Άρθρα – Σελίδα 5

Υποβολή Σχολίων για το Σχ. Νόμου για τη διαδικασία άρσης του απορρήτου

Σήμερα, η Ομάδα Legal & Policy της Homo Digitalis υπέβαλε τα σχόλιά της στο πλαίσιο της ανοιχτής διαβούλευσης του Υπουργείου Δικαιοσύνης επί του σχεδίου νόμου με τίτλο «Διαδικασία Άρσης του Απορρήτου Των Επικοινωνιών, Κυβερνοασφάλεια και Προστασία Προσωπικών Δεδομένων Πολίτων»

H Ηοmo Digitalis χαιρετίζει την υποβολή του παρόντος Σχ. Νόμου για την ρύθμιση της διαδικασίας άρσης του απορρήτου των επικοινωνιών, συμπεριλαμβανομένης της αναδιάρθρωσης της Εθνικής Υπηρεσίας Πληροφοριών (ΕΥΠ) και του ποινικού κολασμού της εμπορίας, κατοχής και χρήσης απαγορευμένων λογισμικών παρακολούθησης στα Κεφάλαια Β έως Ε του παρούντος Σχ. Νόμου.Τα ζητήματα άρσης απορρήτου των επικοινωνιών χρήζουν διευκρίνισης, ώστε να διασφαλιστεί το κύρος της διαδικασίας και να εξασφαλιστεί το Συνταγματικά κατοχυρωμένο δικαίωμα του απορρήτου των επικοινωνιών (βλέπετε Άρθρο 19 του Συντάγματος). Παρά το γεγονός ότι το νομοσχέδιο παρουσιάζει έναν περιορισμένο αριθμό θετικών στοιχείων, βρίθει σειράς προβληματικών ρυθμίσεων, τις οποίες υπογραμμίζουμε στα σχόλια μας, ενώ η θεσμική παράλειψη της συμπερίληψης της ΑΔΑΕ στη νομοπαρασκευαστική διαδικασία δημιουργεί σημαντικές προκλήσεις. Η Homo Digitalis καλεί το Υπουργείο Δικαιοσύνης να λάβει σοβαρά υπόψη τις σχετικές παρατηρήσεις της ΑΔΑΕ επί των διατάξεων του παρόντος Σχ. Νόμου, όπως αυτές έχουν αναρτηθεί στον ιστότοπο της και στην παρούσα δημόσια διαβούλευση. Η Homo Digitalis συντάσσεται τις παρατηρήσεις αυτές στο σύνολό τους.

Επίσης, η Homo Digitalis χαιρετίζει την τροποποίηση των εθνικών ρυθμίσεων ενσωμάτωσης στην εθνική έννομη τάξη της Οδηγίας 2016/680 στον ν.4624/2019 στο Κεφάλαιο ΣΤ του παρόντος Σχ.Νόμου, η οποία αποτελεί απόρροια της υποβολή σχετικής καταγγελίας ενώπιον της Ευρωπαϊκής Επιτροπής από τη Homo Digitalis τον Οκτώβριο του 2019, και των σχετικών διαβουλεύσεων που εκκινήθηκαν από την Επιτροπή με το Ελληνικό Κράτος. Η εν λόγω αναθεώρηση καίτοι μετά την πάροδο της ταχθείσας από την Ευρωπαϊκή Επιτροπή ημερομηνία συμμόρφωσης του Ελληνικού Κράτους (Ιούνιος 2022), διασφαλίζει τη συμμόρφωση με το Ευρωπαϊκό Δίκαιο και εξασφαλίζει το Συνταγματικά κατοχυρωμένο δικαίωμα στην προστασία των προσωπικών δεδομένων (βλέπετε Άρθρο 9Α του Συντάγματος).

Μπορείτε να διαβάσετε αναλυτικά όλα τα σχόλια μας στην ιστοσελίδα της Δημόσια Διαβούλευσης ή εδώ.

by master_admin

Έγκλημα στο διαδίκτυο: Μία γενική επισκόπηση

Γράφει η Κατερίνα Μεζίνη*

Ο κυβερνοχώρος έχει αναδειχθεί ως το βασικό μέσο επικοινωνίας της σύγχρονης εποχής. Όπως χαρακτηριστικά έχει υποστηριχθεί: «Δεν θα ήταν υπερβολή εάν λέγαμε ότι η κοινωνία, η διοίκηση και η οικονομία είναι σε πολύ μεγάλο βαθμό εξαρτημένες από την αποτελεσματικότητα και την ασφάλεια των πληροφορικών συστημάτων». Οι εν λόγω εξελίξεις δεν έχουν αφήσει ανεπηρέαστη μία ακόμη πτυχή της κοινωνίας μας, την εγκληματικότητα και κατ’ επέκταση το ποινικό δίκαιο. Η τεχνολογική καινοτομία, όπως έχει αποδειχθεί και στην πράξη, μπορεί να αξιοποιηθεί για κοινωνικό καλό, αλλά εξίσου εύκολα και για κακόβουλους και παράνομους σκοπούς. Καθώς οι κοινωνίες βασίζονται όλο και περισσότερο στις πληροφορίες και την τεχνολογία, γίνονται όλο και πιο ευάλωτες στον κίνδυνο του εγκλήματος στον κυβερνοχώρο.

Ο κυβερνοχώρος εμφανίζεται συχνά στο ποινικό δίκαιο είτε ως πεδίο εγκληματικής συμπεριφοράς (ως τόπος ή ως εργαλείο του εγκλήματος ) είτε ως μέσο άντλησης των αποδείξεων.

Ηλεκτρονικό Έγκλημα θεωρείται η αξιόποινη εγκληματική πράξη που τελείται με τη χρήση ηλεκτρονικών μέσων. Ανάλογα με τον τρόπο τέλεσης τα ηλεκτρονικά εγκλήματα διαχωρίζονται σε εγκλήματα τελούμενα με τη χρήση Ηλεκτρονικών Υπολογιστών (computer crimes) και, εάν τελέσθηκαν μέσω του Διαδικτύου, σε Κυβερνοεγκλήματα (cyber crimes).

Επιπλέον από τη θεωρία γίνεται ένας επιπλέον διαχωρισμός μεταξύ αδικημάτων που τελούνται αποκλειστικά μέσω (ή και κατά) ηλεκτρονικών συσκευών (κυβερνοεγκλημα με τη στενή έννοια) και αδικημάτων για τα οποία ο Η/Υ είναι βοηθητικό μέσο (κυβερνοέγκλημα με την ευρεία έννοια).

Μεταξύ των παραγόντων που ευνοούν την εν λόγω εγκληματικότητα και ωθούν τους δράστες στη διάπραξη αυτών των εγκλημάτων συγκαταλέγεται η δυνατότητα απόστασης μεταξύ δράστη και θύματος. Η φυσική παρουσία του δράστη στον τόπο του εγκλήματος δεν είναι πλέον αναγκαία. Τα παραδοσιακά εδαφικά όρια δεν αποτελούν πλέον εμπόδιο. Κατ’ αυτόν τον τρόπο, αίρεται ο ηθικός και ο συναισθηματικός φραγμός που συγκρατεί το άτομο από τη διενέργεια εγκληματικών πράξεων.

Ένα από τα βασικά χαρακτηριστικά του κυβερνοεγκλήματος είναι πως αυτό δε γνωρίζει σύνορα, μπορεί δηλαδή να λάβει διεθνείς και διασυνοριακές διαστάσεις. Επιπλέον η ανωνυμία του δράστη αλλά και οι δυνατότητες που δίνει το διαδίκτυο για το δυσχερέστερο εντοπισμό του (πχ. η ανώνυμη περιήγηση, η περιήγηση με τη χρήση VPN κ.α.) αποτελούν παράγοντες που παίζουν καταλυτικό ρόλο στην αύξηση της εγκληματικότητας στο διαδίκτυο.

Το ποινικό δίκαιο δεν παρέμεινε αδρανές στην απειλητική εμφάνιση και ραγδαία αύξηση του διαδικτυακού εγκλήματος. Αλλά και η εγκληματολογική επιστήμη έχει κάνει σημαντικά βήματα και έχει σημειώσει πρόοδο στην εξιχνίαση των εγκλημάτων και την αποκάλυψη των δραστών.

Μπορείτε να επιλέξετε μία από τις παρακάτω ενότητες προκειμένου να διαβάσετε το σχετικό κείμενο.

Ι. Η Σύμβαση της Βουδαπέστης για το έγκλημα στον Κυβερνοχώρο

Σε διεθνές επίπεδο, ένα σημαντικό βήμα προς τη κατεύθυνση της ποινικοποίησης των συμπεριφορών αυτών αποτέλεσε η Σύμβαση της Βουδαπέστης για το έγκλημα στον Κυβερνοχώρο. Η εν λόγω Σύμβαση υπεγράφη το 2001 στην Βουδαπέστη από τα Κράτη Μέλη του Συμβουλίου της Ευρώπης προκειμένου «να επιδιωχθεί κατά προτεραιότητα μία κοινή αντεγκληματική πολιτική που θα στοχεύει στην προστασία της κοινωνίας από το έγκλημα στον κυβερνοχώρο, κυρίως με την υιοθέτηση της κατάλληλης νομοθεσίας και την ενίσχυση της διεθνούς συνεργασίας».

Η εν λόγω Σύμβαση ήταν αναγκαία για να αποτρέψει τις ενέργειες που στρέφονται κατά των συστημάτων υπολογιστών, των δικτύων υπολογιστών και των ηλεκτρονικών δεδομένων καθώς και την μη νόμιμη χρήση αυτών των συστημάτων, με την ποινικοποίηση αυτής και την υιοθέτηση μέτρων για την αποτελεσματική καταπολέμηση αυτών των εγκληματικών πράξεων, διευκολύνοντας τον εντοπισμό, την έρευνα και την δίωξή τους ,τόσο σε τοπικό όσο και σε διεθνές επίπεδο και προβλέποντας ρυθμίσεις για ταχεία και αξιόπιστη διεθνή συνεργασία.

Στο πεδίο του ουσιαστικού ποινικού δικαίου, η εν λόγω Σύμβαση περιλαμβάνει τέσσερις κατηγορίες αδικημάτων για τα οποία τα συμβαλλόμενα κράτη θα πρέπει να θεσπίσουν κατάλληλα μέτρα:

Α) Εγκλήματα κατά της εμπιστευτικότητας, ακεραιότητας και διαθεσιμότητας των δεδομένων και συστημάτων υπολογιστών. Εδώ περιλαμβάνεται:

1) Η παράνομη πρόσβαση (ιδίως το γνωστό ως “hacking”).

2) Η υποκλοπή δια τεχνικών μέσων μη δημοσίων διαβιβάσεων δεδομένων υπολογιστή από και προς ή εντός ενός συστήματος υπολογιστή.

3) Οι Παρεμβολές σε δεδομένα (η άνευ δικαιώματος βλάβη, διαγραφή, φθορά, αλλοίωση ή καταστολή δεδομένων υπολογιστών, όταν αυτή διαπράττεται από πρόθεση).

4) Οι Παρεμβολές σε συστήματα (η άνευ δικαιώματος σοβαρή παρακώλυση της λειτουργίας ενός συστήματος υπολογιστή δια της εισαγωγής, διαβίβασης, βλάβης, διαγραφής, φθοράς, αλλοίωσης ή καταστολής δεδομένων υπολογιστή, όταν αυτή διαπράττεται από πρόθεση).

5) Η Κακή χρήση συσκευών (η εκ προθέσεως και άνευ δικαιώματος παραγωγή, πώληση, προμήθεια προς χρήση, εισαγωγή, διανομή ή άλλως διάθεση συσκευής ή κωδικών Η/Υ, κωδικών πρόσβασης ή συναφών δεδομένων με σκοπό τη διάπραξη των παραπάνω εγκλημάτων).

Β) Εγκλήματα σχετικά με υπολογιστές. Εδώ περιλαμβάνεται η:

1)Πλαστογραφία σχετική με υπολογιστές (δηλαδή η από πρόθεση και άνευ δικαιώματος εισαγωγή, αλλοίωση, διαγραφή ή καταστολή δεδομένων υπολογιστή, που έχει ως αποτέλεσμα την παραγωγή μη αυθεντικών δεδομένων, με σκοπό να θεωρηθούν αυτά αυθεντικά ή να γίνουν ενέργειες με βάση αυτά ωσάν να είναι αυθεντικά για νόμιμους σκοπούς, ασχέτως του εάν αυτά τα δεδομένα είναι ή όχι άμεσα αναγνώσιμα ή αντιληπτά).

2) Η απάτη σχετική με υπολογιστές (η από πρόθεση και άνευ δικαιώματος πρόκληση απώλειας ξένης περιουσίας δια της α) εισαγωγής, αλλοίωσης, διαγραφής ή καταστολής δεδομένων υπολογιστή, β) παρέμβασης στη λειτουργία ενός συστήματος υπολογιστή με δόλια ή αθέμιτη πρόθεση για να προσπορισθεί, άνευ δικαιώματος, οικονομικό όφελος για τον ίδιο ή για άλλο πρόσωπο).

Γ) Εγκλήματα σχετικά με το περιεχόμενο

Εδώ περιλαμβάνονται εγκλήματα σχετικά με την παιδική πορνογραφία, δηλαδή η από πρόθεση παραγωγή με σκοπό τη διανομή, η προσφορά ή διάθεση, η διανομή ή μετάδοση, η προμήθεια για ιδία χρήση ή για άλλο πρόσωπο και η κατοχή παιδικής πορνογραφίας σε ένα σύστημα υπολογιστή.

Ενδιαφέρον είναι να αναφερθεί πως ο όρος παιδική πορνογραφία περιλαμβάνει πορνογραφικό υλικό που απεικονίζει οπτικά:

α. ένα ανήλικο να εμπλέκεται σε σαφώς σεξουαλική συμπεριφορά

β. ένα πρόσωπο που φαίνεται ότι είναι ανήλικο να συμμετέχει σε σαφώς σεξουαλική συμπεριφορά,

γ. ρεαλιστικές εικόνες που απεικονίζουν ένα ανήλικο να εμπλέκεται σε σαφώς σεξουαλική συμπεριφορά (περιλαμβάνονται ζωγραφιές, κινούμενα σχέδια κ.τ.λ.)

Δ) Εγκλήματα σχετικά με παραβιάσεις συγγραφικών και συγγενικών δικαιωμάτων

ΙΙ. Το Πρόσθετο Πρωτόκολλο της Σύμβασης για το έγκλημα στον κυβερνοχώρο

Σημαντικό είναι στο σημείο αυτό να επισημανθεί πως την εν λόγω Σύμβαση ακολούθησε το Πρόσθετο Πρωτόκολλο (της 28ης /1/2003) της Σύμβασης για το έγκλημα στον κυβερνοχώρο. Το εν λόγω νομοθετικό κείμενο υποχρεώνει τα κράτη μέλη να ποινικοποιήσουν στο εσωτερικό ποινικό τους δίκαιο πράξεις όπως τη διάδοση ρατσιστικού και ξενοφοβικού υλικού μέσω συστημάτων υπολογιστών, την απειλή και την προσβολή με ρατσιστικά και ξενοφοβικά κίνητρα, καθώς και την άρνηση, την υποβάθμιση της σημασίας, την έγκριση ή δικαιολόγηση γενοκτονίας ή εγκλημάτων κατά της ανθρωπότητας.

ΙΙΙ. Οδηγίες της Ευρωπαϊκής Ένωσης

Επιπλέον, η ΕΕ έχει θεσπίσει πλήθος οδηγιών για την αντιμετώπιση του διαδικτυακού εγκλήματος. Η οδηγία 2011/92/ΕΕ σχετικά με την καταπολέμηση της σεξουαλικής κακοποίησης και της σεξουαλικής εκμετάλλευσης παιδιών και της παιδικής πορνογραφίας καθώς και η Οδηγία 2013/40/ΕΕ για τις επιθέσεις κατά των συστημάτων πληροφορικής με την οποία καταργήθηκε η απόφαση-πλαίσιο 2005/222/ΔΕΥ του Συμβουλίου της 24.12.2005 αποτελούν χαρακτηριστικά παραδείγματα.

IV. H πρόταση οδηγίας για την καταπολέμηση της βίας κατά των γυναικών και της εξ οικείων βίας- Η έμφυλη διαδικτυακή βία («κυβερνοβία»).

Το Ευρωπαϊκό Κοινοβούλιο (ΕΚ) ζήτησε την 14^η/12/2021, μια ευρωπαϊκή οδηγία για την εξάλειψη της έμφυλης βίας στον κυβερνοχώρο. Η Ολομέλεια του ΕΚ υπερψήφισε την έκθεση νομοθετικής πρωτοβουλίας για την αντιμετώπιση της έμφυλης βίας στο διαδίκτυο με 513 ψήφους υπέρ, 122 κατά και 58 αποχές.

Στις 8 Μαρτίου 2022, η Επιτροπή υιοθέτησε πρόταση οδηγίας για την καταπολέμηση της βίας κατά των γυναικών και της εξ οικείων βίας (ενδοοικογενειακής βίας). Η οδηγία έχει ως στόχο να καταπολεμήσει και να ποινικοποιήσει την έμφυλη βία, στην οποία περιλαμβάνεται και η διαδικτυακή βία, η «κυβερνοβία». Ενδιαφέρον είναι να σημειωθεί πως το 2020 εκτιμήθηκε ότι 1 στις 2 νέες γυναίκες είχε υποστεί έμφυλη κυβερνοβία[1].

Οι ειδικότερες διατάξεις που αφορούν την κυβερνοβία είναι:

Μη συναινετική κοινοχρησία υλικού προσωπικής φύσης ή παραποιημένου υλικού (άρθρο 7). Το αδίκημα αυτό αφορά την χωρίς συναίνεση παραγωγή, επεξεργασία και θέση σε κατάσταση διαθεσιμότητας για πλήθος τελικών χρηστών μέσω τεχνολογιών πληροφοριών και επικοινωνιών εικόνων, βίντεο ή υλικού που απεικονίζουν σεξουαλικές δραστηριότητες ενός προσώπου.
Παρενοχλητική κυβερνοπαρακολούθηση (άρθρο 8), η οποία περιλαμβάνει:

α) την επανειλημμένη συμμετοχή σε απειλητική ή εκφοβιστική συμπεριφορά που απευθύνεται σε άλλο πρόσωπο, μέσω τεχνολογιών πληροφοριών και επικοινωνιών,

β) τη θέση άλλου προσώπου υπό συνεχή παρακολούθηση, χωρίς τη συναίνεση του εν λόγω προσώπου ή νόμιμη άδεια, μέσω τεχνολογιών πληροφοριών και επικοινωνιών,

γ) τη θέση υλικού που περιέχει τα δεδομένα προσωπικού χαρακτήρα άλλου προσώπου, χωρίς τη συναίνεση του εν λόγω προσώπου, σε κατάσταση προσβασιμότητας για πλήθος τελικών χρηστών, μέσω τεχνολογιών πληροφοριών και επικοινωνιών, με σκοπό την υποκίνηση των εν λόγω τελικών χρηστών να προκαλέσουν σωματική ή σημαντική ψυχολογική βλάβη στο εν λόγω πρόσωπο.

Κυβερνοπαρενόχληση (άρθρο 9), που συνίσταται στην έναρξη επίθεσης με τρίτους κατά άλλου προσώπου, καθιστώντας απειλητικό ή προσβλητικό υλικό προσβάσιμο για πλήθος τελικών χρηστών, μέσω τεχνολογιών πληροφοριών και επικοινωνιών, με αποτέλεσμα την πρόκληση σημαντικής ψυχολογικής βλάβης στο πρόσωπο που δέχεται την επίθεση.
Κυβερνοϋποκίνηση βίας ή μίσους (άρθρο 10), που συνίσταται στην υποκίνηση βίας ή μίσους κατά ομάδας προσώπων ή μέλους τέτοιας ομάδας προσδιοριζόμενης βάσει του βιολογικού ή του κοινωνικού φύλου, με τη διάδοση στο κοινό υλικού που περιέχει τέτοια υποκίνηση μέσω τεχνολογιών πληροφοριών και επικοινωνιών.

Επιπλέον προβλέπεται πως τα κράτη μέλη οφείλουν να διασφαλίζουν ότι τα θύματα μπορούν να αναφέρουν στις αρμόδιες αρχές τα ποινικά αδικήματα της βίας κατά των γυναικών ή της εξ οικείων βίας με εύκολο και προσβάσιμο τρόπο. Αυτό περιλαμβάνει τη δυνατότητα αναφοράς ποινικών αδικημάτων στο διαδίκτυο ή μέσω άλλων τεχνολογιών πληροφοριών και επικοινωνιών, συμπεριλαμβανομένης της δυνατότητας υποβολής αποδεικτικών στοιχείων, ιδίως όσον αφορά την καταγγελία ποινικών αδικημάτων κυβερνοβίας. Επιπλέον, περιλαμβάνει και την υποχρέωση για τη θέσπιση μέτρων για την απομάκρυνση του διαδικτυακού υλικού.

[1] Υπηρεσία Έρευνας του Ευρωπαϊκού Κοινοβουλίου (EPRS), Combating gender-based violence: Cyberviolence, European added value assessment, 2021 (Καταπολέμηση της έμφυλης βίας: κυβερνοβία, αξιολόγηση της ευρωπαϊκής προστιθέμενης αξίας, 2021).

V. Tο ελληνικό ποινικό δίκαιο του διαδικτύου.

Η Σύμβαση της Βουδαπέστης για το έγκλημα στον κυβερνοχώρο κυρώθηκε με τον ν. 4411/2016 με τον οποίο μεταφέρθηκαν στο ελληνικό δίκαιο και οι διατάξεις της οδηγίας 2013/40/ΕΕ για τις επιθέσεις κατά συστημάτων πληροφοριών. Η ενσωμάτωση της σύμβασης στο ελληνικό δίκαιο έγινε με καθυστέρηση καθώς παρότι η χώρα μας υπέγραψε την 21/11/2001, την κύρωσε μετά την πάροδο 15 ετών!

Εν συντομία, οι διατάξεις του Ποινικού μας Κώδικα που θα μπορούσαμε να πούμε ότι αποτελούν το ελληνικό ποινικό δίκαιο του διαδικτύου είναι οι: 292Α, 292Β, 292Γ, 292Δ, 292Ε, 370 παρ.2, 370^Α, 370Β, 370Γ, 370Δ, 370Ε, 348^Απαρ. 2, 386^Α.

VI. Που μπορώ να απευθυνθώ;

Αν έχετε πέσει θύμα ή υποψιάζεστε την τέλεση ενός από τα παραπάνω εγκλήματα θα πρέπει να απευθυνθείτε άμεσα στις αρμόδιες αρχές.

- Η αρμόδια υπηρεσία είναι η Διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος.

Για οποιοδήποτε θέμα αφορά παραβατική συμπεριφορά μέσω Διαδικτύου, επικοινωνήστε με τη Διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος με τους ακόλουθους τρόπους:

- Τηλέφωνο : 11188
- Email: ccu@cybercrimeunit.gov.gr
- μέσω του portal σε αυτή τη διεύθυνση
- Ταχυδρομική διεύθυνση: Λ. Αλεξάνδρας 173, Τ.Κ. 11522, Αθήνα

Ο ενδιαφερόμενος μπορεί πλέον να υποβάλει προς τη Δίωξη Ηλεκτρονικού Εγκλήματος μέσω της ψηφιακής πύλης της Δημόσιας Διοίκησης gov.gr, στην ενότητα «Πολίτης και καθημερινότητα» και την υποενότητα «Καταγγελίες», την καταγγελία του για:

- Αδικήματα τελούμενα σε βάρος ανηλίκων μέσω διαδικτύου
- Οικονομικά κυβερνοεγκλήματα όπου εμπλέκονται ηλεκτρονικά/ψηφιακά νομίσματα
- Παραβίαση του απορρήτου των ηλεκτρονικών και τηλεφωνικών επικοινωνιών
- Παράνομη διακίνηση οπτικοακουστικών έργων μέσω διαδικτύου
- Παράνομη πρόσβαση σε ηλεκτρονικό υπολογιστή
- Περιπτώσεις απάτης με υπολογιστή

Μετά την ολοκλήρωση της επεξεργασίας, ο πολίτης ενημερώνεται από την Διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος της Ελληνικής Αστυνομίας για τυχόν επόμενα βήματα.

- Για την υποβολή μιας καταγγελίας σχετικά με περιεχόμενο που συναντάς στο διαδίκτυο και το οποίο θεωρείς παράνομο, μπορείς να επικοινωνήσεις με τη SafeLine με έναν από τους παρακάτω τρόπους:

Συμπληρώνοντας την ηλεκτρονική φόρμα υποβολής καταγγελίας της ιστοσελίδας ή στέλνοντας e-mail στην ηλεκτρονική διεύθυνση report@safeline.gr

*Η Κατερίνα Μεζίνη είναι απόφοιτη του τμήματος Νομικής του ΕΚΠΑ και μεταπτυχιακή φοιτήτρια στο ΠΜΣ «Δίκαιο και Τεχνολογίες Πληροφορικής και Επικοινωνιών» του Πανεπιστημίου Πειραιώς.

ΠΗΓΕΣ:

- Σύμβαση της Βουδαπέστης για το έγκλημα στον Κυβερνοχώρο.
- Επίσημη ιστοσελίδα της Ελληνικής Αστυνομίας.
- Ζέκος Γεώργιος, Διαδίκτυο και Τεχνητή Νοημοσύνη στο ελληνικό δίκαιο, εκδόσεις Σάκκουλα, 2022, σελ. 349 επ.
- Ιγγλεζάκης Ιωάννης, Δίκαιο πληροφορικής, εκδόσεις Σάκκουλα, 2021, σελ. 399 επ.
- Council of Europe action against Cybercrime, διαθέσιμο εδώ.
- Ευρωπαϊκό Κοινοβούλιο, «Έμφυλη βία στο διαδίκτυο: το ΕΚ ζητά ευρωπαϊκή νομοθεσία για την αντιμετώπισή της», 14/12/2021, διαθέσιμο εδώ.
- Πρόταση Οδηγίας του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου για την καταπολέμηση της βίας κατά των γυναικών και της εξ οικείων βίας, διαθέσιμη εδώ.

by master_admin

4 καλές συνήθειες για να είστε εσείς και οι αγαπημένοι σας πιο ασφαλείς

Γράφει ο Αναστάσιος Αραμπατζής*

Ο Οκτώβριος είναι ο μήνας ευαισθητοποίησης για την κυβερνοασφάλεια. Η πρωτοβουλία αυτή έχει ως στόχο να βοηθήσει τους πολίτες (αλλά και τις επιχειρήσεις) να προστατεύσουν τους εαυτούς τους από τους διάφορους κινδύνους που ελλοχεύουν στο διαδίκτυο.

Στο πλαίσιο των δράσεων για την αύξηση της ευαισθητοποίησης στον τομέα της κυβερνοασφάλειας σε εθνικό και παγκόσμιο επίπεδο, οι κυβερνήσεις και οι επιχειρήσεις συνεργάζονται υπό την καθοδήγηση του ENISA στην Ευρωπαϊκή Ένωση και της Εθνικής Συμμαχίας για την Κυβερνοασφάλεια (National Cybersecurity Alliance, NCA), καθώς και του Οργανισμού για την Ασφάλεια στον Κυβερνοχώρο και την Ασφάλεια των Υποδομών (CISA) στις Ηνωμένες Πολιτείες.

Τα συνθήματα για τις φετινές εκστρατείες είναι “Think Before U Click” και “See Yourself in Cyber“. Αυτά καταδεικνύουν ότι παρόλο που η ασφάλεια στον κυβερνοχώρο μπορεί να είναι ένα περίπλοκο, τεχνικό θέμα, τελικά έχει να κάνει με τους ανθρώπους.

Ο καθένας μας έχει ένα ρόλο να παίξει στην κυβερνοασφάλεια, ανεξάρτητα από τη θέση που κατέχουμε.

1. Οι πολίτες μπορούν να λάβουν απλές προφυλάξεις για να διασφαλίσουν την ψηφιακή τους ιδιωτικότητα και τις πληροφορίες τους.
2. Οι πωλητές και οι προμηθευτές μπορούν να διασφαλίσουν τη φήμη της εταιρείας τους θέτοντας σε εφαρμογή ισχυρά μέτρα κυβερνοασφάλειας, ώστε να βοηθήσουν στην αποτροπή ενός περιστατικού είτε στην εταιρεία τους είτε στην εφοδιαστική αλυσίδα.
3. Οι ιδιοκτήτες και οι φορείς εκμετάλλευσης υποδομών ζωτικής σημασίας μπορούν να μάθουν πώς η εταιρεία τους συμβάλλει στη συνολική κυβερνοασφάλεια του οικοσυστήματος αλλά και του κράτους.

Ο μήνας ευαισθητοποίησης για την κυβερνοασφάλεια χρησιμεύει ως υπενθύμιση σε όλους ότι υπάρχουν πολυάριθμοι τρόποι για να διασφαλίσετε τα δεδομένα σας. Ακόμη και η εκμάθηση των βασικών αρχών της κυβερνοασφάλειας μπορεί να έχει σημαντικό αντίκτυπο.

Ενεργοποίηση ελέγχου ταυτότητας πολλαπλών παραγόντων

Όλοι συμφωνούν ότι η ενεργοποίηση του ελέγχου ταυτότητας πολλαπλών παραγόντων (multi-factor authentication, MFA) είναι η καλύτερη προφύλαξη για τον μετριασμό των επιθέσεων με χρήση κωδικών πρόσβασης.

Μια οδηγία του CISA υπογραμμίζει ότι “ο MFA είναι μια από τις σημαντικότερες πρακτικές κυβερνοασφάλειας για τη μείωση του κινδύνου εισβολής. Σύμφωνα με σχετική έρευνα, οι χρήστες που ενεργοποιούν τον MFA έχουν έως και 99% λιγότερες πιθανότητες να παραβιαστεί ένας λογαριασμός”.

Επομένως, είναι σημαντικό να ενεργοποιείται ο MFA όπου αυτό είναι δυνατό, υπογραμμίζει μία άλλη αναφορά του ENISA. Αυτό αφορά τόσο λογαριασμούς σε μέσα κοινωνικής δικτύωσης όσο και πιο ευαίσθητες εφαρμογές, όπως εφαρμογές τραπεζών.

Ένα λάθος που κάνουν ορισμένες επιχειρήσεις είναι ότι προστατεύουν με έλεγχο ταυτότητας πολλαπλών παραγόντων μόνο τους προνομιούχους λογαριασμούς τους, όπως οι διαχειριστές IT, και τους απομακρυσμένους χρήστες τους. Ωστόσο, κάθε εργαζόμενος και κάθε άτομο αποτελούν δυνητικό στόχο για τους επίδοξους hackers.

Ως εκ τούτου, ο MFA θα πρέπει να είναι ενεργοποιημένος για κάθε εργαζόμενο, ώστε να μειωθεί η πιθανότητα να παραβιάσουν οι επιτιθέμενοι έναν λογαριασμό.

Χρησιμοποιήστε έναν διαχειριστή κωδικών πρόσβασης για ισχυρούς, μοναδικούς κωδικούς πρόσβασης

Τα κλειδιά του ψηφιακού σας κάστρου είναι οι κωδικοί πρόσβασής σας. Θέλετε να λάβετε κάθε δυνατή προφύλαξη για να διατηρήσετε τους κωδικούς πρόσβασής σας ασφαλείς, όπως ακριβώς θα κάνατε και με τα κλειδιά του σπιτιού σας.

Όλοι οι κωδικοί πρόσβασης θα πρέπει να δημιουργούνται σύμφωνα με τρεις κατευθυντήριες αρχές, ανεξάρτητα από τους λογαριασμούς που προστατεύουν: μακρύς, μοναδικός, σύνθετος.

Εάν ο κωδικός πρόσβασής σας είναι μακρύς, ξεχωριστός και σύνθετος, η συμβουλή είναι να μην τον αλλάξετε ποτέ, εκτός εάν παρατηρήσετε ότι κάποιος άλλος χρησιμοποιεί τον συγκεκριμένο λογαριασμό χωρίς την άδειά σας ή ότι ο κωδικός πρόσβασης εκλάπη κατά τη διάρκεια παραβίασης δεδομένων. Οι πιο πρόσφατες οδηγίες του Εθνικού Ινστιτούτου Επιστημών και Τεχνολογίας (NIST) των ΗΠΑ υποστηρίζουν αυτή τη σύσταση.

Στην πραγματικότητα, αν αλλάζετε συχνά τους κωδικούς πρόσβασής σας, κινδυνεύετε να επαναλάβετε τους παλιούς ή να αναπτύξετε «ανθυγιεινές» συνήθειες, όπως η χρήση πανομοιότυπων ή αδύναμων κωδικών πρόσβασης.

Καθώς η ζωή μας έχει γίνει όλο και περισσότερο ψηφιακή και κάνουμε περισσότερα πράγματα στο διαδίκτυο, μπορεί πλέον να (δια)χειριζόμαστε πάνω από 100 κωδικούς πρόσβασης. Η δημιουργία, η αποθήκευση και η απομνημόνευση όλων αυτών των κωδικών πρόσβασης μπορεί να είναι μια μεγάλη ταλαιπωρία.

Ωστόσο, οι κωδικοί πρόσβασης αποτελούν την πρώτη γραμμή άμυνάς σας έναντι των κακόβουλων δρώντων και των παραβιάσεων δεδομένων. Οι φιλικοί προς το χρήστη διαχειριστές κωδικών πρόσβασης (password managers) μπορούν να κάνουν τη διαχείριση των κωδικών σας πιο απλή από ποτέ.

Ένας διαχειριστής κωδικών πρόσβασης παρέχει τον ευκολότερο τρόπο για τη δημιουργία και τη διατήρηση ισχυρών κωδικών πρόσβασης για τον αυξανόμενο αριθμό διαδικτυακών λογαριασμών στους οποίους συνδεόμαστε.

Με τη χρήση ενός διαχειριστή κωδικών πρόσβασης, μπορείτε να αποφύγετε τη χρήση ενός ακατάστατου αυτοκόλλητου σημειώματος στην οθόνη του υπολογιστή σας με τους πιο σημαντικούς κωδικούς πρόσβασης ή ενός περίπλοκου σημειωματάριου χωμένου σε ένα συρτάρι. Το μόνο που χρειάζεται να θυμάστε για να αποκτήσετε πρόσβαση στο θησαυροφυλάκιο του διαχειριστή κωδικών πρόσβασης είναι ένας ισχυρός κωδικός πρόσβασης.

Να ενημερώνετε πάντα το λογισμικό σας

Η ενημέρωση του λογισμικού και των εφαρμογών σας είναι ένας από τους απλούστερους τρόπους για να διατηρείτε τις πληροφορίες σας ασφαλείς. Οι ενημερώσεις λογισμικού είναι μια απλή μέθοδος για να είστε ένα βήμα μπροστά από τους κακούς, επειδή μπορείτε να είστε σίγουροι ότι πάντα αναζητούν νέους τρόπους πρόσβασης στα δεδομένα σας μέσω ευάλωτου λογισμικού.

Ορισμένοι σημαντικοί λόγοι προκειμένου να ενημερώσετε άμεσα το λογισμικό σας είναι οι ακόλουθοι:

1. Κλείνετε τα κενά ασφαλείας. Οι εγκληματίες του κυβερνοχώρου μπορούν να αποκτήσουν πρόσβαση στον υπολογιστή σας εξαιτίας ελαττωμάτων του λογισμικού. Οι κυβερνοεγκληματίες θεωρούν αυτά τα ελαττώματα ως ξεκλείδωτες πόρτες που τους παρέχουν πρόσβαση για να μολύνουν τα συστήματα με κακόβουλο λογισμικό. Οι ενημερώσεις ασφαλείας λογισμικού κλείνουν αυτές τις ανοιχτές πύλες.
2. Διασφαλίζετε τα δεδομένα σας. Ένας επιτιθέμενος που αποκτά πρόσβαση μέσω ενός κενού ασφαλείας λογισμικού θα αναζητήσει εμπιστευτικά έγγραφα, κωδικούς πρόσβασης και άλλα προσωπικά δεδομένα, όπως οικονομικές πληροφορίες. Τα δεδομένα σας προστατεύονται καλύτερα όταν το λογισμικό ενημερώνεται για την αντιμετώπιση των κενών ασφαλείας.

Όταν κατεβάζετε και εγκαθιστάτε ενημερώσεις, οι ακόλουθες συμβουλές μπορεί να φανούν χρήσιμες:

1. Κατεβάζετε ενημερώσεις λογισμικού αποκλειστικά από την πηγή που τις παρήγαγε. Ποτέ μην χρησιμοποιείτε λογισμικό που έχει σπάσει, είναι πειρατικό ή έχει χρησιμοποιηθεί χωρίς άδεια χρήσης (ακόμη και αν σας το έδωσε φίλος/φίλη σας). Αυτά συχνά έχουν ιούς και δημιουργούν περισσότερα προβλήματα από όσα διορθώνουν.
2. Αυτοματοποιήστε τη διαδικασία. Η δυνατότητα αυτόματης ενημέρωσης του προγράμματός σας προσφέρεται συνήθως ως προεπιλογή από λογισμικό αξιόπιστων προμηθευτών. Μην αλλάξετε αυτή τη ρύθμιση.

Αναγνωρίστε phishing μηνύματα

Το ηλεκτρονικό “ψάρεμα” (phishing) είναι μια δημοφιλής τακτική των κυβερνοεγκληματιών, αλλά δεν χρειάζεται να την πατήσετε. Στην πλειονότητα των επιθέσεων στον κυβερνοχώρο, οι εγκληματίες χρησιμοποιούν την κοινωνική μηχανική και το κάνουν επειδή είναι αποτελεσματική.

Ο καθένας μπορεί να πέσει θύμα του σωστού «δολώματος» τη λάθος στιγμή. Εκτός από πολλές άλλες επιχειρήσεις, όπως το Twitter, η Sony και η Google, η κοινωνική μηχανική έχει επίσης χρησιμοποιηθεί για να θέσει σε κίνδυνο ανθρώπους και οικογένειες.

Οι εγκληματίες του κυβερνοχώρου είναι όλο και πιο πειστικοί σε πολλές από τις απόπειρες phishing. Σύμφωνα με την Jessica Barker, ένας από τους λόγους που η κοινωνική μηχανική είναι τόσο αποτελεσματική είναι ότι θα χειραγωγήσει τα συναισθήματά μας για να διαστρεβλώσει την κρίση μας. Τα πάντα εξαρτώνται από το πώς προσλαμβάνουμε τις πληροφορίες.

Σύμφωνα με τη θεωρία της συμπεριφοράς, υπάρχουν δύο τρόποι με τους οποίους ο καθένας μας επεξεργάζεται τις πληροφορίες: γρήγορα και αργά. Όταν σκεφτόμαστε αργά, είμαστε συγκροτημένοι, σκεπτόμενοι και λογικοί. Οι εγκληματίες του κυβερνοχώρου θέλουν να σκεφτόμαστε διαφορετικά.

Θέλουν να μας αναγκάσουν να σκεφτόμαστε γρήγορα, ώστε να είμαστε ευάλωτοι, συναισθηματικοί και εύκολα ελεγχόμενοι. Ως εκ τούτου, οι εγκληματίες του κυβερνοχώρου χειρίζονται τα συναισθήματά μας για να μας πείσουν να κάνουμε κλικ σε αμφισβητήσιμους συνδέσμους, να κατεβάσουμε επικίνδυνα συνημμένα αρχεία και να αποκαλύψουμε τα διαπιστευτήριά μας.

Αφιερώστε μερικά δευτερόλεπτα για να βεβαιωθείτε ότι το μήνυμα ηλεκτρονικού ταχυδρομείου ή το μήνυμα SMS προέρχεται από τον παραλήπτη που φαίνεται να το έστειλε, προτού κάνετε κλικ σε συνδέσμους ή κατεβάσετε τα συνημμένα αρχεία. Ακολουθούν ορισμένες σύντομες οδηγίες για την αναγνώριση ενός μηνύματος phishing:

- Περιέχει μια προσφορά που φαίνεται πολύ καλή για να είναι αληθινή;
- Χρησιμοποιεί απειλητική, τρομακτική ή επείγουσα γλώσσα;
- Ζητάει την αποστολή προσωπικών πληροφοριών;
- Υπάρχει η αίσθηση του επείγοντος να ανοίξετε έναν άγνωστο σύνδεσμο ή συνημμένο αρχείο;
- Πρόκειται για ένα περίεργο επαγγελματικό αίτημα;
- Ταιριάζει η διεύθυνση ηλεκτρονικού ταχυδρομείου του αποστολέα με την επιχείρηση από την οποία προέρχεται; Δώστε προσοχή σε μικρά ορθογραφικά λάθη όπως Anazon.com ή Pavpal.com.

Η αναγνώριση ενός μηνύματος που αποτελεί μέρος της εκστρατείας ηλεκτρονικού “ψαρέματος” είναι το δύσκολο κομμάτι. Το μόνο που απομένει να κάνετε είναι να το αναφέρετε. Αναφέρετε το μήνυμα ηλεκτρονικού ταχυδρομείου το συντομότερο δυνατό στον υπεύθυνο πληροφορικής ή στον υπεύθυνο ασφαλείας, αν βρίσκεστε στον χώρο εργασίας σας και έχει σταλεί στη διεύθυνση ηλεκτρονικού ταχυδρομείου της εργασίας σας.

Εάν το μήνυμα ηλεκτρονικού ταχυδρομείου εστάλη στην προσωπική σας διεύθυνση ηλεκτρονικού ταχυδρομείου, μην ακολουθήσετε τις οδηγίες. Μην απαντήσετε στο μήνυμα ηλεκτρονικού ταχυδρομείου και μην κάνετε κλικ σε κανένα σύνδεσμο.

Πατήστε απλώς το κουμπί διαγραφής. Μπορείτε να ενισχύσετε την ασφάλειά σας μπλοκάροντας τη διεύθυνση αποστολής από το πρόγραμμα ηλεκτρονικού ταχυδρομείου σας.

Όλοι έχουν δικαίωμα σε ένα ασφαλές διαδίκτυο, οπότε ας θυμόμαστε: #BeCyberSmart.

*Ο Αναστάσιος Αραμπατζής είναι μέλος της Homo Digitalis, απόστρατος Αξιωματικός της Πολεμικής Αεροπορίας με πάνω από 25 χρόνια εμπειρία σε θέματα ασφάλειας πληροφοριών. Κατά τη θητεία του στην Π.Α. ήταν πιστοποιημένος αξιολογητής του ΝΑΤΟ σε θέματα κυβερνοασφάλειας και έχει τιμηθεί για τις γνώσεις του και την απόδοσή του. Άρθρα του έχουν δημοσιευθεί σε πληθώρα έγκριτων ιστοσελίδων.

by master_admin

Ψηφιακή Προσβασιμότητα: Η πρόσβαση των ανάπηρων ατόμων και των ατόμων με μαθησιακές δυσκολίες στο διαδίκτυο

Γράφει η Κατερίνα Μεζίνη*

Οι περισσότεροι από εμάς χρησιμοποιούμε καθημερινά προϊόντα και υπηρεσίες του διαδικτύου χωρίς καν να το αντιλαμβανόμαστε. Επικοινωνούμε με άλλα άτομα, κάνουμε τραπεζικές συναλλαγές, πραγματοποιούμε διαδικτυακές αγορές, ενημερωνόμαστε και ψυχαγωγούμαστε μέσω του διαδικτύου.

Φαίνεται φυσικό για μερικούς από εμάς, αλλά για άλλους είναι μια καθημερινή πρόκληση.

Σύμφωνα με στοιχεία που παρέχει ο Παγκόσμιος Οργανισμός Υγείας Πάνω από 1 δισεκατομμύριο άνθρωποι εκτιμάται ότι βιώνουν αναπηρία. Αυτό αντιστοιχεί περίπου στο 15% του παγκόσμιου πληθυσμού.

Από την άλλη πλευρά, η δυσλεξία είναι η πιο συχνή μαθησιακή δυσκολία και, σύμφωνα με τη Διεθνή Οργάνωση για τη Δυσλεξία, επηρεάζει περίπου το 10% του παγκόσμιου πληθυσμού.

Πόσο εύκολο είναι για αυτά τα άτομα να έχουν πρόσβαση στο διαδίκτυο και στις υπηρεσίες που προσφέρει;

Σύμφωνα με το κοινωνικό μοντέλο της αναπηρίας, η αναπηρία είναι η κατάσταση την οποία βιώνει ένα άτομο λόγω φυσικών και κοινωνικών φραγμών που θέτει η ίδια η κοινωνία.

Ως «προσβασιμότητα», γενικά, ορίζεται «το χαρακτηριστικό του φυσικού, δομημένου και ψηφιακού περιβάλλοντος, που επιτρέπει σε όλα τα άτομα – χωρίς διακρίσεις φύλου, ηλικίας και λοιπών χαρακτηριστικών, όπως σωματική διάπλαση, δύναμη, αντίληψη, εθνικότητα − να έχουν πρόσβαση σε αυτό, δηλαδή να μπορούν αυτόνομα, με ασφάλεια και με άνεση να προσεγγίσουν και να χρησιμοποιήσουν τις υποδομές, αλλά και τις υπηρεσίες και τα αγαθά που διατίθενται στο συγκεκριμένο περιβάλλον.»

Ο όρος προσβασιμότητα στο διαδίκτυο (Web Accessibility), σημαίνει ότι οι ιστότοποι και οι τεχνολογίες σχεδιάζονται και αναπτύσσονται έτσι ώστε τα άτομα με αναπηρίες να μπορούν να τα χρησιμοποιούν και να έχουν ισότιμη πρόσβαση με τους υπόλοιπους χρήστες.

Η προσβασιμότητα στον ιστότοπο είναι η ανάγκη οι ιστότοποι να χρησιμοποιούν εργαλεία και τεχνολογίες που έχουν αναπτυχθεί για να βοηθούν την αντίληψη, την κατανόηση, την πλοήγηση και την αλληλεπίδραση ενός ατόμου με αναπηρία στον ιστότοπο. Η προσβασιμότητα θα πρέπει να ενσωματώνεται εξ αρχής στη διαδικασία ανάπτυξης και σχεδιασμού του διαδικτύου αντί να προσπαθούν τα ίδια τα άτομα να την προσαρμόσουν εκ των υστέρων.

Η Κοινοπραξία Παγκόσμιου Ιστού (W3C) έχει εκδώσει Οδηγίες για την Προσβασιμότητα του Περιεχομένου του Ιστού (WCAG) με σκοπό τη δημιουργία μιας σειράς διεθνώς κοινών κατευθυντήριων γραμμών που διέπουν τα πρότυπα προσβασιμότητας του περιεχομένου του Ιστού.

Το φάσμα των βλαβών που επιδιώκει να αντιμετωπίσει η προσβασιμότητα στο διαδίκτυο είναι πολύ ευρύ. Συνοπτικά:

1. ΔΙΑΤΑΡΑΧΕΣ ΤΗΣ ΟΡΑΣΗΣ

Τόσο η τύφλωση όσο και άλλες διαταραχές της όρασης όπως η μειωμένη όραση, η αχρωματοψία, ο καταρράκτης, το γλαύκωμα καθιστούν δύσκολη την πλοήγηση στο διαδίκτυο. Προκειμένου να αντιμετωπιστούν αυτές οι δυσκολίες και να καταστεί ο ιστότοπος προσβάσιμος μπορούν να χρησιμοποιηθούν προγράμματα ανάγνωσης οθόνης, ηχητικές περιγραφές αλλά και εργαλεία μεγέθυνσης οθόνης.

Ωστόσο με τη χρήση τέτοιων εργαλείων, πολλοί ιστότοποι ενδέχεται είτε να δυσλειτουργούν (π.χ όταν το κείμενο αλλάζει μέγεθος, μπορεί να χαλάσει η διάταξη του ιστότοπου) είτε να μην λειτουργούν καθόλου. Σύμφωνα με τις οδηγίες WCAG 2.1 AA, οι ιστότοποι θα πρέπει να μπορούν να αλλάζουν μέγεθος έως και 200% παραμένοντας πλήρως λειτουργικοί.

Επιπλέον, πολλές οπτικές παθήσεις δυσχεραίνουν την αντίληψη της αντίθεσης. Οι σχεδιαστές ιστοσελίδων θα πρέπει να λαμβάνουν υπόψιν τους αυτή την παράμετρο κατά τον χρωματικό σχεδιασμό μιας ιστοσελίδας και ως εκ τούτου να μην χρησιμοποιούν μικρές διαβαθμίσεις στο χρώμα.

2. ΔΙΑΤΑΡΑΧΕΣ ΤΗΣ ΑΚΟΗΣ

Το περιεχόμενο ήχου και βίντεο αποτελεί πρόκληση για τα άτομα με προβλήματα ακοής. Όπως όλες οι αναπηρίες, έτσι και τα προβλήματα ακοής ποικίλλουν. Ορισμένοι άνθρωποι είναι κωφοί, ενώ άλλοι μπορεί να έχουν μικρή απώλεια ακοής.

Τα συνήθη εργαλεία και τεχνικές που χρησιμοποιούνται για την υποστήριξη ατόμων με προβλήματα ακοής στο διαδίκτυο είναι τα εξής:

α) Λεζάντες και υπότιτλοι: Οι λεζάντες πρέπει να είναι σαφείς και ορατές, με καλή αντίθεση σε σχέση με τις μεταβαλλόμενες εικόνες και με καλά αναγνώσιμο μέγεθος γραμματοσειράς. Ένας τρόπος για να διασφαλιστεί ότι οι λεζάντες είναι ευανάγνωστες είναι να τοποθετούνται σε σκουρόχρωμο φόντο για να αποφευχθεί η ανάμειξη του κειμένου με τις εικόνες.

Πολλές πλατφόρμες βίντεο, όπως το YouTube, είναι σε θέση να δημιουργούν αυτόματα λεζάντες. Ωστόσο, αυτές οι αυτόματα δημιουργούμενες λεζάντες δεν είναι πάντα αξιόπιστες, καθώς η τεχνολογία αναγνώρισης ομιλίας ενδέχεται να ανιχνεύσει εσφαλμένα τις λέξεις.

β) Περιγραφές: Οι περιγραφές είναι λεπτομερείς εκδόσεις κειμένου τόσο της ομιλίας όσο και άλλων ηχητικών πληροφοριών (όπως οι ήχοι του περιβάλλοντος, το γέλιο κ.λπ.) και χρησιμοποιούνται τόσο για περιεχόμενο βίντεο όσο και για περιεχόμενο ήχου.

3. ΝΕΥΡΟΛΟΓΙΚΕΣ ΔΙΑΤΑΡΑΧΕΣ

Τα άτομα με νευρολογικές διαταραχές μπορεί να έχουν προβλήματα στην προβολή πληροφοριών, στην πραγματοποίηση ελεγχόμενων κινήσεων, καθώς και σε πολλά άλλα ζητήματα.

Παλαιότερα ήταν σύνηθες να βλέπουμε τρεμοπαίξιμο, αναβοσβήσιμο ή κινούμενο περιεχόμενο σε ιστότοπους ως έναν τρόπο να τραβήξουμε την προσοχή σε ένα συγκεκριμένο στοιχείο. Το περιεχόμενο που τρεμοπαίζει μπορεί να προκαλέσει επιληπτικές κρίσεις σε άτομα με φωτοευαίσθητη επιληψία. Ευτυχώς, αυτή η σχεδιαστική πρακτική έχει σε μεγάλο βαθμό εγκαταλειφθεί.

4. ΜΑΘΗΣΙΑΚΕΣ ΔΙΑΤΑΡΑΧΕΣ:

Πολλά άτομα με δυσλεξία ή άλλες μαθησιακές διαταραχές ενδέχεται να διαβάζουν ευκολότερα ορισμένες γραμματοσειρές, χρώματα ή αντιθέσεις. Για παράδειγμα, θεωρείται παγκοσμίως ότι είναι πιο δύσκολο για τους δυσλεκτικούς να διαβάσουν γραμματοσειρές τύπου Serif. Καλύτερες επιλογές για γραμματοσειρές είναι αυτές της οικογένειας Sans Serif, όπως η Verdana.

Σημαντικό είναι επίσης να παρέχεται η δυνατότητα στους χρήστες να παρακάμπτουν τη διαμόρφωση του ιστοτόπου και να χρησιμοποιούν αντ’ αυτού τις δικές τους προτιμώμενες ρυθμίσεις.

5. ΚΙΝΗΤΙΚΕΣ ΑΝΑΠΗΡΙΕΣ

Τα άτομα με σωματικές αναπηρίες μπορούν επίσης να αντιμετωπίσουν προβλήματα στη χρήση του διαδικτύου. Ενδέχεται για παράδειγμα να μην είναι σε θέση να ελέγχουν το ποντίκι ή το πληκτρολόγιο και έτσι ο χρήστης μπορεί να βασίζεται σε προσαρμοστικές τεχνολογίες ή σε φωνητικές εντολές.

ΝΟΜΟΘΕΣΙΑ

Α. Οδηγία 2016/2102 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου.

Η ΕΕ δημοσίευσε την οδηγία 2016/2102 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 26ης Οκτωβρίου 2016, σχετικά με την προσβασιμότητα των ιστότοπων και των κινητών εφαρμογών των οργανισμών του δημόσιου τομέα[1] για την τυποποίηση και την εναρμόνιση του πλαισίου γύρω από την προσβασιμότητα των οργανισμών του δημόσιου τομέα στον Παγκόσμιο Ιστό και στα κινητά. Η εν λόγω οδηγία έχει ενσωματωθεί στην ελληνική έννομη τάξη με τον ν. 4727/2020

Β. Οδηγία 2019/882 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου.

Ακολούθως, η Ευρωπαϊκή Πράξη για την Προσβασιμότητα[2] (European Accessibility Act) σχετικά με τις απαιτήσεις προσβασιμότητας προϊόντων και υπηρεσιών, αποσκοπεί στην εισαγωγή περισσότερων προσβάσιμων προϊόντων και υπηρεσιών στην αγορά και στη μείωση των τιμών των υπηρεσιών αυτών. Αυτή η πράξη είναι συμπληρωματική της οδηγίας 2016/2102 που αναφέρθηκε παραπάνω.

Είναι σημαντικό ότι η νέα οδηγία δεν εφαρμόζεται μόνο σε οργανισμούς του δημόσιου τομέα, αλλά και σε ιδιωτικές επιχειρήσεις.

Η Ευρωπαϊκή Πράξη Προσβασιμότητας θα καλύπτει προϊόντα και υπηρεσίες όπως υπολογιστές και λειτουργικά συστήματα, έξυπνα τηλέφωνα και άλλες συσκευές επικοινωνίας, εξοπλισμό τηλεόρασης που σχετίζεται με υπηρεσίες ψηφιακής τηλεόρασης, ΑΤΜ και τερματικά πληρωμών, τηλεφωνικές υπηρεσίες, τραπεζικές υπηρεσίες, ηλεκτρονικό εμπόριο, ηλεκτρονικά εισιτήρια, ηλεκτρονικά βιβλία κ.α.

Είναι σημαντικό να σημειωθεί ότι η εν λόγω οδηγία εφαρμόζεται σε προϊόντα και υπηρεσίες που πωλούνται ή χρησιμοποιούνται εντός της ΕΕ, ανεξάρτητα από τον τόπο εγκατάστασης των επιχειρήσεων που παρέχουν τα εν λόγω προϊόντα και υπηρεσίες. (π.χ. ΗΠΑ, Κίνα)

Η Ευρωπαϊκή Πράξη Προσβασιμότητας προσδιορίζει τις απαιτήσεις προσβασιμότητας που θα πρέπει να τηρούν οι οικονομικοί φορείς που διαθέτουν στην αγορά προϊόντα και υπηρεσίες. Δεν επιβάλλει λεπτομερείς τεχνικούς περιορισμούς για να καταστούν τα προϊόντα και οι υπηρεσίες προσβάσιμα. Αυτό επιτρέπει περιθώρια για καινοτομία και ευελιξία.

Το άρθρο 14 παρ. 1 στοιχείο β’ της Οδηγίας ορίζει πως οι απαιτήσεις προσβασιμότητας εφαρμόζονται μόνον στον βαθμό που η συμμόρφωση δεν συνεπάγεται την επιβολή δυσανάλογης επιβάρυνσης για τους ενδιαφερόμενους οικονομικούς φορείς.

Ωστόσο, κατά την ενσωμάτωση και εφαρμογή της εν λόγω διάταξης θα πρέπει να γίνει ένας πολύ προσεκτικός καθορισμός των λόγων βάσει των οποίων θα μπορούν να χορηγηθούν εξαιρέσεις από τη συμμόρφωση με την απαίτηση της προσβασιμότητας, δεδομένου ότι η προσβασιμότητα αποτελεί θεμελιώδες ανθρώπινο δικαίωμα των ατόμων με αναπηρία. Η υποχρέωση εφαρμογής της προσβασιμότητας θα πρέπει να είναι άνευ όρων.

Η τελική προθεσμία για τα κράτη μέλη της ΕΕ να υιοθετήσουν τις απαιτήσεις της Ευρωπαϊκής Πράξης Προσβασιμότητας και να την ενσωματώσουν στη δική τους νομοθεσία ήταν η 28η Ιουνίου 2022. Στην Ελλάδα η εν λόγω οδηγία δεν έχει ενσωματωθεί μέχρι και σήμερα.

Μόλις την 4η Οκτωβρίου 2022 και ώρα 21:30 τέθηκε σε δημόσια ηλεκτρονική διαβούλευση το σχέδιο νόμου με τίτλο «Ενσωμάτωση της Οδηγίας (ΕΕ) 2019/882 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 17ης Απριλίου 2019 σχετικά με τις απαιτήσεις προσβασιμότητας προϊόντων και υπηρεσιών». Η διαδικασία της δημόσιας διαβούλευσης θα ολοκληρωθεί την 18η Οκτωβρίου 2022, ημέρα Τρίτη και ώρα 21:30.

Η προθεσμία συμμόρφωσης για τις επιχειρήσεις και τους οργανισμούς αναμένεται να λήξει στις 28 Ιουνίου 2025. Από τις 28 Ιουνίου 2025, οι πελάτες θα μπορούν να υποβάλλουν καταγγελίες ενώπιον των εθνικών δικαστηρίων ή αρχών εάν οι υπηρεσίες ή τα προϊόντα δεν τηρούν τους νέους κανόνες.

Στόχος της διασφάλισης της προσβασιμότητας είναι η άρση όλων των εμποδίων που αντιμετωπίζουν τα άτομα με αναπηρίες, ώστε να συμμετέχουν πλήρως και ισότιμα σε όλες τις πτυχές της ζωής, να ζουν ανεξάρτητα, με τη μέγιστη δυνατή αυτονομία, και με τον ίδιο βαθμό ασφάλειας και άνεσης με όλους.

Σύμφωνα με το άρθρο 9 της Διεθνούς Σύμβασης του Ο.Η.Ε. για τα Δικαιώματα των Ατόμων με Αναπηρία τα συμβαλλόμενα κράτη οφείλουν να λαμβάνουν κατάλληλα μέτρα προκειμένου να διασφαλίζουν στα άτομα με αναπηρίες την ίση πρόσβαση -μεταξύ άλλων- στην πληροφορία και τις επικοινωνίες, συμπεριλαμβανομένων και των τεχνολογιών και συστημάτων πληροφορίας και επικοινωνιών.

Ευτυχώς, υπάρχουν διαθέσιμες τεχνολογίες για τη μείωση ή την άρση των εμποδίων στην ψηφιακή τους πρόσβαση. Όπως εύστοχα έχει επισημάνει ο Tim Berners-Lee, διευθυντής του W3C και εφευρέτης του Παγκόσμιου Ιστού: «Η δύναμη του Παγκόσμιου Ιστού έγκειται στην καθολικότητά του. Η πρόσβαση όλων, ανεξαρτήτως αναπηρίας, αποτελεί μια ουσιώδη παράμετρο.»

Πηγές:

Μαρία Σαπαρδάνη, «Η έννοια της αναπηρίας υπό το πρίσμα της νομολογίας του ΔΕΕ και του ΕΔΔΑ για την απαγόρευση των διακρίσεων: μία πολυδιάστατη προσέγγιση με κοινωνικές προεκτάσεις» σε: Ελληνική Επιθεώρηση Ευρωπαϊκού Δικαίου, τεύχος 1^ο, 2019.
W3C, «Introduction to Web Accessibility: What is Web Accessibility», διαθέσιμο στο: https://www.w3.org/WAI/fundamentals/accessibility-intro/#what
Ιωάννης Μπασδέκης, Συνδικαλιστική εκπαίδευση στελεχών αναπηρικού κινήματος: Ηλεκτρονική προσβασιμότητα και αναπηρία, 2013, διαθέσιμο στο: https://www.esamea.gr/multimedia/must-see/39-publications/books-studies/520-ekpaideytiko-egxeiridio-no-6-ilektroniki-prosbasimotita-kai-anapiria-toy-ioanni-mpasdeki
ΑΚΕΘ, «Γιατί η προσβασιμότητα στο διαδίκτυο είναι τόσο σημαντική και τι μπορείς να κάνεις για να την επιτύχεις», 2020, διαθέσιμο στο: https://www.aketh.gr/nea/prosvasimotita
Harshal V. Patil, «Web accessibility issues and challenges for disabled Person», International Journal of Computer Research and Technology, Volume 7, issue 1, 2021, διαθέσιμο στο:
basponccollege.org/ClgIJCRTJournals/IJCRT/IJCRT%202021.pdf#page=63
https://eur-lex.europa.eu/
European Commission, European accessibility act, διαθέσιμο στο: https://ec.europa.eu/social/main.jsp?catId=1202&langId=en
Εθνική Αρχή Προσβασιμότητας(ΕΑΠ), ΓΝΩΜΟΔΟΤΗΣΗ της Εθνικής Αρχής Προσβασιμότητας (ΕΑΠ) με θέμα «Προσβασιμότητα και ασφάλεια: ενσωμάτωση της Οδηγίας ΕΕ 2019/882 στο εθνικό δίκαιο», 6 Οκτωβρίου 2021, διαθέσιμη στο: https://www.amea.gov.gr/opinions/4
https://www.w3.org/TR/WCAG21/#abstract
http://www.opengov.gr/ypoian/?p=13504

[1] Γνωστή εν συντομία ως Ευρωπαϊκή Οδηγία για την Προσβασιμότητα στον Παγκόσμιο Ιστό.

[2] ΟΔΗΓΙΑ (EE) 2019/882 ΤΟΥ ΕΥΡΩΠΑΪΚΟΥ ΚΟΙΝΟΒΟΥΛΙΟΥ ΚΑΙ ΤΟΥ ΣΥΜΒΟΥΛΙΟΥ της 17ης Απριλίου 2019.

by master_admin

Αποκεντρωμένη ψηφιακή ταυτοποίηση - Πόσο κοντά είμαστε στην νέα εποχή της ψηφιακής ταυτοποίησης και πως μπορεί να ενδυναμώσει τους πολίτες στον ψηφιακό κόσμο;

*Γράφει ο Ιωάννης Κροντήρης

Σχήμα 1 – Η γελοιογραφία του Peter Steiner – “On the Internet, nobody knows you’re a dog”

Από το 1993 που ο Peter Steiner δημοσίευσε αυτήν την γελοιογραφία μέχρι σήμερα, δεν έχουν αλλάξει πολλά ως προς τη διαχείριση της ψηφιακής μας ταυτότητας στο Διαδίκτυο. Ο καθένας μπορεί να είναι όποιος θέλει, και αυτό γιατί δεν υπάρχει ένας εύκολος τρόπος να πιστοποιήσει προσωπικά χαρακτηριστικά που τον αφορούν, όπως το ότι είναι ενήλικας, ή ότι μένει σε μια συγκεκριμένη διεύθυνση, ή ότι έχει πτυχίο από το συγκεκριμένο πανεπιστήμιο, κτλ. Μπορεί να ισχυρίζεται ό,τι θέλει χωρίς να υπάρχει κάποιος εύκολος τρόπος να το αποδείξει.

Στην πραγματική ζωή αυτό γίνεται φυσικά έχοντας διαπιστευτήρια στο πορτοφόλι μας για τα πάντα. Κάθε φορά που επιβιβαζομαστε σε αεροπλάνο, νοικιάζουμε αυτοκίνητο, κάνουμε κράτηση σε ξενοδοχείο ή δανειζόμαστε ένα βιβλίο από την βιβλιοθήκη, αποδεικνύουμε κάποιο χαρακτηριστικό σχετικά με εμάς απλά ανοίγοντας το πορτοφόλι μας και δείχνοντας ένα ή περισσότερα διαπιστευτήρια που περιέχουν αξιώσεις που έχουν εκδοθεί από μια αξιόπιστη αρχή (που ονομάζεται εκδοτική αρχή) σε άλλο άνθρωπο ή εταιρεία που πρέπει να εμπιστευτεί την αξίωση (ονομάζεται επαληθευτής).

Ωστόσο το Διαδίκτυο αναπτύχθηκε αρχικά στις δεκαετίες του 1960 και του 1970 για να συνδέει μηχανές και όχι ανθρώπους. Ο σχεδιασμός του που βασίζεται σε πακέτα και το πρωτόκολλο TCP/IP αποδείχτηκε αποτελεσματικός για να μπορούν μηχανές να συνδέονται μεταξύ τους και να ανταλλάσσουν δεδομένα. Μία διεύθυνση IP όμως δεν λέει τίποτα για το άτομο που κάθεται πίσω από έναν υπολογιστή. Έτσι λοιπόν, δημιουργήθηκε ένα κενό για την διαχείριση της ταυτότητας των ανθρώπων στο Διαδίκτυο, ώστε να ξέρουμε με ποιόν μιλάμε. Ως αποτέλεσμα, έχουμε (ως χρήστες) το βάρος του να δημιουργούμε έναν ξεχωριστό λογαριασμό σε κάθε ένα website και για κάθε μια υπηρεσία που θέλουμε να χρησιμοποιούμε και να διαχειριζόμαστε μόνοι μας εκατοντάδες λογαριασμούς και κωδικούς. Φυσικά το αποτέλεσμα είναι ότι ο χρήστης δεν μπορεί να το διαχειριστεί όλο αυτό σωστά και επαναχρησιμοποιεί τους ίδιους κωδικούς σε πολλαπλούς λογαριασμούς, με όλα τα προβλήματα ασφαλείας που ήδη γνωρίζουμε.

Σχήμα 2

Το πρόβλημα με αυτό το “παλαιολιθικό” μοντέλο δεν είναι μόνο τα προβλήματα ασφαλείας όμως. Στο Σχήμα 2 που δείχνει το κεντρικοποιημένο μοντέλο που μόλις αναφέραμε, από την οπτική ενός οργανισμού, ο χρήστης υπάρχει μόνο και μόνο επειδή έχει λογαριασμό στο σύστημά του. Δηλαδή ένας χρήστης έχει άδεια να συνδεθεί σε έναν ιστότοπο, μια υπηρεσία ή μια εφαρμογή επειδή ο παρέχοντας οργανισμός του “δανείζει” κάποια διαπιστευτήρια για να τον αντιπροσωπεύουν. Στο τέλος, αυτά τα διαπιστευτήρια ανήκουν και ελέγχονται από τον οργανισμό. Εάν ο χρήστης διαγράψει τον λογαριασμό του σε αυτόν τον οργανισμό, παύει να έχει δυνατότητα πρόσβασης στις αντίστοιχες υπηρεσίες, ωστόσο, όλα τα δεδομένα σχετικά με αυτόν τον χρήστη θα εξακολουθούν να υπάρχουν και να ανήκουν στον οργανισμό, έξω από κάθε έλεγχο από τον χρήστη στον οποίο ανήκουν.

Σχήμα 3

Η καλύτερη εναλλακτική που έχουμε αυτή τη στιγμή είναι να χρησιμοποιήσουμε κάποιον ενδιάμεσο, τον οποίο ονομάζουμε “πάροχο ταυτότητας” (βλ. Σχήμα 3). Σε αυτό το πλαίσιο αρκεί ο χρήστης να έχει μόνο ένα λογαριασμό σε αυτόν τον πάροχο και αυτός με τη σειρά του μπορεί να μας συνδέει με ιστότοπους και υπηρεσίες που συνεργάζονται μαζί του, αποκαλύπτοντας ορισμένα βασικά δεδομένα για μας. Για παράδειγμα, όλοι ξέρουμε τα κουμπιά που μας επιτρέπουν να κάνουμε login κάπου χωρίς να ανοίξουμε λογαριασμό αλλά χρησιμοποιώντας τον λογαριασμό μας στο Google, το Twitter, το LinkedIn κτλ. Αυτή η λύση φυσικά έχει πολλά προβλήματα όσο αφορά στη προστασία της ιδιωτικότητας, καθώς ο μεσάζοντας μπορεί τώρα να ακολουθεί όλες τις κινήσεις μας στο Διαδίκτυο και να βλέπει όλες τις υπηρεσίες που χρησιμοποιούμε. Με άλλα λόγια ο χρήστης καλείται να συμβιβαστεί ως προς την ιδιωτικότητά του με αντάλλαγμα μεγαλύτερη ευκολία. Γι’ αυτό και τελικά αυτά τα μοντέλα δεν κατάφεραν να υιοθετηθούν ευρέως από τους χρήστες.

Η λύση σε όλα αυτά τα προβλήματα είναι γνωστή εδώ και δεκαετίες: το μοντέλο του μεσάζοντα πρέπει να σπάσει και ο χρήστης πρέπει να μπεί στο κέντρο της εικόνας ώστε να έχει τον έλεγχο του ποιός λαμβάνει στοιχεία της ταυτότητας του στο Διαδίκτυο και ποιά (Ο Kim Cameron ήταν ένας από αυτούς που πρότειναν ήδη από το 2008 μια τέτοια αρχιτεκτονική). Επιπλέον, τεχνολογίες που δίνουν αυτόν τον έλεγχο στον χρήστη υπάρχουν ήδη με τη μορφή κρυπτογραφικών εργαλείων εδώ και χρόνια. Ίσως ένα από τα πιο γνωστά είναι τα Zero Knowledge Proofs (ZKP) που δίνουν τη δυνατότητα στο χρήστη να μην στέλνει καν στοιχεία της ταυτότητας του στον πάροχο μιας υπηρεσίας, αν αυτό δεν είναι εντελώς απαραίτητο, αλλά να στέλνουν μόνο κρυπτογραφικές αποδείξεις για κάποιες ιδιότητες που έχουν αυτά τα στοιχεία. Για παράδειγμα ότι κάποιος είναι ενήλικας, χωρίς να αποκαλύπτει την ακριβή ημερομηνία γέννησής του. Παράλληλα μία ειδική κατηγορία-τεχνολογία ανώνυμων ηλεκτρονικών διαπιστευτηρίων γνωστή ως Privacy-ABCs (Privacy- Attribute Based Credentials) άρχισε να χρησιμοποιεί τα ZKP και να θέτει τα θεμέλια για δημιουργία πρακτικών συστημάτων. Μετά το 2010 αυτές οι τεχνολογίες ήρθαν στο επίκεντρο μέσω μιας σειράς μεγάλων Ευρωπαϊκών ερευνητικών προγραμμάτων που πειραματίστηκαν με πραγματικούς χρήστες και συνέβαλαν στην περαιτέρω ωρίμανσή τους.

Ωστόσο, σε ένα αποκεντρωμένο μοντέλο παρέμενε ως πρόσφατα ανοιχτό το πρόβλημα της εμπιστοσύνης και αξιοπιστίας των συναλλαγών, καθώς δεν υπάρχει πλέον μια κεντρική αρχή που να είναι υπεύθυνη για την επικύρωσή τους. Και αυτό το κενό ήρθε να καλύψει η τεχνολογία blockchain που στην ουσία λειτουργεί ως ένα μητρώο δεδομένων και πληροφοριών (ledger) και μπορούμε να την εφαρμόσουμε για τις ανάγκες της ηλεκτρονικής ταυτοποίησης. Η θεμελιώδης διαφορά από τα υφιστάμενα μητρώα και βάσεις δεδομένων είναι ότι για την τήρησή του δεν είναι αρμόδια μία κεντρική αρχή, αλλά οι λεγόμενοι κόμβοι (nodes). Με την επίτευξη συμφωνίας (consensus) ανάμεσα στους κόμβους δημιουργείται εμπιστοσύνη για την ορθότητα των στοιχείων που καταχωρούνται στο μητρώο.

Αυτή η εξέλιξη μαζί με κάποια ακόμα κομμάτια του παζλ που ήρθαν να συμπληρωθούν κυρίως από πλευράς τυποποίησης από το World Wide Web Consortium (W3C), έδωσαν μια νέα ώθηση στο μοντέλο αποκεντρωμένης ψηφιακής ταυτότητας, στο οποίο αναφερόμαστε πλέον με τον όρο Self-Sovereign Identity (SSI). Ο όρος αποδίδεται στον Christopher Allen, ο οποίος περιέγραψε το όραμα και τις αρχές του SSI σε ένα άρθρο που δημοσίευσε το 2016. Παρόλο που όλοι συμφωνούν ότι θα πρέπει να βρεθεί ένας καλύτερος όρος, ως τώρα δεν έχει βρεθεί ποιός μπορεί να είναι αυτός. Γεγονός είναι πάντως πως μεγάλες εταιρείες τεχνολογίας, οργανισμοί τυποποίησης και κυβερνήσεις έχουν στρέψει την προσοχή τους σε αυτή την τεχνολογική εξέλιξη, η οποία καλπάζει πλέον με ταχύτατους ρυθμούς.

Ένα κεντρικό εργαλείο που επιτρέπει στους χρήστες να διαχειρίζονται οι ίδιοι την ψηφιακή τους ταυτότητα χωρίς να εξαρτώνται από έναν κεντρικό πάροχο υπηρεσιών ταυτότητας είναι το πορτοφόλι ψηφιακής ταυτότητας (digital identity wallet) το οποίο είναι προσωπικό ψηφιακό πορτοφόλι που επιτρέπει στους πολίτες να ταυτοποιούνται, να αποθηκεύουν και να διαχειρίζονται δεδομένα ταυτότητας και επίσημα έγγραφα σε ηλεκτρονική μορφή. Το ψηφιακό πορτοφόλι σαν έννοια δεν είναι καινούργια, καθώς οι περισσότεροι έχουμε ήδη ψηφιακά πορτοφόλια στα κινητά τηλέφωνά μας για να αποθηκεύουμε τις κάρτες επιβίβασης όταν ταξιδεύουμε, το πιστοποιητικό COVID, ή για να φυλάσσουμε σε αυτά εικονικές τραπεζικές κάρτες ως βολικό μέσο πληρωμής. Το πορτοφόλι ψηφιακής ταυτότητας είναι κάτι αντίστοιχο, αλλά διαχειρίζεται διαπιστευτήρια που σχετίζονται με την ταυτότητά μας. Αυτό δεν σημαίνει ότι περιορίζεται μόνο στα προσωπικά δεδομένα ταυτότητας, με τη στενή έννοια του όρου (όπως δηλαδή στη ψηφιακή ταυτότητα eID), αλλά μπορεί επίσης να περιέχει και άλλα (επίσημα ή μη) διαπιστευτήρια σε ηλεκτρονική μορφή, όπως άδειες οδήγησης, ή τίτλοι σπουδών.

Κατά συνέπεια, το πορτοφόλι ψηφιακής ταυτότητας επιτρέπει στους πολίτες να αποδεικνύουν την ταυτότητά τους ή άλλα ψηφιακά διαπιστευτήρια με κινητά μέσα προκειμένου να έχουν πρόσβαση σε διαδικτυακές υπηρεσίες ή να ανταλλάσσουν ψηφιακά έγγραφα. Επίσης του επιτρέπει να αποδεικνύουν μόνο ένα συγκεκριμένο ιδιοχαρακτηριστικό που περιέχεται μέσα σε ένα διαπιστευτήριο, όπως, λόγου χάρη, η ημερομηνία γέννησης. Αυτό είναι δυνατό χωρίς να αποκαλύπτεται η ταυτότητά τους ή άλλα δεδομένα προσωπικού χαρακτήρα.

Κάτι αντίστοιχο φυσικά δεν είναι δυνατόν με μια υλική ταυτότητα: όταν την δείχνουμε σε κάποιον, αποκαλύπτουμε όλα τα ιδιοχαρακτηριστικά που περιέχει. Υπάρχει όμως ακόμα κάτι που είναι εξίσου σημαντικό από την πλευρά της προστασίας της ιδιωτικότητας: η οποιαδήποτε αρχή που έχει εκδώσει τα ψηφιακά διαπιστευτήρια σε ένα σύστημα SSI δεν είναι σε θέση να γνωρίζει για ποιό λόγο ή για ποιές υπηρεσίες τα χρησιμοποιεί ο κάτοχός τους.

Αυτή λοιπόν είναι η επανάσταση που φέρνει το SSI στο τομέα της ηλεκτρονικής ταυτοποίησης, και η τεχνολογία πίσως από αυτό ονομάζεται “επαληθεύσιμα διαπιστευτήρια” (verifiable credentials). Τα επαληθεύσιμα διαπιστευτήρια είναι ένα πρότυπο W3C για υπογεγραμμένα κοντέινερ δεδομένων ταυτότητας. Κάθε διαπιστευτήριο περιέχει ένα σύνολο ανεξάρτητων επαληθεύσημων προτάσεων (claims) σχετικά με τον κάτοχο του διαπιστευτηρίου. Αυτές οι προτάσεις διατυπώνονται από μία αρχή, η οποία στην SSI ονομάζεται εκδότης του διαπιστευτηρίου. Η οντότητα (πρόσωπο, οργανισμός ή πράγμα) στην οποία εκδίδεται το διαπιστευτήριο, δηλαδή αυτός που θα το κρατήσει στο ψηφιακό πορτοφόλι του, ονομάζεται κάτοχος του διαπιστευτηρίου. Οι προτάσεις σε ένα διαπιστευτήριο μπορούν να αναφέρουν δεδομένα σχετικά με τον κάτοχο, όπως χαρακτηριστικά (ηλικία, ύψος, βάρος, κ.λπ.), σχέσεις (μητέρα, πατέρας, εργοδότης, υπηκοότητα ή άλλα) ή δικαιώματα (ιατρικές παροχές, προνόμια βιβλιοθήκης, ιδιότητα μέλους ανταμοιβές, νόμιμα δικαιώματα και ούτω καθεξής).

Για να πληρούν τις προϋποθέσεις ενός διαπιστευτηρίου, οι προτάσεις πρέπει να είναι με κάποιο τρόπο επαληθεύσιμες. Αυτό σημαίνει ότι ένας επαληθευτής πρέπει να είναι σε θέση να προσδιορίσει τα ακόλουθα:

Ποιος εξέδωσε το διαπιστευτήριο
Ότι δεν έχει παραβιαστεί από τότε που εκδόθηκε
Ότι δεν έχει λήξει ή δεν έχει ανακληθεί

Σχήμα 4

Όλα τα παραπάνω γίνονται εφικτά με το τελευταίο κομμάτι του παζλ, τα αποκεντρωμένα αναγνωριστικά (Decentralised Identifiers ‘DIDs’). Το DID είναι ένα μοναδικό αναγνωριστικό το οποίο δημιουργείται τυχαία από τη μεριά του χρήστη και είναι υπό τον πλήρη έλεγχό του. Όταν μια εκδούσα αρχή εκδίδει ένα επαληθεύσιμο διαπιστευτήριο σε ένα χρήστη, επισυνάπτει το δημόσιο DID του σε αυτό το διαπιστευτήριο. Το ίδιο δημόσιο DID αποθηκεύεται επίσης στο blockchain (βλ. Σχήμα 4). Όταν κάποιος θέλει να επαληθεύσει τη γνησιότητα/εγκυρότητα του διαπιστευτηρίου, μπορεί να το πετύχει ελέγχοντας το DID στο blockchain χωρίς να χρειάζεται να επικοινωνήσει με την αρχή που το εξέδωσε. Επίσης, δεν υπάρχει όριο στον αριθμό των DID που μπορούν να δημιουργηθούν, οπότε για κάθε επικοινωνία ή συναλλαγή στο Διαδίκτυο μπορεί κάποιος να δημιουργεί ένα καινούργιο DID και έτσι να αποτρέπει τη συσχέτιση των κινήσεών του και άρα την ιχνηλάτηση.

Σε αυτό το σημείο είναι σημαντικό να διευκρινίσουμε δύο σημεία που συνήθως παρερμηνεύονται απο πολλούς. Πρώτον, κανένα προσωπικό δεδομένο δεν αποθηκεύεται στο blockchain. Όλα τα προσωπικά δεδομένα παραμένουν στη συσκευή του χρήστη και υπό τον έλεγχό του. Αυτό που αποθηκεύεται στο blockchain είναι ο μοναδικός αριθμός DID που σχετίζεται με κάθε επαληθεύσιμο διαπιστευτήριο του χρήστη. Ο παραλήπτης ενός επαληθεύσιμου διαπιστευτηρίου θα χρησιμοποιούσε αυτόν τον αριθμό DID για να εντοπίσει το κλειδί επαλήθευσης του αποστολέα, έτσι ώστε να επικυρώσει και να αποκωδικοποιήσει τα δεδομένα στο διαπιστευτήριο. Άρα λοιπόν το blockchain χρησιμοποιείτε για την ανταλλαγή κρυπτογραφικών κλειδιών, ελλείψει μια κεντρικής αρχής που διαχειριζόταν αυτή τη πληροφορία ως τώρα. Ωστόσο, αυτά τα κλειδιά δεν θεωρούνται ανωνυμοποιημένα δεδομένα αλλά ψευδωνυμοποιημένα δεδομένα και άρα εμπίπτουν στο πεδίο εφαρμογής του Γενικού Κανονισμού Προστασίας Δεδομένων (ΕΕ) 2016/679 (GDPR). Επιπλέον, στη περίπτωση που δεν αλλάζει το DID για κάθε συναλλαγή αλλά παραμένει το ίδιο, δημιουργούνται κίνδυνοι συσχέτισης όπως αναφέρεται και στο πρότυπο (παρ. 10.2 και 10.3) που κάνουν την εφαρμογή του GDPR ιδιαίτερα περίπλοκο θέμα. Η έκθεση της Ευρωπαϊκής Επιτροπής για την προστασία δεδομένων στην υποδομή EBSI αναλύει το παραπάνω πρόβλημα πιο διεξοδικά.

Δεύτερον, η χρήση του blockchain δεν είναι αναγκαία για τη λειτουργία ενός συστήματος SSI. Είναι μόνο ένα πιθανό εργαλείο που προσφέρει τις λειτουργίες αποθήκευσης, ενημέρωσης, διαγραφής/ανάκλησης των DID που μπορεί να προσφέρει ένα κεντρικό σύστημα, αλλά τώρα γίνεται με αποκεντρωμένο τρόπο. Στη θέση του blockchain θα μπορούσαμε να χρησιμοποιήσουμε οποιαδήποτε τεχνολογία προσφέρει αντίστοιχες λειτουργίες, όπως για παράδειγμα η IPFS.

Σχήμα 5

Άρα λοιπόν, για να ανακεφαλαιώσουμε, το SSI υποστηρίζει μοναδικές ιδιότητες που επιτρέπουν τη προστασία της ιδιωτικότητας με τρόπο ουσιαστικό:

Επιλεκτική Αποκάλυψη: Ο κάτοχος ενός διαπιστευτηρίου μπορεί να κοινοποιήσει μόνο τα χαρακτηριστικά αυτά που είναι απαραίτητα από τον πάροχο μιας υπηρεσίας και να παραλείψει τα υπόλοιπα (βλ. Σχήμα 5).
Απόδειξη μηδενικής γνώσης: Ο κάτοχος ενός διαπιστευτηρίου μπορεί να αποδείξει μια ιδιότητα κάποιου χαρακτηριστικού που περιέχεται στο διαπιστευτήριο, χωρίς να αποκαλύψει την πραγματική του τιμή (π.χ. μπορείτε να αποδείξετε ότι είστε άνω των 18 χωρίς να αποκαλύψετε την ημερομηνία γέννησής σας).
Μη συνδεσιμότητα: Η εκδοτική αρχή ενός διαπιστευτηρίου δεν είναι σε θέση να γνωρίζει για ποιό λόγο ή για ποιές υπηρεσίες το χρησιμοποιεί ο κάτοχός του. Επίσης η κάθε χρήση ενός διαπιστευτηρίου μπορεί να παραμείνει ασύνδετη με τη χρήση του σε μια διαφορετική υπηρεσία.

Το SSI ως προτεραιότητα της Ευρωπαϊκής Ένωσης

Η ΕΕ έχει υιοθετήσει το όραμα του SSI συμπεριλαμβάνοντας το «ευρωπαϊκό αυτόνομο πλαίσιο ταυτότητας» (ESSIF) ως μέρος της «ευρωπαϊκής υποδομής υπηρεσιών blockchain» (EBSI). Το EBSI είναι μια πρωτοβουλία της ΕΕ, η οποία στοχεύει στην παροχή δημόσιας υποδομής blockchain για κυβερνητικές υπηρεσίες (σε επίπεδο ΕΕ). Το ESSIF, με τη σειρά του, βασίζεται σε αυτήν την υποδομή προκειμένου να αναπτύξει και να προωθήσει λύσεις SSI. Επιπλέον, το σύστημα που θα προκύψει στα πλαίσια του ESSIF θα πρέπει να είναι συμβατό με τις νομοθεσίες GDPR και eIDAS ώστε να προσφέρει τις ανώτερες δυνατές εγγυήσεις στο επίπεδο προστασίας των ευρωπαίων πολιτών. Ο στόχος είναι να παρέχει ένα σύστημα διαχείρισης της ταυτότητας για τους πολίτες βασισμένο σε blockchain, το οποίο, αντίστοιχα με ένα πραγματικό πορτοφόλι, θα αποθηκεύει την ταυτότητα, την άδεια οδήγησης, την κάρτα υγείας, την ταυτότητα φοιτητή κ.λπ. σε ένα ψηφιακό πορτοφόλι, το οποίο θα είναι υπό τον πλήρη έλεγχο των πολιτών. Με αυτόν τον τρόπο μεταβαίνουμε στην εποχή της ψηφιακής ταυτότητας με όλα τα πλεονεκτήματα που αυτό έχει, όπως η προστασία του απορρήτου, η προστασία προσωπικών δεδομένων και ο έλεγχος μόνο από τον χρήστη.

Παράλληλα η Ευρωπαϊκή Επιτροπή πρότεινε την ενημέρωση του κανονισμού ΕΕ 910/2014 (eIDAS) για τη δημιουργία ενός Ευρωπαϊκού Πλαισίου Ψηφιακής Ταυτότητας. Αυτή η πρόταση συζητείται επί του παρόντος από τις επιτροπές του Ευρωπαϊκού Κοινοβουλίου και περιλαμβάνει αρκετές πτυχές σχετικά με το SSI. Υποστηρίζει ιδίως την ιδέα ενός «ευρωπαϊκού πορτοφολιού ψηφιακής ταυτότητας» (European Digital Identity Wallet), το οποίο είναι ένα προϊόν και μια υπηρεσία που επιτρέπει στον χρήστη να αποθηκεύει διαπιστευτήρια και χαρακτηριστικά που συνδέονται με την ταυτότητά του και να τα επιδεικνύει κατόπιν αιτήματος online και offline προκειμένου να έχουν πρόσβαση σε υπηρεσίες. Ωστόσο, η πρόταση στερείται ακόμα σαφήνειας σχετικά με κάποια μέτρα προστασίας ασφαλείας και ιδιωτικότητας, τα οποία βρίσκονται ακόμα υπό συζήτηση. Η έκθεση που δημοσιεύτηκε πρόσφατα με την υποστήριξη της EDRi παίρνει κριτική στάση απέναντι στην παρούσα πρόταση και προτείνει συγκεκριμένες βελτιώσεις.

Σε εθνικό επίπεδο πολλές Ευρωπαϊκές χώρες έχουν ήδη ανακοινώσει πρωτοβουλίες για την προώθηση ενός αποκεντρωμένου πορτοφολιού ψηφιακής ταυτότητας, συμπεριλαμβανομένων της Γερμανίας, Φινλανδίας και Ισπανίας. Αλλά και εκτός Ευρωπαϊκής ένωσης αξίζει να αναφέρουμε τα παραδείγματα του Καναδά (Βρετανική Κολούμπια, Οντάριο) και της Λατινικής Αμερικής. Η έκθεση που δημοσίευσε την περασμένη εβδομάδα ο ENISA πάνω στις τεχνολογίες SSI δίνει μια ολοκληρωμένη εικόνα των πρωτοβουλιών SSI που βρίσκονται σε εξέλιξη στην Ευρώπη.

Τέλος αξίζει να τονίσουμε ότι υποδομές δεδομένων στην Ευρώπη όπως το GAIA-X θα χρησιμοποιούν επίσης το SSI για επαλήθευση της ταυτότητας και εξουσιοδότηση του χρήστη, καθώς το επίπεδο που εξασφαλίζει το άνοιγμα ενός απλού λογαριασμού πελάτη είναι ανεπαρκές και η απαραίτητη ασφάλεια καθίσταται δυνατή μόνο με την επαλήθευση της ταυτότητας του χρήστη, κάτι που το SSI μπορεί να εξασφαλίσει σεβόμενο παράλληλα την ιδιωτικότητα των χρηστών.

Εκκρεμούντα ζητήματα

H ακριβής υλοποίηση και οι τεχνικές προδιαγραφές των δομικών λίθων του SSI όπως π.χ. του πορτοφολιού ψηφιακής ταυτότητας δεν έχουν ακόμη καθοριστεί, και πολλά τεχνικά θέματα παραμένουν ανοιχτά. Ένα θεμελιώδες θέμα που εκκρεμεί είναι η διακυβέρνηση συστημάτων SSI για τη διαχείριση της εμπιστοσύνης και οι τεχνικές λύσεις που απαιτούνται ως επακόλουθο.

Με την αφαίρεση των ενδιάμεσων που είχαν τον έλεγχο των κρυπτογραφικών κλειδιών στα κεντροποιημένα συστήματα, ο έλεγχος αυτών των κλειδιών περνάει στους χρήστες στα συστήματα SSI. Μόνο ο χρήστης ξέρει και ελέγχει πλέον το ιδιωτικό κλειδί που αντιστοιχεί στο DID του, το οποίο είναι αποθηκευμένο στο ψηφιακό του πορτοφόλι. Με αυτό το κλειδί υπογράφει όλα τα διαπιστευτήρια που παρουσιάζει στον επαληθευτή. Οπότε δημιουργείται αμέσως ένα σημαντικό ζήτημα εμπιστοσύνης: Πώς μπορεί ένας επαληθευτής να είναι σίγουρος ότι το κλειδί του χρήστη πίσω από τα επαληθεύσιμα διαπιστευτήρια δεν έχει παραβιαστεί; Αυτό μεταφράζεται καλύτερα στο εξής ερώτημα: Αν το ψηφιακό πορτοφόλι βρίσκεται αποθηκευμένο στη κινητή συσκευή του χρήση, πώς μπορούμε να είμαστε σίγουροι ότι η συσκευή αυτή δεν έχει παραβιαστεί από έναν εισβολέα ο οποίος έχει πλέον τον έλεγχο του ψηφιακού πορτοφολιού και των κλειδιών; Αυτό απαιτεί μηχανισμούς ασφαλείας με χρήση τεχνολογιών όπως Trusted Computing, ώστε να μπορέσουμε να επαληθεύσουμε την ορθότητα του πορτοφολιού (ως λογισμικό). Στην Ελλάδα η εταιρία Ubitech πρωτοπορεί στην ανάπτυξη τέτοιων λύσεων στα πλαίσια του ESSIF.

Ένα αντίστοιχο πρόβλημα εμπιστοσύνης που πρέπει να αντιμετωπίσουν τα συστήματα που βασίζονται σε SSI είναι: Πώς μπορεί κανείς να εμπιστευτεί ότι η οντότητα που εκδίδει τα διαπιστευτήρια είναι στην πραγματικότητα η οντότητα που ισχυρίζεται ότι είναι; Το SSI από μόνο του επιτρέπει σε οποιοδήποτε να εκδίδει διαπιστευτήρια. Οπότε εάν, για παράδειγμα, κάποιος μπορούσε να εκδώσει διαπιστευτήρια στο όνομα του «Πανεπιστημίου Πατρών», προκύπτει σαφώς πρόβλημα εμπιστοσύνης. Ένας επαληθευτής θα πρέπει να μπορεί να επαληθεύσει την ταυτότητα του εκδότη μέσω ενός κοινού πλαισίου εμπιστοσύνης. Για παράδειγμα θα μπορούσε το eIDAS να πάρει αυτό το ρόλο αλλά δεν αρκεί να καλύψει όλο το εύρος εφαρμογών. Υπάρχουν λοιπόν πρότζεκτ, και πάλι στα πλαίσια του ESSIF, που δουλεύουν προς αυτή τη κατεύθυνση.

Ένα άλλο μεγάλο θέμα που παραμένει ανοιχτό είναι το ερώτημα εάν θα μπορέσει ένας χρήστης να πάρει το βάρος της διαχείρισης της ψηφιακής του ταυτότητας πάνω του και να καταβάλλει αυτήν την επιπλέον προσπάθεια από το μέρος του χωρίς να χρειάζεται να βασίζεται σε τρίτους. Για παράδειγμα, ένα πρόβλημα είναι η διαχείριση του ψηφιακού πορτοφολιού και των κρυπτογραφικών κλειδιών που συνδέονται με αυτό. Σε αυτήν την περίπτωση, το backup και η ανάκτηση των κλειδιών γίνεται αποκλειστική ευθύνη του χρήστη με όλες τις συνέπειες σε περίπτωση μόνιμης απώλειας. Για να μπορέσουν οι περισσότερους χρήστες να το διαχειριστούν αυτό, θα πρέπει να εμπλακεί κάποιος τρίτος για να το αναλάβει εκ μέρους τους, δημιουργώντας την ανάγκη ενός συμβιβασμού από μεριάς ιδιωτικότητας για περισσότερη ευκολία. Έτσι λοιπόν αναπτύσσονται μηχανισμοί όπως τα Αποκεντρωμένα Συστήματα Διαχείρισης Κλειδιών (DKMS), κάτω από ένα παγκόσμιο διαλειτουργικό πρότυπο για φορητά ψηφιακά πορτοφόλια. Το DKMS θα επιτρέπει στους χρήστες να βασίζονται σε μια εφαρμογή τρίτου για τη διαχείριση των ψηφιακών πορτοφολιών τους, και ειδικότερα να βοηθά στην ανάκτηση κλειδιών.

Συμπεράσματα

Η ψηφιακή ταυτοποίηση αποτελεί θεμελιώδη λίθο όχι μόνο για την επιτυχία της ψηφιοποίησης στην εποχή μας, αλλά και για τη διατήρηση μιας ανοιχτής, δημοκρατικής και βιώσιμης κοινωνίας. Για αξιόπιστες και ασφαλείς αλληλεπιδράσεις η τεχνολογία SSI μπορεί να εξασφαλίσει το κατάλληλο πλαίσιο αναγνώρισης και επαλήθευσης ψηφιακών ταυτοτήτων με επίκεντρο τον χρήστη, ο οποίος καταστείται κυρίαρχος των δεδομένων του.

Ωστόσο, είναι ζωτικής σημασίας τα συστήματα ψηφιακής ταυτότητας να σχεδιάζονται, να εφαρμόζονται και να ρυθμίζονται υπεύθυνα για να διασφαλίζονται τα απαραίτητα πρότυπα ιδιωτικότητας και ασφάλειας. Αυτό δεν είναι μόνο τεχνικό πρόβλημα, αλλά απαιτεί την στενή συνεργασία των νομοθετικών και ρυθμιστικών φορέων που σχεδιάζουν ή ελέγχουν τέτοια συστήματα με εμπειρογνώμονες σε θέματα ασφάλειας, οργανώσεις προστασίας των ψηφιακών δικαιωμάτων, υποστηρικτές των πολιτικών δικαιωμάτων και άλλους ενδιαφερόμενους φορείς.

Παρακάτω ανακεφαλαιώνουμε αυτά που θεωρούμε ως σημαντικότερα συμπεράσματα μέσα από την ανάλυση που κάναμε σε αυτό το άρθρο:

Τα συστήματα SSI δεν είναι απαραίτητο να βασίζονται στη χρήση blockchain. Κάτι τέτοιο αυξάνει την πολυπλοκότητα του συνολικού συστήματος με πρωτόκολλα και διαδικασίες για τις οποίες δεν υπάρχουν ακόμη αξιόπιστα στοιχεία για την ασφάλειά τους ούτε έχουν ολοκληρωθεί ακόμα οι διαδικασίες τυποποίησής τους. Στη περίπτωση που καταφύγουμε στη λύση του blockchain θα πρέπει να διασφαλίζεται ότι δεν αποθηκεύονται εκεί προσωπικά δεδομένα ούτε επιτρέπεται η διεξαγωγή συμπερασμάτων σχετικά με το ευαίσθητο περιεχόμενο των διαπιστευτηρίων, καθώς η αποθήκευση πληροφοριών στο blockchain είναι μόνιμη και δεν υπάρχει τεχνικά η δυνατότητα διαγραφής.
Η διαχείριση των κλειδιών παίζει πολύ σημαντικό ρόλο στα συστήματα SSI. Η απώλεια των ιδιωτικών κλειδιών δεν μπορεί να αποφευχθεί πάντα, αλλά αυτό δεν θα πρέπει να οδηγεί στην απώλεια των αντίστοιχων διαπιστευτηρίων. Είναι απαραίτητος ένας μηχανισμός ανάκτησης κλειδιών που να συνοδεύεται με υψηλό επίπεδο μέτρων ασφαλείας λειτουργούν τοπικά στην συσκευή του χρήστη, αλλά τις διαχειρίζεται μια εξωτερική υπηρεσία (π.χ. στο cloud), τότε ο χρήστης εξαρτάται από την εν λόγω υπηρεσία καθώς και από την διαθεσιμότητά της. Αυτό περιορίζει σε ένα βαθμό την κυριαρχία του πάνω στα δεδομένα ταυτότητάς του.
Θα πρέπει να υπάρχει ένα σαφώς καθορισμένο μοντέλο για την διαμόρφωση εμπιστοσύνης μεταξύ όλων των εμπλεκομένων σε ένα σύστημα SSI. Ειδικότερα από τη πλευρά του χρήστη, η σύνδεση των ψηφιακών δεδομένων ταυτότητας με τον κάτοχό τους πρέπει να διασφαλίζεται με τεχνικά μέτρα. Πρέπει να διασφαλίζεται ότι μόνο ο κάτοχος της ταυτότητας μπορεί να χρησιμοποιεί τα διαπιστευτήρια και ότι δεν επιτρέπεται να τα διαβιβάσει σε τρίτους. Θα πρέπει να εξασφαλίζεται επίσης ότι κανένας τρίτος δεν έχει τη δυνατότητα να πάρει τον έλεγχο του ψηφιακού πορτοφολιού και των κλειδιών του χρήστη.

* Ο Ιωάννης Κροντήρης είναι απόφοιτος του τμήματος Μηχανικών Η/Υ του Πολυτεχνείου Κρήτης και κατέχει διδακτορικό τίτλο στην Πληροφορική από το Πανεπιστήμιο του Mannheim της Γερμανίας. Απο το 2014 εργάζεται ως ερευνητής σε θέματα τεχνολογιών προστασίας της ιδιωτικότητας στο ερευνητικό κέντρο της Huawei στο Μόναχο.

by master_admin

Digital Marketing και Προστασία Προσωπικών Δεδομένων

Γράφει ο Δημοσθένης Κωστούλας, ΜΒΑ, MSc, BSc *

Είναι πλέον αποδεδειγμένο ότι η προώθηση των σύγχρονων επιχειρήσεων μέσω του ψηφιακού μάρκετινγκ (digital marketing) είναι πιο επιτακτική από ποτέ.

Το φαινόμενο της παγκοσμιοποίησης και ο έντονος ανταγωνισμός στον επιχειρηματικό κόσμο, οι αυξανόμενες απαιτήσεις των καταναλωτών από τα προϊόντα και τις υπηρεσίες που αγοράζουν, η ανάπτυξη του διαδικτύου και των μέσων κοινωνικής δικτύωσης, η αλληλεπίδραση των χρηστών και η εύκολη ηλεκτρονική ανταλλαγή απόψεωνκαθιστούν παραπάνω από απαραίτητη την εκτενή παρουσία των σύγχρονων επιχειρήσεων στο διαδίκτυο.

Συγκεκριμένα, είναι πιο επιτακτική από ποτέ η ανάπτυξη του ψηφιακού μάρκετινγκ, είτε πρόκειται για μάρκετινγκ μέσω ηλεκτρονικού ταχυδρομείου, είτε για αμειβόμενη αναζήτηση, είτε για διαφήμιση μέσω κοινωνικών μέσων.

Τα παραπάνω συνεπάγονται ολοένα και μεγαλύτερη ανάγκη για συλλογή προσωπικών δεδομένων με σκοπό την εξατομίκευση των διαφημιστικών εμπειριών των – εν δυνάμει – πελατών και την παρακολούθηση της συμπεριφοράς τους στο διαδίκτυο.

Στο πλαίσιο αυτό, οι έννοιες της επιχειρηματικής ηθικής στο ψηφιακό μάρκετινγκ αποκτούν ιδιαίτερη σημασία, με έμφαση στον σεβασμό και την προστασία των προσωπικών δεδομένων, ειδικότερα μετά την έλευση του Γενικού Κανονισμού Προστασίας Προσωπικών Δεδομένων (GDPR) τον Μάιο 2018. Πέραν τούτου, καθότι τα δεδομένα αποτελούν ίσως ένα από τα πολυτιμότερα περιουσιακά στοιχεία των σύγχρονων επιχειρήσεων, αυτά πρέπει να προστατεύονται με κάθε τρόπο.

Συνεπώς, κατά την προετοιμασία μιας στρατηγικής ψηφιακού μάρκετινγκ, πρέπει να ακολουθούνται ορισμένοι βασικοί κανόνες δεοντολογίας, όπως η παροχή σωστών πληροφοριών για τα παρεχόμενα προϊόντα / υπηρεσίες, η ειλικρινής διαφήμιση, η επαρκής υποστήριξη προϊόντος / υπηρεσίας, η δυνατότητα να ανταπεξέλθει η επιχείρηση με σταθερότητα και συνέπεια στις ποιοτικές και ποσοτικές απαιτήσεις των καταναλωτών, ο σεβασμός διαφορετικών θρησκευτικών και πολιτικών πεποιθήσεων, η κατανόηση διαφορετικών πολιτισμών και κουλτούρας, η αποφυγή δυσφήμισης του ανταγωνισμού και ο σεβασμός στην προστασία των προσωπικών δεδομένων των πελατών ή των εν δυνάμει πελατών.

Λαμβάνοντας υπόψη όλα τα παραπάνω, δεν είναι λίγες οι συζητήσεις στον επιχειρηματικό κόσμο, για το αν ο νέος Κανονισμός (GDPR) ήρθε για να θέσει εμπόδια στον «διαδικτυακό» κόσμο ή να ωθήσει τις επιχειρήσεις σε πιο ηθικές και ειλικρινείς ενέργειες ψηφιακού μάρκετινγκ, χτίζοντας έτσι πιο ουσιαστικές και ποιοτικές σχέσεις με τους καταναλωτές και απολαμβάνοντας με αυτόν τον τρόπο, μεγαλύτερη ανταπόκριση και αφοσίωση από μέρους τους. Αντί του προβληματισμού και του φόβου για τα δυνητικά πρόστιμα που προβλέπονται λόγω GDPR, μήπως απαιτούνται πλέον – εξ αρχής – ξεκάθαρες ενέργειες, οι οποίες θα σέβονται τα δικαιώματα των χρηστών / πελατών; (privacy by design).

Έχει αποδειχθεί ότι η εμβάθυνση στις ανάγκες των πελατών μπορεί να οδηγήσει στην αύξηση της «ποιότητας» των δεδομένων. Αποκτώντας πιο ποιοτικούς πελάτες μέσω μιας προσέγγισης βασισμένης στην εμπιστοσύνη και την αξιοπιστία, μια επιχείρηση μπορεί να αναμένει πολλά δυνητικά οφέλη.

Με άλλα λόγια, οι χρήστες που χορηγούν τη συγκατάθεσή τους για την επεξεργασία των προσωπικών τους δεδομένων, μπορεί να οδηγήσουν σε υψηλότερα ποσοστά «κλικ» και, γενικότερα, αφοσίωσης, ενώ σύμφωνα με τη Cisco, για κάθε δολάριο που δαπανάται για την προστασία της ιδιωτικότητας των πελατών, μια επιχείρηση μπορεί να λαμβάνει έως και 2,70$ σε συναφή οφέλη, όπως ο μετριασμός της απώλειας δεδομένων, η ευελιξία, η καινοτομία, η αφοσίωση των πελατών κλπ.

Στα πλαίσια αυτά, για να δημιουργηθούν σχέσεις εμπιστοσύνης, απαιτείται η επικέντρωση στην εξατομικευμένη εμπειρία των πελατών με τρόπο αυθεντικό και ανθρωπιστικό, η αντιμετώπιση των δεδομένων να συλλέγονται με σεβασμό, να λαμβάνεται η «άδεια» για επεξεργασία πριν τη συλλογή προσωπικών δεδομένων, καθώς και να υλοποιούνται ενέργειες που θα διατηρούν ασφαλή τα δεδομένα.

Οι επιχειρήσεις πρέπει πλέον να προχωρούν σε μια εκτεταμένη έρευνα, έτσι ώστε να γνωρίσουν τους πελάτες τους και στη συνέχεια να καταλήξουν σε μια προσαρμοσμένη και σαφή στρατηγική για να τους προσεγγίζουν σε κάθε στάδιο, εφόσον όμως οι ίδιοι οι πελάτες το επιθυμούν!

Συνεπώς, στην θέση της παραδοσιακής προσέγγισης “one-size-to-all”, η στόχευση πλέον πρέπει να είναι σε πιο προσαρμοσμένες διαφημίσεις που ικανοποιούν τις συγκεκριμένες ανάγκες των πελατών, έχοντας όμως λάβει τεκμηριωμένα την ρητή συγκατάθεσή τους.

GDPR και ψηφιακό μάρκετινγκ – Απαίτηση για συμμόρφωση

Έχοντας παραθέσει τις παραπάνω σκέψεις, κάθε επιχείρηση ή οργανισμός που ασχολείται με το ψηφιακό μάρκετινγκ θα πρέπει να γνωρίζει την ανάγκη συμμόρφωσης με τους νόμους περί προστασίας δεδομένων και ότι οι συνέπειες της μη συμμόρφωσης θα ήταν ανεπιθύμητες, ακόμα και καταστροφικές.

Ακολούθως, παρατίθενται ορισμένες από τις πολλές αρχές συμμόρφωσης που πρέπει να ακολουθεί μια επιχείρηση που ασχολείται με το ψηφιακό μάρκετινγκ. Ενδεικτικά, αλλά όχι περιοριστικά:

Email Marketing

Στην παραδοσιακή πρακτική email marketing, υπήρχε η δυνατότητα αγοράς μαζικής λίστας email και στέλνονταν τυχαία μηνύματα ηλεκτρονικού ταχυδρομείου σε άτομα χωρίς τη συγκατάθεσή τους. Πλέον, η αγορά λιστών ηλεκτρονικού ταχυδρομείου απαγορεύεται αυστηρά.

Η αποστολή ηλεκτρονικής αλληλογραφίας εμπίπτει στις διατάξεις της «αζήτητης ηλεκτρονικής επικοινωνίας» (Ν. 3471/2006) και αφορά δευτερευόντως τα προσωπικά δεδομένα. Σύμφωνα με τις διατάξεις περί αζήτητης ηλεκτρονικής επικοινωνίας, η αποστολή newsletter είναι νόμιμη εφόσον έχει ληφθεί προηγούμενη, ρητή συγκατάθεση από τον λήπτη.

Συνεπώς, σε περίπτωση αποστολής ηλεκτρονικών επικοινωνιών (πχ newsletters) ή στην περίπτωση sms marketing, θα πρέπει οπωσδήποτε να δίνεται η δυνατότητα στους χρήστες για ξεκάθαρη και ρητή συγκατάθεση για το αν επιθυμούν να λαμβάνουν τέτοιες επικοινωνίες / ενημερώσεις (opt-in).

Επίσης, πρέπει να δίνεται σε κάθε επικοινωνία η δυνατότητα απεγγραφής (ανάκλησης της συγκατάθεσης). Επιπλέον, συστήνεται η διαδικασία double-opt-in (αφού δοθεί το e-mail, αποστολή στο e-mail ενός link για επιβεβαίωση από τον επισκέπτη / χρήστη).

Σχετικά με τους υφιστάμενους πελάτες, υπάρχει η δυνατότητα συνέχισης της αποστολής newsletter για όσα «υποκείμενα» η επιχείρηση μπορεί να αποδείξει ότι είχε κάποια συναλλακτική ή άλλη έννομη σχέση μαζί τους (στα πλαίσια της οποίας συνέλεξε και επεξεργάστηκε προσωπικά δεδομένα).

Συνεπώς, δεν υπάρχει πρόβλημα με την αποστολή newsletter στους πελάτες της επιχείρησης, αρκεί να υπάρχει opt-out disclaimer, το οποίο οι παραλήπτες μπορούν εύκολα να βρουν και να επιλέξουν για να μην λαμβάνουν στο μέλλον newsletter ή άλλες επικοινωνίες.

Σχετικά με διευθύνσεις προσωπικών email που αγοράστηκαν από άλλη εταιρία, εφόσον τα υποκείμενα δεν έχουν παράσχει την συγκατάθεση τους για τη λήψη ηλεκτρονικών επικοινωνιών, οποιαδήποτε αποστολή θα κρινόταν παράνομη, ακόμα και αν αυτή πραγματοποιούνταν για την λήψη σχετικής συγκατάθεσης.

Σωστό και τακτικό «ξεκαθάρισμα» της ηλεκτρονικής βάσης δεδομένων

Γενικά, η ορθή πρακτική είναι ο διαχωρισμός παραληπτών, για τους οποίους είναι δυνατόν να αποδειχθεί η λήψη συγκατάθεσης και για τους οποίους δεν μπορεί να αποδειχθεί η λήψη συγκατάθεσης, στους οποίους και δεν πρέπει να αποστέλλονται ηλεκτρονικές επικοινωνίες.

Επιπλέον σημεία που χρήζουν προσοχής είναι η απόκρυψη παραληπτών email με χρήση της κρυφής κοινοποίησης (bcc), η μη αναφορά στον τίτλο / περιγραφή του e-mail ονοματεπωνύμων ή άλλων δεδομένων με τα οποία μπορεί να ταυτοποιηθεί ένα φυσικό πρόσωπο, η μη συγκάλυψη ταυτότητάς του αποστολέα (επιχείρησης) και το «κλείδωμα» επισυναπτόμενου αρχείου με ευαίσθητα δεδομένα με ταυτόχρονη αποστολή του κωδικού ανοίγματος με sms.

Διαφάνεια στην εταιρική ιστοσελίδα και ορθή διαχείριση Cookies

Η ιστοσελίδα πρέπει να είναι απόλυτα διαφανής σχετικά με τις δραστηριότητες επεξεργασίας της, ειδικά όταν πρόκειται για σκοπούς ψηφιακού μάρκετινγκ.

Οι χρήστες πρέπει να ενημερώνονται για τη φύση της επεξεργασίας και τις δραστηριότητες μάρκετινγκ στις οποίες εμπλέκονται, ενώ πρέπει να τους δίνεται η δυνατότητα να αποδέχονται ή να απορρίπτουν την εγκατάσταση cookies πέραν των «αυστηρώς απαραίτητων».

Σε περίπτωση απόρριψης ή μη επιλογής, θα πρέπει να χρησιμοποιούνται μόνο τα αναγκαία τεxνικά / λειτουργικά cookies που εξασφαλίζουν την απρόσκοπτη λειτουργία του ιστότοπου και όχι τα cookies στατιστικών αναλύσεων, στόχευσης/διαφήμισης κλπ.

Όροι και προϋποθέσεις χρήσης / Πολιτική Προστασίας Δεδομένων

Στην ιστοσελίδα πρέπει επίσης να παρατίθενται οι όροι και οι προϋποθέσεις χρήσης της και η πολιτική / δήλωση προστασίας δεδομένων, με αναφορά στις περιγραφές μεθόδου συλλογής των δεδομένων (για παράδειγμα, από απλή επίσκεψη έως την ολοκλήρωση παραγγελίας μέσω αυτής) και τους τρόπους χρήσης των δεδομένων.

Ειδικά για την πολιτική προστασίας δεδομένων, πρέπει σε αυτήν να εξηγείται με απλό και κατανοητό τρόπο πώς ο ιδιοκτήτης της ιστοσελίδας και τυχόν τρίτα μέρη, συλλέγουν, χρησιμοποιούν και προστατεύουν τα προσωπικά δεδομένα των χρηστών. Επιπλέον, πρέπει να δίνονται στοιχεία επικοινωνίας και επιπλέον πληροφορίες.

Φόρμα επικοινωνίας στην ιστοσελίδα / Φόρμα αποστολής CV

Ενημέρωση του επισκέπτη κατα την συμπλήρωση της φόρμας επικοινωνίας στην ιστοσελίδα ή της φόρμας αποστολής βιογραφικού σημειώματος ότι ο στόχος της επεξεργασίας των προσωπικών δεδομένων είναι αποκλειστικά η παροχή απαντήσεων ή επίλυσης τυχόν προβλημάτων ή το ενδεχόμενο πρόσληψης, με αναφορά κάθε φορά στην κατάλληλη νομιμοποιητική βάση του GDPR.

Αξιολόγηση υπηρεσιών τρίτων μερών

Εάν πραγματοποιείται χρήση υπηρεσιών από τρίτους για τους σκοπούς ψηφιακού μάρκετινγκ, τότε πρέπει να προσδιορίζεται πώς συλλέγονται και χρησιμοποιούνται τα δεδομένα μέσω της ιστοσελίδας. Πρέπει να ελέγχονται και να επιβεβαιώνονται εάν οι πολιτικές των τρίτων μερών συμφωνούν με τις προϋποθέσεις του GDPR (πού αποθηκεύονται τα δεδομένα , ύπαρξη κατάλληλων μέτρων ασφαλείας από μέρους των «τρίτων» κλπ.)

Συμμετοχή σε ηλεκτρονικούς διαγωνισμούς

Σε περίπτωση δήλωσης συμμετοχής σε ηλεκτρονικούς διαγωνισμούς μέσω της ιστοσελίδας ή των λογαριασμών κοινωνικής δικτύωσης της επιχείρησης, πρέπει να πραγματοποιείται ενημέρωση ότι τα δεδομένα θα χρησιμοποιηθούν αποκλειστικά για τη διεξαγωγή του διαγωνισμού, με δυνατότητα ανάκλησης της συμμετοχής ανά πάσα στιγμή και ταυτόχρονη αναφορά στην κατάλληλη νομιμοποιητική βάση του GDPR.

Σε περίπτωση ηλεκτρονικού διαγωνισμού με έπαθλο όπου οι χρήστες πρέπει να εισέλθουν στην ιστοσελίδα ώστε να δηλώσουν συμμετοχή, απαγορεύεται στους όρους του διαγωνισμού να είναι προεπιλεγμένο το «τετραγωνίδιο» σύμφωνα με το οποίο οι χρήστες παρέχουν την συγκατάθεση τους για την εγκατάσταση cookies στον υπολογιστή τους, ακόμα και αν οι χρήστες μπορούν να το αποεπιλέξουν.

Συγκαταθέσεις λοιπών υποκειμένων για συμμετοχή σε δράσεις ψηφιακού μάρκετινγκ και άλλων δράσεων

Ενδεικτικά, μπορεί να αφορά τη συγκατάθεση προσωπικού, συνεργατών ή/και τρίτων που συνδέονται με την επιχείρηση για την επεξεργασία των προσωπικών τους δεδομένων, με σκοπό την ανάρτηση δεδομένων τους στην ιστοσελίδα, στα μέσα κοινωνικής δικτύωσης ή/και σε άλλα μέσα ενημέρωσης της επιχείρησης. Μπορεί επίσης να αφορά προβολή εκδήλωσης προσωπικού, παράθεση απόψεων συνεργάτη, προβολή εταιρικού video με «πρωταγωνιστές» μέλη του προσωπικού κλπ.).

Συμπερασματικά, οι επιχειρήσεις που δραστηριοποιούνται στον χώρο του Digital & Social Media Marketing δεν θα πρέπει απλώς να αντιλαμβάνονται τον σκοπό και τη σημαντικότητα της προστασίας των δεδομένων προσωπικού χαρακτήρα που επεξεργάζονται, αλλά και να υιοθετούν μια σειρά από μέτρα προστασίας και διαφύλαξης των δεδομένων. Παράλληλα, θα πρέπει πάντα να επιτρέπεται στους χρήστες η δυνατότητα να αντιτάσσονται ανά πάσα στιγμή και χωρίς χρέωση στις επεξεργασίες των προσωπικών τους δεδομένων που αφορούν εμπορική προώθηση, περιλαμβανομένης της κατάρτισης προφίλ.

*Ο Δημοσθένης Κ. Κωστούλας, GDPR Expert / certified DPO – QMS Lead auditor ISO 9001:2015, είναι απόφοιτος του Τμήματος Διεθνών & Ευρωπαϊκών Οικονομικών και Πολιτικών Σπουδών του Πανεπιστημίου Μακεδονίας και κάτοχος των τίτλων MBΑ, MSc in International Business and Finance και Diploma in Digital & Social Media Marketing (ACT). Είναι ένας εκ των δύο συγγραφέων του βιβλίου με τίτλο «Η Συμμόρφωση με τον Γενικό Κανονισμό Προστασίας Δεδομένων – Πρακτικά Ζητήματα – Υποδείγματα» (Ιανουάριος 2020, Εκδόσεις ΝΟΜΟΡΑΜΑ.ΝΤ), ενώ ταυτόχρονα, είναι εκπαιδευτής και αρθρογράφος για θέματα προστασίας δεδομένων. Είναι γενικός γραμματέας και επικεφαλής της επιτροπής επικοινωνίας και εκδηλώσεων, του Ελληνικού παραρτήματος του European Association of Data Protection Professional (EADPP), επιστημονικός συνεργάτης του Ευρωμεσογειακού Ινστιτούτου Ποιότητας & Ασφάλειας στις Υπηρεσίες Υγείας Avedis Donabedian (EIQSH), μέλος της Homo Digitalis, μέλος του DPO Network Greece και μέλος του Ινστιτούτου Επαγγελματιών Ιδιωτικότητας Β. Ελλάδος (ΙΝ.ΕΠ.ΙΔ).

Πηγές:

Τσιπτσέ, Ο. και Κωστούλας, Δ. (Ιανουάριος 2020), Η συμμόρφωση με τον Γενικό Κανονισμό Προστασίας Δεδομένων GDPR EU 2016/679 – Πρακτικά Ζητήματα Υποδείγματα, Νομικές Εκδόσεις ΝΟΜΟΡΑΜΑ.ΝΤ, Αθήνα

http://homodigitalis.gr/posts/8519, Μικρομεσαίες επιχειρήσεις και Προστασία Προσωπικών Δεδομένων (GDPR), 7 Φεβρουαρίου 2021

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, ΔΕΛΤΙΟ ΤΥΠΟΥ 25/2/2020, Aρ. Πρωτ.: Γ/ΕΞ/1525, Συστάσεις για τη συμμόρφωση υπευθύνων επεξεργασίας δεδομένων με την ειδική νομοθεσία για τις ηλεκτρονικές επικοινωνίες.

https://www.cisco.com/c/en_uk/products/security/security-reports/data-privacy-report-2020.html#~data-privacy-report

https://www.neakriti.gr/article/editors-blogs/adonis-gortzis/1614848/i-auxanomeni-anagli-gia-ithiki-sto-psifiako-marketing/

by master_admin

Apple Airtags: Κινδυνεύουμε από μία εφαρμογή που βρίσκει τα κλειδιά μας;

Γράφει η Μιρέλλα Καβαδάκη *

Ετοιμάζεσαι να βγεις έξω. Βάζεις παπούτσια, παίρνεις τσάντα, κινητό, πορτοφόλι, αλλά δε βρίσκεις τα κλειδιά σου. Κάνεις άνω-κάτω το σπίτι και ακόμη πουθενά τα κλειδιά. Οι φίλοι σου σε περιμένουν κι εσύ έχεις ήδη αργήσει αρκετά. Τί κάνεις;

Εάν συνηθίζεις να χάνεις τα πράγματά σου ή να τα ξεχνάς σε διάφορα μέρη -ποιος δεν το κάνει άλλωστε;- η Apple σου προσφέρει τη λύση με το νέο της προϊόν, το AirTag. Η Apple λάνσαρε αυτή τη μικρή κυκλική συσκευή τον Απρίλιο του 2021 με σκοπό να βοηθήσει τους χρήστες των προϊόντων της (Ipad, Iphone, κλπ) να ανιχνεύουν τα αντικείμενά τους.

Πώς λειτουργεί το AirTag και τα πλεονεκτήματά του

Το μόνο που χρειάζεται να κάνει ο χρήστης είναι να τοποθετήσει το AirTag στο αντικείμενο, που επιθυμεί να γνωρίζει την τοποθεσία του. Για παράδειγμα, μπορεί να τοποθετήσει το AirTag στην αποσκευή του, έτσι ώστε σε περίπτωση που χαθεί, να ξέρει πού βρίσκεται. Μάλιστα, ο χρήστης έχει δικαίωμα να συνδέσει στο Apple ID του έως και 16 διαφορετικά AirTag, πράγμα που σημαίνει ότι μπορεί να ανιχνεύσει έως και 16 διαφορετικά αντικείμενα.

Το AirTag είναι μία μικρή συσκευή 1.26 ιντσών, το οποίο μεταδίδει συνεχώς σήμα μέσω Bluetooth. Το iPhone/iPad σας, ή τα iPhone/iPad αγνώστων που μπορεί να περπατήσουν εντός της εμβέλειας Bluetooth του AirTag σας, διαβιβάζουν το σήμα στην Apple μέσω του διαδικτύου, μαζί με τις συντεταγμένες GPS του σημείου που βρισκόταν το τηλέφωνο ή το tablet, όταν εντόπισε το σήμα.

Δεν είναι η πρώτη φορά που κυκλοφορεί ένα τέτοιο προϊόν στην αγορά. Η εταιρία Tile προσφέρει 4 hardware συσκευές[1], οι οποίες μπορούν να ενσωματωθούν σε κλειδιά, να μπουν στο πορτοφόλι ή να κολλήσουν στο σκελετό του ποδηλάτου. Ο βασικός λόγος, που τα AirTag καταλαμβάνουν την κυρίαρχη θέση στα προϊόντα αυτής της κατηγορίας είναι το γεγονός ότι το προϊόν της Tile πρέπει να το πετάξεις, όταν τελειώσουν οι μπαταρίες του[2].

Η συσκευή της Tile χρησιμοποιεί επίσης σήμα Bluetooth και μία εφαρμογή για την ανίχνευση των αντικειμένων. Αυτό που είναι καινούργιο σχετικά με τα AirTag δεν είναι τόσο η τεχνολογία που κρύβεται από πίσω, όσο περισσότερο η ευκολία ανίχνευσης του αντικειμένου. Ειδικότερα, μέσω του δικτύου ‘Find My’, στο οποίο είναι συνδεδεμένοι οι χρήστες Iphone/Ipad συσκευών, μεταδίδεται το σήμα της τοποθεσίας του AirTag. Πρόκειται για πάνω από 1 δισεκατομμύριο χρήστες σε όλο τον κόσμο, οι οποίοι, χωρίς καν να το γνωρίζουν, σε βοηθούν να βρεις την τοποθεσία του AirTag σου.

Γίνεται αντιληπτό, λοιπόν, ότι η συσκευή αυτή της Apple λειτουργεί πολύ καλά. Μάλιστα, κάποιοι θα έλεγαν ότι λειτουργεί υπερβολικά καλά, σε σημείο που θα έπρεπε να μας ανησυχεί.

Κίνδυνοι

Σε ένα βίντεο που δημοσιεύθηκε στο μέσο κοινωνικής δικτύωσης TikTok[3] -το οποίο μάλιστα έλαβε πάνω από 30 εκατομμύρια προβολές-, η χρήστης έλεγε ότι έλαβε ειδοποίηση στο iPhone της για ένα άγνωστο αξεσουάρ, το οποίο ταξιδεύει μαζί της από το Τέξας σε μία πτήση προς τη Βοστώνη. Σε βίντεο που ανέβασε η ίδια χρήστης 6 ημέρες μετά, δήλωσε πως βρήκε μία συσκευή AirTag, την οποία κάποιος είχε κολλήσει στο εσωτερικό της τσάντας της.

Παράλληλα, έχουν βγει στη δημοσιότητα αρκετές καταγγελίες για παράνομες δραστηριότητες, οι οποίες σχετίζονται με τα AirTag. Πολλές γυναίκες έχουν βρει τη συγκεκριμένη συσκευή στο αυτοκίνητό τους ή σε κάποια τσάντα τους, ενώ παράλληλα κάποιες αστυνομικές αρχές στις ΗΠΑ και τον Καναδά έχουν ήδη αρχίσει να εκπέμπουν τον κώδωνα του κινδύνου για κλοπές πολυτελών αυτοκινήτων[4].

Πριν ακόμη κυκλοφορήσουν τα AirTag στην αγορά, είχαν αρχίσει να εκφράζονται σοβαρές ανησυχίες για τη χρήση τους. Συγκεκριμένα, το Εθνικό Δίκτυο για την Καταπολέμηση της Ενδοοικογενειακής Βίας (National Network to End Domestic Violence – NNEDV) στις ΗΠΑ, σημειώνει τους κινδύνους που εγκυμονεί η συγκεκριμένη συσκευή, ειδικά για άτομα, που ζουν σε κακοποιητικά περιβάλλοντα. Όπως εξηγούν, είναι πολύ πιθανό να χρησιμοποιηθεί το AirTag με σκοπό την ανίχνευση ενός προσώπου, όταν για παράδειγμα αυτό προσπαθεί να διαφύγει από ένα κακοποιητικό περιβάλλον.

Πρόκειται για ζητήματα, τα οποία θα έπρεπε να ληφθούν σοβαρά υπόψη από τις εταιρίες που κατασκευάζουν συσκευές ανίχνευσης. Με τη βία κατά των γυναικών να αυξάνεται τα τελευταία χρόνια (γυναικοκτονίες, βιασμοί, απόπειρες σεξουαλικής παρενόχλησης), η τεχνολογία θα έπρεπε να αποτελεί τροχοπέδη τέτοιων περιστατικών και όχι να τα διευκολύνει να συμβούν.

Σε ερώτηση του δικτύου NNEDV σχετικά με το παρόν ζήτημα, η Apple απάντησε:

«Λαμβάνουμε την ασφάλεια των πελατών μας πολύ σοβαρά και αφοσιωνόμαστε στην ιδιωτικότητα και την ασφάλεια του AirTag. Το AirTag είναι σχεδιασμένο με ένα σύνολο προληπτικών χαρακτηριστικών για να αποθαρρύνει την ανεπιθύμητη παρακολούθηση -για πρώτη φορά στον κλάδο- και το δίκτυο Find My περιλαμβάνει ένα «έξυπνο» σύστημα με αποτρεπτικά μέτρα, που ισχύει για το AirTag, καθώς και για προϊόντα τρίτων που αποτελούν μέρος του Find My δικτύου. Ανεβάζουμε τον πήχη στο απόρρητο για τους χρήστες μας και τον κλάδο και ελπίζουμε ότι θα ακολουθήσουν και άλλοι.»[5].

Είναι αλήθεια. Η Apple έχει χτίσει ορισμένα συστήματα προστασίας. Προκειμένου να καταπολεμήσει το «ανεπιθύμητο tracking», η Apple έκανε δύο σημαντικές αναβαθμίσεις στο σύστημά της. Πρώτον, τα AirTag πλέον μπορούν να ειδοποιούν τα πιθανά θύματα, με ηχητικές ειδοποιήσεις και μηνύματα σχετικά με ύποπτο AirTag, το οποίο έχει συνδεθεί και παρακολουθεί το iPhone. Ωστόσο, όπως τονίζει και ο Goeffrey Fowler[6], συσκευές άλλων εταιριών (π.χ. που χρησιμοποιούν λογισμικό Αndroid[7]) δε γίνεται καν να στείλουν τη συγκεκριμένη ειδοποίηση στους χρήστες τους.

Δεύτερον, το AirTag θα βγάζει ήχο, εάν βρίσκεται μακριά από τον ιδιοκτήτη του για πολύ καιρό. Αρχικά το διάστημα αυτό ήταν 3 ημέρες, ενώ πλέον η Apple το έχει ορίσει στις 8-24 ώρες. Προβληματικό είναι ωστόσο ότι η ίδια η ειδοποίηση δεν κρατάει πάνω από 15 δευτερόλεπτα.

Πρόσφατα, η Apple ανακοίνωσε την κυκλοφορία μιας νέας εφαρμογής που ονομάζεται Tracker Detect, την οποία μπορούν να κατεβάζουν οι χρήστες άλλων συσκευών προκειμένου να λαμβάνουν ειδοποιήσεις[8].

Τέλος, η Apple υποστηρίζει ότι κάθε AirTag είναι καταχωρημένο με το Apple ID του κατόχου του, το οποίο η εταιρία μπορεί να διαθέσει στις αρχές -μαζί με τις σχετικές προσωπικές πληροφορίες του.

Συμπεράσματα

Είναι πραγματικά αξιοθαύμαστο το πόσα πλεονεκτήματα μπορεί να προσφέρει η τεχνολογία στη ζωή μας, καθώς και πόσα προβλήματα μπορεί να επιλύσει. Από τα πιο «μικρά» και καθημερινά προβλήματα έως σοβαρότερα και μεγαλύτερου βεληνεκούς. Συγχρόνως όμως, αρκετές φορές παρατηρείται ότι από αυτές τις λύσεις δημιουργούνται καινούργια προβλήματα.

Σίγουρα τα προβλήματα που αναφέρθηκαν είναι αρκετά σημαντικά. Η χρήση συσκευών, όπως τα AirTags, δημιουργεί ζητήματα ιδιωτικότητας και ασφάλειας των ανθρώπων. Ακόμη και αν εμείς οι ίδιοι αποφασίσουμε να μην αγοράσουμε τη συγκεκριμένη συσκευή, το μόνο που καταφέρνουμε είναι εμείς να μην ανιχνεύσουμε άλλους ανθρώπους. Όχι να μην ανιχνευθούμε εμείς.

Είναι αρκετά ενθαρρυντικό το γεγονός ότι η Apple από την πρώτη στιγμή κυκλοφορίας του προϊόντος της προσπαθεί να δημιουργήσει δικλείδες ασφαλείας. Παράλληλα, ζώντας στον κόσμο της πληροφορίας, δεν μπορούμε να αγνοήσουμε τη συνεισφορά των μέσων κοινωνικής δικτύωσης στη διάδοση του συγκεκριμένου γεγονότος και κατ’ επέκταση την επαγρύπνηση άλλων ατόμων.

Ήδη από τις 13 Δεκεμβρίου, η Apple δημοσίευσε στην ιστοσελίδα της σχετικές οδηγίες[9] για τα άτομα που βρίσκουν ένα άγνωστο AirTag ή λαμβάνουν την ειδοποίηση ότι παρακολουθούνται.

Εμείς από την πλευρά μας εξακολουθούμε να παρακολουθούμε τις εξελίξεις, οι οποίες ειδικά στον κόσμο της τεχνολογίας τρέχουν χωρίς να το καταλάβουμε. Με επίκεντρο πάντα τον άνθρωπο και τα δικαιώματά του.

*Η Μιρέλλα Καβαδάκη είναι δικηγόρος και κάτοχος του μεταπτυχιακού τίτλου σπουδών «Εθνική και Ενωσιακή Διοίκηση» του Παντείου Πανεπιστήμιου.

[1] Μέχρι σήμερα έχουν πωληθεί πάνω από 35 εκατομμύρια συσκευές της εταιρίας Tile. Πηγή: https://www.cnbc.com/2021/04/27/apple-airtags-versus-tile-tracker-how-they-compare.html

[2] The Australian Financial Review. Apple’s AirTags are so good they’re scary. Melbourne [Melbourne], 04 May 2021: 19.

[3] https://www.tiktok.com/@angel.edge95/video/7033117374861577477

[4] https://www.nytimes.com/2021/12/30/technology/apple-airtags-tracking-stalking.html

[5] https://www.fastcompany.com/90630404/apple-airtags-could-enable-domestic-abuse-in-terrifying-ways

[6] https://www.washingtonpost.com/technology/2021/05/05/apple-airtags-stalking/

[7] Αξίζει να σημειωθεί ότι βρίσκονται πάνω από 2,5 δισεκατομμύρια ενεργοί χρήστες Android σε όλο τον κόσμο με πάνω από 3 εκατομμύρια συσκευές. Πηγή: https://www.inmobi.com/blog/2021/08/09/understanding-android-users-worldwide

[8] Η εφαρμογή έχει ήδη λάβει αρκετές αρνητικές κριτικές από τους χρήστες, οι οποίοι τονίζουν το γεγονός ότι δεν τους δίνεται η δυνατότητα λειτουργίας στο background. Εν αντιθέσει, για να λάβουν την ειδοποίηση ότι κάποιος τους παρακολουθεί, πρέπει πρώτα να ανοίξουν την εφαρμογή.

[9] https://support.apple.com/en-us/HT212227

by master_admin

Το Πρόγραμμα Συμμόρφωσης με τον GDPR από μια πρακτική σκοπιά

Γράφει ο Δημοσθένης Κωστούλας, ΜΒΑ, MSc *

Σκοπός του Γενικού Κανονισμού Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (679/2016) είναι η ασφαλής διαχείριση των προσωπικών δεδομένων από φορείς και επιχειρήσεις του δημόσιου και ιδιωτικού τομέα στην ευρωπαϊκή επικράτεια.

Συγκεκριμένα, μέσω της θέσπισης ενιαίων κανόνων, επιχειρείται η προστασία των φυσικών προσώπων έναντι της επεξεργασίας προσωπικών δεδομένων, ενώ παράλληλα προστατεύονται θεμελιώδη δικαιώματα και ελευθερίες των φυσικών προσώπων και ειδικότερα το δικαίωμα τους στην προστασία των δεδομένων.

Στο πλαίσιο αυτό, οι οργανισμοί δεν θα πρέπει απλώς να γνωρίζουν τις υποχρεώσεις που απορρέουν από τον κανονισμό και την κείμενη νομοθεσία, αλλά και να υλοποιούν μια σειρά από ενέργειες προς την κατεύθυνση της προστασίας των προσωπικών δεδομένων που επεξεργάζονται.

Πιο συγκεκριμένα, μέσω ενός κατάλληλου προγράμματος συμμόρφωσης, ένας οργανισμός θα πρέπει να αναπτύξει όλους τους απαραίτητους μηχανισμούς, για να είναι σε θέση να ικανοποιεί, μεταξύ των άλλων, και:

τις θεμελιώδεις αρχές για τη νομιμότητα κάθε επεξεργασίας,
τα θεμελιώδη δικαιώματα των υποκειμένων (ενημέρωση, πρόσβαση, διόρθωση, διαγραφή (λήθη), περιορισμός επεξεργασίας, εναντίωση (και στο profiling) και φορητότητα,
τις υποχρεώσεις του ως υπεύθυνος επεξεργασίας.

Ειδικότερα για την αρχή της λογοδοσίας του υπεύθυνου επεξεργασίας, η οπoία αποτελεί και μια από τις θεμελιώδεις αρχές του GDPR, η λογοδοσία αυτή καθαυτή προκύπτει από την ευθύνη συμμόρφωσης του οργανισμού και την υποχρέωση απόδειξης της συμμόρφωσης ανά πάσα ώρα και στιγμή.

Στο πλαίσιο αυτό, η διοίκηση ενός οργανισμού θα πρέπει να στραφεί προς την προοπτική συμμόρφωσης, αντιλαμβανόμενη ωστόσο ότι μια ουσιαστική συμμόρφωση απαιτεί δέσμευση, πόρους και εργατοώρες.

ΠΡΙΝ ΤΗΝ ΕΝΑΡΞΗ ΤΟΥ ΠΡΟΓΡΑΜΜΑΤΟΣ ΣΥΜΜΟΡΦΩΣΗΣ

Επιλογή τρόπου συμμόρφωσης

Εφόσον κριθεί ότι η συμμόρφωση είναι απαραίτητη, η διοίκηση ενός οργανισμού θα πρέπει να επιλέξει σε ποιόν θα ανατεθεί το έργο της συμμόρφωσης.

Όπως και στην περίπτωση διορισμού του υπεύθυνου προστασίας δεδομένων (εφεξής DPO), ένας οργανισμός θα μπορούσε να εξετάσει το ενδεχόμενο της ανάθεσης του έργου συμμόρφωσης σε άτομο ή άτομα που απασχολούνται ήδη στον οργανισμό ή να εξετάσει το ενδεχόμενο ανάθεσης του έργου συμμόρφωσης σε σύμβουλο με αποδεδειγμένη δραστηριότητα στο συγκεκριμένο τομέα.

Πρώτη αυτοαξιολόγηση

Από την στιγμή που θα γίνει η τελική επιλογή του τρόπου συμμόρφωσης, θα πρέπει να ξεκινήσουν οι διαδικασίες προς αυτήν την κατεύθυνση.

Καταρχάς, και στις δύο περιπτώσεις (εσωτερική ή εξωτερική ανάθεση), θα πρέπει να συμπληρώνεται ένα ερωτηματολόγιο αρχικής αυτοαξιολόγησης σχετικά με το υφιστάμενο επίπεδο προστασίας δεδομένων του οργανισμού. Αυτό θα βοηθήσει τόσο τον οργανισμό, όσο και τον υπεύθυνο συμμόρφωσης, για να γνωρίζουν από ποια βάση εκκινούν.

Το αποτέλεσμα της αυτοαξιολόγησης μπορεί σε κάποιες περιπτώσεις να επηρεάσει και το συνολικό τίμημα, αφού ενδεχομένως να απαιτηθεί μεγαλύτερη ή μικρότερη προσπάθεια ανάλογα με το υφιστάμενο επίπεδο ετοιμότητας του οργανισμού.

Ορισμός ομάδας εργασίας

Επιπλέον, σε περίπτωση εξωτερικής ανάθεσης, θα πρέπει ο οργανισμός να ορίσει έναν ή και παραπάνω υπεύθυνους επικοινωνίας με την ομάδα συμμόρφωσης και, επιπλέον, να ορίσει μια στενή «ομάδα εργασίας».

Μια ουσιαστική συμμόρφωση απαιτεί διαρκή επικοινωνία μεταξύ των δύο μερών, τόσο για την άμεση ανταλλαγή δεδομένων και πληροφοριών, όσο και για επιτόπιες απαντήσεις και διευκρινήσεις σε απορίες και ερωτήματα της ομάδας συμμόρφωσης.

Πρώτη γνωστοποίηση στο προσωπικό

Σε αυτήν την φάση, απαραίτητη κρίνεται και μια επίσημη ενημέρωση του προσωπικού κάθε ειδικότητας, σχετικά με το επικείμενο πρόγραμμα συμμόρφωσης, καθώς και για την εμπλοκή όλων των βαθμίδων ιεραρχίας και όλων των τμημάτων σε αυτήν την συλλογική προσπάθεια.

ΥΛΟΠΟΙΗΣΗ ΤΟΥ ΠΡΟΓΡΑΜΜΑΤΟΣ ΣΥΜΜΟΡΦΩΣΗΣ

Ενδεικτικό Πρόγραμμα Συμμόρφωσης

Όπως είναι αντιληπτό, σκοπός είναι η διασφάλιση του μέγιστου βαθμού συμμόρφωσης του οργανισμού στις απαιτήσεις και τις προϋποθέσεις του GDPR, με γνώμονα η συμμόρφωση να μην δημιουργεί εμπόδια στην καθημερινή λειτουργία και δραστηριότητα του οργανισμού.

Το πρόγραμμα συμμόρφωσης χωρίζεται σε επιμέρους στάδια, κάθε ένα από τα οποία είναι σημαντικό, αφού αποτελούν ενδιάμεσους κρίκους που θα οδηγήσουν στην τελική συμμόρφωση του οργανισμού.

Σε γενικές γραμμές, στην αρχή διεξάγεται μια εκτίμηση του υφιστάμενου επιπέδου συμμόρφωσης σχετικά με τον διαχείριση των προσωπικών δεδομένων.

Στην πορεία, και αφού έχουν συλλεγεί όλες οι απαραίτητες πληροφορίες, προετοιμάζεται ένα πλάνο δράσης στο οποίο περιλαμβάνονται τα προτεινόμενα μέτρα, τα οποία θα πρέπει να έχουν συμφωνηθεί με τον οργανισμό. Το κάθε στάδιο θα πρέπει να συνοδεύεται και από ένα σαφές χρονοδιάγραμμα υλοποίησης.

Το χρονοδιάγραμμα υλοποίησης και η χρονική διάρκεια κάθε επιμέρους φάσης, αλλά και του συνολικού προγράμματος συμμόρφωσης, διαφοροποιούνται κατά περίπτωση.

ΠΡΩΤΗ ΦΑΣΗ ΣΥΜΜΟΡΦΩΣΗΣ

Πρώτες συναντήσεις και επιτόπιες επιθεωρήσεις

Στην πλειονότητα των περιπτώσεων, το έργο συμμόρφωσης ξεκινάει με μια πρώτη συνάντηση, για να ακολουθήσουν πολλές άλλες συναντήσεις και ανταλλαγές πληροφοριών. Στην πρώτη συνάντηση διαμορφώνεται ένα κοινά αποδεκτό πλάνο ενεργειών, χωρισμένο σε επιμέρους στάδια και με σαφή χρονοδιαγράμματα, ενώ παράλληλα τίθενται επί τάπητος τα βασικά θέματα και οι διαδικασίες που θα πρέπει να ακολουθηθούν.

Αρχικές εκπαιδεύσεις

Στην φάση αυτή πραγματοποιούνται οι πρώτες γενικές εκπαιδεύσεις για τον GDPR στην διοίκηση και στο προσωπικό, ξεκινώντας από τους διευθυντές / προϊσταμένους των τμημάτων. Στην περίπτωση πολυπληθών οργανισμών, η πρώτη εκπαίδευση θα μπορούσε να είναι μια ευρεία παρουσίαση που απευθύνεται σε μεγάλο αριθμό προσωπικού.

Ευρετήριο Προσωπικών Δεδομένων και Αρχείο Ροών Δεδομένων

Τόσο το Ευρετήριο Προσωπικών Δεδομένων, όσο και το Αρχείο Ροών Δεδομένων, αποτελούν προπομπούς του Αρχείου Χαρτογράφησης, του Αρχείου Δραστηριοτήτων Επεξεργασίας, αλλά και της μετέπειτα Μελέτης Αποκλίσεων.

Τα δεδομένα συλλέγονται από συμπεράσματα που προκύπτουν τόσο από συναντήσεις και προφορικές συζητήσεις, όσο και μέσω της διανομής και συμπλήρωσης ειδικού ερωτηματολογίου.

Αρχείο Χαρτογράφησης

Αποτελεί μια χρήσιμη ανάλυση της υφιστάμενης κατάστασης σχετικά με την προστασία προσωπικών δεδομένων και των κινδύνων που ελλοχεύουν.

Στο συγκεκριμένο αρχείο πραγματοποιείται μια παρουσίαση των ευρημάτων ανά τμήμα ή/και θέση εργασίας που σχετίζονται με την προστασία των δεδομένων. Η συγκεκριμένη μελέτη θα πρέπει να περιλαμβάνει όλες τις ήδη εντοπισμένες δραστηριότητες του οργανισμού.

Αρχείο Δραστηριοτήτων Επεξεργασίας

Μαζί με την Αρχείο Χαρτογράφησης, σε αυτήν την φάση προετοιμάζεται και απαραίτητο Αρχείο Δραστηριοτήτων, στο οποίο θα πρέπει να απεικονίζονται όλα όσα ορίζει ο GDPR.

Πρώτα νομικά, τεχνικά και οργανωτικά θέματα συμμόρφωσης

Πέρα από τα παραδοτέα αρχεία που προαναφέρθηκαν, στην πρώτη φάση του προγράμματος συμμόρφωσης συστήνεται να ξεκινήσει η υλοποίηση και συγκεκριμένων κρίσιμων διορθωτικών οργανωτικών και τεχνικών μέτρων, για τα οποία κρίνεται σκόπιμο να μην υπάρξουν καθυστερήσεις.

ΔΕΥΤΕΡΗ ΦΑΣΗ ΣΥΜΜΟΡΦΩΣΗΣ

Επόμενες συναντήσεις – επισκέψεις – εκπαιδεύσεις

Στην δεύτερη φάση του προγράμματος συμμόρφωσης, πραγματοποιούνται νέες επισκέψεις σύμφωνα με την εξέλιξη της συμμόρφωσης, ενώ συζητούνται τα παραδοτέα αρχεία της πρώτης φάσης, με περεταίρω εμβάθυνση σε όσα πεδία είναι σημαντικά ή για τα οποία ενδεχομένως να υπάρχουν απορίες.

Ανάλυση Αποκλίσεων

H Ανάλυση Αποκλίσεων έχει σκοπό τον εύρεση των νομικών, κανονιστικών, οργανωτικών και τεχνολογικών αποκλίσεων ως προς τις απαιτήσεις και τις προϋποθέσεις του Κανονισμού.

Θα μπορούσε να ειπωθεί ότι η συγκεκριμένη ανάλυση αφορά μια επαλήθευση των προβληματικών πεδίων που βρέθηκαν από την φάση της αρχικής χαρτογράφησης, μόνο που εδώ συσχετίζονται με συγκεκριμένες απαιτήσεις του Κανονισμού.

Ανάλυση Κινδύνων

Αν και η ενδεδειγμένη μέθοδος για την εκτίμηση του επιπέδου ασφάλειας σχετικά με την προστασία δεδομένων προσωπικού χαρακτήρα αποτελεί η υλοποίηση της Μελέτης Αντικτύπου (DPIA), σύμφωνα με τα οριζόμενα στις διατάξεις του άρθρου 35 του ΓΚΠΔ, η προαναφερόμενη εκτίμηση και αξιολόγηση των κινδύνων, που απορρέουν από την επεξεργασία, πρέπει να διενεργείται σε κάθε περίπτωση, ακόμα και στις περιπτώσεις επεξεργασιών για τις οποίες δεν απαιτείται διενέργεια μελέτης αντικτύπου.

Η ανάλυση συστήνεται να υλοποιείται τόσο πριν, όσο και μετά από την εφαρμογή των προτεινόμενων μέτρων.

Μελέτη Αντικτύπου (Data Privacy Impact Analysis)

Σύμφωνα με τον Άρθρο 35 του Κανονισμού 679/2016, «όταν ένα τύπος επεξεργασίας, ιδίως με την χρήση τεχνολογιών, λαμβανομένων υπόψη της φύσης, του πλαισίου, του πεδίου εφαρμογής και των σκοπών επεξεργασίας, είναι πιθανόν να προκαλέσει μεγάλο κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας, πριν από την επεξεργασία, προβαίνει σε εκτίμηση επιπτώσεων των προβλεπόμενων πράξεων επεξεργασίας στην προστασία δεδομένων προσωπικού χαρακτήρα».

Σε αυτό το σημείο κρίνεται σκόπιμη η αναφορά στην σχέση της γενικότερης Ανάλυσης Κινδύνων με την ειδικότερη Μελέτη Αντικτύπου.

Η Μελέτη Αντικτύπου αποτελεί ουσιαστικά μια μεθοδολογία Risk Assessment (ή αλλιώς, ένα υποσύνολο της) με κοινές αρχές και στόχους.

Και αυτό, αφού πολλές από τις ενέργειες και δράσεις που εφαρμόζονται για την Μελέτη Αντικτύπου, εκπονούνται ήδη για γενικότερη Ανάλυση Κινδύνων. Άλλωστε, πολλοί οργανισμοί (συνήθως οι μεγάλοι σε μέγεθος), μπορεί να επιλέξουν να ενσωματώσουν την Μελέτη Αντικτύπου στο ευρύτερο εταιρικό πλαίσιο διαχείρισης κινδύνων που υιοθετούν.

ΤΡΙΤΗ ΦΑΣΗ ΣΥΜΜΟΡΦΩΣΗΣ

Τελευταίες επισκέψεις και εκπαιδεύσεις

H τελευταία φάση του προγράμματος συμμόρφωσης αποτελείται από συναντήσεις κατά τις οποίες συνοψίζονται εκ νέου όλα τα παραδοτέα αρχεία, με αναφορά στους κινδύνους / ευρήματα και στα κατάλληλα τεχνικά και οργανωτικά μέτρα. Τα επόμενα βήματα που θα ακολουθήσει ο οργανισμός είναι πολύ σημαντικά για την διαρκή και ουσιαστική του συμμόρφωση με τις απαιτήσεις του GDPR. Παράλληλα, υλοποιούνται και οι τελευταίες εκπαιδεύσεις για το προσωπικό που πιθανόν απουσίαζε από τις αρχικές εκπαιδεύσεις.

Πρόγραμμα Υλοποίησης Προτεινόμενων Μέτρων

Σε αυτήν την φάση υλοποιείται και παραδίδεται το Πρόγραμμα Υλοποίησης Προτεινόμενων Μέτρων για την Προστασία Προσωπικών Δεδομένων.

Πρόκειται μια λίστα των μέτρων με λεπτομέρειες για το ποιος / ποιοι θα το υλοποιήσουν, το status υλοποίησης, ένα χρονοδιάγραμμα υλοποίησης και σχετικές παρατηρήσεις. Το συγκεκριμένο αρχείο πρέπει να παρακολουθείται στην συνέχεια από τον DPO, ο οποίος και θα πρέπει να το διατηρεί μονίμως επικαιροποιημένο.

Σχεδιασμός και διανομή πολιτικών, διαδικασιών, οδηγιών εργασίας, εντύπων

Βάσει του Προγράμματος Υλοποίησης Προτεινόμενων Μέτρων, σε αυτήν την φάση σχεδιάζονται και διανέμονται επίσημα καταγεγραμμένες πολιτικές, διαδικασίες και οδηγίες εργασίας, οι οποίες σχετίζονται με την ασφάλειας των δεδομένων και έχουν σαν σκοπό την κάλυψη των αποκλίσεων που εντοπίστηκαν κατά την δεύτερη φάση.

ΟΛΟΚΛΗΡΩΣΗ ΠΡΟΓΡΑΜΜΑΤΟΣ ΣΥΜΜΟΡΦΩΣΗΣ

Με την παράδοση και των τελευταίων Πολιτικών, Διαδικασιών, Οδηγιών Εργασίας, Εντύπων και άλλων παραδοτέων που συγκαταλέγονται στα προτεινόμενα μέτρα, μπορεί να θεωρηθεί ότι ολοκληρώνεται επισήμως το πρόγραμμα συμμόρφωσης του οργανισμού.

Ωστόσο, οι οργανισμοί είθισται να παρουσιάζουν σημεία απόκλισης μετά από το τέλος της περιόδου επίσημης συμμόρφωσης, με τα σημεία απόκλισης να μεγαλώνουν με το πέρασμα του χρόνου.

Αυτή η αντίδραση μπορεί να θεωρηθεί σε κάποιο βαθμό δικαιολογημένη και αναμενόμενη, αφού η πίεση της καθημερινότητας και οι μεγάλες απαιτήσεις σε σχέση με την κύρια δραστηριότητα και την απρόσκοπτη λειτουργία ενός οργανισμού, μπορεί να θέσουν σταδιακά την προστασία των δεδομένων σε δεύτερη προτεραιότητα.

Για τους παραπάνω λόγους, η παρουσία ενός Υπεύθυνου Προστασίας Δεδομένων (DPO) πρέπει να είναι ουσιαστική και συνεχόμενη, μέσα από μια σειρά ενεργειών, οι οποίες θα καλλιεργούν και θα συντηρούν μια πιο μόνιμη κουλτούρα συμμόρφωσης εντός του οργανισμού (για περισσότερες πληροφορίες: https://www.homodigitalis.gr/posts/7535).

Ακόμα όμως και στις περιπτώσεις όπου δεν απαιτείται η παρουσία ενός DPO, οι οργανισμοί θα πρέπει από μόνοι τους να εφαρμόζουν όλα τα απαραίτητα για μια ουσιαστική συμμόρφωση με το GDPR και την κείμενη νομοθεσία σχετικά με την προστασία προσωπικών δεδομένων.

*Ο Δημοσθένης Κ. Κωστούλας, GDPR Expert / certified DPO – QMS Lead auditor ISO 9001:2015, είναι απόφοιτος του Τμήματος Διεθνών & Ευρωπαϊκών Οικονομικών και Πολιτικών Σπουδών του Πανεπιστημίου Μακεδονίας και κάτοχος τίτλων MBΑ από το ICBS Thessaloniki Business College και MSc in International Business and Finance από το Reading University, UK. Είναι ένας εκ των δύο συγγραφέων του βιβλίου με τίτλο «Η Συμμόρφωση με τον Γενικό Κανονισμό Προστασίας Δεδομένων – Πρακτικά Ζητήματα – Υποδείγματα» (Ιανουάριος 2020, Εκδόσεις ΝΟΜΟΡΑΜΑ.ΝΤ), ενώ ταυτόχρονα, είναι αρθρογράφος για το GDPR. Είναι γενικός γραμματέας, μέλος Δ.Σ. και επικεφαλής της επιτροπής επικοινωνίας και εκδηλώσεων, του Ελληνικού παραρτήματος του European Association of Data Protection Professional (EADPP), επιστημονικός συνεργάτης του Ευρωμεσογειακού Ινστιτούτου Ποιότητας & Ασφάλειας στις Υπηρεσίες Υγείας Avedis Donabedian (EIQSH), μέλος του DPO Network Greece, μέλος της ομάδας Homo Digitalis και μέλος του Ινστιτούτου Επαγγελματιών Ιδιωτικότητας Β. Ελλάδος (ΙΝ.ΕΠ.ΙΔ).

Πηγές:

Τσιπτσέ, Ο. και Κωστούλας, Δ. (Ιανουάριος 2020), Η συμμόρφωση με τον Γενικό Κανονισμό Προστασίας Δεδομένων GDPR EU 2016/679 – Πρακτικά Ζητήματα Υποδείγματα, Νομικές Εκδόσεις ΝΟΜΟΡΑΜΑ.ΝΤ, Αθήνα

http://homodigitalis.gr/posts/8519, Μικρομεσαίες επιχειρήσεις και Προστασία Προσωπικών Δεδομένων (GDPR), 7 Φεβρουαρίου 2021

http://homodigitalis.gr/posts/7535, Ο ρόλος και η «καθημερινότητα» του Υπεύθυνου Προστασίας Δεδομένων (DPO), 11 Οκτωβρίου, 2020

Γενικός Κανονισμός Προστασίας Δεδομένων (ΕΕ) 2016/679 https://www.dpa.gr/portal/page?_pageid=33,213319&_dad=portal&_schema=PORTAL

by master_admin

Η Διεθνής Σύμβαση για τα Δικαιώματα του παιδιού έγινε “digital”

Γράφει η Κίρκη Πατσιαντά*

Η Διεθνής Σύμβαση για τα Δικαιώματα του Παιδιού υιοθετήθηκε από τη Γενική Συνέλευση των Ηνωμένων Εθνών το 1989 και μέχρι στιγμής δεσμεύει 196 κράτη, ένα εκ των οποίων είναι και η Ελλάδα (Νόμος 2101/1992).

Θεωρείται η Σύμβαση που χαίρει, διεθνώς, της μεγαλύτερης αποδοχής και περιλαμβάνει το πλήρες φάσμα των δικαιωμάτων – οικονομικών, κοινωνικών, πολιτιστικών, ατομικών και πολιτικών – που πρέπει να απολαμβάνουν τα παιδιά.

Η εν λόγω Σύμβαση θεωρείται “pre-digital”, καθώς, την εποχή που συντάσσονταν, δεν μπορούσε κανείς να φανταστεί την επιρροή που θα είχε ο ψηφιακός κόσμος στη ζωή των παιδιών και έτσι δεν περιλαμβάνει κάποια αναφορά σε αυτόν.

Εντούτοις, το περιεχόμενό της είναι απόλυτα δυναμικό και, συνακόλουθα, πλήρως εφαρμόσιμο στις δυνατότητες και στις προκλήσεις που παρουσιάζει για τα δικαιώματα του παιδιού η ψηφιακή εποχή.

Επιβεβαίωση του γεγονότος αυτού αποτελεί το Γενικό Σχόλιο Ν°25 αναφορικά με τα δικαιώματα των παιδιών στο ψηφιακό περιβάλλον, που υιοθετήθηκε από την Επιτροπή Δικαιωμάτων του Παιδιού τον Μάρτιο του 2021.

Η Επιτροπή Δικαιωμάτων του Παιδιού είναι το όργανο που επιβλέπει την εφαρμογή της Σύμβασης.

Τα κράτη που δεσμεύονται από τη Σύμβαση οφείλουν να υποβάλουν εκθέσεις στην Επιτροπή σχετικά με την κατάσταση των δικαιωμάτων των παιδιών στην επικράτειά τους, προκειμένου η Επιτροπή να τις εξετάσει και να προβεί σε ανάλογες συστάσεις.

Η Επιτροπή δεν μπορεί να επιβάλει κυρώσεις σε κάποιο κράτος σε περίπτωση παραβιάσεων των δικαιωμάτων του παιδιού, αλλά οι διαπιστώσεις της ασκούν πίεση στις κυβερνήσεις και εκθέτουν σε παγκόσμιο επίπεδο τα κακώς κείμενα των κρατών.

Επίσης, η Επιτροπή ερμηνεύει τα δικαιώματα του παιδιού σε σχέση με συγκεκριμένα θέματα υπό τη μορφή Γενικών Σχολίων.

Αυτό ακριβώς έγινε λοιπόν και εδώ. Η Επιτροπή, με ένα ιστορικό και πρωτοποριακό Γενικό Σχόλιο, στη διαβούλευση για τη σύνταξη του οποίου συμμετείχαν 709 παιδιά από 28 χώρες, δηλώνει ρητώς και για πρώτη φορά ότι τα δικαιώματα του παιδιού, όπως κατοχυρώνονται από τη Σύμβαση, έχουν πλήρη εφαρμογή και στο ψηφιακό περιβάλλον.

Με άλλα λόγια, η προώθηση και προστασία των δικαιωμάτων των παιδιών πρέπει να πραγματοποιείται με την ίδια συνέπεια τόσο offline όσο και online.

Το Γενικό Σχόλιο Ν°25 δεν υπογραμμίζει μόνο την αναμφισβήτητη ισχύ των δικαιωμάτων των παιδιών στο ψηφιακό κόσμο.

Είναι παράλληλα ένα μέσο για την αποτελεσματική υλοποίησή τους, υποδεικνύοντας τις κατάλληλες διόδους.

Απευθύνεται στις κυβερνήσεις, που πρέπει να το αντιμετωπίσουν ως τον πρωταρχικό τους σύμβουλο στη διαμόρφωση των σχετικών πολιτικών και νόμων, αλλά και στα ίδια τα παιδιά, στους επαγγελματίες που δουλεύουν με ή για αυτά, στους γονείς και στην κοινωνία γενικότερα, καθώς τους προσφέρει ουσιαστικά εφόδια, για να διεκδικήσουν από το κράτος ένα ψηφιακό περιβάλλον που σέβεται το σύνολο των δικαιωμάτων του παιδιού.

Επιπρόσθετα, τα κράτη, στις εκθέσεις που υποχρεούνται να υποβάλουν στην Επιτροπή, πρέπει να αναφέρονται πλέον στην κατάσταση των δικαιωμάτων των παιδιών στο ψηφιακό περιβάλλον και να υπόκεινται έτσι στο έλεγχό της.

Στο Γενικό Σχόλιο αναφέρεται και η Στρατηγική της Ευρωπαϊκής Ένωσης για τα δικαιώματα του παιδιού (2021-2024), που υιοθετήθηκε πρόσφατα, αναγνωρίζοντας τη σπουδαιότητά του για την ερμηνεία των δικαιωμάτων των παιδιών στο ψηφιακό περιβάλλον.

Βασικό χαρακτηριστικό του Γενικού Σχολίου είναι η προσπάθεια επίτευξης ισορροπίας ανάμεσα στην ανάγκη προστασίας των παιδιών από τους κινδύνους που παρουσιάζει για αυτά το διαδίκτυο και στην αναγνώριση των δυνατοτήτων που τους δίνει για την άσκηση των δικαιωμάτων τους.

Ειδικότερα, το Γενικό Σχόλιο αναλύει καταρχάς, υπό το πρίσμα του ψηφιακού κόσμου, τις τέσσερις βασικές αρχές της Σύμβασης:

το δικαίωμα του παιδιού στη μη διάκριση, που συνεπάγεται την ίση πρόσβαση όλων των παιδιών στο ψηφιακό περιβάλλον και την καταπολέμηση του ψηφιακού αποκλεισμού
την έννοια του ύψιστου συμφέροντος του παιδιού, που πρέπει να λαμβάνεται πρωτίστως υπόψη σε κάθε ενέργεια σχετική με το σχεδιασμό, τη διαχείριση και τη χρήση του ψηφιακού περιβάλλοντος
το δικαίωμα του παιδιού στη ζωή, την επιβίωση και την ανάπτυξη, δίνοντας έμφαση στη σημασία που έχει το internet για τα παιδιά σε περιόδους κρίσεων
το δικαίωμα του παιδιού να εκφράζει ελεύθερα την άποψή του σχετικά με θέματα που το αφορούν, αναγνωρίζοντας την πληθώρα των ευκαιριών που παρέχει σχετικά το διαδίκτυο

Έπειτα, τονίζεται το πόσο σημαντικό είναι να προσαρμόζονται τα μέτρα προστασίας και οι όροι πρόσβασης των παιδιών στο ψηφιακό περιβάλλον στην εξέλιξη των ικανοτήτων τους όσο αυτά μεγαλώνουν και αποκτούν μεγαλύτερη αυτονομία, πράγμα που σημαίνει ότι και οι γονείς τους οφείλουν να μάθουν να σέβονται την ανεξαρτησία των παιδιών τους online, καθώς αυτά ωριμάζουν και εξελίσσονται.

Υποδεικνύοντας τους διάφορες πρακτικές μεθόδους, το Γενικό Σχόλιο καλεί τα κράτη κυρίως:

να φροντίσουν ότι το ισχύον νομικό πλαίσιο αναφορικά με το ψηφιακό περιβάλλον σέβεται τα δικαιώματα των παιδιών
να εντάξουν στην εθνική τους στρατηγική για τα δικαιώματα του παιδιού την online διάσταση αυτών
να ορίσουν έναν κρατικό φορέα που θα ασχολείται με την υλοποίηση των δικαιωμάτων του παιδιού online
να μεριμνήσουν για την παροχή επιμόρφωσης στα δικαιώματα του παιδιού στο ψηφιακό περιβάλλον στους επαγγελματίες που εργάζονται με ή για τα παιδιά, σε όσους εργάζονται στον επιχειρηματικό τομέα και στη βιομηχανία της τεχνολογίας
να εξασφαλίσουν ότι οι επιχειρήσεις σέβονται τα δικαιώματα του παιδιού στο διαδίκτυο
να λαμβάνουν πρωτίστως υπόψη το συμφέρον των παιδιών, όταν θέτουν τους κανόνες που διέπουν τις online διαφημίσεις που τα αφορούν
να προβλέψουν κατάλληλες δικαστικές και εξωδικαστικές διόδους για την καταγγελία παραβιάσεων των δικαιωμάτων των παιδιών στο ψηφιακό περιβάλλον
να εγγυηθούν στον ψηφιακό κόσμο το δικαίωμα του παιδιού στην ελευθερία της έκφρασης και στην πρόσβαση σε πληροφορίες, το δικαίωμά του για ελευθερία σκέψης, συνείδησης και θρησκείας, το δικαίωμα του να συνεταιρίζεται και να συνέρχεται ειρηνικά
να διαφυλάξουν την ιδιωτική ζωή και τα δεδομένα προσωπικού χαρακτήρα των παιδιών στο ψηφιακό περιβάλλον
να προστατέψουν τα παιδιά από κάθε μορφή εκμετάλλευσης και βίας στο διαδίκτυο
να εξασφαλίσουν την ψηφιακή μόρφωση των γονιών
να φροντίσουν για την ουσιαστική υλοποίηση online του δικαιώματος του παιδιού στην υγεία, στην εκπαίδευση, στο παιχνίδι
να υιοθετήσουν παιδοκεντρική προσέγγιση σε ζητήματα σχετικά με την ψηφιακή τεχνολογία στο πλαίσιο της δικαιοσύνης ανηλίκων (π.χ. χρήση λογισμικού αναγνώρισης προσώπου σε παιδιά ύποπτα για τη διάπραξη αδικημάτων)

Η προάσπιση των δικαιωμάτων του παιδιού offline είναι ήδη άκρως απαιτητική αποστολή. Η ψηφιακή της διάσταση φαίνεται ακόμα πιο περίπλοκη. Ωστόσο, έχουμε πια πολύτιμες κατευθυντήριες αρχές να λάβουμε υπόψη όλοι μας. Και δεν πρέπει να αργήσουμε να το κάνουμε.

*Η Κίρκη Πατσιαντά είναι δικηγόρος, Δ.Ν., με ειδίκευση στο Ευρωπαϊκό Δίκαιο Δικαιωμάτων του Ανθρώπου. Ασχολείται ιδιαίτερα με τα δικαιώματα του παιδιού τόσο ερευνητικά όσο και στην πράξη.

by master_admin