Ransomware στην ΕΕΤΑΑ: Πρόστιμα 350.000 ευρώ για την παραβίαση δεδομένων 2,5 εκατ. προσώπων

Λίγες ημέρες μετά τη δημοσίευση της απόφασής της (ΑΠΔΠΧ 14/2026) για την κυβερνοεπίθεση στο Ελληνικό Ανοικτό Πανεπιστήμιο, η Αρχή Προστασίας Δεδομένων δημοσίευσε μια νέα απόφαση για ένα άλλο σημαντικό περιστατικό παραβίασης δεδομένων που απασχόλησε την κοινή γνώμη: την επίθεση με ransomware στα πληροφοριακά συστήματα της Ελληνικής Εταιρείας Τοπικής Ανάπτυξης και Αυτοδιοίκησης (ΕΕΤΑΑ).

Εμπλεκόμενοι στο συμβάν αυτό, ως εκ τούτου και στον έλεγχο που πραγματοποίησε η εποπτική αρχή, υπήρξαν η ΕΕΤΑΑ, που ενεργούσε ως εκτελούσα την επεξεργασία, αλλά και το Υπουργείο Κοινωνικής Συνοχής και Οικογένειας (ΥΚΟΙΣΟ), το οποίο υπό την ιδιότητα του υπευθύνου επεξεργασίας, είχε αναθέσει στην ΕΕΤΑΑ την πραγματοποίηση των επίμαχων πράξεων επεξεργασίας.

Η Αρχή αναγνώρισε την ευθύνη αμφοτέρων των εμπλεκομένων φορέων, τόσο στο πλαίσιο τήρησης των απαιτήσεων ασφαλείας, όσο και ως προς την απουσία συμφωνητικού για την επεξεργασία που γινόταν για λογαριασμό του ΥΚΟΙΣΟ, επιβάλλοντας διοικητικό πρόστιμο ύψους 200.000 ευρώ στο Υπουργείο και 150.000 ευρώ στην Εταιρεία.

Η επίθεση και τα δεδομένα 2,5 εκατ. προσώπων

Η επίθεση ransomware εκδηλώθηκε σε δύο φάσεις, από την 1η έως την 5η Μαρτίου 2025. Ως αποτέλεσμα, κρυπτογραφήθηκαν και ενδεχομένως μεταφορτώθηκαν ή υπεκλάπησαν βάσεις δεδομένων που χρησιμοποιούνταν για τα προγράμματα «Βρεφονηπιακοί Σταθμοί» και «Νταντάδες της Γειτονιάς».

Ιδιαίτερα μεγάλη ήταν η έκταση της παραβίασης στο πρώτο πρόγραμμα, καθώς τα δεδομένα κάλυπταν περίοδο περίπου δέκα ετών και αφορούσαν, κατά προσέγγιση, 700.000 αιτήσεις και 2,5 εκατ. πρόσωπα.

Μεταξύ των δεδομένων περιλαμβάνονταν ονοματεπώνυμα, ΑΦΜ, ΑΜΚΑ, στοιχεία επικοινωνίας και εισοδήματος, οικογενειακή και εργασιακή κατάσταση, τραπεζικοί λογαριασμοί, αλλά και ενδείξεις αναπηρίας και σχετικά πιστοποιητικά. Η Αρχή συνεκτίμησε ιδιαίτερα τόσο τον εξαιρετικά μεγάλο αριθμό υποκειμένων όσο και τη διακινδύνευση δεδομένων ειδικών κατηγοριών.

Παρωχημένο σύστημα και γνωστή ευπάθεια

Ως βασικό παράγοντα που επέτρεψε την κυβερνοεπίθεση, η Αρχή εντόπισε τη λειτουργία παλαιού διακομιστή εφαρμογών, ο οποίος χρησιμοποιούσε παρωχημένη τεχνολογία και παρουσίαζε χαμηλό επίπεδο ασφάλειας. Η συγκεκριμένη τεχνική ευπάθεια, την οποία εκμεταλλεύτηκαν οι επιτιθέμενοι, ήταν, κατά την κρίση της Αρχής, γνωστή στην κοινότητα κυβερνοασφάλειας, ευλόγως προβλέψιμη και τεχνικά απλή στην εκμετάλλευσή της με συνήθεις μεθόδους κυβερνοεπίθεσης.

Σύμφωνα με το ιστορικό της απόφασης, η ΕΕΤΑΑ είχε ήδη αντιληφθεί πριν από το περιστατικό τα προβλήματα που δημιουργούσε η παλαιότητα των πληροφοριακών υποδομών της. Όπως υποστήριξε, περίπου τρία χρόνια πριν από την επίθεση είχε αναθέσει σε εξειδικευμένη εταιρεία κυβερνοασφάλειας τη διενέργεια ελέγχων ευπαθειών και την παροχή συμβουλευτικών υπηρεσιών. Τα πρώτα πορίσματα, τα οποία έλαβε προφορικά περί τα τέλη του 2022, χαρακτηρίστηκαν από την ίδια ως ανησυχητικά και κατέδειξαν την ανάγκη άμεσης αναβάθμισης των υποδομών ΤΠΕ και ενίσχυσης της ασφάλειας των συστημάτων και των δεδομένων.

Η ΕΕΤΑΑ ισχυρίστηκε ακόμη ότι, μετά τις διαπιστώσεις αυτές, τα στελέχη Πληροφορικής, ο Υπεύθυνος Προστασίας Δεδομένων και η Διοίκησή της ξεκίνησαν επαφές με τα αρμόδια Υπουργεία, μεταξύ των οποίων και το Υπουργείο Κοινωνικής Συνοχής και Οικογένειας, προκειμένου να εξασφαλιστούν οι αναγκαίοι οικονομικοί πόροι. Επικαλέστηκε μάλιστα ως αποτέλεσμα των ενεργειών αυτών την προγραμματική συμφωνία που υπογράφηκε στις 21 Οκτωβρίου 2024 με την Κοινωνία της Πληροφορίας για τον «Ψηφιακό Μετασχηματισμό της ΕΕΤΑΑ». Το σχετικό τεχνικό δελτίο, ωστόσο, υποβλήθηκε μόλις στις 21 Ιανουαρίου 2025 και το έργο δεν είχε προλάβει να υλοποιηθεί όταν σημειώθηκε η επίθεση, περίπου έναν μήνα αργότερα.

Παράλληλα, η ΕΕΤΑΑ υποστήριξε ότι δεν μπορούσε να θέσει εκτός λειτουργίας τα παρωχημένα συστήματα, καθώς αυτά εξυπηρετούσαν προγράμματα δημοσίου συμφέροντος και η απόφαση για τη διακοπή τους ανήκε στον υπεύθυνο επεξεργασίας και όχι στην ίδια ως εκτελούσα την επεξεργασία. Επικαλέστηκε επίσης την εξάρτησή της από κρατική χρηματοδότηση, τις ελλείψεις προσωπικού και το γεγονός ότι δεν διέθετε η ίδια τους σημαντικούς οικονομικούς πόρους που απαιτούνταν για τον συνολικό εκσυγχρονισμό των υποδομών της.

Οι ισχυρισμοί αυτοί δεν έγιναν δεκτοί από την Αρχή. Ως προς την υποτιθέμενη ενημέρωση του ΥΚΟΙΣΟ για την ανάγκη αναβάθμισης των συστημάτων, η Αρχή επισήμανε ότι δεν προσκομίστηκε τεκμηρίωση σχετικής επικοινωνίας, ενώ το ίδιο το Υπουργείο αρνήθηκε ότι είχε λάβει τέτοια ενημέρωση. Κυρίως, όμως, η Αρχή διαχώρισε το ευρύτερο σχέδιο ψηφιακού μετασχηματισμού από την υποχρέωση αντιμετώπισης της συγκεκριμένης γνωστής ευπάθειας που επέτρεψε την επίθεση.

Κατά την απόφαση, η υποχρέωση του άρθρου 32 ΓΚΠΔ δεν εξαντλείται στην αρχική εγκατάσταση μέτρων ασφάλειας, αλλά προϋποθέτει συνεχή επικαιροποίησή τους, διαχείριση των ευπαθειών και απόσυρση παρωχημένων συστημάτων. Η Αρχή απέρριψε τόσο την επίκληση του δημοσίου συμφέροντος όσο και την έλλειψη πόρων ως λόγους απαλλαγής από την ευθύνη. Σημείωσε, μάλιστα, ότι δεν προέκυψε πως η αντιμετώπιση της συγκεκριμένης ευπάθειας συνεπαγόταν κόστος τέτοιου ύψους ώστε να είχε αξιολογηθεί και να είχε απορριφθεί για οικονομικούς λόγους.

Με βάση τα δεδομένα αυτά, έκρινε ότι ο κίνδυνος ήταν προβλέψιμος και αποτρέψιμος και χαρακτήρισε τη μη λήψη των αναγκαίων μέτρων ως τουλάχιστον βαριά αμέλεια. Διαφορετικά αξιολόγησε τον χειρισμό μετά την επίθεση: έκρινε επαρκείς τις ενέργειες της ΕΕΤΑΑ για τον έλεγχο και καθαρισμό των συστημάτων, την επαναφορά των δεδομένων από αντίγραφα ασφαλείας, την αποκατάσταση της λειτουργίας τους και τη λήψη πρόσθετων μέτρων για την αποτροπή αντίστοιχου περιστατικού στο μέλλον.

Ευθύνη και του Υπουργείου για την ασφάλεια

Η Αρχή δεν περιόρισε, ωστόσο, την ευθύνη στην ΕΕΤΑΑ. Έκρινε ότι το ΥΚΟΙΣΟ, ως υπεύθυνος επεξεργασίας, όφειλε να χρησιμοποιεί εκτελούντα που παρείχε επαρκείς εγγυήσεις και να ελέγχει ουσιαστικά το επίπεδο ασφάλειας των συστημάτων του.

Σύμφωνα με την απόφαση, το Υπουργείο δεν πραγματοποίησε ουσιαστική αξιολόγηση της ασφάλειας των πληροφοριακών συστημάτων της ΕΕΤΑΑ ούτε διασφάλισε την ύπαρξη κατάλληλων τεχνικών και οργανωτικών μέτρων. Η ευθύνη του υπευθύνου επεξεργασίας για την τήρηση του άρθρου 32, επισημαίνεται, δεν μεταβιβάζεται στον εκτελούντα.

Χωρίς ενεργή σύμβαση του άρθρου 28 ΓΚΠΔ

Ξεχωριστή παράβαση διαπίστωσε η Αρχή ως προς το συμβατικό πλαίσιο που ρύθμιζε τη σχέση μεταξύ ΥΚΟΙΣΟ και ΕΕΤΑΑ. Ειδικότερα, κατά τον χρόνο της κυβερνοεπίθεσης δεν υπήρχε ενεργή σύμβαση επεξεργασίας για το πρόγραμμα των βρεφονηπιακών σταθμών, καθώς το σχετικό σύμφωνο για την επεξεργασία προσωπικών δεδομένων είχε υπογραφεί στις 4 Νοεμβρίου 2022 και αφορούσε την περίοδο 2022-2023.

Το Υπουργείο υποστήριξε ότι, παρά την ετήσια έκδοση νέων κοινών υπουργικών αποφάσεων για την υλοποίηση του προγράμματος, η σύμβαση του 2022 εξακολουθούσε ουσιαστικά να καλύπτει τις υποχρεώσεις των μερών. Κατά τον ισχυρισμό του, το πρόγραμμα εφαρμοζόταν διαδοχικά, συνεχώς και αδιαλείπτως, ενώ οι ΚΥΑ που εκδίδονταν κάθε χρόνο είχαν αντίστοιχο περιεχόμενο και η ανάγκη ανανέωσής τους συνδεόταν κυρίως με διοικητικά και χρηματοδοτικά ζητήματα. Παράλληλα, τόσο οι υποχρεώσεις προστασίας των προσωπικών δεδομένων όσο και το πληροφοριακό σύστημα της ΕΕΤΑΑ παρέμεναν κατ’ ουσίαν τα ίδια.

Η Αρχή δεν αποδέχθηκε τη θέση αυτή, κρίνοντας ότι για την περίοδο κατά την οποία συνέβη η παραβίαση δεν υφίστατο εν ισχύ σύμβαση ή άλλη νομική πράξη που να πληροί τις απαιτήσεις του άρθρου 28 παρ. 3 ΓΚΠΔ. Τόνισε μάλιστα ότι η ύπαρξη τέτοιας σύμβασης δεν αποτελεί απλή τυπική προϋπόθεση, αλλά ουσιώδη εγγύηση για τη νομιμότητα της επεξεργασίας, καθώς μέσω αυτής καθορίζονται οι εντολές του υπευθύνου επεξεργασίας, οι υποχρεώσεις ασφάλειας του εκτελούντος, καθώς και οι μηχανισμοί ελέγχου και λογοδοσίας.

Κατά την Αρχή, το ΥΚΟΙΣΟ, ως υπεύθυνος επεξεργασίας, επέτρεψε την επεξεργασία προσωπικών δεδομένων χωρίς να έχει εξασφαλίσει την απαιτούμενη συμβατική δέσμευση της ΕΕΤΑΑ και χωρίς να έχει καθορίσει με σαφήνεια τις υποχρεώσεις της. Η απουσία ενεργής σύμβασης συνδέθηκε, μάλιστα, από την Αρχή και με το ζήτημα της ασφάλειας, καθώς έκρινε ότι στέρησε από τη μεταξύ τους σχέση σαφείς υποχρεώσεις ασφάλειας και μηχανισμούς ελέγχου και λογοδοσίας και, ως εκ τούτου, «συνέβαλε ουσιωδώς» στο περιστατικό.

Ευθύνη καταλογίστηκε, ωστόσο, και στην ΕΕΤΑΑ. Η Αρχή δέχθηκε ότι η υποχρέωση ύπαρξης της σύμβασης του άρθρου 28 παρ. 3 αφορά αμφότερα τα μέρη και ότι ο εκτελών την επεξεργασία όφειλε και αυτός να διασφαλίσει ότι η επεξεργασία πραγματοποιείται βάσει έγκυρης σύμβασης. Έτσι, έκρινε ότι και η ΕΕΤΑΑ παραβίασε τον ΓΚΠΔ, επειδή συνέχισε να επεξεργάζεται προσωπικά δεδομένα χωρίς να υπάρχει εν ισχύ συμβατικό πλαίσιο που να ρυθμίζει τους όρους της επεξεργασίας.

Για την παράβαση αυτή επιβλήθηκε χωριστό πρόστιμο 50.000 ευρώ σε καθένα από τα δύο μέρη, ενώ ΥΚΟΙΣΟ και ΕΕΤΑΑ διατάχθηκαν να συνάψουν την απαιτούμενη σύμβαση του άρθρου 28 ΓΚΠΔ εντός ενός μήνα από τη λήψη της απόφασης και να ενημερώσουν σχετικά την Αρχή.

Πρόστιμα και εντολές συμμόρφωσης

Για τις παραβάσεις που διαπιστώθηκαν, η Αρχή επέβαλε διοικητικά πρόστιμα συνολικού ύψους 350.000 ευρώ. Ειδικότερα, στο Υπουργείο Κοινωνικής Συνοχής και Οικογένειας επιβλήθηκε πρόστιμο 150.000 ευρώ για την παραβίαση της αρχής της ακεραιότητας και εμπιστευτικότητας του άρθρου 5 παρ. 1 στοιχ. στ ́, σε συνδυασμό με το άρθρο 32 παρ. 1 ΓΚΠΔ, καθώς και πρόστιμο 50.000 ευρώ για την έλλειψη ενεργής σύμβασης με τον εκτελούντα την επεξεργασία, κατά παράβαση του άρθρου 28 παρ. 3 ΓΚΠΔ.

Στην ΕΕΤΑΑ, ως εκτελούσα την επεξεργασία, επιβλήθηκε πρόστιμο 100.000 ευρώ για την παραβίαση του άρθρου 32 παρ. 1 ως προς την ασφάλεια της επεξεργασίας και επιπλέον 50.000 ευρώ για την παράβαση του άρθρου 28 παρ. 3.

Κατά την επιμέτρηση των προστίμων, η Αρχή έλαβε ιδίως υπόψη την εξαιρετικά μεγάλη έκταση του περιστατικού και το είδος των δεδομένων που τέθηκαν σε κίνδυνο. Η παραβίαση αφορούσε περίπου 2,5 εκατομμύρια πρόσωπα και περιλάμβανε δεδομένα ειδικών κατηγοριών, η αποκάλυψη των οποίων μπορούσε να συνεπάγεται σοβαρούς κινδύνους για τα υποκείμενα, ενώ συνεκτιμήθηκε και το ότι η επεξεργασία των συγκεκριμένων δεδομένων συνδεόταν με τις κύριες δραστηριότητες τόσο του Υπουργείου όσο και της ΕΕΤΑΑ.

Πέραν των χρηματικών προστίμων, η Αρχή άσκησε και τις διορθωτικές εξουσίες της. Έδωσε εντολή στο ΥΚΟΙΣΟ και στην ΕΕΤΑΑ να συνάψουν εντός ενός μήνα την απαιτούμενη σύμβαση του άρθρου 28 ΓΚΠΔ και να ενημερώσουν σχετικά την Αρχή.

Παράλληλα, διέταξε την ΕΕΤΑΑ να ολοκληρώσει, επίσης εντός ενός μήνα, το σύνολο των μέτρων ασφάλειας που η ίδια είχε ήδη προγραμματίσει μετά την κυβερνοεπίθεση και τα οποία περιγράφονται στο εμπιστευτικό παράρτημα της απόφασης. Η εταιρεία υποχρεώθηκε όχι μόνο να ολοκληρώσει την εφαρμογή τους, αλλά και να προσκομίσει στην Αρχή την κατάλληλη τεκμηρίωση για την υλοποίησή τους.

Το πλήρες κείμενο της απόφασης ΑΠΔΠΧ 15/2026 είναι διαθέσιμο στον ιστότοπο της Αρχής.