Τετάρτη 25 Οκτωβρίου 2017

Κίνδυνοι για τα προσωπικά δεδομένα από το ηλεκτρονικό εισιτήριο

Σας θυμίζουμε παλαιότερο σχόλιό μας για τον ΑΜΚΑ, το Ηλεκτρονικό Εισιτήριο και την ανέπαφη χρήση του: Ηλεκτρονικό Εισιτήριο ΜΜΜ: Περί ΑΜΚΑ, "ανωνύμων" μετακινήσεων και άλλων τεχνολογικών "καινών δαιμονίων" http://id-ont.blogspot.gr/2017/08/blog-post_10.html
 
γράφει ο Χρήστος Τσίχλης, Δικηγόρος Αθηνών.
 
Για την έκδοση προσωποποιημένης κάρτας από Τερματικό Έκδοσης Καρτών (ΤΕΚ) απαιτείται o επιβάτης να προσκομίσει επίσημο έγγραφο που να προσδιορίζει τον αριθμό ΑΜΚΑ, την αστυνομική του ταυτότητα ή εναλλακτικά, για μη Έλληνες υπηκόους, απαιτείται διαβατήριο και η εισαγωγή ενός 8ψήφιου κωδικού. Στην αποφασή της,  εμμένει η Αρχή Προστασίας Δεδομένων <http://www.cnn.gr/eidhseis/tag/27976/arxh-prostasias-proswpikwn-dedomenwn> Προσωπικού Χαρακτήρα, αναφορικά με το ηλεκτρονικό εισιτήριο <http://www.cnn.gr/eidhseis/tag/38421/hlektroniko-eisithrio> για τις εταιρείες του Ομίλου ΟΑΣΑ <http://www.cnn.gr/eidhseis/tag/1014/oasa>

Επισημαίνει για ακόμη μία φορά τον κίνδυνο να θιγούν ελευθερίες και δικαιώματα από την εφαρμογή του, αναφέροντας συγκεκριμένα:: «Η τήρηση –είτε στο ίδιο το εισιτήριο (ηλεκτρονική κάρτα) είτε στη βάση δεδομένων- του δρομολογίου που πραγματοποιήθηκε, της ημερομηνίας και ώρας αυτού καθώς και του αριθμού του ηλεκτρονικού εισιτηρίου παραπέμπουν σε συγκεκριμένο επιβάτη, ο προσδιορισμός (ταυτοποίηση) του οποίου –με τη μορφή προσωποποιημένης πληροφόρησης- καθίσταται δυνατός εφόσον στο αρχείο που τηρεί ο υπεύθυνος επεξεργασίας υπάρχουν προσωπικά δεδομένα ταυτοποίησης του κατόχου του. Με αυτόν τον τρόπο, οι μετακινήσεις κάθε επιβάτη παύουν πλέον να είναι ανώνυμες, με αποτέλεσμα να θίγεται υπέρμετρα η ελευθερία κίνησης ή κυκλοφορίας της οποίας αναπόσπαστο μέρος συνιστά το δικαίωμα της ανώνυμης μετακίνησης».

Η Αρχή στην αποφασή της κάνει ιδιαίτερη αναφορά στο γεγονός ότι υπάρχουν περιπτώσεις στις οποίες νόμος ορίζει περιορισμούς/εξαιρέσεις για λόγους δημοσίου συμφέροντος (πχ. υγειονομικοί, δημόσιας τάξης και ασφάλειας, δίωξης ή πρόληψης αξιόποινων πράξεων) αλλά υπογραμμίζει ότι «την προκειμένη δε περίπτωση τέτοιους λόγους δεν επικαλείται ο ΟΑΣΑ στους επιδιωκόμενους σκοπούς επεξεργασίας».Παράλληλα, τονίζει ότι οι μετακινήσεις των επιβατών χάνουν με το προσωποποιημένο ηλεκτρονικό εισιτήριο την ανωνυμία τους κι αυτό θίγει το δικαίωμα της πληροφοριακής αυτοδιάθεσης και το δικαίωμα στην ιδιωτική ζωή. Η Αρχή αναφέρει επίσης ότι η οποιαδήποτε συσχέτιση του μοναδικού σειριακού αριθμού που υπάρχει σε κάθε κάρτα με τον κάτοχό της επιτρέπει την εξαγωγή πλήρους πληροφόρησης για τις ακριβείς διαδρομές που αυτός πραγματοποιεί.

Η Αρχή θεωρεί ότι τα δεδομένα στην επιφάνεια της κάρτας (ονοματεπώνυμο, φωτογραφία) και στο chip της κάρτας (αριθμός κάρτας, προφίλ (τύπος) χρήστη και ημερομηνία λήξης δικαιώματος) είναι κατ’ αρχάς πρόσφορα σε σχέση με τους επιδιωκόμενους σκοπούς, θα πρέπει όμως, τα δεδομένα στο chip της κάρτας να τηρούνται με ασφάλεια (ιδίως, κρυπτογραφημένα), προκειμένου, πχ, ενδεχόμενη απώλεια της κάρτας να μη μπορεί να επιτρέψει σε κάποιον τρίτο να ανακαλύψει και το ιστορικό των μετακινήσεών του. Η εκπόνηση εκτίμησης επιπτώσεων (data protection impact assessment) πριν από την επεξεργασία προσωπικών δεδομένων είναι μια ιδιαίτερα χρήσιμη διαδικασία για την προστασία των προσωπικών δεδομένων. Ο νέος Γενικός Κανονισμός για την Προστασία Δεδομένων, που θα τεθεί σε εφαρμογή στις 25/05/2018, την καθιστά υποχρεωτική σε κάθε περίπτωση που ένα είδος επεξεργασίας, ιδίως με χρήση νέων τεχνολογιών και συνεκτιμώντας τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων. Στην περίπτωση του ηλεκτρονικού εισιτηρίου, η Αρχή θεώρησε ότι είναι ήδη σκόπιμη η εκπόνηση μελέτης επιπτώσεων, λαμβάνοντας ιδίως υπόψη τον καθολικά υποχρεωτικό χαρακτήρα του νέου συστήματος -βάσει της σχετικής πρόβλεψης του ΟΑΣΑ- καθώς και το γεγονός ότι αφορά μεγάλο αριθμό υποκειμένων δεδομένων, δηλαδή το σύνολο του επιβατικού κοινού.

Για την έκδοση προσωποποιημένης κάρτας από Τερματικό Έκδοσης Καρτών (ΤΕΚ) απαιτείται o επιβάτης να προσκομίσει:
– επίσημο έγγραφο που να προσδιορίζει τον αριθμό ΑΜΚΑ,
– την αστυνομική του ταυτότητα ή εναλλακτικά, για μη Έλληνες υπηκόους, απαιτείται διαβατήριο,
– εισαγωγή 8ψήφιου κωδικού.

Ο εκδότης εισάγει στην εφαρμογή του ΤΕΚ τον ΑΜΚΑ, το όνομα, το επώνυμο καθώς και το μήνα και έτος γέννησης. Στη συνέχεια προχωρά σε επιβεβαίωση της ταυτότητας του επιβάτη, ο οποίος εισάγει τον 8ψήφιο κωδικό ασφαλείας. Τέλος, ο εκδότης προχωρά σε λήψη φωτογραφίας του επιβάτη (μέσω της φωτογραφικής μηχανής που διαθέτει το ΤΕΚ ή μέσω σάρωσης προεκτυπωμένης φωτογραφίας) και εκδίδει την έξυπνη κάρτα. 

Κατά τη διαδικασία έκδοσης της κάρτας το σύστημα παράγει και αποθηκεύει στη βάση δεδομένων το hashed value που προκύπτει από το συνδυασμό ΑΜΚΑ και κωδικού, καθώς και τον μήνα και έτος γέννησης.
 
Η προσωποποιημένη ATH.ENA Card θα υποκαταστήσει τις υφιστάμενες μηνιαίες, τριμηνιαίες, εξαμηνιαίες και ετήσιες κάρτες του ΟΑΣΑ, τα μειωμένα και τα ελευθέρας. Με άλλα λόγια, απευθύνεται στους συστηματικούς χρήστες των ΜΜΜ. Η έκδοση της προσωποποιημένης ηλεκτρονικής κάρτας (προσωποποιημένη ATH.ENA Card) γίνεται ήδη σε ορισμένους σταθμούς του μετρό και του ηλεκτρικού και ειδικότερα, στους σταθμούς Σύνταγμα, Αγ. Μαρίνα, Δ. Πλακεντίας, Ελληνικό, Ανθούπολη, Πειραιάς, Κηφισιά, Ομόνοια και Αττική (οι σταθμοί εμπλουτίζονται) και σε δυο σταθμούς του τραμ (Αγ. Φωτεινή και Σύνταγμα) στο εκδοτήριο της Ο.ΣΥ. στην Όθωνος (Πλ. Συντάγματος).

Προσωπικά δεδομένα είναι *κάθε* πληροφορία που αναφέρεται σε και περιγράφει ένα άτομο, όπως: στοιχεία αναγνώρισης (ονοματεπώνυμο, ηλικία, κατοικία, επάγγελμα, οικογενειακή κατάσταση κλπ.), φυσικά χαρακτηριστικά, εκπαίδευση, εργασία (προϋπηρεσία, εργασιακή συμπεριφορά κλπ), οικονομική κατάσταση (έσοδα, περιουσιακά στοιχεία, οικονομική συμπεριφορά), ενδιαφέροντα, δραστηριότητες, συνήθειες. Το άτομο (φυσικό πρόσωπο) στο οποίο αναφέρονται τα δεδομένα ονομάζεται *υποκείμενο των δεδομένων.*Στην Ελλάδα ισχύει ο Νόμος 2472/1997 για την προστασία των προσωπικών δεδομένων, ο οποίος εποπτεύεται από την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα. Επίσης, ισχύει ο Νόμος 3471/2006 για την προστασία των προσωπικών δεδομένων στις ηλεκτρονικές επικοινωνίες. 

Στην Ευρώπη ισχύουν για τα κράτη-μέλη: 
 ΠΗΓΕΣ:



 
στις