—

Ο σαφής ορισμός των όρων «ανθεκτικότητα όσον αφορά την ασφάλεια στον κυβερνοχώρο», «έγκλημα στον κυβερνοχώρο» και «άμυνα στον κυβερνοχώρο» είναι ιδιαίτερα σημαντικός, δεδομένου ότι οι όροι αυτοί χρησιμοποιούνται για να αιτιολογήσουν τη λήψη ειδικών μέτρων τα οποία μπορούν να θίξουν τα θεμελιώδη δικαιώματα, περιλαμβανομένου του δικαιώματος προστασίας της ιδιωτικής ζωής και του δικαιώματος προστασίας των δεδομένων. Παρόλα αυτά, οι ορισμοί του «εγκλήματος στον κυβερνοχώρο» που διατυπώνονται στη στρατηγική και στη σύμβαση για το έγκλημα στον κυβερνοχώρο παραμένουν αρκετά ευρείς. Κρίνεται συνεπώς προτιμητέος ο συσταλτικός έναντι του διασταλτικού ορισμού του «εγκλήματος στον κυβερνοχώρο».

—

Η νομοθεσία για την προστασία των δεδομένων πρέπει να εφαρμόζεται σε κάθε μέτρο της στρατηγικής το οποίο συνεπάγεται την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Μολονότι στα τμήματα που αφορούν το έγκλημα και την άμυνα στον κυβερνοχώρο δεν γίνεται ρητή μνεία στη νομοθεσία για την προστασία των δεδομένων, ο ΕΕΠΔ επισημαίνει ότι πολλά από τα μέτρα που προβλέπεται να υλοποιηθούν στους συγκεκριμένους τομείς συνεπάγονται την επεξεργασία δεδομένων προσωπικού χαρακτήρα και, κατά συνέπεια, εμπίπτουν στο πεδίο εφαρμογής της ισχύουσας νομοθεσίας για την προστασία δεδομένων. Ο ΕΕΠΔ σημειώνει επίσης ότι πολλά μέτρα συνίστανται στη θέσπιση μηχανισμών συντονισμού στο πλαίσιο των οποίων οι διαδικασίες ανταλλαγής δεδομένων προϋποθέτουν την εφαρμογή κατάλληλων εγγυήσεων για την προστασία των δεδομένων.

—

Οι αρχές προστασίας των δεδομένων διαδραματίζουν σημαντικό ρόλο στο πλαίσιο της ασφάλειας στον κυβερνοχώρο. Ως θεματοφύλακες των δικαιωμάτων των προσώπων στην προστασία της προσωπικής τους ζωής και των δεδομένων που τα αφορούν, οι αρχές προστασίας των δεδομένων μεριμνούν ενεργά για την προστασία των δεδομένων προσωπικού χαρακτήρα εντός και εκτός γραμμής. Κατά συνέπεια, πρέπει να αναλαμβάνουν ως εποπτικοί φορείς τον δέοντα ρόλο στην εφαρμογή μέτρων που συνεπάγονται την επεξεργασία δεδομένων προσωπικού χαρακτήρα (όπως η έναρξη του πιλοτικού έργου της ΕΕ για την καταπολέμηση των δικτύων ρομπότ (botnet) και του κακόβουλου λογισμικού). Κατά την εκτέλεση των καθηκόντων τους, όπως η ανταλλαγή βέλτιστων πρακτικών και η υλοποίηση μέτρων ευαισθητοποίησης, οι εποπτικές αρχές πρέπει να λαμβάνουν τη συνδρομή άλλων παραγόντων στον τομέα της ασφάλειας στον κυβερνοχώρο. Ο ΕΕΠΔ και οι εθνικές αρχές προστασίας των δεδομένων πρέπει να συμμετάσχουν με πρόσφορο τρόπο στη διάσκεψη υψηλού επίπεδου που θα διεξαχθεί το 2014 για την αξιολόγηση της προόδου ως προς την εφαρμογή της στρατηγικής.

—

να αποσαφηνίσουν με μεγαλύτερη βεβαιότητα στο άρθρο 3 παράγραφος 8 τον ορισμό των φορέων της αγοράς που εμπίπτουν στο πεδίο εφαρμογής της πρότασης και να καταρτίσουν έναν διεξοδικό κατάλογο όλων των ενδιαφερόμενων μερών, προκειμένου να διασφαλίσουν της εφαρμογή μιας πλήρως εναρμονισμένης και ολοκληρωμένης προσέγγισης της ασφάλειας σε επίπεδο ΕΕ

—

να διευκρινίσουν στο άρθρο 1 παράγραφος 2 στοιχείο γ) ότι η προτεινόμενη οδηγία εφαρμόζεται και για τα θεσμικά όργανα και τους οργανισμούς της ΕΕ και να συμπεριλάβουν στο άρθρο 1 παράγραφος 5 της πρότασης παραπομπή στον κανονισμό (ΕΚ) αριθ. 45/2001

—

να προσδώσουν έναν πιο οριζόντιο χαρακτήρα στην παρούσα πρόταση σε ό,τι αφορά την ασφάλεια, συμπεριλαμβάνοντας στο άρθρο 1 τη ρητή επιφύλαξη υφιστάμενων ή μελλοντικών πιο αναλυτικών κανόνων σε συγκεκριμένους τομείς (όπως οι κανόνες που πρόκειται να θεσπιστούν σχετικά με τους παρόχους υπηρεσιών εμπιστοσύνης στον προτεινόμενο κανονισμό σχετικά με την ηλεκτρονική ταυτοποίηση)

—

να προσθέσουν αιτιολογική σκέψη η οποία θα επεξηγεί την ανάγκη ενσωμάτωσης της αρχής της προστασίας των δεδομένων ήδη από τα πρώιμα στάδια του σχεδιασμού των μηχανισμών που θεσπίζονται στην πρόταση και καθόλη τη διάρκεια του κύκλου ζωής των σχετικών διεργασιών, διαδικασιών, οργανωτικών δομών, τεχνικών και υποδομών, λαμβανομένου υπόψη του κανονισμού για την προστασία των δεδομένων

—

να αποσαφηνίσουν τους ορισμούς του «συστήματος δικτύων και πληροφοριών» στο άρθρο 3 παράγραφος 1 και του «συμβάντος» στο άρθρο 3 παράγραφος 4, και να αντικαταστήσουν στο άρθρο 5 παράγραφος 2 την υποχρέωση κατάρτισης ενός «σχεδίου εκτίμησης του κινδύνου» με τη «δημιουργία και διατήρηση ενός πλαισίου διαχείρισης του κινδύνου»

—

να διευκρινίσουν στο άρθρο 1 παράγραφος 6 ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα δικαιολογείται βάσει του άρθρου 7 στοιχείο ε) της οδηγίας 95/46/ΕΚ στον βαθμό που είναι αναγκαία για την επίτευξη των στόχων δημοσίου συμφέροντος που επιδιώκει η προτεινόμενη οδηγία. Πρέπει, ωστόσο, να διασφαλίζεται η δέουσα τήρηση των αρχών της αναγκαιότητας και την αναλογικότητας, ούτως ώστε να υποβάλλονται σε επεξεργασία μόνο τα δεδομένα που είναι άκρως αναγκαία για την επίτευξη του επιδιωκόμενου σκοπού

—

να καθορίσουν στο άρθρο 14 τις συνθήκες υπό τις οποίες απαιτείται κοινοποίηση, το περιεχόμενο και τη μορφή αυτής, περιλαμβανομένων των τύπων των δεδομένων προσωπικού χαρακτήρα που πρέπει να κοινοποιούνται, καθώς και το κατά πόσον — και σε ποιον βαθμό — η κοινοποίηση και τα σχετικά δικαιολογητικά θα συμπεριλαμβάνουν λεπτομέρειες σχετικά με τα δεδομένα προσωπικού χαρακτήρα που επηρεάζονται από κάποιο συγκεκριμένο συμβάν ασφάλειας (περιλαμβανομένων των διευθύνσεων IP). Πρέπει να λαμβάνεται υπόψη το γεγονός ότι η συλλογή και επεξεργασία δεδομένων προσωπικού χαρακτήρα από τις αρμόδιες για την ΑΔΠ αρχές στο πλαίσιο ενός συμβάντος ασφάλειας πρέπει να επιτρέπεται μόνο εφόσον οι πράξεις αυτές είναι απολύτως αναγκαίες. Στην πρόταση πρέπει επίσης να καθορίζονται κατάλληλες εγγυήσεις για τη διασφάλιση της επαρκούς προστασίας των δεδομένων που επεξεργάζονται οι αρμόδιες για την ΑΔΠ αρχές

—

να αποσαφηνίσουν στο άρθρο 14 ότι οι κοινοποιήσεις συμβάντων δυνάμει του άρθρου 14 παράγραφος 2 πρέπει να πραγματοποιούνται με την επιφύλαξη των υποχρεώσεων κοινοποίησης παραβιάσεων των δεδομένων προσωπικού χαρακτήρα σύμφωνα με την ισχύουσα νομοθεσία για την προστασία δεδομένων. Στην πρόταση πρέπει να θεσπίζονται οι βασικές πτυχές της διαδικασίας σύμπραξης των αρμόδιων για την ΑΔΠ αρχών με τις αρχές προστασίας των δεδομένων σε περιπτώσεις συμβάντων ασφάλειας κατά τις οποίες παραβιάζονται δεδομένα προσωπικού χαρακτήρα

—

να τροποποιήσουν το άρθρο 14 παράγραφος 8 κατά τρόπο ώστε η εξαίρεση των πολύ μικρών επιχειρήσεων από το πεδίο κοινοποίησης να μην ισχύει για τους φορείς που διαδραματίζουν κρίσιμο ρόλο στην παροχή υπηρεσιών κοινωνίας της πληροφορίας, για παράδειγμα ανάλογα με τη φύση των πληροφοριών που επεξεργάζονται (π.χ. βιομετρικά ή ευαίσθητα δεδομένα)

—

να προσθέσουν στην πρόταση διατάξεις σχετικά με την περαιτέρω ανταλλαγή δεδομένων προσωπικού χαρακτήρα μεταξύ των αρμόδιων για την ΑΔΠ αρχών και άλλων αποδεκτών κατά τρόπο ώστε να διασφαλίζεται i) ότι τα δεδομένα προσωπικού χαρακτήρα κοινοποιούνται μόνο σε αποδέκτες οι οποίοι προβαίνουν σε πράξεις επεξεργασίας που είναι αναγκαίες για την εκτέλεση των καθηκόντων τους σύμφωνα με κάποια κατάλληλη νομική βάση και ii) ότι οι πληροφορίες αυτές περιορίζονται σε όσες είναι άκρως αναγκαίες για την εκτέλεση των καθηκόντων τους. Πρέπει επίσης να εξετάζονται τα μέτρα στα οποία προβαίνουν οι οντότητες που παρέχουν δεδομένα στο δίκτυο ανταλλαγής πληροφοριών ώστε να διασφαλίζεται η τήρηση της αρχής του περιορισμού του σκοπού

—

να προσδιορίσουν το χρονικό όριο διατήρησης των δεδομένων προσωπικού χαρακτήρα για τους σκοπούς που καθορίζονται στην προτεινόμενη οδηγία, ιδίως σε ό,τι αφορά τη διατήρηση δεδομένων είτε από τις αρμόδιες για την ΑΔΠ αρχές είτε εντός της ασφαλούς υποδομής του δικτύου συνεργασίας

—

να υπενθυμίσουν στις αρμόδιες για την ΑΔΠ αρχές την υποχρέωσή τους να παρέχουν κατάλληλες πληροφορίες σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα στα πρόσωπα στα οποία αναφέρονται τα δεδομένα, αναρτώντας για παράδειγμα στον δικτυακό τους τόπο την οικεία πολιτική για την προστασία της ιδιωτικής ζωής

—

να προσθέσουν διάταξη σχετικά με το επίπεδο ασφάλειας που πρέπει να τηρούν οι αρμόδιες για την ΑΔΠ αρχές όσον αφορά τις πληροφορίες που συλλέγονται, υποβάλλονται σε επεξεργασία και ανταλλάσσονται. Όσον αφορά την προστασία δεδομένων προσωπικού χαρακτήρα από τις αρμόδιες για την ΑΔΠ αρχές, πρέπει να προστεθεί παραπομπή στις απαιτήσεις που περιέχονται σχετικά με την ασφάλεια στο άρθρο 17 της οδηγίας 95/46/ΕΚ

—

να αποσαφηνίσουν στο άρθρο 9 παράγραφος 2 ότι τα κριτήρια για την συμμετοχή των κρατών μελών στο ασφαλές σύστημα ανταλλαγής πληροφοριών πρέπει να διασφαλίζουν ότι όλοι οι συμμετέχοντες στο εν λόγω σύστημα εγγυώνται ανά πάσα στιγμή κατά τη διάρκεια της επεξεργασίας την τήρηση υψηλού επιπέδου ασφάλειας και ανθεκτικότητας. Τα κριτήρια αυτά πρέπει να περιλαμβάνουν κατάλληλα μέτρα για την τήρηση απορρήτου και την ασφάλεια σύμφωνα με τα άρθρα 16 και 17 της οδηγίας 95/46/ΕΚ και τα άρθρα 21 και 22 του κανονισμού (ΕΚ) αριθ. 45/2001. Κατά τη συμμετοχή της στο ασφαλές σύστημα ανταλλαγής πληροφοριών με την ιδιότητα του υπευθύνου επεξεργασίας, η Επιτροπή πρέπει να δεσμεύεται ρητώς από αυτά τα κριτήρια

—

να προσθέσουν στο άρθρο 9 περιγραφή των ρόλων και των αρμοδιοτήτων της Επιτροπής και των κρατών μελών στη δημιουργία, στη λειτουργία και στη συντήρηση του ασφαλούς συστήματος ανταλλαγής πληροφοριών και να μεριμνήσουν για τον σχεδιασμό του συστήματος σύμφωνα με τις αρχές της προστασίας δεδομένων ήδη από τον σχεδιασμό και εξορισμού και της ασφάλειας ήδη από τον σχεδιασμό, και

—

να προσθέσουν στο άρθρο 13 την υποχρέωση διαβίβασης δεδομένων προσωπικού χαρακτήρα σε αποδέκτες εκτός της ΕΕ σύμφωνα με τα άρθρα 25 και 26 της οδηγίας 95/46/ΕΚ και το άρθρο 9 του κανονισμού (ΕΚ) αριθ. 45/2001.