Στις 12 Αυγούστου, έλαβα ένα email από το υπουργείο Υγείας. «Μήνυμα προς τους πολίτες», έγραφε, κάτω από το λογότυπο του υπουργείου και του μη κερδοσκοπικού οργανισμού Safe Water Sports. Το θέμα ήταν «Ασφαλής κολύμβηση» και αποτελούσε μέρος καμπάνιας του υπουργείου Υγείας για την ενημέρωση πολιτών άνω των 60 ετών σχετικά με τους κινδύνους της θάλασσας.
«Το περσινό καλοκαίρι, 284 άνθρωποι ηλικίας άνω των 60 ετών έχασαν τη ζωή τους από πνιγμό στη θάλασσα», έγραφε το email. «Αν αγαπάτε τη ζωή σας, ενημερωθείτε και λάβετε τα απαραίτητα μέτρα προστασίας πριν από κάθε κολύμβηση», προέτρεπε, πριν από έναν σύνδεσμο προς τις σχετικές οδηγίες του Safe Water Sports.
Άλλο είναι να χρησιμοποιείται το email για να σταλεί στον πολίτη μια συνταγή ή ένα παραπεμπτικό και άλλο να χρησιμοποιείται η ίδια κρατική υποδομή για μια ευρύτερη ενημερωτική καμπάνια δημόσιας υγείας.
Υπάρχει όμως ένα πρόβλημα: δεν είμαι άνω των 60 ετών. Γιατί, λοιπόν, έλαβα αυτό το email;
Μπορεί εύκολα να αντιμετωπιστεί ως αστοχία στην αποστολή ενός μαζικού ενημερωτικού μηνύματος. Άλλωστε, πρόκειται για συμβουλές ασφαλούς κολύμβησης που μπορούν να φανούν χρήσιμες σε οποιονδήποτε. Όμως η συγκεκριμένη καμπάνια δεν παρουσιάστηκε ως ένα γενικό μήνυμα προς όλους τους πολίτες, αλλά ως στοχευμένη καμπάνια για τους άνω των 60.
Η διάκριση έχει σημασία. Μετατρέπει ένα email για τη θάλασσα σε ερώτημα για το πώς το ψηφιακό κράτος χρησιμοποιεί τα προσωπικά δεδομένα των πολιτών που έχει ήδη στη διάθεσή του.
Στις 2 Ιουνίου, σε κοινή συνέντευξη Τύπου με τον πρόεδρο του επιστημονικού συμβουλίου του ΕΟΔΥ Θεόδωρο Βασιλακόπουλο και τον πρόεδρο του Safe Water Sports Παναγιώτη Πασχαλάκη, ο υπουργός Υγείας Άδωνις Γεωργιάδης ανακοίνωσε την καμπάνια «Θάλασσα με Ασφάλεια για άτομα 60+».
Επικαλούμενος στοιχεία για 373 πνιγμούς τον χρόνο στις ελληνικές θάλασσες, με περίπου 80% των θυμάτων να είναι άνω των 60 ετών, ο υπουργός δήλωσε ότι θα ζητούσε από την ΗΔΥΚΑ «να στείλουμε sms και email σε όλους τους ανθρώπους αυτής της ηλικίας με το σποτάκι και το ενημερωτικό, για να ενημερώσουμε άμεσα τους συμπολίτες μας».
Το εργαλείο για μια τέτοια αποστολή υπήρχε ήδη. Η ΗΔΥΚΑ διαχειρίζεται πληροφοριακά συστήματα που περιλαμβάνουν δημογραφικά στοιχεία και στοιχεία επικοινωνίας πολιτών, όπως αριθμούς τηλεφώνου και διευθύνσεις email.
Για να στείλει η ΗΔΥΚΑ ένα στοχευμένο μήνυμα σε συγκεκριμένη ηλικιακή ομάδα, πρέπει να μπορεί να χρησιμοποιήσει δεδομένα που επιτρέπουν τον προσδιορισμό αυτής της ομάδας.
Η ΗΔΥΚΑ αναφέρει στη δήλωση ιδιωτικού απορρήτου της ηλεκτρονικής συνταγογράφησης ότι επεξεργάζεται, μεταξύ άλλων, δεδομένα ταυτοποίησης, δημογραφικά δεδομένα και στοιχεία επικοινωνίας.
Η άυλη συνταγογράφηση είναι χαρακτηριστικό παράδειγμα. Οι πολίτες που την έχουν ενεργοποιήσει δηλώνουν κινητό τηλέφωνο ή email προκειμένου να λαμβάνουν ηλεκτρονικά συνταγές και παραπεμπτικά. Η ΗΔΥΚΑ αναφέρει ότι περισσότεροι από 6,6 εκατομμύρια πολίτες έχουν ενεργοποιήσει την άυλη συνταγογράφηση.
Εδώ βρίσκεται η πρώτη σημαντική διάκριση.
Άλλο είναι να χρησιμοποιείται το email για να σταλεί στον πολίτη μια συνταγή ή ένα παραπεμπτικό και άλλο να χρησιμοποιείται η ίδια κρατική υποδομή για μια ευρύτερη ενημερωτική καμπάνια δημόσιας υγείας.
Το δεύτερο δεν είναι αυτομάτως παράνομο. Ο GDPR δεν απαγορεύει στο Δημόσιο να επεξεργάζεται προσωπικά δεδομένα για σκοπούς δημοσίου συμφέροντος. Όμως κάθε επεξεργασία χρειάζεται κατάλληλη νομική βάση και πρέπει να τηρεί τις αρχές του ΓΚΠΔ, μεταξύ άλλων τον περιορισμό του σκοπού και την αναγκαιότητα της επεξεργασίας.
Αν το φίλτρο ήταν «60+», τι πήγε στραβά; Υπάρχουν αρκετές πιθανές εξηγήσεις. Μπορεί να χρησιμοποιήθηκε ευρύτερη λίστα από αυτή που είχε ανακοινωθεί. Μπορεί να εφαρμόστηκε διαφορετικό κριτήριο στόχευσης. Μπορεί να υπήρξε τεχνικό σφάλμα.
Χωρίς απάντηση από το υπουργείο ή την ΗΔΥΚΑ, δεν γνωρίζουμε ποιο από αυτά συνέβη. Σε ερωτήσεις του WIRED Greece, το υπουργείο Υγείας και η ΗΔΥΚΑ δεν απάντησαν, ως τη δημοσίευση του άρθρου.
Η παραλαβή ενός email από λανθασμένη ηλικιακή ομάδα δεν αποδεικνύει από μόνη της παραβίαση του GDPR. Δείχνει όμως ότι υπάρχει μια επεξεργασία προσωπικών δεδομένων πίσω από την αποστολή και ότι χρειάζεται να γνωρίζουμε πώς ακριβώς πραγματοποιήθηκε.
Η ίδια η «Δήλωση Ιδιωτικού Απορρήτου» της ΗΔΥΚΑ για την ηλεκτρονική συνταγογράφηση περιγράφει συγκεκριμένους σκοπούς επεξεργασίας: μεταξύ άλλων, την εγγραφή και ταυτοποίηση, την έκδοση ηλεκτρονικών συνταγών και παραπεμπτικών και την εκτέλεση συνταγών.
Δεν εντοπίζεται στη συγκεκριμένη δήλωση ρητή αναφορά στην αποστολή ενημερωτικών μηνυμάτων για καμπάνιες δημόσιας υγείας.
Αυτό, και πάλι, δεν αρκεί για να πούμε ότι η αποστολή ήταν παράνομη. Η νομιμότητα μιας νέας επεξεργασίας δεν κρίνεται μόνο από το αν ένας σκοπός αναφέρεται σε μια γενική ενημέρωση απορρήτου. Το κρίσιμο είναι ποια είναι η συγκεκριμένη νομική βάση, αν υπάρχει κατάλληλη νομοθετική πρόβλεψη και αν η νέα χρήση είναι συμβατή με τον αρχικό σκοπό συλλογής των δεδομένων.
Αυτό είναι ένα ερώτημα που τέθηκε και στους αρμόδιους φορείς.
Υπάρχει και ένα δεύτερο ζήτημα.
Η καμπάνια δεν είναι αποκλειστικά κρατική. Υλοποιείται από το υπουργείο Υγείας σε συνεργασία με το Safe Water Sports, έναν μη κρατικό φορέα. Το email φέρει τα λογότυπα και των δύο, ενώ ο σύνδεσμος του μηνύματος οδηγεί στην ιστοσελίδα του Safe Water Sports.
Αυτό δεν σημαίνει ότι η ΗΔΥΚΑ ή το υπουργείο διαβίβασαν στο Safe Water Sports τις διευθύνσεις email των παραληπτών. Κάτι τέτοιο δεν προκύπτει από το ίδιο το μήνυμα. Αποστολέας είναι το υπουργείο και η ΗΔΥΚΑ, όχι ο ΜΚΟ.
Δημιουργεί όμως ένα εύλογο ερώτημα για το πώς οργανώθηκε η συνεργασία: χρησιμοποιήθηκε απλώς η κρατική υποδομή για να διανεμηθεί περιεχόμενο ενός συνεργαζόμενου φορέα ή είχε ο φορέας οποιαδήποτε πρόσβαση στα στοιχεία των αποδεκτών;
Στην πρώτη περίπτωση, το κράτος λειτουργεί ως δίαυλος δημόσιας ενημέρωσης. Στη δεύτερη, θα υπήρχε ζήτημα πρόσβασης ή διαβίβασης προσωπικών δεδομένων σε τρίτο φορέα, που θα απαιτούσε τη δική του νομική θεμελίωση και διαφάνεια.
Το ζήτημα δεν έμεινε στα κοινωνικά δίκτυα.
Στις 8 Αυγούστου, ο δικηγόρος Βασίλης Σωτηρόπουλος δημοσιοποίησε ότι κατέθεσε καταγγελία προς τους Υπευθύνους Προστασίας Δεδομένων (DPO) του υπουργείου Υγείας και της ΗΔΥΚΑ, εκπροσωπώντας πολίτη που παρέλαβε το μήνυμα παρότι ήταν νεότερος από την ηλικιακή ομάδα που είχε ανακοινωθεί ως στόχος.
Η καταγγελία επικαλείται, μεταξύ άλλων, ζητήματα που αφορούν τα άρθρα 13 και 14 του ΓΚΠΔ, σχετικά με την ενημέρωση των υποκειμένων των δεδομένων, καθώς και το άρθρο 5 παρ. 1 β΄ για τον περιορισμό του σκοπού.
Ο πληρεξούσιος άσκησε επίσης για λογαριασμό του πελάτη του το δικαίωμα πρόσβασης, ζητώντας ενημέρωση για την επεξεργασία των δεδομένων του, καθώς και το δικαίωμα εναντίωσης, ώστε να μην του αποσταλεί ξανά αντίστοιχο μήνυμα.
Το θέμα πλέον έχει φτάσει και στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.
Σε απάντηση ερωτημάτων του WIRED Greece, η Αρχή επιβεβαιώνει ότι έχει δεχθεί «περιορισμένο αριθμό καταγγελιών» για τη συγκεκριμένη καμπάνια.
Η Αρχή δεν σχολιάζει υποθέσεις που βρίσκονται υπό εξέταση. Υπενθυμίζει, ωστόσο, ότι ο ΓΚΠΔ προβλέπει διαφορετικές νομικές βάσεις για την επεξεργασία προσωπικών δεδομένων. Για δημόσιους φορείς, μεταξύ άλλων, μπορεί να εφαρμοστεί η βάση της εκπλήρωσης καθήκοντος δημοσίου συμφέροντος ή άσκησης δημόσιας εξουσίας.
Ειδικότερα, η Αρχή αναφέρει πως «ειδικά για δημόσιους φορείς και για δεδομένα τα οποία περιλαμβάνουν ειδικές κατηγορίες (άρ. 9 ΓΚΠΔ), η επεξεργασία μπορεί να είναι νόμιμη είτε για συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας (άρ. 6 παρ. 1 γ), είτε εφόσον είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας (άρ. 6 παρ. 1 ε) και παράλληλα εφόσον η επεξεργασία είναι απαραίτητη για λόγους ουσιαστικού δημόσιου συμφέροντος, βάσει διάταξης δικαίου της Ένωσης ή κράτους μέλους με κατάλληλες διασφαλίσεις (άρ. 9 παρ. 2 ζ) ή εφόσον η επεξεργασία είναι απαραίτητη για λόγους δημόσιου συμφέροντος στον τομέα της δημόσιας υγείας βάσει διάταξης δικαίου της Ένωσης ή κράτους μέλους με κατάλληλες διασφαλίσεις (άρ. 9 παρ. 2 θ)».
Η επιλογή της συγκεκριμένης νομικής βάσης, όμως, δεν γίνεται από την Αρχή εκ των προτέρων. Όπως εξηγεί, υπεύθυνος για να προσδιορίσει και να τεκμηριώσει τη νομική βάση της επεξεργασίας είναι ο ίδιος ο υπεύθυνος επεξεργασίας -στην προκειμένη περίπτωση ο αρμόδιος δημόσιος φορέας.
Με άλλα λόγια, το ερώτημα επιστρέφει εκεί από όπου ξεκίνησε: στο υπουργείο Υγείας και στην ΗΔΥΚΑ.
Μέχρι τη στιγμή που γράφονται αυτές οι γραμμές, το υπουργείο Υγείας δεν έχει διευκρινίσει δημοσίως ποια συγκεκριμένη νομική βάση επικαλείται για την αποστολή της καμπάνιας ούτε γιατί το μήνυμα έφτασε και σε πολίτες κάτω των 60.
Δεν γνωρίζουμε επίσης αν η αποστολή σε νεότερους πολίτες ήταν αποτέλεσμα τεχνικού σφάλματος, διαφορετικού σχεδιασμού της λίστας παραληπτών ή κάποιας άλλης διαδικασίας.
Και υπάρχει ένα ακόμη ερώτημα: τι ακριβώς συνέβη με τα δεδομένα επικοινωνίας που χρησιμοποιήθηκαν; Παρέμειναν αποκλειστικά στην κρατική υποδομή ή είχε οποιοσδήποτε συνεργαζόμενος φορέας πρόσβαση σε αυτά;
Η δυνατότητα μιας κρατικής υπηρεσίας να επικοινωνεί άμεσα με εκατομμύρια ανθρώπους μπορεί να είναι εξαιρετικά χρήσιμη. Σε μια επιδημία, έναν καύσωνα ή μια σοβαρή προειδοποίηση δημόσιας υγείας, ένα τέτοιο δίκτυο μπορεί πράγματι να σώσει ζωές.
Αλλά όσο μεγαλώνει η δυνατότητα του κράτους να επικοινωνεί μαζί μας, μεγαλώνει και η ανάγκη να γνωρίζουμε γιατί, πότε και πώς μπορεί να το κάνει.
Το ερώτημα, επομένως, δεν είναι μόνο «γιατί μου έστειλαν ένα email για τη θάλασσα;». Αφορά ποια δεδομένα χρησιμοποιήθηκαν για να αποφασιστεί ότι έπρεπε να το λάβω, για ποιον σκοπό χρησιμοποιήθηκαν, ποιος είχε πρόσβαση σε αυτά και πόσο διαφορετικός είναι αυτός ο σκοπός από εκείνον για τον οποίο τα είχα αρχικά δώσει;
Με την εγγραφή σας, συμφωνείτε με τους Όρους Χρήσης μας (συμπεριλαμβανομένης της παραίτησης από ομαδικές αγωγές και των διατάξεων διαιτησίας) και αναγνωρίζετε την Πολιτική Απορρήτου μας.
