ΓΡΑΠΤΗ ΕΡΩΤΗΣΗ E-1724/02

υποβολή: Bart Staes (Verts/ALE) προς την Επιτροπή

(13 Ιουνίου 2002)

Θέμα: Η ηλεκτρονική ταυτότητα και η προστασία των δεδομένων προσωπικού χαρακτήρα

Στο πλαίσιο του προγράμματος e-government οι βελγικές αρχές αποφάσισαν το φθινόπωρο του 2000 ότι έως το 2005 κάθε βέλγος θα πρέπει να είναι κάτοχος ηλεκτρονικής ταυτότητας. Προκειμένου η ανταλλαγή δεδομένων μεταξύ των αρχών αφενός και μεταξύ των αρχών και των πελατών τους αφετέρου να καταστεί όσο το δυνατόν ασφαλέστερη, η FEDICT (Ομοσπονδιακή Κρατική Υπηρεσία για την Τεχνολογία της Πληροφορικής και των Επικοινωνιών) έθεσε σε εφαρμογή το δημόσιο κλειδί (ΡΚΙ, Public Key Infrastructure). Η δομή αυτή αποκαλείται επίσης ρύθμιση τωνπηρεσιών πιστοποίησης. Η κάρτα με το ιδιωτικό κλειδί αποθηκεύεται κατά προτίμηση σε chip το οποίο ασφαλίζεται μέσω προσωπικού αριθμού αναγνώρισης.

Από άρθρο στην εφημερίδα New York Times, της 12.5.2002, προκύπτει ότι αυτή η τεχνολογία των chips μπορεί να αντιγράφεται. Δύο ερευνητές στον τομέα της ασφάλειας τωνπολογιστών, Skorobogatov Sergei και Anderson Ross, του Πανεπιστημίου του Cambridge, απέδειξαν ότι με την βοήθεια απλού φλας φωτογραφικής μηχανής και μικροσκοπίου ήταν σε θέση να εξάγουν πληροφορίες από τα chips. Κατ' αυτόν τον τρόπο καθίσταται εξαιρετικά εύκολο για εγκληματίες ναποκλέπτουν προσωπικά δεδομένα. Η τεχνολογία αυτή χρησιμοποιείται όχι μόνον για τις ηλεκτρονικές ταυτότητες αλλά και για πολυάριθμες άλλες εφαρμογές, π.χ. πιστωτικές και χρεωστικές κάρτες και για την ευρέως διαδεδομένη ειδική κάρτα χρήστη (SIM) του παγκοσμίου συστήματος κινητής επικοινωνίας GSM. Ο ευάλωτος αυτός χαρακτήρας της τεχνολογίας αυτής επιβεβαιώνεται σε δημοσίευμα της IBM: Partitioning attacks: Or how to rapidly clone some GSM Cards. Οι ερευνητές απέδειξαν ότι μπορούν με πολύ γρηγορότερο τρόπο ναποκλέπτουν πληροφορίες από την κάρτα SIM.

Μπορεί η Επιτροπή να επιβεβαιώσει ότι οι προαναφερθείσες ανησυχητικές ειδήσεις βασίζονται στην πραγματικότητα·

Εάν ναι: μήπως η κατάσταση αυτή αντιβαίνει προς την ευρωπαϊκή νομοθεσία για την προστασία των δεδομένων προσωπικού χαρακτήρα· Μήπως θα έπρεπε τα κράτη μέλη να λάβουν τεχνικά και οργανωτικά μέτρα προκειμένου να προστατεύουν τα δεδομένα προσωπικού χαρακτήρα, κυρίως όταν η επεξεργασία των δεδομένων περιλαμβάνει τη διαβίβασή τους σε δίκτυο· Ποια μέτρα προτίθεται η Επιτροπή να λάβει κατά της εν λόγω παραβίασης της ιδιωτικής ζωής·

Εάν όχι: σε ποια άλλα επιχειρήματα βασίζεται η Επιτροπή για να διαψεύσει τα αποτελέσματα της έρευνας όσον αφορά την δυνατότητα αντιγραφής της τεχνολογίας των chips;

Κοινή απάντησητου κ. Bolkestein εξ ονόματος της Επιτροπήςστις γραπτές ερωτήσεις E-1723/02 και E-1724/02

(26 Σεπτεμβρίου 2002)

Η Επιτροπή έλαβε γνώση των βελγικών σχεδίων κανονισμών για την εισαγωγή της ψηφιακής ταυτότητας με την ευκαιρία μιας κοινοποίησης που έγινε κατ' εφαρμογήν της οδηγίας 98/34/ΕΚ(1) (οδηγία που επιβάλλει την κοινοποίηση εθνικών σχεδίων κανονισμών ιδίως για τιςπηρεσίες της κοινωνίας της πληροφορίας). Το Βέλγιο κοινοποίησε το νομοθετικό σχέδιο (στοιχεία αναφοράς αριθ. 2001/474/B) ζητώντας εμπιστευτική αντιμετώπιση του κειμένου, κατ' εφαρμογήν του άρθρου 8, παράγραφος 4, της προαναφερόμενης οδηγίας. Μετά την ανάλυση του σχεδίου κανονισμού, η Επιτροπή εξέδωσε εμπεριστατωμένη γνώμη και παρατηρήσεις. Η εμπεριστατωμένη γνώμη αφορούσε ουσιαστικά τα τεχνικά παραρτήματα με σκοπό να εξασφαλίσει τη συμβατότητά τους με την οδηγία 73/23/ΕΟΚ του Συμβουλίου, της 19ης Φεβρουαρίου 1973, περί προσεγγίσεως των νομοθεσιών των κρατών μελών των αναφερομένων στο ηλεκτρολογικόλικό που προορίζεται να χρησιμοποιηθεί εντός ορισμένων ορίων τάσεως(2) και με την οδηγία 89/336/ΕΟΚ του Συμβουλίου. της 3ης Μαΐου 1989 για την προσέγγιση των νομοθεσιών των κρατών μελών σχετικά με την ηλεκτρομαγνητική συμβατότητα(3). Όσο για τις παρατηρήσεις, αυτές αφορούσαν τις πτυχές που συνδέονταν με την προστασία των δεδομένων.

Η Επιτροπή σημειώνει ότι επί του παρόντος, παρόλο που μελετάται η απλούστευση ορισμένων διαδικασιών που ισχύουν σχετικά με την πρόσβαση ή με τη γνωστοποίηση δεδομένων προσωπικού χαρακτήρα, η προπαρασκευαζόμενη νομοθεσία δεν προβλέπει ειδικά τη διασύνδεση τραπεζών ιατρικών ή φορολογικών δεδομένων.

θίγει ο αξιότιμος βουλευτής και θα τις λάβειπόψη της στο πλαίσιο της διαδικασίας αξιολόγησης της εφαρμογής της οδηγίας 95/46/ΕΚ του Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών(4), διαδικασία που αναμένεται να ολοκληρωθεί στα τέλη του 2002.

Σε κάθε περίπτωση, η επεξεργασία δεδομένων προσωπικού χαρακτήρα, που περιλαμβάνει τις διασυνδέσεις και η οποία θα εφαρμοστεί στο πλαίσιο της ηλεκτρονικής ταυτότητας, θα πρέπει να συμβαδίζει με την οδηγία 95/46/ΕΚ. Η οδηγία αυτή, της οποίας το πεδίο εφαρμογής είναι περιορισμένο στην κοινοτική νομοθεσία, καθορίζει τις αρχές και τους όρους με τους οποίους μπορεί να γίνεται η επεξεργασία των δεδομένων προσωπικού χαρακτήρα. Επιβάλλει ιδίως τηνποχρέωση, όσον αφορά τα δεδομένα προσωπικού χαρακτήρα, ναφίστανται θεμιτή και σύννομη επεξεργασία, η δε περαιτέρω επεξεργασία τους να συμβιβάζεται με τους σκοπούς για τους οποίους έχουν συλλεγεί. Η οδηγία 95/46/ΕΚ περιέχει επίσης την αρχή της απαγόρευσης επεξεργασίας δεδομένων που αναφέρονται στηνγεία, αρχή η οποία συνοδεύεται από διάφορες εξαιρέσεις. Επιβάλλει, εξάλλου, να καθορίζονται οι όροι χρήσης ενιαίου αναγνωριστικού.

Επιπλέον, η οδηγία 95/46/ΕΚ προβλέπειποχρεωτικά την παροχή εγγυήσεων για την προστασία των δεδομένων από τυχαία ή παράνομη καταστροφή, τυχαία απώλεια, αλλοίωση, απαγορευμένη διάδοση ή πρόσβαση, καθώς και κάθε άλλη μορφή αθέμιτης επεξεργασίας. Η οδηγία 97/66/ΕΚ του Κοινοβουλίου και του Συμβουλίου, της 15ης Δεκεμβρίου 1997, περί επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και προστασίας της ιδιωτικής ζωής στον τηλεπικοινωνιακό τομέα, η οποία θα αντικατασταθεί από 31ης Οκτωβρίου 2003 από την οδηγία 2002/58/ΕΚ,(5) περιλαμβάνει επίσης ειδικέςποχρεώσεις ασφάλειας όσον αφορά τα δημόσια δίκτυα τηλεπικοινωνιών και τιςπηρεσίες τηλεπικοινωνιών στις οποίες έχει πρόσβαση το κοινό.

Η Επιτροπή παρακολουθεί με ιδιαίτερη προσοχή τις τεχνολογικές εξελίξεις σε ό,τι αφορά την ασφάλεια των ανταλλαγών δεδομένων. Σημειώνει, στο πλαίσιο αυτό, ότι το επίπεδο ασφάλειας που προσφέρεται μέσω της χρήσης μιαςποδομής με δημόσια κλειδιά εξαρτάται όχι μόνο από το

επίπεδο ασφάλειας που προσφέρεται από τα τεχνικά συστατικά μέρη τηςποδομής αλλά επίσης από την ποιότητα των διαδικασιών ασφάλειας και κυρίως από την αυστηρότητα της εφαρμογής τους (έξυπνη κάρτα, γενιά των κλειδιών, αρχή που εκδίδει τα πιστοποιητικά, εγκυρότητα των πιστοποιητικών, κ.λπ.).

Η Επιτροπή δίνει ιδιαίτερη προσοχή στις τεχνολογίες ασφαλείας που χρησιμοποιούνται για τη μεταφορά δεδομένων προσωπικού χαρακτήρα. Υπογραμμίζει, ωστόσο, ότι δενπάρχει απόλυτο επίπεδο ασφαλείας και ότι, σύμφωνα με την οδηγία 95/46/ΕΚ, το κατάλληλο επίπεδο ασφαλείας έναντι των κινδύνων που παρουσιάζει η επεξεργασία και η φύση δεδομένων προσωπικού χαρακτήρα που απολαμβάνουν προστασία πρέπει να καθορίζεται λαμβάνονταςπόψη την αιχμή της τεχνολογίας και το κόστος εφαρμογής των μέτρων ασφαλείας.

Όσον αφορά τη σύνθεση των αρχών ελέγχου που είναι επιφορτισμένες με τον έλεγχο της εφαρμογής των διατάξεων που έχουν θεσπιστεί από τα κράτη μέλη, η οδηγία 95/46/ΕΚ προβλέπει ότι οι αρχές αυτές ασκούν τα καθήκοντα που τους ανατίθενται με πλήρη ανεξαρτησία. Η οδηγία δεν παρέχει ωστόσο καμία άλλη ένδειξη σχετικά με τον τρόπο με τον οποίο εξασφαλίζεται αυτή η ανεξαρτησία. Η Επιτροπή σημειώνει σχετικά ότι, δυνάμει του βελγικού νόμου της 8ης Δεκεμβρίου 1992, σχετικά με την προστασία της ιδιωτικής ζωής έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, η αρμόδια βελγική αρχή προστασίας των δεδομένων είναι συλλογικό όργανο του οποίου τα μέλη ορίζονται από το Κοινοβούλιο. Ο νόμος αυτός προβλέπει εξάλλου ότι τα μέλη πρέπει να προσφέρουν όλες τις εγγυήσεις που τους επιτρέπουν να ασκήσουν τα καθήκοντά τους με ανεξαρτησία. Διάφορα μέτρα προβλέπονται γι'αυτό το σκοπό μεταξύ των οποίων συγκαταλέγεται η απαγόρευση για τα μέλη να είναι παρόντα όταν λαμβάνονται αποφάσεις σε σχέση με αντικείμενα για τα οποία έχουν προσωπικό συμφέρον.

Η Επιτροπήπενθυμίζει εξάλλου ότιποστηρίζει ερευνητικά σχέδια στον τομέα της ασφάλειας των έξυπνων καρτών. Οι ερευνητές Ross Anderson και Sergei Skorobogatov συμμετέχουν στο σχέδιο G3CARD (IST-1999-26328). Το σχέδιο αυτό επιδιώκει διπλό στόχο. Πρώτον, αποσκοπεί να εντοπίσει όλες τις επιθέσεις που είναι δυνατόν να δεχθεί μια έξυπνη κάρτα (ή επίθεση με flash συνιστά πράγματι ένα από τα παραδείγματα επιθέσεων που προβλέπει το σχέδιο αυτό). Ο δεύτερος στόχος είναι να αναπτυχθεί μια νέα γενιά έξυπνης κάρτας που θα είναι ικανή να αντιστέκεται στις νέες αυτές επιθέσεις.

Η έξυπνη κάρτα παρουσιάζει το πλεονέκτημα ότι αυξάνει σε σημαντικό βαθμό το επίπεδο ασφάλειας των συστημάτων καθιστώντας τις επιθέσεις τεχνικά πολύπλοκες και ταυτόχρονα δαπανηρές και, κατά συνέπεια, δυσπρόσβατες για τους εγκληματίες για ορισμένο χρονικό διάστημα. Είναι ωστόσο ξεκάθαρο ότι θα αποκαλυφθούν νέες επιθέσεις, επιθέσεις που θα απαιτήσουν την ανάπτυξη έξυπνων καρτών πιο προηγμένης γενιάς.

Το επίπεδο ασφάλειας του GSM είναι προσαρμοσμένο στις εφαρμογές που είχαν προβλεφθεί από τους σχεδιαστές του προτύπου πριν από δεκαπέντε χρόνια, εφαρμογές τηλεφωνίας ουσιαστικά. Τα νέα πρότυπα για το ασύρματο τηλέφωνο τρίτης γενιάς προβλέπουν ενισχυμένη ασφάλεια, ώστε να μπορούν να λειτουργήσουν ευαίσθητες εφαρμογές. Εξάλλου, η ασφάλεια των ασύρματων συναλλαγών θα είναι ένα από τα θέματα προτεραιότητας του προγράμματος για τις τεχνολογίες της κοινωνίας της πληροφορίας (IST) στο 6ο πρόγραμμα-πλαίσιο έρευνας και τεχνολογικής ανάπτυξης της Κοινότητας. Από σήμερα ήδη ένας από τους στόχους του ερευνητικού σχεδίου Embedded Finread (IST-2000-30091) είναι να μεταφέρει την ασφάλεια των τερματικών πληρωμής στην ασύρματη τηλεφωνία που μέρος της αποτελεί το σημερινό GSM.

Άλλα προγράμματα όπως το PKI Challenge (IST-2000-25012) και το Digisec (IST-1999-20981) εργάζονται για την ανάπτυξη της ηλεκτρονικήςπογραφής και της αντίστοιχηςποδομής της PKI. Το σχέδιο NESSIE (IST-1999-12324) ορίζει νέους κρυπτογραφικούς αλγόριθμους και το Verificard (IST-2000-26328) επικεντρώνεται στην επαλήθευση της ασφάλειας του λογισμικού που περιέχει η κάρτα. Σχέδια όπως το UFACE (IST-1999-11587) ή το BANCA (IST-1999-11159) επικεντρώνονται, από την πλευρά τους, στις τεχνικές πτυχές της βιομετρίας.

Το σχέδιο Smartcities (IST-1999-12252) είναι αφιερωμένο στην ανάπτυξη μιας κάρτας πόλης. Ωστόσο, αξίζει να εφευρεθούν μηχανισμοί για την εγγύηση της ασφάλειας των δεδομένων. Το Smartcities θεωρεί ότι η προστασία των δεδομένων θα γίνει εμπορικό επιχείρημα. Οι μηχανισμοί της μπορούν στη συνέχεια να ξαναχρησιμοποιηθούν από άλλα σχέδια.

(1) Οδηγία 98/34/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 22ας Ιουνίου 1998, για την καθιέρωση μιας διαδικασίας πληροφόρησης στον τομέα των τεχνικών προτύπων και κανονισμών, ΕΕ L 204 της 21.7.1998.

(2) ΕΕ L 77 της 26.3.1973.

(3) ΕΕ L 139 της 23.5.1989.

(4) ΕΕ L 281 της 23.11.1995.

(5) ΕΕ L 24 της 30.1.1998 και ΕΕ L 201 της 31.7.2002.