Η τοποθεσία μας έχει τιμή — δες ποιοι την πουλούσαν στις ΗΠΑ

Πρόστιμο 196 εκατ. δολ. σε αμερικανικούς παρόχους για πώληση δεδομένων τοποθεσίας. Γιατί ο GDPR προστατεύει διαφορετικά τον συνδρομητή στην Ελλάδα.

Η αμερικανική Ομοσπονδιακή Επιτροπή Επικοινωνιών (FCC) επέβαλε πρόστιμα συνολικού ύψους σχεδόν 196 εκατομμυρίων δολαρίων (περίπου 181 εκατ. ευρώ) στις T-Mobile, AT&T και Verizon, επειδή πούλησαν παράνομα δεδομένα τοποθεσίας πελατών τους σε πραγματικό χρόνο. Η υπόθεση φέρνει ξανά στο προσκήνιο ένα ερώτημα που αφορά κάθε συνδρομητή κινητής, και στην Ελλάδα: πού καταλήγει τελικά η πληροφορία για το πού βρίσκεσαι κάθε στιγμή.

Τι ακριβώς συνέβη στις ΗΠΑ

Οι τρεις μεγαλύτεροι πάροχοι κινητής τηλεφωνίας των ΗΠΑ έδωσαν σε τρίτους τη δυνατότητα να εντοπίζουν τη θέση των συνδρομητών έναντι αμοιβής, χωρίς τη συγκατάθεσή τους. Τα δεδομένα τοποθεσίας κατέληγαν σε εξωτερικές εταιρείες μέσα από μια αλυσίδα μεσαζόντων (data brokers), χωρίς ο χρήστης να γνωρίζει ότι κάτι τέτοιο συνέβαινε. Όπως σημειώνει ο Vaidotas Šedys, επικεφαλής διαχείρισης κινδύνου της Oxylabs, το βασικό πρόβλημα είναι διπλό: η πώληση δεδομένων χωρίς ενημερωμένη συναίνεση και οι ανεπαρκείς έλεγχοι πάνω στους τρίτους που τελικά αποκτούσαν πρόσβαση. Καταστάσεις σαν αυτή, λέει, σπάνε το συμβόλαιο εμπιστοσύνης ανάμεσα στον πάροχο και τον πελάτη.

Πώς προστατεύεται ο συνδρομητής στην Ελλάδα

Στην Ελλάδα και στην υπόλοιπη Ευρώπη ο εντοπισμός θέσης μέσω κινητού δεν ρυθμίζεται από έναν φορέα σαν τη FCC, αλλά από τον Γενικό Κανονισμό Προστασίας Δεδομένων (GDPR) σε συνδυασμό με την εθνική νομοθεσία (ν. 4624/2019 και ν. 3471/2006 για το απόρρητο των επικοινωνιών). Αρμόδια να επιβάλει πρόστιμα είναι η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ), ενώ για το απόρρητο των επικοινωνιών εμπλέκεται και η ΑΔΑΕ. Το ευρωπαικό πλαίσιο απαιτεί ρητή συγκατάθεση πριν αξιοποιηθούν δεδομένα τοποθεσίας για σκοπούς πέρα από την ίδια την παροχή της υπηρεσίας. Η λογική της εξάρτησης από μεγάλες υποδομές και η αδιαφάνεια στη διαχείριση δεδομένων είναι θέμα που έχει απασχολήσει την Ευρώπη και σε άλλα μέτωπα.

Γιατί δεν υπάρχει αντίστοιχη ελληνική υπόθεση

Στην Ελλάδα δεν έχει καταγραφεί παρόμοιο περιστατικό εσκεμμένης πώλησης δεδομένων τοποθεσίας, και αυτό δεν είναι τυχαίο. Το αμερικανικό μοντέλο, όπου πάροχοι διοχετεύουν τη θέση των συνδρομητών σε μεσάζοντες για κέρδος, δύσκολα στέκεται υπό τον GDPR, που απαιτεί ρητή συναίνεση για κάθε τέτοια χρήση. Το μεγαλύτερο ελληνικό περιστατικό με δεδομένα παρόχου ήταν εντελώς διαφορετικής φύσης: η διαρροή στην Cosmote το 2020 προήλθε από κυβερνοεπίθεση και όχι από εμπορική διάθεση δεδομένων. Με την υπ’ αριθμόν 4/2022 απόφασή της, η ΑΠΔΠΧ επέβαλε συνολικό πρόστιμο 9,25 εκατομμυρίων ευρώ — 6 εκατ. στην Cosmote και 3,25 εκατ. στον ΟΤΕ — όμως η παράβαση αφορούσε ανεπαρκή μέτρα ασφάλειας και διατήρηση περισσότερων δεδομένων από όσα επέτρεπε ο νόμος, όχι σκόπιμη πώληση. Η έκθεση δεδομένων έπειτα από κυβερνοεπίθεση είναι, επομένως, ξεχωριστός κίνδυνος από αυτόν της εμπορικής μεταπώλησης.

Γιατί η συναίνεση δεν αρκεί

Ακόμα και όταν υπάρχουν όλες οι απαραίτητες γνωστοποιήσεις, ένας μόνο κακόβουλος παράγοντας που θα περάσει απαρατήρητος από τους ελέγχους μπορεί να εκθέσει δεδομένα με τρόπους που καμία πολιτική απορρήτου δεν προέβλεψε. Γι’ αυτό οι ειδικοί προτείνουν αυστηρότερες διαδικασίες ταυτοποίησης (Know-Your-Customer, KYC), έναν μηχανισμό γνωστό από τον χρηματοπιστωτικό κλάδο.

Το προτεινόμενο πλαίσιο στηρίζεται σε τρεις πυλώνες:

• Επαλήθευση ταυτότητας: έλεγχος των νομικών οντοτήτων, εξέταση εγγράφων και διασταύρωση μέσω δημόσιων αρχείων.
• Αξιολόγηση χρήσης: κατανόηση του γιατί ο πελάτης ζητά πρόσβαση και αν αυτό ευθυγραμμίζεται με νόμιμους σκοπούς.
• Συνεχής παρακολούθηση: διαρκής επανέλεγχος, καθώς οι δραστηριότητες ενός πελάτη μπορεί να αλλάξουν με τον καιρό.

Ο όγκος των πληροφοριών που συγκεντρώνουν σήμερα οι υπηρεσίες για τον καθένα μας κάνει αυτούς τους ελέγχους πιο κρίσιμους από ποτέ — ένα ζήτημα που αγγίζει και το πόσα γνωρίζουν για εμάς οι ψηφιακοί βοηθοί.

Η άποψή μας στο Techblog

Το περιστατικό αφορά τις ΗΠΑ, αλλά το δίδαγμα είναι καθολικό: όταν δίνεις τη συγκατάθεσή σου σε μια εφαρμογή ή έναν πάροχο, σπάνια ξέρεις πού καταλήγει τελικά η τοποθεσία σου. Η ουσιαστική διαφορά με την Ευρώπη είναι ότι εδώ ο GDPR καθιστά πολύ δυσκολότερο το ίδιο το μοντέλο της μεταπώλησης δεδομένων τοποθεσίας — γι’ αυτό και δεν βλέπουμε ανάλογες υποθέσεις. Στην πράξη, πάντως, ο πιο άμεσος έλεγχος παραμένει στα χέρια μας: περιορισμός των αδειών τοποθεσίας στις εφαρμογές που δεν τις χρειάζονται πραγματικά.