13/Sv. 66 Službeni list Europske unije 159 32013R0611 L 173/2 SLUŽBENI LIST EUROPSKE UNIJE 26.6.2013. UREDBA KOMISIJE (EU) br. 611/2013 od 24. lipnja 2013. o mjerama koje se primjenjuju na obavješćivanje o povredama osobnih podataka u skladu s Direktivom  2002/58/EZ  Europskog  parlamenta komunikacijama EUROPSKA KOMISIJA, uzimajući o obzir Ugovor o funkcioniranju Europske unije, uzimajući u obzir Direktivu 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama) (!), a posebno njezin članak 4. stavak 5., nakon savjetovanja s Europskom agencijom za mrežnu i infor- macijsku sigurnost (ENISA), nakon savjetovanja s Radnom skupinom za zaštitu pojedinaca u vezi s obradom osobnih podataka osnovanom člankom 29. Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listo- pada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom prijenosu takvih podataka (?) (Radna skupina iz članka 29.), nakon savjetovanja s Europskim nadzornikom za zaštitu poda- taka (EDPS), budući da: (1) — Direktivom  2002/58/EZ  predviđeno je  usklađivanje nacionalnih odredaba potrebnih za osiguravanje jednake razine zaštite temeljnih prava i sloboda, a posebno prava na privatnost i povjerljivost, u vezi s obradom osobnih podataka u području elektroničkih komunikacija i za osiguravanje slobodnog kretanja takvih podataka te elek- troničke komunikacijske opreme i usluga u Uniji. (2) _ Na temelju članka 4. Direktive 2002/58/EZ, pružatelji javno dostupnih elektroničkih komunikacijskih usluga obvezni su obavijestiti nadležna nacionalna tijela, a u određenim slučajevima i predmetne pretplatnike i poje- dince, o povredama osobnih podataka. Povrede osobnih podataka definirane su u članku 2. točki (i) Direktive 2002/58/EZ kao proboji zaštitnih mjera koji dovode do slučajnog ili nezakonitog uništavanja, gubitka, izmjene, neovlaštenog otkrivanja ili pristupa u pogledu osobnih (!) SL L 201, 31.7.2002., str. 37. (*) SL L 281, 23.11.1995., str. 31. i (7) Vijeća o _ privatnosti i  elektroničkim podataka koji se prenose, čuvaju ili na neki drugi način obrađuju u vezi s pružanjem javno dostupnih elektroni- čkih komunikacijskih usluga u Uniji. Kako bi se osigurala dosljedna provedba mjera iz članka 4. stavaka 2., 3. i 4. Direktive 2002/58/EZ, njezinim je člankom 4. stavkom 5. Komisija ovlaštena donositi tehničke provedbene mjere koje se odnose na okolnosti, oblik i postupke primjenljive na zahtjeve u vezi s obavje- šćivanjem i prijavljivanjem iz tog članka. Različiti nacionalni zahtjevi u tom pogledu mogu dovesti do pravne nesigurnosti, složenijih i težih postupaka i značajnih administrativnih troškova za pružatelje usluga koji posluju prekogranično. Komisija stoga  smatra potrebnim donijeti takve tehničke provedbene mjere. Ova je Uredba ograničena na obavješćivanje o povredama osobnih podataka i stoga se njome ne utvrđuju tehničke provedbene mjere koje se odnose na članak 4. stavak 2. Direktive 2002/58/EZ o obavješćivanju pretplatnika u slučaju posebnog rizika od kršenja sigurnosti mreže. Iz prvog podstavka članka 4. stavka 3. Direktive 2002/58/EZ proizlazi da bi pružatelji usluga trebali obavijestiti nadležno nacionalno tijelo o svim povredama osobnih podataka. Stoga se pružatelju usluga ne bi trebalo dati nikakvo diskrecijsko pravo u pogledu toga hoće li ili neće obavijestiti nadležno nacionalno tijelo. Međutim, time se ne bi trebalo spriječiti predmetno nadležno nacionalno tijelo da odredi prioritete u vezi s istraživanjem određenih povreda na način koji smatra prikladnim u skladu s primjenljivim pravom te da poduzme potrebne korake s ciljem izbjegavanja preko- mjernog ili nedovoljnog izvješćivanja o  povredama osobnih podataka. Prikladno je osigurati sustav za obavješćivanje nadležnog nacionalnog tijela o povredama osobnih podataka koji se sastoji, u slučaju da su ispunjeni određeni uvjeti, od različitih faza, od kojih svaka podliježe određenim vremenskim ograničenjima. Tim se sustavom namjerava osigurati što ranije i potpunije moguće obavješćivanje nadležnog nacionalnog tijela, pri čemu se, međutim, ne bi trebalo nepotrebno sprečavati pružatelja usluga u njegovim nastojanjima da istraži povredu i poduzme potrebne mjere za njezino ograničavanje i za otklanjanje posljedica takve povrede.