Μια δεύτερη ανάγνωση των συμβάσεων και συμφωνητικών που έχει υπογράψει το Υπουργείο Παιδείας με την Cisco και δημοσιεύθηκαν χθες εξειδικεύει τα ερωτήματα γύρω από το πώς αυτό χειρίστηκε το θέμα προστασίας προσωπικών δεδομένων και μεταδεδομένων που θα προκύψουν από την επεξεργασία των πρώτων.

Η σχετική με το ζήτημα “μελέτη εκτίμησης αντικτύπου” ολοκληρώθηκε τον Μάιο του 2020, δύο μήνες μετά την υπογραφή της πρώτης σύμβασης μεταξύ Cisco και υπουργείου, αλλά και των κείμενων που θέτουν τους όρους προστασίας προσωπικών δεδομένων. Σύμφωνα με την ‘Εφημερίδα των Συντακτών” όταν δημοσιεύεται δυο μήνες αργότερα, στις 7 Αυγούστου διαπιστώνεται ότι είναι ανυπόγραφη και χωρίς αριθμό πρωτοκόλλου. Τον επόμενο μήνα, Σεπτέμβριο του 2020, η Αρχή Προστασίας Δεδομένων εκδίδει γνωμοδότηση η οποία καταλήγει ότι “η διενεργηθείσα ΕΑΠΔ (μελέτη εκτίμησης αντικτύπου) δεν έχει εξετάσει με πληρότητα μια σειρά από παράγοντες και κινδύνους σε σχέση με τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων” και καλεί το Υπουργείο να “τροποποιήσει και συμπληρώσει αναλόγως την ανωτέρω ΕΑΠΔ σε αποκλειστική προθεσμία τριών (3) μηνών”.

Από τα έγγραφα που δημοσιοποίησε το Υπουργείο η τροποποίηση των όρων που έχει ζητηθεί από την Αρχή Προστασίας Δεδομένων υπογράφεται στις 4 Δεκεμβρίου του 2020 και ενώ έχει μεσολαβήσει η υπογραφή δύο ακόμη εκδοχών της σύμβασης με την Cisco στις 11 Σεπτεμβρίου και 9 Νοεμβρίου.

Η ισχύς του τροποποιητικου κειμένου θα επεκταθεί εκ νέου με νέο έγγραφο την 1η Φεβρουαρίου του 2021, για να καλύψει δυο ακόμη συμφωνητικά που υπογράφει το υπουργείο με την Cisco στις αρχές Γενάρη, καθίσταται έτσι κομβικό, αφού φαίνεται να διέπει όλα τα προηγούμενα και επόμενα κείμενα που υπογράφει το υπουργείο.

Ιδιαίτερη σημασία έχει το δεύτερο τμήμα του κειμένου, το οποίο αναδιατυπώνει τους όρους προστασίας προσωπικών δεδομένων που παρακρατεί η Cisco κατά την παροχή υπηρεσιών. Αυτό περιλαμβάνει αυτοτελή διάταξη που απαγορεύει την χρήση προσωπικών δεδομένων για προωθητικές ή εμπορικές ενέργειες που δεν συνδέονται με το σκοπό της σύμβασης. Ωστόσο το λεκτικό της συγκεκριμένης διάταξης (2.2) δεν φαίνεται να καλύπτει και την χρήση επεξεργασμένων και απο-προσωποποιημένων (de-identified) δεδομένων (administrative-telemetry-support data), τα οποία η εταιρεία έχει το δικαίωμα να αξιοποιήσει εμπορικά για απροσδιόριστο χρονικό διάστημα σύμφωνα με το αρχικό συμφωνητικό προστασίας δεδομένων του Μαρτίου 2013.

Αυτό οδηγεί αναπόφευκτα σε μια σειρά από ερωτήματα, τα οποία η πολιτική προϊστάμενος οφείλει να ξεκαθαρίσει, αποσαφηνίζοντας εάν προτεραιοποίησε το δημόσιο συμφέρων ή εάν εκχώρησε αχρείαστα επιπλέον δικαιώματα στην εταιρεία.

Ποιο το κενό προστασίας δεδομένων και ποια τα επιπλέον δικαιώματα που παραχωρήθηκαν στην εταιρεία μεταξύ 13 Μαρτίου του 2020 και 4 Δεκεμβρίου του 2020;

Ποια είναι τα δεδομένα που έχουν γίνει αντικείμενο επεξεργασίας με όρους που αργότερα τροποποιήθηκαν και τι αριθμό πολιτών αφορούν;

Για απέτυχε η μελέτη αντικτύπου να εντοπίσει τους κινδύνους; Γιατί μεσολάβησαν τρεις μήνες μέχρι να γνωμοδοτήσει η Αρχή Προστασίας Δεδομένων και γιατί χρειάστηκαν άλλοι τρεις από τη γνωμοδότηση της μέχρι την τροποποίηση των όρων προστασίας προσωπικών δεδομένων εκ νέου;

Καλύπτει το τροποποιητικό της 4ης Δεκεμβρίου και τα επεξεργασμένα και από-προσωποποιημένα (de-identified) δεδομένα (administratvive-telemetry-support data);

Εφόσον η εταιρεία αποδέχτηκε επιπλέον ρυθμιστικούς όρους σε σχέση με την κατοχή και εμπορική αξιοποίηση δεδομένων, γιατί αυτοί δεν ίσχυαν από την αρχική σύμβαση; Πρόκειται για αστοχία ή αδυναμία του υπουργείου Παιδείας να επιτευχθούν ευνοϊκότεροι όροι από την αρχή της συνεργασίας; Τι άλλαξε και αυτοί έγιναν αποδεκτοί το Δεκέμβριο του 2020;