25.000 ακαδημαϊκές ταυτότητες με Προσωπικά Δεδομένα-Παρέμβαση της ΑΠΠΔ

 16.650 ακαδημαϊκές ταυτότητες αναγράφουν τις αλλεργίες που δήλωσαν οι φοιτητές και 8.535  περιλαμβάνουν δήλωση των φοιτητών ότι είναι δωρητές οργάνων.
Πρόκειται για το ηλεκτρονικό σήστημα του υπουργείου Παιδείας στο οποίο οι φοιτητές για την απόκτηση της ακαδημαικής ταυτότητας, προεραιτικά  δήλωναν εάν πάσχουν από αλλεργίες σε τρόφιμα, φάρμακα ή άλλες αλλεργίες όπως ασπιρίνη, μέλισσα/σφήκα, λάστιχο. Επιπλέον, μπορούσαν να δηλώσουν : α) «Είμαι ήδη δωρητής οργάνων» β) «Επιθυμώ να γίνω δωρητής οργάνων» γ) «Συμφωνώ να αναγράφεται στην Ακαδημαϊκή μου Ταυτότητα ότι είμαι δωρητής οργάνων» και δ) «Επιθυμώ να ενημερωθεί η βάση δεδομένων του Εθνικού Οργανισμού Μεταμοσχεύσεων (www.eom.gr) σχετικά με την επιλογή μου, ώστε να συμπεριληφθώ στο Εθνικό Μητρώο Δωρητών». Οι αλλεργίες που συμπληρώνουν οι φοιτητές καθώς και η δήλωσή τους ότι είναι δωρητές οργάνων αναγράφονται στην ακαδημαϊκή τους ταυτότητα.
Το γεγονός προκάλεσε την παρέμβαση της Αρχής Προστασίας Προσωπικών Δεδομένων , η οποία απευθύνει σύσταση στο υπουργείο Παιδείας, ως υπεύθυνο
επεξεργασίας, να ενημερώσει προσηκόντως τους φοιτητές για τη διακοπή της
επεξεργασίας  , για τη διαγραφή των ήδη συλλεχθέντων προσωπικών τους δεδομένων καθώς και για τη δυνατότητα και τον τρόπο αντικατάστασης της ακαδημαϊκής τους ταυτότητας με νέα, στην οποία δεν θα αναγράφονται τα ευαίσθητα δεδομένα υγείας που αφορούν τις αλλεργίες τους ούτε τα δεδομένα τους σχετικά με την δωρεά οργάνων.
ΤΟ ΙΣΤΟΡΙΚΟ
Η Αρχή έλαβε υπόψη της τα παρακάτω:
Το Υπουργείο Παιδείας, με το υπ’ αριθ. πρωτ. ΑΠ_ΠΧ ΓΝ/ΕΙΣ/987/6-9-2011
έγγραφό του, γνωστοποίησε στην Αρχή τη συλλογή και επεξεργασία προσωπικών δεδομένων των φοιτητών της χώρας για το σκοπό της έκδοσης δελτίου ειδικού εισιτηρίου μέσω της Ηλεκτρονικής Υπηρεσίας Απόκτησης Κάρτας Φοιτητή, η οποία παρέχεται μέσω του διαδικτυακού τόπου   με την τεχνική υποστήριξη της Ε_ΕΤ ΑΕ, δυνάμει της υπ’ αριθ. Φ.5/114196/Β3/4-10-2011
(ΦΕΚ Β 2234) Κοινής Υπουργικής Απόφασης «Διευκολύνσεις στις μετακινήσεις με τα μέσα μαζικής μεταφοράς των φοιτητών των Α.Ε.Ι.». Σύμφωνα με την ανωτέρω
γνωστοποίηση, τα προσωπικά δεδομένα των φοιτητών που καταχωρούνται στο
πληροφοριακό σύστημα της παραπάνω ηλεκτρονικής υπηρεσίας περιλαμβάνουν
ονοματεπώνυμο, αριθμό δελτίου ταυτότητας ή διαβατηρίου, αριθμό κινητού τηλεφώνου, διεύθυνση ηλεκτρονικού ταχυδρομείου, διεύθυνση μόνιμης κατοικίας, όνομα χρήστη, κωδικό πρόσβασης, αριθμό μητρώου, ακαδημαϊκή ιδιότητα, μήνα και έτος πρώτης εγγραφής (εισαγωγής), αν πρόκειται για φοιτητή Erasmus, ίδρυμα, σχολή, τμήμα, τρέχον εξάμηνο και φωτογραφία. Στο δελτίο ειδικού εισιτηρίου ενσωματώνεται η φωτογραφία του δικαιούχου φοιτητή και μνημονεύονται το ονοματεπώνυμο του, ο αριθμός μητρώου του, η σχολή που φοιτά, ο τόπος μόνιμης κατοικίας του και το χρονικό διάστημα ισχύος
του εισιτηρίου. Ο όρος «δελτίο ειδικού εισιτηρίου» που αναφέρεται στην ως άνω ΚΥΑ αντικαταστάθηκε με τον όρο «ακαδημαϊκή ταυτότητα», μετά την έκδοση της υπ’ αριθ. Φ.593259/Β3/27-8-2012 (ΦΕΚ Β 2377) ΚΥΑ.
Εν συνεχεία, το Υπουργείο Παιδείας, με το υπ’ αριθ. πρωτ. ΑΠ_ΠΧ ΓΝ/ΕΙΣ/1241/18-9-2012 έγγραφό του, υπέβαλε συμπληρωματική γνωστοποίηση στην Αρχή σχετικά με τη συλλογή και επεξεργασία ευαίσθητων δεδομένων υγείας που αφορούν τις αλλεργίες των φοιτητών καθώς και δεδομένων τους σχετικά με τη δωρεά οργάνων στο πλαίσιο παροχής της ακαδημαϊκής ταυτότητας μέσω της Ηλεκτρονικής Υπηρεσίας Απόκτησης Ακαδημαϊκής Ταυτότητας, όπως μετονομάστηκε. Σύμφωνα με τα αναγραφόμενα σε εγχειρίδιο χρήσης, το οποίο αναρτάται στον παραπάνω διαδικτυακό τόπο (http://academicid.minedu.gov.gr/Files/Students_Manual.pdf) και μέσω του οποίου παρέχονται οδηγίες στους φοιτητές για την υποβολή της ηλεκτρονικής αίτησης για την απόκτηση της ακαδημαϊκής ταυτότητας, ο φοιτητής μπορεί να δηλώσει στο πληροφοριακό σύστημα της παραπάνω ηλεκτρονικής υπηρεσίας, επιλέγοντας από συγκεκριμένο κατάλογο, αν πάσχει από αλλεργίες σε τρόφιμα, φάρμακα ή άλλες αλλεργίες όπως ασπιρίνη, μέλισσα/σφήκα, λάστιχο. Επιπλέον, μπορεί να επιλέξει τα παρακάτω: α) «Είμαι ήδη δωρητής οργάνων» β) «Επιθυμώ να γίνω δωρητής οργάνων» γ) «Συμφωνώ να αναγράφεται στην Ακαδημαϊκή μου Ταυτότητα ότι είμαι δωρητής οργάνων» και δ) «Επιθυμώ να ενημερωθεί η βάση δεδομένων του Εθνικού Οργανισμού Μεταμοσχεύσεων (www.eom.gr) σχετικά με την επιλογή μου, ώστε να συμπεριληφθώ στο Εθνικό Μητρώο _ωρητών». Οι αλλεργίες που συμπληρώνουν οι φοιτητές καθώς και η δήλωσή τους ότι είναι δωρητές οργάνων αναγράφονται στην ακαδημαϊκή τους ταυτότητα. Στο παραπάνω εγχειρίδιο χρήσης τονίζεται ότι η δήλωση των στοιχείων που αφορούν στις αλλεργίες και στη δωρεά οργάνων καθώς και η αναγραφή τους στην ακαδημαϊκή ταυτότητα είναι προαιρετική. Επίσης αναφέρεται ότι, μετά την εκτύπωση της ακαδημαϊκής ταυτότητας, τα παραπάνω στοιχεία θα διαγράφονται από το κεντρικό πληροφοριακό σύστημα που υποστηρίζει την Ηλεκτρονική Υπηρεσία Απόκτησης Ακαδημαϊκής Ταυτότητας. Η παραπάνω γνωστοποίηση του Υπουργείου Παιδείας επέχει και θέση αίτησης για άδεια από την Αρχή βάσει του άρθρου 7 του ν.2472/1997.
Ακολούθως, η Αρχή, με το υπ’ αριθ. πρωτ. ΑΠ_ΠΧ ΓΝ/ΕΞ/147/01-02-2013 έγγραφό της, το οποίο κοινοποιήθηκε στον Εθνικό Οργανισμό Μεταμοσχεύσεων (εφεξής «ΕΟΜ»), κάλεσε το Υπουργείο Παιδείας να θεμελιώσει την απαιτούμενη νομική βάση για την επεξεργασία καθώς και να παράσχει διευκρινίσεις επ’ αυτής, προκειμένου να προχωρήσει στην αναλυτική εξέταση της υπόθεσης και να κρίνει τη νομιμότητα της επεξεργασίας. Το Υπουργείο Παιδείας απάντησε με το υπ’ αριθ. πρωτ. Φ.5/27497/Β3/27.2.2013 (αριθ. πρωτ. ΑΠ_ΠΧ Γ/ΕΙΣ/283/28-2013) έγγραφό του, με το οποίο διαβίβασε το υπ’ αριθ. πρωτ. 710/15-2-2013 έγγραφο του ΕΟΜ επί του θέματος  και μνημονεύει το υπ’ αριθ. πρωτ. 254/ΠΤ/10-01-2013 έγγραφο της Ε_ΕΤ ΑΕ.
Κατά τη συνεδρίαση της 10ης.12.2013, οι εκπρόσωποι του Υπουργείου Παιδείας και της Ε_ΕΤ ΑΕ εξέθεσαν προφορικά τις απόψεις τους ενώπιον της Αρχής.
Σύμφωνα με τη συμπληρωματική γνωστοποίηση και τα αναγραφόμενα στο απαντητικό έγγραφο του Υπουργείου Παιδείας καθώς και τα όσα αναφέρθηκαν κατά την ακροαματική διαδικασία ενώπιον της Αρχής προέκυψε ότι, από το σύνολο των 338.454 ακαδημαϊκών ταυτοτήτων που είχαν εκδοθεί έως 10/1/2013, 16.650 ακαδημαϊκές ταυτότητες αναγράφουν τις αλλεργίες που δήλωσαν οι φοιτητές και 8.535 ακαδημαϊκές ταυτότητες περιλαμβάνουν δήλωση των φοιτητών ότι είναι δωρητές οργάνων. Επίσης, 15.160 φοιτητές δήλωσαν ότι είναι ή θέλουν να γίνουν δωρητές οργάνων και 10.583 φοιτητές δήλωσαν ότι επιθυμούν να σταλούν τα στοιχεία τους στον ΕΟΜ. Το Υπουργείο Παιδείας, οι Γραμματείες των Πανεπιστημίων, που προβαίνουν σε έλεγχο των αιτήσεων των φοιτητών πριν την έκδοση των ακαδημαϊκών ταυτοτήτων καθώς και το Γραφείο Αρωγής Χρηστών, που λειτουργεί υπό την ευθύνη της Ε_ΕΤ ΑΕ, σε κανένα στάδιο της διαδικασίας παροχής της ακαδημαϊκής ταυτότητας δεν έχουν πρόσβαση στα δεδομένα των φοιτητών που αφορούν τις αλλεργίες τους και τη δωρεά οργάνων. Επιπλέον, ο ΕΟΜ δεν έχει ζητήσει και δεν έχει λάβει δεδομένα των φοιτητών που δήλωσαν κατά την έκδοση της ακαδημαϊκής τους ταυτότητας την επιθυμία τους να είναι δωρητές οργάνων καθώς επίσης και ότι δεν προτίθεται να δημιουργήσει ή να τηρήσει σχετικό αρχείο στο μέλλον. Τέλος, τα παραπάνω δεδομένα των φοιτητών αποθηκεύονται στη βάση δεδομένων του πληροφοριακού συστήματος της Ηλεκτρονικής Υπηρεσίας Απόκτησης Ακαδημαϊκής Ταυτότητας σε κρυπτογραφημένη μορφή. Μετά την εκτύπωση των ακαδημαϊκών ταυτοτήτων τα ήδη κρυπτογραφημένα δεδομένα, αφού επανακρυπτογραφηθούν με ισχυρό αλγόριθμο κρυπτογράφησης, μεταφέρονται σε εξωτερικό αποθηκευτικό μέσο, το οποίο φυλάσσεται σε ασφαλή χώρο και διαγράφονται από τη βάση δεδομένων του πληροφοριακού συστήματος της παραπάνω υπηρεσίας.
Η Αρχή, στη συνεδρίαση της 10ης.12.2013, έδωσε προθεσμία στο Υπουργείο Παιδείας, ως υπεύθυνο επεξεργασίας και την Ε_ΕΤ Α.Ε., ως εκτελούσα την επεξεργασία, προκειμένου να καταθέσουν έγγραφο υπόμνημα με τις απόψεις τους.
Το Υπουργείο Παιδείας, με το υπ’ αριθ. πρωτ. Φ.5/3290/Β3/13-1-2014 (αριθ. πρωτ.
ΑΠ_ΠΧ ΓΝ/ΕΙΣ/50/13-01-2014) έγγραφό του και τα υπ’ αριθ. πρωτ. 1175/ΠΤ/31-01-
2014 και 2110/ΠΤ/24-2-2014 έγγραφα της Ε_ΕΤ ΑΕ (αριθ. πρωτ. ΑΠ_ΠΧ ΓΝ/ΕΙΣ/189/3-2-2014 και ΓΝ/ΕΙΣ/374/25-2-2014 αντίστοιχα), ενημέρωσε την Αρχή ότι δεν θα συλλέγει στο εξής τα ευαίσθητα προσωπικά δεδομένα που αφορούν τις αλλεργίες των φοιτητών καθώς και τα δεδομένα τους σχετικά με τη δωρεά οργάνων στο πλαίσιο της Ηλεκτρονικής Υπηρεσίας Απόκτησης Ακαδημαϊκής Ταυτότητας, ότι η Ε_ΕΤ ΑΕ διέγραψε με ασφαλή τρόπο τα ήδη συλλεχθέντα παραπάνω δεδομένα των φοιτητών καθώς και ότι οι φοιτητές, στις ακαδημαϊκές ταυτότητες των οποίων αναγράφονται τα παραπάνω δεδομένα, έχουν δικαίωμα αντικατάστασης της ταυτότητάς τους με νέα, η οποία δεν θα αναγράφει τα δεδομένα αυτά. Συγκεκριμένα, σύμφωνα με το υπ’ αριθ. πρωτ. 2109/24-2-2014 πρωτόκολλο καταστροφής της Ε_ΕΤ ΑΕ που προσκομίστηκε στην Αρχή, η Ε_ΕΤ ΑΕ στις 24/2/2014 πραγματοποίησε ασφαλή διαγραφή των κρυπτογραφημένων ως άνω δεδομένων των φοιτητών, την οποία επιβεβαίωσε εγγράφως το Υπουργείο Παιδείας, με την μέθοδο της μορφοποίησης (format) σκληρού δίσκου και της επανεγγραφής του (overwrite) δέκα (10) φορές με τυχαία δεδομένα προκειμένου να καταστεί μη εφικτή η επανάκτησή τους.