Ποιος ελέγχει τα πιο ευαίσθητα δεδομένα των Ελλήνων πολιτών;

Το ελληνικό Δημόσιο έχει μεταφέρει ένα αυξανόμενο μέρος των ψηφιακών υπηρεσιών του σε εμπορικές υποδομές cloud, με τη Microsoft να αποτελεί βασικό πάροχο. Η αρχική σύμβαση με την εταιρεία, ύψους 87,7 εκατ. ευρώ, αυξήθηκε κατά περίπου 50% μέσα από διαδοχικές τροποποιήσεις, χωρίς να προκηρυχθεί νέος διαγωνισμός.

Την ίδια στιγμή, μελέτες που προβλέπονται από τον νόμο για την ταξινόμηση των δεδομένων ανάλογα με την ευαισθησία τους και τον καθορισμό των αντίστοιχων απαιτήσεων ασφαλείας καθυστέρησαν πέρα από τις προβλεπόμενες προθεσμίες. Έτσι, η Ελλάδα ακολούθησε την αντίστροφη πορεία: συστήματα και δεδομένα μεταφέρθηκαν πρώτα στο cloud, ενώ οι μελέτες που θα έπρεπε να καθορίζουν τις προϋποθέσεις ασφαλούς φιλοξενίας τους παραμένουν σε εκκρεμότητα μέχρι και αυτή τη στιγμή.

Εξετάζοντας νομοθετικές ρυθμίσεις, δημόσιες συμβάσεις, τεχνικά έγγραφα και μαρτυρίες ανθρώπων που συμμετείχαν στην ανάπτυξη των κρατικών ψηφιακών υποδομών, το Solomon ανασυνθέτει τη μετάβαση από ένα μοντέλο δημόσιας ανάπτυξης και διαχείρισης σε ένα σύστημα που βασίζεται ολοένα περισσότερο σε ιδιωτικούς παρόχους. 

Η έρευνα εξετάζει το κόστος αυτής της μετάβασης, τις καθυστερήσεις στους θεσμοθετημένους ελέγχους και, κυρίως, ένα ερώτημα που παραμένει κρίσιμο: ποιος ελέγχει τις ψηφιακές υποδομές στις οποίες βασίζονται οι δημόσιες υπηρεσίες και όπου φιλοξενούνται τα δεδομένα των πολιτών;

Από το δημόσιο cloud στο ενοικιαζόμενο

Κάθε φορά που εκδίδουμε ένα πιστοποιητικό από το gov.gr ή λαμβάνουμε μια ηλεκτρονική συνταγή, τα δεδομένα μας αποθηκεύονται και υποβάλλονται σε επεξεργασία από πληροφοριακά συστήματα που λειτουργούν σε data centers.

Πριν από περίπου 15 χρόνια, το ελληνικό κράτος ανέπτυσσε ψηφιακές υπηρεσίες με δικούς του μηχανικούς και τις λειτουργούσε σε υποδομές δημόσιων φορέων. Σήμερα, πληρώνει άδειες χρήσης λογισμικού – κυρίως Microsoft και Oracle – και μισθώνει υπολογιστική ισχύ από ιδιώτες παρόχους cloud, με κυρίαρχη τη Microsoft, για να φιλοξενεί ολοένα περισσότερα συστήματά του. 

Η μετάβαση έγινε σταδιακά μέσα από νομοθετικές ρυθμίσεις, δημόσιες συμβάσεις και διαδοχικές τροποποιήσεις τους.

Η ΕΔΕΤ (Εθνικό Δίκτυο Έρευνας και Τεχνολογίας), που ιδρύθηκε το 1998, ανέπτυσσε δίκτυα και υπολογιστικές υποδομές για πανεπιστήμια και ερευνητικά κέντρα και, ήδη από το 2010, είχε ξεκινήσει να αναπτύσσει δική της τεχνολογία cloud. 

Το λογισμικό ανοιχτού κώδικα Synnefo αποτέλεσε τη βάση για τον «Ωκεανό», μια υπηρεσία cloud που απευθυνόταν στην ακαδημαϊκή και ερευνητική κοινότητα. Μέσω αυτής, οι χρήστες μπορούσαν να αποθηκεύουν αρχεία, αλλά και να δημιουργούν μέσα σε λίγα λεπτά εικονικούς υπολογιστές, αξιοποιώντας τις υποδομές της ΕΔΕΤ. Πρόκειται για δυνατότητες που σήμερα προσφέρουν εμπορικά οι μεγάλοι πάροχοι cloud, όπως η Amazon και η Microsoft.

Η τελευταία έκδοσή του Synnefo κυκλοφόρησε τον Ιούνιο του 2017. 

Παράλληλα, η ΕΔΕΤ διέθεσε υπολογιστές και μηχανικούς στην κυβέρνηση, συμβάλλοντας στην ανάπτυξη υπηρεσιών όπως το opengov.gr και, στη συνέχεια, η Διαύγεια.

Οι υπηρεσίες αυτές αναπτύχθηκαν με λογισμικό ανοιχτού κώδικα, επιτρέποντας στο Δημόσιο να διατηρεί τον έλεγχο της ανάπτυξης και της συντήρησής τους, χωρίς να εξαρτάται από μία συγκεκριμένη εταιρεία.

Σύμφωνα με τον Θόδωρο Καρούνο, πρώην στέλεχος της ΕΔΕΤ, με συμμετοχή σε έργα ηλεκτρονικής διακυβέρνησης και ανοιχτών τεχνολογιών και μέλος του ΔΣ της ΕΕΛΛΑΚ, που μίλησε στο Solomon, «εάν η ανάπτυξη του Synnefo είχε συνεχιστεί συστηματικά, η Ελλάδα θα μπορούσε να βρίσκεται στην πρωτοπορία της ευρωπαϊκής προσπάθειας για δημόσιες υπολογιστικές υποδομές ανοιχτού λογισμικού. Αντί γι’ αυτό, η χώρα έχει επιλέξει τον ρόλο του ενοικιαστή υπολογιστικών υποδομών από εμπορικούς παρόχους, όπως το Microsoft Azure».

Τον Ιούλιο του 2019 συστάθηκε το Υπουργείο Ψηφιακής Διακυβέρνησης, στο οποίο μεταφέρθηκαν αρμοδιότητες και δομές πληροφορικής του Δημοσίου που ως τότε ανήκαν σε διάφορα υπουργεία. Η ΕΔΕΤ πέρασε στην εποπτεία του υπουργείου και μετονομάστηκε σε ΕΔΥΤΕ (Εθνικό Δίκτυο Υποδομών Τεχνολογίας και Έρευνας). 

Τον Σεπτέμβριο του 2020 ψηφίστηκε ο Κώδικας Ψηφιακής Διακυβέρνησης, ο οποίος καθόρισε το πλαίσιο ανάπτυξης και λειτουργίας των ψηφιακών συστημάτων του κράτους. Τρεις προβλέψεις του έχουν ιδιαίτερη σημασία για τη μετάβαση στο cloud.

Η πρώτη καθιέρωσε την προτεραιότητα στην προμήθεια υπηρεσιών cloud έναντι άλλων τεχνολογικών λύσεων για συγκεκριμένους φορείς, όπως η Γενική Γραμματεία Πληροφοριακών Συστημάτων, η ΕΔΥΤΕ και η ΗΔΙΚΑ. 

Η δεύτερη έθεσε περιορισμούς στην προμήθεια και εγκατάσταση νέων διακομιστών από δημόσιους φορείς, με εξαιρέσεις για συγκεκριμένες υπηρεσίες και οργανισμούς, μεταξύ των οποίων τα υπουργεία Εξωτερικών, Άμυνας και Προστασίας του Πολίτη, το Λιμενικό, η ΕΥΠ, η ΗΔΙΚΑ και η ΕΔΥΤΕ.

Η τρίτη πρόβλεψη αφορά τα «κυβερνητικά νέφη»: το G-Cloud για τις γενικότερες ανάγκες του Δημοσίου, το H-Cloud για την υγεία και το RE-Cloud για την έρευνα και την εκπαίδευση.

Ο όρος «κυβερνητικό νέφος», ωστόσο, δεν σημαίνει κατ’ ανάγκη ότι οι υποδομές ανήκουν στο κράτος. Ο νόμος προβλέπει την προμήθεια υπηρεσιών cloud για λογαριασμό του Δημοσίου, χωρίς να απαιτεί όλες οι υπηρεσίες να παρέχονται από κρατικές υποδομές. Με άλλα λόγια, ορίζει ότι τα συστήματα του κράτους θα μπουν στο cloud, όχι σε ποιανού το cloud.

Πόσα συστήματα φιλοξενούνται στη Microsoft;

Το μέγεθος της μετάβασης αποτυπώνεται σε παρουσίαση της Γενικής Γραμματείας Πληροφοριακών Συστημάτων, τον Ιανουάριο του 2024.

Σύμφωνα με τα στοιχεία της, 390 έργα —εφαρμογές και πληροφοριακά συστήματα δημόσιων φορέων— φιλοξενούνταν στο Azure της Microsoft, έναντι 310 σε κρατικούς υπολογιστές. Συνολικά, 170 δημόσιοι φορείς είχαν συστήματα στο cloud της Microsoft, ενώ άλλα 97 αιτήματα φιλοξενίας περίμεναν έγκριση.

Τα στοιχεία αφορούν τον Ιανουάριο του 2024 και δεν αποτυπώνουν κατ’ ανάγκη τη σημερινή κατανομή. Δείχνουν, ωστόσο, ότι ήδη τότε περισσότερα έργα φιλοξενούνταν στο Azure παρά σε κρατικούς υπολογιστές. 

Το Solomon απηύθυνε ερωτήματα στο υπουργείο Ψηφιακής Διακυβέρνησης για τον αριθμό και τα ονόματα των δημόσιων συστημάτων που φιλοξενούνται σήμερα σε υποδομές Microsoft/Azure.

Το υπουργείο απάντησε ότι το Δημόσιο χρησιμοποιεί ένα «πολυεπίπεδο και διαφοροποιημένο μοντέλο υποδομών», και ότι στους παρόχους που χρησιμοποιούνται περιλαμβάνονται η Microsoft Azure, η Oracle OCI, η AWS και η Google, χωρίς ωστόσο να απαντάει στην ουσία του ερωτήματός μας.

Η σύμβαση με τη Microsoft: από τα 87,7 στα 131,6 εκατ. ευρώ

Το 2023, η ελληνική κυβέρνηση υπέγραψε σύμβαση με τη Microsoft για υπηρεσίες που αφορούν το G-Cloud. Η αρχική αξία της, σύμφωνα με τα στοιχεία που εξετάζει το Solomon, ήταν 87,7 εκατ. ευρώ. Μέσω διαδοχικών τροποποιήσεων, έφτασε τα 131,6 εκατ. ευρώ, δηλαδή περίπου 50% πάνω από την αρχική αξία.

Η αύξηση δεν έγινε μέσω νέου διαγωνισμού, αλλά μέσα από τροποποιήσεις της αρχικής σύμβασης. 

Σε ανάλυσή του, το Ινστιτούτο Αλέξη Τσίπρα (ΙΝΑΤ) επισημαίνει ότι το κόστος αυξήθηκε σημαντικά, χωρίς να έχει δημοσιευθεί μελέτη που να δικαιολογεί την αύξηση. Συγκρίνει, παράλληλα, τη σύμβαση με την προμήθεια ιδιόκτητης υποδομής που είχε πραγματοποιήσει το Δημόσιο το 2023.

Συγκεκριμένα, η Κοινωνία της Πληροφορίας είχε προμηθευτεί ιδιόκτητη υποδομή αξίας 15,7 εκατ. ευρώ για το G-Cloud και τη Γενική Γραμματεία Πληροφοριακών Συστημάτων Δημόσιας Διοίκησης. Η προμήθεια περιλάμβανε 7.168 πυρήνες επεξεργασίας και αποθηκευτικό χώρο 10 petabyte σε δύο data centers, με τρία συν τρία χρόνια εγγύησης και συντήρησης.

Ο Παναγιώτης Κρανιδιώτης, μέλος του Διοικητικού Συμβουλίου του Οργανισμού Ανοιχτών Τεχνολογιών – ΕΕΛΛΑΚ, επιστημονικός συνεργάτης του ΙΝΑΤ και ένας από τους συγγραφείς της ανάλυσης, εξηγεί στο Solomon ότι οι μεγάλοι πάροχοι cloud δεν προσφέρουν πλέον μόνο υπολογιστική ισχύ.

«Οι πλατφόρμες cloud των hyperscalers, όπως η Microsoft, δεν έχουν πια την παραδοσιακή μορφή παρόχων υπολογιστικής ισχύος. Συνοδεύονται από μια σειρά υπηρεσιών, όπως υπηρεσίες δικτύου, κυβερνοασφάλειας, βάσεων δεδομένων ως υπηρεσία και, βέβαια, δυνατότητα χρήσης AI με μορφή υπηρεσίας (API) εντός αυτών», σημειώνει.

Κατά τον ίδιο, η επιλογή συγκέντρωσης κρίσιμων υπηρεσιών σε μεγάλους παρόχους χρειάζεται να επανεξεταστεί υπό το φως των γεωπολιτικών εξελίξεων και της συζήτησης για την ευρωπαϊκή ψηφιακή κυριαρχία. Το ζήτημα αφορά, επίσης, και τη συγκέντρωση κρίσιμων υπηρεσιών σε μία πλατφόρμα, τους όρους με τους οποίους παρέχονται και το κόστος που θα απαιτούσε η μεταφορά τους σε διαφορετικό πάροχο.

Ρωτήσαμε το υπουργείο σχετικά με το αν υπάρχει σχέδιο εξόδου προς εναλλακτικό πάροχο, χωρίς να λάβουμε συγκεκριμένη απάντηση.

Οι μελέτες που καθυστέρησαν

Ο Κώδικας Ψηφιακής Διακυβέρνησης (ν. 4727/2020) προβλέπει ότι κάθε νέο πληροφοριακό σύστημα του Δημοσίου πρέπει να συνοδεύεται από μελέτη ταξινόμησης των δεδομένων του. Η ίδια υποχρέωση ισχύει και για τα δεδομένα που φιλοξενούνται στα κυβερνητικά νέφη (G-Cloud, RE-Cloud, H-Cloud). 

Πρόκειται για την κατηγοριοποίηση των δεδομένων με βάση το πόσο ευαίσθητα ή κρίσιμα είναι – αν, για παράδειγμα, ένα σύστημα διαχειρίζεται δημόσιες πληροφορίες, όπως οι αποφάσεις που αναρτώνται στη Διαύγεια, ή δεδομένα υγείας, τα οποία ο Γενικός Κανονισμός Προστασίας Δεδομένων κατατάσσει στις ειδικές κατηγορίες που απαιτούν αυξημένη προστασία. Από αυτή εξαρτώνται, μεταξύ άλλων, το επίπεδο προστασίας που απαιτείται και το πού και υπό ποιους όρους μπορούν να φιλοξενούνται.

Η υποχρέωση θεσπίστηκε το 2020, με αρχική προθεσμία ολοκλήρωσης το τέλος του 2021. Η προθεσμία παρατάθηκε τρεις φορές, με διατάξεις που ενσωματώθηκαν σε νόμους για άλλα θέματα, και έληξε οριστικά στο τέλος του 2024. Η χρηματοδότηση για τη μελέτη ταξινόμησης των δεδομένων που φιλοξενούνται στα κυβερνητικά νέφη εξασφαλίστηκε μόλις τον Απρίλιο του 2026.

Τα έγγραφα του διαγωνισμού που εξέτασε το Solomon αναφέρουν ότι 663 πληροφοριακά συστήματα «ήταν ήδη εγκατεστημένα και συνεχίζουν να φιλοξενούνται» στο G-Cloud, όταν προκηρύχθηκε το έργο για την εκπόνηση των μελετών.

Η σχετική σύμβαση υπογράφηκε τον Αύγουστο του 2026 από το υπουργείο Ψηφιακής Διακυβέρνησης με την ένωση εταιρειών Cognity, EY και PwC. Έχει αξία 9,52 εκατ. ευρώ, με δικαίωμα προαίρεσης επιπλέον 3,5 εκατ. ευρώ, και προβλέπει την ολοκλήρωση του έργου στα τέλη του 2027. Με άλλα λόγια, οι μελέτες για συστήματα που ήδη λειτουργούσαν στο G-Cloud αναμένεται να ολοκληρωθούν περίπου τρία χρόνια μετά την εκπνοή της νόμιμης προθεσμίας.

Η καθυστέρηση είχε και οικονομικές συνέπειες. Το έργο είχε αρχικά ενταχθεί στο Ταμείο Ανάκαμψης, αλλά δεν ολοκληρώθηκε εντός του προβλεπόμενου χρονοδιαγράμματος χρηματοδότησης. Τελικά, εντάχθηκε στο Τομεακό Πρόγραμμα Ανάπτυξης του υπουργείου Ψηφιακής Διακυβέρνησης για την περίοδο 2026-2030 και θα χρηματοδοτηθεί από εθνικούς πόρους.

Το Solomon ρώτησε το υπουργείο πώς έχει διασφαλιστεί η καταλληλότητα των υποδομών που φιλοξενούν τα πληροφοριακά συστήματα. Στην απάντησή του, το υπουργείο αναφέρει ότι η επιλογή υποδομής γίνεται ξεχωριστά για κάθε πληροφοριακό σύστημα, με βάση, μεταξύ άλλων, την κρισιμότητα και τη φύση των δεδομένων που διαχειρίζεται.

Το ερώτημα που παραμένει είναι με ποια κριτήρια γίνεται αυτή η επιλογή, εφόσον οι μελέτες που προβλέπει ο νόμος εκκρεμούν μέχρι και σήμερα.

Ποιος αποφασίζει για την ψηφιακή αυτονομία;

Ο Χάρης Παπαευαγγέλου, μεταδιδακτορικός ερευνητής στο Institute for Information Law του Πανεπιστημίου του Άμστερνταμ, και η Ευγενία Σιαπέρα, καθηγήτρια Ψηφιακής Τεχνολογίας, Πολιτικής και Κοινωνίας στο University College Dublin, μιλώντας στο Solomon σχετικά με την εξάρτηση της Ελλάδας από τεχνολογικούς κολοσσούς όπως η Microsoft εξηγούν πως μετά από πολλά χρόνια οικονομικής λιτότητας και μνημονίων οι επενδύσεις σε μεγάλες εταιρείες παρουσιάστηκαν ως δίοδοι ανάπτυξης.   

Όπως εξηγούν, η ανάγκη προσέλκυσης ξένων επενδύσεων και η πολιτική αντιμετώπιση του Δημοσίου ως αναποτελεσματικού δημιούργησαν «μια κατάσταση στην οποία διαδοχικά οι κυβερνήσεις, σίγουρα προεξεχούσης της τωρινής, έκαναν ολοένα και ευκολότερες τις συνθήκες για αυτές τις επενδύσεις και, συνεπώς, παρουσιάζονταν ως απαραίτητες για την ευμάρεια της Ελλάδας, αποσιωπώντας τα ανταλλάγματα».

Για τη Fiona Krakenbürger, συνιδρύτρια του γερμανικού Sovereign Tech Fund, η ψηφιακή αυτονομία δεν εξαρτάται αποκλειστικά από το αν ένας πάροχος είναι δημόσιος ή ξένος,  αλλά από το «αν το κράτος έχει ουσιαστικές επιλογές και δυνατότητες: δηλαδή αν μπορεί να κατανοήσει, να λειτουργήσει, να μεταφέρει ή να αντικαταστήσει κρίσιμες υποδομές και δεδομένα χωρίς το κόστος ή η προσπάθεια να είναι απαγορευτικά».

Η ίδια δεν θεωρεί ότι η λύση είναι να δημιουργήσει κάθε χώρα τον δικό της ανταγωνιστή των μεγάλων παρόχων cloud. Προκρίνει την ανάπτυξη κοινών ευρωπαϊκών δυνατοτήτων, την υποστήριξη του ανοιχτού λογισμικού και τη διαλειτουργικότητα.

Στην ίδια κατεύθυνση, η Ευρωπαϊκή Επιτροπή πρότεινε τον Ιούνιο του 2026 την Πράξη για το Υπολογιστικό Νέφος και την Ανάπτυξη της Τεχνητής Νοημοσύνης (Cloud and AI Development Act – CADA), με στόχο την ενίσχυση των ευρωπαϊκών υποδομών και τον περιορισμό κρίσιμων εξαρτήσεων από παρόχους εκτός ΕΕ.

Στα προτεινόμενα μέτρα περιλαμβάνονται η ενίσχυση της ευρωπαϊκής υποδομής cloud, η ανάπτυξη λύσεων ανοιχτού κώδικα, ο συντονισμός των δημόσιων προμηθειών και η αύξηση της χωρητικότητας των ευρωπαϊκών data centers.

«Η μεγάλη πρόκληση», είπε ο Καρούνος στο Solomon, «παραμένει να διασφαλίσουμε ότι οι ψηφιακές υποδομές που χρηματοδοτούνται από τους πολίτες αποτελούν διαρκή δημόσια περιουσία, η οποία συντηρείται, εξελίσσεται και επαναχρησιμοποιείται ανεξάρτητα από τις κυβερνητικές αλλαγές, αντί να δημιουργεί νέες εξαρτήσεις και επαναλαμβανόμενες δαπάνες για το Δημόσιο».

*Η έρευνα πραγματοποιήθηκε με την υποστήριξη του Ιδρύματος Χάινριχ Μπελ-Γραφείο Θεσσαλονίκης. Το περιεχόμενο του άρθρου αποτελεί αποκλειστική ευθύνη των συγγραφέων και δεν εκφράζει κατ’ ανάγκη τις απόψεις του Ιδρύματος.

** Η παρούσα έρευνα θα παρουσιαστεί στην ημερίδα με τίτλο «Θαυμαστός ψηφιακός κόσμος: Ερωτήματα για τη νέα πραγματικότητα», η οποία θα πραγματοποιηθεί την Παρασκευή 13 Νοεμβρίου 2026, από τις 14:00 έως τις 19:00, στο Goethe-Institut Athen (Ομήρου 14-16, Αθήνα).

Η ημερίδα διοργανώνεται από το Heinrich-Böll-Stiftung Θεσσαλονίκης – Ελλάδα και φιλοξενεί ως κεντρική ομιλήτρια τη Meredith Whittaker, πρόεδρο του Signal, της γνωστής εφαρμογής ασφαλούς επικοινωνίας.

Δείτε το πλήρες πρόγραμμα της ημερίδας εδώ.