Η Αρχή δεν επέβαλε κυρώσεις στο Ίδρυμα, έδωσε όμως εντολή για εκπαίδευση και ολοκλήρωση των προγραμματισμένων μέτρων ασφάλειας εντός έξι μην...
Η Αρχή δεν επέβαλε κυρώσεις στο Ίδρυμα, έδωσε όμως εντολή για εκπαίδευση και ολοκλήρωση των προγραμματισμένων μέτρων ασφάλειας εντός έξι μηνών.
Με την υπ’ αριθμ. 14/2026 απόφασή της, η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, λαμβάνοντας υπόψη και τη νομολογία του Δικαστηρίου της Ευρωπαϊκής Ένωσης ως προς τις υποχρεώσεις ασφάλειας του υπευθύνου επεξεργασίας, δεν προχώρησε στην επιβολή κυρώσεων σε βάρος του Ιδρύματος. Έδωσε, ωστόσο, εντολή στο ΕΑΠ να προχωρήσει σε στοχευμένες δράσεις εκπαίδευσης των διαχειριστών των συστημάτων του και να ολοκληρώσει, εντός έξι μηνών, το σύνολο των μέτρων ασφάλειας που έχει ήδη προγραμματίσει.
Η απόφαση παρουσιάζει ιδιαίτερο ενδιαφέρον ως προς την προσέγγιση της Αρχής στην εφαρμογή του άρθρου 32 ΓΚΠΔ: η επιτυχής εκδήλωση μιας κυβερνοεπίθεσης και η επακόλουθη παραβίαση προσωπικών δεδομένων δεν αρκούν, από μόνες τους, για να θεμελιώσουν παράβαση της υποχρέωσης ασφάλειας, καθώς εκείνο που εξετάζεται είναι εάν ο υπεύθυνος επεξεργασίας είχε λάβει, πριν από το περιστατικό, τεχνικά και οργανωτικά μέτρα κατάλληλα προς τους συγκεκριμένους κινδύνους.
Η επίθεση και το αρχείο των 813 GB
Το ΕΑΠ γνωστοποίησε το περιστατικό στην Αρχή στις 31 Οκτωβρίου 2024, εντός της προβλεπόμενης προθεσμίας των 72 ωρών. Σύμφωνα με την αρχική γνωστοποίηση, η επίθεση ransomware προκάλεσε παραβίαση της εμπιστευτικότητας και της διαθεσιμότητας προσωπικών δεδομένων, με το Πανεπιστήμιο να εκτιμά αρχικά ότι η διαρροή αφορούσε περίπου 30.000 υποκείμενα των δεδομένων.
Η μεταγενέστερη διερεύνηση αποκάλυψε ότι φερόταν να έχει διαρρεύσει αρχείο συνολικού μεγέθους 813 GB, το οποίο είχε αναρτηθεί σε πλατφόρμα του dark web. Το ΕΑΠ δεν κατόρθωσε να αποκτήσει πλήρη πρόσβαση στο περιεχόμενο του αρχείου και, κατά συνέπεια, να εξακριβώσει ποια ακριβώς πρόσωπα και ποιες κατηγορίες δεδομένων είχαν επηρεαστεί.
Η κρίσιμη διάκριση της Αρχής
Ιδιαίτερο ενδιαφέρον παρουσιάζει η προσέγγιση της Αρχής ως προς τη σχέση μεταξύ της επέλευσης ενός περιστατικού παραβίασης και της συμμόρφωσης του υπευθύνου επεξεργασίας με τις απαιτήσεις ασφάλειας του άρθρου 32 ΓΚΠΔ. Επικαλούμενη τη νομολογία του ΔΕΕ και ιδίως την απόφαση στην υπόθεση C-340/21, η Αρχή υπενθύμισε ότι η υποχρέωση ασφάλειας αποτελεί «υποχρέωση μέσων» και όχι «υποχρέωση αποτελέσματος». Αυτό σημαίνει ότι ο υπεύθυνος επεξεργασίας δεν οφείλει να εξαλείψει κάθε κίνδυνο παραβίασης, αλλά να λαμβάνει τα κατάλληλα τεχνικά και οργανωτικά μέτρα για τη μείωση τόσο της πιθανότητας επέλευσής της όσο και της σοβαρότητας των συνεπειών της, εφόσον ο κίνδυνος τελικά υλοποιηθεί.
Υπό το πρίσμα αυτό, η επιτυχής εκδήλωση μιας κυβερνοεπίθεσης δεν αρκεί, από μόνη της, για να αποδείξει ότι τα μέτρα ασφάλειας που είχε λάβει ο υπεύθυνος επεξεργασίας ήταν ανεπαρκή. Η κρίση περί συμμόρφωσης προϋποθέτει αξιολόγηση των συγκεκριμένων κινδύνων που συνεπαγόταν η επεξεργασία και, στη συνέχεια, εξέταση του κατά πόσον τα εφαρμοζόμενα μέτρα ήταν προσαρμοσμένα σε αυτούς, λαμβανομένων υπόψη, μεταξύ άλλων, της κατάστασης των γνώσεων, του κόστους εφαρμογής και των χαρακτηριστικών της επεξεργασίας.
Κατά συνέπεια, όπως επισημαίνει η Αρχή, κύρωση μπορεί να επιβληθεί όχι για την επέλευση της παραβίασης αυτή καθαυτή, αλλά εφόσον διαπιστωθεί ότι αυτή κατέστη δυνατή ή διευκολύνθηκε λόγω της απουσίας ή της ανεπάρκειας των μέτρων ασφάλειας που είχε εφαρμόσει ο υπεύθυνος επεξεργασίας, με γνώμονα τις σύγχρονες τεχνολογικές δυνατότητες και τις βέλτιστες πρακτικές ασφάλειας.
Ανθρώπινο λάθος και αδυναμίες στο εσωτερικό δίκτυο
Στην περίπτωση του ΕΑΠ, η Αρχή διαπίστωσε ότι η διανομή του κακόβουλου λογισμικού κατέστη δυνατή εξαιτίας ανθρώπινου λάθους, το οποίο θα μπορούσε να είχε αποφευχθεί με περισσότερο στοχευμένη εκπαίδευση και με βελτίωση των μέτρων αυθεντικοποίησης των χρηστών που διέθεταν δικαιώματα διαχείρισης.
Παράλληλα, το γεγονός ότι το κακόβουλο λογισμικό μπόρεσε να σαρώσει το δίκτυο και να εκμεταλλευθεί κενά ασφάλειας έδειξε, κατά την Αρχή, ότι η διαμόρφωση του εσωτερικού δικτύου δεν λειτούργησε αποτελεσματικά ώστε να εμποδίσει την παρείσφρηση και τη διάδοση της επίθεσης, ενώ ιδιαίτερη αναφορά γίνεται στην ανεπαρκή απομόνωση του εσωτερικού δικτύου πριν από το περιστατικό.
Η επιλογή της εντολής αντί κυρώσεων
Παρά τις αδυναμίες που εντόπισε στα μέτρα ασφάλειας πριν από την επίθεση, η Αρχή αξιολόγησε θετικά τον τρόπο με τον οποίο το ΕΑΠ διαχειρίστηκε το περιστατικό μετά την εκδήλωσή του. Έκρινε ειδικότερα ότι το Πανεπιστήμιο προέβη στις αναγκαίες ενέργειες για την ανάκτηση των κρυπτογραφημένων δεδομένων, μολονότι όπως αναφέρεται η προσπάθεια αυτή δεν υπήρξε επιτυχής, και την αποκατάσταση της λειτουργίας των συστημάτων του, ενώ παράλληλα έλαβε διορθωτικά μέτρα τόσο για την αποτροπή αντίστοιχης επίθεσης στο μέλλον όσο και για τον περιορισμό της ενδεχόμενης ζημίας των επηρεαζόμενων προσώπων.
Αντίστοιχη ήταν η κρίση της ως προς τις υποχρεώσεις διαχείρισης της παραβίασης. Η αρχική γνωστοποίηση είχε υποβληθεί εντός της προθεσμίας των 72 ωρών και, όπως συμπληρώθηκε στη συνέχεια, κρίθηκε ότι περιείχε το σύνολο των πληροφοριών που απαιτεί το άρθρο 33 ΓΚΠΔ. Ως προς την ενημέρωση των υποκειμένων, το ΕΑΠ συμμορφώθηκε τελικά με το άρθρο 34 ΓΚΠΔ, αφού προηγουμένως χρειάστηκε να παρέμβει η Αρχή και να του δώσει ρητή εντολή να ενημερώσει απευθείας όλα τα πρόσωπα που ενδέχετο να έχουν επηρεαστεί.
Κατά την επιλογή του κατάλληλου διορθωτικού μέτρου, η Αρχή έλαβε υπόψη, από τη μία πλευρά, τον μεγάλο αριθμό των επηρεαζόμενων προσώπων και, από την άλλη, τις ενέργειες στις οποίες είχε ήδη προχωρήσει το ΕΑΠ για την αντιμετώπιση του περιστατικού και την αποτροπή επανάληψής του, συνεκτιμώντας και το κόστος των μέτρων αυτών. Υπό τα δεδομένα αυτά, έκρινε ως προσήκουσα την έκδοση εντολής και όχι την επιβολή διοικητικού προστίμου.
Με την εντολή αυτή, το ΕΑΠ υποχρεώνεται να προχωρήσει σε στοχευμένες δράσεις εκπαίδευσης των διαχειριστών των συστημάτων του και να ολοκληρώσει το σύνολο των μέτρων ασφάλειας που έχει ήδη προγραμματίσει, εντός αποκλειστικής προθεσμίας έξι μηνών από τη λήψη της απόφασης.
Το πλήρες κείμενο της απόφασης ΑΠΔΠΧ 14/2016 είναι διαθέσιμο στον ιστότοπο της Αρχής
Πηγή: Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα
Lawspot.gr
Δεν υπάρχουν σχόλια