ΑΠΔ: Παραβίαση του ΓΚΠΔ από τα Ελληνικά Ταχυδρομεία

Στις 28 Φεβρουαρίου 2024 η Αρχή Προστασίας Δεδομένων (ΑΠΔ) επέβαλε σε βάρος των Ελληνικών Ταχυδρομείων (ΕΛΤΑ) διοικητικό πρόστιμο ύψους 2.995.140 ευρώ για σοβαρές παραβιάσεις διατάξεων του Γενικού Κανονισμού Προστασίας Δεδομένων (ΓΚΠΔ), τις οποίες διαπίστωσε η ανεξάρτητη Αρχή μετά από κυβερνοεπίθεση σε βάρος των ΕΛΤΑ και διαρροή προσωπικών δεδομένων πελατών, εργαζομένων και συνεργατών του στο dark web.

Η ΑΠΔ έκρινε ακόμη ότι τα ΕΛΤΑ, πρώτον, δεν διασφάλισαν με την εφαρμογή των απαιτούμενων τεχνικών και οργανωτικών μέτρων την προστασία των προσωπικών δεδομένων από μη εξουσιοδοτημένη ή παράνομη επεξεργασία, με συνέπεια να λάβει χώρα απώλεια της κατά το άρθρο 5 παρ. 1 στοιχ. στ’ του ΓΚΠΔ επιβαλλόμενης εμπιστευτικότητας· δεύτερον, δεν εφάρμοσαν τις κατάλληλες πολιτικές για την προστασία των δεδομένων ώστε να διασφαλιστεί ότι είναι σε θέση να αποδείξουν ότι πραγματοποίησαν επεξεργασία σύμφωνα με τους ορισμούς του άρθρου 32 του ΓΚΠΔ· τρίτον, δεν διασφάλισαν το απόρρητο, τη διαθεσιμότητα και την αξιοπιστία των συστημάτων και των υπηρεσιών επεξεργασίας σε συνεχή βάση, καθώς και την ακεραιότητα των διαδικασιών για την τακτική δοκιμή, εκτίμηση και αξιολόγηση της αποτελεσματικότητας των τεχνικών και των οργανωτικών μέτρων για την ασφάλεια της επεξεργασίας, ώστε να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων για τα δικαιώματα των υποκειμένων κατά το άρθρο 32 παρ. 1 στοιχ. β’ του ΓΚΠΔ.

Με βάση τις παραπάνω διαπιστώσεις η ΑΠΔ κατέληξε στο συμπέρασμα ότι τα ΕΛΤΑ παραβίασαν τα άρθρα 5 παρ. 1 στοιχ. στ’ και 32 του ΓΚΠΔ. Σύμφωνα με το άρθρο 5 παρ. 1 στοιχ. στ’ του ΓΚΠΔ, «τα δεδομένα προσωπικού χαρακτήρα: […] στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων (“ακεραιότητα και εμπιστευτικότητα”)».

Tο άρθρο 32 του ΓΚΠΔ σχετικά με την ασφάλεια επεξεργασίας των προσωπικών δεδομένων προβλέπει με τη σειρά του ότι «ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων» (άρθρο 32 παρ. 1 του ΓΚΠΔ), στους οποίους μεταξύ άλλων περιλαμβάνεται η δυνατότητα «διασφάλισης του απορρήτου, της ακεραιότητας, της διαθεσιμότητας και της αξιοπιστίας των συστημάτων και των υπηρεσιών επεξεργασίας σε συνεχή βάση» (άρθρο 32 παρ. 1 στοιχ. β’ του ΓΚΠΔ). 

Το ίδιο άρθρο προβλέπει ακόμη ότι «κατά την εκτίμηση του ενδεδειγμένου επιπέδου ασφάλειας λαμβάνονται ιδίως υπόψη οι κίνδυνοι που απορρέουν από την επεξεργασία, ιδίως από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή προσπέλαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ’ άλλο τρόπο σε επεξεργασία» (άρθρο 32 παρ. 2).

Η ΑΠΔ επέβαλε σε βάρος των ΕΛΤΑ πρόστιμο ύψους 2.995.140 ευρώ, χαρακτηρίζοντας ως «μεγάλη» τη βαρύτητα των διαπιστωμένων παραβιάσεων, με φόντο μεταξύ άλλων το μεγάλο εύρος των επηρεαζόμενων προσώπων (περί τα πέντε εκατομμύρια πελατών, εργαζομένων και συνεργατών των ΕΛΤΑ), το υψηλό ύψος της ζημίας, το ότι υπήρξαν παραλείψεις εφαρμογής της πολιτικής ασφαλείας, το ότι επηρεάστηκαν ιδιαίτερης σημασίας κατηγορίες προσωπικών δεδομένων (όπως, για παράδειγμα, οικονομικά στοιχεία), καθώς και το ότι δεν ανακτήθηκαν ιστορικά δεδομένα εφαρμογών και δεν υιοθετήθηκαν μέτρα περιορισμού της ανάρτησης των δεδομένων στο dark web.