Εμπόδια από την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα επικαλείται ο ΟΑΣΑ για τις καθυστερήσεις στην εφαρμογή του ηλεκτρονικού εισιτηρίου. Το πολυπόθητο «πράσινο φως» από την ανεξάρτητη αρχή δεν έχει δοθεί, παρά το γεγονός ότι έχουν γίνει μικρά βήματα προόδου όπως παραδέχονται και οι δύο πλευρές. Ωστόσο, μάλλον πρόκειται για το μοναδικό σημείο στο οποίο συγκλίνουν ΟΑΣΑ και Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, καθώς για όλα τα υπόλοιπα άλλα λέγονται προφορικώς και άλλα δηλώνονται γραπτώς.
Η απόφαση για τον σχεδιασμό του συστήματος που θα εξυπηρετεί το ηλεκτρονικό εισιτήριο ελήφθη από το 2014. Ο ΟΑΣΑ απευθύνθηκε όμως στην ανεξάρτητη αρχή τον Σεπτέμβριο του 2016, αφού είχε ολοκληρώσει τη δεύτερη φάση του διαγωνισμού που περιελάμβανε και τη σχεδίαση του «προϊόντος». Πηγές από την ανεξάρτητη αρχή σημειώνουν ότι η συνήθης πρακτική περιλαμβάνει το αίτημα για γνωμοδότηση της Αρχής πριν από την οριστική σχεδίαση του προϊόντος (του έξυπνου εισιτηρίου στην προκειμένη), ώστε να καθίσταται εφικτή η παρέμβαση σε περίπτωση που κριθεί αναγκαίο. Εξηγούν ότι προσαρμογή ενός έτοιμου συστήματος στις απαιτήσεις που δεν έχουν ληφθεί υπόψη είναι ιδιαίτερα δύσκολες τεχνικά. Ο ΟΑΣΑ απευθύνθηκε στην Αρχή με σημαντική καθυστέρηση, έχοντας ήδη σχεδιάσει όλες τις λεπτομέρειες των ηλεκτρονικών καρτών με την ελπίδα ότι η Αρχή θα γνωμοδοτούσε θετικά.
Η «Κ» παρουσιάζει σήμερα το χρονολόγιο της επικοινωνίας μεταξύ ΟΑΣΑ και Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, η οποία καταδεικνύει ένα επικοινωνιακό... χάσμα μεταξύ των δύο πλευρών, με τον ΟΑΣΑ να δηλώνει προφορικά ότι συμφωνεί με τις αιτιάσεις της Αρχής και στην πορεία να επανέρχεται γραπτώς με διαφοροποιημένη άποψη.
Στις 15 Σεπτεμβρίου 2016 ο ΟΑΣΑ έστειλε στην Αρχή έγγραφο, με το οποίο ζητούσε τη συλλογή 36 στοιχείων του κατόχου των καρτών απεριορίστων διαδρομών, δηλώνοντας ωστόσο ότι τουλάχιστον τα 13 είναι απαραίτητα και θα πρέπει να συλλέγονται. Μεταξύ αυτών ήταν ο αριθμός ταυτότητας ή ο ΑΜΚΑ, το ονοματεπώνυμο, πατρώνυμο, μητρώνυμο, ημερομηνία γέννησης, δύο αριθμοί τηλεφώνου, διεύθυνση κατοικίας, ηλεκτρονική διεύθυνση, κωδικός χρήστη, ημερομηνία λήξης έκπτωσης (για δικαιούχους επιβάτες) και φωτογραφία κατόχου. Η απάντηση από την Αρχή ήρθε στις 5 Οκτωβρίου και ζητούσε από τον ΟΑΣΑ να αιτιολογήσει την ανάγκη συλλογής και χρήσης για το κάθε ένα από τα δεδομένα. Πρακτικά, ζητήθηκε από τον Οργανισμό να εξηγήσει τι σκοπούς εξυπηρετεί το κάθε δεδομένο. Στις 13 Οκτωβρίου ο ΟΑΣΑ επανήλθε με έγγραφη απάντηση, στην οποία σύμφωνα με πηγές από την Αρχή, δεν αποσαφήνιζε επί της ουσίας κανένα από τα ερωτήματα που του είχαν τεθεί. Με πρωτοβουλία της Αρχής πραγματοποιήθηκε συνάντηση στις 15 Νοεμβρίου με εκπροσώπους του ΟΑΣΑ, όπου κατά τα φαινόμενα οι δύο πλευρές βρήκαν κοινό τόπο.
Η Αρχή και ο ΟΑΣΑ κατέληξαν σε πέντε σκοπούς, οι οποίοι μπορούν να εξυπηρετηθούν από την τήρηση των παραπάνω στοιχείων στη βάση δεδομένων με κύριο στόχο να αποτρέπεται η δημιουργία προφίλ μετακίνησης επιβάτη. Η ανωνυμία στις κάρτες παρέμεινε η θέση της Αρχής η οποία πρότεινε τη χρήση τεχνολογικού εργαλείου (hash function - κρυπτογραφικές συναρτήσεις κατακερματισμού) για τα στοιχεία όπως ο ΑΜΚΑ και το ονοματεπώνυμο, το οποίο κρυπτογραφεί τα δεδομένα χωρίς δυνατότητα αποκρυπτογράφησης παρά μόνο από τον κάτοχο της κάρτας (μέσω μοναδικού κωδικού).
Στην έγγραφη ωστόσο γνωστοποίηση του ΟΑΣΑ (16 Νοεμβρίου 2016) τα στοιχεία ήταν κάπως διαφορετικά. Ορισμένα από τα στοιχεία που θα διατηρούσε ο ΟΑΣΑ στη βάση δεδομένων του, δήλωσε ότι θα τα τηρεί μόνο για 24 ώρες. Τα υπόλοιπα όπως ο ΑΜΚΑ, ο κωδικός πρόσβασης, ο ΑΦΜ, ο αριθμός ταυτότητας θα τηρούνταν σε κρυπτογραφημένη βάση δεδομένων. Σε συνθήκες κρυπτογραφημένης βάσης δεδομένων δεν μπορούσαν να διατηρηθούν και τα υπόλοιπα γιατί όπως ισχυρίστηκε ο ΟΑΣΑ δεν υποστηρίζονται από το ηλεκτρονικό σύστημα που χρησιμοποιεί.
Στις 6 Δεκεμβρίου συνεδριάζει η ολομέλεια της Αρχής, παρουσία εκπροσώπων του ΟΑΣΑ. Αποτέλεσμα ήταν η Αρχή να στείλει στις 9 Δεκεμβρίου έγγραφο με το οποίο ζητήθηκε περαιτέρω αποσαφήνιση των σκοπών επεξεργασίας του συστήματος. Νέα συνάντηση πραγματοποιήθηκε στις 13 Δεκεμβρίου. Σύμφωνα με στελέχη της Αρχής οι απαντήσεις του ΟΑΣΑ εστάλησαν γραπτώς στις 19 Δεκεμβρίου, έχοντας σοβαρές αποκλίσεις από τα όσα είχαν ειπωθεί προφορικά.
Αναπάντητα ερωτήματα
Η Αρχή κατέληξε σε αρνητική γνωμοδότηση τον Ιανουάριο του 2017. Σε αυτή αναφέρει, μεταξύ άλλων, ότι ο ΟΑΣΑ δεν εξέτασε εναλλακτικές τεχνικές λύσεις, που θα εξασφάλιζαν την προστασία της ιδιωτικότητας των χρηστών, εξυπηρετώντας παράλληλα τους σκοπούς του νέου συστήματος ηλεκτρονικού εισιτηρίου. Εξι μήνες πέρασαν και ο ΟΑΣΑ δεν επανήλθε ζητώντας επανεξέταση του ζητήματος, παρά το γεγονός ότι επισήμως στελέχη του δήλωναν ότι έχουν ήδη αποστείλει στην Αρχή σχετικά έγγραφα από τον Μάρτιο. Αφήνοντας πολύτιμο χρόνο να περάσει, ο ΟΑΣΑ επανέρχεται εγγράφως στις 2 Ιουνίου. Η απάντηση της Αρχής στις 15 Ιουνίου ζητεί εκ νέου εξηγήσεις από τον Οργανισμό, ο οποίος απαντά στις 30 του ίδιου μήνα. Στις 3 Ιουλίου η Αρχή ζητεί αναλυτικά απαντήσεις στα παρακάτω θέματα:
• Ποια δεδομένα τηρούνται στη βάση;
• Για ποιο λόγο τηρείται ο μήνας και το έτος γέννησης σε όλους τους κατόχους και όχι μόνο σε εκείνους που δικαιούνται έκπτωσης;
• Ποια δεδομένα διατηρούνται στο τσιπ της κάρτας;
• Για ποιο λόγο πρέπει να τηρούνται στην ανεξάρτητη βάση (άλλη βάση δεδομένων με πιο ευαίσθητα στοιχεία) το ΑΜΚΑ και η ημερομηνία λήξης του δικαιώματος έκπτωσης; Η απάντηση του ΟΑΣΑ ήρθε στις 7 Ιουλίου και εξετάζεται από την Αρχή. Και η αλληλογραφία συνεχίζεται.