Πρόταση οδηγίας του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου σχετικά με κοινό πλαίσιο για ηλεκτρονικές υπογραφές (98/C 325/04) (Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ) COM(1998) 297 τελικό - 98/0191(COD)

(Υποβλήθηκε από την Επιτροπή στις 16 Ιουνίου 1998)

ΤΟ ΕΥΡΩΠΑΪΚΟ ΚΟΙΝΟΒΟΥΛΙΟ ΚΑΙ ΤΟ ΣΥΜΒΟΥΛΙΟ ΤΗΣ ΕΥΡΩΠΑΪΚΗΣ ΕΝΩΣΗΣ,

Έχοντας υπόψη:

τη συνθήκη για την ίδρυση της Ευρωπαϊκής Κοινότητας, και ιδίως το άρθρο 57, παράγραφος 2, το άρθρο 66 και 100Α,

την πρόταση της Επιτροπής,

τη γνώμη της Οικονομικής και Κοινωνικής Επιτροπής,

τη γνώμη της Επιτροπής των Περιφερειών,

ενεργώντας σύμφωνα με τη διαδικασία του άρθρου 189Β της συνθήκης,

Εκτιμώντας:

(1) ότι η Επιτροπή υπέβαλε στις 16 Απριλίου 1997 προς το Ευρωπαϊκό Κοινοβούλιο, το Συμβούλιο, την Οικονομική και Κοινωνική Επιτροπή και την Επιτροπή των Περιφερειών ανακοίνωση σχετικά με ευρωπαϊκή πρωτοβουλία στο ηλεκτρονικό εμπόριο (1) 7

(2) ότι η Επιτροπή υπέβαλε στις 8 Οκτωβρίου 1997 προς το Ευρωπαϊκό Κοινοβούλιο, το Συμβούλιο, την Οικονομική και Κοινωνική Επιτροπή και την Επιτροπή των Περιφερειών ανακοίνωση για την κατοχύρωση της ασφάλειας και εμπιστοσύνης στις ηλεκτρονικές επικοινωνίες - προς ένα ευρωπαϊκό πλαίσιο για ψηφιακές υπογραφές και κρυπτοθέτηση (2) 7

(3) ότι την 1η Δεκεμβρίου 1997 το Συμβούλιο κάλεσε την Επιτροπή να υποβάλει το ταχύτερο δυνατό πρόταση για οδηγία του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου σχετικά με τις ψηφιακές υπογραφές 7

(4) ότι για τις ηλεκτρονικές επικοινωνίες και το εμπόριο απαιτούνται ηλεκτρονικές υπογραφές και συναφείς υπηρεσίες που παρέχουν τη δυνατότητα ταυτοποίησης των δεδομένων 7 ότι η ύπαρξη αποκλινόντων κανόνων όσον αφορά τη νομική αναγνώριση των ψηφιακών υπογραφών και τη διαπίστευση «παρόχων υπηρεσιών πιστοποίησης» στα κράτη μέλη ενδέχεται να αποτελέσει σημαντικό φραγμό για τη χρήση των ηλεκτρονικών επικοινωνιών και του ηλεκτρονικού εμπορίου και κατά συνέπεια να παρεμποδίσει την ανάπτυξη της εσωτερικής αγοράς 7 ότι οι αποκλίνουσες δραστηριότητες στα κράτη μέλη αποτελούν ένδειξη της ανάγκης εναρμόνισης σε κοινοτικό επίπεδο 7

(5) ότι πρέπει να προαχθεί η διαλειτουργικότητα των προϊόντων ηλεκτρονικής υπογραφής 7 ότι, σύμφωνα με το άρθρο 7Α της συνθήκης, η εσωτερική αγορά πρέπει να περιλαμβάνει ένα χώρο μέσα στον οποίο πρέπει να εξασφαλίζεται η ελεύθερη κυκλοφορία των εμπορευμάτων 7 ότι πρέπει να ικανοποιηθούν βασικές απαιτήσεις που αναφέρονται σε προϊόντα ηλεκτρονικής υπογραφής τα οποία χρησιμοποιούνται από παρόχους υπηρεσιών πιστοποίησης για τη διασφάλιση της ελεύθερης κυκλοφορίας εντός της εσωτερικής αγοράς και για την οικοδόμηση εμπιστοσύνης στις ηλεκτρονικές υπογραφές 7

(6) ότι η ταχεία τεχνολογική ανάπτυξη και ο παγκόσμιος χαρακτήρας του Internet επιβάλλουν προσέγγιση που θα είναι ανοικτή σε διάφορες τεχνολογίες ηλεκτρονικής ταυτοποίησης δεδομένων 7 ότι, ωστόσο, οι «ψηφιακές υπογραφές» που βασίζονται σε κρυπτογραφία δημόσιου κλειδιού αποτελούν επί του παρόντος αναγνωρισμένη μορφή ηλεκτρονικής υπογραφής 7

(7) ότι η εσωτερική αγορά επιτρέπει στους παρόχους υπηρεσιών πιστοποίησης την ανάπτυξη των διασυνοριακών δραστηριοτήτων τους αποβλέποντας στην αύξηση της ανταγωνιστικότητάς τους, προσφέροντας έτσι στους καταναλωτές και τις επιχειρήσεις νέες ευκαιρίες ασφαλούς ανταλλαγής πληροφοριών και ηλεκτρονικών συναλλαγών, ανεξαρτήτως συνόρων 7 ότι για την τόνωση της παροχής υπηρεσιών πιστοποίησης μέσω ανοικτών δικτύων σε κοινοτική κλίμακα, θα πρέπει οι πάροχοι υπηρεσιών πιστοποίησης να είναι εν γένει ελεύθεροι να προσφέρουν τις υπηρεσίες τους χωρίς προηγούμενη έγκριση 7 ότι δεν υφίσταται άμεση ανάγκη για τη διασφάλιση της ελεύθερης κυκλοφορίας των υπηρεσιών πιστοποίησης μέσω εναρμόνισης αιτιολογημένων και αναλογικών εθνικών περιορισμών για την παροχή των εν λόγω υπηρεσιών 7

(8) ότι οι μηχανισμοί εθελοντικής διαπίστευσης που αποσκοπούν σε βελτιωμένο επίπεδο παροχής υπηρεσιών ενδέχεται να προσφέρουν στους παρόχους υπηρεσιών πιστοποίησης το κατάλληλο πλαίσιο για την περαιτέρω ανάπτυξη των υπηρεσιών τους στα επίπεδα εμπιστοσύνης, ασφάλειας και ποιότητας που απαιτούνται από την εξελισσόμενη αγορά 7 ότι οι εν λόγω μηχανισμοί θα πρέπει να ενθαρρύνουν την ανάπτυξη βέλτιστης πρακτικής μεταξύ των παρόχων υπηρεσιών πιστοποίησης 7 ότι οι πάροχοι υπηρεσιών πιστοποίησης θα πρέπει να είναι ελεύθεροι να επιλέγουν και να επωφελούνται από τους εν λόγω μηχανισμούς διαπίστευσης 7 ότι τα κράτη μέλη δεν θα πρέπει να απαγορεύουν στους παρόχους υπηρεσιών πιστοποίησης να λειτουργούν, εκτός των εν λόγω μηχανισμών διαπίστευσης 7 ότι θα πρέπει να διασφαλίζεται ότι οι μηχανισμοί διαπίστευσης δεν περιορίζουν τον ανταγωνισμό στις υπηρεσίες πιστοποίησης 7 ότι είναι σημαντική η επίτευξη ισορροπίας μεταξύ αναγκών των καταναλωτών και των επιχειρήσεων 7

(9) ότι, κατά συνέπεια, η παρούσα οδηγία θα πρέπει να στοχεύει στην επίτευξη της χρήσης και νομικής αναγνώρισης των ηλεκτρονικών υπογραφών εντός της Κοινότητας 7 ότι δεν απαιτείται κανονιστικό πλαίσιο για ηλεκτρονικές υπογραφές που χρησιμοποιούνται αποκλειστικά μέσα σε κλειστά συστήματα 7 ότι πρέπει να γίνεται σεβαστή η ελευθερία των συμβαλλομένων μερών να συμφωνούν μεταξύ τους τους όρους και τις προϋποθέσεις βάσει των οποίων αποδέχονται ηλεκτρονικά υπογεγραμμένα δεδομένα, στο βαθμό που τούτο επιτρέπεται από την εθνική νομοθεσία 7 ότι η παρούσα οδηγία δεν πρέπει να στοχεύει σε εναρμόνιση εθνικών κανόνων που αφορούν το ενοχικό δίκαιο, ιδίως την κατάρτιση και εκτέλεση των συμβάσεων, ή άλλες μη συμβατικές διατυπώσεις για τις οποίες απαιτούνται υπογραφές 7 ότι, επομένως, οι διατάξεις που αφορούν τις έννομες συνέπειες των ηλεκτρονικών υπογραφών πρέπει να ισχύουν με την επιφύλαξη απαιτήσεων της εθνικής νομοθεσίας σχετικά με το τυπικό που αφορούν τη σύναψη συμβάσεων ή τους κανόνες που καθορίζουν τη σύναψη μίας σύμβασης 7

(10) ότι, ως συμβολή στη γενική αποδοχή των ηλεκτρονικών υπογραφών, δεν θα πρέπει να απορρίπτεται η νομική ισχύς μίας ηλεκτρονικής υπογραφής αποκλειστικά εξ αιτίας του γεγονότος ότι είναι υπό μορφή ηλεκτρονικών δεδομένων, ότι δεν βασίζεται σε αναγνωρισμένο πιστοποιητικό ή σε πιστοποιητικό που εκδίδεται από διαπιστευμένο πάροχο υπηρεσιών πιστοποίησης, ή ότι ο πάροχος υπηρεσιών που έχει εκδώσει το σχετικό πιστοποιητικό προέρχεται από άλλο κράτος μέλος 7 ότι οι ηλεκτρονικές υπογραφές, οι οποίες συνδέονται με αξιόπιστο πάροχο υπηρεσιών πιστοποίησης που συμμορφούται με τις βασικές απαιτήσεις, θα πρέπει να έχουν τις ίδιες έννομες συνέπειες όπως οι ιδιόχειρες υπογραφές 7 ότι πρέπει να διασφαλιστεί η δυνατότητα χρησιμοποίησης των ηλεκτρονικών υπογραφών ως αποδεικτικό στοιχείο σε νομικές διαδικασίες σε όλα τα κράτη μέλη 7 ότι η νομική αναγνώριση των ηλεκτρονικών υπογραφών θα πρέπει να βασίζεται σε αντικειμενικά κριτήρια και να μη συνδέεται με την εξουσιοδότηση του εμπλεκόμενου παρόχου υπηρεσιών 7 ότι η ύπαρξη εναρμονισμένων κανόνων όσον αφορά τις έννομες συνέπειες των ηλεκτρονικών υπογραφών θα διαφυλάξει ένα συνεκτικό και λογικά συνεπές νομικό πλαίσιο σε ολόκληρη την έκταση της Κοινότητας 7

(11) ότι οι πάροχοι υπηρεσιών πιστοποίησης που προσφέρουν υπηρεσίες πιστοποίησης στο κοινό υπάγονται στους εθνικούς κανόνες περί ευθύνης 7 ότι οι διαφορές στο πεδίο εφαρμογής και το περιεχόμενο των εν λόγω κανόνων περί ευθύνης ενδέχεται να έχουν ως αποτέλεσμα νομική αβεβαιότητα, ιδίως όσον αφορά τρίτα μέρη που βασίζονται στις υπηρεσίες τους 7 ότι η εν λόγω αβεβαιότητα θα αποβεί επιζήμια για την ανάπτυξη του διασυνοριακού εμπορίου και θα παρεμποδίσει την ορθή λειτουργία της εσωτερικής αγοράς 7 ότι οι εναρμονισμένοι κανόνες για την ευθύνη παρέχουν ασφάλεια του δικαίου και προβλεψιμότητα, τόσο για τους παρόχους υπηρεσιών πιστοποίησης όσο και για τους καταναλωτές 7 ότι οι εν λόγω κανόνες θα συμβάλουν στη γενική αποδοχή και νομική αναγνώριση των ηλεκτρονικών υπογραφών στην Κοινότητα και, κατά συνέπεια, θα ασκήσουν ευεργετική επίδραση στη λειτουργία της εσωτερικής αγοράς 7

(12) ότι για την ανάπτυξη του διεθνούς ηλεκτρονικού εμπορίου απαιτούνται διασυνοριακοί μηχανισμοί με συμμετοχή τρίτων χωρών 7 ότι οι εν λόγω μηχανισμοί θα πρέπει να αναπτυχθούν από τις επιχειρήσεις 7 ότι για τη διασφάλιση διαλειτουργικότητας σε παγκόσμιο επίπεδο θα μπορούσαν να αποβούν επωφελείς συμφωνίες περί πολυμερών κανόνων με τρίτες χώρες σχετικά με την αμοιβαία αναγνώριση υπηρεσιών πιστοποίησης 7

(13) ότι για την τόνωση των ηλεκτρονικών επικοινωνιών και του ηλεκτρονικού εμπορίου μέσω της διασφάλισης της εμπιστοσύνης των χρηστών, θα πρέπει τα κράτη μέλη να υποχρεώσουν τους παρόχους υπηρεσιών πιστοποίησης να τηρούν τη νομοθεσία περί προστασίας των δεδομένων και της ιδιωτικής ζωής και θα πρέπει επίσης να παρέχουν υπηρεσίες πιστοποίησης και για ψευδώνυμα, έπειτα από αίτηση του υπογράφοντος 7 ότι θα πρέπει να καθορίζεται από την εθνική νομοθεσία εάν και υπό ποίες προϋποθέσεις πρέπει να διαβιβάζονται για έρευνα, σχετικά με την τέλεση αξιόποινων πράξεων δεδομένα που αποκαλύπτουν την ταυτότητα του προσώπου το οποίο αφορούν 7 ότι οι πάροχοι υπηρεσιών πιστοποίησης θα πρέπει να ενημερώνουν εκ των προτέρων τους χρήστες σχετικά με τους όρους παροχής των υπηρεσιών τους, ιδίως σχετικά με την επακριβή χρήση των πιστοποιητικών τους και τους περιορισμούς της ευθύνης τους, γραπτώς και σε κατανοητή γλώσσα με χρήση ενός ανθεκτικού μέσου επικοινωνίας 7

(14) ότι για την εφαρμογή της παρούσας οδηγίας η Επιτροπή πρέπει να επικουρείται από επιτροπή συμβουλευτικού χαρακτήρα 7

(15) ότι, σύμφωνα με τις αρχές της επικουρικότητας και της αναλογικότητας που αναφέρονται στο άρθρο 3Β της συνθήκης, ο στόχος της δημιουργίας εναρμονισμένου νομοθετικού πλαισίου για την παροχή ηλεκτρονικών υπογραφών και συναφών υπηρεσιών δεν μπορεί να επιτευχθεί αποτελεσματικά από τα κράτη μέλη και, ως εκ τούτου, είναι δυνατόν να επιτευχθεί καλύτερα σε κοινοτικό επίπεδο 7 ότι η παρούσα οδηγία περιορίζεται στις ελάχιστες απαιτήσεις που είναι απαραίτητες για την επίτευξη του εν λόγω στόχου,

ΕΞΕΔΩΣΕ ΤΗΝ ΠΑΡΟΥΣΑ ΟΔΗΓΙΑ:

Άρθρο 1

Πεδίο εφαρμογής

Η παρούσα οδηγία καλύπτει τη νομική αναγνώριση των ηλεκτρονικών υπογραφών.

Δεν καλύπτει άλλες πτυχές που αφορούν τη σύναψη και την ισχύ συμβάσεων ή άλλων μη συμβατικών διατυπώσεων για τις οποίες απαιτούνται υπογραφές.

Θεσπίζει νομικό πλαίσιο για ορισμένες υπηρεσίες πιστοποίησης που προσφέρονται στο κοινό.

Άρθρο 2

Ορισμοί

Για τους σκοπούς της παρούσας οδηγίας νοούνται ως:

1. «Ηλεκτρονική υπογραφή»: υπογραφή σε ψηφιακή μορφή σε, ή συνημμένη σε, ή λογικά συσχετιζόμενη με δεδομένα και χρησιμοποιούμενη από έναν υπογράφοντα ως ένδειξη της αποδοχής εκ μέρους του υπογράφοντος του περιεχομένου των εν λόγω δεδομένων 7 η εν λόγω υπογραφή ανταποκρίνεται στις ακόλουθες απαιτήσεις:

α) συνδέεται μονοσήμαντα με τον υπογράφοντα 7

β) ταυτοποιεί τον υπογράφοντα 7

γ) δημιουργείται με μέσα τα οποία ο υπογράφων μπορεί να διατηρήσει υπό τον αποκλειστικό του έλεγχο 7

δ) συνδέεται με τα δεδομένα στα οποία αναφέρεται κατά τρόπο ώστε να μπορεί να αποκαλυφθεί οποιαδήποτε επακόλουθη αλλοίωση των εν λόγω δεδομένων.

2. «Υπογράφων»: άτομο που δημιουργεί ηλεκτρονική υπογραφή.

3. «Διάταξη δημιουργίας υπογραφής»: μονοσήμαντα δεδομένα, όπως κώδικες ή ιδιωτικά κλειδιά κρυπτογραφίας, ή μονοσήμαντα διατεταγμένη φυσική διάταξη, η οποία χρησιμοποιείται από τον υπογράφοντα κατά τη δημιουργία ηλεκτρονικής υπογραφής.

4. «Διάταξη επαλήθευσης υπογραφής»: μονοσήμαντα δεδομένα, όπως κώδικες ή δημόσια κλειδιά κρυπτογραφίας, ή μονοσήμαντα διατεταγμένη φυσική διάταξη, η οποία χρησιμοποιείται κατά την επαλήθευση της ηλεκτρονικής υπογραφής.

5. «Αναγνωρισμένο πιστοποιητικό»: ψηφιακή βεβαίωση, μέσω της οποίας μία διάταξη επαλήθευσης υπογραφής συνδέεται με ένα άτομο, επιβεβαιώνει την ταυτότητα του εν λόγω ατόμου και ανταποκρίνεται στις απαιτήσεις που ορίζονται στο παράρτημα Ι.

6. «Πάροχος υπηρεσιών πιστοποίησης»: άτομο ή φορέας που εκδίδει πιστοποιητικά ή παρέχει στο κοινό άλλες υπηρεσίες, συναφείς με τις ηλεκτρονικές υπογραφές.

7. «Προϊόν ηλεκτρονικής υπογραφής»: υλικισμικό ή λογισμικό ή συναφή συστατικά στοιχεία τους, που προορίζονται για χρήση εκ μέρους παρόχου υπηρεσιών πιστοποίησης για την παροχή των υπηρεσιών ηλεκτρονικής υπογραφής.

Άρθρο 3

Πρόσβαση στην αγορά

1. Τα κράτη μέλη δεν εξαρτούν την παροχή υπηρεσιών πιστοποίησης από εκ των προτέρων εξουσιοδότηση.

2. Με την επιφύλαξη των διατάξεων της παραγράφου 1, τα κράτη μέλη δύνανται να εισαγάγουν ή να διατηρούν μηχανισμούς εθελοντικής διαπίστευσης που αποσκοπούν στην επίτευξη βελτιωμένου επιπέδου παροχής υπηρεσιών πιστοποίησης. Όλες οι προϋποθέσεις που συνδέονται με τους εν λόγω μηχανισμούς πρέπει να είναι αντικειμενικές, διαφανείς, ανάλογες και να μην οδηγούν σε διακρίσεις. Τα κράτη μέλη δεν μπορούν να περιορίζουν τον αριθμό των παρόχων υπηρεσιών πιστοποίησης για λόγους που εμπίπτουν στο πεδίο εφαρμογής της παρούσας οδηγίας.

3. Η Επιτροπή δύναται, σύμφωνα με τη διαδικασία του άρθρου 9, να καθιερώνει και να δημοσιεύει αριθμούς αναφοράς γενικώς αναγνωρισμένων προτύπων για προϊόντα ηλεκτρονικής υπογραφής στην Επίσημη Εφημερίδα των Ευρωπαϊκών Κοινοτήτων. Τα κράτη μέλη τεκμαίρουν συμμόρφωση με τις απαιτήσεις που καθορίζονται στο σημείο ε) του παραρτήματος ΙΙ όταν ένα προϊόν ηλεκτρονικής υπογραφής ανταποκρίνεται στα εν λόγω πρότυπα.

4. Τα κράτη μέλη δύνανται να εξαρτούν τη χρήση ηλεκτρονικών υπογραφών στο δημόσιο τομέα από πρόσθετες απαιτήσεις. Οι εν λόγω απαιτήσεις είναι αντικειμενικές, διαφανείς, ανάλογες και δεν οδηγούν σε διακρίσεις, ενώ αναφέρονται μόνο στα ειδικά χαρακτηριστικά της συγκεκριμένης εφαρμογής.

Άρθρο 4

Αρχές της εσωτερικής αγοράς

1. Κάθε κράτος μέλος εφαρμόζει τις εθνικές διατάξεις που θεσπίζει κατ' εφαρμογήν της παρούσας οδηγίας για παρόχους υπηρεσιών πιστοποίησης εγκατεστημένους στην επικράτειά του, καθώς και για τις υπηρεσίες που αυτοί παρέχουν. Τα κράτη μέλη δεν μπορούν να περιορίσουν την παροχή υπηρεσιών πιστοποίησης που προέρχονται από άλλο κράτος μέλος στο πεδίο που καλύπτεται από την παρούσα οδηγία.

2. Τα κράτη μέλη διασφαλίζουν ότι τα προϊόντα ηλεκτρονικής υπογραφής που συμμορφούνται με την παρούσα οδηγία επιτρέπεται να κυκλοφορούν ελεύθερα στην εσωτερική αγορά.

Άρθρο 5

Έννομες συνέπειες

1. Τα κράτη μέλη διασφαλίζουν ότι μία ηλεκτρονική υπογραφή δεν στερείται έννομων συνεπειών, ισχύος και εκτελεστότητας αποκλειστικώς επειδή είναι σε ηλεκτρονική μορφή ή επειδή δεν βασίζεται σε αναγνωρισμένο πιστοποιητικό ή σε πιστοποιητικό που έχει εκδοθεί από διαπιστευμένο πάροχο υπηρεσιών πιστοποίησης.

2. Τα κράτη μέλη διασφαλίζουν ότι οι ηλεκτρονικές υπογραφές που βασίζονται σε αναγνωρισμένο πιστοποιητικό εκδιδόμενο από πάροχο υπηρεσιών πιστοποίησης ο οποίος πληρεί τους καθοριζόμενους στο παράρτημα ΙΙ όρους, αφενός αναγνωρίζεται ότι εκπληρώνουν την απαίτηση για ιδιόχειρη υπογραφή και αφετέρου γίνονται δεκτές ως αποδεικτικό στοιχείο ενώπιον της δικαιοσύνης κατά τον ίδιο τρόπο όπως οι ιδιόχειρες υπογραφές.

Άρθρο 6

Ευθύνη

1. Τα κράτη μέλη διασφαλίζουν ότι με την έκδοση αναγνωρισμένου πιστοποιητικού, ο πάροχος υπηρεσιών πιστοποίησης υπέχει ευθύνη έναντι οποιουδήποτε προσώπου που ευλόγως βασίζεται στο πιστοποιητικό, ως προς:

α) την ακρίβεια όλων των πληροφοριών στο αναγνωρισμένο πιστοποιητικό κατά την ημερομηνία έκδοσής του, εκτός εάν έχει άλλως δηλωθεί στο πιστοποιητικό εκ μέρους του παρόχου υπηρεσιών πιστοποίησης 7

β) τη συμμόρφωση με όλες τις απαιτήσεις της παρούσας οδηγίας κατά την έκδοση του αναγνωρισμένου πιστοποιητικού 7

γ) τη διαβεβαίωση ότι το πρόσωπο που ταυτοποιείται στο αναγνωρισμένο πιστοποιητικό ήταν κάτοχος, κατά το χρόνο έκδοσης του πιστοποιητικού, της διάταξης δημιουργίας υπογραφής που αντιστοιχεί στη διάταξη επαλήθευσης υπογραφής η οποία αναφέρεται ή ταυτοποιείται στο πιστοποιητικό 7

δ) σε περιπτώσεις που η διάταξη δημιουργίας υπογραφής και η διάταξη επαλήθευσης υπογραφής προέρχονται από τον πάροχο υπηρεσιών πιστοποίησης, διαβεβαίωση ότι οι δύο διατάξεις συλλειτουργούν συμπληρωματικά.

2. Τα κράτη μέλη διασφαλίζουν ότι ένας πάροχος υπηρεσιών πιστοποίησης δεν υπέχει ευθύνη για εσφαλμένες πληροφορίες στο αναγνωρισμένο πιστοποιητικό, οι οποίες παρασχέθηκαν από το άτομο στο όνομα του οποίου εκδόθηκε το πιστοποιητικό 7 εάν μπορεί να αποδείξει ότι έχει λάβει όλα τα ευλόγως εφαρμόσιμα μέτρα για την επαλήθευση των εν λόγω πληροφοριών.

3. Τα κράτη μέλη διασφαλίζουν ότι ένας πάροχος υπηρεσιών πιστοποίησης δύναται να αναγράφει στο αναγνωρισμένο πιστοποιητικό περιορισμούς χρήσεως συγκεκριμένου πιστοποιητικού. Ο πάροχος υπηρεσιών πιστοποίησης δεν υπέχει ευθύνη για βλάβες που προκύπτουν από αντικανονική χρήση ενός αναγνωρισμένου πιστοποιητικού που περιλαμβάνει περιορισμούς των χρήσεών του.

4. Τα κράτη μέλη διασφαλίζουν ότι ένας πάροχος υπηρεσιών πιστοποίησης δύναται να αναγράφει στο αναγνωρισμένο πιστοποιητικό περιορισμούς σχετικά με το ύψος των συναλλαγών για τις οποίες ισχύει το πιστοποιητικό. Ο πάροχος υπηρεσιών πιστοποίησης δεν υπέχει ευθύνη για ζημίες που υπερβαίνουν το ύψος του εν λόγω ορίου.

5. Οι διατάξεις των παραγράφων 1 έως 4 ισχύουν με την επιφύλαξη της οδηγίας 93/13/ΕΟΚ του Συμβουλίου (3).

Άρθρο 7

Διεθνείς πτυχές

1. Τα κράτη μέλη διασφαλίζουν ότι τα πιστοποιητικά που εκδίδονται από πάροχο υπηρεσιών πιστοποίησης, εγκατεστημένο σε τρίτη χώρα, θεωρούνται νομικώς ισοδύναμα με πιστοποιητικά που εκδίδονται από πάροχο υπηρεσιών πιστοποίησης εγκατεστημένο στην Κοινότητα:

α) εάν ο πάροχος υπηρεσιών πιστοποίησης πληρεί τις απαιτήσεις που καθορίζονται στην παρούσα οδηγία και έχει διαπιστευτεί στο πλαίσιο εθελοντικού μηχανισμού πιστοποίησης, καθιερωμένου από κράτος μέλος ή

β) εάν ο πάροχος υπηρεσιών πιστοποίησης, εγκατεστημένος στην Κοινότητα, ο οποίος πληρεί τις απαιτήσεις που καθορίζονται στο παράρτημα ΙΙ, εγγυάται για το πιστοποιητικό, στον ίδιο βαθμό όπως για τα δικά του πιστοποιητικά ή

γ) εάν το πιστοποιητικό του παρόχου υπηρεσιών πιστοποίησης αναγνωρίζεται δυνάμει διμερούς ή πολυμερούς συμφωνίας μεταξύ της Κοινότητας και τρίτων χωρών ή διεθνών οργανισμών.

2. Η Επιτροπή, για να διευκολύνει τις διασυνοριακές υπηρεσίες πιστοποίησης με τρίτες χώρες και την αναγνώριση ηλεκτρονικών υπογραφών προερχόμενων από τρίτες χώρες, θα διατυπώσει προτάσεις για την επίτευξη αποτελεσματικής εφαρμογής προτύπων και διεθνών συμφωνιών που ισχύουν για υπηρεσίες πιστοποίησης. Ειδικότερα, όπου κρίνει απαραίτητο, υποβάλλει προτάσεις προς το Συμβούλιο για την έκδοση κατάλληλων εντολών διαπραγμάτευσης διμερών και πολυμερών συμφωνιών με τρίτες χώρες και διεθνείς οργανισμούς. Το Συμβούλιο αποφασίζει με ειδική πλειοψηφία.

Άρθρο 8

Προστασία δεδομένων

1. Τα κράτη μέλη διασφαλίζουν ότι οι πάροχοι υπηρεσιών πιστοποίησης και οι εθνικοί φορείς, αρμόδιοι για πιστοποίηση ή εποπτεία, συμμορφούνται προς τις απαιτήσεις που καθορίζονται στις οδηγίες 95/46/ΕΚ (4) και 97/66/ΕΚ (5) του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου.

2. Τα κράτη μέλη διασφαλίζουν ότι ένας πάροχος υπηρεσιών πιστοποίησης δύναται να συλλέγει δεδομένα προσωπικού χαρακτήρα μόνο απευθείας από το πρόσωπο το οποίο αφορούν και μόνον στο βαθμό που είναι απαραίτητο για τους σκοπούς έκδοσης πιστοποιητικού. Δεν επιτρέπεται συλλογή ή επεξεργασία των δεδομένων για άλλους σκοπούς χωρίς τη συναίνεση του εν λόγω προσώπου.

3. Τα κράτη μέλη διασφαλίζουν ότι, κατόπιν αιτήσεως του υπογράφοντος, ο πάροχος υπηρεσιών πιστοποίησης αναφέρει στο πιστοποιητικό ψευδώνυμο αντί του ονόματος του υπογράφοντος.

4. Τα κράτη μέλη διασφαλίζουν ότι, στην περίπτωση προσώπων που χρησιμοποιούν ψευδώνυμο, ο πάροχος υπηρεσιών πιστοποίησης διαβιβάζει τα δεδομένα που αφορούν την ταυτότητα των εν λόγω προσώπων σε αρχές, κατόπιν αιτήσεως των τελευταίων, με τη συναίνεση των προσώπων αυτών. Σε περίπτωση που, σύμφωνα με την εθνική νομοθεσία, η διαβίβαση των δεδομένων που αποκαλύπτουν την ταυτότητα του προσώπου που αφορούν είναι απαραίτητη για τη διερεύνηση αξιόποινων πράξεων που αναφέρονται στη χρήση ηλεκτρονικής υπογραφής με ψευδώνυμο, η μεταβίβαση καταγράφεται και ενημερώνεται το υποκείμενο των δεδομένων σχετικά με τη μεταβίβαση των δεδομένων που αναφέρονται σε αυτό, το ταχύτερο δυνατό έπειτα από την ολοκλήρωση της διερεύνησης.

Άρθρο 9

Συμβουλευτική επιτροπή

Η Επιτροπή επικουρείται από μία επιτροπή συμβουλευτικού χαρακτήρα, αποκαλούμενη «επιτροπή ηλεκτρονικής υπογραφής» (καλούμενη εφεξής: «συμβουλευτική επιτροπή»), την οποία αποτελούν αντιπρόσωποι των κρατών μελών και της οποίας προεδρεύει ο αντιπρόσωπος της Επιτροπής.

Ο αντιπρόσωπος της Επιτροπής υποβάλλει στην εν λόγω επιτροπή σχέδιο των μέτρων που πρόκειται να ληφθούν. Η συμβουλευτική επιτροπή διατυπώνει τη γνώμη της για το σχέδιο αυτό, μέσα σε προθεσμία που μπορεί να ορίσει ο πρόεδρος ανάλογα με τον επείγοντα χαρακτήρα του θέματος και, αν χρειασθεί, προβαίνει σε ψηφοφορία.

Η γνώμη καταχωρείται στα πρακτικά. Επιπλέον κάθε κράτος μέλος έχει το δικαίωμα να ζητήσει να καταχωρηθεί η θέση του στα πρακτικά.

Η Επιτροπή λαμβάνει ιδιαίτερα υπόψη τη γνώμη της συμβουλευτικής, επιτροπής και την ενημερώνει για τον τρόπο με τον οποίο έλαβε υπόψη τη γνώμη αυτή.

Άρθρο 10

Διαβουλεύσεις με την Επιτροπή

Όταν κρίνεται απαραίτητο, ζητείται η γνώμη της συμβουλευτικής επιτροπής σχετικά με τους όρους για παρόχους υπηρεσιών πιστοποίησης, οι οποίοι ορίζονται στο παράρτημα II, καθώς και σχετικά με γενικά αναγνωρισμένα πρότυπα για προϊόντα ηλεκτρονικής υπογραφής, σύμφωνα με το άρθρο 3 παράγραφος 3.

Άρθρο 11

Κοινοποίηση

1. Τα κράτη μέλη ανακοινώνουν στην Επιτροπή τα ακόλουθα:

α) πληροφορίες σχετικά με εθνικά συστήματα εθελοντικής διαπίστευσης, συμπεριλαμβανομένων όλων των πρόσθετων απαιτήσεων σύμφωνα με το άρθρο 3 παράγραφος 4 7

β) επωνυμίες και διευθύνσεις των εθνικών φορέων που είναι αρμόδιοι για διαπίστευση και επίβλεψη 7

γ) επωνυμίες και διευθύνσεις των διαπιστευμένων εθνικών παρόχων υπηρεσιών πιστοποίησης.

2. Τα κράτη μέλη κοινοποιούν το ταχύτερο δυνατόν το σύνολο των πληροφοριών που υποβάλλονται βάσει της παραγράφου 1 καθώς και τις σχετικές αλλαγές τους.

Άρθρο 12

Επανεξέταση

1. Η Επιτροπή εξετάζει τη λειτουργία της παρούσας οδηγίας και υποβάλει σχετική έκθεση προς το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο, το αργότερο έως την 31η Δεκεμβρίου 2002.

2. Στην εν λόγω επανεξέταση εκτιμάται, μεταξύ άλλων, εάν θα πρέπει να τροποποιηθεί το πεδίο εφαρμογής της οδηγίας λαμβανομένων υπόψη των τεχνολογικών και νομοθετικών εξελίξεων. Στην έκθεση περιλαμβάνεται ιδίως αξιολόγηση, βάση της κτηθείσας εμπειρίας, πτυχών της εναρμόνισης. Η έκθεση συνοδεύεται, κατά περίπτωση, από συμπληρωματικές νομοθετικές προτάσεις.

Άρθρο 13

Εφαρμογή

1. Τα κράτη μέλη θέτουν σε ισχύ τις αναγκαίες νομοθετικές, κανονιστικές και διοικητικές διατάξεις για να συμμορφωθούν με την παρούσα οδηγία το αργότερο την 31η Δεκεμβρίου 2000. Πληροφορούν αμέσως την Επιτροπή σχετικά.

Όταν τα κράτη μέλη θεσπίζουν τις εν λόγω διατάξεις, οι τελευταίες αυτές περιέχουν παραπομπή στην παρούσα οδηγία ή συνοδεύονται από παρόμοια παραπομπή κατά την επίσημη δημοσίευσή τους. Ο τρόπος της παραπομπής καθορίζεται από τα κράτη μέλη.

2. Τα κράτη μέλη ανακοινώνουν στην Επιτροπή το σύνολο των διατάξεων της εθνικής νομοθεσίας που θεσπίζουν στο πεδίο που διέπεται από την παρούσα οδηγία και κάθε άλλο συναφές πεδίο, καθώς και πίνακα αντιστοιχίας μεταξύ της παρούσας οδηγίας και των θεσπιζομένων διατάξεων της εθνικής νομοθεσίας.

Άρθρο 14

Έναρξη ισχύος

Η παρούσα οδηγία αρχίζει να ισχύει την εικοστή ημέρα μετά τη δημοσίευσή της στην Επίσημη Εφημερίδα των Ευρωπαϊκών Κοινοτήτων.

Άρθρο 15

Αποδέκτες

Η παρούσα οδηγία απευθύνεται στα κράτη μέλη.

(1) COM(97) 157 τελικό.

(2) COM(97) 503 τελικό.

(3) ΕΕ L 95 της 21.4.1993, σ. 29.

(4) ΕΕ L 281 της 23.11.1995, σ. 31.

(5) ΕΕ L 24 της 30.1.1998, σ. 1.

ΠΑΡΑΡΤΗΜΑ I

ΟΡΟΙ ΙΣΧΥΟΝΤΕΣ ΓΙΑ ΑΝΑΓΝΩΡΙΣΜΕΝΑ ΠΙΣΤΟΠΟΙΗΤΙΚΑ

Τα αναγνωρισμένα πιστοποιητικά πρέπει να περιλαμβάνουν:

α) τα στοιχεία αναγνώρισης του παρόχου υπηρεσιών πιστοποίησης που το εκδίδει 7

β) το σαφές και μη παρερμηνεύσιμο όνομα του κατόχου ή σαφές και μη παρερμηνεύσιμο ψευδώνυμο που αναγνωρίζεται ως ψευδώνυμο 7

γ) ειδικό χαρακτηριστικό του κατόχου, όπως η διεύθυνση, η εξουσιοδότηση για πράξεις που εκτελούνται για λογαριασμό μίας εταιρείας, η πιστοληπτική φερεγγυότητά του, ο αριθμός ΦΠΑ ή άλλοι αριθμοί φορολογικού μητρώου, η ύπαρξη εγγυήσεων πληρωμής ή ειδικών εγκρίσεων ή αδειών 7

δ) διάταξη επαλήθευσης υπογραφής που αντιστοιχεί σε διάταξη δημιουργίας υπογραφής υπό τον έλεγχο του κατόχου 7

ε) έναρξη και τέλος της περιόδου ισχύος του πιστοποιητικού 7

στ) τον μονοσήμαντο κωδικό ταυτοποίησης του πιστοποιητικού 7

ζ) την ηλεκτρονική υπογραφή του παρόχου υπηρεσιών πιστοποίησης που το εκδίδει 7

η) ενδεχόμενους περιορισμούς του πεδίου εφαρμογής της χρήσης του πιστοποιητικού και

θ) ενδεχόμενους περιορισμούς σχετικά με την ευθύνη του παρόχου υπηρεσιών πιστοποίησης καθώς και σχετικά με το ύψος των συναλλαγών για τις οποίες ισχύει το πιστοποιητικό.

ΠΑΡΑΡΤΗΜΑ II

ΟΡΟΙ ΙΣΧΥΟΝΤΕΣ ΓΙΑ ΠΑΡΟΧΟΥΣ ΥΠΗΡΕΣΙΩΝ ΠΙΣΤΟΠΟΙΗΣΗΣ

Οι πάροχοι υπηρεσιών πιστοποίησης πρέπει:

α) να αποδεικνύουν την απαραίτητη αξιοπιστία για την προσφορά υπηρεσιών πιστοποίησης 7

β) να παρέχουν ταχεία και ασφαλή υπηρεσία ανάκλησης 7

γ) να προβαίνουν σε επαλήθευση, με κατάλληλα μέσα, της ταυτότητας και των δυνατοτήτων δράσης του ατόμου στο όνομα του οποίου έχει εκδοθεί αναγνωρισμένο πιστοποιητικό 7

δ) να απασχολούν προσωπικό που διαθέτει την εμπειρογνωμοσύνη, την εμπειρία και τα προσόντα που είναι απαραίτητα για τις προσφερόμενες υπηρεσίες, ιδίως ικανότητα σε διαχειριστικό επίπεδο, εμπειρογνωμοσύνη στην τεχνολογία ηλεκτρονικών υπογραφών και εξοικείωση με τις κατάλληλες διαδικασίες ασφαλείας 7 πρέπει επίσης να χρησιμοποιούν κατάλληλες διοικητικές και διαχειριστικές διαδικασίες και διεργασίες, οι οποίες αντιστοιχούν προς αναγνωρισμένα πρότυπα 7

ε) να χρησιμοποιούν αξιόπιστα συστήματα και προϊόντα ηλεκτρονικής υπογραφής που διασφαλίζουν την προστασία έναντι τροποποίησης των προϊόντων, ώστε αυτά να μπορούν να χρησιμοποιηθούν για την επιτέλεση λειτουργιών άλλων από αυτές για τις οποίες προορίζονται 7 πρέπει επίσης να χρησιμοποιούν προϊόντα ηλεκτρονικής υπογραφής που διασφαλίζουν την τεχνική και κρυπτογραφική ασφάλεια των διεργασιών πιστοποίησης οι οποίες υποστηρίζονται από τα προϊόντα 7

στ) να λαμβάνουν μέτρα έναντι της πλαστογράφησης πιστοποιητικών και, σε περίπτωση που ο πάροχος υπηρεσιών πιστοποίησης παράγει ιδιωτικά κλειδιά κρυπτογραφημένης υπογραφής, να εγγυώνται την τήρηση του απορρήτου κατά τη διάρκεια της διεργασίας παραγωγής των εν λόγω κλειδιών.

ζ) να διαθέτουν επαρκείς χρηματικούς πόρους ώστε να λειτουργούν σύμφωνα με τις απαιτήσεις που καθορίζονται στην παρούσα οδηγία, ιδίως για την ανάληψη της ευθύνης ζημιών, π.χ. με τη σύναψη κατάλληλης ασφάλισης 7

η) να καταγράφουν το σύνολο των συναφών πληροφοριών που αφορούν ένα αναγνωρισμένο πιστοποιητικό για κατάλληλη χρονική περίοδο, ιδίως για την παροχή αποδεικτικών στοιχειών πιστοποίησης ενώπιον της δικαιοσύνης. Η καταγραφή αυτή δύναται να πραγματοποιείται με ηλεκτρονικά μέσα 7

θ) να μην αποθηκεύουν ή αντιγράφουν ιδιωτικά κλειδιά της κρυπτογραφημένης υπογραφής του ατόμου προς το οποίο ο πάροχος υπηρεσιών πιστοποίησης έχει προσφέρει υπηρεσίες διαχείρισης κλειδιών, εκτός εάν τούτο έχει ζητηθεί ρητά από το εν λόγω άτομο 7

ι) να ενημερώνουν τους καταναλωτές εγγράφως πριν από τη σύναψη συμβατικής σχέσης, χρησιμοποιώντας καταληπτή γλώσσα και ανθεκτικά μέσα επικοινωνίας, σχετικά με τους ακριβείς όρους και προϋποθέσεις έκδοσης του πιστοποιητικού, συμπεριλαμβανομένων ενδεχομένων περιορισμών της ευθύνης, της ύπαρξης εθελοντικής διαπίστευσης και των διαδικασιών υποβολής παραπόνων και επίλυσης διαφορών.