγραμμα, στο οποίο θα προσδιορίζονται οι διαδικασίες για την κατάρτιση, την υλοποίηση, την επίβλεψη και την επικαιροποίηση των ανωτέρω και ο χρόνος εκτέλεσής τους, να γνωστοποιήσει αμελλητί στην Αρχή το χρονοδιάγραμμα, και να την ενημερώνει ανά τρίμηνο για την εφαρμογή του.

Ως ειδικότερα μέτρα για την αποφυγή, ανίχνευση και διερεύνηση περιστατικών παραβίασης προσωπικών δεδομένων θα πρέπει να προβλεφθούν και εφαρμοστούν αμελλητί τα εξής:

1. Συστηματική ανάλυση του θεσμικού πλαισίου της διενέργειας των εκλογών, προσδιορισμός των διαδικασιών που προϋποθέτουν επεξεργασία προσωπικών δεδομένων, καταγραφή για κάθε διαδικασία των ροών των προσωπικών δεδομένων και των αποδεκτών κάθε είδους δεδομένων.

Στο πλαίσιο της ανάλυσης, θα πρέπει να ελαχιστοποιηθεί η δυνατότητα εκτέλεσης ενεργειών σε σύνολα δεδομένων από φυσικά πρόσωπα (π.χ. υπαλλήλους) ώστε να παραμείνουν οι απόλυτα αναγκαίες. Διαδικασίες οι οποίες είναι επαναλαμβανόμενες πρέπει να εκτελούνται με την ελάχιστη ανθρώπινη παρέμβαση και χωρίς εξαγωγή δεδομένων.

Ειδικότερα προτείνονται:

α) Όλες οι λειτουργίες που απαιτούν μαζική επεξεργασία προσωπικών δεδομένων εκλογέων, και ειδικά δεδομένων επικοινωνίας, να ενσωματωθούν στις εφαρμογές, ώστε οι σύμφωνες με το νόμο επεξεργασίες να πραγματοποιούνται μέσα από το περιβάλλον της εφαρμογής (π.χ αποστολή ενημερωτικών μηνυμάτων στους εκλογείς), με πλήρη καταγραφή ενεργειών.

β) Να εξετασθεί η δυνατότητα χρήσης λογισμικού DLP, ειδικά για τις μονάδες του Υπουργείου που εμπλέκονται σε εξαγωγές αρχείων.

γ) Απαγόρευση διακίνησης μέσω μηνυμάτων ηλεκτρονικού ταχυδρομείου ή άλλου τρόπου εσωτερικής επικοινωνίας αρχείων που περιέχουν προσωπικά δεδομένα εκλογέων.

Κατ’ εξαίρεση, εφόσον είναι πραγματικά αναγκαίο, τέτοια διακίνηση μπορεί να γίνει μόνο σε κρυπτογραφημένη μορφή. Στο κάθε μήνυμα θα πρέπει να αναγράφεται ο σκοπός επεξεργασίας και ο σκοπός διακίνησης καθώς και να προκύπτει ο χρόνος τήρησης του αρχείου. Ο κωδικός να γνωστοποιείται με διαφορετικό μέσο. Η διακίνηση αυτή πρέπει να έχει εγκριθεί από αρμόδιο υψηλόβαθμο υπηρεσιακό στέλεχος και η σχετική έγκριση να τηρείται σε αρχείο (audit trail) για επαρκές χρονικό διάστημα.

δ) Αναθεώρηση της διαδικασίας καταγραφής ενεργειών τύπου ερωτημάτων (SELECT) σε πίνακες της βάσης δεδομένων του ΟΣΥΕΔ ή σε άλλα συστήματα που επεξεργάζονται προσωπικά δεδομένα και λήψη μέτρων για τον αυτοματοποιημένο, προληπτικό, έλεγχο των αρχείων καταγραφής

2. Πολιτική και Σχέδιο ασφάλειας – λοιπά οργανωτικά μέτρα

Με δεδομένο ότι στην Αρχή δεν κατατέθηκε εγκεκριμένη πολιτική ασφάλειας (ή επιμέρους σχέδια ασφάλειας), το Υπουργείο οφείλει να επικαιροποιήσει την Πολιτική Ασφάλειας που εφαρμόζει και τα συνοδευτικά αυτής επιμέρους σχέδια ασφάλειας τα οποία αφορούν επεξεργασία προσωπικών δεδομένων εκλογέων ώστε:

α) Να περιλαμβάνονται τα συστήματα διαχείρισης των δεδομένων των εκλογέων και να αποφασιστεί ποιοι από τους προτεινόμενους κανόνες θα υλοποιηθούν (ή να καταγραφεί ποιοι έχουν υλοποιηθεί).

β) Να περιλαμβάνονται κατάλληλες προβλέψεις για ενημέρωση των συμβάσεων με εκτελούντες την επεξεργασία για τις αλλαγές που θα προκύψουν.

γ) Τεκμηρίωση, αναθεώρηση και επικαιροποίηση της διαδικασίας χειρισμού περιστατικών παραβίασης δεδομένων προσωπικού χαρακτήρα, με έμφαση στο περιεχόμενο της γνωστοποίησης στην Αρχή, της ενημέρωσης των υποκειμένων, και των κατάλληλων διαδικασιών και οργάνων για την εσωτερική διερεύνηση.

δ) Έλεγχος από ανεξάρτητο οργανισμό ή φορέα, σε τακτική βάση τουλάχιστον ετησίως, της ασφάλειας των συστημάτων και διαδικασιών, συμπεριλαμβανομένης της αποτίμησης των εφαρμοζόμενων μέτρων ασφάλειας.

ε) Ο περιοδικός έλεγχος από το Υπουργείο, τουλάχιστον ετησίως, των τυχόν εκτελούντων την επεξεργασία ως προς τη λήψη των κατάλληλων μέτρων ασφάλειας.

3. Μέτρα ενημέρωσης και ευαισθητοποίησης του προσωπικού

Να σχεδιαστεί πρόγραμμα δράσεων ευαισθητοποίησης και εκπαίδευσης τόσο της ηγεσίας όσο και στελεχών κάθε επιπέδου και υπαλλήλων του Υπουργείου για ζητήματα προστασίας προσωπικών δεδομένων, και ειδικά για τις υποχρεώσεις του υπευθύνου επεξεργασίας, τον τρόπο συνεργασίας με την Αρχή και το ρόλο του ΥΠΔ. Οι δράσεις του προγράμματος θα πρέπει να προβλέπουν δραστηριότητες που κρατούν σε εγρήγορση το προσωπικό του Υπουργείου.

Τι απαντά το ΥΠΕΣ
«Η απόφαση της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα επιβεβαιώνει ότι η αποστολή προεκλογικού υλικού σε ηλεκτρονικές διευθύνσεις Ελλήνων πολιτών δεν έχει σχέση με την επιστολική ψήφο», τονίζεται σε ανακοίνωση του Γραφείου Τύπου του υπουργείου Εσωτερικών.

Στην ανακοίνωση επισημαίνεται ότι αποδείχτηκε ότι η σχετική λίστα είχε δημιουργηθεί στις 8 Ιουνίου 2023 και είχε σταλεί στον γραμματέα Απόδημου Ελληνισμού της Νέας Δημοκρατίας στις 23 Ιουνίου 2023, οκτώ, δηλαδή, μήνες πριν νομοθετηθεί η επιστολική ψήφος και πριν τις βουλευτικές εκλογές του Ιουνίου, όταν η χώρα είχε υπηρεσιακή κυβέρνηση.

Στην ανακοίνωση αναφέρεται ότι το υπουργείο θα μελετήσει ενδελεχώς την απόφαση της Αρχής, προκειμένου να αποφασίσει τις επόμενες νομικές ενέργειες.

«Η προσπάθεια για την προστασία των προσωπικών δεδομένων των πολιτών οφείλει να είναι διαρκής, με βάση και τη συνεχή εξέλιξη της τεχνολογίας. Ακριβώς γι’ αυτό, έχουμε ήδη δρομολογήσει σειρά πρωτοβουλιών, με νέα μέτρα προστασίας, όπως η κρυπτογράφηση των προσωπικών δεδομένων, η κατάρτιση ειδικού, υποχρεωτικού προγράμματος επιμόρφωσης για όλους τους υπαλλήλους του υπουργείου Εσωτερικών και η δρομολόγηση ειδικής οριζόντιας μελέτης προκειμένου να εξεταστούν οι υφιστάμενες πολιτικές ασφαλείας και να αποτυπωθούν προτάσεις για την περαιτέρω βελτίωση των συστημάτων ασφαλείας και των διαδικασιών προστασίας δεδομένων προσωπικού χαρακτήρα», καταλήγει η ανακοίνωση του υπουργείου Εσωτερικών.

Προφανώς δεν έχει σχέση ούτε με τις εκλογικές διαδικασίες, οι οποίες πραγματοποιούνται εδώ και 50 χρόνια στη χώρα μας με άψογο τρόπο, υπό την εποπτεία των δικαστικών Αρχών.

Η κυβέρνηση, από την πρώτη στιγμή, δήλωσε την απόφαση της να ξεκαθαρίσει αυτή η υπόθεση, και πολύ γρήγορα ανελήφθησαν πολιτικές ευθύνες με την παραίτηση του γενικού γραμματέα του υπουργείου Εσωτερικών που ήταν τον Ιούνιο του 2023 αρμόδιος για τις εκλογές, καθώς και του γραμματέα Απόδημου Ελληνισμού της Νέας Δημοκρατίας, αλλά και τη μη συμμετοχή της εν λόγω ευρωβουλευτού στις Ευρωεκλογές 2024.

Στο υπουργείο Εσωτερικών θα μελετήσουμε ενδελεχώς την απόφαση της Αρχής, με την οποία συνεργαστήκαμε πλήρως, προκειμένου να αποφασίσουμε τις επόμενες νομικές μας ενέργειες.

Η προσπάθεια για την προστασία των προσωπικών δεδομένων των πολιτών οφείλει να είναι διαρκής, με βάση και τη συνεχή εξέλιξη της τεχνολογίας. Ακριβώς γι’ αυτό, έχουμε ήδη δρομολογήσει σειρά πρωτοβουλιών, με νέα μέτρα προστασίας, όπως η κρυπτογράφηση των προσωπικών δεδομένων, η κατάρτιση ειδικού, υποχρεωτικού προγράμματος επιμόρφωσης για όλους τους υπαλλήλους του υπουργείου Εσωτερικών και η δρομολόγηση ειδικής οριζόντιας μελέτης προκειμένου να εξεταστούν οι υφιστάμενες πολιτικές ασφαλείας και να αποτυπωθούν προτάσεις για την περαιτέρω βελτίωση των συστημάτων ασφαλείας και των διαδικασιών προστασίας δεδομένων προσωπικού χαρακτήρα.

Αποδεικνύεται ξανά πως τα προσωπικά δεδομένα των εκλογέων έγιναν «μπαλάκι» λέει ο ΣΥΡΙΖΑ
Αποδεικνύεται ξανά πως τα προσωπικά δεδομένα των εκλογέων έγιναν «μπαλάκι» επί μήνες μεταξύ ΥΠ.ΕΣ, ΝΔ και μιας τουλάχιστον υποψήφιας ευρωβουλεύτριας, σχολιάζει ο ΣΥΡΙΖΑ, με αφορμή την απόφαση και ρωτά: «Σε ποιους άλλους (πλην της Μ. Ασημακοπούλου που τα παρέλαβε 20/1/2024) έχει παραδώσει ο Γραμματέας αποδήμων της ΝΔ τα προσωπικά δεδομένα των εκλογέων;»

Αναλυτικά η ανακοίνωση του ΣΥΡΙΖΑ:

«H Aρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα ανακοίνωσε σήμερα, Δευτέρα 27/5/24, την επιβολή προστίμου 40.000€ στην ευρωβουλεύτρια της ΝΔ, Άννα Μισέλ Ασημακοπούλου, και 400.000€ στο Υπ. Εσωτερικών – που θα τα πληρώσουν οι πολίτες – για το σκάνδαλο της διαρροής των προσωπικών δεδομένων χιλιάδων εκλογέων εξωτερικού, ενώ ανέβαλε την έκδοση απόφασης για το κόμμα της Νέας Δημοκρατίας μετά από αίτημά της για αναβολή προκειμένου να προσκομίσει επιπλέον στοιχεία.

Όπως περιγράφεται και στην απόφαση, αποδεικνύεται ξανά πως τα προσωπικά δεδομένα των εκλογέων έγιναν «μπαλάκι» επί μήνες μεταξύ ΥΠ.ΕΣ, ΝΔ και μιας τουλάχιστον υποψήφιας ευρωβουλεύτριας. Αποδεικνύεται για μια ακόμη φορά πόσο δίκιο είχαμε όταν ζητούσαμε να αποπέμψει ο Κυρ. Μητσοτάκης την Ν. Κεραμέως, η οποία φυσικά δεν τόλμησε να εμφανιστεί στην Επιτροπή Θεσμών και Διαφάνειας για να δώσει εξηγήσεις πριν τη διακοπή των εργασιών της Βουλής.

Ας ξαναρωτήσουμε λοιπόν: Σε ποιους άλλους (πλην της Μ. Ασημακοπούλου που τα παρέλαβε 20/1/2024) έχει παραδώσει ο Γραμματέας αποδήμων της ΝΔ τα προσωπικά δεδομένα των εκλογέων;

Δεν περιμένουμε βέβαια απάντηση. Όπως δεν έχουμε λάβει μέχρι τώρα καμία για τις παράνομες παρακολουθήσεις από την ΕΥΠ με το Predator. Όπως δεν έχουμε λάβει ούτε και για το έγκλημα των Τεμπών και την επιχείρηση συγκάλυψής του. Και όπως δεν περιμένουμε να μας απαντήσουν γιατί πολύ πρόσφατα βουλευτής και στελέχη της ΝΔ βράβευσαν την επίορκο εφοριακό».