Η εγκεκριμένη ηλεκτρονική υπογραφή ως μέσω διαπίστωσης της γνησιότητας και του αναλλοίωτου ενός ηλεκτρονικού εγγράφου
Authors: Πηλαβάκη Δήμητρα 
Published: November 2021

Η παρούσα διδακτορική διατριβή θέτει ως ερευνητικό ζήτημα την εγκεκριμένη ηλεκτρονική υπογραφή ως μέσο διαπίστωσης της γνησιότητας και του αναλλοίωτου ενός ηλεκτρονικού εγγράφου και την ειδικότερη αστική ευθύνη των παρόχων των υπηρεσιών της βάσει του ΓΚΠΔ (GDPR). Εν πρώτοις, παρατίθεται η ιστορική αναδρομή της έννοιας των μηχανικών απεικονίσεων. Εν συνεχεία, ακολουθεί η νομική ανάλυση της έννοιας τους, όπως οριοθετήθηκε τις τελευταίες δεκαετίες. Το άρθρο 444 παρ. 1 περ. γ΄ ΚΠολΔ θεωρεί ως ιδιωτικά έγγραφα με πλήρη αποδεικτική δύναμη τις φωτογραφικές ή κινηματογραφικές αναπαραστάσεις, φωνοληψίες καθώς και κάθε άλλη μηχανική απεικόνιση. Στην έννοια των μηχανικών απεικονίσεων συμπεριλαμβάνεται κατόπιν ερμηνείας και το ηλεκτρονικό έγγραφο. Με την παράγραφο 1 του άρθρου 40 του Νόμου 3994/2011, προστίθεται στο άρθρο 444 ΚΠολΔ μία δεύτερη παράγραφος, με σκοπό να αρθεί οποιαδήποτε αμφιβολία σχετικά με τον ορισμό του ηλεκτρονικού εγγράφου. Σύμφωνα με το άρθρο 444 παρ. 2 ΚΠολΔ, «ως μηχανική απεικόνιση ορίζεται «κάθε μέσο που χρησιμοποιείται από υπολογιστή ή περιφερειακή μνήμη υπολογιστή, με ηλεκτρονικό, μαγνητικό ή άλλο τρόπο για εγγραφή, αποθήκευση, παραγωγή ή αναπαραγωγή στοιχείων, που δεν μπορούν να διαβαστούν άμεσα, όπως επίσης και κάθε μαγνητικό, ηλεκτρονικό ή άλλο υλικό στο οποίο εγγράφεται οποιαδήποτε πληροφορία, εικόνα, σύμβολο ή ήχος, αυτοτελώς ή σε συνδυασμό, εφόσον τα μέσα και τα υλικά αυτά προορίζονται ή είναι πρόσφορα να αποδείξουν γεγονότα που έχουν έννομη σημασία». Ο παραπάνω ορισμός αφορά το πρωτότυπο ηλεκτρονικό έγγραφο. Με 2 την μέθοδο της ψηφιακής τεχνολογίας παράγονται, όπως προαναφέρθηκε και αντίγραφα έγγραφα. Σύμφωνα με το άρθρο 443 ΚΠολΔ, απαραίτητη προϋπόθεση αποδεικτικής δύναμης όλων των ιδιωτικών εγγράφων είναι η θέση της ιδιόχειρης υπογραφής του εκδότη τους. Από τον συνδυασμό του άρθρου 443 ΚπολΔ με το άρθρο 160 παρ. 1 ΑΚ, προέκυπτε ως πεδίο εφαρμογής του παλαιού αρθρ. 444 ΚπολΔ μόνο η σύνταξη εγγράφων μαρτυρίας. Η νομική πλέον κατοχύρωση της έννοιας του ηλεκτρονικού εγγράφου, σε συνδυασμό με τη νομοθετική κατοχύρωση του ισόκυρου ενός είδους ηλεκτρονικής υπογραφής προς την ιδιόχειρη, διευρύνει το πεδίο εφαρμογής του αρθρ 444 ΚπολΔ και στα έγγραφα διαθέσεως. Με οδηγό την εξέλιξη της τεχνολογίας, διακρίνουμε δύο κατηγορίες ηλεκτρονικών υπογραφών. Στην πρώτη κατηγορία υπάγεται η ηλεκτρονική καταγραφή προσωπικών στοιχείων, τα οποία διαβάζονται και αναγνωρίζονται με τη βοήθεια λέξεων και γραμμάτων ή αριθμών. Στην δεύτερη κατηγορία υπάγεται η ηλεκτρονική καταγραφή προσωπικών στοιχείων, τα οποία διαβάζονται και αναγνωρίζονται με τη βοήθεια αριθμητικών δεδομένων που παριστούν κρυπτογραφικούς κώδικες. Στη δεύτερη κατηγορία υπάγεται η ηλεκτρονική υπογραφή η οποία βασίζεται στην μέθοδο της ασύμμετρης κρυπτογραφίας στην οποία και κάνει παρθενική αναφορά ο νόμος της πολιτείας της Utah των ΗΠΑ παραθέτοντας τον ορισμό της. Το πρώτο κοινό ευρωπαϊκό πλαίσιο σχετικά με την αναγνώριση της ψηφιακής υπογραφής ως ισόκυρης με την ιδιόχειρη, θεσπίστηκε με την Οδηγία 1999/93 η οποία και ενσωματώθηκε στην ελληνική έννομη τάξη με το Π.Δ 150/2001. Με το άρθρο 3 του ΠΔ 150/2001 αναγνωρίζεται ως ισότιμη, τόσο από άποψη ιδιωτικού όσο και από άποψη δικονομικού δικαίου με την ιδιόχειρη υπογραφή, η προηγμένη ηλεκτρονική υπογραφή ή άλλως ψηφιακή υπογραφή που υποστηρίζεται από αναγνωρισμένο πιστοποιητικό και δημιουργείται από ασφαλή διάταξη δημιουργίας υπογραφής . Ο ευρωπαίος νομοθέτης, σκοπεύοντας να εξασφαλίσει την αξιόπιστη λειτουργία του δημοσίου κλειδιού, εισάγει την έννοια του Παρόχου Υπηρεσιών Πιστοποίησης. Μέσω της διμερούς συμβατικής σχέσης μεταξύ του ΠΥΠ και του νόμιμου κατόχου του δημόσιου κλειδιού, πιστοποιείται η μοναδική σχέση του δημοσίου κλειδιού με τον ιδιοκτήτη του (τον εκδότη του δημοσίου κλειδιού) και επιβεβαιώνεται μια από τις σημαντικότερες λειτουργίες του ΠΥΠ, ο οποίος με αυτόν τρόπο, εγγυάται τα στοιχεία του κατόχου του και αποφεύγεται η οποιαδήποτε μορφή εξαπάτησης εκ μέρους κάποιου κακόβουλου τρίτου . Λόγω της εξέλιξης της τεχνολογίας στον τομέα ασφάλειας της ηλεκτρονικής επικοινωνίας, κρίθηκε αναγκαία η θέσπιση του Κανονισμού 910/2014 ο οποίος αντικαθιστά την προηγούμενη οδηγία και έχει πλήρες άμεσο αποτέλεσμα σ’ όλα τα κράτη μέλη . Το άρθρο 25 παρ. 2 του εν λόγω Κανονισμού χωρίς να επηρεάζει το κύρος των προηγμένων ηλεκτρονικών υπογραφών, εξομοιώνει με ιδιόχειρες και τις εγκεκριμένες υπογραφές. Σύμφωνα με άρθρο 3 παρ. 12 του Κανονισμού 910/2014, ως εγκεκριμένη ηλεκτρονική υπογραφή νοείται η προηγμένη ηλεκτρονική υπογραφή, όπως ακριβώς την προβλέπει το ΠΔ 150/2001, που περιέχει όμως ένα εγκεκριμένο ψηφιακό πιστοποιητικό και παράγεται από μια εγκεκριμένη ασφαλή διάταξη δημιουργίας υπογραφής. Η πλήρωση των παραπάνω προϋποθέσεων, σύμφωνα με το άρθρο 25 παρ. 3 του Κανονισμού 910/2014, ισοδυναμεί με την πλήρη αναγνώριση της ως τέτοια σε όλα τα κράτη μέρη ακριβώς λόγω της κανονιστικής δύναμης του Κανονισμού. Με την εισαγωγή του Κανονισμού 910/2014 ο ΠΥΠ μετονομάζεται σε πάροχο υπηρεσιών εμπιστοσύνης (άρθρο 3 παρ. 19 Καν. 910/2014) και νοείται ως το φυσικό ή νομικό πρόσωπο που παρέχει μία ή περισσότερες υπηρεσίες εμπιστοσύνης (άρθρ. 3 παρ.16 Καν. 910/2014). Τόσο ο Κανονισμός 910/2014 όσο και η Οδηγία 1999/93 αποδέχονται τη μέθοδο της ασύμμετρης κρυπτογραφίας για την δημιουργία της προηγμένης και εγκεκριμένης ηλεκτρονικής υπογραφής. Επίσης, ο Κανονισμός 910/2014 επικαιροποιεί τα μέτρα ασφαλείας. Για την διαπίστωση της γνησιότητας της ηλεκτρονικής υπογραφής χρησιμοποιείται η μέθοδος της έμμεσης απόδειξης. Αναλυτικότερα, η αποδοχή του διδάγματος κοινής πείρας σύμφωνα με το οποίο ο κάτοχος του ιδιωτικού κλειδιού έχει κάθε συμφέρον να χειρίζεται το σχετικό υλικό (ιδιωτικό κλειδί) με τη δέουσα επιμέλεια, οδηγεί έμμεσα στην απόδειξη της γνησιότητας της. Αυτό το συμπέρασμα συνάγεται από τα παραρτήματα του ΠΔ 150/2001 και του Κανονισμού 910/2014. Η προσπέλαση του κινδύνου αλλοίωσης ενός ηλεκτρονικού εγγράφου, η οποία δεν είναι δυνατόν να διαγνωσθεί εφόσον έχει επιχειρηθεί από τα ίδια τα συμβαλλόμενα μέρη, ακόμα και αν το συγκεκριμένο έγγραφο φέρει την προηγμένη ή εγκεκριμένη υπογραφή του εκδότη του, επιτυγχάνεται μέσω μιας νέας υπηρεσίας που προβλέπεται στον Κανονισμό 910/2014. Η συγκεκριμένη υπηρεσία διασφαλίζει σε μέγιστο βαθμό την αυθεντικότητα του αποστελλόμενου κειμένου και την μη μεταγενέστερη τροποποίηση του ακόμα και από τον ίδιο τον αποδέκτη του. Αλλά η διμερής σχέση μεταξύ των «παρόχων «υπηρεσιών» πιστοποίησης και εμπιστοσύνης (εγκεκριμένων και μη εγκεκριμένων) και των φυσικών ή νομικών προσώπων που κάνουν χρήση των προϊόντων και των υπηρεσιών τους, συνεπάγεται και ευθύνη από πλευράς τους, σε περίπτωση μη συμμόρφωσης τους προς τις υποχρεώσεις που αναφέρονται τόσο στο Π.Δ 150/2001 όσο και στον Κανονισμό 910/2014. Η ευθύνη των ως άνω παρόχων προκύπτει από τα ελαττώματα που μπορεί να παρουσιαστούν κατά τα την παροχή των προϊόντων ή των υπηρεσιών τους. Εάν προκύψει ελάττωμα σχετικό με το υλικό και το ατομικό λογισμικό των παρόχων υπηρεσιών πιστοποίησης και εμπιστοσύνης, τότε θα έχουν εφαρμογή οι διατάξεις για την προστασία του καταναλωτή εφόσον ο αποδέκτης των υπηρεσιών τους είναι καταναλωτής. Διαφορετικά, θα ισχύουν οι διατάξεις του ουσιαστικού δικαίου σχετικά με την πώληση και σύμβαση έργου. Ο πάροχος υπηρεσιών πιστοποίησης και εμπιστοσύνης δύναται να ευθύνεται και με τις διατάξεις του άρθρου 6 παρ. 1 Ν. 2251/1994, ως παραγωγός ελαττωματικού προϊόντος. Ανάλογα, και η ευθύνη των παρόχων υπηρεσιών πιστοποίησης και εμπιστοσύνης όσον αφορά τις υπηρεσίες που παρέχουν, η οποία συνάγεται από την παραβίαση των παραπάνω προϋποθέσεων που θέτει το ΠΔ 150/2001 και ο Κανονισμός 910/2014 και ειδικότερα από την έκδοση των πιστοποιητικών που αναλαμβάνουν ως φορείς παροχής υπηρεσιών. Εφόσον ο αποδέκτης των υπηρεσιών των παρόχων υπηρεσιών πιστοποίησης και εμπιστοσύνης είναι καταναλωτής θα εφαρμοστούν οι διατάξεις του άρθρου 8 Ν. 2251/1994. Σε αντίθετη περίπτωση, θα εφαρμοστούν οι διατάξεις για τη σύμβαση έργου. Οι πάροχοι υπηρεσιών εμπιστοσύνης, φέρουν ευθύνη και βάσει του Κανονισμού 910/2014. Η επίδειξη της παρανόμου συμπεριφοράς των ως άνω παρόχων, γίνεται εμφανής από την ελλιπή τήρηση των μέτρων επιμέλειας που πρεσβεύει ο ανωτέρω Κανονισμός στις διατάξεις των άρθρων 19 21, 24. Σχετικά με το είδος ευθύνης τους, ανάλογα με την ιδιότητα που φέρουν διαφέρει. Για τον εγκεκριμένο και μη εγκεκριμένο πάροχο εφαρμόζονται οι διατάξεις του άρθρου 13 του Κανονισμού 910/2014. Όσον αφορά τον μη εγκεκριμένο πάροχο υπηρεσιών- προηγμένης ηλεκτρονικής υπογραφής, η ευθύνη του διαφοροποιείται αναλόγως με το εάν ο αποδέκτης των υπηρεσιών του είναι καταναλωτής, δηλαδή το άρθρο 8 του Ν. 2251/1994 εφαρμόζεται και εν προκειμένω ή το άρθρο 13 του Κανονισμού 910/2014 σε κάθε άλλη περίπτωση, Η επιλογή ενός παρόχου εμπιστοσύνης εκτός Ευρωπαϊκής Ένωσης, εκ μέρους του υποψήφιου αποδέκτη των προϊόντων και υπηρεσιών 8 του, συνεπάγεται στην εφαρμογή του Κανονισμού 593/2008 για τις συμβατικές ενοχές αστικού και εμπορικού δικαίου καθώς διαπιστώνεται σύγκρουση νόμων. Επίσης, η διμερής σχέση μεταξύ των παρόχου υπηρεσιών εμπιστοσύνης εκτός Ευρωπαϊκής Ένωσης και του αποδέκτη των υπηρεσιών του, διέπεται και από τον Κανονισμό 867/2007 για τις εξωσυμβατικές ενοχές αστικού και εμπορικού δικαίου, εάν επέλθει ζημία, από πλευράς του παρόχου, από αδικοπραξία. Τέλος, ο Κανονισμός 679/2016 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα τους βρίσκει πεδίο εφαρμογής και στην περίπτωση των παρόχων υπηρεσιών πιστοποίησης του ΠΔ 150/2001 και εμπιστοσύνης του Κανονισμού 910/2014. Τα προσωπικά δεδομένα που λαμβάνουν οι πάροχοι υπηρεσιών πιστοποίησης και εμπιστοσύνης από τους αποδέκτες των υπηρεσιών τους και η ηλεκτρονική τήρηση τους οδηγεί στην θέσπιση κανόνων επιμελούς φύλαξης τους. Οι εν λόγω κανόνες μνημονεύονται στον Κανονισμό 679/2016. Αρχικά, η παραβίαση των μέτρων επιμέλειας που ορίζει ο ως άνω Κανονισμός για την προστασία των προσωπικών δεδομένων των αποδεκτών των υπηρεσιών των παρόχων υπηρεσιών πιστοποίησης και εμπιστοσύνης, επισύρει την εφαρμογή των διοικητικών κυρώσεων του άρθρου 83 του Κανονισμού 679/2016. Όμως, στον ως άνω Κανονισμό υπάρχει σχετική πρόβλεψη και για αστική ευθύνη των ως άνω παρόχων ως υπευθύνων επεξεργασίας των προσωπικών δεδομένων των αποδεκτών τους (αρθρ. 82). Ειδικότερα, η παραβίαση των ειδικών μέτρων επιμέλειας που τίθενται, έχει ως συνέπεια την αποζημίωση των αποδεκτών των υπηρεσιών τους.