Исследование было проведено командой под руководством Джоса Думортье, профессора Факультета права и директора Междисциплинарного центра права и информационных технологий (icri) в K.

Вид материала

Содержание

1.7 Прочие положения
1.7.2 Защита данных (Статья 8)
1.7.3 Комитет (Статьи 9-10)
1.7.4 Извещение (Статья 11)
1.7.5 Пересмотр Директивы (Статья 12)
1.7.6 Ввод в действие (Статья 13)

Подобный материал:

1 ... 7 8 9 10 11 12 13 14 ... 59

1.7 Прочие положения

1.7.1 Международные аспекты (Статья 7)

Декларативная часть Директивы делает упор на то, что развитие электронной коммерции во всем мире требует международных соглашений, включающих третьи страны. Для обеспечения совместимости в мировом масштабе важную роль могут сыграть соглашения с третьими странами о многосторонних правилах взаимного признания сертификационных услуг.^³⁵

Статья 7 Директивы требует, чтобы государства-члены обеспечивали официальное признание сертификатов, выданных гражданам в качестве квалифицированных провайдером сертификационных услуг, учрежденным в третьей стране, равнозначными сертификатам, которые выданы учрежденным внутри Сообщества провайдером сертификационных услуг, при выполнении следующих трех условий:

Провайдер сертификационных услуг выполняет требования, изложенные в Директиве и прошел аккредитацию по схеме добровольной аккредитации, учрежденной в государстве-члене;
Провайдер сертификационных услуг, учрежденный в Сообществе и отвечающий требованиям, изложенным в Директиве, гарантирует данный сертификат;
Сертификат провайдера сертификационных услуг официально признан в рамках двух- или многостороннего соглашения между Сообществом и третьими странами либо международными организациями.

Первая возможность для ПСУ, учрежденного в третьей стране, получить официальное признание эквивалентности своих сертификатов сформулирована не очень ясно. Само собой разумеется, что таким ПСУ необходимо выполнять «требования, изложенные в Директиве». Проблема состоит в том, что, в отличие от своих конкурентов из ЕС, ПСУ, учрежденные в третьих странах, не подпадают под область действия какой-либо из национальных систем надзора, учрежденных в государствах-членах. Тем самым, требование «аккредитации» в данной норме является факультативным. Суть дела в том, что системы добровольной аккредитации необязательно занимаются контролем соответствия ПСУ требованиям Директивы. Напротив, Статья 3.2 прямо стимулирует создание всех видов систем добровольной аккредитации, нацеленных, например, на повышение уровня предоставляемых сертификационных услуг. Однако в целях Статьи 7.1 (a) система добровольной аккредитации, используемая ПСУ из третьей страны, должна, хотя и в этих целях, контролировать, соответствует ли данный ПСУ требованиям Директивы.

Согласно Статье 7.2, в целях содействия развитию международных сертификационных услуг с участием третьих стран и официальному признанию усовершенствованных электронных подписей из третьих стран, «Комиссия, там, где это возможно, будет вносить предложения по эффективному выполнению стандартов и международных соглашений, относящихся к сертификационным услугам. В частности, где это необходимо, она будет вносить в Совет предложения о передаче полномочий на ведение переговоров с целью заключения двух- и многосторонних соглашений с третьими странами и международными организациями. Решение Совета будет приниматься квалифицированным большинством».

Статья 7.3 предусматривает, что «если Комиссия будет извещена о каких-либо сложностях, с которыми столкнулись предприятия Сообщества в связи с доступом на рынки третьих стран, она может, при необходимости, представлять Совету предложения о выдаче соответствующего мандата на проведение переговоров в целях уравнивании прав для мероприятий Сообщества в этих третьих странах. Совет принимает решение квалифицированным большинством. Меры, принимаемые согласно этому параграфу, не должны ограничивать обязательства Сообщества и государств-членов по соответствующим международным договорам».

1.7.2 Защита данных (Статья 8)

Государства-члены должны обеспечить соблюдение провайдерами сертификационных услуг и национальными организациями, отвечающими за аккредитацию или за надзор, требований, изложенных в Директиве Европейского парламента и Совета № 95/46/EC от 24 октября 1995 года о защите личности при обработке персональных данных и о свободном обращении этих данных.^³⁶

Согласно Статье 8.2, провайдер сертификационных услуг, выдающих сертификаты гражданам, может получать персональные данные только непосредственно от субъекта данных, либо с прямого согласия субъекта данных, и только в тех пределах, в которых это является необходимым для выдачи и обслуживания сертификата. Данные не могут собираться или обрабатываться в других целях без прямого согласия субъекта данных.

Без ущерба для юридической силы, которую псевдонимы получают по национальному законодательству, государства-члены не могут запретить провайдерам сертификационных услуг указывать в сертификате псевдоним вместо имени подписывающего лица. В Декларации факта (25) уточняется: «нормы, предусматривающие использование псевдонимов в сертификатах, не должны препятствовать государствам-членам в требовании удостоверения личностей по национальному законодательству или законам Сообщества».

В своем рабочем документе по службам сетевой аутентификации, принятом 29 января 2003 года,^³⁷ Рабочая группа по Статье 29, созданная на основе Европейской директивы о защите данных № 95/46/EC, подчеркивает, что ответственность в вопросах защиты данных ложится как на тех, кто разрабатывает системы сетевой аутентификации, так и на тех, кто обеспечивает функционирование этих систем (аутентификационные провайдеры). Пока приложения PKI могут повышать секретность^³⁸, использование PKI связано с серьезными рисками для конфиденциальности.^³⁹

В настоящее время PKI очень часто бывают полностью основаны на сертификатах, удостоверяющих личность. С целью лучшей защиты личной тайны исследователи предложили шире применять атрибутивные сертификаты или, в общем смысле, сертификатов, удостоверяющих личные качества, а не личность. Эти сертификаты во многом похожи на билеты в кино или жетоны метро: каждый может удостовериться в их подлинности и в данных, которые в них указаны, но не более того. Более того, при этом невозможно установить связь различных действий, предпринятых одним лицом. Держатели сертификатов могут определять, какая информация будет раскрыта и перед кем. К числу потенциальных применений относятся электронные деньги, электронные сборы за пересылку, управление цифровыми авторскими правами, псевдонимы для чат-комнат, хранение информации о здоровье, электронное голосование и даже электронные ставки.^⁴⁰

1.7.3 Комитет (Статьи 9-10)

На основе Директивы об электронных подписях Комиссия получила ряд исполнительных полномочий, например, по Статье 3.4 (критерии назначения органов, проводящих аккредитацию) или по Статье 3.5 (публикация регистрационных номеров общепризнанных стандартов). В использовании этих полномочий Комиссии и представителям государств-членов оказывает содействие «Комитет по цифровым подписям».

К Комитету относятся Статьи с 4 по 7 Решения 1999/468/EC^⁴¹. В Статье 4 приведено описание процедуры управления Комитетом:

Комиссии оказывает помощь управляющий комитет под председательством представителя Комиссии, состоящий из представителей государств-членов.
Представитель Комиссии представляет комитету проект предпринимаемых мер. Комитет должен представить свое мнение по проекту в определенный срок, который может устанавливаться председателем в зависимости от срочности дела. В отношении решений, которые должны быть приняты Советом по представлению Комиссии, мнение выносится в порядке большинства, предусмотренного Статьей 205(2) Договора. Голоса представителей государств-членов внутри комитета должны оцениваться в порядке, установленном данной Статьей. Председатель не голосует.
Без ущерба для применения Статьи 8 Комиссия может принимать меры, которые вступают в действие незамедлительно. Тем не менее, если эти меры не отвечают позиции комитета, Комиссия обязана тотчас же сообщить о них Совету. В таком случае Комиссия может отложить ввод в действие мер, о которых она приняла решение, на срок, установленный в каждом из учредительных документов, но ни в коем случае не превышающий три месяца со дня сообщения об этих мерах Совету.
Совет, действуя на основании квалифицированного большинства, может принять иное решение в течение срока, предусмотренного параграфом 3.

Согласно Статье 7:

Каждый комитет по представлению председателя принимает собственный регламент на основе стандартного регламента, который должен быть опубликован в Официальном бюллетене Европейского сообщества. Настолько, насколько это необходимо, существующие комитеты должны привести свои регламенты в соответствие со стандартным регламентом.
Условия и принципы открытого доступа к документам, применяемые в отношении Комиссии, распространяются и на комитеты.
Комиссия должна регулярно извещать Европейский парламент о действиях комитетов. В этой связи она должна получать повестки собраний комитета, предоставленные комитетам планы мероприятий по выполнению актов, предусмотренных Статьей 251 Договора, результаты голосования, общие протоколы собраний и перечни организаций и органов власти, к которым принадлежат лица, назначенные государствами-членами в качестве представителей. Европейский парламент также должен получать извещения всякий раз, когда Комиссия представляет Совету мероприятия или предложения о принятии мер.
Комиссия должна в течение шести месяцев после дня, когда это Решение вступило в силу, опубликовать в Официальном бюллетене Европейского сообщества перечень всех комитетов, содействующих Комиссии в реализации исполнительных полномочий. Для каждого комитета в списке должен быть указан учредительный документ (документы), на основании которого он создан. Начиная с 2000 года, Комиссия также должна публиковать ежегодный отчёт о работе комитетов.
Ссылки на все документы, отправленные в Европейский парламент в соответствии с параграфом 3, должны быть опубликованы в реестре, который Комиссии следует создать в 2001 году.

Главными задачами Комитета являются разъяснение требований, изложенных в Приложениях к Директиве, критериев, упомянутых в Статье 3.4, и общепризнанных стандартов на продукты для электронной подписи, установленных и опубликованных в соответствие со Статьей 3.5.

1.7.4 Извещение (Статья 11)

Государства-члены должны доводить до сведения Комиссии и других государств-членов следующее:

информацию о национальных системах добровольной аккредитации, включая любые дополнительные требования в соответствие со Статьей 3.7;
наименования и адреса органов, отвечающих в данных государствах-членах за аккредитацию и надзор, а также органов, упомянутых в Статье 3.4;
наименования и адреса всех отечественных аккредитованных провайдеров сертификационных услуг.

Информация, подлежащая передаче, и изменения к ней должны быть представлены государствами-членами в кратчайшие сроки.

1.7.5 Пересмотр Директивы (Статья 12)

Через два года после ввода Директивы в действие Комиссия проведет пересмотр Директивы с целью, помимо всего прочего, убедиться, что развитие технологии либо изменения в правовой среде не создали препятствий для достижения целей, поставленных в Директиве. Она проанализирует результаты в смежных технических областях и представит отчет по данной теме Европейскому парламенту и Совету. Отчет будет, в частности, включать оценку вопросов гармонизации на основе полученного опыта. Там, где это необходимо, отчет должен быть дополнен законодательными предложениями.

1.7.6 Ввод в действие (Статья 13)

Государства-члены должны транспонировать Директиву об электронной подписи до 19 июля 2001 года и незамедлительно известить об этом Комиссию. Эти меры, будучи приняты государствами-членами, должны включать ссылку на Директиву или сопровождаться такой ссылкой в случае их официальной публикации. Государства-члены могут самостоятельно определить способ, которым они сделают данную ссылку.

Государства-члены должны представить Комиссии текст основных положений отечественного закона, который они примут в сфере регулирования настоящей Директивы.

Blog