Ολόκληρη η μυστική συμφωνία με την Palantir και τα γκρίζα σημεία της

Κωνσταντίνος Λάππας


Όταν μια κυβέρνηση δεν αναρτά στη Διαύγεια μια συμφωνία της με ιδιωτική εταιρία αλλά η κοινή γνώμη ενημερώνεται ετεροχρονισμένα για την ύπαρξή της από τους ιδιώτες, δημιουργείται σοβαρό θέμα διαφάνειας. Όταν ο αρμόδιος υπουργός δίνει στην αντιπολίτευση τη σύμβαση αυτή έναν και πλέον μήνα μετά το σχετικό αίτημα, η αίσθηση ότι κάτι δεν έχει γίνει σωστά τροφοδοτείται...περισσότερο. Όταν από την, έστω πολύ καθυστερημένη, απάντηση προκύπτουν σοβαρά ερωτηματικά, υπάρχει σχεδόν βεβαιότητα ότι το δημόσιο συμφέρον έχει μείνει εκτεθειμένο. Και τέλος όταν η κυβέρνηση αυτή αποφασίζει να μην ανανεώσει τη σύμβαση την αναγκαιότητα της οποίας υπογραμμίζει στην απάντησή της, μπορεί να εκληφθεί και ως έμμεση παραδοχή ενοχής.

Προφανώς το παράδειγμα δεν είναι τυχαίο αλλά περιγράφει την ιστορία της συμφωνίας που υπέγραψε ερήμην του ελληνικού λαού τον περασμένο Μάρτιο η ελληνική κυβέρνηση με τον αμφιλεγόμενο γίγαντα της εξόρυξης και επεξεργασίας «μεγάλων δεδομένων» της Palantir. Πρόκειται για την εταιρεία που εμπλέκεται στο τεράστιο σκάνδαλο του Facebook - Cambridge Analytica, με την παράνομη χρήση προσωπικών δεδομένων για τη διαμόρφωση απόψεων πολίτων με στόχο να επηρεάσει το αποτέλεσμα των αμερικανικών εκλογών του 2016, αλλά και του δημοψηφίσματος στη Βρετανία υπέρ του Brexit.


Η συμφωνία της ελληνικής κυβέρνησης με την Palantir είχε γίνει ευρέως γνωστή μόλις το Δεκέμβριο, αν και είχε συναφθεί από τον Μάρτιο, εγείροντας βάσιμες αμφιβολίες σχετικά με το αν η κυβέρνηση έχει εξασφαλίσει ότι προσωπικά δεδομένα των Ελλήνων πολιτών δε θα διαρρεύσουν στην εν λόγω εταιρία, η φήμη της οποίας είναι τουλάχιστον προβληματική. Φτάσαμε στις 19 Ιανουαρίου 2021 για να δώσει ο αρμόδιος υπουργός Κυριάκος Πιερρακάκης τα σχετικά έγγραφα και κάποιες απαντήσεις στην αντιπολίτευση και άρα, στον ελληνικό λαό.

Το tvxs.gr φέρνει στη δημοσιότητα τη συμφωνία της ελληνικής κυβέρνησης με την Palantir, την τροποποίηση αυτής δύο μόλις ημέρες μετά την υπογραφή της και την επιστολή επέκτασης. Από τη μελέτη τους, σε συνδυασμό με την απάντηση του κου. Πιερρακάκη προς τους 63 ερωτώντες βουλευτές του ΣΥΡΙΖΑ, προκύπτουν σοβαρά ερωτήματα στα οποία οφείλει να απαντήσει η κυβέρνηση.

Το πρώτο ζήτημα που προκύπτει έχει να κάνει με τον τρόπο που αποφασίστηκε από την κυβέρνηση η μη διενέργεια εκτίμησης αντικτύπου, η μη εξέταση δηλαδή του ενδεχομένου η συμφωνία να θέτει σε κίνδυνο τα προσωπικά δεδομένα των Ελλήνων πολιτών. Η απόφαση ελήφθη κατόπιν σχετικής εισήγησης του DPO (Data Protection Officer, υπεύθυνος προστασίας δεδομένων) του υπουργείου Ψηφιακής Πολιτικής, η οποία ζητήθηκε από τον υπουργό την ημέρα υπογραφής της σύμβασης (24 Μαρτίου 2020) και παραδόθηκε τρεις ημέρες αργότερα.

Είναι κοινός τόπος ότι μια τέτοια γνωμοδότηση θα έπρεπε να ζητηθεί ικανό διάστημα πριν την υπογραφή της σύμβασης, προκειμένου να υπάρχει ικανό χρονικό διάστημα για τη διενέργεια εκτίμησης αντικτύπου, αν αυτή κριθεί απαραίτητη. Θα είχε ενδιαφέρον να απαντήσει ο κ. υπουργός τί θα είχε κάνει αν ο DPO είχε αποφανθεί υπέρ της αναγκαιότητας διενέργειας εκτίμησης αντικτύπου. Θα είχε «παγώσει» τη συμφωνία τρεις ημέρες αφού την είχε υπογράψει για να διενεργήσει την εκτίμηση αντικτύπου;

Ανεξάρτητα από το χρόνο στον οποίο ζητήθηκε και παραδόθηκε, το περιεχόμενο της εισήγησης του DPO του υπουργείου περί μην αναγκαιότητας διενέργειας εκτίμησης αντικτύπου μοιάζει προβληματικό. Στην απάντηση του κου. Πιερρακάκη προς τους βουλευτές του ΣΥΡΙΖΑ αναφέρεται ότι ο DPO έκρινε «ότι αυτή δεν είναι αναγκαία για τη συγκεκριμένη επεξεργασία, καθώς τα ανώνυμα, στατιστικά και δημογραφικά δεδομένα που διαβιβάζονταν δεν αφορούσαν προσωπικά δεδομένα, από τα οποία να είναι δυνατόν να ταυτοποιηθεί άμεσα ή έμμεσα οποιοδήποτε φυσικό πρόσωπο, διαβιβάζονταν δε με ασφαλή κρυπτογράφηση, και ως εκ τούτου εκτιμήθηκε ότι δεν επέρχεται διακινδύνευση για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων ενώ επίσης δεν προβλέπεται η έκδοση σχετικής γνωμοδότησης της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα».

Ωστόσο μιλώντας στο Inside Story, ο δικηγόρος της Homo Digitalis, ΜΚΟ που εξειδικεύεται στην υπεράσπιση των ανθρωπίνων δικαιωμάτων στην ψηφιακή εποχή και πλήρες μέλος του πανευρωπαϊκού δικτύου European Digital Rights, κ. Λευτέρης Χελιουδάκης διατύπωσε διαφορετική άποψη που στηρίζεται στον Γενικό Κανονισμό Προστασίας Δεδομένων (GDPR) της Ευρωπαϊκής Ένωσης. Ο κ. Χελιουδάκης εξήγησε ότι η κατάσταση της/του ασθενούς που συμπεριλαμβάνεται στην τροποποιημένη εκδοχή της συμφωνίας «αφορά δεδομένα που σχετίζονται με την υγεία του προσώπου και αποτελεί ειδική κατηγορία προσωπικών δεδομένων, σύμφωνα με το άρθρο 9, παρ.1 του Γενικού Κανονισμού Προστασίας Δεδομένων (GDPR). Το άρθρο 35, παρ. 3 του GDPR ορίζει ότι η διενέργεια εκτίμησης αντικτύπου είναι υποχρεωτική όταν λαμβάνει χώρα μεγάλης κλίμακας επεξεργασία ειδικών κατηγοριών προσωπικών δεδομένων, όπως στην περίπτωσή μας τα δεδομένα υγείας». Όσο για το αν η επεξεργασία από την Palantir είναι «μεγάλης κλίμακας», οκ. Χελιουδάκης είπε πως «δεδομένου του μεγάλου αριθμού κρουσμάτων και θανάτων από την πανδημία, η εν λόγω επεξεργασία δεδομένων υγείας θεωρείται μεγάλης κλίμακας». Με απλά λόγια, πέρα από το ότι θα ήταν πολιτικά ορθό το υπουργείο να διενεργήσει εκτίμηση αντικτύπου για να προστατέψει τα προσωπικά μας δεδομένα, διατυπώνεται η άποψη από έναν ειδικό ότι και νομικά κάτι τέτοιο ήταν επιβεβλημένο.

Επίσης, όπως αποδείχθηκε από την εξέλιξη των γεγονότων, θα ήταν ωφέλιμη η έκδοση γνωμοδότησης από την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα. Η Αρχή ζήτησε αυτεπάγγελτα από τον υπουργό τη συμφωνία στις 18 Δεκεμβρίου και σύμφωνα με το ρεπορτάζ του Inside Story την εξετάζει αυτές τις ημέρες. Αναμένουμε με ενδιαφέρον τα συμπεράσματά της.

Το δεύτερο ιδιαίτερα προβληματικό σημείο έχει να κάνει με την τροποποίηση της συμφωνίας που έγινε δύο μόλις ημέρες μετά την υπογραφή της, με το περιεχόμενό της να αφορά ακριβώς το ευαίσθητο ζήτημα των προσωπικών δεδομένων. Στην απάντησή του ο υπουργός δεν εξήγησε το σκεπτικό σύμφωνα με το οποίο κρίθηκε αναγκαία η τροποποίηση, παρά αρκέστηκε να πει ότι αυτή έγινε «πριν την έναρξη της υλοποίησης». Από το περιεχόμενο της τροποποίησης που αναλύεται ακριβώς παρακάτω, μπορεί κάποιος να συνάγει το συμπέρασμα ότι η ελληνική κυβέρνηση υπέγραψε τη συμφωνία με την Palantir χωρίς να έχει ξεκαθαρίσει τί είδους προσωπικά δεδομένα σκοπεύει να της δώσει προς επεξεργασία.

Στην αρχική εκδοχή λοιπόν της συμφωνίας, στον πίνακα 4 της σελίδας 4 της Συμφωνίας, στο κελί που τιτλοφορείται «Κατηγορίες Προσωπικών Δεδομένων του Πελάτη», αναγράφονται τα εξής: «Ψευδωνυμοποιημένα προσωπικά δεδομένα συμπεριλαμβανομένων ημερομηνία γέννησης και φύλο του ασθενή για μέλη του γενικού κοινού, ζητούνται πληροφορίες χρήσης για πρόβλεψη λογισμικού και υπηρεσιών, συμπεριλαμβανομένων email και login». ( * Ψευδωνυμοποιημένα δεδομένα είναι αυτά που τα αναγνωριστικά της ταυτότητας στοιχεία αντικαθίστανται από ένα ψευδώνυμο)

Τα δύο μέρη προέβησαν σε τροποποίηση αυτής της συμφωνίας μόλις δύο ημέρες μετά την υπογραφή της για να αντικαταστήσουν μόνο αυτό το σημείο με το εξής: «Ηλικία, Φύλο, Νομός, Δήμος, Κατάσταση Ασθενούς, ζητούνται πληροφορίες χρήσης για πρόβλεψη λογισμικού και υπηρεσιών, συμπεριλαμβανομένων email και login». Ενώ η νέα διατύπωση είναι σαφώς πιο αναλυτική, δεν περιέχει τον προσδιορισμό «Ψευδωνυμοποιημένα», κι άρα θα μπορούσε κάποιος να υποθέσει ότι τα δεδομένα των Ελλήνων πολιτών που διαχειριζόταν η Palantir δεν ήταν ούτε καν «ψευδωνυμοποιημένα», αν όχι ανωνυμοποιημένα. (* Τα δεδομένα ανωνυμοποιούνται όταν από σύνολο προσωπικών δεδομένων διαγράφονται όλα τα αναγνωριστικά της ταυτότητας στοιχεία)

Τα ψευδωνυμοποιημένα δεδομένα συνεχίζουν να αντιμετωπίζονται ως προσωπικά σε αντίθεση με τα ανωνυμοποιημένα. Αλλά ακόμα και στην περίπτωση των τελευταίων, όπως μας είχε εξηγήσει στο tvxs.gr η ερευνήτρια στο Δίκαιο της Πληροφορίας στο Πανεπιστήμιο του Άμστερνταμ Αλεξάνδρα Γιαννοπούλου, «κατά την ανάλυση έστω και ανωνυμοποιημένων δεδομένων δημιουργούνται προφίλ τα οποία πιθανότατα ταυτίζονται με συγκεκριμένους ανθρώπους και υπό αυτή την έννοια τα αποτελέσματα της ανάλυσης συνιστούν προσωπικά δεδομένα».

Σχολιάζοντας τα έγγραφα που κοινοποίησε ο κ. Πιερρακάκης, ο τομεάρχης Ψηφιακής Πολιτικής του ΣΥΡΙΖΑ Μάριος Κάτσης ρωτά σε ανακοίνωσή του: «Όταν υπογραφόταν, ο Υπουργός και οι συνεργάτες του, δε γνώριζαν ότι τα ψευδονυμοποιημένα στοιχεία αποτελούν προσωπικά δεδομένα των πολιτών και χρήζουν προστασίας;»

Ένα τρίτο ζήτημα αφορά στις βασικές πληροφορίες που δεν περιέχει το κείμενο της συμφωνίας που έδωσε τελικά στην αντιπολίτευση ο υπουργός. Ενώ η παρόμοια σύμβαση που υπέγραψε με την εταιρία η κυβέρνηση του Ηνωμένου Βασιλείου, είχε έκταση 160 σελίδες, η ελληνική έχει μόλις τέσσερις. Στη συμφωνία που υπέγραψε η ελληνική κυβέρνηση δεν περιγράφεται η φύση του έργου που ανελάμβανε η Palantir, παρά μόνο νομικά δικαιώματα και υποχρεώσεις των δύο μερών. Στην απάντησή του προς τους βουλευτές του ΣΥΡΙΖΑ ο κ. Πιερρακάκης περιγράφει σε ένα βαθμό τις υπηρεσίες αυτές αλλά όχι λεπτομερώς. Δεν εξηγεί με ποιον τρόπο συνδέονται συγκεκριμένες αποφάσεις που έλαβε η κυβέρνηση για την αντιμετώπιση της πανδημίας με συγκεκριμένες οπτικοποιήσεις δεδομένων που της παρείχε η Palantir.

Με άλλα λόγια, η αντιπολίτευση και ο ελληνικός λαός δεν έχει ακόμα ενημερωθεί επαρκώς για τη φύση των υπηρεσιών που προσέφερε η Palantir στο Ελληνικό Κράτος για εννέα μήνες, διαχειριζόμενη δεδομένα των Ελλήνων πολιτών. Αν η χρησιμότητα των υπηρεσιών αυτών ήταν τόσο μεγάλη για την αντιμετώπιση της πανδημίας, όπως υποστηρίζει στην απάντησή του ο υπουργός, δε θα ήταν καλό να γνωρίζουν οι Έλληνες τα οφέλη που αποκόμισαν και στο όνομα των οποίων, φανταζόμαστε, ότι η ελληνική κυβέρνηση επέκτεινε τη συμφωνία για τρεις ακόμη μήνες; Στο ίδιο πνεύμα, δε θα ήταν εύλογο η ελληνική κυβέρνηση να μεταφράσει στα ελληνικά τη συμφωνία της με την Palantir, ώστε να μπορεί ο κάθε Έλληνας και η κάθε Ελληνίδα να κατανοήσουν τί συνέβη;

Τέταρτο προβληματικό σημείο είναι η μη δικαιολόγηση της απόφασης της κυβέρνησης για τη μη ανανέωση της συμφωνίας. Αν η απάντηση σχετιζόταν αποκλειστικά με το τέλος της «δοκιμαστικής περιόδου» και την αξίωση αμοιβής από την Palantir σημαντικά μεγαλύτερης από αυτή που θα δοθεί στην PriceWaterhouseCoopers, θα περίμενε κανείς η κυβέρνηση να επικοινωνήσει την επιλογή της αυτή στη λογική της εξοικονόμησης δημόσιου χρήματος.

Το ενδεχόμενο ανανέωσης της συνεργασίας με την Palantir φαίνεται να εξετάστηκε σοβαρά από την κυβέρνηση, αφού όπως έκανε γνωστό η εταιρία, στις 3 Δεκεμβρίου, 20 ημέρες πριν τη λήξη της συμφωνίας, ο συνιδρυτής και διευθύνων σύμβουλος της Palantir Άλεξ Καρπ συνομίλησε με τον πρωθυπουργό Κυριάκο Μητσοτάκη σε τηλεδιάσκεψη με θέμα την «διαρκώς διευρυνόμενη συνεργασία» των δύο πλευρών για την υποστήριξη των ελληνικών προσπαθειών αντιμετώπισης του κορονοϊού, με τον επικεφαλής της εταιρείας να δηλώνει ότι «ανυπομονούμε να διευρύνουμε αυτή τη συνεργασία για τα επόμενα χρόνια». Η λογική λέει ότι τα όσα ειπώθηκαν στην τηλεδιάσκεψη έπαιξαν ρόλο στην απόφαση της κυβέρνησης να μην ανανεώσει τη συνεργασία, ωστόσο ο κ. Πιερρακάκης απέφυγε να αναφερθεί όχι μόνο στο περιεχόμενο αλλά και στην ίδια την πραγματοποίηση της τηλεδιάσκεψης.




Εδώ το κείμενο της συμφωνίας που υπεγράφη στις 24 Μαρτίου 2020.

Εδώ το κείμενο της τροποποίησης που υπεγράφη στις 26 Μαρτίου 2020.

Εδώ η επιστολή επέκτασης της συμφωνίας για τρεις ακόμη μήνες, από το Σεπτέμβριο ως τον Δεκέμβριο του 2020.

Εδώ η απάντηση του κου. Πιερρακάκη προς τους 63 βουλευτές του ΣΥΡΙΖΑ.