Resolución de la Autoridad Helénica de Protección de Datos sobre una violación de datos en la que está implicada E.E.T.A.A. S.A. en su calidad de encargado del tratamiento para el Ministerio de Cohesión Social y Asuntos Familiares

La au­to­ri­dad de pro­tec­ción de datos de Gre­cia llevó a cabo una in­ves­ti­ga­ción tras un in­ci­den­te de se­gu­ri­dad a gran es­ca­la que im­pac­tó los sis­te­mas in­for­má­ti­cos de la agen­cia en­car­ga­da del de­sa­rro­llo y go­bierno local, los cua­les se em­plea­ban para eje­cu­tar ini­cia­ti­vas del Mi­nis­te­rio de Cohe­sión So­cial y Asun­tos de Fa­mi­lia. El ata­que in­for­má­ti­co com­pro­me­tió bases de datos con in­for­ma­ción per­so­nal de nu­me­ro­sos ciu­da­da­nos, abar­can­do datos de con­tac­to, iden­ti­fi­ca­ción, así como in­for­ma­ción fi­nan­cie­ra y mé­di­ca.

Du­ran­te la in­da­ga­to­ria, la au­to­ri­dad de­ter­mi­nó que el mi­nis­te­rio cum­plió ade­cua­da­men­te con los pro­ce­di­mien­tos de no­ti­fi­ca­ción del in­ci­den­te tanto a los pro­pios afec­ta­dos como al or­ga­nis­mo su­per­vi­sor. No obs­tan­te, se cons­ta­tó que el éxito de la in­tru­sión ci­ber­né­ti­ca es­tu­vo re­la­cio­na­do con el em­pleo per­sis­ten­te de tec­no­lo­gía ob­so­le­ta y pro­tec­cio­nes de­fi­cien­tes por parte de la agen­cia, aun sa­bien­do los ries­gos exis­ten­tes, lo que cons­ti­tu­yó vio­la­cio­nes a las nor­ma­ti­vas de se­gu­ri­dad y fa­llas en la re­gu­la­ción de la re­la­ción con­trac­tual entre el res­pon­sa­ble y el en­car­ga­do del tra­ta­mien­to.

Como re­so­lu­ción al caso, el or­ga­nis­mo re­gu­la­dor apli­có mul­tas eco­nó­mi­cas mo­ne­ta­rias a ambas en­ti­da­des in­vo­lu­cra­das y les or­de­nó for­ma­li­zar un acuer­do con­for­me a la nor­ma­ti­va vi­gen­te sobre el tra­ta­mien­to de datos. Asi­mis­mo, se exi­gió la im­ple­men­ta­ción total de las ac­cio­nes pla­nea­das para op­ti­mi­zar la se­gu­ri­dad de su in­fra­es­truc­tu­ra tec­no­ló­gi­ca.