">
Ειδικότερα, η Αρχή Προστασίας Προσωπικών Δεδομένων επέβαλε το ανώτερο προβλεπόμενο - στον νόμο της - πρόστιμο, ήτοι 150.000 ευρώ, με την υπ’ αριθμ. 98/2013 Απόφαση, κρίνοντας ότι η ΓΓΠΣ παραβίασε την υποχρέωσή της για λήψη κατάλληλων μέτρων ασφάλειας, «γεγονός που οδήγησε ήδη σε ιδιαίτερα σοβαρό περιστατικό παραβίασης προσωπικών δεδομένων, δηλαδή σε διαρροή δεδομένων που αφορούν το σύνολο σχεδόν των φορολογουμένων στην Ελλάδα».
Η Αρχή, όπως έχει ενημερώσει ήδη από τις 21 Νοεμβρίου 2012, ξεκίνησε τον Οκτώβριο του 2012 σειρά διοικητικών ελέγχων σε εταιρείες που δραστηριοποιούνται στον τομέα της εμπορίας δεδομένων προσωπικού χαρακτήρα. Οι έλεγχοι επεκτάθηκαν εντός του 2013 και σε άλλες εταιρείες.
Κατόπιν επίπονης ανάλυσης, λόγω του όγκου των δεδομένων και της μορφής των ηλεκτρονικών αρχείων, διαπιστώθηκε ότι ορισμένες εξ αυτών είχαν στην κατοχή τους μεγάλο πλήθος φορολογικών δεδομένων φυσικών προσώπων, τα οποία παρέπεμπαν ευθέως στη ΓΓΠΣ, ως πηγή προέλευσης των δεδομένων και είχαν υποστεί ήδη παράνομη επεξεργασία, αφού βρέθηκαν στην κατοχή εταιρειών.
Σημειωτέον ότι η Αρχή έκτοτε συνεργάσθηκε με την Υποδιεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος, στο μέτρο που είχε ενδείξεις ότι τα ηλεκτρονικά αρχεία τηρούνταν στις οικίες φυσικών προσώπων.
Ποια στοιχεία διέρρευσαν
Τα ευρεθέντα προσωπικά (φορολογικά) δεδομένα αφορούν τουλάχιστον στα έτη από το 2000 έως και στο 2012 και περιλαμβάνουν στην ουσία στοιχεία που στοιχειοθετούν το οικονομικό «προφίλ»των πολιτών.
Συνοπτικά περιλαμβάνουν:
i) στοιχεία του εντύπου Ε1 για τα οικονομικά έτη από το 2003 έως και το 2009 και εν μέρει για το 2012,
ii) στοιχεία του εντύπου Ε2 για το οικονομικό έτος 2006,
iii) στοιχεία του εντύπου Ε9,
iv) στοιχεία του ΕΤΑΚ,
v) στοιχεία της έκτακτης εισφοράς του ν. 3986/2011 για το οικονομικό έτος 2011,
vi) στοιχεία του μητρώου φορολογουμένων,
vii) στοιχεία των σημειωμάτων περαίωσης του έτους 2010 και
viii) στοιχεία τελών κυκλοφορίας οχημάτων για τα έτη από το 2006 έως και το 2012.
Η Αρχή έκρινε ότι η Γ.Γ.Π.Σ., παρά τον όγκο των δεδομένων που διαχειρίζεται και την κρισιμότητα αυτών, μέχρι τις μέρες μας (Ιούλιος 2013) δεν διαθέτει κατάλληλα μέτρα ασφάλειας για την αποτροπή αθέμιτης πρόσβασης και διάδοσης των δεδομένων, καθώς και μέτρα για την ανίχνευση και διερεύνηση τυχόν περιστατικών παραβίασης προσωπικών δεδομένων.
Ως εκ τούτου, κάλεσε, τη Γ.Γ.Π.Σ. να λάβει τα αναφερόμενα στην Απόφαση μέτρα και να την ενημερώνει για την πορεία υλοποίησής τους.
Ποια μέτρα ζητά η Αρχή
Πιο αναλυτικά, με την απόφασή της η Αρχή ζητά από τη ΓΓΠΣ καταρχήν να εφαρμόζει πλήρως, δηλαδή σε όλα τα πληροφοριακά συστήματα που βρίσκονται υπό την ευθύνη της, εγκεκριμένη πολιτική ασφαλείας. Επίσης, μετά από ολοκληρωμένη μελέτη ανάλυσης επικινδυνότητας και ευπαθειών, πρέπει να προβεί σε αναθεώρηση της υφιστάμενης πολιτικής ασφάλειας, κατάρτιση, εφαρμογή και αξιολόγηση των επιμέρους σχεδίων ασφάλειας.
Στο πλαίσιο των παραπάνω ενεργειών πρέπει, κατά την Αρχή, να προβλεφθούν και τα ακόλουθα:
α) Η σταδιακή διερεύνηση του ενδεχομένου λήψης πιστοποίησης σε θέματα διαδικασιών ασφάλειας.
β) Ο έλεγχος από ανεξάρτητο οργανισμό, σε τακτική βάση τουλάχιστον ετησίως, της ασφάλειας των συστημάτων και διαδικασιών, συμπεριλαμβανομένης της αποτίμησης των εφαρμοζόμενων μέτρων ασφάλειας. Τα αποτελέσματά του να κοινοποιούνται στην Αρχή.
γ) Ο περιοδικός έλεγχος από τη ΓΓΠΣ, τουλάχιστον ετησίως, των τυχόν εκτελούντων την επεξεργασία ως προς τη λήψη των κατάλληλων μέτρων ασφάλειας.
Η ΓΓΠΣ πρέπει εντός δύο μηνών να συντάξει σχετικό χρονοδιάγραμμα, στο οποίο θα προσδιορίζονται οι διαδικασίες για την κατάρτιση, την υλοποίηση, την επίβλεψη και την επικαιροποίηση των παραπάνω και ο χρόνος εκτέλεσής τους. Πρέπει, επίσης, να ενημερώνει ανά τρίμηνο την Αρχή για την εφαρμογή του.
Επιπλέον, ως μέτρα για την αποφυγή, ανίχνευση και διερεύνηση περιστατικών παραβίασης προσωπικών δεδομένων η Αρχή τονίζει στην Απόφασή της θα πρέπει να προβλεφθούν και εφαρμοστούν τα εξής:
α) Ελεγχόμενη, μέσω κατάλληλων εξουσιοδοτήσεων, διαδικασία εξαγωγής ή/και λήψης δεδομένων από τα τερματικά που χρησιμοποιούνται για την επεξεργασία προσωπικών δεδομένων ή/και να αποκλειστεί η χρήση αποσπώμενων μέσων και η σύνδεση στο διαδίκτυο από συγκεκριμένα τερματικά.
β) Μέτρα για την προστασία της ακεραιότητας των αρχείων καταγραφής, τον έλεγχο της απομακρυσμένης πρόσβασης και την ενεργοποίηση συστηματικής διαδικασίας χρήσης και ελέγχου συνθηματικών σε κάθε σύστημα.
γ) Αναθεώρηση της διαδικασίας καταγραφής ενεργειών τύπου ερωτημάτων (SELECT) σε πίνακες της βάσης δεδομένων ή συστήματα που επεξεργάζονται προσωπικά δεδομένα και λήψη μέτρων για τον αυτοματοποιημένο, προληπτικό, έλεγχο των αρχείων καταγραφής.
Ερώτηση ΣΥΡΙΖΑ
Σημειώνεται ότι σχετική ερώτηση, βασιζόμενοι σε δημοσίευμα του ηλεκτρονικού Τύπου (Tvxs.gr), είχαν καταθέσει τα τέλη του Ιουλίου βουλευτές του ΣΥΡΙΖΑ.
«Είναι φανερό πως όσες υπηρεσίες, εταιρείες ή ιδιώτες έχουν στην διάθεση τους τα στοιχεία αυτά μπορούν να τα χρησιμοποιήσουν ποικιλοτρόπως, από απλή εμπορική εκμετάλλευση μέχρι και εκβιασμούς σε βάρος πολιτών, που σε πολλές περιπτώσεις είναι ή αισθάνονται ευάλωτοι από την διαρροή των προσωπικών τους δεδομένων», επεσήμαιναν στην ερώτησή τους οι βουλευτές Δημήτριος Παπαδημούλης, Ιωάννης Δραγασάκης, Δημήτριος Γελαλής και Ευκλείδης Τσακαλώτος.
Υπό έλεγχο 436 υπάλληλοι του υπ. Οικονομικών
Ο υπουργός Οικονομικών Γιάννης Στουρνάρας, με επιστολή του προς τους πρόεδρους της Ελληνικής Ένωσης Τραπεζών, Γιώργο Ζανιά και της Ένωσης Συνεταιριστικών Τραπεζών Ελλάδος, Νικόλαο Μυρτάκη ζητά την κατά προτεραιότητα απάντηση των τραπεζών στα έγγραφα της Υπηρεσίας Εσωτερικών Υποθέσεων του Υπουργείου Οικονομικών, για τη χορήγηση στοιχείων 436 προσώπων, υπαλλήλων του υπουργείου Οικονομικών, που ελέγχονται.
Όπως αναφέρεται σε ανακοίνωση του υπουργείου, με την επιστολή ο υπουργός ζητά προτεραιότητα στα αιτήματα της εν λόγω Υπηρεσίας, όποτε και αν αυτά υποβάλλονται, καθώς, όπως επισημαίνει, πρωταρχικός στόχος της Υπηρεσίας είναι η αυτοκάθαρση του υπουργείου και η αποκατάσταση της εμπιστοσύνης του πολίτη στη Διοίκηση.
Σημειώνεται ότι πρόκειται στη πλειονότητά τους για ελέγχους σε υπαλλήλους που έχουν διευθυντικές θέσεις ευθύνης και οι οποίοι προβλέπονται στον προγραμματισμό δράσης του υπουργείου.
