Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ),με τη Γνωμοδότηση 4/2020 (7.9.2020):
1) ΚΡΙΝΕΙ νόμιμη την κατά το άρθρο 63 του ν. 4686/2020 σύγχρονη εξ αποστάσεως εκπαίδευση .
2) ΚΡΙΝΕΙ ότι επιτρέπεται η εξ αποστάσεως εκπαίδευση στις σχολικές μονάδες της πρωτοβάθμιας και της δευτεροβάθμιας εκπαίδευσης κατά τη διάρκεια του ως άνω τριμήνου, εφόσον συντρέχουν οι προϋποθέσεις που προβλέπονται στο άρθρο 63 του ν. 4686/2020, όπως ισχύει μετά την τροποποίησή του με την από 10/08/2020 ΠΝΠ.
3) ΚΑΛΕΙ το Υπουργείο Παιδείας και Θρησκευμάτων να λάβει υπόψη τις συστάσεις που αναφέρονται στο σκεπτικό της Γνωμοδότησης και να τροποποιήσει και συμπληρώσει αναλόγως την ανωτέρω ΕΑΠ∆ σε αποκλειστική προθεσμία τριών (3) μηνών από τη δημοσίευση της παρούσας απόφασης.
ΠΑΤΗΣΤΕ ΕΔΩ ΓΙΑ ΝΑ ΑΝΟΙΞΕΤΕΒ ΤΗ ΓΝΩΜΟΔΟΤΗΣΗ
Σύμφωνα με τη Γνωμοδότηση:
Ο «χάρτης κινδύνων» που παρουσιάζεται στην ΕΑΠ∆ εμφανίζει μη τεκμηριωμένες, υποκειμενικές, εκτιμήσεις του υπεύθυνου επεξεργασίας. Συνεπώς, είναι απαραίτητο, στη διαδικασία προσδιορισμού, ανάλυσης κινδύνων και εντοπισμού μέτρων αντιμετώπισης αυτών να παρέχεται πλήρης ανάλυση των κινδύνων, ώστε να είναι κατανοητή από τον αναγνώστη της ΕΑΠ∆, η τεκμηρίωση των επιλογών του υπευθύνου επεξεργασίας για τις εκτιμήσεις που κάνει σε σχέση με τους δείκτες από τους οποίους προκύπτει, ακόμα κι αν οι εκτιμήσεις αυτές παραμένουν ως ένα βαθμό υποκειμενικές.
Επισημαίνεται ότι ακόμα και στους προσδιορισμένους κινδύνους, πολλές επιλογές του υπεύθυνου επεξεργασίας ενδέχεται να χρήζουν πληρέστερης αξιολόγησης. Ενδεικτικά:
α) στον κίνδυνο 1 (Παράνομη πρόσβαση σε προσωπικά δεδομένα) η επιλογή ότι ο κίνδυνος είναι αμελητέος επειδή η τηλεδιάσκεψη πραγματοποιείται με πρόσκληση σε συγκεκριμένο αριθμό χρηστών δεν είναι αυτονοήτως ορθή καθώς:
αα) όλοι οι μαθητές ενός εκπαιδευτικού γνωρίζουν την «προσωπική του τάξη», συνεπώς, ενδέχεται να δοκιμάσουν να συνδεθούν σε διαφορετικό χρόνο,
αβ) η διεύθυνση της προσωπικής τάξης μπορεί να γίνει (ειδικά με την πάροδο του χρόνου) γνωστή και σε τρίτους,
αγ) ο εκπαιδευτικός, με δεδομένο ότι ο μαθητής μπορεί να επιλέξει όποιο όνομα επιθυμεί, δεν γνωρίζει πάντα ποιος είναι ο χρήστης που ζητάει να συνδεθεί στην αίθουσα·
β) στους κινδύνους 2 και 4 (αποκάλυψη πληροφοριών στους γονείς των μαθητών ή σε τρίτους) η σοβαρότητα των συνεπειών μπορεί, σε κάποιες περιπτώσεις, να είναι μεγάλη (ιδίως αν ληφθεί υπόψη ότι ενδέχεται να καταγραφούν ειδικές κατηγορίες δεδομένων) ενώ η πιθανότητα εμφάνισης του κινδύνου ενδέχεται να είναι ιδιαίτερα μεγαλύτερη, καθώς λόγω του μεγάλου αριθμού μαθητών μπορεί βασίμως να πιθανολογηθεί ότι κάποιοι γονείς/τρίτοι παρακολουθούν·
γ) Η πιθανότητα εμφάνισης του κινδύνου της ανισότητας είναι μεγάλη καθώς είναι γνωστό ότι δεν διαθέτουν όλοι οι μαθητές και οι σχολικές μονάδες υποδομή σύνδεσης, ή την ίδια υποδομή σύνδεσης.
Περαιτέρω, από τους προσδιορισμένους κινδύνους φαίνεται να απουσιάζουν ή να μην αναλύονται επαρκώς μια σειρά από κινδύνους. Ενδεικτικά η Αρχή παραθέτει τους παρακάτω κινδύνους, οι οποίοι θα πρέπει να αντιμετωπισθούν:
• Κίνδυνοι σχετιζόμενοι με την επέμβαση στην εκπαιδευτική διαδικασία, οι οποίοι επηρεάζουν το δικαίωμα στην εκπαίδευση. Απουσιάζει εκτίμηση και ανάλυση της επέμβασης ανά εκπαιδευτική βαθμίδα/τάξη, προσαρμοσμένη στις ιδιαιτερότητες των μαθητών. Για παράδειγμα, οι κίνδυνοι αυτοί μπορεί να αντιμετωπιστούν με την εισαγωγή ή χρήση νέων εκπαιδευτικών μεθόδων, την παροχή κατάλληλης εκπαίδευσης και επιμόρφωσης στους εκπαιδευτικούς, με τη συμβολή των κατάλληλων εκπαιδευτικών και ακαδημαϊκών φορέων.
• Κίνδυνοι από τη χρήση εξοπλισμού που δεν βρίσκεται στην ευθύνη του υπευθύνου επεξεργασίας, ιδίως όσον αφορά στους εκπαιδευτικούς. Στο πλαίσιο αυτής της ανάλυσης θα πρέπει να εξεταστεί και το ζήτημα της χρήσης προσωπικής συσκευής για υπηρεσιακό σκοπό (πρβλ. και απόφαση 77/2018 της Αρχής). Περαιτέρω στην ΕΑΠ∆ αναφέρεται ότι η πλατφόρμα και οι χρήστες δεν κινδυνεύουν από πιθανή ύπαρξη ιών σε τερματικό εξοπλισμό συγκεκριμένου χρήστη (σελ 16), χωρίς περαιτέρω τεκμηρίωση.
• Κίνδυνοι από τις διαβιβάσεις δεδομένων εκτός Ε.Ε. Να σημειωθεί ότι όπως προκύπτει από την προσκομισθείσα σύμβαση, δεν αποκλείεται η πιθανότητα χρήσης κέντρου δεδομένων εκτός Ε.Ε., τουλάχιστον σε περίπτωση «βλάβης». Να σημειωθεί, ότι πλέον, ο υπεύθυνος επεξεργασίας οφείλει να μελετήσει την απόφαση C-311/18 του ∆ΕΕ και να διασφαλίσει ότι δεν υπάρχει περίπτωση διαβίβασης δεδομένων προσωπικού χαρακτήρα εκτός Ε.Ε.2 Ο υπεύθυνος επεξεργασίας οφείλει να διερευνά το εφαρμοστέο νομικό καθεστώς στη χώρα του εισαγωγέα, ώστε να εξασφαλίζει την εφαρμογή των δικαιωμάτων των υποκειμένων των δεδομένων, σε κάθε περίπτωση. Τονίζεται ότι ο κίνδυνος αυτός ενδέχεται να υφίσταται στην περίπτωση χρήσης εταιρειών οι οποίες εμπίπτουν στη νομοθεσία των ΗΠΑ (π.χ. άρθρο 702 του νόμου FISA και εκτελεστικό διάταγμα EO 12333), ανεξάρτητα του τόπου τήρησης των δεδομένων.
• Κίνδυνοι που απορρέουν από τους όρους της σύμβασης. Ειδικότερα, από τη μελέτη της σύμβασης, προκύπτει ότι κάποια δεδομένα διατηρούνται από τον εκτελούντα την επεξεργασία (Cisco). Τα δεδομένα αυτά περιλαμβάνουν δεδομένα που παράγονται κατά τη χρήση των υπηρεσιών· επισημαίνεται ότι η σύμβαση διασφαλίζει δεδομένα τα οποία «διαθέτει» το Υπουργείο στη Cisco, χωρίς να είναι σαφές αν σε αυτά περιλαμβάνονται και τα παραγόμενα δεδομένα χρηστών. Από τη σύμβαση3 προκύπτει σαφώς ότι τηρούνται, για επτά έτη, μια σειρά από δεδομένα προσωπικού χαρακτήρα, τα οποία περιλαμβάνουν τα δεδομένα εγγραφής, αλλά και ψευδώνυμα δεδομένα για σκοπούς «analytics» και μέτρησης απόδοσης. Επισημαίνεται ότι σύμφωνα με τους ορισμούς του ΓΚΠ∆, τα ψευδώνυμα δεδομένα αποτελούν προσωπικά δεδομένα και η άρση της ψευδωνυμοποίησης αποτελεί κίνδυνο ο οποίος πρέπει να αντιμετωπισθεί. Μάλιστα, στη σελ. 19 της ΕΑΠ∆ γίνεται αναφορά σε «Μεταδεδομένα αμιγώς τεχνικής φύσης μέσω των οποίων δεν καθίσταται ικανή η προσωπική ταυτοποίηση των χρηστών». Σημειώνεται επίσης ότι, υπό προϋποθέσεις, μπορεί να υπάρξει αναγνώριση υποκειμένων δεδομένων, π.χ. μέσω συσχέτισης των μεταδεδομένων με άλλες γνωστές πληροφορίες που αφορούν ένα υποκείμενο των δεδομένων. Περαιτέρω, ένας επιπλέον κίνδυνος απορρέει από την έλλειψη συμπλήρωσης, στη σύμβαση, του πεδίου το οποίο αφορά το πρόσωπο του υπεύθυνου επεξεργασίας, τον οποίο θα ενημερώσει η Cisco (ως εκτελούσα την επεξεργασία) σε περίπτωση περιστατικού παραβίασης (βλ. σελ. 7 του παραρτήματος Α).
• Κίνδυνοι από τη χρήση τρίτων εκτελούντων την επεξεργασία (sub- processors), οι οποίοι δεν φαίνεται να έχουν προσδιοριστεί.
Επισημαίνεται ότι με βάση το άρθρο 28 παρ. 2 του ΓΚΠ∆, ο εκτελών την επεξεργασία δεν προσλαμβάνει άλλον εκτελούντα την επεξεργασία χωρίς προηγούμενη ειδική ή γενική γραπτή άδεια του υπευθύνου επεξεργασίας και σε περίπτωση γενικής γραπτής άδειας, όπως φαίνεται να ισχύει με την υφιστάμενη σύμβαση, ο εκτελών την επεξεργασία ενημερώνει τον υπεύθυνο επεξεργασίας για τυχόν σκοπούμενες αλλαγές που αφορούν την προσθήκη ή την αντικατάσταση των άλλων εκτελούντων την επεξεργασία, παρέχοντας με τον τρόπο αυτό τη δυνατότητα στον υπεύθυνο επεξεργασίας να αντιταχθεί σε αυτές τις αλλαγές.
• Κίνδυνοι από τη χρήση προσωπικών ηλεκτρονικών διευθύνσεων των εκπαιδευτικών και τη διαβίβαση ηλεκτρονικά στη Cisco, ακόμα κι αν ένας εκπαιδευτικός δεν ενεργοποιήσει την τηλεκπαίδευση. Στο σύστημα «myschool» φαίνεται να συμπεριλαμβάνονται οι διευθύνσεις ηλεκτρονικού ταχυδρομείου (email) των εκπαιδευτικών χωρίς να είναι σαφές για ποιο σκοπό έχουν συλλεγεί. Περαιτέρω, καθώς οι εκπαιδευτικοί χρησιμοποιούν για επικοινωνία προσωπικά email (πολλές φορές) υπάρχει κίνδυνος για αυτούς. Π.χ. σκόπιμο θα ήταν όλες οι ενέργειες να γίνονται από τους λογαριασμούς του σχολικού δικτύου (email επικοινωνίας; @sch.gr).
Τέλος, επισημαίνεται ότι μετά τη διενέργεια της ΕΑΠ∆, πέραν των ήδη ληφθέντων τεχνικών και οργανωτικών μέτρων, ο υπεύθυνος επεξεργασίας κρίνει ότι δεν είναι απαραίτητη η λήψη περαιτέρω μέτρων με τη σκέψη ότι δεν υπολείπονται υψηλοί κίνδυνοι και, συνεπώς, δεν απαιτείται να λάβει άλλα μέτρα για τον περιορισμό αυτών.
Σύμφωνα με όσα προαναφέρθηκαν, ο στόχος της ΕΑΠ∆ είναι να προσδιοριστούν μέτρα αντιμετώπισης των κινδύνων, περιλαμβανομένων των εγγυήσεων, των μέτρων και μηχανισμών ασφάλειας, ώστε να διασφαλίζεται η προστασία των δεδομένων προσωπικού χαρακτήρα και να αποδεικνύεται η συμμόρφωση προς τον ΓΚΠ∆. Με βάση την αρχή της προστασίας των δεδομένων ήδη από τον σχεδιασμό (αρ. 25 παρ. 1 ΓΚΠ∆) ο υπεύθυνος επεξεργασίας, λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων από την επεξεργασία, εφαρμόζει αποτελεσματικά, τόσο κατά τη στιγμή του καθορισμού των μέσων επεξεργασίας όσο και κατά τη στιγμή της επεξεργασίας, κατάλληλα τεχνικά και οργανωτικά μέτρα. Συνεπώς, ο υπεύθυνος οφείλει να ελαχιστοποιήσει κάθε κίνδυνο, τεκμηριώνοντας επαρκώς το συμπέρασμα ότι ένας υπολειπόμενος κίνδυνος, έστω και μη υψηλός, γίνεται αποδεκτός, δεδομένου ότι η ΕΑΠ∆ χρησιμοποιείται για να περιορίσει το επίπεδο όλων των κινδύνων. Συνεπώς, απαιτείται κρίση για το αν απαιτούνται περαιτέρω μέτρα αντιμετώπισης κάθε κινδύνου, ακόμα κι αν αυτός δεν φαίνεται να είναι υψηλός. Επομένως, στην ΕΑΠ∆ δεν τεκμηριώνεται ότι οι προσδιορισμένοι κίνδυνοι έχουν ελαχιστοποιηθεί και δεν απαιτείται προσδιορισμός κατάλληλων μέτρων.
Όσον αφορά στα λαμβανόμενα μέτρα μετριασμού των επιπτώσεων, η Αρχή επισημαίνει την υποχρέωση του υπευθύνου επεξεργασίας για αυξημένη διαφάνεια και δράσεις ενημέρωσης και ευαισθητοποίησης των εμπλεκομένων (εκπαιδευτικοί, μαθητές, οικογένεια) σε σχέση με τη διαδικασία τηλεκπαίδευσης και τα δεδομένα προσωπικού χαρακτήρα. Στη σελ. 21 της ΕΑΠ∆ γίνεται αναφορά στις πληροφορίες που παρέχονται στα υποκείμενα των δεδομένων. Φαίνεται ότι ακολουθείται μια τυπική -υπηρεσιακή- πληροφόρηση η οποία βασίζεται, κυρίως στα κείμενα των εγκυκλίων. Σύμφωνα με όσα αναφέρονται στις κατευθυντήριες γραμμές του ΕΣΠ∆4 για τη διαφάνεια, απαιτείται ενημέρωση με κατάλληλο τρόπο, προσαρμοσμένη στα παιδιά και τις ευάλωτες ομάδες. Η παροχή κατάλληλης ενημέρωσης και προγραμμάτων ευαισθητοποίησης, σε εκπαιδευτικούς, αλλά κυρίως μαθητές και οικογένεια, μπορεί μάλιστα να λειτουργήσει ως ένα κατάλληλο μέτρο μετριασμού των επιπτώσεων των κινδύνων που σχετίζονται με μη νόμιμη διάδοση δεδομένων. Στην ΕΑΠ∆ γίνεται αναφορά σε κατάρτιση κώδικα ορθής συμπεριφοράς5 / ευπρέπειας και σε αναλυτικές οδηγίες από τους εκπαιδευτικούς προς τους μαθητές, οι οποίες όμως δεν φαίνεται να έχουν καταρτιστεί.
Επιμέρους θέματα – παρατηρήσεις
Η Αρχή, εξετάζοντας το κείμενο της ΕΑΠ∆ επισημαίνει επιπλέον τα εξής σημεία για τα οποία είναι αναγκαίες βελτιώσεις:
1) Στη σελ. 37 της ΕΑΠ∆, η «επίσημη αποδοχή» της φαίνεται να γίνεται από την Υπεύθυνο Προστασίας ∆εδομένων του Υπουργείου. Ειδικότερα, αναφέρεται ότι «εγκρίθηκαν τα μέτρα» και «παρασχέθηκε η συμβουλή της DPO». Επισημαίνεται ότι στα καθήκοντα του Υπευθύνου Προστασίας ∆εδομένων (βλ. αρ. 39 ΓΚΠ∆) δεν περιλαμβάνεται η έγκριση της ΕΑΠ∆. Οι αποφάσεις, σε σχέση με τη λήψη μέτρων λαμβάνονται από τον υπεύθυνο επεξεργασίας με τη συμβουλή του Υπευθύνου Προστασίας ∆εδομένων, ο οποίος δεν έχει αποφασιστική αρμοδιότητα. Σχετική αναφορά γίνεται και στο κείμενο των κατευθυντήριων γραμμών ΕΑΠ∆ (σελ. 18) όπου αναφέρεται ότι : «...Ο υπεύθυνος επεξεργασίας πρέπει επίσης να ζητεί τη γνώμη του υπευθύνου προστασίας δεδομένων (ΥΠ∆), εφόσον έχει οριστεί (άρθρο 35 παράγραφος 2) και η γνώμη αυτή, καθώς και οι αποφάσεις του υπεύθυνου επεξεργασίας, θα πρέπει να τεκμηριώνονται στην ΕΑΠ∆. Ο ΥΠ∆ θα πρέπει επίσης να παρακολουθεί την υλοποίηση της ΕΑΠ∆ [άρθρο 39 παράγραφος 1 στοιχείο γ)]....» Επίσης, επισημαίνεται ότι τόσο η γνώμη της ΥΠ∆ όσο και οι αποφάσεις του υπεύθυνου επεξεργασίας θα πρέπει να τεκμηριώνονται στην ΕΑΠ∆.
2) Στη σελ 20 της ΕΑΠ∆ η εταιρεία Cisco αναφέρεται ως «τρίτος», ενώ αποτελεί εκτελούντα την επεξεργασία. Από τους ορισμούς του κανονισμού (βλ. άρθρο 4 παρ. 10), ένας «εκτελών την επεξεργασία» δεν αποτελεί τρίτο, εκτός από την περίπτωση που αποφασίσει να επεξεργαστεί δεδομένα για δικό του, διαφορετικό, σκοπό.
Προθεσμία προς συμμόρφωση
Εν όψει των ανωτέρω σκέψεων και λαμβάνοντας υπόψη ότι:
Α) η εκπαιδευτική διαδικασία πρέπει απαραίτητα να λειτουργήσει με τον καλύτερο δυνατό τρόπο
Β) η σύγχρονη εξ αποστάσεως εκπαίδευση αποτελεί χρήσιμο εργαλείο εκπαίδευσης, με αυξημένη χρησιμότητα ειδικά σε περιόδους πανδημίας
Γ) η επεξεργασία δεδομένων προσωπικού χαρακτήρα που διενεργείται κατά τη σύγχρονη εξ αποστάσεως εκπαίδευση μπορεί να συντελεστεί με τρόπο συμβατό με τον ΓΚΠ∆, και
∆) για τη συμμόρφωση προς τις ανωτέρω συστάσεις απαιτείται εύλογο χρονικό διάστημα το οποίο δεν μπορεί να υπερβαίνει τους τρεις μήνες
η Αρχή κρίνει ότι πρέπει στην παρούσα περίπτωση να ασκήσει τη συμβουλευτική της εξουσία, η οποία απορρέει από το άρθρο 58 παρ. 3 εδ. β του ΓΚΠ∆.
H σύγχρονη εξ αποστάσεως εκπαίδευση αποτελεί χρήσιμο εργαλείο εκπαίδευσης, με αυξημένη χρησιμότητα ειδικά σε περιόδους πανδημίας.
Μια θετική απόφαση που πρέπει να υλοποιηθεί, από τους συλλόγους διδασκόντων και τη διοίκηση, με εργαλείο την ενδοσχολική επιμόρφωση.