Πρόστιμο ύψους 350.000 ευρώ για την παραβίαση δεδομένων 2,5 εκατ. προσώπων επέβαλε στο υπουργείο Κοινωνικής Συνοχής και Οικογένειας και στην ΕΕΤΑΑ η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.
- Από τον Σπύρο Γεράρδη
Την υπόθεση είχε αποκαλύψει με αποκλειστικό ρεπορτάζ η «δημοκρατία» την 1η Απριλίου 2025 και αφορούσε την κυβερνοεπίθεση που είχε ως στόχο τις βάσεις δεδομένων που χρησιμοποιούνταν για τα προγράμματα «Βρεφονηπιακοί Σταθμοί» και «Νταντάδες της Γειτονιάς».
Η κυβέρνηση είχε προσπαθήσει να κρατήσει το περιστατικό μακριά από τα φώτα της δημοσιότητας, με το αρμόδιο υπουργείο να αναρτά -σχεδόν στα κρυφά- μία τυπική ανακοίνωση στην ιστοσελίδα του, στην οποία ανέφερε ότι «το διάστημα 1-5 Μαρτίου 2025 υπήρξε κυβερνοεπίθεση (“Ransomware”) στο πληροφοριακό σύστημα της Ελληνικής Εταιρίας Τοπικής Ανάπτυξης και Αυτοδιοίκησης Α.Ε. (ΕΕΤΑΑ)».
Επιπλέον, ουδέποτε απάντησε δημόσια εάν πληρώθηκαν τα λύτρα που ζητούσαν οι χάκερ προκειμένου να μη δώσουν στη δημοσιότητα ή πουλήσουν τα δεδομένα. Η παραβίαση ήταν τεράστιας έκτασης, καθώς πρακτικά έφτασαν στα χέρια αγνώστων ευαίσθητα προσωπικά δεδομένα περιόδου δέκα ετών και αφορούσαν, κατά προσέγγιση, 700.000 αιτήσεις και 2,5 εκατομμύρια άτομα, δηλαδή όσους είχαν κάνει αιτήσεις για τα δύο προγράμματα αλλά και υπαλλήλους των φορέων που τα είχαν διαχειριστεί.
Μεταξύ των δεδομένων περιλαμβάνονταν ονοματεπώνυμα, ΑΦΜ, ΑΜΚΑ, στοιχεία επικοινωνίας και εισοδήματος, οικογενειακή και εργασιακή κατάσταση, τραπεζικοί λογαριασμοί, αλλά και ενδείξεις αναπηρίας και σχετικά πιστοποιητικά. Οπως αναφέρεται στην απόφαση, η Αρχή εξέτασε υπόθεση περιστατικού παραβίασης προσωπικών δεδομένων μεγάλης κλίμακας σε πληροφοριακά συστήματα της ΕΕΤΑΑ, τα οποία χρησιμοποιούνταν για την υλοποίηση δράσεων του υπουργείου Κοινωνικής Συνοχής και Οικογένειας, και διαπίστωσε ότι η επιτυχία της επίθεσης συνδέεται με τη λειτουργία παρωχημένων πληροφοριακών συστημάτων και ανεπαρκή μέτρα ασφάλειας εκ μέρους της ΕΕΤΑΑ, παρά τη γνώση των σχετικών κινδύνων.
Επιπλέον, διαπιστώθηκαν παραβάσεις των υποχρεώσεων ασφάλειας της επεξεργασίας, καθώς και πλημμελή συμμόρφωση με τις απαιτήσεις του άρθρου 28 ΓΚΠΔ ως προς τη σχέση υπευθύνου και εκτελούντος την επεξεργασία. Για τους λόγους αυτούς επέβαλε διοικητικά πρόστιμα συνολικού ύψους 200.000 ευρώ στο υπουργείο Κοινωνικής Συνοχής και Οικογένειας και 150.000 ευρώ στην ΕΕΤΑΑ, ενώ παράλληλα διέταξε τη σύναψη σύμβασης επεξεργασίας σύμφωνα με το άρθρο 28 ΓΚΠΔ και την πλήρη υλοποίηση των προγραμματισμένων μέτρων ενίσχυσης της ασφάλειας των πληροφοριακών συστημάτων.
Χωρίς δικαιολογίες
Στο σκεπτικό της απόφασης τα επιχειρήματα που παρουσίασαν τόσο το υπουργείο όσο και η ΕΕΤΑΑ επί της ουσίας… γελοιοποιούνται: «Η εν λόγω τεχνική ευπάθεια ήταν γνωστή και ευλόγως προβλέψιμη και εκμεταλλεύσιμη με συνήθεις μεθόδους κυβερνοεπίθεσης. Η διατήρηση σε λειτουργία παρωχημένου πληροφοριακού συστήματος με γνωστές ευπάθειες αντιβαίνει στην υποχρέωση λήψης μέτρων, λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, δηλαδή σύμφωνα με την κατάσταση της τεχνολογίας αιχμής (state of the art), ιδίως όταν υπάρχουν διαθέσιμες ενημερώσεις ασφαλείας ή εναλλακτικές λύσεις».
Η Αρχή κρίνει ότι η ευπάθεια ήταν γνωστή στην κοινότητα κυβερνοασφάλειας, η εκμετάλλευσή της ήταν τεχνικά απλή, συνεπώς ο κίνδυνος ήταν προβλέψιμος και αποτρέψιμος, άρα η μη λήψη μέτρων συνιστά τουλάχιστον βαριά αμέλεια. Το επιχείρημα της ΕΕΤΑΑ «δεν μπορούσαμε να σταματήσουμε λόγω δημοσίου συμφέροντος» απορρίπτεται, διότι το δημόσιο συμφέρον δεν αίρει την υποχρέωση ασφάλειας, όπως επίσης το δημόσιο συμφέρον πλήττεται όταν ευπαθή πληροφοριακά συστήματα με κρίσιμα προσωπικά δεδομένα παραμένουν σε λειτουργία, καταλήγει.