1.Ηλεκτρονικά έγγραφα µε ηλεκτρονική υπογραφή: Μπορούµε να διακρίνουµε τις δύο παρακάτω υποκατηγορίες: Α) Ηλεκτρονικά έγγραφα µε προηγµένη

Transcript

1 1.Ηλεκτρονικά έγγραφα µε ηλεκτρονική υπογραφή: Μπορούµε να διακρίνουµε τις δύο παρακάτω υποκατηγορίες: Α) Ηλεκτρονικά έγγραφα µε προηγµένη ηλεκτρονική υπογραφή Σύµφωνα µε το Νοµοθέτη (άρθρο 3&1 Π.. 150/2001), η ηλεκτρονική υπογραφή που επέχει θέση ιδιόχειρης, τόσο στο ουσιαστικό όσο και στο δικονοµικό δίκαιο, είναι µόνο η προηγµένη ηλεκτρονική υπογραφή που δηµιουργείται από «ασφαλή διάταξη δηµιουργίας υπογραφής» και βασίζεται σε «αναγνωρισµένο πιστοποιητικό» που εκδίδεται από Πάροχο Υπηρεσιών Πιστοποίησης, ο οποίος πληροί τις προϋποθέσεις του Παραρτήµατος ΙΙΙ του Π. Υπό τις προϋποθέσεις αυτές, η ηλεκτρονική υπογραφή αποκτά τις ιδιότητες που χαρακτηρίζουν την ιδιόχειρη υπογραφή. Η προηγµένη ηλεκτρονική υπογραφή εξασφαλίζει την εµπιστευτικότητα των δεδοµένων και την ακεραιότητα τους. Επίσης, σε µια ηλεκτρονική συναλλαγή, εξασφαλίζει την αυθεντικότητα του µηνύµατος και τη µη αποποίηση της ευθύνης των εµπλεκοµένων µερών, τα οποία δεν µπορούν εκ των υστέρων να αρνηθούν τη συµµετοχή τους στη συναλλαγή. Β)Ηλεκτρονικά έγγραφα µε απλή ηλεκτρονική υπογραφή: Στην απλή ηλεκτρονική υπογραφή δεν αποδίδεται συγκεκριµένη αποδεικτική ισχύς. Όµως, ένα ηλεκτρονικό έγγραφο που περιέχει απλή ηλεκτρονική υπογραφή και προσάγεται ως αποδεικτικό µέσο, δεν απορρίπτεται ως απαράδεκτο για το µόνο λόγο ότι δεν πληροί τις προϋποθέσεις µιας προηγµένης ηλεκτρονικής υπογραφής. Η ηλεκτρονική υπογραφή, η οποία δεν δηµιουργείται από ασφαλή διάταξη δηµιουργίας ή δεν βασίζεται σε αναγνωρισµένο πιστοποιητικό, ή δεν βασίζεται σε αναγνωρισµένο πιστοποιητικό που εξεδόθη από διαπιστευµένο Πάροχο Υπηρεσιών Πιστοποίησης, δεν απολαµβάνει του τεκµηρίου εξοµοίωσης µε την ιδιόχειρη. Το ηλεκτρονικό έγγραφο στο οποίο περιέχεται, εκτιµάται ελεύθερα από το δικαστήριο. Ως προς την Απόφαση 1327/2001ΜΠρ.Αθ που εξοµοιώνει την ηλεκτρονική διεύθυνση µε ιδιόχειρη υπογραφή, µπορούµε να παρατηρήσουµε τα ακόλουθα: Ανεξάρτητα από το αν ο µοναδικός κωδικός πρόσβασης του ISP του χρήστη σε συνδυασµό µε την απεικόνιση του του, τον καθιστά απολύτως συγκεκριµένο, η ηλεκτρονική διεύθυνση δεν µπορεί να γίνει δεκτό ότι έχει το χαρακτήρα ιδιόχειρης υπογραφής. Η συγκεκριµενοποίηση του παραλήπτη µε τον κωδικό πρόσβασης και την απεικόνιση της ηλεκτρονικής διεύθυνσης δεν έχει το χαρακτήρα ιδιόγραφης 1

2 υπογραφής καθώς δεν πληροί καµία από τις λειτουργίες της. ιότι µια συναλλαγή που πραγµατοποιείται µε τον τρόπο αυτό δεν παρέχει εγγύηση ότι τα δεδοµένα δεν θα αποκαλυφθούν ή δεν θα διατεθούν σε µη εξουσιοδοτηµένα άτοµα ή ότι το περιεχόµενο του µηνύµατος θα είναι αυτό ακριβώς που απεστάλη. Ακόµα δεν εγγυάται, ότι το µήνυµα προέρχεται από τον ίδιο τον αποστολέα και όχι από κάποιον που παριστάνει ότι είναι ο αποστολέας και τέλος, ότι ο τελευταίος δεν θα αποκηρύξει µελλοντικά τη συµµετοχή του στη συναλλαγή. 2.Υπηρεσίες Παρόχων πιστοποίησης ηλεκτρονικής υπογραφής /Υποδοµή δηµόσιου κλειδιού για την έκδοση διάθεση και διαχείριση των πιστοποιητικών (PKI) Με τη λήψη ενός µηνύµατος µε ηλεκτρονική υπογραφή, ο παραλήπτης επαληθεύοντας την ηλεκτρονική υπογραφή βεβαιώνεται ότι το µήνυµα είναι ακέραιο. Εκείνο όµως που δεν µπορεί να γνωρίζει ο παραλήπτης µε βεβαιότητα, είναι αν ο αποστολέας του µηνύµατος είναι αυτός που ισχυρίζεται ότι είναι. Κατά συνέπεια, απαιτείται η ύπαρξη ενός µηχανισµού τέτοιου, ώστε ο παραλήπτης να µπορεί να είναι σίγουρος για την ταυτότητα του προσώπου µε το δηµόσιο κλειδί. Ο µηχανισµός αυτός υλοποιείται από τον Πάροχο Υπηρεσιών Πιστοποίησης, ο οποίος πιστοποιεί την ταυτότητα του προσώπου µε το δηµόσιο κλειδί του. Η οντότητα αυτή, µε την έκδοση ενός πιστοποιητικού, εγγυάται ότι, σε ένα συγκεκριµένο πρόσωπο αντιστοιχεί το συγκεκριµένο δηµόσιο κλειδί. Το πιστοποιητικό είναι ένα τυποποιηµένο ηλεκτρονικό αρχείο που περιέχει κάποια προδιαγεγραµµένα πεδία όπως σειριακός αριθµός πιστοποιητικού, ηµεροµηνία έκδοσης και λήξης, στοιχεία του εκδότη, στοιχεία του πιστοποιούµενου, το δηµόσιο κλειδί που πιστοποιείται. Οι πάροχοι υπηρεσιών πιστοποίησης εκδίδουν τα πιστοποιητικά µε στόχο τη δηµιουργία µιας σχέσης ταυτοποίησης µεταξύ του δηµόσιου κλειδιού και του δικαιούχου του, προβαίνοντας παράλληλα και στην οργάνωση µιας αξιόπιστης «Υποδοµής ηµόσιου κλειδιού», (PKI Public Key Infrastructure) για την έκδοση, διάθεση και διαχείριση των σχετικών πιστοποιητικών. Κατά συνέπεια, οι ΠΥΠ επιβάλλεται να προσφέρουν στους πιστοποιούµενουςσυνδροµητές αλλά και στους τρίτους-χρήστες των πιστοποιητικών, µια σειρά από υπηρεσίες, που δεν περιορίζονται στην έκδοση του πιστοποιητικού, αλλά αφορούν τον «κύκλο ζωής του πιστοποιητικού». 2

3 Οι υπηρεσίες αυτές, διασφαλίζονται µέσα στα πλαίσια του ΠΥΠ από τις εξής «λειτουργικές οντότητες» : N Υπηρεσία εγγραφής (Registration Authority): είναι η οντότητα. που παραλαµβάνει τις αιτήσεις και τα δικαιολογητικά για την έκδοση του πιστοποιητικού και είναι υπεύθυνη για τη συλλογή των πληροφοριών που αποτελούν το απαραίτητο περιεχόµενο του πιστοποιητικού. Τις πληροφορίες αυτές, που είναι απαραίτητες για την ταυτοποίηση του κατόχου των δεδοµένων δηµιουργίας µε τον αιτούντα το πιστοποιητικό, τις µεταβιβάζει στη συνέχεια στην υπηρεσία έκδοσης των πιστοποιητικών. N Υπηρεσία έκδοσης πιστοποιητικών (Certification Authority): είναι η υπηρεσία που εκδίδει το πιστοποιητικό σύµφωνα µε την «ήλωση Πρακτικής Πιστοποίησης». Η οντότητα αυτή υποχρεούται να ενηµερώνει για την έκδοση αυτή τις άλλες οντότητες, υποχρέωση που έχει και σε κάθε περίπτωση ανανέωσης, παύσης ή ανάκλησης του πιστοποιητικού. N Υπηρεσία ηµοσίευσης και ιανοµής (Dissemination Service): η υπηρεσία που δηµοσιεύει τον κατάλογο µε τα εκδοθέντα πιστοποιητικά, τους ιδιαίτερους όρους χρήσης του κάθε είδους πιστοποιητικού (Πολιτικές Πιστοποιητικών) καθώς και τη ήλωση Πρακτικής Πιστοποίησης, µε τρόπο που να τις καθιστά προσβάσιµες σε κάθε ενδιαφερόµενο. N Υπηρεσία ιαχείρισης και δηµοσίευσης ανάκλησης (Revocation Management and Status Service) : η υπηρεσία διαχειρίζεται τον κατάλογο µε τα υπό έκδοση ή εκδοθέντα πιστοποιητικά. έχεται και ελέγχει αιτήµατα ανάκλησης ή παύσης των πιστοποιητικών και προβαίνει στην έγκαιρη ενηµέρωση της «Λίστας Ανακληθέντων Πιστοποιητικών». Η ηµεροµηνία και ο χρόνος της ανάκλησης θα πρέπει να προσδιορίζεται επακριβώς. N N Προαιρετικά, ένας ΠΥΠ µπορεί να παρέχει και τις εξής υπηρεσίες: Υπηρεσίες χρονοσήµανσης (Time stamping Authority) των εγγράφων, µετά από αίτηση των συνδροµητών. Υπηρεσίες προµήθειας συσκευών δηµιουργίας υπογραφής (Device Provision Service): υπηρεσίες οι οποίες παρέχουν στο συνδροµητή το ιδιωτικό του κλειδί, συνήθως υπό τη µορφή µιας «έξυπνης κάρτας». Στην περίπτωση που ο ΠΥΠ παρέχει υπηρεσίες προµήθειας συσκευών δηµιουργίας 3

4 υπογραφής και εκδίδει αναγνωρισµένα πιστοποιητικά, οφείλει να εγγυηθεί ότι τα δεδοµένα δηµιουργίας και επαλήθευσης υπογραφής µπορούν να χρησιµοποιηθούν συµπληρωµατικά. Οι παραπάνω υπηρεσίες µπορούν να παρέχονται άµεσα από τον ίδιο τον εκδότη των πιστοποιητικών ή από εξουσιοδοτηµένους συνεργάτες του(outsourcing). Στη δεύτερη περίπτωση, ο εκδότης παραµένει αποκλειστικά υπεύθυνος έναντι των δικαιούχων πιστοποιητικών ή τρίτων για πράξεις ή παραλείψεις των αναδόχων του. Ο εκδότης µπορεί στη συνέχεια να στραφεί κατά των εξουσιοδοτηµένων συνεργατών του, σύµφωνα µε τους προβλεπόµενους όρους του συµβολαίου που τους συνδέει, οι οποίοι θα πρέπει να χρήζουν ιδιαίτερης προσοχής. 3. ήλωση Πρακτικής Πιστοποίησης/ ιαβαθµισµένες Πολιτικές Πιστοποιητικών Οι ΠΥΠ έχουν την υποχρέωση να ενηµερώσουν τους συµβαλλόµενους, πριν από τη σύναψη της σύµβασης, για την πρακτική που ακολουθείται για την έκδοση των πιστοποιητικών. Πέρα από τους όρους που περιέχονται στη σύµβαση (σύµβαση προσχώρησης µε προδιατυπωµένους Γενικούς Όρους Συναλλαγών) οι ΠΥΠ εκδίδουν: N ήλωση Πρακτικής Πιστοποίησης (Certification Practice Statement): στη δήλωση αυτή περιγράφεται αναλυτικά η πρακτική που ακολουθείται για την έκδοση, διάθεση και διαχείριση των πιστοποιητικών. Το έγγραφο αυτό, που ενσωµατώνεται στη σύµβαση µε παραποµπή (incorporation par reference), αναλύει κυρίως: τις παρεχόµενες υπηρεσίες πιστοποίησης, την υλικοτεχνική υποδοµή και τα χρησιµοποιούµενα πρότυπα, τις διαδικασίες ανάκλησης ενός πιστοποιητικού ή παύσης των εργασιών του ΠΥΠ Επίσης, περιλαµβάνει θέµατα ευθύνης και υποχρεώσεων του ΠΥΠ καθώς και την ασφαλιστική κάλυψη της ζηµίας σε περιπτώσεις ευθύνης του. N ιαβαθµισµένες Πολιτικές Πιστοποιητικών. Με βάση τις Πολιτικές αυτές διακρίνονται «τύποι πιστοποιητικών» Στην «Πολιτική» του κάθε πιστοποιητικού εξειδικεύονται οι χρησιµοποιούµενες µέθοδοι έκδοσης και διαχείρισης του πιστοποιητικού, το επίπεδο ασφαλείας που προσφέρει, οι εφαρµογές για τις οποίες ενδείκνυται η χρήση του καθώς και όρια στο ύψος και το είδος των συναλλαγών που µπορούν να πραγµατοποιηθούν. Ο αιτών θα πρέπει να επιλέξει 4

5 τον τύπο του πιστοποιητικού, λαµβάνοντας υπόψη του το επίπεδο ασφάλειας και την συναλλαγή στην οποία επιθυµεί να το χρησιµοποιήσει. Με τον τρόπο αυτό δηµιουργείται το επιθυµητό επίπεδο νοµικής δέσµευσης του αντισυµβαλλοµένου. 4.Ευθύνη των ΠΥΠ Θέτοντας το γενικό πλαίσιο της ευθύνης των ΠΥΠ θα πρέπει να διακρίνουµε την ευθύνη τους ανάλογα µε το αν εκδίδουν: αναγνωρισµένα ή µη αναγνωρισµένα πιστοποιητικά. Η ευθύνη του ΠΥΠ που εκδίδει αναγνωρισµένα πιστοποιητικά (άρθρο 6 Π ) είναι νόθος αντικειµενική επαγγελµατική ευθύνη. ηλαδή στην περίπτωση ζηµιογόνου γεγονότος, τεκµαίρεται η ευθύνη του. Συγκεκριµένα, η ευθύνη των ΠΥΠ τεκµαίρεται όταν το ζηµιογόνο γεγονός αφορά α) την ακρίβεια και την πληρότητα του πιστοποιητικού, β) την ταυτότητα του υπογράφοντος, στην ηλεκτρονική υπογραφή του οποίου αναφέρεται το πιστοποιητικό γ) την δυνατότητα συµπληρωµατικής χρήσης των δεδοµένων δηµιουργίας και επαλήθευσης της ηλεκτρονικής υπογραφής και δ) την µη έγκαιρη καταγραφή της ανάκληση ενός πιστοποιητικού Για τα υπόλοιπα θέµατα ευθύνης που προκύπτουν, ισχύει ο γενικός κανόνας του άρθρ. 338 Κπολ. Ο πάροχος στις περιπτώσεις που τεκµαίρεται υπεύθυνος, για να απαλλαγεί, θα πρέπει να αποδείξει ότι ενέργησε επιµελώς. Ο βαθµός της επιµέλειας δεν καθορίζεται στο Π, εποµένως και ελαφριά αµέλεια αρκεί για την γένεση της ευθύνης. Ο βαθµός υπαιτιότητας είναι σηµαντικός για τον καθορισµό του ύψους της αποζηµίωσης. Το βάρος απόδειξης αντιστρέφεται, εις όφελος κάθε φορέα που εύλογα βασίζεται στο πιστοποιητικό, ανεξάρτητα από το αν τον συνδέει συµβατικός δεσµός µε τον ΠΥΠ. εν γίνεται εποµένως, διαχωρισµός ενδοσυµβατικής και εξωσυµβατικής ευθύνης. Η ευθύνη των ΠΥΠ για τα µη αναγνωρισµένα πιστοποιητικά κρίνεται µε τις γενικές διατάξεις περί ευθύνης. ΓΙΑΝΝΑΚΑΚΗ Μαρία ικηγόρος Μάστερ ικαίου και Πληροφορικής 5