ΔΙΑΧΕΙΡΙΣΗ ΔΙΑΚΙΝΔΥΝΕΥΣΗΣ ΣΧΕΤΙΚΑ ΜΕ ΤΗΝ ΠΡΟΣΤΑΣΙΑ ΠΡΟΣΩΠΙΚΩΝ ΔΕΔΟΜΕΝΩΝ

Γράφει o Δημοσθένης Κωστούλας, ΜΒΑ, MSc, BSc*

Με αφορμή την πολύ πρόσφατη δημοσίευση του «Εθνικού Πλαισίου Απαιτήσεων Κυβερνοασφάλειας Βασικών και Σημαντικών Οντοτήτων» (6/5/2025), υπενθυμίζεται σε όλους η σημαντικότητα της διενέργειας εκτίμησης κινδύνων (risk assessment) που απειλούν την ασφάλεια των συστημάτων δικτύου και πληροφοριών. Ειδικότερα για τα προσωπικά δεδομένα, κάθε ολοκληρωμένο πρόγραμμα συμμόρφωσης πρέπει όντως να περιλαμβάνει μια ολοκληρωμένη Ανάλυση Διακινδύνευσης (Risk Assessment). Αν και η ενδεδειγμένη μέθοδος για την εκτίμηση του επιπέδου ασφάλειας σύμφωνα με τα οριζόμενα στις διατάξεις του άρθρου 35 του ΓΚΠΔ σχετικά με την προστασία δεδομένων (υψηλού κινδύνου) είναι η υλοποίηση της Μελέτης Αντικτύπου (Data Privacy Impact Analysis - DPIA), εντούτοις συστήνεται να διενεργείται (και) μια γενικότερη ανάλυση διακινδύνευσης για το σύνολο των κινδύνων / απειλών. Σύμφωνα με τις γενικότερες επιταγές ασφάλειας (άρθρο 32 του ΓΚΠΔ), η Ανάλυση Διακινδύνευσης πρέπει να σχετίζεται με τα ευρήματα που εντοπίζονται από την φάση της αρχικής Χαρτογράφησης (Data Mapping) και να υλοποιείται τόσο ΠΡΙΝ, όσο και ΜΕΤΑ από την εφαρμογή των κατάλληλων τεχνικών και οργανωτικών μέτρων για την προστασία των προσωπικών  δεδομένων.

Κίνδυνος / Απειλή ορίζεται ως η πιθανότητα ή απειλή ζημίας, απώλειας ή αρνητικής συνέπειας σε ευαίσθητα περιεχόμενα / πληροφορίες και προσωπικά δεδομένα, με αρνητική επίπτωση στα θεμελιώδη δικαιώματα και τις ελευθερίες των φυσικών προσώπων (και ειδικότερα το δικαίωμα τους στην προστασία των δεδομένων) ή/και την απρόσκοπτη λειτουργία του Οργανισμού (ως υπεύθυνος επεξεργασίας). Οι κίνδυνοι μπορεί να προέρχονται τόσο από εγγενείς όσο και από εξωγενείς παράγοντες και μπορούν να μετριαστούν με κατάλληλα μέτρα. Η Διαχείριση Διακινδύνευσης αφορά το σύνολο διαδικασιών που σχετίζονται με τον εντοπισμό, την αξιολόγηση και την αντιμετώπιση των παραπάνω κινδύνων.

 

Στάδια Υλοποίησης

Για την ανάλυση, την αξιολόγηση και τον καθορισμό προτεραιοτήτων ως προς την Διαχείριση Διακινδύνευσης σχετικά με τα προσωπικά δεδομένα, ένας Οργανισμός (ως υπεύθυνος επεξεργασίας) συστήνεται να υιοθετήσει την μέθοδο DMRA (Decision Matrix Risk Assessment technique), μια συστηματική προσέγγιση που χρησιμοποιείται για τον αρχικό προσδιορισμό του επιπέδου κινδύνου (Risk Level) και τη σύγκριση διαφορετικών κινδύνων. Πρόκειται για ένα ευρέως χρησιμοποιούμενο εργαλείο για την ανάλυση, την αξιολόγηση και τον καθορισμό προτεραιοτήτων ως προς την διαχείριση κινδύνων, βάσει και του διεθνούς προτύπου ISO 31000.

Σύμφωνα με την συγκεκριμένη μέθοδο, η ανάλυση διακινδύνευσης αποτελείται από τα ακόλουθα στάδια, κατά την υλοποίηση των οποίων απαιτείται διαρκή επικοινωνία μεταξύ των εμπλεκόμενων τμημάτων και διευθύνσεων του Οργανισμού:

  • Ορισμός του οργανωτικού πλαισίου και των γενικότερων κανόνων
  • Προσδιορισμός των κινδύνων που απειλούν αφενός τα υπό επεξεργασία προσωπικά δεδομένα για διαφορετικές κατηγορίες υποκειμένων που συνδιαλέγονται με τον Οργανισμό και αφετέρου την γενικότερη ασφάλεια του Οργανισμού
  • Ανάλυση των εντοπισμένων κινδύνων
  • Αξιολόγηση των εντοπισμένων κινδύνων
  • Αντιμετώπιση / διαχείριση των εντοπισμένων κινδύνων
  • Παρακολούθηση υλοποίησης διορθωτικών ενεργειών και επανεξέταση.

Ειδικότερα, ο υπεύθυνος επεξεργασίας δεδομένων προτείνεται να ακολουθεί τα εξής στάδια:

1.Στάδιο Εντοπισμού Κινδύνων (Risk Identification) [**]

Αφορά τον εντοπισμό, την αναγνώριση και την περιγραφή των κινδύνων / απειλών που θα μπορούσαν να επηρεάσουν την ακεραιότητα, την εμπιστευτικότητα ή/και την διαθεσιμότητα των υπό επεξεργασία προσωπικών δεδομένων, καθώς και την ασφαλή λειτουργία ολόκληρου του Οργανισμού. Η έρευνα επεκτείνεται και στην εξέταση των πηγών κινδύνου και των αιτιών που μπορεί να προκαλέσουν τους συγκεκριμένους κινδύνους. Οι γενικότερες συνθήκες που μπορεί να απειλούνται είναι η Ακεραιότητα των δεδομένων (Integrity /αλλοίωση δεδομένων), η Εμπιστευτικότητα των δεδομένων (Confidentiality) και η Διαθεσιμότητα των δεδομένων (Availability).

[**]Ενδεικτικοί κίνδυνοι:

Απώλεια δεδομένων - Κλοπή προσωπικών δεδομένων - Διαρροή προσωπικών δεδομένων - Μη εγκεκριμένη τροποποίηση δεδομένων - Μη ικανοποίηση αιτήματος υποκειμένων δεδομένων - Μη εγκεκριμένη διαγραφή δεδομένων - Αδυναμία λήψης backup / Μη διαθέσιμο backup - Μη προσβασιμότητα σε φακέλους & αρχεία του Οργανισμού - Μη προσβασιμότητα σε διαδικτυακές υπηρεσίες - Σφάλματα χρήσης / Αμέλεια χρηστών - Ελλιπής εκπαίδευση χρηστών σε κανόνες ασφάλειας & προστασίας δεδομένων - Φυσικές καταστροφές - Πυρκαγιά / Πλημμύρα - Φθορά / απώλεια σε hardware - Αστοχία κρίσιμου υλικού - Κίνδυνος μόλυνσης από ιούς και διασπορά - Κυβερνοεπίθεση / Παράνομη εισβολή σε δίκτυο / Hacking - Παρεμπόδιση κυβεροκυκλοφορίας - Λογισμικό ή δράσεις που εκμεταλλεύονται κενά ασφαλείας - Ανεπιθύμητα μηνύματα (spam) – Δολιοφθορά – Παραπληροφόρηση - Πλαστογραφία

Απάτη / Εξαπάτηση - Ακατάλληλο περιεχόμενο κ.ο.κ.

 

2.Ανάλυση Κινδύνων (Risk Analysis)

Αφορά την κατανόηση των πηγών, των αιτιών και της φύσης των ήδη εντοπισμένων κινδύνων / απειλών για τα υπό επεξεργασία προσωπικά δεδομένα και τον ίδιο τον Οργανισμό, καθώς και την εξέταση των υφιστάμενων μέτρων για την πρόληψη ή την αντιμετώπιση τους. Ακολουθεί ο υπολογισμός της Πιθανότητας να προκύψουν οι εντοπισμένοι κίνδυνοι και η ανάλυση των Συνεπειών / Επιπτώσεων τους, εφόσον οι κίνδυνοι συμβούν.

Η εξέταση επάρκειας των υφιστάμενων ελέγχων και μέτρων ερευνά το αν επαρκούν τα υφιστάμενα μέτρα για την πρόληψη ή τον μετριασμό των κινδύνων, καθώς και για την ανάκαμψη κατόπιν της εμφάνισης τους. Ταυτόχρονα, η αποτελεσματικότητα των υφιστάμενων μέτρων αξιολογείται λαμβάνοντας υπόψη: 1) ποιοι είναι οι υφιστάμενοι έλεγχοι για έναν συγκεκριμένο κίνδυνο και 2) εάν αυτοί οι έλεγχοι  είναι ικανοί να αντιμετωπίσουν επαρκώς τον κίνδυνο. Στην πράξη, αξιολογείται αν οι έλεγχοι υλοποιούνται με τον προβλεπόμενο τρόπο και αν μπορούν να αποδειχθούν αποτελεσματικοί, όταν αυτό απαιτηθεί.

Συγκεκριμένα, ένας εντοπισμένος κίνδυνος / ανεπιθύμητο γεγονός σχετικά τα προσωπικά δεδομένα βαθμολογείται ως προς την Πιθανότητα (Π) εμφάνισης ενός κινδύνου και ως προς την Σοβαρότητα (Σ) των συνεπειών του. Και οι 2 παράμετροι μετρούνται με την χρήση 5βάθμιου πίνακα, όπου το 1 είναι απίθανο ένας κίνδυνος να συμβεί ή εάν συμβεί, να έχει μηδαμινές επιπτώσεις. Αντίστοιχα, η αξιολόγηση 5 σημαίνει ότι ένας κίνδυνος είναι σχεδόν σίγουρο ότι θα συμβεί, ενώ εάν συμβεί αναμένεται να έχει καταστροφικές συνέπειες.

  • Συχνότητα/πιθανότητα (Π) εμφάνισης εντοπισμένου κινδύνου, λαμβάνοντας υπόψη το γενικότερο επίπεδο προστασίας και τα υφιστάμενα μέτρα προστασίας:

  • Σοβαρότητα (Σ) των συνεπειών από τον συγκεκριμένο κίνδυνο / ανεπιθύμητο συμβάν / απειλή για τα προσωπικά δεδομένα, εφόσον εμφανιστεί:

Η εκτίμηση των επιπτώσεων επεκτείνεται και στους πελάτες, το προσωπικό, την Διοίκηση, τις συνεργαζόμενες εταιρείες / εκτελούντες την επεξεργασία, την φήμη του Οργανισμού, τις νομικές και κανονιστικές υποχρεώσεις κ.ο.κ.

Μετά τον υπολογισμό της Πιθανότητας και της Σοβαρότητας, υπολογίζεται η επίπτωση σύμφωνα με το παρακάτω γινόμενο:

Επίπτωση = Σοβαρότητα * Πιθανότητα

Η κατάταξη της επίπτωσης γίνεται σύμφωνα με τον παρακάτω πίνακα:

Στον επόμενο πίνακα παρουσιάζεται συνοπτικά η σχέση μεταξύ πιθανότητας, σοβαρότητας και επίπτωσης:

3.Αξιολόγηση Κινδύνων (Risk Evaluation)

Σε συνέχεια του εντοπισμού και της ανάλυσης των κινδύνων, αποφασίζεται ποιοι κίνδυνοι θα αντιμετωπιστούν, με ποιον τρόπο και με ποια προτεραιότητα. Αυτό το βήμα βοηθά τον Οργανισμό στη λήψη αποφάσεων σχετικά με την ανεκτικότητα και την ιεράρχηση του κάθε κινδύνου, συγκρίνοντας το εκτιμώμενο επίπεδο κινδύνου με τα προ-αποφασιμένα κριτήρια κινδύνου.

 

4.Αντιμετώπιση Κινδύνων (Post Risk Assessment) [***]

Η διαχείριση των εντοπισμένων κινδύνων περιλαμβάνει πολλές επιλογές, βάσει εκτιμήσεων και αποφάσεων του Οργανισμού, όπως ή αποφυγή του κινδύνου, η αντιμετώπιση ή μετριασμός του, η τροποποίηση της πιθανότητας ή/και επίπτωσης και η αφαίρεση της πηγής του κινδύνου. Μετά την υλοποίηση των μέτρων συνιστάται η επαναξιολόγηση του κινδύνου, για να διαγνωστεί εάν αυτός αντιμετωπίστηκε επαρκώς και να προκύψει ο εναπομείναν κίνδυνος.

 

[***]Ενδεικτικά Τεχνικά και Οργανωτικά Μέτρα:

Πρόγραμμα συμμόρφωσης με ΓΚΠΔ και κείμενη Νομοθεσία - Πολιτικές / Διαδικασίες διαχείρισης δεδομένων - Διαχείριση αναφοράς και διαχείρισης παραβιάσεων / εισβολών / απώλειας δεδομένων - Business Continuity Plan, Disaster Recovery Plan - Εκπαιδεύσεις εργαζομένων στην ορθή χρήση λογισμικού – Σύμβαση εμπιστευτικότητας δεδομένων με συνεργαζόμενες εταιρείες - Παρακολούθηση υλοποίησης έργου συνεργαζόμενων εταιρειών, Clean desk policy - Γενικότερη ασφάλεια χώρων (εσωτερικών και εξωτερικών) - Λειτουργία κλειστού κυκλώματος τηλεόρασης (CCTV) - Λειτουργία συστήματος πυρανίχνευσης / πυροπροστασίας - Εφαρμογή προγράμματος απεντομώσεων / μυοκτονιών - Ελεγχόμενες συνθήκες κρίσιμων χώρων (control room, φυσικό αρχείο κλπ.) - Πρόγραμμα προληπτικών συντηρήσεων κρίσιμων υποδομών / εξοπλισμού, Απαγόρευση πρόσβασης σε ακατάλληλους ιστότοπους - Απενεργοποίηση / ελεγχόμενες θύρες USB - Δοκιμαστική ανάκτηση ανά τακτά χρονικά διαστήματα  - Ελεγχόμενες προσβάσεις / εξουσιοδοτήσεις - Αναβαθμίσεις και προληπτική συντήρηση λογισμικού - Ισχυροί κωδικοί πρόσβασης - Remote backup - Αντιμετώπιση απώλειας δεδομένων (DLP) / Data Loss, Data Leak – FIREWALL – ANTIVIRUS - PENETRATION TEST - Διαχείριση LOG files - Δικαιώματα χρηστών μέσω active directory – Κρυπτογράφηση βάσεων - BYOD/P - VDI (Virtual Desktop Infrastructure) – VPN κ.ο.κ.

5.Ανασκόπηση

Ακόμα και μετά την ολοκλήρωση της ανάλυσης διακινδύνευσης, ο Οργανισμός πρέπει να προχωράει σε διαρκή έλεγχο, αφού οι κίνδυνοι /απειλές μπορεί να είναι δυναμικοί και να διαφοροποιούνται μέσα στον χρόνο, καθιστώντας τα επιλεχθέντα διορθωτικά μέτρα μη αποτελεσματικά. Γενικά, η αξιολόγηση των κινδύνων ανασκοπείται κατά ελάχιστο σε ετήσια βάση ή όποτε προκύπτουν σημαντικές αλλαγών (π.χ. χρήση νέου εξοπλισμού, συλλογή και επεξεργασία νέων δεδομένων, τροποποίηση τρόπου επεξεργασίας κ.λπ.).

 

* Ο Δημοσθένης Κ. Κωστούλας, GDPR Expert / certified DPO, QMS IRCA Lead Auditor ISO 9001:2015, CQI IRCA Lead Auditor ISO 27001:2013, είναι απόφοιτος του Τμήματος Διεθνών & Ευρωπαϊκών Οικονομικών και Πολιτικών Σπουδών του Πανεπιστημίου Μακεδονίας και κάτοχος των τίτλων MBΑ και MSc in International Business and Finance. Είναι ένας εκ των δύο συγγραφέων του βιβλίου με τίτλο «Η Συμμόρφωση με τον Γενικό Κανονισμό Προστασίας Δεδομένων – Πρακτικά Ζητήματα – Υποδείγματα» (Ιανουάριος 2020, Εκδόσεις ΝΟΜΟΡΑΜΑ.ΝΤ), ενώ ταυτόχρονα, είναι εκπαιδευτής και αρθρογράφος για θέματα προστασίας δεδομένων. Είναι πρώην μέλος του Δ.Σ. του European Association of Data Protection Professional (EADPP), γενικός γραμματέας & επικεφαλής της επιτροπής επικοινωνίας και εκδηλώσεων του Ελληνικού παραρτήματος EADPP, επιστημονικός συνεργάτης του Ευρωμεσογειακού Ινστιτούτου Ποιότητας & Ασφάλειας (EIQSH) και μέλος της Homo Digitalis.

 

ΒΙΒΛΙΟΓΡΑΦΙΚΕΣ ΑΝΑΦΟΡΕΣ / ΠΗΓΕΣ

-Τσιπτσέ, Ο., Κωστούλας, Δ. (Ιανουάριος 2020), «Η συμμόρφωση με τον Γενικό Κανονισμό Προστασίας Δεδομένων GDPR EU 2016/679 – Πρακτικά Ζητήματα Υποδείγματα», Νομικές Εκδόσεις ΝΟΜΟΡΑΜΑ.ΝΤ, Αθήνα

-https://www.homodigitalis.gr/posts/9331, Το Πρόγραμμα Συμμόρφωσης με τον GDPR από μια πρακτική σκοπιά, Δημοσθένης Κ. Κωστούλας, 7 Ιουνίου 2021

-BSI, 2009. BS ISO 31000: Risk management: principles and guidelines, London: British Standards Institution.

-Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας Βασικών και Σημαντικών Οντοτήτων (Αρ. Φύλλου 2186), 6 Μαίου 2025)

-Γενικός Κανονισμός Προστασίας Δεδομένων (ΕΕ) 2016/679  https://www.dpa.gr/portal/page?_pageid=33,213319&_dad=portal&_schema=PORTAL

-Baybutt P. Calibration of risk matrices for process safety. J Loss Prevent Process Industries. 2015;38:163–168, 2015.

-Wall KD The trouble with risk matrice. DRMI Working Papers Ongoing Research; 2011.

-Duijm NJ. Recommendations on the use and design of risk matrices. Saf Sci. 2015;76:21–31. 2015

-Korombel A, Tworek P. Qualitative risk analysis as a stage of risk management in investment projects: advantages and disadvantages of selected methods-theoretical approach 2011;1(2):51–54

-https://safeti.com/product/workshop-risk-assessment

 

by Homo Digitalis

Μπορείς κι εσύ να γίνεις επαγγελματίας στον τομέα της ασφάλειας τεχνολογιών και πληροφοριών χωρίς τεχνικές γνώσεις!

Γράφει o Γιάννης Ντόκος*

Ο κόσμος των τεχνολογιών είναι διαρκώς μεταβαλλόμενος. Νέες εξελίξεις στον κλάδο λαμβάνουν πλέον χώρα σε καθημερινή βάση, με την πρόοδο των κλάδων όπως αυτών της τεχνητής νοημοσύνης, των κβαντικών υπολογιστών και των συσκευών/μεθόδων ταυτοποίησης. Αναμφίβολα οι εξελίξεις αυτές είναι ελκυστικές, τόσο για τους καταναλωτές και το ευρύτερο κοινό, όσο και για όσους από εμάς ενδιαφερόμαστε να εργαστούμε στον κλάδο των τεχνολογιών. Χρειάζεται,ωστόσο, να κατέχουμε τεχνικές δεξιότητες προκειμένου να απασχοληθούμε στον τομέα της προστασίας πληροφοριών και τεχνολογιών;

Η παρεξήγηση των "τεχνικών γνώσεων"

Πολύ συχνά, όταν ακούμε για επαγγέλματα στον τομέα της ασφάλειας τεχνολογιών και δεδομένων, φανταζόμαστε προγραμματιστές, χάκερς και άτομα που παίζουν με καλώδια, διακομιστές και μόντεμ.. Βεβαίως είναι και αυτές οι εξειδικεύσεις σχετικές με το αντικείμενο, ωστόσο η ασφάλεια πληροφοριών περιλαμβάνει ένα ευρύ φάσμα ρόλων και δραστηριοτήτων – και όχι απαραίτητα τεχνικής φύσης!

Ας πάρουμε τα πράγματα με τη σειρά. Είναι οι τεχνικές γνώσεις χρήσιμες στους κλάδους αυτούς; Αναμφίβολα. Ειδικά αν μιλάμε για θέσεις που απαιτούν τη χρήση τέτοιων δεξιοτήτων σε καθημερινή βάση. Εάν επιδιώκω να ασχοληθώ με τον προγραμματισμό ή την ανάλυση δεδομένων, προφανώς πρέπει να ξέρω πώς να γράφω κώδικα ή να αναλύω δεδομένα προκειμένου να εξάγω κάποιο συμπέρασμα. Σε αυτές τις θέσεις εργασίας, οι τεχνικές δεξιότητες είναι προαπαιτούμενο! Σε μεγαλύτερο ή μικρότερο βαθμό, είναι απαραίτητες.

Τί γίνεται όμως αν θέλει κανείς να ασχοληθεί με το αντικείμενο της ασφάλειας τεχνολογιών, πληροφοριών ή προσωπικών δεδομένων; Πρέπει να είναι τότε άσος με τους υπολογιστές, την ρύθμιση δικτύων και τις μεθόδους πρόσβασης σε αυτά; Η απάντηση, ευτυχώς, είναι “όχι”. Και αυτό είναι πράγματι ένα πολύ θετικό μήνυμα, διότι ανοίγει διόδους εισροής στους παραπάνω κλάδους σε μεγάλο αριθμό επαγγελματιών που δεν είναι αναγκαστικά τεχνικά καταρτισμένοι. Παράλληλα, επιτρέπει τη σχετικά εύκολη μετάβαση από έναν παρεμφερή κλάδο (βλέπε προστασία πληροφοριών), σε έναν άλλο κλάδο εξίσου σχετικό (όπως η διαχείριση κινδύνου στον τομέα της τεχνητής νοημοσύνης). Επομένως, όσοι από εσάς ενδιαφέρεστε να εντρυφήσετε στα  παρακλάδια αυτά, έχετε τη δυνατότητα να το κάνετε χωρίς να χρειάζεται να μπορείτε να διαπεράσετε καλά προστατευμένα δίκτυα “χακάροντας” όποιον υπολογιστή και διακομιστή βρεθεί στο διάβα σας (αν και κάπου θα σας φανεί χρήσιμη αυτή η δεξιότητα)!

Μισό λεπτό όμως! Είναι τόσο εύκολο ο καθένας να μπει στον κλάδο χωρίς τεχνικές γνώσεις; Ίσως όχι εύκολο, αλλά θα έλεγα πως είναι σίγουρα εφικτό, με μια σωστή στάση και την καλλιέργεια σχετικών ικανοτήτων! Οι τεχνολογίες εξελίσσονται γρήγορα, αλλά παράλληλα γίνονται διαθέσιμα όλο και περισσότερα εργαλεία. μέσα και πλατφόρμες που κάνουν πιο προσιτές και κατανοητές τις βασικές έννοιες, ακόμη και σε άτομα με μηδενική επαφή με τον προγραμματισμό ή τις υποδομές δικτύου.

Δεξιότητες για επαγγελματίες στην προστασία πληροφοριών και τεχνολογιών

Σίγουρα οι καθαρά τεχνικές δεξιότητες μπορούν να αποκτηθούν με τον χρόνο, υπάρχουν ωστόσο κάποιες δεξιότητες γενικού χαρακτήρα και στάσεις ζωής που είναι απολύτως καθοριστικές:

 

  1. Αναλυτική σκέψη και επίλυση προβλημάτων

Η ασφάλεια πληροφοριών είναι τομέας όπου καλείσαι διαρκώς να αναλύεις προβλήματα, να εντοπίζεις μοτίβα και να βρίσκεις λύσεις. Η ικανότητα να σκέφτεσαι λογικά και να επιλύεις προβλήματα είναι ζωτικής σημασίας και προαπαιτούμενο εάν ο εν λόγω κλάδος σε ενδιαφέρει!

 

  1. Περιέργεια και διάθεση για μάθηση

Η τεχνολογία εξελίσσεται συνεχώς. Επομένως, το πηγαίο ενδιαφέρον για τέτοιες εξελίξεις και η διάθεση για μάθηση είναι καίρια. Είτε πρόκειται για νέα εργαλεία, νέες απειλές στην κυβερνοασφάλεια, ή νέους τρόπους προστασίας των δεδομένων, η περιέργεια είναι σύμμαχος των επαγγελματιών του κλάδου.

 

  1. Επικοινωνιακές δεξιότητες

Η αλληλεπίδραση με συνεργάτες, νομοθέτες και προμηθευτές είναι καθημερινή και απαραίτητη στον τομέα. Συνεπώς, η ανάπτυξη επικοινωνιακών δεξιοτήτων και διαπροσωπικών σχέσεων είναι απαραίτητη ούτως ώστε να καταλάβουμε,να συνεργαστούμε, να πείσουμε τους άλλους και να βελτιώσουμε την ασφάλεια των υποδομών μας.

 

  1. Σφαιρική γνώση και επίγνωση

Η προστασία τεχνολογιών απαιτεί να μπορεί κανείς να δει τη μεγαλύτερη εικόνα και να συνδέει τις κουκίδες. Τυχόν προβλήματα που προκύπτουν είναι πολυπαραγοντικά και άπτονται πολλών διαστάσεων, με αποτέλεσμα η σφαιρική γνώση να είναι μεγάλο προσόν.

Τι μπορείς να κάνεις χωρίς τεχνικές γνώσεις;

Υπάρχουν αρκετές ειδικότητες που μπορούν να προσεγγιστούν με βασικές ή και μηδενικές τεχνικές γνώσεις:

 

  • IT Project Management: Εστιάζει στον σχεδιασμό και τη διαχείριση έργων τεχνολογίας.

 

  • Governance, Risk & Compliance Analyst: Ασχολείται με την κανονιστική συμμόρφωση και την αξιολόγηση κινδύνου.

 

  • Security Awareness Trainer: Εκπαιδεύει προσωπικό σε θέματα ψηφιακής ασφάλειας.

 

  • SOC Analyst: Εισαγωγική θέση σε Security Operations Center, με έμφαση στην παρακολούθηση και αναφορά συμβάντων ασφαλείας.

 

Τέτοιες εισαγωγικές θέσεις επιτρέπουν σε κάποιον να μπορεί να αναπτύξει σταδιακά τεχνικές γνώσεις και να εξελιχθεί σε πιο εξειδικευμένες θέσεις.

Από πού να ξεκινήσεις

Αν δεν έχεις τεχνικό υπόβαθρο, υπάρχουν πρακτικά βήματα που μπορείς να ακολουθήσεις:

Online μαθήματα και πιστοποιήσεις

Πολλές προσβάσιμες πλατφόρμες (Coursera, edX, Udemy, Cybrary, Pluralsight) προσφέρουν βασικά μαθήματα για αρχάριους. Πιστοποιήσεις όπως CompTIA Security+, Google IT Support, ή η σειρά ISC2 Certified in Cybersecurity είναι εξίσου καλά πρώτα βήματα.

 

Επιμόρφωση και ενημέρωση

Καθημερινή ανάγνωση άρθρων, blogs, και βιβλίων βοηθά στην κατανόηση και εξοικείωση με το πεδίο. Το να ενημερώνεσαι για τις εξελίξεις είναι βασική συνήθεια κάθε επαγγελματία στον χώρο.

Συμμετοχή σε κοινότητες

Φόρουμ, ομάδες στο LinkedIn, και συμμετοχή σε events (όπως τα BSides, OWASP Meetups και φυσικά τα event που διοργανώνει η Homo Digitalis!) θα σε φέρουν κοντά με άλλους επαγγελματίες του χώρου που μπορεί να έχουν πολύ χρήσιμες πληροφορίες ή κατευθυντήριες γραμμές να σου προτείνουν.

 

Εύρεση μέντορα

Ένας μέντορας, κάποιος που να σε καθοδηγεί, μπορεί να είναι ανεκτίμητος. Το ίντερνετ, εξειδικευμένες πλατφόρμες (π.χ. ΆλληλονΝΕΤ) ή το YouTube παρέχουν τέτοιες δυνατότητες.

 

Το κατάλληλο mindset

Το πιο σημαντικό στοιχείο για να πετύχει κάποιος στον χώρο – περισσότερο και από τις γνώσεις – είναι η επιμονή, η υπομονή και η περιέργεια. Πολλοί επαγγελματίες του χώρου ξεκίνησαν από διαφορετικά υπόβαθρα: βιολογία, νομική, διοίκηση επιχειρήσεων ή ακόμη και τέχνες! Με τη σωστή νοοτροπία και αντιμετώπιση, άτομα από κάθε υπόβαθρο μπορούν να απασχοληθούν στο πεδίο της ασφάλειας πληροφοριών και τεχνολογιών!

Εν κατακλείδι

Η ασφάλεια πληροφοριών δεν είναι κλειστή μόνο στους χάκερς, τους προγραμματιστές και τους τεχνικούς δικτύων. Το πεδίο έχει ανοίξει τις πόρτες του σε όσους έχουν την όρεξη, τη σωστή νοοτροπία και τη διάθεση να εξελίσσονται. Με σωστή καθοδήγηση, επιμονή και αξιοποίηση των διαθέσιμων πόρων, οποιοσδήποτε μπορεί να μπει στον χώρο και να διαπρέψει!

*Ο Γιάννης Ντόκος είναι Ειδικός IT Governance, Risk, and Compliance (GRC).

 

by Homo Digitalis

Γενετικά Δεδομένα και Ιδιωτικές Εταιρείες: Το Παράδειγμα της 23andMe και οι Προκλήσεις για την Ελλάδα

Γράφει o Τάσος Αραμπατζής

Τα γενετικά δεδομένα αποτελούν μία από τις πιο πολύτιμες και ευαίσθητες μορφές προσωπικών πληροφοριών. Ο τρόπος με τον οποίο συλλέγονται, αποθηκεύονται και αξιοποιούνται από ιδιωτικές εταιρείες εγείρει πλήθος νομικών, ηθικών και κοινωνικών ερωτημάτων. Η περίπτωση της αμερικανικής εταιρείας 23andMe, σε συνδυασμό με τις πρόσφατες εξελίξεις στην Ελλάδα, αναδεικνύουν με σαφήνεια τους κινδύνους που σχετίζονται με την εμπορική διαχείριση γενετικών δεδομένων.

Η Περίπτωση της 23andMe

Η 23andMe ιδρύθηκε με την υπόσχεση να φέρει την γενετική ανάλυση στο ευρύ κοινό, προσφέροντας προσιτά τεστ DNA για πληροφορίες καταγωγής και υγείας. Ωστόσο, τον Μάρτιο του 2025, η εταιρεία υπέβαλε αίτηση πτώχευσης, μετά από χρόνια οικονομικών προβλημάτων λογω του μη βιώσιμου επιχειρηματικού μοντέλου της, μείωση στη ζήτηση των υπηρεσιών της και σοβαρά περιστατικά παραβίασης ασφαλείας.

Τον Οκτώβριο του 2023, η 23andMe υπέστη μια σοβαρή παραβίαση ασφαλείας που επηρέασε περίπου 6,9 εκατομμύρια χρήστες. Η επίθεση πραγματοποιήθηκε μέσω τεχνικής γνωστής ως "credential stuffing", όπου οι εισβολείς χρησιμοποίησαν επαναχρησιμοποιημένα ονόματα χρήστη και κωδικούς πρόσβασης από προηγούμενες διαρροές για να αποκτήσουν πρόσβαση σε λογαριασμούς χρηστών.

Η διαρροή περιλάμβανε ευαίσθητες πληροφορίες, όπως ονόματα, φωτογραφίες προφίλ, έτος γέννησης, τοποθεσία, εθνοτική καταγωγή, και γενετικά δεδομένα, όπως ομάδες απλοτύπων μιτοχονδριακού DNA και Y-χρωμοσώματος. Ιδιαίτερη ανησυχία προκάλεσε το γεγονός ότι οι εισβολείς στόχευσαν συγκεκριμένες εθνοτικές ομάδες, όπως Εβραίους Ασκενάζι και άτομα κινεζικής καταγωγής, με τα δεδομένα τους να πωλούνται στο dark web.

Η αντίδραση της εταιρείας επικρίθηκε έντονα, καθώς απέδωσε την ευθύνη στους χρήστες για τη χρήση επαναλαμβανόμενων κωδικών πρόσβασης, ενώ καθυστέρησε να αναγνωρίσει δημόσια την παραβίαση. Αυτό οδήγησε σε περισσότερες από δύο δωδεκάδες ατομικές και συλλογικές αγωγές, κατηγορώντας την εταιρεία για αμέλεια και παραβίαση της ιδιωτικότητας .

Ωστόσο, το ζήτημα δεν περιορίζεται μόνο στην παραβίαση. Κατά τη διαδικασία πτώχευσης, το πτωχευτικό δικαστήριο ενέκρινε την πώληση των περιουσιακών στοιχείων της εταιρείας -συμπεριλαμβανομένων των γενετικών δεδομένων- σε νέο επενδυτή, υπό τον όρο ότι θα τηρηθεί η ισχύουσα νομοθεσία. Παρ’ όλα αυτά, στις ΗΠΑ δεν υπάρχει ενιαίο αυστηρό νομικό πλαίσιο για την προστασία τέτοιων δεδομένων από ιδιωτικές εταιρείες, αφήνοντας σημαντικά κενά και ενισχύοντας τους φόβους για κακή χρήση τους.

«23andMe» και στην Ελλάδα;

Το πρόβλημα όμως δεν είναι μόνο αμερικανικό. Στην Ελλάδα, όπως αποκάλυψαν οι Reporters United και δημοσίευσε και η ΕφΣυν, το Υπουργείο Υγείας υπέγραψε προγραμματική σύμβαση με ιδιωτικές εταιρείες (RealGenix και Beginnings) για την υλοποίηση του προγράμματος "First Steps", το οποίο προβλέπει την αλληλούχιση του πλήρους γονιδιώματος 100.000 νεογνών μέχρι το 2029. Σύμφωνα με τη σύμβαση, τα ερευνητικά αποτελέσματα των αναλύσεων θα αποτελούν αποκλειστική ιδιοκτησία της ιδιωτικής εταιρείας, γεγονός που έχει προκαλέσει σφοδρές αντιδράσεις.

Το Ινστιτούτο Υγείας του Παιδιού, αρμόδιος δημόσιος φορέας για τον προληπτικό έλεγχο νεογνών, εξέφρασε σοβαρές επιφυλάξεις, επισημαίνοντας την απουσία επιστημονικής αξιολόγησης και τους ηθικούς κινδύνους της ιδιωτικοποίησης του ανθρώπινου γονιδιώματος. Αν και η κυβέρνηση αναφέρει ότι τα δεδομένα θα είναι ψευδωνυμοποιημένα και θα εφαρμόζεται ο Γενικός Κανονισμός για την Προστασία Δεδομένων (GDPR), δεν διευκρινίζονται συγκεκριμένες ασφαλιστικές δικλείδες, ούτε ο τρόπος που οι εταιρείες θα διαχειρίζονται τα δεδομένα μετά την ολοκλήρωση του έργου.

Ο Υπουργός Υγείας, Άδωνις Γεωργιάδης, υπερασπίστηκε το πρόγραμμα, δηλώνοντας ότι πιστεύει στη διαφάνεια και τη λογοδοσία, και ότι το πρόγραμμα έχει ως στόχο την πρόληψη και την προστασία της δημόσιας υγείας. Ωστόσο, οι ανησυχίες παραμένουν σχετικά με την ιδιωτικοποίηση του γενετικού υλικού και την έλλειψη σαφών όρων και προϋποθέσεων για τη χρήση των δεδομένων.

Οι Κίνδυνοι της Ιδιωτικοποίησης

Η σύνδεση με την περίπτωση της 23andMe είναι προφανής: και στις δύο περιπτώσεις, η διαχείριση γενετικών δεδομένων περνά σε χέρια ιδιωτών, με ελλιπές ή ασαφές πλαίσιο προστασίας.

Τα γενετικά δεδομένα είναι μοναδικά, δεν αλλάζουν, και μπορούν να χρησιμοποιηθούν όχι μόνο για ιατρικούς σκοπούς, αλλά και για ταυτοποίηση, κοινωνική μηχανική, ή ακόμη και impersonation attacks – επιθέσεις στις οποίες κάποιος προσποιείται την ταυτότητα του ατόμου βάσει γενετικής πληροφορίας. Η ιδιωτικοποίησή τους χωρίς αυστηρούς όρους διαχείρισης καθιστά εφικτή την επαναπροσδιορισιμότητα της ταυτότητας των υποκειμένων και δημιουργεί εύλογες ανησυχίες για μελλοντική κακή χρήση.

Επιπρόσθετα, η πρόσβαση στο γενετικό υλικό δεν αφορά μόνο το υποκείμενο, αλλά και τους συγγενείς του. Οποιοσδήποτε αποκτήσει πρόσβαση σε αυτή την πληροφορία μπορεί να λάβει πληροφορίες και για το στενό συγγενικό περιβάλλον, οπότε η παραβίαση ασφαλείας αυτών των δεδομένων εγκυμονεί σοβαρούς κινδύνους για οποιονδήποτε σχετίζεται βιολογικά με το θύμα.

Επιπλέον, η απώλεια ελέγχου του γενετικού υλικού από τους πολίτες και το δημόσιο τομέα ανοίγει τον δρόμο για εμπορική εκμετάλλευση χωρίς διαφάνεια. Όπως έδειξε η περίπτωση της 23andMe, σε ένα καθεστώς πτώχευσης ή εξαγοράς, η τύχη των δεδομένων εξαρτάται περισσότερο από τις οικονομικές επιδιώξεις των επενδυτών και λιγότερο από τα δικαιώματα των πολιτών.

Η ανάγκη για αυστηρότερο νομοθετικό πλαίσιο, διαφανείς διαδικασίες, ισχυρή δημόσια εποπτεία και ενημέρωση των πολιτών είναι επιτακτική. Τα γενετικά δεδομένα δεν είναι απλά ιατρικές πληροφορίες. Είναι φορείς ταυτότητας, ιστορίας και μελλοντικών δυνατοτήτων. Οφείλουμε να τα προστατεύσουμε ως τέτοια – όχι μόνο για εμάς, αλλά και για τις επόμενες γενιές.

by Homo Digitalis

Άρθρο 77 AI Act: Τι ισχύει 6 μήνες μετά τον ορισμό των Αρχών Θεμελιωδών Δικαιωμάτων;

Στην πρώτη επίσημη προθεσμία που έθεσε ο Κανονισμός για την Τεχνητή Νοημοσύνη, (AI ACT) ζητούσε από τα κράτη μέλη να διορίσουν μία οι περισσότερες αρχές σύμφωνα με το άρθρο 77 για την προστασία των θεμελιωδών δικαιωμάτων από παραβιάσεις συστημάτων υψηλού ρίσκου μέχρι και τις 2 Νοεμβρίου 2024.

Σήμερα, 2 Μαΐου 2025, έξι μήνες μετά την παρέλευση της προθεσμίας, 25 από τις 27 Ευρωπαϊκές χώρες (2), έχουν διορίσει συνολικά 210 αρχές, ένας αριθμός που μοιάζει συγκλονιστικός και συνάμα περνά ένα ηχηρό μήνυμα για το πόσο το ζήτημα των θεμελιωδών δικαιωμάτων αφορά τις χώρες αυτές. Αντικατοπτρίζει όμως την πραγματικότητα; Με την παρούσα σύντομη μελέτη θα προσπαθήσουμε να δώσουμε απαντήσεις στα εξής ερωτήματα:

– Σε τι αποσκοπεί το άρθρο 77 του Κανονισμού για την ΤΝ;
– Ποιες αρχές διορίστηκαν από τα κράτη μέλη μέχρι και σήμερα;
– Ποιες αρμοδιότητες δίνει πραγματικά ο Κανονισμός για την ΤΝ στις ρυθμιστικές αυτές αρχές αλλά και ποιες υποχρεώσεις απορρέουν από το άρθρο 78 του Κανονισμού της ΤΝ για την εμπιστευτικότητα των πληροφοριών;
– Ποιες είναι οι τέσσερις εθνικές αρχές που έχουν αναλάβει αυτό τον ρόλο, ποιες είναι οι υφιστάμενες και ποιες οι νέες εξουσίες τους σύμφωνα με τον Κανονισμό για την ΤΝ;

Μέσα από ένα case study, η Διευθύντρια Δικαιωμάτων του Ανθρώπου και Τεχνητής Νοημοσύνης της Homo Digitalis, Λαμπρινή Γυφτοκώστα, προσπαθεί να δει πως θα συνεργαστούν αυτές οι αρχές, θέτοντας ταυτόχρονα και κάποια ερωτήματα που σίγουρα θα μας απασχολήσουν σε βάθος χρόνου.

Μπορείτε να διαβάσετε τη μελέτη μας εδώ.

 

by Homo Digitalis

Δημοσιεύουμε την 4η Μελέτη μας για την ΑΙ ACT - Συγκριτική επισκόπηση των διατάξεων για τα δικαιώματα των θιγόμενων προσώπων

Σήμερα, 11 Απριλίου 2025, η Homo Digitalis δημοσιεύει την τέταρτη μελέτη της για τις διατάξεις του Κανονισμού  2024/1689 για την τεχνητή νοημοσύνη (ΤΝ), ευρέως γνωστού ως AI Act.

Στο επίκεντρο της μελέτης αυτής βρίσκονται το δικαίωμα στην επεξήγηση και το δικαίωμα του υποκειμένου να μην υπόκειται σε αυτοματοποιημένη λήψη απόφασης.

Συγκεκριμένα, η χρήση συστημάτων τεχνητής νοημοσύνης για τη λήψη αυτοματοποιημένων αποφάσεων επεκτείνεται συνεχώς τόσο στον δημόσιο όσο και στον ιδιωτικό τομέα, με σημαντικές επιπτώσεις για τα πρόσωπα που υπόκεινται σε αυτές

Επομένως, η παρούσα μελέτη εξετάζει τα μέσα έννομης προστασίας που διαθέτουν τα πρόσωπα που θίγονται από αποφάσεις που λαμβάνονται με τη χρήση ΤΝ. Η ανάλυση επικεντρώνεται στο δικαίωμα επεξήγησης της ατομικής λήψης απόφασης που προβλέπεται στο άρθρο 86 του Κανονισμού 2024/1689. Επειδή όμως η προστασία των θιγόμενων προσώπων δεν περιορίζεται αποκλειστικά στις εν λόγω διατάξεις, η ανάλυση εκτείνεται στο δικαίωμα αμφισβήτησης της ατομικής λήψης απόφασης που -υπό κατάλληλη ερμηνεία- ερείδεται στο άρθρο 22 του Κανονισμού 2016/679, γνωστού ως GDPR / ΓΚΠΔ.

H συγγραφική ομάδα της Μελέτης αποτελείται από δύο έξοχους νομικούς και μέλη – εθελοντές της Homo Digitalis τις (κατά αλφαβητική σειρά) Μαρία-Ευαγγελία Κωνσταντοπούλου και Στρατηγία-Δανάη Σκεύη.

Μπορείτε να διαβάστε την 4η μελέτη μας εδώ.

Θυμίζουμε ότι έχουμε δημοσιεύσει άλλες 3 μελέτες για τον Κανονισμό 2024/1689 και τη μεταφορά του στην ελληνική έννομη τάξη, τον Οκτώβριο (εκτίμηση αντικτύπου στα θεμελιώδη δικαιώματα), Νοέμβριο (διακυβέρνηση της ΤΝ και αρμόδιες αρχές εποπτείας) και Δεκέμβριο (απαγορευμένες πρακτικές) του 2024, αντίστοιχα.

Η εντατική αυτή προσπάθεια στοχεύει να συμβάλουμε εποικοδομητικά στο δημόσιο διάλογο στην Ελλάδα αλλά και σε επίπεδο ΕΕ στο πεδίο της τεχνητής νοημοσύνης, ενώ αποτελεί αποτέλεσμα της σημαντικής στήριξης του European Artificial Intelligence & Society Fund.

 

by Homo Digitalis

Πάσχα, νηστεία και εθισμός στα social media. Μήπως είναι η ευκαιρία μας για αποχή;

Γράφει η Μαρία Φουλεδάκη

Το Πάσχα είναι ευκαιρία αποτοξίνωσης – όχι μόνο από το κρέας, αλλά και από την υπερβολική χρήση των social media! Όπως προσέχουμε τι τρώμε, ας προσέξουμε και τι «καταναλώνουμε» ψηφιακά.

Σας παρουσιάζουμε λοιπόν 10 +1 Απλές και αποτελεσματικές στρατηγικές για να «νηστέψεις» από τα social media

1. Αυτοπαρατήρηση και περιορισμός της χρήσης των social media

Η αυτοπαρατήρηση είναι το πρώτο και σημαντικότερο βήμα. Παρακολουθήστε για μερικές μέρες, μέσω των εφαρμογών του κινητού σας τον χρόνο που καταναλώνεται στη χρήση των social media. Έπειτα ορίστε συγκεκριμένα χρονικά όρια ημερησίως. Η μέρες αυτές παρέχουν σημαντική βοήθεια καθώς θα βρεθούμε με φίλους, είτε από επιθυμία είτε από ανάγκη θα βγούμε από το σπίτι και το χώρο εργασίας μας. Είναι μια ευκαιρία να αφήσουμε το κινητό στην τσάντα ή στην τσέπη και να απολαύσουμε αυτές τις μέρες. Υπάρχουν εξάλλου πολλές εφαρμογές ιδιαίτερα διαδεδομένες που προσφέρουν εργαλεία παρακολούθησης χρόνου, όπως το forest (android, iOS) αλλά και τα ήδη ενσωματωμένα σε android  Digital Wellbeing και για (iOS)  Screen Time.

2. Αφαιρέστε εφαρμογές απότο κινητό σας

Τα smartphones μας μοιάζουν με το πασχαλινό τραπέζι. Είναι γεμάτα με εφαρμογές στην επιφάνεια τους, με αποτέλεσμα να είναι εξαιρετικά εύκολο το διαρκές «τσιμπολόγημα». Η διαγραφή από το smartphone μας κάποιων εφαρμογών, ώστε να έχουμε δυνατότητα πρόσβασης σε αυτήν μόνο από υπολογιστή ή από browser περιορίζει κατά συνθήκη σημαντικά την χρήση τους και κυρίως την αλόγιστη χρήση αυτών. Από το 2021 έχω διαγράψει την εφαρμογή Facebook από το κινητό μου, με αποτέλεσμα να το επισκέπτομαι πολύ περιορισμένα μέσα στην εβδομάδα και κυρίως πιο συνειδητά. Δεν εμφανίζονται πλέον notifications που να με αποσπούν απ’ οτιδήποτε άλλο κάνω. Μετά από τέσσερα χρόνια τολμώ να πώ ότι δεν έχω στερηθεί τίποτα από όσα μπορεί να μου προσφέρει το συγκεκριμένο μέσο κοινωνικής δικτύωσης.

3. Η καλή μέρα απότο πρωί φαίνεται

Ξεκινήστε την ημέρα σας μακριά από οθόνες! Οκ, κλείστε το ξυπνητήρι πρώτα… Έρευνες έχουν δείξει πόσο ωφέλιμη είναι για την σωματική και ψυχική υγεία η πρωινή άσκηση. Η άσκηση δεν είναι απαραίτητο να είναι αυτή του Ολυμπιονίκη, ακόμα και μερικές ασκήσεις stretching ή ένας δεκάλεπτος περίπατος γύρω από το τετράγωνο εκτός από μια αναζωογονητική συνήθεια είναι και ένας εξαιρετικός τρόπος απεμπλοκής από τη χρήση του κινητού ή του υπολογιστή χωρίς ακόμα να έχεις πιει την πρώτη γουλιά καφέ. Φορέστε τα ακουστικά σας, βάλτε την αγαπημένη σας playlist και περπατήστε ακόμα και για ελάχιστο χρόνο. Τα αποτελέσματα θα είναι άμεσα και θα σας ενθουσιάσουν.

4. Επιλέξτε τι θα παρακολουθείτε

Αφιερώστε λίγο χρόνο για να ελέγξετε την «προσωπικότητα» των socialmedia σας. Ανατρέξτε στους «φίλους» σας στο Facebook και Instagram αλλά και τις προτιμήσεις σας στο Tik Tok και κάντε ένα γερό ξεσκαρτάρισμα. Όλοι μας ακολουθούμε σελίδες που ίσως είχαν ένα ενδιαφέρον το 2007 που ξεκινήσαμε να έχουμε Social Media οι οποίες πλέον δεν παρουσιάζουν κάτι το συγκλονιστικό ή δραστήριους διαδικτυακούς φίλους που το περιεχόμενο τους δεν μας ενδιαφέρει και εμφανίζονται διαρκώς στο timeline μας. Με τον καιρό, οι λογαριασμοί που ακολουθούμε μπορεί να συσσωρεύονται χωρίς ιδιαίτερη σκέψη. Μια στοχευμένη εκκαθάριση μπορεί να κάνει την εμπειρία σας στα social media πιο υγιή και ουσιαστική. Αφαιρέστε ή κάντε mute λογαριασμούς και φίλους που:

  • Δεν συνδέεστε πια μέσα από κοινά ενδιαφέροντα ή αλληλεπίδραση.
  • Τους ακολουθήσατε από συνήθεια ή εκ παραδρομής.

Η μείωση των ψηφιακών «θορύβων» σας βοηθά να αποκτήσετε ένα πιο «καθαρό» και θετικό feed, και να εστιάζετε σε ό,τι πραγματικά έχει αξία για εσάς

5. Καθιερώστε μια «ψηφιακή αποτοξίνωση» ημέρας

Οι ανοιξιάτικες Κυριακές είναι η καλύτερη ευκαιρία! Ακόμα κι αν δεν υπάρχει η δυνατότητα εκδρομής και φαγητού με φίλους, η Κυριακή απόμόνη της προσφέρει την αίσθηση της χαλάρωσης. Επιλέξτε την Κυριακή, που -ελπίζω- να ξυπνάτε λίγο πιο αργά, αγοράστε μια Κυριακάτικη εφημερίδα, ξεφυλλίστε τα περιοδικά της, μαγειρέψτε κάτι διαφορετικό, κάντε μια όμορφη βόλτα είτε με το αυτοκίνητο είτε με τα πόδια και αφήστε το κινητό στο σπίτι (εφόσον πάντα οι συνθήκες το επιτρέπουν)

6. Γίνετε πιο δημιουργικοί

Προς θεού, δεν ζητάμε να παρουσιάσετε το Πάσχα του 2026 την έκθεση ζωγραφικής σας. Η δημιουργικότητα μπορεί να έχει πολλές εκφάνσεις. Κλείστε το κινητό και αλλάξτε την διακόσμηση σε ένα χώρο του σπιτιού σας, ακόμα και με πράγματα που υπάρχουν ήδη στο σπίτι. Αναζητήστε στο κινητό σας παλιές φωτογραφίες ή φωτογραφίες με φίλους και ωραίες αναμνήσεις και διαμορφώστε ένα ψηφιακό άλμπουμ, φυτέψτε λουλούδια στο μπαλκόνι σας και δείτε να μεγαλώνουν, ζωγραφίστε κούπες και άλλες τόσες απλές και εύκολες ιδέες που μπορούν να σας απασχολήσουν και να ομορφύνουν την καθημερινότητα σας.

7. Εμπλέξτε φίλους ή οικογένεια

Συμφωνήστε με έναν φίλο να κάνετε μαζί ένα διάλειμμα από τα μέσα κοινωνικής δικτύωσης και ενθαρρύνετε ο ένας τον άλλον. Επικοινωνήστε την πρόοδο σας αλλά και τα οφέλη της και κάντε «brainstorming» για τις εναλλακτικές σας. Το γεγονός ότι δεν είστε μόνοι σας σε αυτήν την προσπάθεια θα βοηθήσει σημαντικά, όπως θα βοηθήσει και η εμπιστοσύνη που έχετε δείξει ο ένας στον άλλο για την επίτευξη του κοινού στόχου.

8. Think before you post

Σκεφτείτε σοβαρά οποιοδήποτε post σας. Πριν μοιραστείτε κάτι είτε αυτό είναι μια ευχάριστη στιγμή, είτε κάποιο επίτευγμα σαςείτε μια είδηση, αναρωτηθείτε γιατί το κάνετε. Πριν μοιραστείτε κάτι, ρωτήστε τον εαυτό σας: «Γιατί το κάνω;» Η ενσυνείδητη χρήση μειώνει τη μηχανική εξάρτηση και ενισχύει την προσωπική αυθεντικότητα.

9. Επιστροφή στην περίοδο πριν τα social media

Πως περνάγαμε άραγε τα καλοκαίρια μαςπριν τα social media, πως κρατούσαμε τις αναμνήσεις ζωντανές, ποιες είναι οι μυρωδιές μας και οι αισθήσεις μας από την προηγούμενη εικοσαετία. Ας δώσουμε την ευκαιρία σε ένα καλό βιβλίο, την αίσθηση του οποίου δεν μπορεί να αντικαταστήσει ούτε το καλύτερο e-book, ας ενωθούμε με την φύση ή ακόμα κι αν είναι δύσκολο αυτό ας αφουγκραστούμε τους ήχους της μεγαλούπολης μας, ας παρακολουθήσουμε διακριτικά και με ενσυναίσθηση τους ανθρώπους γύρω μας, τα χρώματα και τα ιδιαίτερα χαρακτηριστικά των κατά τ’ άλλα γκρίζων πολυκατοικιών, ας πλάσουμε ιστορίες με φαντασία ή χωρίς, ας μιλήσουμε με τους ανθρώπους μας με το κινητό στο αθόρυβο, ας τους ακουμπήσουμε, ας τους αφουγκραστούμε. Είναι τόσο ξεχωριστοί οι καφέδες όταν έχει κλείσει το κινητό μας από μπαταρία άρα το story θα ανέβει ετεροχρονισμένα και τα notification θα ελεγχθούν μετά από ώρα.

10. Manifest Your Digital Freedom

Αντί να δεις την αποτοξίνωση σαν στέρηση, δες την ως ευκαιρία να οραματιστείς τη σχέση που θέλεις να έχεις με το διαδίκτυο. Φαντάσου τον εαυτό σου να χρησιμοποιεί τα social media με μέτρο, μόνο για πράγματα που σου δίνουν χαρά, γνώση και έμπνευση. Γράψε σε ένα χαρτί πώς θα ήθελες να μοιάζει η καθημερινότητά σου χωρίς το άγχος της υπερσύνδεσης. Και κάθε μέρα, κάνε ένα μικρό βήμα πιο κοντά σε αυτό το όραμα. Το κλειδί δεν είναι να «κόψεις» κάτι, αλλά να δημιουργήσεις μια νέα ψηφιακή πραγματικότητα που να σε εκφράζει.

+1. Δώσε χρόνο

Η αλλαγή συνηθειών και μάλιστα τόσο έντονων και πολλές φορές απαραίτητων για την κοινωνική μας υπόσταση είναι μια αρκετά δύσκολη και ίσως κάποιες φορές επίπονη προσπάθεια. Κάθε μέρα που θα περιορίζεις έστω και ελάχιστα την χρήση των social media θα είναι μια μικρή νίκη.

Τα social media είναι ένα σπουδαίο τεχνολογικό επίτευγμα το οποίο μας παρέχεται δωρεάν (ή όχι και τόσο δωρεάν αν αναλογιστεί κανείς ότι το πληρώνουμε με τα προσωπικά μας δεδομένα), μας συνδέει με φίλους από μακριά, μας παρέχει σημαντική γρήγορη πληροφόρηση. Ωστόσο, ακόμα και μία μικρή αλλαγή μπορεί να κάνει τη διαφορά. Η κάθε μέρα που αποφεύγεις τη συνεχιζόμενη χρήση των social media είναι μια νίκη για τον εαυτό σου"

by Homo Digitalis

Με επιτυχία ολοκληρώθηκαν σημαντικές δράσεις ευαισθητοποίησης στη Λάρισα τη περίοδο Φεβρουάριος – Μάρτιος

Το μέλος μας Τάσος Αραμπατζής εκπροσώπησε με μεγάλη επιτυχία τη Homo Digitalis παραχωρώντας μία σειρά από δράσεις ευαισθητοποίησης και εκπαίδευσης στη Λάρισα, εθελοντικά.

Συγκεκριμένα, σε συνεργασία με την Φρόσω Κτιστάκη – διδάκτορα και καθηγήτρια πιάνου – παραχώρησαν μία εκπαιδευτική παρουσίαση με θέμα την Κυβερνοασφάλεια, τη Μουσική και τα Ανθρώπινα Συναισθήματα. Στο πλαίσιο αυτό, μίλησαν για τον ανθρώπινο παράγοντα της κυβερνοαφάλειας, τον αντίκτυπο της παραβίασης των προσωπικών δεδομένων και πως η μουσική μπορεί να βοηθήσει. Η εκδήλωση έλαβε χώρο στο Λύκειο Πυργετού στις 24 Φεβρουαρίου.

Επίσης, ο Τάσος εκπροσώπησε τη Homo Digitalis μιλώντας στους μαθητές Ε και Στ τάξεων δύο συστεγαζόμενων Δημοτικών Σχολείων στην Λάρισα, του 15ου και 43ου στο τέλος Μαρτίου. Το αντικείμενο της παρουσίασης ήταν το cyber bullying.

by Homo Digitalis

Η επιρροή του GDPR στα Μέσα Κοινωνικής Δικτύωσης μέσα από τη μελέτη περίπτωσης του Facebook

Γράφει η Μαρία Κατσιώτη

Σύμφωνα με την ΕΛΣΤΑΤ (Ελληνική Στατιστική Αρχή, 2023), η πρόσβαση των Ελλήνων στα Μέσα Κοινωνικής Δικτύωσης (ΜΚΔ) είναι ένας από τους κύριους λόγους χρήσης του Διαδικτύου. Η επίδραση των ΜΚΔ στη ζωή μας μπορεί να είναι θετική (δυνατότητες επικοινωνίας, πρόσβασης σε πληροφορίες, συμμετοχής σε ομάδες κ.α.) αλλά και αρνητική (όπως επιρροή πολιτικής βούλησης, διακρίσεις, εκφοβισμός, εθισμός, παραπληροφόρηση, παράνομη συλλογή και επεξεργασία δεδομένων). Αναφορικά με την προστασία προσωπικών δεδομένων χρηστών, με στόχο τον αποτελεσματικότερο περιορισμό των σχετικών αρνητικών επιπτώσεων (σε σχέση με την Οδηγία 95/46), ο ευρωπαίος νομοθέτης ψήφισε τον GDPR το 2016, ο οποίος τέθηκε σε εφαρμογή το 2018. Στο σημείο αυτό τίθεται το ερώτημα: τελικά ο GDPR έχει συμβάλλει μέχρι στιγμής στον περιορισμό των αρνητικών επιπτώσεων των ΜΚΔ στην προστασία προσωπικών δεδομένων χρηστών; Για να δώσουμε μία απάντηση, ας μελετήσουμε την περίπτωση του Facebook ως ΜΚΔ της Meta.

Τι είναι το Facebook, πως λειτουργεί και ποια είναι η σχέση του με τα προσωπικά μας δεδομένα;

Το Facebook είναι μία διαδικτυακή πλατφόρμα που επιτρέπει στους χρήστες να αναπτύσσουν δίκτυα και κοινότητες εντός αυτού και να ανταλλάσσουν μηνύματα, περιεχόμενα και γενικά πληροφορίες (προσωπικά δεδομένα και μη). Αν και οι περισσότεροι χρήστες πιστεύουν ότι οι υπηρεσίες του Facebook παρέχονται δωρεάν, στην πραγματικότητα λανθάνουν. Μέχρι το 2023, το μοντέλο εσόδων του Facebook ήταν αποκλειστικά η διαφήμιση. Το μοντέλο εσόδων διαφήμισης σημαίνει ότι το Facebook συλλέγει και γενικά επεξεργάζεται τα προσωπικά δεδομένα που ο χρήστης παρέχει κατά την εγγραφή του σε αυτό και από την διάδραση του με άλλους χρήστες, με ιστοσελίδες και περιεχόμενα, καθώς και προσωπικά του δεδομένα εκτός πλατφόρμας που παρέχονται από τρίτους με στόχο να καταρτίσει το προφίλ του εκάστοτε χρήστη και να προβαίνει σε στοχευμένες διαφημίσεις επί πληρωμή (από επιχειρηματικούς χρήστες συνήθως για διαφήμιση του προϊόντος τους) βάσει του προφίλ και συμπεριφοράς του (Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων, 2020).

Αυτή η αναλυτική (έως ψυχογραφική) κατάρτιση προφίλ σε συνδυασμό με το μέγεθος και τον παγκόσμιο χαρακτήρα της εταιρίας δημιουργεί κινδύνους για τα δικαιώματα και ελευθερίες του ατόμου και ιδίως για την προστασία των προσωπικών δεδομένων του χρήστη, όπως η χειραγώγηση της βούλησης των χρηστών τόσο για καταναλωτικές όσο και για πολιτικές ενέργειες (π.χ. σκάνδαλο Cambridge analytica), η έλλειψη νομιμότητας επεξεργασίας, διαφάνειας, ουσιαστικής ενημέρωσης και ελέγχου του χρήστη επί των προσωπικών του δεδομένων, η αίσθηση της διαρκής παρακολούθησης του, οι ενδεχόμενες διακρίσεις βάσει προφίλ, η στόχευση και η ενδεχόμενη αρνητική επιρροή στην ανάπτυξη των παιδιών.

Πλέον, μετά την ανακοίνωση της Meta τον Οκτώβριο του 2023, το Facebook υιοθέτησε το μοντέλο “pay or consent” (Συνδρομή ή Συγκατάθεση για συμπεριφορική διαφήμιση), παρέχοντας σήμερα στους χρήστες τρεις (στην αρχή ήταν δύο) εναλλακτικές επιλογές για τη χρήση του Facebook: α) με συνδρομή (η οποία είναι πλέον μικρότερη σε σχέση με την αρχική προτεινόμενη λόγω της Γνώμης 08/2024 του ΕΣΠΔ, όπως αναφέρεται παρακάτω), β) με εξατομικευμένες διαφημίσεις και γ) λιγότερο εξατομικευμένες διαφημίσεις (η τρίτη επιλογή δόθηκε μετά από τη Γνώμη 08/2024 του ΕΣΠΔ).

Από το 2016 μέχρι το 2025, ποια ήταν τελικά η επιρροή του GDPR στο Facebook;

Από το 2016 που ψηφίστηκε ο GDPR μέχρι σήμερα, το Facebook έχει προβεί σε πολλές  τροποποιήσεις και ενέργειες προς συμμόρφωση με αυτόν κατόπιν σχετικών Πράξεων του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (ΕΣΠΔ), Αποφάσεων του Δικαστηρίου της Ευρωπαϊκής Ένωσης (ΔΕΕ), καθώς και κατόπιν του συνόλου προστίμων που επέβαλε η Ιρλανδική Αρχή Προστασίας Δεδομένων στη Meta Ireland, ως θυγατρική της Meta, για το ΜΚΔ Facebook.

Ειδικότερα, σχετικές Πράξεις του ΕΣΠΔ που έχουν εκδοθεί και έχουν ασκήσει επιρροή στο Facebook είναι ενδεικτικά οι ακόλουθες:

  • «Κατευθυντήριες γραμμές 8/2020 σχετικά με τη στόχευση χρηστών μέσων κοινωνικής δικτύωσης (Έκδοση 2.0)».
  • “Guidelines 03/2022 on Deceptive design patterns in social media platform interfaces: how to recognise and avoid them (Version 2.0)”.
  • “Urgent Binding Decision 01/2023 requested by the Norwegian SA for the ordering of final measures regarding Meta Platforms Ireland Ltd (Art. 66(2) GDPR)”. Βάσει της απόφασης η META δεν μπορεί να χρησιμοποιεί τη «σύμβαση» ή το «έννομο συμφέρον» ως νομική βάση επεξεργασίας για σκοπούς συμπεριφορικής διαφήμισης.
  • «Γνώμη 8/2024 σχετικά με την έγκυρη συγκατάθεση στο πλαίσιο μοντέλων συγκατάθεσης ή πληρωμής τα οποία εφαρμόζουν μεγάλες επιγραμμικές πλατφόρμες».

Αναφορικά με τα πρόστιμα από την Ιρλανδική Επιτροπή για την Προστασία Δεδομένων, επιβλήθηκαν ενδεικτικά τα ακόλουθα κατά το διάστημα 2022-2024:

  • 15/3/2022: Πρόστιμο 17 εκατομμύρια ευρώ στη Meta (Facebook) λόγω έλλειψης τεχνικών και οργανωτικών μέτρων ασφαλείας
  • 28/11/2022: Πρόστιμο 265 εκατομμύρια ευρώ στη Meta (Facebook) λόγω έλλειψης προστασίας δεδομένων από το σχεδιασμό και εξ ορισμού (by design and by default)
  • 4/1/2023: Πρόστιμο 210 εκατομμύρια ευρώ στη Meta (Facebook) λόγω του ότι δεν νομιμοποιείται να χρησιμοποιεί ως νομική βάση της «σύμβασης» για την συμπεριφορική διαφήμιση ως πράξη επεξεργασίας
  • 22/5/2023: Πρόστιμο ρεκόρ 1,2 δισ. Ευρώ στη Meta (Facebook) λόγω παράνομων διαβιβάσεων δεδομένων στις ΗΠΑ, κατόπιν μάλιστα της ακύρωσης της Απόφασης Επάρκειας της Ευρωπαικής Επιτροπής σχετικά με την επάρκεια της προστασίας που παρέχεται από την ασπίδα προστασίας της ιδιωτικής ζωής ΕΕ-ΗΠΑ, δυνάμει της Απόφασης ΔΕΕ Schrems II (2020).
  • 17/12/2024 : Πρόστιμο 250 εκατομμύρια ευρώ, μεταξύ άλλων, λόγω του ότι τα συστήματα επεξεργασίας του Facebook δεν ήταν by design και by default σχεδιασμένα σύμφωνα με τον GDPR.

Τέλος, παρακάτω παρουσιάζονται ενδεικτικά κάποιες ενέργειες στις οποίες προέβη η εταιρία σε σχέση με την επεξεργασία προσωπικών δεδομένων χρηστών στο Facebook προς συμμόρφωση με τον GDPR και τις Πράξεις του ΕΣΠΔ και της Ιρλανδικής Επιτροπής, καθώς και Αποφάσεις του ΔΕΕ:

  • Διορισμός Υπεύθυνου Προστασίας Δεδομένων για πρώτη φορά με ανακοίνωση του 2017.
  • Aνακοίνωση της Meta ότι από τις 7 Σεπτεμβρίου 2023, η διατλαντική μεταφορά δεδομένων χρηστών του Facebook θα πιστοποιηθεί βάσει του νέου Πλαισίου Προστασίας Προσωπικών Δεδομένων (DPF), το οποίο πράγματι συνέβη (βλέπετε εδώ).
  • Αλλαγή της νομικής βάσης για την επεξεργασία δεδομένων για την συμπεριφορική διαφήμιση από τη «σύμβαση» στην νομική βάση της «συγκατάθεσης».
  • Για να είναι έγκυρη η «συγκατάθεση», η Meta υιοθέτησε το μοντέλο “pay or consent” με τρεις εναλλακτικές επιλογές, όπως αναφέρθηκε προηγουμένως.
  • Δημιουργία πιο αναλυτικής και «διάφανης» Πολιτικής Προσωπικών Δεδομένων με παραδείγματα, βίντεο και φωτογραφίες. Σύμφωνα με έρευνα (Hanlon & Jones, 2023), μεταξύ των ετών 2005 και 2023, το Facebook ως ΜΚΔ έχει τροποποιήσει την Πολιτική Απορρήτου του 24 φορές, με την πρώτη έκδοση να περιέχει 1.000 λέξεις, ενώ η έκδοση του 2023 να έχει φτάσει τις 11.476 λέξεις.
  • Δημιουργία διαφόρων εργαλείων για μεγαλύτερο έλεγχο των προσωπικών δεδομένων των χρηστών και διαφάνεια (π.χ. εργαλείο μεταβίβασης των δεδομένων σε άλλη υπηρεσία και εργαλείο πρόσβασης, διαχείρισης και διαγραφής των παρεχόμενων δεδομένων κ.ά.).

Λαμβάνοντας όλα τα ανωτέρω υπόψη, γίνεται αντιληπτό ότι ο GDPR μέσω των προβλεπόμενων αρμόδιων οργάνων και πράξεων ασκεί επιρροή, έστω και με αργούς ρυθμούς, σε μεγάλες επιγραμμικές πλατφόρμες (όπως τα ΜΚΔ) οι οποίες (πολλές φορές υπό το «φόβο» επιβολής προστίμου) προβαίνουν σε ενέργειες συμμόρφωσης, συμβάλλοντας με τον τρόπο αυτόν στην διεκδίκηση του ελέγχου του Υποκειμένου των Δεδομένων επί των προσωπικών του δεδομένων.

Βιβλιογραφία - Αναφορές

Hanlon, A., & Jones, K. (2023, July 07). Ethical concerns about social media privacy policies: do users have the ability to comprehend their consent actions? Journal of Strategic Marketing. doi:10.1080/0965254X.2023.2232817.

Meta. (2024, November 12). Facebook and Instagram to Offer Subscription for No Ads in Europe. Ανάκτηση Μάρτιος 2025.

Ελληνική Στατιστική Αρχή. (2024). ΕΡΕΥΝΑ ΧΡΗΣΗΣ ΤΕΧΝΟΛΟΓΙΩΝ ΠΛΗΡΟΦΟΡΗΣΗΣ ΚΑΙ ΕΠΙΚΟΙΝΩΝΙΑΣ ΑΠΟ ΝΟΙΚΟΚΥΡΙΑ ΚΑΙ ΑΤΟΜΑ.

Ευρωπαικό Συμβούλιο Προσωπικών Δεδομένων. (8/2020, Σεπτέμβριος). Κατευθυντήριες γραμμές 8/2020 σχετικά με τη στόχευση χρηστών μέσων κοινωνικής δικτύωσης-Έκδοση 2.0.

*Η Μαρία Κατσιώτη είναι Δικηγόρος, Msc Law and Informatics.

by Homo Digitalis

Παραχωρούμε αιγίδα και ομιλία στο 15o InfoCom Security 2025!

Με χαρά ανακοινώνουμε ότι η Homo Digitalis παραχωρεί για ακόμη μια χρόνια την αιγίδα της στο 15o InfoCom Security 2025!! Η επετειακή εκδοχή του θα λάβει χώρα στις 2 & 3 Απριλίου στο Ωδείο Αθηνών!

O Κωνσταντίνος Κακαβούλης θα εκπροσωπήσει το ΔΣ μας εκεί, παραχωρώντας και την εναρκτήρια τοποθέτηση του συνεδρίου κατά τη δεύτερη ημέρα διεξαγωγής του!

Οι εγγραφές είναι ανοιχτές και δωρεάν!! Μπορείτε να κάνετε τη δίκη σας, καθώς και να δείτε το πλήρες πρόγραμμα για τις 2 ημέρες του συνεδρίου εδώ.

Ευχαριστούμε θερμά την ομάδα των διοργανωτών για την εξαιρετική συνεργασία (SmartPress S.A., IT Security Pro ) στο πλαίσιο της εκδήλωσης.

 

by Homo Digitalis