ΓΡΑΠΤΗ ΕΡΩΤΗΣΗ E-1723/02

υποβολή: Bart Staes (Verts/ALE) προς την Επιτροπή

(13 Ιουνίου 2002)

Θέμα: Η προστασία της ιδιωτικής ζωής και η ηλεκτρονική επεξεργασία δεδομένων

Στο πλαίσιο του προγράμματος e-government οι ομοσπονδιακές αρχές του Βελγίου αποφάσισαν το φθινόπωρο του 2000 ότι κάθε βέλγος θα πρέπει έως το 2005 να είναι κάτοχος ηλεκτρονικής ταυτότητας. Σε άρθρο που δημοσιεύθηκε στην εφημερίδα De Morgen με τίτλο η νέα ταυτότητα μας φέρνει κοντά στο Big Brother της 21.05.2002, αναφέρεται ότι προετοιμάζονται οι αποκαλούμενεςπερτράπεζες δεδομένων, οι οποίες αποθηκεύουν εκτός από φορολογικά και ιατρικά επίσης αστυνομικά δεδομένα. Επιπλέον θα αποθηκεύονται δεδομένα βιομετρίας ούτως ώστε να μπορεί να επαληθεύεται η αυθεντικότητα μέσω των χαρακτηριστικών του προσώπου. Η πρόσβαση σ' αυτά τα εξαιρετικά προσωπικά δεδομένα καθίσταται δυνατή, με το μυστικό κωδικό της ταυτότητας, μέσω δικτυακής πύλης. Το μόνο που χρειάζεται είναι ο συνδυασμός τεσσάρων ψηφίων. Σύμφωνα με το άρθρο, οι εν λόγω τράπεζες δεδομένων θα συνδέονται επιπλέον μεταξύ τους. Κατ' αυτόν τον τρόπο είναι σαφές ότι η πρόσβαση στις τράπεζες δεδομένων αυτές καθίσταται ιδιαίτερα κερδοφόρος.

Έως σήμερα δεν ασκείται κανένας σχεδόν έλεγχος παρομοίων τραπεζών δεδομένων. Η αρμόδια για τον έλεγχο αρχή (η Επιτροπή για την Προστασία της Ιδιωτικής Ζωής) δενπόκειται σε κοινοβουλευτικό έλεγχο και δεν διαθέτει επαρκή αριθμό συνεργατών για να ασκεί δεόντως τον έλεγχο αυτό. Επιπλέον, ένα μέλος αυτής της επιτροπής είναι ταυτόχρονα επικεφαλής του φορέα που είναι αρμόδιος για τη διαχείριση του σχεδίου των ηλεκτρονικών ταυτοτήτων.

Πώς κρίνει η Επιτροπή τη σύνδεση των αστυνομικών, ιατρικών και φορολογικών τραπεζών δεδομένων·

Συμβιβάζεται άραγε με την ευρωπαϊκή νομοθεσία το γεγονός ότι ένα μέλος της Επιτροπής για την Προστασία της Ιδιωτικής Ζωής είναι ταυτόχροναπεύθυνο για τη διαχείριση του σχεδίου των ηλεκτρονικών ταυτοτήτων· Πως εξηγεί η Επιτροπή το γεγονός αυτό·

Μήπως η εκ μέρους του επεξεργαστή προστασία των δεδομένων μέσω ενός προσωπικού κωδικού αναγνώρισης και μόνο δεν επαρκεί από τεχνική και οργανωτική άποψη, ούτως ώστε να παρέχει την απαραίτητη εγγύηση για την προστασία της ιδιωτικής ζωής· Ποια είναι τα επιχειρήματα της Επιτροπής·

Κοινή απάντησητου κ. Bolkestein εξ ονόματος της Επιτροπήςστις γραπτές ερωτήσεις E-1723/02 και E-1724/02

(26 Σεπτεμβρίου 2002)

Η Επιτροπή έλαβε γνώση των βελγικών σχεδίων κανονισμών για την εισαγωγή της ψηφιακής ταυτότητας με την ευκαιρία μιας κοινοποίησης που έγινε κατ' εφαρμογήν της οδηγίας 98/34/ΕΚ(1) (οδηγία που επιβάλλει την κοινοποίηση εθνικών σχεδίων κανονισμών ιδίως για τιςπηρεσίες της κοινωνίας της πληροφορίας). Το Βέλγιο κοινοποίησε το νομοθετικό σχέδιο (στοιχεία αναφοράς αριθ. 2001/474/B) ζητώντας εμπιστευτική αντιμετώπιση του κειμένου, κατ' εφαρμογήν του άρθρου 8, παράγραφος 4, της προαναφερόμενης οδηγίας. Μετά την ανάλυση του σχεδίου κανονισμού, η Επιτροπή εξέδωσε εμπεριστατωμένη γνώμη και παρατηρήσεις. Η εμπεριστατωμένη γνώμη αφορούσε ουσιαστικά τα τεχνικά παραρτήματα με σκοπό να εξασφαλίσει τη συμβατότητά τους με την οδηγία 73/23/ΕΟΚ του Συμβουλίου, της 19ης Φεβρουαρίου 1973, περί προσεγγίσεως των νομοθεσιών των κρατών μελών των αναφερομένων στο ηλεκτρολογικόλικό που προορίζεται να χρησιμοποιηθεί εντός ορισμένων ορίων τάσεως(2) και με την οδηγία 89/336/ΕΟΚ του Συμβουλίου. της 3ης Μαΐου 1989 για την προσέγγιση των νομοθεσιών των κρατών μελών σχετικά με την ηλεκτρομαγνητική συμβατότητα(3). Όσο για τις παρατηρήσεις, αυτές αφορούσαν τις πτυχές που συνδέονταν με την προστασία των δεδομένων.

Η Επιτροπή σημειώνει ότι επί του παρόντος, παρόλο που μελετάται η απλούστευση ορισμένων διαδικασιών που ισχύουν σχετικά με την πρόσβαση ή με τη γνωστοποίηση δεδομένων προσωπικού χαρακτήρα, η προπαρασκευαζόμενη νομοθεσία δεν προβλέπει ειδικά τη διασύνδεση τραπεζών ιατρικών ή φορολογικών δεδομένων.

θίγει ο αξιότιμος βουλευτής και θα τις λάβειπόψη της στο πλαίσιο της διαδικασίας αξιολόγησης της εφαρμογής της οδηγίας 95/46/ΕΚ του Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών(4), διαδικασία που αναμένεται να ολοκληρωθεί στα τέλη του 2002.

Σε κάθε περίπτωση, η επεξεργασία δεδομένων προσωπικού χαρακτήρα, που περιλαμβάνει τις διασυνδέσεις και η οποία θα εφαρμοστεί στο πλαίσιο της ηλεκτρονικής ταυτότητας, θα πρέπει να συμβαδίζει με την οδηγία 95/46/ΕΚ. Η οδηγία αυτή, της οποίας το πεδίο εφαρμογής είναι περιορισμένο στην κοινοτική νομοθεσία, καθορίζει τις αρχές και τους όρους με τους οποίους μπορεί να γίνεται η επεξεργασία των δεδομένων προσωπικού χαρακτήρα. Επιβάλλει ιδίως τηνποχρέωση, όσον αφορά τα δεδομένα προσωπικού χαρακτήρα, ναφίστανται θεμιτή και σύννομη επεξεργασία, η δε περαιτέρω επεξεργασία τους να συμβιβάζεται με τους σκοπούς για τους οποίους έχουν συλλεγεί. Η οδηγία 95/46/ΕΚ περιέχει επίσης την αρχή της απαγόρευσης επεξεργασίας δεδομένων που αναφέρονται στηνγεία, αρχή η οποία συνοδεύεται από διάφορες εξαιρέσεις. Επιβάλλει, εξάλλου, να καθορίζονται οι όροι χρήσης ενιαίου αναγνωριστικού.

Επιπλέον, η οδηγία 95/46/ΕΚ προβλέπειποχρεωτικά την παροχή εγγυήσεων για την προστασία των δεδομένων από τυχαία ή παράνομη καταστροφή, τυχαία απώλεια, αλλοίωση, απαγορευμένη διάδοση ή πρόσβαση, καθώς και κάθε άλλη μορφή αθέμιτης επεξεργασίας. Η οδηγία 97/66/ΕΚ του Κοινοβουλίου και του Συμβουλίου, της 15ης Δεκεμβρίου 1997, περί επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και προστασίας της ιδιωτικής ζωής στον τηλεπικοινωνιακό τομέα, η οποία θα αντικατασταθεί από 31ης Οκτωβρίου 2003 από την οδηγία 2002/58/ΕΚ,(5) περιλαμβάνει επίσης ειδικέςποχρεώσεις ασφάλειας όσον αφορά τα δημόσια δίκτυα τηλεπικοινωνιών και τιςπηρεσίες τηλεπικοινωνιών στις οποίες έχει πρόσβαση το κοινό.

Η Επιτροπή παρακολουθεί με ιδιαίτερη προσοχή τις τεχνολογικές εξελίξεις σε ό,τι αφορά την ασφάλεια των ανταλλαγών δεδομένων. Σημειώνει, στο πλαίσιο αυτό, ότι το επίπεδο ασφάλειας που προσφέρεται μέσω της χρήσης μιαςποδομής με δημόσια κλειδιά εξαρτάται όχι μόνο από το

επίπεδο ασφάλειας που προσφέρεται από τα τεχνικά συστατικά μέρη τηςποδομής αλλά επίσης από την ποιότητα των διαδικασιών ασφάλειας και κυρίως από την αυστηρότητα της εφαρμογής τους (έξυπνη κάρτα, γενιά των κλειδιών, αρχή που εκδίδει τα πιστοποιητικά, εγκυρότητα των πιστοποιητικών, κ.λπ.).

Η Επιτροπή δίνει ιδιαίτερη προσοχή στις τεχνολογίες ασφαλείας που χρησιμοποιούνται για τη μεταφορά δεδομένων προσωπικού χαρακτήρα. Υπογραμμίζει, ωστόσο, ότι δενπάρχει απόλυτο επίπεδο ασφαλείας και ότι, σύμφωνα με την οδηγία 95/46/ΕΚ, το κατάλληλο επίπεδο ασφαλείας έναντι των κινδύνων που παρουσιάζει η επεξεργασία και η φύση δεδομένων προσωπικού χαρακτήρα που απολαμβάνουν προστασία πρέπει να καθορίζεται λαμβάνονταςπόψη την αιχμή της τεχνολογίας και το κόστος εφαρμογής των μέτρων ασφαλείας.

Όσον αφορά τη σύνθεση των αρχών ελέγχου που είναι επιφορτισμένες με τον έλεγχο της εφαρμογής των διατάξεων που έχουν θεσπιστεί από τα κράτη μέλη, η οδηγία 95/46/ΕΚ προβλέπει ότι οι αρχές αυτές ασκούν τα καθήκοντα που τους ανατίθενται με πλήρη ανεξαρτησία. Η οδηγία δεν παρέχει ωστόσο καμία άλλη ένδειξη σχετικά με τον τρόπο με τον οποίο εξασφαλίζεται αυτή η ανεξαρτησία. Η Επιτροπή σημειώνει σχετικά ότι, δυνάμει του βελγικού νόμου της 8ης Δεκεμβρίου 1992, σχετικά με την προστασία της ιδιωτικής ζωής έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, η αρμόδια βελγική αρχή προστασίας των δεδομένων είναι συλλογικό όργανο του οποίου τα μέλη ορίζονται από το Κοινοβούλιο. Ο νόμος αυτός προβλέπει εξάλλου ότι τα μέλη πρέπει να προσφέρουν όλες τις εγγυήσεις που τους επιτρέπουν να ασκήσουν τα καθήκοντά τους με ανεξαρτησία. Διάφορα μέτρα προβλέπονται γι'αυτό το σκοπό μεταξύ των οποίων συγκαταλέγεται η απαγόρευση για τα μέλη να είναι παρόντα όταν λαμβάνονται αποφάσεις σε σχέση με αντικείμενα για τα οποία έχουν προσωπικό συμφέρον.

Η Επιτροπήπενθυμίζει εξάλλου ότιποστηρίζει ερευνητικά σχέδια στον τομέα της ασφάλειας των έξυπνων καρτών. Οι ερευνητές Ross Anderson και Sergei Skorobogatov συμμετέχουν στο σχέδιο G3CARD (IST-1999-26328). Το σχέδιο αυτό επιδιώκει διπλό στόχο. Πρώτον, αποσκοπεί να εντοπίσει όλες τις επιθέσεις που είναι δυνατόν να δεχθεί μια έξυπνη κάρτα (ή επίθεση με flash συνιστά πράγματι ένα από τα παραδείγματα επιθέσεων που προβλέπει το σχέδιο αυτό). Ο δεύτερος στόχος είναι να αναπτυχθεί μια νέα γενιά έξυπνης κάρτας που θα είναι ικανή να αντιστέκεται στις νέες αυτές επιθέσεις.

Η έξυπνη κάρτα παρουσιάζει το πλεονέκτημα ότι αυξάνει σε σημαντικό βαθμό το επίπεδο ασφάλειας των συστημάτων καθιστώντας τις επιθέσεις τεχνικά πολύπλοκες και ταυτόχρονα δαπανηρές και, κατά συνέπεια, δυσπρόσβατες για τους εγκληματίες για ορισμένο χρονικό διάστημα. Είναι ωστόσο ξεκάθαρο ότι θα αποκαλυφθούν νέες επιθέσεις, επιθέσεις που θα απαιτήσουν την ανάπτυξη έξυπνων καρτών πιο προηγμένης γενιάς.

Το επίπεδο ασφάλειας του GSM είναι προσαρμοσμένο στις εφαρμογές που είχαν προβλεφθεί από τους σχεδιαστές του προτύπου πριν από δεκαπέντε χρόνια, εφαρμογές τηλεφωνίας ουσιαστικά. Τα νέα πρότυπα για το ασύρματο τηλέφωνο τρίτης γενιάς προβλέπουν ενισχυμένη ασφάλεια, ώστε να μπορούν να λειτουργήσουν ευαίσθητες εφαρμογές. Εξάλλου, η ασφάλεια των ασύρματων συναλλαγών θα είναι ένα από τα θέματα προτεραιότητας του προγράμματος για τις τεχνολογίες της κοινωνίας της πληροφορίας (IST) στο 6ο πρόγραμμα-πλαίσιο έρευνας και τεχνολογικής ανάπτυξης της Κοινότητας. Από σήμερα ήδη ένας από τους στόχους του ερευνητικού σχεδίου Embedded Finread (IST-2000-30091) είναι να μεταφέρει την ασφάλεια των τερματικών πληρωμής στην ασύρματη τηλεφωνία που μέρος της αποτελεί το σημερινό GSM.

Άλλα προγράμματα όπως το PKI Challenge (IST-2000-25012) και το Digisec (IST-1999-20981) εργάζονται για την ανάπτυξη της ηλεκτρονικήςπογραφής και της αντίστοιχηςποδομής της PKI. Το σχέδιο NESSIE (IST-1999-12324) ορίζει νέους κρυπτογραφικούς αλγόριθμους και το Verificard (IST-2000-26328) επικεντρώνεται στην επαλήθευση της ασφάλειας του λογισμικού που περιέχει η κάρτα. Σχέδια όπως το UFACE (IST-1999-11587) ή το BANCA (IST-1999-11159) επικεντρώνονται, από την πλευρά τους, στις τεχνικές πτυχές της βιομετρίας.

Το σχέδιο Smartcities (IST-1999-12252) είναι αφιερωμένο στην ανάπτυξη μιας κάρτας πόλης. Ωστόσο, αξίζει να εφευρεθούν μηχανισμοί για την εγγύηση της ασφάλειας των δεδομένων. Το Smartcities θεωρεί ότι η προστασία των δεδομένων θα γίνει εμπορικό επιχείρημα. Οι μηχανισμοί της μπορούν στη συνέχεια να ξαναχρησιμοποιηθούν από άλλα σχέδια.

(1) Οδηγία 98/34/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 22ας Ιουνίου 1998, για την καθιέρωση μιας διαδικασίας πληροφόρησης στον τομέα των τεχνικών προτύπων και κανονισμών, ΕΕ L 204 της 21.7.1998.

(2) ΕΕ L 77 της 26.3.1973.

(3) ΕΕ L 139 της 23.5.1989.

(4) ΕΕ L 281 της 23.11.1995.

(5) ΕΕ L 24 της 30.1.1998 και ΕΕ L 201 της 31.7.2002.