14 – Υποχρεώσεις Υπόχρεων Προσώπων
13.(1) Χωρίς επηρεασμό των υποχρεώσεων των Υπόχρεων Προσώπων δυνάμει των διατάξεων του Μέρους ΙΙΙ, τα Υπόχρεα Πρόσωπα –
(α) διαθέτουν εγκατεστημένο και σε λειτουργία σύστημα πρόληψης απώλειας Δεδομένων, ως πρόσθετη δικλείδα ασφαλείας για την ελαχιστοποίηση του κινδύνου διαρροής προσωπικών δεδομένων και πληροφοριών·
(β) καθώς και, ανά περίπτωση, τα εξουσιοδοτημένα πρόσωπα αυτών υπόκεινται σε καθήκον εχεμύθειας ως προς τα Δεδομένα, τα οποία υποβάλλουν στο Σύστημα Παρακολούθησης Υγείας σύμφωνα με τις διατάξεις του Μέρους ΙΙΙ·
(γ) διαθέτουν και εφαρμόζουν κατάλληλες πολιτικές ασφάλειας καθώς και τεχνικά και οργανωτικά μέτρα, τα οποία αναθεωρούν ανά τακτά χρονικά διαστήματα·
(δ) υποβάλλουν αληθή, πλήρη, ακριβή και επικαιροποιημένα Δεδομένα στο Σύστημα Παρακολούθησης Υγείας·
(ε) τηρούν αρχεία καταγραφής των ενεργειών των εξουσιοδοτημένων χρηστών τους, οι οποίοι προβαίνουν σε υποβολή Δεδομένων στο Σύστημα Παρακολούθησης Υγείας σύμφωνα με τις διατάξεις του Μέρους ΙΙΙ·
(στ) σε περίπτωση που, κατά τον έλεγχο των αρχείων καταγραφής της παραγράφου (ε), διαπιστωθεί παραβίαση Δεδομένων από εξουσιοδοτημένο χρήστη, ενημερώνουν αμελλητί και εγγράφως τη Μονάδα Παρακολούθησης Υγείας·
(ζ) θεσπίζουν διαδικασίες εντοπισμού και αντιμετώπισης περιστατικών παραβίασης ασφάλειας, που περιλαμβάνουν την άμεση ενημέρωση της Μονάδας Παρακολούθησης Υγείας σε περίπτωση διαρροής Δεδομένων, καθώς και τη λήψη των αναγκαίων διορθωτικών μέτρων·
(η) διασφαλίζουν την ποιότητα των υπηρεσιών πληροφορικής μέσω διαδικασιών διασφάλισης ποιότητας και εναρμόνισης με διεθνή πρότυπα·
(θ) διαθέτουν διαδικασίες για τον έγκαιρο εντοπισμό και την αποτελεσματική αντιμετώπιση προβλημάτων στα πληροφοριακά τους συστήματα·
(ι) συμμορφώνονται με το εφαρμοστέο νομικό, εποπτικό και κανονιστικό πλαίσιο αναφορικά με θέματα πληροφορικής και προσωπικών δεδομένων·
(ια) μελετούν, αξιοποιούν και εφαρμόζουν διεθνή πρότυπα και μεθοδολογίες διαχείρισης και ασφάλειας πληροφοριακών συστημάτων, και λαμβάνουν υπόψη τις διεθνείς εξελίξεις στους σχετικούς τομείς·
(ιβ) συντηρούν επαρκώς το μηχανογραφικό τους σύστημα·
(ιγ) παρέχουν τεχνική υποστήριξη, μέσω κατάλληλα οργανωμένων και στελεχωμένων υπηρεσιακών μονάδων, στα μέλη του προσωπικού τους και στους εξουσιοδοτημένους χρήστες τους·
(ιδ) διαθέτουν διαδικασίες διαχείρισης αντιγράφων ασφαλείας ώστε να διασφαλίζεται η ανάκαμψη σε περίπτωση καταστροφής, δολιοφθοράς ή τεχνικής βλάβης·
(ιε) διαθέτουν διαδικασίες διαχείρισης της χωρητικότητας, του φόρτου και της απόδοσης των συστημάτων και δικτύων τους·
(ιστ) διαθέτουν επαρκείς μηχανισμούς ελέγχου των Δεδομένων σε όλα τα στάδια, περιλαμβανομένων της προετοιμασίας, της εισαγωγής, της επεξεργασίας και της ανταλλαγής αυτών· και
(ιζ) υποβάλλουν, εντός του πρώτου εξαμήνου κάθε ημερολογιακού έτους, στη Μονάδα Παρακολούθησης Υγείας έκθεση ανεξάρτητων εξωτερικών ελεγκτών με αντικείμενο την αξιολόγηση της ασφαλούς φύλαξης και συντήρησης των Δεδομένων.
(2) Οι υποχρεώσεις των Υπόχρεων Προσώπων που προβλέπονται στο εδάφιο (1) εφαρμόζονται κατά τρόπο αναλογικό, λαμβανομένων υπόψη της φύσης, της έκτασης και του σκοπού της επεξεργασίας των Δεδομένων, καθώς και της κατηγορίας του Υπόχρεου Προσώπου, σύμφωνα με τα κριτήρια, όρους και προϋποθέσεις που καθορίζονται με διάταγμα του Υπουργού.
Τέλος
Δεδομένου ότι τα Υπόχρεα Πρόσωπα θα υποβάλλουν δεδομένα στην Μονάδα Παρακολούθησης Υγείας, παρατηρείται ότι οι υποχρεώσεις ασφάλειας που εμπεριέχονται στο άρθρο 13(1) αφορούν κυρίως τη γενική τήρηση/αποθήκευση των Δεδομένων, χωρίς να προβλέπεται ειδική πρόνοια για την ασφάλεια κατά τη μεταφορά/διαβίβασή τους.
Επίσης, δεδομένου ότι τα Υπόχρεα Πρόσωπα δυνατόν να είναι και νομικά πρόσωπα δημοσίου δικαίου, ενδεχομένως ήδη να είναι τα εξουσιοδοτημένα για αυτά πρόσωπα επιφορτισμένα με καθήκον εχεμύθειας.
Αναφορικά με το εδάφιο (ε): Θα πρέπει να τηρούνται αρχεία καταγραφής των ενεργειών των εξουσιοδοτημένων χρηστών που θα υποβάλλουν τα Δεδομένα στο Σύστημα Παρακολούθησης Υγείας.
Γενικότερα, θα πρέπει να ληφθούν υπόψιν οι δυνατότητες των Υπόχρεων Προσώπων στο να τηρήσουν τις εν λόγω υποχρεώσεις.
Αναφορικά με το άρθρο 13(1)(ιζ) και την υποχρέωση υποβολής έκθεσης ανεξάρτητων εξωτερικών ελεγκτών με αντικείμενο την αξιολόγηση της ασφαλούς φύλαξης και συντήρησης των Δεδομένων, θα ήταν χρήσιμο να διευκρινιστεί κατά πόσο θα καθοριστεί συγκεκριμένο πλαίσιο ή διαδικασία εφαρμογής της εν λόγω υποχρέωσης ή εάν προβλέπεται η αξιοποίηση υφιστάμενων πλαισίων και ελέγχων ασφάλειας πληροφοριών (ενδεικτικά, ελέγχου ωριμότητας κυβερνοασφάλειας δυνάμει της Κ.Δ.Π. 245/2024, πιστοποίηση ISO/IEC 27001).
Σχόλιο επί του Άρθρου 13(2)
Το Άρθρο 13 περιλαμβάνει ένα εκτενές και ιδιαίτερα λεπτομερές σύνολο τεχνικών, οργανωτικών και επιχειρησιακών απαιτήσεων που αφορούν τα πληροφοριακά συστήματα των Υπόχρεων Προσώπων. Οι περισσότερες από τις πρόνοιες αυτές αφορούν θέματα κυβερνοασφάλειας, διαχείρισης πληροφοριακών συστημάτων, διασφάλισης ποιότητας, ελέγχου πρόσβασης, διαχείρισης αντιγράφων ασφαλείας και επιχειρησιακής συνέχειας.
Παρότι οι απαιτήσεις αυτές είναι εύλογες από πλευράς προστασίας δεδομένων και ασφάλειας πληροφοριών, δημιουργείται προβληματισμός ως προς το κατά πόσον είναι σκόπιμο να περιγράφονται με τόσο λεπτομερή τρόπο σε πρωτογενή νομοθεσία, δεδομένου ότι πρόκειται για τεχνικές προδιαγραφές οι οποίες ενδέχεται να μεταβάλλονται με την πάροδο του χρόνου λόγω τεχνολογικών εξελίξεων και μεταβολών στα διεθνή πρότυπα.
Επίσης, η πρόβλεψη για αναλογική εφαρμογή των υποχρεώσεων είναι θετική. Ωστόσο, η ουσιαστική εφαρμογή της διάταξης εξαρτάται από τα κριτήρια και τις προϋποθέσεις που θα καθοριστούν με μελλοντικό διάταγμα του Υπουργού, με αποτέλεσμα να μην είναι δυνατόν να εκτιμηθεί στο παρόν στάδιο η πραγματική έκταση των υποχρεώσεων που θα βαρύνουν τις διαφορετικές κατηγορίες Υπόχρεων Προσώπων. Η αβεβαιότητα αυτή εντείνεται από το γεγονός ότι εξακολουθεί να μην είναι απολύτως σαφές ποιες κατηγορίες φορέων εμπίπτουν τελικά στον ορισμό των «Υπόχρεων Προσώπων», δεδομένης της ιδιαίτερα ευρείας διατύπωσης του σχετικού ορισμού και των προβληματισμών που έχουν ήδη διατυπωθεί αναφορικά με το πεδίο εφαρμογής του Νόμου.