ΔΙΚΑΙΟ ΔΙΑΔΙΚΤΥΟΥ (τσέπης)

Α. Το δικαίωμα συμμετοχής στην Κοινωνία της Πληροφορίας

[1] Σύνταγμα της Ελλάδας

[1975/1986/2001/2008/2019]

[Άρθρα 5Α, 9Α, 19]

Άρθρο 5Α. — 1. Καθένας έχει δικαίωμα στην πληροφόρηση, όπως νόμος ορίζει. Περιορισμοί στο δικαίωμα αυτό είναι δυνατόν να επιβληθούν με νόμο μόνο εφόσον είναι απολύτως αναγκαίοι και δικαιολογούνται για λόγους εθνικής ασφάλειας, καταπολέμησης του εγκλήματος ή προστασίας δικαιωμάτων και συμφερόντων τρίτων.

2. Καθένας έχει δικαίωμα συμμετοχής στην Κοινωνία της Πληροφορίας. Η διευκόλυνση της πρόσβασης στις πληροφορίες που διακινούνται ηλεκτρονικά, καθώς και της παραγωγής, ανταλλαγής και διάδοσής τους αποτελεί υποχρέωση του Κράτους, τηρουμένων πάντοτε των εγγυήσεων των άρθρων 9, 9Α και 19.

[Όπως το άρθρο 5Α προσετέθη με το Ψήφισμα της 6.4.2001.]

Άρθρο 9Α. — Καθένας έχει δικαίωμα προστασίας από τη συλλογή, επεξεργασία και χρήση, ιδίως με ηλεκτρονικά μέσα, των προσωπικών του δεδομένων, όπως νόμος ορίζει. Η προστασία των προσωπικών δεδομένων διασφαλίζεται από ανεξάρτητη αρχή, που συγκροτείται και λειτουργεί, όπως νόμος ορίζει.

[Όπως το άρθρο 9Α προσετέθη με το Ψήφισμα της 6.4.2001.]

Σημ.: Bλ. σχετικά άρ. 15 § 1 Ν 2472/1997 (ΦΕΚ Α΄50/10.4.1997), βάσει του οποίου συστήνεται η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ).

Άρθρο 19. — 1. Το απόρρητο των επιστολών και της ελεύθερης ανταπόκρισης ή επικοινωνίας με oπoιoνδήπoτε άλλο τρόπο είναι

απόλυτα απαραβίαστο. Νόμος ορίζει τις εγγυήσεις υπό τις οποίες η δικαστική αρχή δεν δεσμεύεται από το απόρρητο για λόγους εθνικής ασφάλειας ή για διακρίβωση ιδιαίτερα σοβαρών εγκλημάτων.

2. Νόμος ορίζει τα σχετικά με τη συγκρότηση, τη λειτουργία και τις αρμοδιότητες ανεξάρτητης αρχής που διασφαλίζει το απόρρητο της παρ. 1.

3. Απαγορεύεται η χρήση αποδεικτικών μέσων που έχουν αποκτηθεί κατά παράβαση του άρθρου αυτού και των άρθρων 9 και 9Α.

[Όπως το πρώην άρθρο 19 μετατράπηκε σε παρ. 1 και προστέθηκαν παρ. 2 και 3 με το Ψήφισμα της 6.4.2001.]

Σημ.: Βλ. σχετικά Ν 3115/2003 (ΦΕΚ Α΄47/27.2.2003), βάσει του οποίου συστήνεται η Αρχή Διασφάλισης του Απορρήτου των Επικοινωνιών (ΑΔΑΕ).

[2] Χάρτης των Θεμελιωδών Δικαιωμάτων της Ε.Ε.

(ΕΕ C 326/26.10.2012)

[Άρθρα 7, 8, 11]

Άρθρο 7. — Σεβασμός της ιδιωτικής και οικογενειακής ζωής. Κάθε πρόσωπο έχει δικαίωμα στο σεβασμό της ιδιωτικής και οικογενειακής ζωής του, της κατοικίας του και των επικοινωνιών του.

Άρθρο 8. — Προστασία των δεδομένων προσωπικού χαρακτήρα. 1. Κάθε πρόσωπο έχει δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν.

2. Η επεξεργασία αυτών των δεδομένων πρέπει να γίνεται νομίμως, για καθορισμένους σκοπούς και με βάση τη συγκατάθεση του ενδιαφερομένου ή για άλλους θεμιτούς λόγους που προβλέπονται από το νόμο. Κάθε πρόσωπο δικαιούται να έχει πρόσβαση στα συλλεγέντα δεδομένα που το αφορούν και να επιτυγχάνει τη διόρθωσή τους.

3. Ο σεβασμός των κανόνων αυτών υπόκειται στον έλεγχο ανεξάρτητης αρχής.

Άρθρο 11. — Ελευθερία έκφρασης και πληροφόρησης. 1. Κάθε πρόσωπο έχει δικαίωμα στην ελευθερία έκφρασης. Το δικαίωμα αυτό περιλαμβάνει την ελευθερία γνώμης και την ελευθερία λήψης ή μετάδοσης πληροφοριών ή ιδεών, χωρίς την ανάμειξη δημοσίων αρχών και αδιακρίτως συνόρων.

2. Η ελευθερία των μέσων μαζικής ενημέρωσης και η πολυφωνία τους είναι σεβαστές.

[3] ΕΣΔΑ

[ΝΔ 53/1974, Ν 2400/1996 και Ν 3344/2005 (ΦΕΚ Α΄ 256/20.9.1974, Α΄ 96/4.6.1996 και Α΄ 133/6.6.2005)]

[Άρθρα 8, 10]

Άρθρον 8. — Δικαίωμα σεβασμού της ιδιωτικής και οικογενειακής ζωής. 1. Παν πρόσωπον δικαιούται εις σεβασμόν της ιδιωτικής και οικογενειακής ζωής του, της κατοικίας του και της αλληλογραφίας του.

2. Δεν επιτρέπεται να υπάρξη επέμβασις δημοσίας αρχής εν τη ασκήσει του δικαιώματος τούτου, εκτός εάν η επέμβασις αύτη προβλέπεται υπό του νόμου και αποτελεί μέτρον το οποίον, εις μίαν δημοκρατικήν κοινωνίαν, είναι αναγκαίον δια την εθνικήν ασφάλειαν, την δημοσίαν ασφάλειαν, την οικονομικήν ευημερίαν της χώρας, την προάσπισιν της τάξεως και την πρόληψιν ποινικών παραβάσεων, την προστασίαν της υγείας ή της ηθικής, ή την προστασίαν των δικαιωμάτων και ελευθεριών άλλων.

Άρθρον 10. — Ελευθερία έκφρασης. 1. Παν πρόσωπον έχει δικαίωμα εις την ελευθερίαν εκφράσεως. Το δικαίωμα τούτο περιλαμβάνει την ελευθερίαν γνώμης ως και την ελευθερίαν λήψεως ή μεταδόσεως πληροφοριών ή ιδεών, άνευ επεμβάσεως δημοσίων αρχών και ασχέτως συνόρων. Το παρόν άρθρον δεν κωλύει τα κράτη από του να υποβάλωσι τας επιχειρήσεις ραδιοφωνίας κινηματογράφου ή τηλεοράσεως εις κανονισμούς εκδόσεως αδειών λειτουργίας.

2. Η άσκησις των ελευθεριών τούτων, συνεπαγομένων καθήκοντα και ευθύνας δύναται να υπαχθή εις ωρισμένας διατυπώσεις, όρους, περιορισμούς ή κυρώσεις, προβλεπομένους υπό του νόμου και αποτελούντας αναγκαία μέτρα εν δημοκρατική κοινωνία δια την

εθνικήν ασφάλειαν, την εδαφικήν ακεραιότητα ή δημοσίαν ασφάλειαν την προάσπισιν της τάξεως και πρόληψιν του εγκλήματος, την προστασίαν της υγείας ή της ηθικής, την προστασίαν της υπολήψεως ή των δικαιωμάτων των τρίτων, την παρεμπόδισιν της κοινολογήσεως εμπιστευτικών πληροφοριών ή την διασφάλισιν του κύρους και αμεροληψίας της δικαστικής εξουσίας.

Β. Δημόσιο Δίκαιο του Διαδικτύου

I. Αδειοδότηση Παρόχων Υπηρεσιών της Κοινωνίας της Πληροφορίας

[4] Ν 4727/2020

Ψηφιακή Διακυβέρνηση (Ενσωμάτωση στην Ελληνική Νομοθεσία της Οδηγίας (ΕΕ) 2016/2102 και της Οδηγίας (ΕΕ) 2019/1024) - Ηλεκτρονικές Επικοινωνίες (Ενσωμάτωση στο Ελληνικό Δίκαιο της Οδηγίας (ΕΕ) 2018/1972) και άλλες διατάξεις

(ΦΕΚ Α΄ 184/23.9.2020)

[Άρθρα 120, 121]

Άρθρο 120. — Γενική άδεια δικτύων και υπηρεσιών ηλεκτρονικών επικοινωνιών (άρθρο 12 της Οδηγίας (ΕΕ) 2018/1972). 1. Αρμόδια αρχή για τον καθορισμό των δικαιωμάτων και των υποχρεώσεων που συνεπάγεται η γενική άδεια, καθώς και για την εποπτεία της τήρησής τους, σύμφωνα με το παρόν Μέρος, είναι η Ε.Ε.Τ.Τ.

2. Η παροχή δικτύων ηλεκτρονικών επικοινωνιών ή υπηρεσιών, εκτός από υπηρεσίες διαπροσωπικών επικοινωνιών ανεξαρτήτως αριθμών, επιτρέπεται, με την επιφύλαξη των ειδικών υποχρεώσεων που αναφέρονται στην παρ. 2 του άρθρου 121 ή των δικαιωμάτων χρήσης που αναφέρονται στα άρθρα 154 και 202, μόνο έπειτα από χορήγηση γενικής άδειας.

3. Για την υπαγωγή σε καθεστώς γενικής άδειας μπορεί να απαιτείται από την Ε.Ε.Τ.Τ. η υποβολή δήλωσης καταχώρισης από την ενδι

αφερόμενη επιχείρηση. Η έκδοση ατομικής διοικητικής πράξης δεν απαιτείται για την άσκηση των δικαιωμάτων που απορρέουν από τη γενική άδεια. Μετά την κοινοποίηση, εφόσον απαιτείται, μια επιχείρηση εκκινεί δραστηριότητα, με την επιφύλαξη των διατάξεων του παρόντος Μέρους σχετικά με τα δικαιώματα χρήσης.

4. Η κοινοποίηση που αναφέρεται στην παρ. 3 περιορίζεται στην απλή υποβολή δήλωσης φυσικού ή νομικού προσώπου προς την Ε.Ε.Τ.Τ. με την οποία γνωστοποιείται η πρόθεσή του να αρχίσει να παρέχει υπηρεσίες ή δίκτυα ηλεκτρονικών επικοινωνιών, και στην υποβολή των ελάχιστων πληροφοριών, οι οποίες απαιτούνται, ώστε ο BEREC και η Ε.Ε.Τ.Τ. να έχουν τη δυνατότητα τήρησης μητρώου ή καταλόγου παρόχων δικτύων και υπηρεσιών ηλεκτρονικών επικοινωνιών. Η Ε.Ε.Τ.Τ. με απόφασή της και λαμβάνοντας υπόψη τις κατευθυντήριες γραμμές που δημοσιεύει ο BEREC συγκροτεί το ως άνω Μητρώο Παρόχων Υπηρεσιών ή/και Δικτύων Ηλεκτρονικών Επικοινωνιών, καθορίζει τον τρόπο οργάνωσης και λειτουργίας αυτού, καθώς και τις ελάχιστες πληροφορίες που πρέπει να περιλαμβάνει η δήλωση καταχώρισης για τον προσδιορισμό του παρόχου δικτύων ή των υπηρεσιών ηλεκτρονικών επικοινωνιών. Οι εν λόγω πληροφορίες περιορίζονται:

α) στο όνομα του παρόχου,

β) στο νομικό καθεστώς, τη μορφή και τον αριθμό μητρώου του παρόχου, στην περίπτωση που ο πάροχος είναι εγγεγραμμένος σε εμπορικό μητρώο ή άλλο παρεμφερές δημόσιο μητρώο στην Ε.Ε.,

γ) στη γεωγραφική διεύθυνση της κύριας εγκατάστασης του παρόχου στην Ε.Ε., αν υπάρχει, και, κατά περίπτωση, του τυχόν δευτερεύοντος υποκαταστήματος σε κράτος μέλος, εφόσον υπάρχει,

δ) στη διεύθυνση της ιστοσελίδας του παρόχου, κατά περίπτωση, ο οποίος σχετίζεται με την παροχή δικτύων ή υπηρεσιών ηλεκτρονικών επικοινωνιών,

ε) στον υπεύθυνο επικοινωνίας και στα στοιχεία επικοινωνίας,

στ) σε σύντομη περιγραφή των δικτύων ή των υπηρεσιών που πρόκειται να παρέχονται,

ζ) στα ενδιαφερόμενα κράτη μέλη της Ε.Ε., και

η) στην προβλεπόμενη ημερομηνία έναρξης της δραστηριότητας.

Δεν επιβάλλονται πρόσθετες ή χωριστές απαιτήσεις κοινοποίησης.

Η Ε.Ε.Τ.Τ. προωθεί, με ηλεκτρονικά μέσα, στον BEREC, χωρίς αδικαιολόγητη καθυστέρηση, κάθε κοινοποίηση που λαμβάνει. Οι κοινοποιήσεις που υποβάλλονται στην Ε.Ε.Τ.Τ. πριν τις 21 Δεκεμβρίου 2020 προωθούνται στον BEREC έως τις 21 Δεκεμβρίου 2021.

5. Η Ε.Ε.Τ.Τ. εκδίδει Κανονισμό Γενικών Αδειών, με τον οποίο ρυθμίζονται όλες οι λεπτομέρειες σχετικά με τη γενική άδεια, τους όρους αυτής και το Μητρώο Παρόχων Υπηρεσιών ή/και Δικτύων Ηλεκτρονικών Επικοινωνιών. Στον Κανονισμό αυτόν καθορίζεται επίσης και κάθε άλλο θέμα σχετικά με τη λειτουργία επιχειρήσεων υπό καθεστώς γενικής άδειας, συμπεριλαμβανομένων των περιπτώσεων όπου η παροχή δικτύων ή υπηρεσιών ηλεκτρονικών επικοινωνιών προϋποθέτει την υποβολή δήλωσης καταχώρισης, καθώς και του περιεχομένου και της μορφής της δήλωσης καταχώρισης.

Στις διατάξεις του παρόντος άρθρου δεν εμπίπτουν:

α) η μεταπώληση υπηρεσιών ηλεκτρονικών επικοινωνιών σε χρήστες,

β) η ιδιοχρησιμοποίηση τερματικού ραδιοεξοπλισμού βάσει μη αποκλειστικής χρήσης ειδικών ραδιοσυχνοτήτων από τον χρή

στη για λόγους που δεν συνδέονται με οικονομική δραστηριότητα, όπως η χρήση της ζώνης συχνοτήτων πολιτών (CB) ή η χρήση συχνοτήτων από ραδιοερασιτέχνες, η οποία δεν συνιστά παροχή δικτύου ή υπηρεσίας ηλεκτρονικών επικοινωνιών και διέπεται από τα οριζόμενα στις διατάξεις της κείμενης νομοθεσίας που αφορούν στον τερματικό εξοπλισμό και το ραδιοεξοπλισμό, και

γ) τα κρατικά δίκτυα ηλεκτρονικών επικοινωνιών.

6. Εμπίπτει στις διατάξεις των άρθρων 120 έως 127, η διάθεση υπηρεσιών ηλεκτρονικών επικοινωνιών από τρίτους, οι οποίοι, αν και δεν διαθέτουν δική τους υποδομή ηλεκτρονικών επικοινωνιών, παρέχουν υπηρεσίες ηλεκτρονικών επικοινωνιών υπό διαφορετικό όμως εμπορικό σήμα και επιχειρηματική οργάνωση, βασιζόμενοι στην υποδομή άλλων προσώπων που παρέχουν δίκτυα ή/και υπηρεσίες ηλεκτρονικών επικοινωνιών, με τα οποία έχουν συνάψει σχετική σύμβαση.

Άρθρο 121. — Όροι που συνοδεύουν τη γενική άδεια και τα δικαιώματα χρήσης ραδιοφάσματος και πόρων αριθμοδότησης και ειδικές υποχρεώσεις (άρθρο 13 της Οδηγίας (ΕΕ) 2018/1972). 1. Η γενική άδεια για την παροχή δικτύων ή υπηρεσιών ηλεκτρονικών επικοινωνιών και τα δικαιώματα χρήσης ραδιοφάσματος και τα δικαιώματα χρήσης πόρων αριθμοδότησης μπορούν να υπάγονται μόνον στους όρους που απαριθμούνται στο Παράρτημα I. Οι εν λόγω όροι είναι αμερόληπτοι, αναλογικοί και διαφανείς. Στην περίπτωση των δικαιωμάτων χρήσης του ραδιοφάσματος, οι εν λόγω όροι διασφαλίζουν την αποτελεσματική και αποδοτική χρήση του και είναι σύμφωνοι με τα άρθρα 153 και 159 και, στην περίπτωση των δικαιωμάτων χρήσης για πόρους αριθμοδότησης, είναι σύμφωνοι με το άρθρο 202.

2. Οι ειδικές υποχρεώσεις, οι οποίες ενδεχομένως επιβάλλονται στις επιχειρήσεις παροχής δικτύων και υπηρεσιών ηλεκτρονικών

επικοινωνιών δυνάμει της παρ. 1 και 5 του άρθρου 169 και των άρθρων 170, 176 και 191 ή στους εντεταλμένους να παρέχουν Καθολική Υπηρεσία βάσει του παρόντος νόμου είναι νομικά διακριτές από τα δικαιώματα και τις υποχρεώσεις βάσει της γενικής άδειας. Για να επιτυγχάνεται διαφάνεια, τα κριτήρια και οι διαδικασίες για την επιβολή των εν λόγω ειδικών υποχρεώσεων σε επιμέρους επιχειρήσεις αναφέρονται στη γενική άδεια.

3. Η γενική άδεια περιλαμβάνει μόνο ειδικούς για τον εν λόγω τομέα όρους, οι οποίοι ορίζονται στο Παράρτημα Ι, Μέρη A’, Β’ και Γ’ και δεν επαναλαμβάνει όρους που ισχύουν για τις επιχειρήσεις βάσει άλλων διατάξεων του ελληνικού ή ενωσιακού δικαίου.

4. Η Ε.Ε.Τ.Τ. δεν επαναλαμβάνει τους όρους της γενικής άδειας, όταν παρέχει το δικαίωμα χρήσης ραδιοφάσματος ή πόρων αριθμοδότησης.

ΙΙ. Ασφάλεια και Ακεραιότητα Δικτύων

[5] Ν 4727/2020

Ψηφιακή Διακυβέρνηση (Ενσωμάτωση στην Ελληνική Νομοθεσία της Οδηγίας (ΕΕ) 2016/2102 και της Οδηγίας (ΕΕ) 2019/1024) - Ηλεκτρονικές Επικοινωνίες (Ενσωμάτωση στο Ελληνικό Δίκαιο της Οδηγίας (ΕΕ) 2018/1972) και άλλες διατάξεις

(ΦΕΚ Α΄ 184/23.9.2020)

[Άρθρο 148]

Άρθρο 148. — Ασφάλεια δικτύων και υπηρεσιών (άρθρο 40 της Οδηγίας (ΕΕ) 2018/1972). 1. Οι πάροχοι δημόσιων δικτύων ηλεκτρονικών επικοινωνιών ή διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών λαμβάνουν πρόσφορα και αναλογικά τεχνικά και οργανωτικά μέτρα για την κατάλληλη διαχείριση του κινδύνου όσον αφορά την ασφάλεια των δικτύων και υπηρεσιών. Τα μέτρα αυτά, λαμβάνοντας υπόψη τις πλέον προηγμένες τεχνικές δυνατότητες, πρέπει να εξασφαλίζουν επίπεδο ασφάλειας ανάλογο προς τον υπάρχοντα κίνδυνο.

2. Ειδικότερα, οι πάροχοι λαμβάνουν μέτρα, συμπεριλαμβανομένης της κρυπτογράφησης, όπου κρίνεται σκόπιμο, για την αποτροπή και ελαχιστοποίηση των επιπτώσεων από συμβάντα ασφάλειας που επηρεάζουν τους χρήστες και άλλα δίκτυα και υπηρεσίες. Οι πάροχοι δημόσιων δικτύων ηλεκτρονικών επικοινωνιών ή διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών κοινοποιούν αμελλητί στην Α.Δ.Α.Ε. κάθε συμβάν ασφάλειας που είχε σημαντικό αντίκτυπο στη λειτουργία των δικτύων και υπηρεσιών.

Η Α.Δ.Α.Ε. με τη σειρά της: α) κοινοποιεί αμελλητί κάθε συμβάν, του οποίου λαμβάνει γνώση σύμφωνα με το προηγούμενο εδάφιο, στην Εθνική Αρχή Κυβερνοασφάλειας που έχει οριστεί σύμφωνα με τις διατάξεις του Ν 4577/2018 (Α’ 199) και β) κοινοποιεί τα συμβάντα που έχουν αντίκτυπο στη διαθεσιμότητα ή στην ακεραιότητα δικτύων ή υπηρεσιών στην Ε.Ε.Τ.Τ.

Για να προσδιοριστεί η σοβαρότητα του αντίκτυπου ενός συμβάντος ασφάλειας, λαμβάνονται υπόψη ιδίως, οι ακόλουθες παράμετροι όπου είναι διαθέσιμες:

α) ο αριθμός των χρηστών που επηρεάζονται από το συμβάν ασφάλειας,

β) η διάρκεια του συμβάντος ασφάλειας,

γ) το γεωγραφικό εύρος της περιοχής που επηρεάζεται από το συμβάν ασφάλειας,

δ) ο βαθμός στον οποίο επηρεάζεται η ασφάλεια ή/και η λειτουργία του δικτύου ή της υπηρεσίας,

ε) η έκταση του αντίκτυπου στις οικονομικές και κοινωνικές δραστηριότητες.

Κατά περίπτωση, η Α.Δ.Α.Ε. ενημερώνει τις αρμόδιες αρχές στα άλλα κράτη μέλη, καθώς και τον Οργανισμό της Ε.Ε. για την Ασφάλεια Δικτύων και Πληροφοριών («ENISA»). Η Α.Δ.Α.Ε. μπορεί να ενημερώσει το κοινό ή να απαιτήσει την ενημέρωση αυτή από τους παρόχους, εφόσον κρίνει ότι η αποκάλυψη του συμβάντος ασφάλειας είναι προς το δημόσιο συμφέρον.

Η Α.Δ.Α.Ε. υποβάλλει κατ’ έτος στην Ευρωπαϊκή Επιτροπή και στον ENISA συνοπτική έκθεση σχετικά με τις κοινοποιήσεις που έχει παραλάβει και τη δράση που έχει αναλάβει σύμφωνα με την παρού

σα παράγραφο. Η έκθεση του προηγούμενου εδαφίου κοινοποιείται και στην Εθνική Αρχή Κυβερνοασφάλειας.

3. Σε περίπτωση ιδιαίτερης και σημαντικής απειλής για συμβάν ασφάλειας σε δημόσια δίκτυα ηλεκτρονικών επικοινωνιών ή διαθέσιμες στο κοινό υπηρεσίες ηλεκτρονικών επικοινωνιών, οι πάροχοι των εν λόγω δικτύων ή υπηρεσιών ενημερώνουν τους χρήστες τους, που θα μπορούσαν να επηρεαστούν από μια τέτοια απειλή, σχετικά με τυχόν πιθανά προστατευτικά ή διορθωτικά μέτρα τα οποία μπορούν να ληφθούν από τους χρήστες. Κατά περίπτωση, οι πάροχοι ενημερώνουν επίσης τους χρήστες τους για την ίδια την απειλή.

4. Το παρόν άρθρο ισχύει με την επιφύλαξη του Κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της Οδηγίας 95/46/ΕΚ (L 119), του Ν 4624/2019 (Α’ 137) και του Ν 3471/2006 (A’ 133).

[6] Ν 4577/2018

Ενσωμάτωση στην ελληνική νομοθεσία της Οδηγίας 2016/1148/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου σχετικά με μέτρα για υψηλό κοινό επίπεδο ασφάλειας συστημάτων δικτύου και πληροφοριών σε ολόκληρη την Ένωση και άλλες διατάξεις

(ΦΕΚ Α΄199/3.12.2018)

[Άρθρα 1-15]

Σημ.: Βλ. σχετικά και την υπ’αριθμ. 1027/2019 (ΦΕΚ Β΄ 3739/8.10.2019) απόφαση: Θέματα εφαρμογής και διαδικασιών του Ν 4577/ 2018 (Α΄ 199).

ΚΕΦΑΛΑΙΟ Α΄

ΓΕΝΙΚΕΣ ΔΙΑΤΑΞΕΙΣ

Άρθρο 1. — Αντικείμενο και πεδίο εφαρμογής (άρθρο 1 παράγραφοι 1, 3, 4, 5, 6, 7 της Οδηγίας 2016/1148/ΕΕ). 1. Σκοπός του παρόντος είναι η ενσωμάτωση στην ελληνική νομοθεσία της Οδηγίας 2016/1148/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 6ης Ιουλίου 2016 (EE L 194), με την οποία θεσπίζονται μέτρα για την επίτευξη υψηλού επιπέδου ασφάλειας των συστημάτων δικτύου και πληροφοριών.

2. Οι απαιτήσεις ασφάλειας και κοινοποίησης που προβλέπονται στον παρόντα νόμο δεν εφαρμόζονται σε επιχειρήσεις που πληρούν τις προϋποθέσεις της παρ. 1 του άρθρου 33 του Ν 4070/2012 (Α΄ 82) ή σε παρόχους υπηρεσιών εμπιστοσύνης που εμπίπτουν

στο άρθρο 19 του Κανονισμού (ΕΕ) 910/2014 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 23ης Ιουλίου 2014 (EE L 257).

3. Ο παρών νόμος εφαρμόζεται με την επιφύλαξη των διατάξεων του ΠΔ 39/2011 (Α΄ 104) και των νόμων 4267/2014 (Α΄ 137) και 4360/2016 (Α΄ 9).

4. Με την επιφύλαξη του άρθρου 346 της Συνθήκης Λειτουργίας της Ευρωπαϊκής Ένωσης (ΣΛΕΕ), πληροφορίες που είναι απόρρητες σύμφωνα με ενωσιακούς και εθνικούς κανόνες, όπως κανόνες περί επιχειρηματικού απορρήτου, ανταλλάσσονται με την Επιτροπή και άλλες αρμόδιες αρχές, μόνον εφόσον η ανταλλαγή αυτή είναι αναγκαία για την εφαρμογή του παρόντος. Οι πληροφορίες, που ανταλλάσσονται, περιορίζονται σε ό,τι είναι συναφές και αναλογικό προς το σκοπό της ανταλλαγής αυτής. Η εν λόγω ανταλλαγή πληροφοριών διαφυλάσσει το απόρρητο αυτών των πληροφοριών και προστατεύει τα συμφέροντα ασφάλειας και τα εμπορικά συμφέροντα των φορέων εκμετάλλευσης βασικών υπηρεσιών και των παρόχων ψηφιακών υπηρεσιών.

5. Με τον παρόντα δεν θίγονται τα μέτρα που λαμβάνει η χώρα μας για τη διαφύλαξη των ουσιωδών κρατικών λειτουργιών και ιδίως για τη διαφύλαξη της εθνικής ασφάλειας, συμπεριλαμβανομένων των μέτρων για την προστασία πληροφοριών, των οποίων η διάδοση θεωρείται αντίθετη προς τα ουσιώδη συμφέροντα ασφάλειας, καθώς και για τη διατήρηση του νόμου και της τάξης και ιδίως για τη διευκόλυνση της διερεύνησης, της ανίχνευσης και της δίωξης ποινικών αδικημάτων.

6. Αν μία τομεακή νομική πράξη της Ευρωπαϊκής Ένωσης απαιτεί από τους φορείς εκμετάλλευσης βασικών υπηρεσιών ή τους παρόχους ψηφιακών υπηρεσιών είτε να εξασφαλίζουν την ασφάλεια των συστημάτων δικτύου και πληροφοριών τους είτε να κοινοποιούν συμβάντα, εφαρμόζονται οι διατάξεις της εν λόγω τομεακής νο-

μικής πράξης, υπό την προϋπόθεση ότι οι εν λόγω απαιτήσεις είναι τουλάχιστον ισοδύναμες ως προς το αποτέλεσμα με τις υποχρεώσεις που θεσπίζονται στον παρόντα νόμο.

Άρθρο 2. — (Άρθρο 2 της Οδηγίας 2016/1148/ΕΕ). Η επεξεργασία δεδομένων προσωπικού χαρακτήρα, που γίνεται κατά τον παρόντα νόμο, διενεργείται σύμφωνα με τον Κανονισμό (ΕΚ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 27ης Απριλίου 2016 (EE L 119) και το Ν 2472/1997 (Α΄ 50).

Άρθρο 3. — Ορισμοί (Άρθρο 4 της Οδηγίας 2016/1148/ΕΕ). Για τους σκοπούς του παρόντος νόμου, ισχύουν οι εξής ορισμοί:

1) «σύστημα δικτύου και πληροφοριών»:

α) ένα δίκτυο ηλεκτρονικών επικοινωνιών, σύμφωνα με την περίπτωση ιζ΄ της Ενότητας Α΄ παράγραφος του άρθρου 2 του Ν 4070/2012,

β) κάθε συσκευή ή ομάδα διασυνδεδεμένων ή σχετιζόμενων συσκευών από τις οποίες μία ή περισσότερες εκτελούν, βάσει προγράμματος, αυτόματη επεξεργασία ψηφιακών δεδομένων,

γ) ψηφιακά δεδομένα που αποθηκεύονται, υποβάλλονται σε επεξεργασία, ανακτώνται ή μεταδίδονται από στοιχεία που καλύπτονται στις περιπτώσεις α΄ και β΄ για τους σκοπούς της λειτουργίας, της χρήσης, της προστασίας και της συντήρησής τους,

2) «ασφάλεια συστημάτων δικτύου και πληροφοριών»: η ικανότητα συστημάτων δικτύου και πληροφοριών να ανθίστανται, με δεδομένο βαθμό αξιοπιστίας, σε ενέργειες που πλήττουν τη διαθεσιμότητα, την αυθεντικότητα, την ακεραιότητα ή το απόρρητο των δεδομένων που αποθηκεύονται, μεταδίδονται ή υποβάλλονται σε επεξεργασία ή των συναφών υπηρεσιών που προσφέρονται ή είναι προσβάσιμες μέσω των εν λόγω συστημάτων δικτύου και πληροφοριών,

3) «εθνική στρατηγική για την ασφάλεια συστημάτων δικτύου και πληροφοριών»: πλαίσιο το οποίο παρέχει στρατηγικούς στόχους και προτεραιότητες για την ασφάλεια συστημάτων δικτύου και πληροφοριών σε εθνικό επίπεδο,

4) «φορέας εκμετάλλευσης βασικών υπηρεσιών»: δημόσια ή ιδιωτική οντότητα είδους αναφερόμενου στο Παράρτημα Ι, η οποία πληροί τα κριτήρια που ορίζονται στην παράγραφο 2 του άρθρου 4,

5) «ψηφιακή υπηρεσία»: υπηρεσία σύμφωνα με την περίπτωση β΄ της παρ. 1 του άρθρου 2 του ΠΔ 81/2018 (Α΄ 151), η οποία είναι είδος αναφερόμενο στο Παράρτημα II,

6) «πάροχος ψηφιακών υπηρεσιών»: νομικό πρόσωπο που παρέχει ψηφιακή υπηρεσία,

7) «συμβάν»: κάθε γεγονός που έχει στην πραγματικότητα μια δυσμενή επίπτωση στην ασφάλεια συστημάτων δικτύου και πληροφοριών,

8) «χειρισμός συμβάντων»: το σύνολο των διαδικασιών που υποστηρίζουν τον εντοπισμό, την ανάλυση και την ανάσχεση ενός συμβάντος, καθώς και την παρέμβαση για την αντιμετώπισή του,

9) «κίνδυνος»: κάθε εύλογα διαπιστώσιμη περίσταση ή γεγονός με ενδεχομένως δυσμενή επίπτωση στην ασφάλεια συστημάτων δικτύου και πληροφοριών,

10) «αντιπρόσωπος»: κάθε φυσικό ή νομικό πρόσωπο εγκατεστημένο στην Ευρωπαϊκή Ένωση, που ρητώς έχει οριστεί να ενεργεί εξ ονόματος παρόχου ψηφιακών υπηρεσιών μη εγκατεστημένου στην Ευρωπαϊκή Ένωση, στο οποίο μπορεί να απευθύνεται η εθνική αρμόδια αρχή ή η Αρμόδια Ομάδα Απόκρισης για συμβάντα που αφορούν την ασφάλεια υπολογιστών (Computer Security Incident Response Team - CSIRT) του άρθρου 8 παράγραφος 1 αντί του πα-

ρόχου ψηφιακών υπηρεσιών, όσον αφορά τις υποχρεώσεις αυτού σύμφωνα με τον παρόντα νόμο,

11) «πρότυπο»: πρότυπο σύμφωνα με το σημείο 1 του άρθρου 2 του Κανονισμού (ΕΕ) 1025/2012 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 25ης Οκτωβρίου 2012 (EE L 316),

12) «προδιαγραφή»: τεχνική προδιαγραφή σύμφωνα με το σημείο 4 του άρθρου 2 του Κανονισμού (ΕΕ) 1025/2012,

13) «σημείο ανταλλαγής κίνησης διαδικτύου (Internet Exchange Point - IXP)»: δικτυακή υποδομή που επιτρέπει τη διασύνδεση περισσότερων από δύο ανεξάρτητων αυτόνομων συστημάτων, κυρίως με σκοπό τη διευκόλυνση της ανταλλαγής κίνησης διαδικτύου, και η οποία διασυνδέει μόνον αυτόνομα συστήματα. Το IXP δεν αναγκάζει την κίνηση διαδικτύου που διέρχεται μεταξύ ζεύγους συμμετεχόντων αυτόνομων συστημάτων να διέλθει από τρίτο αυτόνομο σύστημα ούτε την τροποποιεί ούτε παρεμβαίνει με άλλον τρόπο σε αυτήν,

14) «σύστημα ονομάτων χώρου (Domain Name System - DNS)»: ιεραρχικά κατανεμημένο σύστημα ονοματοδοσίας εντός ενός δικτύου, το οποίο εκτελεί παραπομπές αιτημάτων για ονόματα τομέων,

15) «πάροχος υπηρεσιών συστήματος ονομάτων χώρου»: οντότητα που παρέχει υπηρεσίες συστήματος ονομάτων χώρου στο διαδίκτυο,

16) «μητρώο ονομάτων χώρου ανώτατου επιπέδου» (top-level domain name registry): οντότητα που διαχειρίζεται και εκμεταλλεύεται την καταχώριση ονομάτων διαδικτυακών χώρων εντός συγκεκριμένου χώρου ανώτατου επιπέδου (TLD),

17) «επιγραμμική αγορά» (online marketplace): ψηφιακή υπηρεσία που επιτρέπει σε καταναλωτές ή και εμπόρους, όπως ορί

ζονται στις περιπτώσεις α΄ και β΄ της παρ. 1 του άρθρου 4 της 70330οικ./30.6.2015 κοινής απόφασης των Υπουργών Οικονομίας, Υποδομών, Ναυτιλίας και Τουρισμού και Δικαιοσύνης, Διαφάνειας και Ανθρώπινων Δικαιωμάτων (Β΄ 1421), να συνάπτουν επιγραμμικές συμβάσεις πώλησης ή παροχής υπηρεσιών με εμπόρους είτε στον ιστοχώρο της επιγραμμικής αγοράς είτε σε ιστοχώρο εμπόρου που χρησιμοποιεί υπηρεσίες υπολογιστικής παρεχόμενες από την επιγραμμική αγορά,

18) «επιγραμμική μηχανή αναζήτησης» (online search engine): ψηφιακή υπηρεσία που επιτρέπει στους χρήστες να εκτελούν αναζητήσεις καταρχήν σε όλους τους ιστοχώρους ή σε ιστοχώρους συγκεκριμένης γλώσσας βάσει ερωτήματος για οποιοδήποτε θέμα, με τη μορφή λέξης-κλειδιού, φράσης ή άλλων δεδομένων, και επιστρέφει ως αποτέλεσμα συνδέσμους όπου μπορεί κανείς να βρει πληροφορίες σχετικές με το περιεχόμενο που έχει ζητηθεί,

19) «υπηρεσία νεφοϋπολογιστικής»: ψηφιακή υπηρεσία που επιτρέπει την πρόσβαση σε κλιμακοθετήσιμο και ελαστικό σύνολο κοινόχρηστων υπολογιστικών πόρων.

Άρθρο 4. — Φορείς εκμετάλλευσης βασικών υπηρεσιών (Άρθρο 5 της Οδηγίας 2016/1148/ΕΕ). 1. Η Εθνική Αρχή Κυβερνοασφάλειας της παραγράφου 1 του άρθρου 7, σε συνεργασία με τις ανά τομέα βασικής υπηρεσίας αρμόδιες ρυθμιστικές/εποπτικές αρχές και λοιπούς εμπλεκόμενους εθνικούς φορείς, προσδιορίζει, για κάθε τομέα και υποτομέα του Παραρτήματος Ι, τους φορείς εκμετάλλευσης βασικών υπηρεσιών που είναι εγκατεστημένοι στην Ελληνική Επικράτεια.

Με απόφαση του Υπουργού Ψηφιακής Πολιτικής, Τηλεπικοινωνιών και Ενημέρωσης, ύστερα από εισήγηση της Εθνικής Αρχής Κυβερνοασφάλειας, ορίζονται οι φορείς εκμετάλλευσης βασικών υπηρεσιών.

2. Τα κριτήρια για τον προσδιορισμό των φορέων εκμετάλλευσης βασικών υπηρεσιών της περίπτωσης 4 του άρθρου 3 είναι τα εξής:

α) ο φορέας να παρέχει υπηρεσία ουσιώδη για τη διατήρηση κρίσιμων κοινωνικών ή και οικονομικών δραστηριοτήτων,

β) η παροχή της υπηρεσίας αυτής να στηρίζεται σε συστήματα δικτύου και πληροφοριών και

γ) η πρόκληση σοβαρής διατάραξης της παροχής της εν λόγω υπηρεσίας, κατά τα οριζόμενα στο άρθρο 5, από τυχόν συμβάν.

3. Για τους σκοπούς της παραγράφου 1, η Εθνική Αρχή Κυβερνοασφάλειας καταρτίζει κατάλογο τόσο των βασικών υπηρεσιών όσο και των φορέων εκμετάλλευσής τους. Οι κατάλογοι αυτοί επανεξετάζονται σε τακτική βάση, τουλάχιστον ανά διετία και, εφόσον κριθεί αναγκαίο, επικαιροποιούνται.

4. Για τους σκοπούς της παραγράφου 1, όταν φορέας εκμετάλλευσης βασικών υπηρεσιών παρέχει και σε άλλο ή άλλα κράτη-μέλη της ΕΕ υπηρεσία που αναφέρεται στην παράγραφο 2, η Εθνική Αρχή Κυβερνοασφάλειας διαβουλεύεται με τις αντίστοιχες αρχές του ή των άλλων κρατών-μελών πριν από τη λήψη απόφασης για τον προσδιορισμό του.

5. Η Εθνική Αρχή Κυβερνοασφάλειας της παραγράφου 1 του άρθρου 7 υποβάλλει στην Επιτροπή ανά διετία τις πληροφορίες που είναι αναγκαίες για την αξιολόγηση της εφαρμογής της Οδηγίας που ενσωματώνεται με τον παρόντα νόμο. Στις πληροφορίες αυτές περιλαμβάνονται τουλάχιστον τα εξής:

α) τα εθνικά κριτήρια βάσει των οποίων προσδιορίζονται οι φορείς εκμετάλλευσης βασικών υπηρεσιών,

β) ο κατάλογος των υπηρεσιών που αναφέρεται στην παράγραφο 3,

γ) ο αριθμός των φορέων εκμετάλλευσης βασικών υπηρεσιών που έχουν προσδιοριστεί για κάθε τομέα του Παραρτήματος Ι και αναφορά της σημασίας τους σε σχέση με τον εν λόγω τομέα,

δ) τα κατώτατα όρια, εφόσον υπάρχουν, για τον προσδιορισμό του σχετικού επιπέδου παροχής υπηρεσιών με αναφορά στον αριθμό των χρηστών που εξαρτώνται από την υπηρεσία αυτή, όπως αναφέρεται στην περίπτωση α΄ της παραγράφου 2 του άρθρου 5, ή της σημασίας του συγκεκριμένου φορέα εκμετάλλευσης βασικών υπηρεσιών, όπως αναφέρεται στην περίπτωση στ΄ της παραγράφου 2 του άρθρου 5.

Άρθρο 5. — Σοβαρή διατάραξη (Άρθρο 6 της Οδηγίας 2016/1148/ΕΕ). 1. Η Εθνική Αρχή Κυβερνοασφάλειας της παραγράφου 1 του άρθρου 7 σε συνεργασία με τις, ανά τομέα βασικής υπηρεσίας, αρμόδιες ρυθμιστικές ή εποπτικές αρχές και λοιπούς εμπλεκόμενους εθνικούς φορείς, καθορίζει τα κριτήρια προσδιορισμού ενός συμβάντος ως σοβαρής διατάραξης.