EIDAS 2014/0910 EL

1. Το κοινοποιούν κράτος μέλος ευθύνεται για τη ζημία που προκαλείται από πρόθεση ή από αμέλεια σε οποιοδήποτε φυσικό ή νομικό πρόσωπο λόγω μη συμμόρφωσης προς τις υποχρεώσεις του που προβλέπονται στο άρθρο 7 στοιχεία δ) και στ) στο πλαίσιο διασυνοριακής συναλλαγής.

2. Το μέρος που εκδίδει το μέσο_ηλεκτρονικής_ταυτοποίησης ευθύνεται για τη ζημία που προκαλείται από πρόθεση ή από αμέλεια σε οποιοδήποτε φυσικό ή νομικό πρόσωπο λόγω μη συμμόρφωσης προς την υποχρέωσή του που προβλέπεται στο άρθρο 7 στοιχείο ε) στο πλαίσιο διασυνοριακής συναλλαγής.

3. Το μέρος που χειρίζεται τη διαδικασία επαλήθευσης της ταυτότητας ευθύνεται για τη ζημία που προκαλείται από πρόθεση ή από αμέλεια σε οποιοδήποτε φυσικό ή νομικό πρόσωπο λόγω μη διασφάλισης της ορθής λειτουργίας της επαλήθευσης της ταυτότητας που αναφέρεται στο άρθρο 7 στοιχείο στ) στο πλαίσιο διασυνοριακής συναλλαγής.

4. Οι παράγραφοι 1, 2 και 3 εφαρμόζονται σύμφωνα με τους εθνικούς κανόνες περί ευθύνης.

5. Οι παράγραφοι 1, 2 και 3 ισχύουν με την επιφύλαξη της προβλεπόμενης από το εθνικό δίκαιο ευθύνης των μερών συναλλαγής στην οποία χρησιμοποιούνται μέσα ηλεκτρονικής ταυτοποίησης που εμπίπτουν στο πλαίσιο του κοινοποιημένου συστήματος ηλεκτρονικής ταυτοποίησης το οποίο έχει κοινοποιηθεί σύμφωνα με το άρθρο 9 παράγραφος 1.

Άρθρο 12

Συνεργασία και διαλειτουργικότητα

1. Τα εθνικά συστήματα ηλεκτρονικής ταυτοποίησης που κοινοποιούνται σύμφωνα με το άρθρο 9 παράγραφος 1 είναι διαλειτουργικά.

2. Για τους σκοπούς της παραγράφου 1 θεσπίζεται πλαίσιο διαλειτουργικότητας.

3. Το πλαίσιο διαλειτουργικότητας πληροί τα ακόλουθα κριτήρια:

α)	έχει στόχο να είναι τεχνολογικά ουδέτερο και δεν κάνει διακρίσεις μεταξύ συγκεκριμένων εθνικών τεχνικών λύσεων για την ηλεκτρονική_ταυτοποίηση εντός του κράτους μέλους·

β)	ακολουθεί τα ευρωπαϊκά και διεθνή πρότυπα, όταν αυτό είναι εφικτό·

γ)	διευκολύνει την από σχεδίου εφαρμογή της αρχής της προστασίας της ιδιωτικής ζωής, και

δ)	εξασφαλίζει την επεξεργασία των δεδομένων προσωπικού χαρακτήρα σύμφωνα με την οδηγία 95/46/ΕΚ.

4. Το πλαίσιο διαλειτουργικότητας περιλαμβάνει τα εξής:

α)	αναφορά ελάχιστων τεχνικών απαιτήσεων σχετικά με τα επίπεδα διασφάλισης που προβλέπονται στο άρθρο 8·

β)	αντιστοίχιση των εθνικών επιπέδων διασφάλισης των κοινοποιημένων συστημάτων ηλεκτρονικής ταυτοποίησης με τα επίπεδα διασφάλισης που προβλέπονται στο άρθρο 8·

γ)	αναφορά ελάχιστων τεχνικών απαιτήσεων για τη διαλειτουργικότητα·

δ)	αναφορά σε ένα ελάχιστο σύνολο δεδομένων ταυτοποίησης προσώπου που αντιπροσωπεύουν κατά τρόπο μοναδικό ένα φυσικό ή νομικό πρόσωπο και διατίθενται από τα συστήματα ηλεκτρονικής ταυτοποίησης·

ε)	κανονισμό λειτουργίας·

στ)	ρυθμίσεις για την επίλυση διαφορών, και

ζ)	κοινά πρότυπα λειτουργικής ασφάλειας.

5. Τα κράτη μέλη συνεργάζονται ως προς τα ακόλουθα:

α)	τη διαλειτουργικότητα των συστημάτων ηλεκτρονικής ταυτοποίησης που κοινοποιούν σύμφωνα με το άρθρο 9 παράγραφος 1 και των συστημάτων ηλεκτρονικής ταυτοποίησης που προτίθενται να κοινοποιήσουν, και

β)	την ασφάλεια των συστημάτων ηλεκτρονικής ταυτοποίησης.

6. Η συνεργασία μεταξύ των κρατών μελών περιλαμβάνει τα εξής:

α)	ανταλλαγή πληροφοριών, πείρας και καλών πρακτικών σχετικά με τα συστήματα ηλεκτρονικής ταυτοποίησης και ιδίως σε ό,τι αφορά τις τεχνικές απαιτήσεις σχετικά με τη διαλειτουργικότητα και τα επίπεδα διασφάλισης·

β)	ανταλλαγή πληροφοριών, πείρας και καλών πρακτικών όσον αφορά την εφαρμογή των επιπέδων διασφάλισης των συστημάτων ηλεκτρονικής ταυτοποίησης που προβλέπονται στο άρθρο 8·

γ)	αξιολόγηση από ομοτίμους των συστημάτων ηλεκτρονικής ταυτοποίησης που εμπίπτουν στο πεδίο εφαρμογής του παρόντος κανονισμού, και

δ)	εξέταση των σχετικών εξελίξεων στον τομέα της ηλεκτρονικής ταυτοποίησης.

7. Έως τις 18 Μαρτίου 2015 η Επιτροπή καθορίζει, με εκτελεστικές πράξεις, τις αναγκαίες διαδικαστικές λεπτομέρειες προκειμένου να διευκολύνει τη συνεργασία μεταξύ των κρατών μελών που αναφέρεται στις παραγράφους 5 και 6, με σκοπό την προώθηση υψηλού επιπέδου εμπιστοσύνης και ασφάλειας αντίστοιχου με το βαθμό κινδύνου.

8. Έως τις 18 Σεπτεμβρίου 2015 και για τον σκοπό της θέσπισης ενιαίων όρων για την εφαρμογή της απαίτησης που προβλέπεται στην παράγραφο 1, η Επιτροπή εκδίδει εκτελεστικές πράξεις σχετικά με το πλαίσιο διαλειτουργικότητας, όπως ορίζεται στην παράγραφο 4, με την επιφύλαξη των κριτηρίων της παραγράφου 3 και λαμβανομένων υπόψη των αποτελεσμάτων της συνεργασίας μεταξύ των κρατών μελών.

9. Οι εκτελεστικές πράξεις που αναφέρονται στις παραγράφους 7 και 8 του παρόντος άρθρου εκδίδονται σύμφωνα με τη διαδικασία εξέτασης στην οποία παραπέμπει το άρθρο 48 παράγραφος 2.

ΚΕΦΑΛΑΙΟ III

ΥΠΗΡΕΣΙΕΣ ΔΙΑΣΦΑΛΙΣΗΣ ΤΗΣ ΕΜΠΙΣΤΟΣΥΝΗΣ

ΤΜΗΜΑ 1

Γενικές διατάξεις

Άρθρο 13

Ευθύνη και βάρος απόδειξης

1. Με την επιφύλαξη της παραγράφου 2, οι πάροχοι υπηρεσιών εμπιστοσύνης ευθύνονται για ζημία που προκαλείται από πρόθεση ή από αμέλεια σε οποιοδήποτε φυσικό ή νομικό πρόσωπο λόγω μιας μη συμμόρφωσης προς τις υποχρεώσεις που προβλέπονται στον παρόντα κανονισμό.

Το φυσικό ή νομικό πρόσωπο που επικαλείται τη ζημία του πρώτου εδαφίου φέρει το βάρος για την απόδειξη της πρόθεσης ή της αμέλειας μη εγκεκριμένου παρόχου υπηρεσιών εμπιστοσύνης.

Τεκμαίρεται ότι συντρέχει πρόθεση ή αμέλεια εγκεκριμένου παρόχου υπηρεσιών εμπιστοσύνης, εκτός εάν ο εν λόγω εγκεκριμένος πάροχος_υπηρεσιών_εμπιστοσύνης αποδείξει ότι η ζημία που αναφέρεται στο πρώτο εδάφιο προκλήθηκε χωρίς να συντρέχει πρόθεση ή αμέλειά του.

2. Στις περιπτώσεις κατά τις οποίες οι πάροχοι υπηρεσιών εμπιστοσύνης ενημερώνουν εκ των προτέρων και με τον αρμόζοντα τρόπο τους πελάτες τους σχετικά με τους περιορισμούς όσον αφορά τη χρήση των υπηρεσιών που παρέχουν και στις περιπτώσεις που οι περιορισμοί αυτοί είναι αναγνωρίσιμοι στους τρίτους, οι πάροχοι υπηρεσιών εμπιστοσύνης δεν ευθύνονται για ζημίες που προκαλούνται από χρήση των υπηρεσιών καθ’ υπέρβαση των δηλωθέντων περιορισμών.

3. Οι παράγραφοι 1 και 2 εφαρμόζονται σύμφωνα με τους εθνικούς κανόνες περί ευθύνης.

Άρθρο 14

Διεθνείς πτυχές

1. Οι υπηρεσίες εμπιστοσύνης που παρέχονται από παρόχους υπηρεσιών εμπιστοσύνης εγκατεστημένους σε τρίτες χώρες αναγνωρίζονται ως νομικά ισοδύναμες προς τις εγκεκριμένες υπηρεσίες εμπιστοσύνης που παρέχονται από εγκεκριμένους παρόχους υπηρεσιών εμπιστοσύνης εγκατεστημένους εντός της Ένωσης, εφόσον οι υπηρεσίες εμπιστοσύνης που προέρχονται από την τρίτη χώρα αναγνωρίζονται δυνάμει συμφωνίας που έχει συναφθεί μεταξύ της Ένωσης και της εν λόγω τρίτης χώρας ή διεθνούς οργανισμού σύμφωνα με το άρθρο 218 ΣΛΕΕ.

2. Οι συμφωνίες που αναφέρονται στην παράγραφο 1 διασφαλίζουν, ιδίως, τα εξής:

α)

ότι οι απαιτήσεις που εφαρμόζονται στους εγκατεστημένους στην Ένωση παρόχους εγκεκριμένων υπηρεσιών εμπιστοσύνης καθώς και στις εγκεκριμένες υπηρεσίες εμπιστοσύνης που αυτοί παρέχουν τηρούνται από τους παρόχους υπηρεσιών εμπιστοσύνης στην τρίτη χώρα ή τους διεθνείς οργανισμούς που είναι συμβαλλόμενα μέρη των συμφωνιών, όπως επίσης και από τις υπηρεσίες εμπιστοσύνης που αυτοί παρέχουν·

β)

ότι οι εγκεκριμένες υπηρεσίες εμπιστοσύνης που παρέχονται από εγκεκριμένους παρόχους υπηρεσιών εμπιστοσύνης εγκατεστημένους στην Ένωση αναγνωρίζονται ως νομικά ισοδύναμες με τις υπηρεσίες εμπιστοσύνης που παρέχονται από παρόχους υπηρεσιών εμπιστοσύνης στην τρίτη χώρα ή τον διεθνή οργανισμό που είναι συμβαλλόμενο μέρος των συμφωνιών.

Άρθρο 18

Αμοιβαία συνδρομή

1. Οι εποπτικοί φορείς συνεργάζονται για την ανταλλαγή ορθών πρακτικών.

Εποπτικός φορέας που λαμβάνει αιτιολογημένο αίτημα από άλλον εποπτικό φορέα παρέχει στον αιτούντα φορέα συνδρομή με σκοπό τη συνεκτική διεξαγωγή των δραστηριοτήτων των εποπτικών φορέων. Η αμοιβαία συνδρομή μπορεί να καλύπτει, ιδίως, αιτήματα παροχής πληροφοριών και εποπτικά μέτρα, όπως αιτήματα για τη διενέργεια επιθεωρήσεων σε σχέση με τις εκθέσεις αξιολόγησης της συμμόρφωσης που αναφέρονται στα άρθρα 20 και 21.

2. Εποπτικός φορέας στον οποίο απευθύνεται αίτημα συνδρομής μπορεί να αρνηθεί να ανταποκριθεί στο εν λόγω αίτημα όταν συντρέχει οποιοσδήποτε από τις ακόλουθους λόγους:

α)	ο εποπτικός φορέας δεν είναι αρμόδιος να παρέχει τη συνδρομή που ζητείται·

β)	η συνδρομή που ζητείται δεν είναι ανάλογη προς τις εποπτικές δραστηριότητες του εποπτικού φορέα οι οποίες πραγματοποιούνται σύμφωνα με το άρθρο 17·

γ)	η παροχή της συνδρομής που ζητείται θα ήταν ασυμβίβαστη με τον παρόντα κανονισμό.

3. Όπου κρίνεται σκόπιμο, τα κράτη μέλη μπορούν να επιτρέπουν στους οικείους εποπτικούς φορείς τους να διεξάγουν κοινές έρευνες στις οποίες συμμετέχει προσωπικό των εποπτικών φορέων άλλων κρατών μελών. Οι ρυθμίσεις και οι διαδικασίες για κοινές δράσεις αυτού του είδους συμφωνούνται και θεσπίζονται από τα ενδιαφερόμενα κράτη μέλη σύμφωνα με τα εθνικά τους δίκαια.

Άρθρο 19

Απαιτήσεις ασφάλειας για τους παρόχους υπηρεσιών εμπιστοσύνης

1. Οι πάροχοι υπηρεσιών εμπιστοσύνης, εγκεκριμένοι και μη, λαμβάνουν τα κατάλληλα τεχνικά και οργανωτικά μέτρα διαχείρισης των κινδύνων για την ασφάλεια των υπηρεσιών εμπιστοσύνης που παρέχουν. Λαμβανομένων υπόψη των τελευταίων τεχνολογικών εξελίξεων, τα εν λόγω μέτρα διασφαλίζουν ότι το επίπεδο ασφαλείας είναι ανάλογο προς τον βαθμό του κινδύνου. Συγκεκριμένα, λαμβάνονται μέτρα για την πρόληψη και την ελαχιστοποίηση του αντικτύπου των συμβάντων που άπτονται της ασφάλειας, καθώς και για την ενημέρωση των ενδιαφερομένων σχετικά με τις δυσμενείς επιπτώσεις τυχόν παρόμοιων συμβάντων.

2. Οι πάροχοι υπηρεσιών εμπιστοσύνης, εγκεκριμένοι και μη, ενημερώνουν, χωρίς αδικαιολόγητη καθυστέρηση και, σε κάθε περίπτωση, εντός 24 ωρών αφότου έλαβαν γνώση σχετικά, τον εποπτικό φορέα και, κατά περίπτωση, άλλους σχετικούς φορείς, όπως τον αρμόδιο εθνικό φορέα για την ασφάλεια των πληροφοριών ή την αρχή προστασίας δεδομένων, για οποιαδήποτε παραβίαση της ασφάλειας ή απώλεια της ακεραιότητας που έχει σημαντικό αντίκτυπο στην παρεχόμενη υπηρεσία_εμπιστοσύνης ή στα σχετικά δεδομένα προσωπικού χαρακτήρα.

Όταν η παραβίαση της ασφάλειας ή η απώλεια της ακεραιότητας είναι πιθανόν να επηρεάσει δυσμενώς φυσικό ή νομικό πρόσωπο στο οποίο έχει παρασχεθεί η υπηρεσία_εμπιστοσύνης, ο πάροχος_υπηρεσιών_εμπιστοσύνης ενημερώνει επίσης, χωρίς αδικαιολόγητη καθυστέρηση, το φυσικό ή νομικό πρόσωπο για την παραβίαση της ασφάλειας ή την απώλεια της ακεραιότητας.

Κατά περίπτωση, ιδίως εάν η παραβίαση της ασφάλειας ή η απώλεια της ακεραιότητας αφορά δύο ή περισσότερα κράτη μέλη, ο εποπτικός φορέας που έχει ενημερωθεί ενημερώνει τους εποπτικούς φορείς των άλλων ενδιαφερόμενων κρατών μελών και τον ENISA.

Ο εποπτικός φορέας που έχει ενημερωθεί ενημερώνει το κοινό ή ζητεί από τον πάροχο υπηρεσιών εμπιστοσύνης να το πράξει, εφόσον κρίνει ότι η δημοσιοποίηση της παραβίασης της ασφάλειας ή της απώλειας της ακεραιότητας εξυπηρετεί το δημόσιο συμφέρον.

3. Ο εποπτικός φορέας παρέχει μία φορά ετησίως στον ENISA σύνοψη των κοινοποιήσεων παραβίασης της ασφάλειας ή της απώλειας της ακεραιότητας που έχει λάβει από τους παρόχους υπηρεσιών εμπιστοσύνης.

4. Η Επιτροπή μπορεί, με εκτελεστικές πράξεις, να προβαίνει στις ακόλουθες ενέργειες:

α)	να εξειδικεύει περαιτέρω τα μέτρα της παραγράφου 1, και

β)	να καθορίζει τους μορφότυπους και τις διαδικασίες, συμπεριλαμβανομένων των προθεσμιών, που ισχύουν για τον σκοπό της παραγράφου 2.

Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης στην οποία παραπέμπει το άρθρο 48 παράγραφος 2.

ΤΜΗΜΑ 3

Εγκεκριμένες υπηρεσίες εμπιστοσύνης

Άρθρο 20

Εποπτεία εγκεκριμένων παρόχων υπηρεσιών εμπιστοσύνης

1. Οι εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης ελέγχονται, με δικές τους δαπάνες τουλάχιστον κάθε 24 μήνες, από οργανισμό αξιολόγησης της συμμόρφωσης. Σκοπός του ελέγχου είναι να επιβεβαιώνεται ότι οι εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης και οι παρεχόμενες από αυτούς εγκεκριμένες υπηρεσίες εμπιστοσύνης πληρούν τις απαιτήσεις του παρόντος κανονισμού. Οι εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης υποβάλλουν την προκύπτουσα έκθεση αξιολόγησης της συμμόρφωσης στον εποπτικό φορέα εντός τριών εργάσιμων ημερών από την παραλαβή της.

2. Με την επιφύλαξη της παραγράφου 1, ο εποπτικός φορέας μπορεί ανά πάσα στιγμή να διενεργεί ελέγχους ή να ζητεί από οργανισμό αξιολόγησης της συμμόρφωσης τη διενέργεια αξιολόγησης της συμμόρφωσης για εγκεκριμένους παρόχους υπηρεσιών εμπιστοσύνης, με δαπάνες των εν λόγω εγκεκριμένων παρόχων υπηρεσιών εμπιστοσύνης, προκειμένου να επιβεβαιώνεται ότι οι ίδιοι και οι παρεχόμενες από αυτούς εγκεκριμένες υπηρεσίες εμπιστοσύνης πληρούν τις προϋποθέσεις του παρόντος κανονισμού. Όταν υπάρχουν ενδείξεις ότι έχουν παραβιαστεί οι κανόνες προστασίας των δεδομένων προσωπικού χαρακτήρα, ο εποπτικός φορέας ενημερώνει τις αρχές προστασίας δεδομένων για τα αποτελέσματα των ελέγχων του.

3. Όταν ο εποπτικός φορέας απαιτεί από τον εγκεκριμένο πάροχο υπηρεσιών εμπιστοσύνης να άρει την παράλειψη συμμόρφωσης προς τις απαιτήσεις του παρόντος κανονισμού και όταν ο εν λόγω πάροχος δεν ενεργεί ανάλογα, κατά περίπτωση εντός προθεσμίας που τάσσει ο εποπτικός φορέας, ο εν λόγω φορέας μπορεί, λαμβάνοντας υπόψη ιδίως την έκταση, τη διάρκεια και τις επιπτώσεις της παράλειψης αυτής, να αποσύρει την έγκριση του εν λόγω παρόχου ή της θιγόμενης υπηρεσίας που παρέχεται από αυτόν και να ενημερώσει τον φορέα που αναφέρεται στο άρθρο 22 παράγραφος 3, προκειμένου να ενημερώσει τους κατάλογους εμπιστοσύνης που αναφέρονται στο άρθρο 22 παράγραφος 1. Ο εποπτικός φορέας ενημερώνει τον εγκεκριμένο πάροχο υπηρεσιών εμπιστοσύνης σχετικά με την απόσυρση της έγκρισής του ή της έγκρισης της σχετικής υπηρεσίας.

4. Η Επιτροπή μπορεί να καθορίζει, με εκτελεστικές πράξεις, αριθμούς αναφοράς προτύπων για τα εξής πρότυπα:

α)	πρότυπα για τη διαπίστευση των οργανισμών αξιολόγησης της συμμόρφωσης και για την έκθεση αξιολόγησης της πιστότητας που αναφέρεται στην παράγραφο 1·

β)	πρότυπα για τους κανόνες ελέγχου βάσει των οποίων οι οργανισμοί αξιολόγησης της συμμόρφωσης θα διενεργούν την αξιολόγηση της συμμόρφωσης των εγκεκριμένων παρόχων υπηρεσιών εμπιστοσύνης σύμφωνα με την παράγραφο 1.

Άρθρο 21

Έναρξη εγκεκριμένης υπηρεσίας εμπιστοσύνης

1. Εάν πάροχοι υπηρεσιών εμπιστοσύνης που δεν είναι εγκεκριμένοι σκοπεύουν να αρχίσουν να παρέχουν εγκεκριμένες υπηρεσίες εμπιστοσύνης, υποβάλλουν στον εποπτικό φορέα κοινοποίηση της πρόθεσής τους μαζί με έκθεση αξιολόγησης της συμμόρφωσης εκδοθείσα από οργανισμό αξιολόγησης της συμμόρφωσης.

2. Ο εποπτικός φορέας εξακριβώνει αν ο πάροχος_υπηρεσιών_εμπιστοσύνης και οι υπηρεσίες εμπιστοσύνης που παρέχονται συμμορφώνονται προς τις απαιτήσεις του παρόντος κανονισμού, και ιδίως τις απαιτήσεις που προβλέπονται για τους εγκεκριμένους παρόχους υπηρεσιών εμπιστοσύνης και για τις εγκεκριμένες υπηρεσίες εμπιστοσύνης που παρέχουν.

Εάν ο εποπτικός φορέας καταλήξει στο συμπέρασμα ότι ο πάροχος_υπηρεσιών_εμπιστοσύνης και οι υπηρεσίες εμπιστοσύνης που παρέχει συμμορφώνονται προς τις απαιτήσεις που αναφέρονται στο πρώτο εδάφιο, χορηγεί έγκριση στον πάροχο υπηρεσιών εμπιστοσύνης και στις υπηρεσίες εμπιστοσύνης που παρέχει. Ενημερώνει τον φορέα που αναφέρεται στο άρθρο 22 παράγραφος 3 προκειμένου να ενημερώσει τους καταλόγους εμπιστοσύνης που αναφέρονται στο άρθρο 22 παράγραφος 1, το αργότερο τρεις μήνες από την κοινοποίηση σύμφωνα με την παράγραφο 1 του παρόντος άρθρου.

Εάν η εξακρίβωση δεν ολοκληρωθεί εντός τριών μηνών από την κοινοποίηση, ο εποπτικός φορέας ενημερώνει τον πάροχο υπηρεσιών εμπιστοσύνης εξηγώντας τους λόγους της καθυστέρησης και ορίζοντας την προθεσμία εντός της οποίας θα ολοκληρωθεί η εξακρίβωση.

3. Οι εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης μπορούν να αρχίσουν να παρέχουν τις εγκεκριμένες υπηρεσίες εμπιστοσύνης αφού η έγκριση καταχωριστεί στους καταλόγους εμπιστοσύνης που αναφέρονται στο άρθρο 22 παράγραφος 1.

4. Η Επιτροπή μπορεί να καθορίζει, με εκτελεστικές πράξεις, μορφότυπους και διαδικασίες για τους σκοπούς των παραγράφων 1 και 2. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης στην οποία παραπέμπει το άρθρο 48 παράγραφος 2.

Άρθρο 24

Απαιτήσεις για τους εγκεκριμένους παρόχους υπηρεσιών εμπιστοσύνης

1. Κατά την έκδοση εγκεκριμένου πιστοποιητικού για υπηρεσία_εμπιστοσύνης, ο εγκεκριμένος πάροχος_υπηρεσιών_εμπιστοσύνης προβαίνει, με κατάλληλα μέσα και σύμφωνα με το εθνικό δίκαιο, σε εξακρίβωση της ταυτότητας και, κατά περίπτωση, τυχόν ειδικών χαρακτηριστικών του φυσικού ή νομικού προσώπου για το οποίο εκδίδεται εγκεκριμένο πιστοποιητικό.

Οι πληροφορίες που αναφέρονται στο πρώτο εδάφιο εξακριβώνονται από τον εγκεκριμένο πάροχο υπηρεσιών εμπιστοσύνης είτε άμεσα είτε μέσω τρίτου σύμφωνα με το εθνικό δίκαιο:

α)	με φυσική παρουσία του φυσικού προσώπου ή εξουσιοδοτημένου εκπροσώπου του νομικού προσώπου, ή

β)

εξ αποστάσεως, με τη χρήση μέσων ηλεκτρονικής ταυτοποίησης για τα οποία, πριν από την έκδοση του εγκεκριμένου πιστοποιητικού, έχει διασφαλιστεί η φυσική παρουσία του φυσικού προσώπου ή εξουσιοδοτημένου εκπροσώπου του νομικού προσώπου και τα οποία πληρούν τις απαιτήσεις του άρθρου 8 όσον αφορά το «βασικό» ή το «υψηλό» επίπεδο διασφάλισης, ή

γ)	μέσω πιστοποιητικού εγκεκριμένης ηλεκτρονικής υπογραφής ή εγκεκριμένης ηλεκτρονικής σφραγίδας που έχει εκδοθεί σύμφωνα με το στοιχείο α) ή β), ή

δ)	με τη χρήση άλλων μεθόδων ταυτοποίησης αναγνωρισμένων σε εθνικό επίπεδο που παρέχουν διασφάλιση ισοδύναμη με τη φυσική παρουσία. Η ισοδύναμη διασφάλιση επιβεβαιώνεται από οργανισμό αξιολόγησης της συμμόρφωσης.

2. Οι εγκεκριμένοι πάροχοι υπηρεσιών που παρέχουν εγκεκριμένες υπηρεσίες εμπιστοσύνης:

α)	ενημερώνουν τον εποπτικό φορέα για κάθε αλλαγή όσον αφορά την παροχή των εγκεκριμένων υπηρεσιών εμπιστοσύνης του, περιλαμβανομένης της πρόθεσης παύσης των εν λόγω δραστηριοτήτων·

β)

απασχολούν προσωπικό και, κατά περίπτωση, υπεργολάβους που διαθέτουν την απαραίτητη τεχνογνωσία, αξιοπιστία, πείρα και προσόντα και έχουν λάβει κατάλληλη εκπαίδευση σχετικά με την ασφάλεια και τους κανόνες προστασίας των δεδομένων προσωπικού χαρακτήρα, εφαρμόζουν δε διοικητικές και διαχειριστικές διαδικασίες που ανταποκρίνονται σε ευρωπαϊκά ή διεθνή πρότυπα·

γ)	όσον αφορά την ευθύνη για τις ζημίες σύμφωνα με το άρθρο 13, διατηρούν επαρκείς οικονομικούς πόρους και/ή αποκτούν κατάλληλη ασφαλιστική κάλυψη, σύμφωνα με το εθνικό δίκαιο·

δ)

προτού συνάψουν συμβατική σχέση, ενημερώνουν, με σαφή και ολοκληρωμένο τρόπο, κάθε πρόσωπο που επιθυμεί να χρησιμοποιήσει εγκεκριμένη υπηρεσία_εμπιστοσύνης σχετικά με τους ακριβείς όρους και τις προϋποθέσεις για τη χρήση της εν λόγω υπηρεσίας, συμπεριλαμβανομένων τυχόν περιορισμών όσον αφορά τη χρήση της·

ε)	χρησιμοποιούν αξιόπιστα συστήματα και προϊόντα τα οποία προστατεύονται από τροποποιήσεις και διασφαλίζουν την τεχνική ασφάλεια και αξιοπιστία των διεργασιών που υποστηρίζονται από αυτά·

στ)

χρησιμοποιούν αξιόπιστα συστήματα για την αποθήκευση των δεδομένων που τους παρέχονται, σε επαληθεύσιμη μορφή, ούτως ώστε:

i)	να είναι δημοσίως διαθέσιμα για άντληση μόνον εφόσον έχει ληφθεί η συγκατάθεση του προσώπου στο οποίο αναφέρονται τα δεδομένα,

ii)	μόνον εξουσιοδοτημένα πρόσωπα να μπορούν να πραγματοποιούν καταχωρίσεις και τροποποιήσεις στα αποθηκευμένα δεδομένα,

iii)	να μπορεί να ελέγχεται η αυθεντικότητα των δεδομένων·

ζ)	λαμβάνουν κατάλληλα μέτρα κατά της πλαστογραφίας και της κλοπής δεδομένων·

η)

καταγράφουν και διατηρούν προσβάσιμο για κατάλληλη χρονική περίοδο, ακόμη και μετά την παύση των δραστηριοτήτων του εγκεκριμένου παρόχου υπηρεσιών εμπιστοσύνης, το σύνολο των συναφών πληροφοριών που αφορούν δεδομένα τα οποία έχουν εκδοθεί και ληφθεί από τον εγκεκριμένο πάροχο υπηρεσιών εμπιστοσύνης, ιδίως για την παροχή αποδεικτικών στοιχείων σε νομικές διαδικασίες και για τη διασφάλιση της συνέχειας της υπηρεσίας· η καταγραφή αυτή δύναται να πραγματοποιείται με ηλεκτρονικά μέσα·

θ)	διαθέτουν ενημερωμένο σχέδιο τερματισμού με σκοπό την εξασφάλιση της συνέχειας της υπηρεσίας σύμφωνα με διατάξεις ελεγμένες από τον εποπτικό φορέα δυνάμει του άρθρου 17 παράγραφος 4 στοιχείο θ)·

ι)	εξασφαλίζουν τη νόμιμη επεξεργασία των δεδομένων προσωπικού χαρακτήρα σύμφωνα με την οδηγία 95/46/ΕΚ·

ια)	σε περίπτωση εγκεκριμένων παρόχων υπηρεσιών εμπιστοσύνης που εκδίδουν εγκεκριμένα πιστοποιητικά, συγκροτούν βάση δεδομένων για τα πιστοποιητικά, την οποία τηρούν ενημερωμένη.

3. Όταν εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης που εκδίδουν εγκεκριμένα πιστοποιητικά αποφασίζουν να ανακαλέσουν ένα πιστοποιητικό, καταχωρίζουν την εν λόγω ανάκληση στη βάση δεδομένων για τα πιστοποιητικά και δημοσιοποιούν την ανάκληση του πιστοποιητικού εγκαίρως και σε κάθε περίπτωση εντός 24 ωρών από την παραλαβή της αίτησης. Η ανάκληση αυτή αρχίζει να ισχύει αμέσως μετά τη δημοσιοποίησή της.

4. Αναφορικά με την παράγραφο 3, οι εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης που εκδίδουν εγκεκριμένα πιστοποιητικά παρέχουν σε κάθε βασιζόμενο_μέρος πληροφορίες για την ισχύ ή την ανάκληση των εγκεκριμένων πιστοποιητικών που έχουν εκδοθεί από αυτούς. Οι εν λόγω πληροφορίες είναι διαθέσιμες, τουλάχιστον για κάθε χωριστό πιστοποιητικό, ανά πάσα στιγμή και πέραν της περιόδου ισχύος του πιστοποιητικού, κατά τρόπο αυτοματοποιημένο που είναι αξιόπιστος, δωρεάν και αποτελεσματικός.

5. Η Επιτροπή μπορεί να καθορίζει, με εκτελεστικές πράξεις, αριθμούς αναφοράς προτύπων για τα αξιόπιστα συστήματα και προϊόντα που είναι σύμφωνα με τις απαιτήσεις της παραγράφου 2 στοιχεία ε) και στ) του παρόντος άρθρου. Η συμμόρφωση με τις απαιτήσεις που ορίζονται στο παρόν άρθρο τεκμαίρεται εφόσον τα αξιόπιστα συστήματα και προϊόντα πληρούν τα πρότυπα αυτά. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης στην οποία παραπέμπει το άρθρο 48 παράγραφος 2.

ΤΜΗΜΑ 4

Ηλεκτρονικές υπογραφές

Άρθρο 29

Απαιτήσεις για τις εγκεκριμένες διατάξεις δημιουργίας ηλεκτρονικής υπογραφής

1. Οι εγκεκριμένες διατάξεις δημιουργίας ηλεκτρονικής υπογραφής πληρούν τις απαιτήσεις του παραρτήματος II.

2. Η Επιτροπή μπορεί να καθορίζει, με εκτελεστικές πράξεις, αριθμούς αναφοράς προτύπων για τις εγκεκριμένες διατάξεις δημιουργίας ηλεκτρονικής υπογραφής. Η συμμόρφωση με τις απαιτήσεις του παραρτήματος II τεκμαίρεται εφόσον η εγκεκριμένη διάταξη_δημιουργίας_ηλεκτρονικής_υπογραφής πληροί τα πρότυπα αυτά. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης στην οποία παραπέμπει το άρθρο 48 παράγραφος 2.

Άρθρο 44

Απαιτήσεις για τις εγκεκριμένες ηλεκτρονικές υπηρεσίες συστημένης παράδοσης

1. Οι εγκεκριμένες ηλεκτρονικές υπηρεσίες συστημένης παράδοσης πληρούν τις ακόλουθες απαιτήσεις:

α)	παρέχονται από έναν ή περισσότερους εγκεκριμένους παρόχους υπηρεσιών εμπιστοσύνης·

β)	εξασφαλίζουν με υψηλό επίπεδο εμπιστοσύνης την ταυτοποίηση του αποστολέα·

γ)	εξασφαλίζουν την ταυτοποίηση του αποδέκτη πριν από την παράδοση των δεδομένων·

δ)	η αποστολή και η λήψη των δεδομένων διασφαλίζονται με προηγμένη ηλεκτρονική_υπογραφή ή προηγμένη ηλεκτρονική_σφραγίδα εγκεκριμένου παρόχου υπηρεσιών εμπιστοσύνης κατά τρόπο που να αποκλείει τη δυνατότητα μη ανιχνεύσιμης τροποποίησης των δεδομένων·

ε)	οποιαδήποτε τροποποίηση των δεδομένων που απαιτούνται για τους σκοπούς της αποστολής ή της λήψης των δεδομένων δηλώνεται σαφώς στον αποστολέα και στον αποδέκτη των δεδομένων·

στ)	η ημερομηνία και ο χρόνος αποστολής, παραλαβής και οποιαδήποτε αλλαγή των στοιχείων αναφέρεται με εγκεκριμένη ηλεκτρονική_χρονοσφραγίδα.

Σε περίπτωση μεταφοράς των δεδομένων μεταξύ δύο ή περισσότερων εγκεκριμένων παρόχων υπηρεσιών εμπιστοσύνης, οι απαιτήσεις που ορίζονται στα στοιχεία α) έως στ) εφαρμόζονται σε όλους τους εγκεκριμένους παρόχους υπηρεσιών εμπιστοσύνης.

2. Η Επιτροπή μπορεί να καθορίζει, με εκτελεστικές πράξεις, αριθμούς αναφοράς προτύπων για τις διαδικασίες αποστολής και λήψης δεδομένων. Η συμμόρφωση με τις απαιτήσεις που ορίζονται στην παράγραφο 1 τεκμαίρεται εφόσον η διαδικασία αποστολής και λήψης δεδομένων πληροί τα πρότυπα αυτά. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης στην οποία παραπέμπει το άρθρο 48 παράγραφος 2.

ΤΜΗΜΑ 8

Πιστοποίηση γνησιότητας ιστοτόπων

Άρθρο 50

Κατάργηση

1. Η οδηγία 1999/93/ΕΚ καταργείται από την 1η Ιουλίου 2016.

2. Οι παραπομπές στην καταργούμενη οδηγία θεωρούνται παραπομπές στον παρόντα κανονισμό.

Άρθρο 51

Μεταβατικά μέτρα

1. Οι ασφαλείς διατάξεις δημιουργίας υπογραφής των οποίων η συμμόρφωση έχει διαπιστωθεί σύμφωνα με το άρθρο 3 παράγραφος 4 της οδηγίας 1999/93/ΕΚ θεωρούνται εγκεκριμένες διατάξεις δημιουργίας ηλεκτρονικής υπογραφής δυνάμει του παρόντος κανονισμού.

2. Εγκεκριμένα πιστοποιητικά που εκδίδονται για φυσικά πρόσωπα σύμφωνα με την οδηγία 1999/93/ΕΚ θεωρούνται εγκεκριμένα πιστοποιητικά για τις ηλεκτρονικές υπογραφές βάσει του παρόντος κανονισμού μέχρι την ημερομηνία λήξης τους.

3. Οι πάροχοι υπηρεσιών πιστοποίησης που εκδίδουν εγκεκριμένα πιστοποιητικά δυνάμει της οδηγίας 1999/93/ΕΚ υποβάλλουν έκθεση αξιολόγησης της συμμόρφωσης στον εποπτικό φορέα το συντομότερο δυνατόν και το αργότερο την 1η Ιουλίου 2017. Μέχρι την υποβολή της έκθεσης αξιολόγησης της συμμόρφωσης και την ολοκλήρωση της αξιολόγησης από τον εποπτικό φορέα, οι πάροχοι υπηρεσιών πιστοποίησης θεωρούνται εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης δυνάμει του παρόντος κανονισμού.

4. Εάν πάροχος υπηρεσιών πιστοποίησης που εκδίδει εγκεκριμένα πιστοποιητικά δυνάμει της οδηγίας 1999/93/ΕΚ δεν υποβάλει έκθεση αξιολόγησης της συμμόρφωσης στον εποπτικό φορέα εντός της προθεσμίας της παραγράφου 3, ο εν λόγω πάροχος δεν θεωρείται εγκεκριμένος πάροχος_υπηρεσιών_εμπιστοσύνης δυνάμει του παρόντος κανονισμού από τις 2 Ιουλίου 2017.

whereas

keyboard_tab EIDAS 2014/0910 EL

EIDAS 2014/0910 EL