ΑΠΟΦΑΣΗ ( αριθ.: 151/2016 )

Transcript

1 Μαρούσι, 27 Ιουλίου 2016 Αρ. πρωτ.: 1735 ΑΝΑΡΤΗΤΕΑ ΣΤΟ ΔΙΑΔΙΚΤΥΟ ΑΠΟΦΑΣΗ ( αριθ.: 151/2016 ) Θέμα: Μη Κλήση σε ακρόαση της εταιρείας με την επωνυμία «.», με αντικείμενο τον έλεγχο της ενδεχόμενης παραβάσεως των υπ αριθ. 630 α /2004 «Κανονισμός για την Διασφάλιση Απορρήτου κατά την Παροχή Σταθερών Τηλεπικοινωνιακών Υπηρεσιών» (ΦΕΚ Β 87/ ), 631 α /2004 «Κανονισμός για τη Διασφάλιση Απορρήτου κατά την Παροχή Τηλεπικοινωνιακών Υπηρεσιών μέσω Ασύρματων Δικτύων» (ΦΕΚ Β 87/ ), 632 α /2005 «Κανονισμός για την Διασφάλιση του Απορρήτου στις Διαδικτυακές Επικοινωνίες και τις συναφείς Υπηρεσίες και Εφαρμογές» (ΦΕΚ Β 88/ ), 633 α /2005 «Κανονισμός για την Διασφάλιση του Απορρήτου Διαδικτυακών Υποδομών» (ΦΕΚ Β 88/ ) και 634 α /2005 «Κανονισμός για την Διασφάλιση του Απορρήτου Εφαρμογών και Χρήστη Διαδικτύου» (ΦΕΚ Β 88/ ) Αποφάσεων της Α.Δ.Α.Ε., αναφορικά με τις αποκλίσεις από την εγκεκριμένη με την υπ αριθ. 241/2009 απόφαση της Α.Δ.Α.Ε. Πολιτική Ασφάλειας για τη Διασφάλιση του Απορρήτου των Επικοινωνιών της εταιρείας, όπως αυτές αναφέρονται στην από 27 Μαΐου 2010 Έκθεση Διενέργειας τακτικού Ελέγχου στην εν λόγω εταιρεία. Την Τετάρτη, 25 η Μαΐου 2016 και ώρα π.μ. συνήλθε σε συνεδρίαση η Ολομέλεια της Α.Δ.Α.Ε., παρισταμένων του Προέδρου της Α.Δ.Α.Ε., κ. Χρήστου Ζαμπίρα, του Αντιπροέδρου της Α.Δ.Α.Ε., κ. Μιχαήλ Σακκά, καθώς και των τακτικών μελών κ.κ Ιωάννη Ασκοξυλάκη, Αικατερίνης Παπανικολάου, Παναγιώτη Ριζομυλιώτη, Μιχαήλ Γεωργιακόδη και Γεωργίου Μπακάλη, προκειμένου να αποφασίσει επί της ενδεχόμενης κλήσης σε ακρόαση της εταιρείας «.», με αντικείμενο τον έλεγχο της ενδεχόμενης παραβάσεως των υπ αριθ. 630 α /2004 «Κανονισμός για την Διασφάλιση Απορρήτου κατά την Παροχή Σταθερών Τηλεπικοινωνιακών Υπηρεσιών» (ΦΕΚ Β 87/ ), 631 α /2004 «Κανονισμός για τη Διασφάλιση Απορρήτου κατά την Παροχή Τηλεπικοινωνιακών Υπηρεσιών μέσω Ασύρματων Δικτύων» (ΦΕΚ Β 87/ ), 632 α /2005 «Κανονισμός για την Διασφάλιση του Απορρήτου στις Διαδικτυακές Επικοινωνίες και τις συναφείς Υπηρεσίες και Εφαρμογές» (ΦΕΚ Β 88/ ), 633 α /2005 «Κανονισμός για την Διασφάλιση του Απορρήτου Διαδικτυακών Υποδομών» (ΦΕΚ Β 88/ ) και 634 α /2005 «Κανονισμός για την Διασφάλιση του Απορρήτου Εφαρμογών και Χρήστη Διαδικτύου» (ΦΕΚ Β 88/ ) Αποφάσεων της Α.Δ.Α.Ε., αναφορικά με τις αποκλίσεις από την εγκεκριμένη με την υπ αριθ. 241/2009 απόφαση της Α.Δ.Α.Ε. Πολιτική Ασφάλειας για τη Διασφάλιση του Απορρήτου των Επικοινωνιών της εταιρείας, όπως αυτές αναφέρονται στην από 27 Μαΐου 2010 Έκθεση Διενέργειας Τακτικού Ελέγχου στην εν λόγω εταιρεία. Α. Σύμφωνα με την από 27 Μαΐου 2010 Έκθεση Διενέργειας τακτικού Ελέγχου αναφορικά με την εφαρμογή της Πολιτικής διασφάλισης του απορρήτου των επικοινωνιών στην εταιρεία «.» παρατηρήθηκαν αποκλίσεις από την Πολιτική Ασφάλειας για τη Διασφάλιση του Απορρήτου των 1

2 Επικοινωνιών της εν λόγω εταιρείας, όπως αυτή εγκρίθηκε με την υπ αριθ. 241/2009 Απόφαση της Α.Δ.Α.Ε.. Τα αποτελέσματα του τακτικού ελέγχου έχουν ως εξής : «Δ. ΑΠΟΤΕΛΕΣΜΑΤΑ ΕΛΕΓΧΟΥ Από τους επιτόπιους ελέγχους της Ο.Ε. στις εγκαταστάσεις της ελεγχόμενης εταιρείας, όπως περιγράφονται στην ενότητα Β της παρούσας Έκθεσης, καθώς και από τα συνημμένα έγγραφα που αναφέρονται στην ενότητα Γ του παρόντος, τα οποία είναι στη διάθεση της Ολομέλειας της Α.Δ.Α.Ε., προκύπτουν τα ακόλουθα: Δ1. Παρατηρήσεις σχετικά με την εφαρμογή της Πολιτικής 1. Σύμφωνα με το Σχετικό 9, σε ερώτηση της ΟΕ αναφορικά με την παράγραφο της Πολιτικής Απορρήτου Επικοινωνιών ( ), σχετικά με την κοινοποίηση στους χρήστες των δεδομένων επικοινωνίας που αποθηκεύονται σε αντίγραφα ασφάλειας και το χρονικό διάστημα για το οποίο αποθηκεύονται, ο.. παρέδωσε στην ΟΕ, με το Συνημμένο 7 του Σχετικού 11, τα σχετικά έγγραφα που ο θα αρχίσει να κοινοποιεί στους πελάτες του εντός του πρώτου τριμήνου του Σύμφωνα με το Σχετικό 9, οι εκπρόσωποι του δήλωσαν ότι δεν εφαρμόζεται η παράγραφος της Πολιτικής Απορρήτου Επικοινωνιών (.) σχετικά με την περιοδική ενημέρωση των χρηστών μέσω ειδικής ιστοσελίδας του Διαδικτύου της εταιρείας σχετικά με τα μέτρα προστασίας που μπορούν να λαμβάνουν για τη διασφάλιση του απορρήτου των επικοινωνιών και των δεδομένων επικοινωνίας τους. 3. Σύμφωνα με το Σχετικό 9, σε ερώτηση της ΟΕ αναφορικά με την παράγραφο της Πολιτικής Ασφάλειας Πληροφοριών (..), οι εκπρόσωποι του.. δήλωσαν ότι ιδιαίτερα για τον System Supervisor υπάρχει ειδικό draft working instruction. To draft working instruction παραδόθηκε στην ΟΕ ως συνημμένο 1 του Σχετικού 9. Η ΟΕ θεωρεί ότι ο.. οφείλει να θέσει σε εφαρμογή άμεσα την εν λόγω οδηγία. 4. Σύμφωνα με το Σχετικό 9, σε ερώτηση της ΟΕ αναφορικά με την παράγραφο της Πολιτικής Ασφάλειας Πληροφοριών ( ), οι εκπρόσωποι του.παρέδωσαν έγγραφο με τη λίστα των ελέγχων που έχουν πραγματοποιηθεί εντός του έτους 2009 και δεσμεύθηκαν σε επόμενη επίσκεψη να παραδώσουν την αντίστοιχη λίστα ελέγχων για το έτος 2008, καθώς και τις αναφορές των αποτελεσμάτων των ελέγχων που πραγματοποιήθηκαν το 2008 και το Με το Συνημμένο 7 του Σχετικού 11, ο. παρέδωσε στο φάκελο AUDITS δύο αρχεία με τίτλο/ημερομηνία «.»/22 October 2008 και»/10 November 2008, τα οποία δεν καλύπτουν αυτά που ζητήθηκαν στο Σχετικό Σύμφωνα με το Σχετικό 9, σε ερώτηση της ΟΕ αναφορικά με την παράγραφο της Πολιτικής Ασφάλειας Πληροφοριών (.), οι εκπρόσωποι του δήλωσαν ότι διενεργείται αποτίμηση κινδύνου κάθε χρόνο, εκτός εάν δεν έχει πραγματοποιηθεί αλλαγή στον εξοπλισμό. Με το συνημμένο 3 του Σχετικού 9, ο παρέδωσε τη μεθοδολογία αποτίμησης κινδύνου που ακολουθεί και τις σχετικές φόρμες των αποτελεσμάτων των αποτιμήσεων κινδύνου. Ύστερα από εξέταση του εν λόγω συνημμένου 2

3 από την ΟΕ, διαπιστώθηκε ότι οι φόρμες αυτές καλύπτουν τα συστήματα..,.. και. για το έτος 2008, καθώς και κάποια projects, δεδομένου ότι η μεθοδολογία αφορά είτε σε συστήματα είτε σε projects. Επιπρόσθετα, σύμφωνα με το Σχετικό 10, σε ερώτηση της ΟΕ αναφορικά με τις παραγράφους και 5.2 της Πολιτικής Αποτίμησης Κινδύνων ( ), σχετικά με τα αναφερόμενα στις παραγράφους έγγραφα (Αναφορά Αποτίμησης Κινδύνων), οι εκπρόσωποι του. δήλωσαν ότι τα έγγραφα αυτά παραδόθηκαν κατά τη διάρκεια του δεύτερου τακτικού ελέγχου (21/01/2010). Από την εξέταση των ως άνω εγγράφων (Συνημμένο 3 του Σχετικού 9), η ΟΕ διαπίστωσε ότι δεν καλύπτονται οι απαιτήσεις των παραγράφων και 5.2 της Πολιτικής Αποτίμησης Κινδύνων (..). Τέλος, σύμφωνα με το Σχετικό 13, σε ερώτηση της ΟΕ αναφορικά με την παράγραφο 5.2.3(γ) της Πολιτικής Διαχείρισης και Εγκατάστασης Επικοινωνιακού Εξοπλισμού (.), σχετικά με την αποτίμηση κινδύνου, η εταιρεία δήλωσε ότι αποτίμηση κινδύνου γίνεται μόνο σε κρίσιμα και όχι σε ευαίσθητα συστήματα, και η αποτίμηση δεν αφορά το απόρρητο των επικοινωνιών, αλλά πραγματοποιείται για επιχειρησιακούς λόγους. Επομένως, η ΟΕ διαπίστωσε ότι στα συστήματα που επεξεργάζονται δεδομένα επικοινωνίας και δεν θεωρούνται κρίσιμα, δεν εφαρμόζεται η προβλεπόμενη από την Πολιτική Ασφάλειας για τη Διασφάλιση του Απορρήτου των Επικοινωνιών του.αποτίμηση κινδύνων και ειδικά του εδαφίου της Πολιτικής Αποτίμησης Κινδύνων ( ) που αναφέρει ότι «Ειδικότερα για το απόρρητο των επικοινωνιών, η αποτίμηση κινδύνων εστιάζεται στις απειλές που σχετίζονται με την προστασία των δεδομένων επικοινωνίας των χρηστών των υπηρεσιών επικοινωνίας του..». 6. Σύμφωνα με το Σχετικό 9, σε ερώτηση της ΟΕ αναφορικά με την παράγραφο δ «Αναθεώρηση Δικαιωμάτων Πρόσβασης Χρήστη» της Πολιτικής Πρόσβασης (.), οι εκπρόσωποι του. δήλωσαν ότι δεν ακολουθείται συγκεκριμένη διαδικασία, αλλά υπάρχει πρόβλεψη για την εγκατάσταση εντός του 2011 ενός Identity Management System. Η ΟΕ θεωρεί ότι ο οφείλει να διαμορφώσει και να ακολουθεί τυπική διαδικασία για την αξιολόγηση και αναθεώρηση των δικαιωμάτων πρόσβασης χρήστη, η οποία να ορίζει τις ενέργειες, την αλληλουχία των ενεργειών, τους υπεύθυνους για την εκτέλεσή τους και τον τρόπο και τα μέσα τεκμηρίωσής τους. 7. Σύμφωνα με το Σχετικό 9, σε ερώτηση της ΟΕ αναφορικά με την παράγραφο της Πολιτικής Χρήσης Κρυπτογραφικών Αλγορίθμων ( ) και συγκεκριμένα σχετικά με την αναγραφόμενη υποχρέωση του Υπευθύνου Ασφάλειας Πληροφοριών να καθορίσει μέσα από ειδική διαδικασία τους χρόνους ανανέωσης των κλειδιών που χρησιμοποιούνται από συστήματα ή εφαρμογές του, οι εκπρόσωποι του δήλωσαν ότι η σχετική διαδικασία έχει παραδοθεί κατά τον πρώτο επιτόπιο έλεγχο. Από τη μελέτη της ΟΕ στα αρχεία που παραδόθηκαν κατά τον πρώτο επιτόπιο διαπιστώθηκε ότι δεν καθορίζονται χρόνοι ανανέωσης των κλειδιών (Διαδικασία..,, January 2007). Η ΟΕ θεωρεί ότι ο.. οφείλει να αναθεωρήσει την εν λόγω διαδικασία, προκειμένου να συμπεριλάβει τον καθορισμό του χρόνου ανανέωσης των κλειδιών κρυπτογράφησης. 8. Σύμφωνα με το Σχετικό 9, σε ερώτηση της ΟΕ αναφορικά με την παράγραφο της Πολιτικής Χρήσης Κρυπτογραφικών Αλγορίθμων ( ) και συγκεκριμένα σχετικά με τον έλεγχο καταλληλότητας των κρυπτογραφικών μηχανισμών, οι εκπρόσωποι του.. δήλωσαν ότι δεν υπάρχει 3

4 διαδικασία ελέγχου. Η ΟΕ θεωρεί ότι ο.. οφείλει να διαμορφώσει και να ακολουθεί τυπική διαδικασία για τον έλεγχο καταλληλότητας των κρυπτογραφικών μηχανισμών, η οποία να ορίζει τις ενέργειες, την αλληλουχία των ενεργειών, τους υπεύθυνους για την εκτέλεσή τους και τον τρόπο και τα μέσα τεκμηρίωσής τους. 9. Σύμφωνα με το Σχετικό 9, σε ερώτηση της ΟΕ αναφορικά με τις παραγράφους και της Πολιτικής Προστασίας Κωδικών Ασφάλειας (.) και συγκεκριμένα σχετικά με τον έλεγχο αναφορικά με την υποχρέωση των χρηστών να αλλάζουν συχνά κωδικό ασφάλειας, οι εκπρόσωποι του.. δήλωσαν ότι δεν υπάρχουν διαδικασίες ελέγχου. Η ΟΕ θεωρεί ότι ο.. οφείλει να διαμορφώσει και να ακολουθεί τυπική διαδικασία για τον έλεγχο αναφορικά με την υποχρέωση των χρηστών να αλλάζουν συχνά κωδικό ασφάλειας, η οποία να ορίζει τις ενέργειες, την αλληλουχία των ενεργειών, τους υπεύθυνους για την εκτέλεσή τους και τον τρόπο και τα μέσα τεκμηρίωσής τους. 10. Σύμφωνα με το Σχετικό 9, σε ερώτηση της ΟΕ αναφορικά με την παράγραφο της Πολιτικής Προστασίας Κωδικών Ασφάλειας (..) και συγκεκριμένα σχετικά με την τακτική ενημέρωση των χρηστών των πληροφοριακών και επικοινωνιακών συστημάτων του., αναφορικά με τα μέτρα που πρέπει να λαμβάνουν για την προστασία των κωδικών ασφάλειάς τους, οι εκπρόσωποι του. δήλωσαν ότι δεν υπάρχει σχετικό κείμενο ή τακτική ενημέρωση, εκτός της αναλυτικής ενημέρωσης για τις Πολιτικές Ασφάλειας που έχουν λάβει μόνο οι υπάλληλοι του ΙΤ του Σύμφωνα με το Σχετικό 9, σε ερώτηση της ΟΕ αναφορικά με την παράγραφο της Πολιτικής Προστασίας Κωδικών Ασφάλειας (.) και συγκεκριμένα σχετικά με κωδικούς που αντιστοιχούν σε λογαριασμούς που ρητώς προορίζονται για πρόσβαση πολλαπλών χρηστών, οι εκπρόσωποι του. δήλωσαν μεταξύ άλλων ότι group accounts θεωρούνται όλα τα default accounts (π.χ. root, admin), όπου το password το γνωρίζουν περισσότεροι του ενός υπαλλήλου. Η ΟΕ θεωρεί ότι ο. οφείλει να τεκμηριώσει επαρκώς τους τεχνικούς λόγους για τους οποίους υφίστανται οι συγκεκριμένοι λογαριασμοί για κάθε σύστημα, καθώς και να προδιαγράψει τους εναλλακτικούς μηχανισμούς ώστε να τηρείται η αρχή της «Μοναδικότητας και Προσωπικού Χαρακτήρα της Ταυτότητας Χρήστη» που αναφέρεται στην σελίδα 7 της Πολιτικής Πρόσβασης (..) του. 12. Σύμφωνα με το Σχετικό 9, σε ερώτηση της ΟΕ αναφορικά με την παράγραφο 7 της Πολιτικής Προστασίας Κωδικών Ασφάλειας (.) και συγκεκριμένα σχετικά με τη Μελέτη αποτίμησης κινδύνου κωδικών ασφαλείας για εφαρμογές από απόσταση, οι εκπρόσωποι του. δήλωσαν ότι δεν έχει πραγματοποιηθεί τέτοια μελέτη. 13. Σύμφωνα με το Σχετικό 9, σε ερώτηση της ΟΕ αναφορικά με την παράγραφο της Πολιτικής Προστασίας και Αποτροπής Ιών ( ) και συγκεκριμένα σχετικά με την υποχρέωση της εταιρείας για επανεξέταση της παρούσας πολιτικής, οι εκπρόσωποι του..δήλωσαν ότι δεν εφαρμόζεται το παρόν εδάφιο. 14. Σύμφωνα με το Σχετικό 9, σε ερώτηση της ΟΕ αναφορικά με την παράγραφο 5.1 της Πολιτικής Σύμβασης Υπεργολαβίας ( ), οι εκπρόσωποι του δήλωσε ότι θεωρεί υπεργολάβους τρεις εταιρείες, για τις οποίες η ΟΕ ζήτησε τα έγγραφα των δηλώσεων αποδοχής της πολιτικής ασφάλειας του.. Ο παρέδωσε, με το Συνημμένο 7 του Σχετικού 11, τις συμβάσεις υπεργολαβίας με τις εταιρείες 4

5 αυτές. Επιπρόσθετα, οι εκπρόσωποι του δήλωσαν ότι δεν υπάγονται στη συγκεκριμένη πολιτική οι προμηθευτές πληροφοριακών και επικοινωνιακών συστημάτων που παρέχουν υποστήριξη. Η ΟΕ θεωρεί ότι ο. οφείλει να εφαρμόζει την εν λόγω πολιτική και στους προμηθευτές πληροφοριακών και επικοινωνιακών συστημάτων που παρέχουν υποστήριξη, καθώς και σε όποιον άλλο εξωτερικό συνεργάτη δίδεται η δυνατότητα πρόσβασης σε συστήματα του. μέσω των οποίων είναι δυνατή η πρόσβαση σε δεδομένα επικοινωνίας των πελατών του. 15. Σύμφωνα με το Σχετικό 9, σε ερώτηση της ΟΕ αναφορικά με την παράγραφο 5.3 της Πολιτικής Σύμβασης Υπεργολαβίας (.), οι εκπρόσωποι του δεσμεύθηκαν κατά τη διάρκεια του επόμενου ελέγχου να παραδώσουν τις ειδικές ενυπόγραφες άδειες (ή δείγμα αυτών) που να καλύπτουν τις απαιτήσεις για φυσική και λογική πρόσβαση. Με το συνημμένο 7 του Σχετικού 11, ο. δήλωσε ότι οι άδειες αυτές βρίσκονται στο γραφείο ταυτοτήτων και αδειών εισόδου στο ισόγειο του κτιρίου Διοίκησης (Ι7) και είναι στη διάθεση της ομάδας ελέγχου, δεν μπορούν όμως να δοθούν αντίγραφα. 16. Σύμφωνα με το Σχετικό 10, σε ερώτηση της ΟΕ αναφορικά με την παράγραφο της Πολιτικής Ασφάλειας Περιμέτρου ( ) και συγκεκριμένα σχετικά με την υποχρέωση του Υπεύθυνου Ασφάλειας Πληροφοριών να ενημερώνει σε τακτά χρονικά διαστήματα τους χρήστες σχετικά με μέτρα προστασίας που μπορούν να λάβουν στις προσωπικές τερματικές συσκευές τους, οι εκπρόσωποι του. δήλωσαν ότι εφαρμόζεται η παρούσα παράγραφος. 17. Σύμφωνα με το Σχετικό 10, σε ερώτηση της ΟΕ αναφορικά με τις παραγράφους και της Πολιτικής Ασφάλειας Περιμέτρου (..) και συγκεκριμένα σχετικά με τη διαβάθμιση των περιστατικών ως σοβαρά, οι εκπρόσωποι του. δήλωσαν ότι η διαβάθμιση των περιστατικών που σχετίζονται με την ασφάλεια των δικτύων και πληροφοριών ορίζεται σε διαδικασία που δεν έχει δοθεί στην Α.Δ.Α.Ε. λόγω του γεγονότος ότι δεν έχει εγκριθεί. Ο.. παρέδωσε το κείμενο της νέας διαδικασίας με το Συνημμένο 7 του Σχετικού 11. Η ΟΕ θεωρεί ότι ο. οφείλει να θέσει σε εφαρμογή άμεσα την εν λόγω διαδικασία, με την προϋπόθεση ότι αυτή περιλαμβάνει τις σχετικές ενέργειες, την αλληλουχία των ενεργειών, τους υπεύθυνους για την εκτέλεσή τους και τον τρόπο και τα μέσα τεκμηρίωσής τους. 18. Σύμφωνα με το Σχετικό 10, σε ερώτηση της ΟΕ αναφορικά με την παράγραφο της Πολιτικής Ασφάλειας Περιμέτρου (.) και συγκεκριμένα σχετικά με την ειδική Φόρμα Καταγραφής Εισβολών που οφείλει να διατηρεί ο, οι εκπρόσωποι του. δήλωσαν ότι δεν υπάρχει αυτή η φόρμα, ενώ αντιθέτως η εταιρεία διατηρεί τη φόρμα καταγραφής περιστατικού ασφάλειας που αναφέρεται σε άλλη διαδικασία. 19. Σύμφωνα με το Σχετικό 10, σε ερώτηση της ΟΕ αναφορικά με τις παραγράφους 5.2 και 5.3 της Πολιτικής Χειρισμού Περιστατικών Ασφάλειας ( ) και συγκεκριμένα σχετικά με τις περιπτώσεις για τις οποίες έχει ενεργοποιηθεί η εν λόγω πολιτική και τις αντίστοιχες φόρμες του Παραρτήματος 9 της πολιτικής που οφείλει να διατηρεί ο., οι εκπρόσωποι του δήλωσαν ότι δεν υπάρχει καταγγελία ή περιστατικό που έχει περιέλθει σε γνώση του για περιπτώσεις που καλύπτονται από τα εδάφια (α), (γ) και (δ). Ο.. διαχειρίζεται τα περιστατικά που καλύπτονται από το εδάφιο (β) με βάση τη Διαδικασία Διαχείρισης Κρίσεων, η οποία προβλέπει διαφορετικές φόρμες από τις φόρμες του Παραρτήματος 9 της εν λόγω πολιτικής. Η ΟΕ θεωρεί ότι, δεδομένης της φύσης των περιστατικών του 5

6 εδάφιου (β) «παύση λειτουργίας ή δυσλειτουργία κρίσιμου πόρου», ο οφείλει να διαμορφώσει κατάλληλα την Πολιτική Χειρισμού Περιστατικών Ασφάλειας ώστε να ανταποκρίνεται στην πρακτική που ακολουθεί, περιλαμβάνοντας στην Πολιτική τους κατάλληλους δείκτες προς τις διαδικασίες και τις φόρμες που χρησιμοποιεί στην πράξη. 20. Σύμφωνα με το Σχετικό 10, σε ερώτηση της ΟΕ αναφορικά με την παράγραφο της Πολιτικής Χειρισμού Περιστατικών Ασφάλειας ( ) και συγκεκριμένα σχετικά με τον έλεγχο της ετοιμότητας της εν λόγω πολιτικής, οι εκπρόσωποι του.δήλωσαν ότι δεν πραγματοποιούνται ασκήσεις ή δοκιμές ετοιμότητας. 21. Σύμφωνα με το Σχετικό 10, σε ερώτηση της ΟΕ αναφορικά με την παράγραφο της Πολιτικής Ασφάλειας Δικτύων Ασύρματων Επικοινωνιών.. (.) και συγκεκριμένα σχετικά με την ενημέρωση των χρηστών στα κοινόχρηστα δίκτυα, οι εκπρόσωποι του. δήλωσαν ότι δεν εφαρμόζεται αυτή η παράγραφος. 22. Σύμφωνα με το Σχετικό 10, σε ερώτηση της ΟΕ αναφορικά με την παράγραφο της Πολιτικής Προστασίας Δικτύων Ηλεκτρονικών Επικοινωνιών (.) και συγκεκριμένα σχετικά με τις ενημερώσεις των χρηστών, οι εκπρόσωποι του. δήλωσαν ότι δεν εφαρμόζεται αυτή η παράγραφος, ιδιαίτερα για τους πελάτες του Σύμφωνα με το Σχετικό 13, σε ερώτηση της ΟΕ αναφορικά με την ενσωμάτωση των απαιτήσεων της παραγράφου 5.2 «Εγκατάσταση Επικοινωνιακού Εξοπλισμού» της Πολιτικής Διαχείρισης και Εγκατάστασης Επικοινωνιακού Εξοπλισμού (..) στις διαδικασίες που ορίζονται από αυτή, οι εκπρόσωποι του δήλωσαν ότι οι απαιτήσεις αυτές δεν περιλαμβάνονται στις διαδικασίες. Επιπλέον, ο..δήλωσε ότι στα πλαίσια εφαρμογής αυτής της πολιτικής, εφαρμόζεται επιπρόσθετα η διαδικασία IT&T Project Management (..). Τέλος, σχετικά με την εφαρμογή των διαδικασιών «Θέση σε Λειτουργία» (.) και «Διαχείριση Αλλαγών» ( ), που προβλέπει η εν λόγω Πολιτική, στο σύστημα καταγραφής συνομιλιών, οι εκπρόσωποι της εταιρείας δήλωσαν ότι για το εν λόγω σύστημα εφαρμόστηκε η διαδικασία IT&T Project Management. Επομένως, η ΟΕ διαπίστωσε τη μη ορθή εφαρμογή της εν λόγω Πολιτικής και θεωρεί ότι ο οφείλει να αναθεωρήσει κατάλληλα την Πολιτική αυτή, ώστε να ανταποκρίνεται στην πρακτική που ακολουθεί, περιλαμβάνοντας στην Πολιτική τους κατάλληλους δείκτες προς τις διαδικασίες και τις φόρμες που χρησιμοποιεί στην πράξη. 24. Σύμφωνα με το Σχετικό 13, σε ερώτηση της ΟΕ αναφορικά με την εφαρμογή της παραγράφου της Πολιτικής Διαχείρισης και Εγκατάστασης Επικοινωνιακού Εξοπλισμού (.), οι εκπρόσωποι του. δήλωσαν ότι δεν έχει ακόμα ολοκληρωθεί η εισαγωγή όλων των Στοιχείων Διαμόρφωσης (CI) στην., αφού το σχετικό έργο είναι σε εξέλιξη. Η ΟΕ ζήτησε και ο.παρέδωσε το χρονοδιάγραμμα υλοποίησης του έργου με το Συνημμένο 4 του Σχετικού 14. Αναφορικά με τα στοιχεία που αναφέρονται στην παράγραφο της ως άνω πολιτικής, η εταιρεία δήλωσε ότι το στοιχείο (α) έχει ήδη συμπεριληφθεί στην.., το στοιχείο (β) θα αφορά μελλοντικές αλλαγές στον εξοπλισμό του. και θα συμπληρώνεται με ευθύνη του Υπεύθυνου Συστήματος, το στοιχείο (γ) δεν περιλαμβάνεται στην.., και το στοιχείο (δ) υλοποιείται εν μέρει για τα hardware στοιχεία (π.χ. μνήμη, δίσκοι, τροφοδοτικό) ενώ δεν έχει ακόμα υλοποιηθεί σε επίπεδο συστήματος. Η μη υλοποίηση του στοιχείου (δ) σε επίπεδο 6

7 συστήματος διαπιστώθηκε από την ΟΕ για το σύστημα.. Επομένως, ισχύει το συμπέρασμα του ως άνω σημείου 21. Δ2. Παρατηρήσεις σχετικά με την εφαρμογή των Διαδικασιών Δ2.1 Διαδικασία Παρακολούθησης ή Καταγραφής Ηλεκτρονικών Επικοινωνιών 1. Σύμφωνα με το Σχετικό 11, η εταιρεία κατέθεσε κατόπιν αιτήματος της ΟΕ λίστα με τους χρήστες που έχουν πρόσβαση στο σύστημα καταγραφής συνομιλιών (Συνημμένο 1 του Σχετικού 11), καθώς και των δικαιωμάτων καθενός εξ αυτών (Συνημμένο 2 του Σχετικού 11). Ύστερα από εξέταση των ως άνω συνημμένων, η ΟΕ διαπίστωσε ότι ο χρήστης με όνομα χρήστη. έχει πλήρη δικαιώματα πρόσβασης (Superuser user has full access), ενώ στο συνημμένο 1 του σχετικού 11 φαίνεται ότι δεν έχει δικαιώματα ακρόασης (replay). Επισημαίνεται ότι το τελευταίο έχει διορθωθεί χειρόγραφα κατά τη διάρκεια του ελέγχου, ενώ η αρχική ένδειξη ήταν ότι έχει δικαιώματα ακρόασης. Επίσης, για τον συγκεκριμένο λογαριασμό δεν έχει ενεργοποιηθεί η δυνατότητα καταγραφής των ενεργειών του στο σύστημα (Audit Trail Rights). Η ΟΕ θεωρεί ότι ο. οφείλει να ενεργοποιήσει όλες τις δυνατότητες καταγραφής ενεργειών (Search, Play, Monitoring, Configure) των χρηστών που έχουν πλήρη πρόσβαση (Superusers). 2. Σύμφωνα με το Σχετικό 11, η εταιρεία δήλωσε ότι δεν υπάρχει διαδικασία περιοδικού ελέγχου των προσβάσεων των χρηστών και των αρχείων που προσπελαύνουν. Δεδομένης της σημασίας του εν λόγω συστήματος και παρόλο που δεν προβλέπεται ρητά στην εγκριθείσα Πολιτική της εταιρείας, η ΟΕ θεωρεί ότι ο. οφείλει να διαμορφώσει και να ακολουθεί τυπική διαδικασία για τον περιοδικό έλεγχο των προσβάσεων των χρηστών και των αρχείων που προσπελαύνουν, ώστε να διασφαλίζεται η αιτιολογημένη πρόσβαση σε αυτά, η οποία να ορίζει τις ενέργειες, την αλληλουχία των ενεργειών, τους υπεύθυνους για την εκτέλεσή τους και τον τρόπο και τα μέσα τεκμηρίωσής τους. 3. Σύμφωνα με την εν λόγω διαδικασία, «ο Διαχειριστής Συστήματος καταγραφής φωνητικών επικοινωνιών έχει την ευθύνη διατήρησης των καταγεγραμμένων επικοινωνιών για 6 μήνες. Μετά την περίοδο αυτή το περιεχόμενο των επικοινωνιών πρέπει να διαγραφεί από το σύστημα» (παρ.5.3 σελ.5). Σύμφωνα με το Σχετικό 11, κατά τη διάρκεια δειγματοληπτικού ελέγχου των αρχείων που είναι αποθηκευμένα στο σύστημα (.), η ΟΕ διαπίστωσε ότι το σύστημα διατηρεί αρχεία προγενέστερα των έξι μηνών (από το έτος 2008). Η ΟΕ επίσης διαπίστωσε ότι τα αρχεία αυτά είναι προσβάσιμα για ακρόαση από τους χρήστες της εφαρμογής. Σχετικά με την ως άνω διαπίστωση, η εταιρεία κατά τον 5 ο επιτόπιο έλεγχο παρέδωσε (Συνημμένο 2 του Σχετικού 12) επιστολή με θέμα «Εξηγήσεις σχετικά με αρχεία προγενέστερα των έξι μηνών που βρέθηκαν στο σύστημα καταγραφής συνομιλιών του.». Στην επιστολή αυτή, η εταιρεία, μεταξύ άλλων, αναφέρει: «4. Τα αρχεία παλαιότερα των 6 μηνών, που υπάρχουν στο σύστημα, έχουν σαν αρχική ημερομηνία την 17/5/2008 και σαν τελική την 19/12/2008. Μετά υπάρχει ένα κενό χρονικό διάστημα και μετά έχουμε αρχεία 6 μηνών παλιά. Ως εκ τούτου το συμπέρασμά μας είναι ότι έμειναν εκεί γιατί ήταν εκτός του προγράμματος περιοδικής διαγραφής που ενεργοποιήθηκε αργότερα. Έπρεπε ο Διαχειριστής να τα σβήσει με χειροκίνητη διαδικασία εκτελώντας εντολές από τη γραμμή εντολών στη βάση δεδομένων του συστήματος». 7

8 4. Σύμφωνα με το Σχετικό 11, η ΟΕ ζήτησε το αρχείο με όλες τις αιτήσεις αναπαραγωγής (όπως αναφέρεται στην παράγραφο 5.2 της εν λόγω διαδικασίας, στη σελίδα 5) και η εταιρεία δήλωσε ότι δεν υπάρχει τέτοιο αρχείο και ότι οι αιτήσεις γίνονται προφορικά από τον.. προς τον.. Σύμφωνα με το Σχετικό 14, η ΟΕ ζήτησε να ελέγξει τα Παραρτήματα των Φορμών Αξιολόγησης Απειλής τα οποία περιέχουν τους τηλεφωνικούς αριθμούς στους οποίους έγινε ακρόαση στις ημερομηνίες: 14/1/2010, 3/2/2010, 10/8/2009, 12/3/2009 και 23/1/2009, όπως είχε αποτυπωθεί και στο Σχετικό 11. Σύμφωνα με το Σχετικό 14, η ΟΕ διαπίστωσε ότι υπήρχαν φόρμες αξιολόγησης μόνο για τις ημερομηνίες 14/1/2020 και 3/2/2010. Το Σχετικό 14 περιλαμβάνει πίνακα με την ημερομηνία, το κανάλι, το εσωτερικό τηλέφωνο και την ώρα ακρόασης για τις δύο ως άνω ημερομηνίες. Ύστερα από αντιπαραβολή των στοιχείων του πίνακα αυτού με τα logs των ακροάσεων (replay events) που περιλαμβάνονται στο Συνημμένο 5 του Σχετικού 11, διαπιστώθηκε ότι: (α) κατά την 3/2/2010 έγιναν συνολικά 17 ακροάσεις στα κανάλια 2DO1X4Z01N (εσωτ.τηλ...), 2DO1X4Z01Μ (εσωτ.τηλ..), 2DO1X5001N (εσωτ.τηλ. ), και 2DO1X4Z00F (εσωτ.τηλ..). Διαπιστώνεται ότι το εσωτερικό τηλέφωνο. δεν έχει περιληφθεί στα Παραρτήματα των Φορμών Αξιολόγησης Απειλής. (β) κατά την 14/1/2010 έγιναν συνολικά 6 ακροάσεις στο κανάλι 2DO1X5000G (εσωτ.τηλ...), που είναι σύμφωνο με τα περιεχόμενα του Παραρτήματος της Φόρμας Αξιολόγησης Απειλής για την 14/1/2010. Περαιτέρω, σύμφωνα με το Σχετικό 14, για τις υπόλοιπες ημερομηνίες (10/8/2009, 23/1/2009, 12/3/2009) δεν υπήρχαν Φόρμες Αξιολόγησης Απειλής. Η εταιρεία, σύμφωνα με το Συνημμένο 3 του Σχετικού 14, αποδέχεται το πρόβλημα της μη ύπαρξης επίσημων στοιχείων και συμφώνησε στο εξής να αναγράφεται στο δελτίο συμβάντων ο λόγος για τον οποίο έγινε η ακρόαση. Δ2.2 Διαδικασία Πρόσβασης Διαχειριστών σε Κρίσιμα ή Ευαίσθητα Συστήματα 1. Σύμφωνα με το Σχετικό 12, στα πλαίσια ελέγχου της Διαδικασίας Πρόσβασης Διαχειριστών σε Κρίσιμα ή Ευαίσθητα Συστήματα, όπως εφαρμόζεται στο σύστημα., οι εκπρόσωποι του.. δήλωσαν ότι πλήρη δικαιώματα διαχείρισης έχουν τρεις υπάλληλοι της διεύθυνσης IT&T του..και η εταιρεία., η οποία έχει αναλάβει την ανάπτυξη και υποστήριξη του συστήματος. Επισημαίνεται ότι για την εταιρεία αυτή, ο δεν εφαρμόζει την Πολιτική Σύμβασης Υπεργολαβίας (.), όπως έχει επισημανθεί στο σημείο Δ1.14 της παρούσας έκθεσης ελέγχου. Περαιτέρω, κατόπιν ερώτησης της ΟΕ, οι εκπρόσωποι του. δήλωσαν ότι το σύστημα. δεν καταγράφει τις ενέργειες των χρηστών (συμπεριλαμβανομένων των διαχειριστών) ούτε σε επίπεδο εφαρμογής ούτε σε επίπεδο βάσης δεδομένων. Επίσης, με το Σχετικό 12, η ΟΕ ζήτησε το ημερολόγιο συστήματος και το αρχείο εγγραφών ελέγχου (auditing) σύμφωνα με την παράγραφο 5.10 της εν λόγω διαδικασίας. Σχετικά με τα παραπάνω, ο. δήλωσε στην ΟΕ, με το Συνημμένο 4 του Σχετικού 14, ότι από 11/3/2010 ενεργοποίησε το database audit trail στη βάση δεδομένων του. όπου και φυλάσσονται οι εγγραφές CDR, και παρέδωσε ένα δείγμα από το ημερολόγιο του συστήματος (log file). Επίσης, δήλωσε ότι ενεργοποίησε το.. στην εφαρμογή του. (application server) από όπου φαίνεται ποιος, πότε και πως είχε πρόσβαση στις αναφορές του., και παρέδωσε ένα δείγμα από το 8

9 ημερολόγιο του συστήματος (log file). Ύστερα από εξέταση των δειγμάτων log files, η ΟΕ διαπίστωσε ότι δεν καλύπτουν το σύνολο των απαιτήσεων της παραγράφου 5.10 της εν λόγω διαδικασίας. 2. Σύμφωνα με το Σχετικό 12, στα πλαίσια ελέγχου της Διαδικασίας Πρόσβασης Διαχειριστών σε Κρίσιμα ή Ευαίσθητα Συστήματα, όπως εφαρμόζεται στο σύστημα.., η ΟΕ ζήτησε το ημερολόγιο συστήματος και το αρχείο εγγραφών ελέγχου (auditing) σύμφωνα με την παράγραφο 5.10 της εν λόγω διαδικασίας, το οποίο δεν παραδόθηκε από τον.. Η ΟΕ θεωρεί ότι ο. οφείλει να: α) καταγράφει τους τρόπους πρόσβασης των εργαζομένων και συνεργατών του σε δεδομένα επικοινωνίας των συνδρομητών ή χρηστών των παρεχόμενων δικτύων ή υπηρεσιών. Κάθε πρόσβαση σε δεδομένα επικοινωνίας των συνδρομητών ή χρηστών των παρεχόμενων δικτύων ή υπηρεσιών πρέπει να καταγράφεται και να αιτιολογείται. β) διαμορφώσει και να ακολουθεί τυπική διαδικασία για τον περιοδικό έλεγχο πρόσβασης των εργαζομένων και συνεργατών του σε δεδομένα επικοινωνίας των συνδρομητών ή χρηστών των παρεχόμενων δικτύων ή υπηρεσιών, με σκοπό την ανακάλυψη ενδεχομένων μη αιτιολογημένων προσβάσεων, η οποία να ορίζει τις ενέργειες, την αλληλουχία των ενεργειών, τους υπεύθυνους για την εκτέλεσή τους και τον τρόπο και τα μέσα τεκμηρίωσής τους. Δ2.3 Διαδικασία Εκχώρησης Δικαιωμάτων σε Νέους Χρήστες 1. Σύμφωνα με το Σχετικό 12, στα πλαίσια ελέγχου της Διαδικασίας Εκχώρησης Δικαιωμάτων σε Νέους Χρήστες, όπως εφαρμόζεται στο σύστημα.., η ΟΕ ζήτησε τις αιτήσεις για νέο λογαριασμό χρήστη σύμφωνα με την παράγραφο 5.1 της εν λόγω διαδικασίας, οι οποίες δεν παραδόθηκαν από τον. Δ2.4 Διαδικασία Θέση σε Λειτουργία 1. Σύμφωνα με το Σχετικό 13, στα πλαίσια ελέγχου της Διαδικασίας Θέση σε Λειτουργία (Release Management), οι εκπρόσωποι του.δήλωσαν ότι η παράγραφος 5.6 δεν εφαρμόζεται καθώς δεν υπάρχει το προβλεπόμενο σύστημα problem management. Επίσης, σχετικά με την παράγραφο 5.7 της εν λόγω διαδικασίας, οι εκπρόσωποι του δήλωσαν ότι το check list δεν εφαρμόζεται σε αυτή τη μορφή, αλλά ενδέχεται ορισμένες από τις απαιτήσεις να καλύπτονται από τις δοκιμές αποδοχής. Τέλος, οι εκπρόσωποι του.. δήλωσαν ότι το σύστημα καταγραφής συνομιλιών δεν έχει καταχωρηθεί στην., όπως προβλέπεται στην παράγραφο 5.2 της εν λόγω διαδικασίας. 2. Επισημαίνεται ότι η διαδικασία Θέση σε Λειτουργία δεν παραδόθηκε στα Ελληνικά στην ΟΕ, παρόλο που ζητήθηκε με το από μήνυμα ηλεκτρονικού ταχυδρομείου, με παραλήπτη τον Υπεύθυνο Ασφάλειας του... Σημειώνεται ότι τα συμπεράσματα αυτής της ενότητας προέκυψαν από τον δειγματοληπτικό έλεγχο εφαρμογής της Πολιτικής Ασφάλειας για τη Διασφάλιση του Απορρήτου των Επικοινωνιών του. και αφορούν μόνο την εφαρμογή των συγκεκριμένων διαδικασιών και μέτρων ασφάλειας στα συγκεκριμένα συστήματα που αναφέρονται και για τη δεδομένη στιγμή που πραγματοποιήθηκε ο έλεγχος. Ε. ΤΕΛΙΚΟ ΠΟΡΙΣΜΑ ΕΛΕΓΧΟΥ Έχοντας υπόψη τα αποτελέσματα της διενέργειας ελέγχου στον..και ειδικότερα: 9

10 από την μελέτη της Πολιτικής Ασφάλειας, των Διαδικασιών Ασφάλειας, των εγγράφων και των λοιπών στοιχείων που εξετάστηκαν από την OE, το δειγματοληπτικό έλεγχο εφαρμογής της Πολιτικής Ασφάλειας και των Διαδικασιών Ασφάλειας της εταιρείας, τα αποτελέσματα των επιτόπιων ελέγχων, όπως αναφέρονται στην παρούσα Έκθεση και όπως προκύπτουν από τα σχετικά έγγραφα, τα οποία είναι στη διάθεση της Ολομέλειας της Α.Δ.Α.Ε., η OE κρίνει ότι το.., κατά το χρόνο διεξαγωγής του τακτικού ελέγχου, δεν καλύπτει πλήρως τις απαιτήσεις του κανονιστικού πλαισίου, σύμφωνα με τα αποτελέσματα που επισημαίνονται ανωτέρω.» Η εν λόγω Έκθεση διενέργειας τακτικού ελέγχου στην εταιρεία «..» εγκρίθηκε από την Ολομέλεια της Α.Δ.Α.Ε. σύμφωνα με το Πρακτικό της από 7 Ιουλίου 2010 συνεδρίασης. Εν συνεχεία, η εταιρεία «...», με το υπ αριθ. πρωτ. Α.Δ.Α.Ε. ΕΜΠ 83/ έγγραφό της, αναφέρθηκε στα αποτελέσματα της ως άνω έκθεσης ελέγχου, η οποία της είχε κοινοποιηθεί, επισημαίνοντας αναλυτικά τις διορθωτικές ενέργειες στις οποίες προέβη ή επρόκειτο να προβεί σε συμμόρφωση με τις υποδείξεις της Α.Δ.Α.Ε.. Από το εν λόγω έγγραφο της εταιρείας προκύπτει ότι, επί συνόλου 32 παρατηρήσεων της έκθεσης ελέγχου, η εταιρεία έχει υλοποιήσει, κατά δήλωσή της, τις 21, ενώ για τις υπόλοιπες 11 αναφέρει ότι προτίθεται να τις υλοποιήσει. Επισημαίνεται, τέλος, εν προκειμένω ότι η Πολιτική Ασφάλειας για τη Διασφάλιση του Απορρήτου των Επικοινωνιών της εταιρείας «..», σύμφωνα με το νέο κανονιστικό πλαίσιο της Α.Δ.Α.Ε., έχει εγκριθεί από την Α.Δ.Α.Ε., σύμφωνα με την υπ αριθ. 249/2013 Απόφασή της. Β. Κατόπιν των παραπάνω, και έχοντας υπόψη : 1. Το άρθρο 19 του Συντάγματος, 2. Το ν.3115/2003 «Αρχή Διασφάλισης του Απορρήτου των Επικοινωνιών» (ΦΕΚ Α 47/2003), όπως ισχύει, 3. Το ν. 3674/2008 «Ενίσχυση του θεσμικού πλαισίου διασφάλισης του απορρήτου της τηλεφωνικής επικοινωνίας και άλλες διατάξεις» (ΦΕΚ Α 136/ ), όπως ισχύει, 4. Τις διατάξεις : α) του Κανονισμού για την Διασφάλιση Απορρήτου κατά την Παροχή Σταθερών Τηλεπικοινωνιακών Υπηρεσιών (υπ αριθ. 630 α /2004 Απόφαση της Α.Δ.Α.Ε., ΦΕΚ Β 87/ ), β) του Κανονισμού για την Διασφάλιση Απορρήτου κατά την παροχή Τηλεπικοινωνιακών Υπηρεσιών μέσω Ασύρματων Δικτύων (υπ αριθ. 631 α /2004 Απόφαση της Α.Δ.Α.Ε., ΦΕΚ Β 87/ ), γ) του Κανονισμού για την Διασφάλιση του Απορρήτου στις Διαδικτυακές Επικοινωνίες και τις συναφείς Υπηρεσίες και Εφαρμογές (υπ αριθ. 632 α /2005 Απόφαση της Α.Δ.Α.Ε, ΦΕΚ Β 88/ ), δ) του Κανονισμού για την Διασφάλιση του Απορρήτου Διαδικτυακών Υποδομών (υπ αριθ. 633 α /2005 Απόφαση της Α.Δ.Α.Ε, ΦΕΚ Β 88/ ), ε) του Κανονισμού για την Διασφάλιση του Απορρήτου Εφαρμογών και Χρήστη Διαδικτύου (υπ αριθ. 634 α /2005 Απόφαση της Α.Δ.Α.Ε, ΦΕΚ Β 88/ ), 10

11 5. Το ν.3051/2002 «Συνταγματικά κατοχυρωμένες ανεξάρτητες αρχές, τροποποίηση και συμπλήρωση του συστήματος προσλήψεων στο δημόσιο τομέα και συναφείς ρυθμίσεις» (ΦΕΚ Α 220/2002), όπως ισχύει, 6. Το ν. 4055/2012 «Δίκαιη δίκη και εύλογη διάρκεια αυτής» (ΦΕΚ Α 51/2012), όπως ισχύει, και ιδίως τα άρθρα 61 και 110 παρ. 12 αυτού, 7. Την υπ αριθ. 97 Α /2012 Απόφαση της Α.Δ.Α.Ε. «Τροποποίηση της απόφασης της Α.Δ.Α.Ε. 44/ Απόφασης της Α.Δ.Α.Ε. Κανονισμός Εσωτερικής Λειτουργίας της Αρχής Διασφάλισης του Απορρήτου των Επικοινωνιών (Α.Δ.Α.Ε.) (ΦΕΚ1642/Β/ ), όπως ισχύει» (ΦΕΚ 1650/Β/ και 1751/Β/ ), 8. Τις διατάξεις της υπ αριθ. 44/ Απόφασης της Α.Δ.Α.Ε. «Κανονισμός Εσωτερικής Λειτουργίας της Αρχής Διασφάλισης του Απορρήτου των Επικοινωνιών (Α.Δ.Α.Ε.)» (ΦΕΚ Β 1642/ ), όπως ισχύει, 9. Τις υπ αριθ. 3319/2010 και 1361/2013 Αποφάσεις του Συμβουλίου της Επικρατείας, 10. Την από παραίτηση του τότε Προέδρου της Α.Δ.Α.Ε. κου Α. Λαμπρινόπουλου, η οποία έγινε αποδεκτή από τον Υπουργό Δικαιοσύνης, σύμφωνα με την υπ αριθ. 175/ Απόφασή του (ΦΕΚ Υ.Ο.Δ.Δ. 19/ ), 11. Το άρθρο 20 παρ. 2 του Συντάγματος, περί δικαιώματος προηγούμενης ακρόασης του διοικουμένου, 12. Τη διάταξη του άρθρου 26 παρ.7 του ν.4325/2015 «Εκδημοκρατισμός της Διοίκησης Καταπολέμηση Γραφειοκρατίας και Ηλεκτρονική Διακυβέρνηση. Αποκατάσταση Αδικιών και άλλες διατάξεις» (ΦΕΚ Α 47/2015), 13. Τη διάταξη του άρθρου 55 παρ.10 του ν.4339/2015 (ΦΕΚ Α 133/2015) «Αδειοδότηση παρόχων περιεχομένου επίγειας ψηφιακής τηλεοπτικής ευρυεκπομπής ελεύθερης λήψης - Ίδρυση συνδεδεμένης με την E.P.Τ. Α.Ε. ανώνυμης εταιρίας για την ανάπτυξη δικτύου επίγειας ψηφιακής ευρυεκπομπής - Ρύθμιση θεμάτων Εθνικής Επιτροπής Τηλεπικοινωνιών και Ταχυδρομείων (Ε.Ε.Τ. Τ.) - Εθνική Επικοινωνιακή Πολιτική, Οργάνωση της Επικοινωνιακής Διπλωματίας - Σύσταση Εθνικού Κέντρου Οπτικοακουστικών Μέσων και Επικοινωνίας και Μητρώου Επιχειρήσεων Ηλεκτρονικών Μέσων Ενημέρωσης - Τροποποίηση διατάξεων του Ν. 4070/2012 (Α' 82) και άλλες διατάξεις», 14. Τη διάταξη του άρθρου 73 του ν. 4369/2016 (ΦΕΚ Α 33/2016) «Εθνικό Μητρώο Επιτελικών Στελεχών Δημόσιας Διοίκησης, βαθμολογική διάρθρωση θέσεων, συστήματα αξιολόγησης, προαγωγών και επιλογής προϊσταμένων (διαφάνεια αξιοκρατία και αποτελεσματικότητα της Δημόσιας Διοίκησης) και άλλες διατάξεις», 15. Την υπ αριθ / Απόφαση του Υπουργού Δικαιοσύνης, Διαφάνειας και Ανθρωπίνων Δικαιωμάτων (ΦΕΚ Υ.Ο.Δ.Δ. 151/ ), περί συγκρότησης της Αρχής Διασφάλισης του Απορρήτου των Επικοινωνιών, 16. Την υπ αριθ. πρωτ. Α.Δ.Α.Ε. 1805/ Πολιτική Διασφάλισης του Απορρήτου των Επικοινωνιών της εταιρείας «...», όπως αυτή αναθεωρήθηκε με τα υπ αριθ. πρωτ. Α.Δ.Α.Ε. ΕΜΠ 163/ και 751/ έγγραφα και η οποία τελικώς εγκρίθηκε ως προς το περιεχόμενο με την υπ αριθ. 241/2009 Απόφαση της Α.Δ.Α.Ε., 11

12 17. Την υπ αριθ. 260/2009 Απόφαση της Α.Δ.Α.Ε. για τη διενέργεια τακτικού ελέγχου στην εταιρεία «..», 18. Την από 27 Μαΐου 2010 Έκθεση Διενέργειας Τακτικού Ελέγχου στην εταιρεία «..», αναφορικά με την εφαρμογή της πολιτικής διασφάλισης του απορρήτου των επικοινωνιών, 19. Την υπ αριθ. 126/2010 Εισήγηση προς την Ολομέλεια της Α.Δ.Α.Ε., 20. Το υπ αριθ. 42 πρακτικό της από συνεδρίασης της Ολομέλειας της Α.Δ.Α.Ε., 21. Την υπ αριθ. πρωτ. Α.Δ.Α.Ε. ΕΜΠ 83/ επιστολή της εταιρείας «...» προς την Α.Δ.Α.Ε., σχετικά με τις διορθωτικές ενέργειες στις οποίες προέβη μετά την κοινοποίηση σε αυτήν της ως άνω έκθεσης ελέγχου, 22. Την υπ αριθ. 249/2013 Απόφαση της Α.Δ.Α.Ε. με την οποία εγκρίθηκε η Πολιτική Ασφάλειας για τη Διασφάλιση του Απορρήτου των Επικοινωνιών της εταιρείας «..», σύμφωνα με το νέο κανονιστικό πλαίσιο της Α.Δ.Α.Ε., 23. Την υπ αριθ. 73/2016 εισήγηση προς της Ολομέλεια της Α.Δ.Α.Ε., 24. Το πρακτικό της από συνεδρίασης της Ολομέλειας της Α.Δ.Α.Ε., 25. Την ανάγκη διασφάλισης του απορρήτου των επικοινωνιών, Η (Α.Δ.Α.Ε.) ΑΠΟΦΑΣΙΖΕΙ ΟΜΟΦΩΝΑ Την μη κλήση σε ακρόαση της εταιρείας «..», με αντικείμενο τον έλεγχο της ενδεχόμενης παραβάσεως των υπ αριθ. 630 α /2004 «Κανονισμός για την Διασφάλιση Απορρήτου κατά την Παροχή Σταθερών Τηλεπικοινωνιακών Υπηρεσιών» (ΦΕΚ Β 87/ ), 631 α /2004 «Κανονισμός για τη Διασφάλιση Απορρήτου κατά την Παροχή Τηλεπικοινωνιακών Υπηρεσιών μέσω Ασύρματων Δικτύων» (ΦΕΚ Β 87/ ), 632 α /2005 «Κανονισμός για την Διασφάλιση του Απορρήτου στις Διαδικτυακές Επικοινωνίες και τις συναφείς Υπηρεσίες και Εφαρμογές» (ΦΕΚ Β 88/ ), 633 α /2005 «Κανονισμός για την Διασφάλιση του Απορρήτου Διαδικτυακών Υποδομών» (ΦΕΚ Β 88/ ) και 634 α /2005 «Κανονισμός για την Διασφάλιση του Απορρήτου Εφαρμογών και Χρήστη Διαδικτύου» (ΦΕΚ Β 88/ ) Αποφάσεων της Α.Δ.Α.Ε., αναφορικά με τις αποκλίσεις κατά την εφαρμογή της εγκεκριμένης Πολιτικής Ασφάλειας για τη Διασφάλιση του Απορρήτου των Επικοινωνιών της εταιρείας, όπως αυτές αναφέρονται στην από 27 Μαΐου 2010 Έκθεση Διενέργειας τακτικού Ελέγχου στην εταιρεία «...», συνεκτιμώντας το σύνολο των στοιχείων του φακέλου και ιδίως, ενόψει των διορθωτικών ενεργειών, προς άρση των διαπιστωμένων αποκλίσεων, στις οποίες προέβη η εταιρεία, όπως υποστηρίζεται στο υπ αριθ. πρωτ. Α.Δ.Α.Ε. ΕΜΠ 83/ έγγραφό της. Η παρούσα απόφαση να επιδοθεί στην εταιρεία «..» με Δικαστικό Επιμελητή. Κρίθηκε και αποφασίστηκε την Τετάρτη, 25 Μαΐου Ο Πρόεδρος Χρήστος Ζαμπίρας 12