L 173/2 Den Europæiske Unions Tidende 26.6.2013 FORORDNINGER KOMMISSIONENS FORORDNING (EU) Nr. 611/2013 af 24. juni 2013 om de foranstaltninger, der skal anvendes ved underretningen om brud på persondatasikkerheden, jf. Europa-Parlamentets og Rådets direktiv 2002/58/EF vedrørende databeskyttelse inden for elektronisk kommunikation EUROPA-KOMMISSIONEN HAR — under henvisning til traktaten om Den Europæiske Unions funktionsmåde, under henvisning til Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplys- ninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (Direktiv om databeskyttelse inden for elektronisk kommunikation) (!), særlig artikel 4, stk. 5, efter at have hørt Det Europæiske Agentur for Net- og Infor- mationssikkerhed (ENISA), efter at have hørt Gruppen vedrørende Beskyttelse af Personer i forbindelse med Behandling af Personoplysninger, der er nedsat ved artikel 29 i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (?) (Artikel 29- Gruppen), efter høring af Den Europæiske Tilsynsførende for Databeskyt- telse (EDPS) og ud fra følgende betragtninger: (1) — Direktiv 2002/58/EF tager sigte på en harmonisering af nationale bestemmelser, der er nødvendig for at sikre et ensartet niveau i beskyttelsen af de grundlæggende rettig- heder og frihedsrettigheder og navnlig retten til privatli- vets fred og fortrolighed i forbindelse med behandling af personoplysninger inden for den elektroniske kommuni- kationssektor og for at sikre fri omsætning af sådanne oplysninger og af elektronisk kommunikationsudstyr og elektroniske kommunikationstjenester i Unionen. (2) —Ihenhold til artikel 4 i direktiv 2002/58/EF har udbydere af offentligt tilgængelige kommunikationstjenester pligt til at underrette de kompetente nationale myndigheder og i visse tilfælde også berørte abonnenter og fysiske personer om brud på persondatasikkerheden. Brud på persondatasikkerheden er i artikel 2, litra i), i direktiv 2002/58/EF defineret som et sikkerhedsbrud, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, ubeføjet videregivelse af eller adgang til persondata, der () EFT L 201 af 31.7.2002, s. 37. (?) EFT L 281 af 23.11.1995, s. 31. sendes, lagres eller på anden måde behandles i forbin- delse med udbuddet af offentligt tilgængelige kommuni- kationstjenester i Unionen. For at sikre en ensartet gennemførelse af de foranstalt- ninger, der er anført i artikel 4, stk. 2, 3 og 4, i direktiv 2002/58/EF, giver samme direktivs artikel 4, stk. 5, Kommissionen beføjelse til at vedtage tekniske gennem- førelsesforanstaltninger om, under hvilke omstændig- heder informations- og underretningskravene i denne artikel gælder, samt hvilke former og procedurer der skal anvendes. Forskelle i nationale krav i denne henseende kan medføre retlig usikkerhed, mere komplicerede og omstændelige procedurer og betydelige administrative omkostninger for udbydere, der opererer på tværs af landegrænserne. Kommissionen finder det derfor nødvendigt at vedtage sådanne tekniske gennemførelsesforanstaltninger. Denne forordning er afgrænset til at omhandle underret- ningen om brud på persondatasikkerheden, og der er derfor ikke fastsat tekniske gennemførelsesforanstalt- ninger for artikel 4, stk. 2, i direktiv 2002/58/EF om underretning af abonnenter i tilfælde af en særlig risiko for brud på netsikkerheden. Det følger af første afsnit i artikel 4, stk. 3, i direktiv 2002/58/EF, at udbyderne skal underrette den kompe- tente nationale myndighed om alle brud på persondata- sikkerheden. Der bør derfor ikke overlades skønsbefø- jelser til udbyderen om, hvorvidt den kompetente myndighed bør underrettes. Dette bør dog ikke hindre den berørte kompetente nationale myndighed i at prio- ritere undersøgelsen af visse brud på den måde, som den finder passende i overensstemmelse med den gældende lovgivning, og om fornødent at træffe foranstaltninger for at undgå over- eller underrapportering om brud på persondatasikkerheden. Der bør tilvejebringes en ordning for underretning om brud på persondatabeskyttelsen til den kompetente natio- nale myndighed, og når visse betingelser er opfyldt, bør ordningen bestå af forskellige faser, som hver især er omfattet af visse frister. Hensigten med ordningen er at sikre, at den kompetente nationale myndighed under- rettes så hurtigt og så fyldestgørende som muligt uden dog på en urimelig måde at hindre udbyderen i sine bestræbelser på at undersøge bruddet og træffe de nødvendige foranstaltninger for at begrænse det og afbøde konsekvenserne heraf.