Κυβερνοεπίθεση στην ΕΕΤΑΑ: Πρόστιμα 350.000 ευρώ για δεδομένα έως 2,5 εκατ. πολιτών

Μια υπόθεση που αφορά προσωπικά δεδομένα έως και 2,5 εκατομμυρίων ανθρώπων, μεταξύ των οποίων παιδιά, γονείς και άτομα με αναπηρία, φέρνει στο προσκήνιο σοβαρά ερωτήματα όχι μόνο για την κυβερνοασφάλεια των δημόσιων συστημάτων, αλλά και για την πολιτική και διοικητική εποπτεία τους.

Με την απόφαση 15/2026, η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα εξέτασε τις κυβερνοεπιθέσεις που εκδηλώθηκαν από την 1η έως την 5η Μαρτίου 2025 στα πληροφοριακά συστήματα της Ελληνικής Εταιρείας Τοπικής Ανάπτυξης και Αυτοδιοίκησης, της γνωστής ΕΕΤΑΑ. Τα συστήματα χρησιμοποιούνταν για την υλοποίηση του προγράμματος των βρεφονηπιακών σταθμών και της πιλοτικής δράσης «Νταντάδες της Γειτονιάς».

Σύμφωνα με την απόφαση, η δεκαετής βάση του προγράμματος μπορεί να περιλάμβανε περίπου 700.000 αιτήσεις και προσωπικά δεδομένα 2,5 εκατομμυρίων υποκειμένων. Μεταξύ αυτών περιλαμβάνονται ΑΦΜ, ΑΜΚΑ, στοιχεία εισοδήματος, οικογενειακής και εργασιακής κατάστασης, στοιχεία επικοινωνίας, ακόμη και πληροφορίες για αναπηρία και σχετικά πιστοποιητικά.

Για τη δράση «Νταντάδες της Γειτονιάς» επηρεάζονταν επιπλέον δεδομένα περίπου 700 προσώπων, στα οποία περιλαμβάνονταν ακόμη και αριθμοί τραπεζικών λογαριασμών IBAN.

Η Αρχή μιλά για «τουλάχιστον βαριά αμέλεια»

Η Αρχή διαπίστωσε ότι λειτουργούσε παλαιός διακομιστής εφαρμογών, παρωχημένης τεχνολογίας και χαμηλού επιπέδου ασφαλείας.

Η σχετική ευπάθεια ήταν, κατά την Αρχή, γνωστή στην κοινότητα κυβερνοασφάλειας, η εκμετάλλευσή της ήταν τεχνικά απλή και ο κίνδυνος προβλέψιμος και αποτρέψιμος. Για τον λόγο αυτό η απόφαση χαρακτηρίζει τη μη λήψη των απαιτούμενων μέτρων ως «τουλάχιστον βαριά αμέλεια».

Η Αρχή απέρριψε μάλιστα το επιχείρημα περί έλλειψης πόρων, επισημαίνοντας ότι οι οικονομικοί περιορισμοί δεν αίρουν την υποχρέωση συμμόρφωσης με τις απαιτήσεις ασφάλειας του ΓΚΠΔ.

Χωρίς ενεργή σύμβαση την περίοδο της παραβίασης

Ακόμη σοβαρότερη είναι η διαπίστωση ότι, παρότι για το πρόγραμμα των βρεφονηπιακών σταθμών εκδίδονταν κάθε χρόνο σχετικές υπουργικές αποφάσεις, την περίοδο της κυβερνοεπίθεσης δεν υπήρχε ενεργή σύμβαση μεταξύ του Υπουργείου Κοινωνικής Συνοχής και Οικογένειας και της ΕΕΤΑΑ για την επεξεργασία των προσωπικών δεδομένων. Η τελευταία σχετική σύμβαση, σύμφωνα με την Αρχή, αφορούσε την περίοδο 2022-2023. Η Αρχή δεν αντιμετώπισε την έλλειψη αυτή ως απλή γραφειοκρατική παράλειψη. Έκρινε ότι η σύμβαση αποτελεί ουσιώδη εγγύηση νομιμότητας, ασφάλειας, ελέγχου και λογοδοσίας και σημείωσε ότι η απουσία της «συνέβαλε ουσιωδώς στο περιστατικό».

Για την υπόθεση επεβλήθησαν τα εξής πρόστιμα:

• 200.000 ευρώ για το Υπουργείο Κοινωνικής Συνοχής και Οικογένειας (150.000 ευρώ για τις παραβάσεις που αφορούν την ασφάλεια και 50.000 ευρώ για την έλλειψη της απαιτούμενης σύμβασης).
• 150.000 ευρώ για την ΕΕΤΑΑ (100.000 ευρώ για την παράβαση των υποχρεώσεων ασφάλειας και 50.000 ευρώ για την έλλειψη ενεργής σύμβασης).

Η ΕΕΤΑΑ ως οργανισμός εμφανίζεται ως εποπτευόμενος φορέας του Υπουργείου Εσωτερικών. Σήμερα υπουργός Εσωτερικών είναι ο Θοδωρής Λιβάνιος.  Για τη συγκεκριμένη υπόθεση όμως, η Αρχή προσδιορίζει ρητά ως “υπεύθυνο επεξεργασίας” το Υπουργείο Κοινωνικής Συνοχής και Οικογένειας και ως “εκτελούσα την επεξεργασία” την ΕΕΤΑΑ. Μάλιστα, η Αρχή υπογραμμίζει ότι η ευθύνη του υπεύθυνου επεξεργασίας δεν μεταβιβάζεται στον εξωτερικό φορέα και ότι το Υπουργείο όφειλε να έχει ελέγξει ουσιαστικά το επίπεδο ασφάλειας των συστημάτων της ΕΕΤΑΑ.

Αυτό σημαίνει ότι, σε επίπεδο πολιτικής ευθύνης για τη συγκεκριμένη δράση, το επίμαχο υπουργείο είναι το Υπουργείο Κοινωνικής Συνοχής και Οικογένειας.

Τις ημέρες της κυβερνοεπίθεσης, από 1 έως 5 Μαρτίου 2025, υπουργός Κοινωνικής Συνοχής και Οικογένειας ήταν η Σοφία Ζαχαράκη. Η Δόμνα Μιχαηλίδου παρέλαβε το υπουργείο στις 15 Μαρτίου 2025, δέκα ημέρες μετά το τέλος του περιστατικού.