VERORDNUNG (EU) Nr. 611/2013 DER KOMMISSION
vom 24. Juni 2013
über die Maßnahmen für die Benachrichtigung von Verletzungen des Schutzes personenbezogener Daten gemäß der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates (Datenschutzrichtlinie für elektronische Kommunikation)
DIE EUROPÄISCHE KOMMISSION -
gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,
gestützt auf die Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) (1), insbesondere auf Artikel 4 Absatz 5,
nach Anhörung der Europäischen Agentur für Netz- und Informationssicherheit (ENISA),
nach Anhörung der Arbeitsgruppe für den Schutz von Personen bei der Verarbeitung personenbezogener Daten, die gemäß Artikel 29 der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (2) eingesetzt wurde („Artikel-29-Datenschutzgruppe“),
nach Konsultation des Europäischen Datenschutzbeauftragten,
in Erwägung nachstehender Gründe:
(1)
Die Richtlinie 2002/58/EG sieht die Harmonisierung der Vorschriften der Mitgliedstaaten vor, die erforderlich sind, um einen gleichwertigen Schutz der Grundrechte und Grundfreiheiten, insbesondere des Rechts auf Privatsphäre und Vertraulichkeit, in Bezug auf die Verarbeitung personenbezogener Daten im Bereich der elektronischen Kommunikation sowie den freien Verkehr dieser Daten und von elektronischen Kommunikationsgeräten und -diensten in der Union zu gewährleisten.
(2)
Gemäß Artikel 4 der Richtlinie 2002/58/EG sind Betreiber öffentlich zugänglicher elektronischer Kommunikationsdienste verpflichtet, unverzüglich die zuständige nationale Behörde und in bestimmten Fällen auch die von Verletzungen des Schutzes personenbezogener Daten betroffenen Teilnehmer und Personen zu benachrichtigen. Verletzungen des Schutzes personenbezogener Daten werden in Artikel 2 Buchstabe i der Richtlinie 2002/58/EG definiert als Verletzung der Sicherheit, die auf unbeabsichtigte oder unrechtmäßige Weise zur Vernichtung, zum Verlust, zur Veränderung und zur unbefugten Weitergabe von bzw. zum unbefugten Zugang zu personenbezogenen Daten führt, die übertragen, gespeichert oder auf andere Weise im Zusammenhang mit der Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste in der Union verarbeitet werden.
(3)
Zur Gewährleistung einer einheitlichen Anwendung der in Artikel 4 Absätze 2, 3 und 4 der Richtlinie 2002/58/EG vorgesehenen Maßnahmen wird die Kommission durch Artikel 4 Absatz 5 derselben Richtlinie ermächtigt, technische Durchführungsmaßnahmen in Bezug auf die Umstände, Form und Verfahren der in dem genannten Artikel vorgeschriebenen Informationen und Benachrichtigungen zu erlassen.
(4)
Unterschiedliche nationale Anforderungen in dieser Hinsicht können zu rechtlicher Unsicherheit, komplizierteren und umständlicheren Verfahren und erheblichen Verwaltungskosten für grenzübergreifend tätige Betreiber führen. Die Kommission hält es daher für notwendig, solche technischen Durchführungsmaßnahmen zu erlassen.
(5)
Diese Verordnung betrifft nur die Benachrichtigung von Verletzungen des Schutzes personenbezogener Daten und enthält daher keine technischen Durchführungsmaßnahmen im Hinblick auf Artikel 4 Absatz 2 der Richtlinie 2002/58/EG bezüglich der Aufklärung der Teilnehmer über ein besonderes Risiko der Verletzung der Netzsicherheit.
(6)
Wie sich aus Artikel 4 Absatz 3 erster Unterabsatz der Richtlinie 2002/58/EG ergibt, sollten die Betreiber die zuständige nationale Behörde von allen Verletzungen des Schutzes personenbezogener Daten benachrichtigen. Folglich sollte es nicht im Ermessen des Betreibers liegen, ob er die zuständige nationale Behörde benachrichtigt oder nicht. Dies sollte die betreffende zuständige nationale Behörde jedoch nicht daran hindern, der Untersuchung bestimmter Verletzungen in der Weise, die sie nach geltendem Recht für geeignet hält, Vorrang einzuräumen und erforderliche Schritte zu unternehmen, um eine überzogene oder unzureichende Benachrichtigung von Verletzungen des Schutzes personenbezogener Daten zu verhindern.
(7)
Es ist angemessen, für die Benachrichtigung der zuständigen nationalen Behörde ein System vorzusehen, das unter bestimmten Voraussetzungen mehrere Stufen umfasst, für die jeweils bestimmte Fristen gelten. Dieses System soll sicherstellen, dass die zuständige nationale Behörde so früh und so vollständig wie möglich informiert wird, ohne den Betreiber bei der Untersuchung der Verletzung und der Ergreifung der Maßnahmen zu behindern, die zur Eindämmung und Beseitigung der Folgen der Verletzung nötig sind.
(8)
Weder ein bloßer Verdacht, dass eine Verletzung des Schutzes personenbezogener Daten aufgetreten ist, noch die bloße Feststellung eines Vorfalls, über den trotz größtmöglicher Bemühungen des Betreibers keine ausreichenden Informationen vorliegen, sollten ausreichen, um geltend zu machen, dass eine Verletzung des Schutzes personenbezogener Daten im Sinne dieser Verordnung festgestellt worden ist. Von besonderer Bedeutung ist in diesem Zusammenhang das Vorliegen der in Anhang I aufgeführten Informationen.
(9)
Im Zuge der Durchführung dieser Verordnung sollten die zuständigen nationalen Behörden in Fällen grenzübergreifender Verletzungen des Schutzes personenbezogener Daten zusammenarbeiten.
(10)
Diese Verordnung enthält keine zusätzlichen Vorgaben für das von den Betreibern zu führende Verzeichnis der Verletzungen des Schutzes personenbezogener Daten, da dessen Inhalt durch Artikel 4 der Richtlinie 2002/58/EG bereits umfassend geregelt wird. Die Betreiber können sich aber bei der Festlegung des Verzeichnisformats auf diese Verordnung stützen.
(11)
Alle zuständigen nationalen Behörden sollten gesicherte elektronische Mittel bereitstellen, damit die Betreiber Verletzungen des Schutzes personenbezogener Daten in einem einheitlichen Format melden können, das auf einem Standard wie XML beruht und die in Anhang I aufgeführten Informationen in den betreffenden Sprachen enthält, damit alle Betreiber in der Union ein ähnliches Benachrichtigungsverfahren verwenden können, unabhängig davon, wo sie sich befinden oder wo die Verletzung des Schutzes personenbezogener Daten stattgefunden hat. In diesem Zusammenhang sollte die Kommission die Einrichtung der gesicherten elektronischen Mittel dadurch erleichtern, dass sie - falls nötig - Sitzungen mit den zuständigen nationalen Behörden einberuft.
(12)
Bei der Beurteilung, ob sich eine Verletzung des Schutzes personenbezogener Daten wahrscheinlich nachteilig auf die personenbezogenen Daten oder die Privatsphäre eines Teilnehmers oder einer Person auswirken wird, sollten vor allem Art und Inhalt der personenbezogenen Daten berücksichtigt werden; dies gilt insbesondere für Daten, die finanzielle Informationen wie Kreditkartendaten oder Einzelheiten über Bankkonten enthalten, für besondere Datenkategorien, die in Artikel 8 Absatz 1 der Richtlinie 95/46/EG genannt werden, sowie für bestimmte Daten im besonderen Zusammenhang mit der Erbringung von Telefon- und Internetdienstleistungen, z. B. E-Mail-Daten, Standortdaten, Internet-Protokolldateien, Webbrowser-Verläufe und Aufstellungen von Einzelverbindungen.
(13)
Unter außergewöhnlichen Umständen sollte es dem Betreiber gestattet werden, die Benachrichtigung des Teilnehmers oder der Person aufzuschieben, falls durch die Benachrichtigung des Teilnehmers oder der Person die ordnungsgemäße Untersuchung der Verletzung des Schutzes personenbezogener Daten gefährdet würde. Außergewöhnliche Umstände wären in diesem Zusammenhang beispielsweise strafrechtliche Ermittlungen wie auch andere Verletzungen des Schutzes personenbezogener Daten, die zwar keine schwere Straftat darstellen, aber ein Aufschieben der Benachrichtigung dennoch als angemessen erscheinen lassen. Auf jeden Fall sollte die zuständige Behörde im Einzelfall unter Berücksichtigung der gegebenen Umstände beurteilen, ob sie der Aufschiebung zustimmt oder eine Benachrichtigung verlangt.
(14)
Die Betreiber sollten zwar aufgrund ihrer direkten vertraglichen Beziehung im Besitz der Kontaktangaben ihrer Teilnehmer sein, verfügen aber möglicherweise über keine derartigen Angaben zu anderen Personen, auf die sich eine Verletzung des Schutzes personenbezogener Daten nachteilig auswirken könnte. In solchen Fällen sollte es den Betreibern gestattet sein, derartige Personen zunächst durch Bekanntmachungen in großen nationalen oder regionalen Medien, z. B. in Zeitungen, zu benachrichtigen und anschließend so bald wie möglich eine individuelle Benachrichtigung entsprechend dieser Verordnung nachzuholen. Der Betreiber ist daher an sich nicht zur Bekanntmachung in den Medien verpflichtet, sondern ist hierzu - falls er dies wünscht - berechtigt, solange er noch alle betroffenen Personen ermittelt.
(15)
Die Informationen über die Verletzung sollten sich ausschließlich auf die Verletzung beziehen und nicht mit Informationen zu anderen Themen verbunden werden. Beispielsweise sollten Informationen über eine Verletzung des Schutzes personenbezogener Daten, die in einer regulären Rechnung erscheinen, nicht als geeignetes Mittel zur Benachrichtigung über eine Verletzung personenbezogener Daten angesehen werden.
(16)
In dieser Verordnung werden keine bestimmten technischen Schutzmaßnahmen vorgeschrieben, die eine Ausnahme von der Pflicht zur Benachrichtigung der Teilnehmer oder Personen von Verletzungen des Schutzes personenbezogener Daten rechtfertigen könnten, weil sich diese mit dem technischen Fortschritt ändern können. Dennoch sollte die Kommission in der Lage sein, entsprechend der aktuellen Praxis eine Aufstellung solcher spezifischen technischen Schutzmaßnahmen zu veröffentlichen.
(17)
Allein die Anwendung von Verschlüsselung oder Streuspeicherung (Hashing) sollte nicht als ausreichend dafür angesehen werden, dass Betreiber pauschal behaupten können, sie erfüllten die allgemeine Schutzpflicht gemäß Artikel 17 der Richtlinie 95/46/EG. In dieser Hinsicht sollten die Betreiber auch geeignete organisatorische und technische Vorkehrungen treffen, um Verletzungen des Schutzes personenbezogener Daten vorzubeugen bzw. diese festzustellen und zu blockieren. Die Betreiber sollten auch ein verbleibendes Restrisiko betrachten, das nach der Umsetzung von Kontrollen noch fortbestehen könnte, um zu verstehen, wo Verletzungen des Schutzes personenbezogener Daten möglicherweise auftreten könnten.
(18)
Wenn der Betreiber einen Teil der Dienstleistung, z. B. in Bezug auf Abrechnungs- oder Verwaltungsfunktionen, von einem anderen Betreiber ausführen lässt, so sollte der andere Betreiber, der in keinem direkten Vertragsverhältnis zum Endkunden steht, nicht verpflichtet sein, im Falle einer Verletzung des Schutzes personenbezogener Daten selbst Benachrichtigungen vorzunehmen. Stattdessen sollte der Dritte den Betreiber, mit dem er in einer direkten Vertragsbeziehung steht, warnen und informieren. Dies gilt auch im Zusammenhang mit der Bereitstellung elektronischer Kommunikationsdienste auf der Vorleistungsebene, wo der Vorleister üblicherweise in keinem direkten Vertragsverhältnis zum Endkunden steht.
(19)
Durch die Richtlinie 95/46/EG wird ein allgemeiner Rahmen für den Schutz personenbezogener Daten in der Europäischen Union festgelegt. Die Kommission hat einen Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Ersetzung der Richtlinie 95/46/EG („Datenschutzverordnung“) vorgelegt. Die vorgeschlagene Datenschutzverordnung würde, aufbauend auf Artikel 4 Absatz 3 der Richtlinie 2002/58/EG, für alle für die Verarbeitung Verantwortlichen eine Verpflichtung einführen, Verletzungen des Schutzes personenbezogener Daten zu melden. Die vorliegende Verordnung der Kommission steht mit diesem Vorschlag in vollem Einklang.
(20)
Die vorgeschlagene Datenschutzverordnung enthält auch eine begrenzte Anzahl technischer Anpassungen der Richtlinie 2002/58/EG, die der Umwandlung der Richtlinie 95/46/EG in eine Verordnung Rechnung tragen. Die materiellen rechtlichen Folgen, die sich für die Richtlinie 2002/58/EG aus der neuen Verordnung ergeben, werden Gegenstand einer Überprüfung durch die Kommission sein.
(21)
Die Durchführung dieser Verordnung sollte alle drei Jahre ab ihrem Inkrafttreten überprüft werden; gleichzeitig sollte der Inhalt dieser Verordnung im Lichte des dann geltenden Rechtsrahmens, einschließlich der vorgeschlagenen Datenschutzverordnung, überprüft werden. Die Überprüfung dieser Verordnung sollte - soweit möglich - mit etwaigen künftigen Überprüfungen der Richtlinie 2002/58/EG verknüpft werden.
(22)
Die Durchführung dieser Verordnung kann u. a. auf der Grundlage der von den zuständigen nationalen Behörden geführten Statistiken über die ihnen gemeldeten Verletzungen des Schutzes personenbezogener Daten bewertet werden. Diese Statistiken können beispielsweise Angaben darüber enthalten, wieviele Verletzungen des Schutzes personenbezogener Daten den zuständigen nationalen Behörden gemeldet wurden, von wievielen Verletzungen des Schutzes personenbezogener Daten die betroffenen Teilnehmer oder Personen benachrichtigt wurden, wieviel Zeit zur Behebung der Verletzung des Schutzes personenbezogener Daten benötigt wurde und ob technische Schutzmaßnahmen getroffen wurden. Diese Statistiken sollen der Kommission und den Mitgliedstaaten kohärente und vergleichbare statistische Daten liefern und weder die Identität der meldenden Betreiber noch die Identität betroffener Teilnehmer oder Personen offenlegen. Die Kommission kann zu diesem Zweck regelmäßige Sitzungen mit zuständigen nationalen Behörden und anderen interessierten Beteiligten abhalten.
(23)
Die in dieser Verordnung vorgesehenen Maßnahmen entsprechen der Stellungnahme des Kommunikationsausschusses -
HAT FOLGENDE VERORDNUNG ERLASSEN:
Artikel 1
Geltungsbereich
Diese Verordnung gilt für die Benachrichtigung von Verletzungen des Schutzes personenbezogener Daten durch Betreiber öffentlich zugänglicher elektronischer Kommunikationsdienste („Betreiber“).
Artikel 2
Benachrichtigung der zuständigen nationalen Behörde
(1) Der Betreiber benachrichtigt die zuständige nationale Behörde von allen Verletzungen des Schutzes personenbezogener Daten.
(2) Der Betreiber benachrichtigt die zuständige nationale Behörde von der Verletzung des Schutzes personenbezogener Daten binnen 24 Stunden nach Feststellung der Verletzung, soweit dies möglich ist.
In seiner Benachrichtigung der zuständigen nationalen Behörde macht der Betreiber die in Anhang I aufgeführten Angaben.
Eine Verletzung des Schutzes personenbezogener Daten gilt als festgestellt, sobald der Betreiber vom Auftreten einer Sicherheitsverletzung, die zu einer Verletzung des Schutzes personenbezogener Daten geführt hat, hinreichende Kenntnis insoweit erlangt hat, dass er eine sinnvolle Benachrichtigung nach den Vorschriften dieser Verordnung vornehmen kann.
(3) Falls nicht alle in Anhang I aufgeführten Angaben vorliegen und eine weitere Untersuchung der Verletzung des Schutzes personenbezogener Daten erforderlich ist, kann der Betreiber zunächst binnen 24 Stunden nach Feststellung der Verletzung eine Erstbenachrichtigung der zuständigen nationalen Behörde vornehmen. Diese Erstbenachrichtigung der zuständigen nationalen Behörde muss die in Anhang I Abschnitt 1 aufgeführten Angaben enthalten. Anschließend nimmt der Betreiber so bald wie möglich, spätestens aber binnen drei Tagen nach der Erstbenachrichtigung, eine zweite Benachrichtigung der zuständigen nationalen Behörde vor. Diese zweite Benachrichtigung muss die in Anhang I Abschnitt 2 aufgeführten Angaben enthalten und die bereits zuvor gemachten Angaben gegebenenfalls aktualisieren.
Ist der Betreiber trotz seiner Nachforschungen nicht in der Lage, alle diese Angaben binnen drei Tagen nach der Erstbenachrichtigung zu machen, übermittelt er der zuständigen nationalen Behörde alle Angaben, die ihm innerhalb des genannten Zeitraums vorliegen, und eine Begründung für die verspätete Mitteilung der verbleibenden Angaben. Der Betreiber muss der zuständigen nationalen Behörde so bald wie möglich die verbleibenden Angaben mitteilen und die bereits zuvor gemachten Angaben aktualisieren.
(4) Die zuständige nationale Behörde stellt allen Betreibern, die in dem betreffenden Mitgliedstaat niedergelassen sind, gesicherte elektronische Mittel für die Benachrichtigung von Verletzungen des Schutzes personenbezogener Daten sowie Informationen über die Verfahren für den Zugang hierzu und für deren Benutzung zur Verfügung. Falls notwendig beruft die Kommission Sitzungen mit den zuständigen nationalen Behörden ein, um die Durchführung dieser Verordnung zu erleichtern.
(5) Betrifft die Verletzung des Schutzes personenbezogener Daten Teilnehmer oder Personen aus anderen Mitgliedstaaten als dem der von der Verletzung benachrichtigten zuständigen nationalen Behörde, so unterrichtet die zuständige nationale Behörde die anderen betroffenen nationalen Behörden.
Um die Anwendung dieser Bestimmung zu erleichtern, erstellt und führt die Kommission eine Liste der zuständigen nationalen Behörden und der jeweiligen Ansprechpartner.
Artikel 3
Benachrichtigung der Teilnehmer oder Personen
(1) Ist anzunehmen, dass durch die Verletzung des Schutzes personenbezogener Daten die personenbezogenen Daten eines Teilnehmers oder einer Person oder deren Privatsphäre beeinträchtigt werden, so benachrichtigt der Betreiber zusätzlich zu der Benachrichtigung gemäß Artikel 2 auch den Teilnehmer bzw. die Person von der Verletzung.
(2) Ob eine Verletzung des Schutzes personenbezogener Daten wahrscheinlich die personenbezogenen Daten oder die Privatsphäre eines Teilnehmers oder einer Person beeinträchtigt, wird insbesondere unter Berücksichtigung folgender Umstände beurteilt:
a)
Art und Inhalt der betroffenen personenbezogenen Daten, insbesondere wenn diese finanzielle Informationen, besondere Datenkategorien gemäß Artikel 8 Absatz 1 der Richtlinie 95/46/EG sowie Standortdaten, Internet-Protokolldateien, Webbrowser-Verläufe, E-Mail-Daten und Aufstellungen von Einzelverbindungen betreffen;
b)
die wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten für den betroffenen Teilnehmer oder die betroffene Person, insbesondere wenn die Verletzung einen Identitätsdiebstahl oder Betrug, eine physische Schädigung, ein psychisches Leid, eine Demütigung oder Rufschädigung zur Folge haben könnte;
c)
die Umstände der Verletzung des Schutzes personenbezogener Daten, insbesondere wenn die Daten gestohlen wurden oder wenn der Betreiber weiß, dass die Daten im Besitz eines unbefugten Dritten sind.
(3) Die Benachrichtigung des Teilnehmers oder der Person muss ohne unangemessene Verzögerung nach Feststellung der Verletzung des Schutzes personenbezogener Daten gemäß Artikel 2 Absatz 2 dritter Unterabsatz erfolgen. Sie erfolgt unabhängig von der Meldung der Verletzung des Schutzes personenbezogener Daten bei der zuständigen nationalen Behörde gemäß Artikel 2.
(4) In seiner Benachrichtigung des Teilnehmers oder der Person macht der Betreiber die in Anhang II genannten Angaben. Die Benachrichtigung des Teilnehmers oder der Person muss in einer sprachlich klaren und leicht verständlichen Weise erfolgen. Der Betreiber darf die Benachrichtigung nicht als Gelegenheit zur Verkaufsförderung oder Werbung für neue oder zusätzliche Dienste nutzen.
(5) Unter außergewöhnlichen Umständen, unter denen die ordnungsgemäße Untersuchung der Verletzung des Schutzes personenbezogener Daten durch die Benachrichtigung des Teilnehmers oder der Person gefährdet würde, kann der Betreiber nach Zustimmung der zuständigen nationalen Behörde die Benachrichtigung des Teilnehmers oder der Person aufschieben, bis die zuständige nationale Behörde eine Benachrichtigung von der Verletzung des Schutzes personenbezogener Daten gemäß diesem Artikel für möglich hält.
(6) Der Betreiber benachrichtigt den Teilnehmer oder die Person von der Verletzung des Schutzes personenbezogener Daten mit Hilfe von Kommunikationsmitteln, die einen zügigen Empfang der Informationen gewährleisten und nach dem Stand der Technik angemessen gesichert sind. Die Informationen über die Verletzung müssen sich ausschließlich auf die Verletzung beziehen und dürfen nicht mit Informationen zu anderen Themen verbunden werden.
(7) Kann der Betreiber, der in einem direkten Vertragsverhältnis zum Endnutzer steht, obwohl er hierzu alle zumutbaren Anstrengungen unternommen hat, innerhalb der in Absatz 3 genannten Frist nicht alle Personen ermitteln, die von der Verletzung des Schutzes personenbezogener Daten wahrscheinlich beeinträchtigt werden, so kann er diese Personen durch Bekanntmachungen in großen nationalen oder regionalen Medien der betreffenden Mitgliedstaaten innerhalb dieser Frist benachrichtigen. Diese Bekanntmachungen müssen die in Anhang II aufgeführten Angaben erhalten, falls nötig in gekürzter Form. In diesem Fall muss der Betreiber weiterhin alle zumutbaren Anstrengungen unternehmen, um diese Personen zu ermitteln und sie so bald wie möglich mit den in Anhang II aufgeführten Angaben zu benachrichtigen.
Artikel 4
Technische Schutzmaßnahmen
(1) Abweichend von Artikel 3 Absatz 1 braucht der Betreiber die betroffenen Teilnehmer oder Personen nicht von einer Verletzung des Schutzes personenbezogener Daten zu benachrichtigen, wenn er zur Zufriedenheit der zuständigen nationalen Behörde nachgewiesen hat, dass er geeignete technische Schutzmaßnahmen getroffen hat und dass diese Maßnahmen auf die von der Sicherheitsverletzung betroffenen Daten angewendet wurden. Durch diese technischen Schutzmaßnahmen müssen die Daten für alle Personen, die nicht zum Zugriff auf die Daten befugt sind, unverständlich gemacht werden.
(2) Daten gelten als unverständlich, wenn
a)
sie auf sichere Weise mit einem Standardalgorithmus verschlüsselt worden sind, der zur Entschlüsselung verwendete Schlüssel durch keine Sicherheitsverletzung beeinträchtigt ist und der zur Entschlüsselung verwendete Schlüssel so generiert wurde, dass er von Personen, die zum Zugriff auf den Schlüssel nicht befugt sind, mit derzeit verfügbaren technischen Mitteln nicht ermittelt werden kann, oder
b)
sie durch ihren mit einer kryptografischen verschlüsselten Standard-Hash-Funktion berechneten Hash-Wert ersetzt worden sind, der zum Daten-Hashing verwendete Schlüssel durch keine Sicherheitsverletzung beeinträchtigt ist und der zum Daten-Hashing verwendete Schlüssel so generiert wurde, dass er von Personen, die zum Zugriff auf den Schlüssel nicht befugt sind, mit derzeit verfügbaren technischen Mitteln nicht ermittelt werden kann.
(3) Die Kommission kann nach Anhörung der zuständigen nationalen Behörden über die Artikel-29-Datenschutzgruppe, der Europäischen Agentur für Netz- und Informationssicherheit und des Europäischen Datenschutzbeauftragten entsprechend der aktuellen Praxis eine vorläufige Aufstellung geeigneter technischer Schutzmaßnahmen gemäß Absatz 1 veröffentlichen.
Artikel 5
Erbringung von Leistungen durch einen anderen Betreiber
Wird ein anderer Betreiber, der in keinem direkten Vertragsverhältnis zu den Teilnehmern steht, mit der Erbringung eines Teils des elektronischen Kommunikationsdienstes beauftragt, muss dieser andere Betreiber im Falle einer Verletzung des Schutzes personenbezogener Daten den beauftragenden Betreiber sofort informieren.
Artikel 6
Berichterstattung und Überprüfung
Innerhalb von drei Jahren nach dem Inkrafttreten dieser Verordnung legt die Kommission einen Bericht über die Durchführung dieser Verordnung, ihre Wirksamkeit und ihre Auswirkungen auf Betreiber, Teilnehmer und Personen vor. Auf der Grundlage dieses Berichts nimmt die Kommission eine Überprüfung dieser Verordnung vor.
Artikel 7
Inkrafttreten
Diese Verordnung tritt am 25. August 2013 in Kraft.
Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.
Brüssel, den 24. Juni 2013
REGOLAMENT TAL-KUMMISSJONI (UE) Nru 611/2013
tal-24 ta’ Ġunju 2013
dwar il-miżuri applikabbli għan-notifika ta’ ksur ta’ dejta personali skont id-Direttiva 2002/58/KE tal-Parlament Ewropew u tal-Kunsill dwar il-privatezza u l-komunikazzjoni elettronika
IL-KUMMISSJONI EWROPEA,
Wara li kkunsidrat it-Trattat dwar il-Funzjonament tal-Unjoni Ewropea,
Wara li kkunsidrat id-Direttiva 2002/58/KE tal-Parlament Ewropew u tal-Kunsill tat-12 ta’ Lulju 2002 dwar l-ipproċessar tad-dejta personali u l-protezzjoni tal-privatezza fis-settur tal-komunikazzjoni elettronika (dwar il-privatezza u l-komunikazzjoni elettronika) (1), u b’mod partikolari l-Artikolu 4(5) tagħha,
Wara li kkonsultat lill-Aġenzija Ewropea dwar is-Sigurtà tan-Netwerks u l-Informazzjoni (ENISA),
Wara li kkonsultat lill-Grupp ta’ Ħidma għall-Protezzjoni ta’ Individwi fir-Rigward tal-Ipproċessar ta’ Dejta Personali stabbilit mill-Artikolu 29 tad-Direttiva 95/46/KE tal-Parlament Ewropew u tal-Kunsill tal-24 ta’ Ottubru 1995 dwar il-protezzjoni ta’ individwi fir-rigward tal-ipproċessar ta’ dejta personali u dwar il-moviment liberu ta’ dik id-dejta (2) (il-Grupp ta’ Ħidma tal-Artikolu 29),
Wara li kkonsultat lill-Kontrollur Ewropew għall-Protezzjoni tad-Data (KEPD),
Billi:
(1)
Id-Direttiva 2002/58/KE tipprovdi għall-armonizzazzjoni tad-dispożizzjonijiet nazzjonali meħtieġa biex ikun żgurat livell ekwivalenti ta’ protezzjoni tad-drittijiet u l-libertajiet fundamentali, u b’mod partikolari d-dritt għall-privatezza u l-kunfidenzjalità, fir-rigward tal-ipproċessar ta’ dejta personali fis-settur tal-komunikazzjoni elettronika u biex ikun żgurat il-moviment liberu ta’ dik id-dejta u ta’ apparat u ta’ servizzi tal-komunikazzjoni elettronika fl-Unjoni.
(2)
Skont l-Artikolu 4 tad-Direttiva 2002/58/KE, il-fornituri ta’ servizzi tal-komunikazzjoni elettronika disponibbli pubblikament huma obbligati jgħarrfu lill-awtoritajiet kompetenti nazzjonali, u f’ċerti każijiet anki lill-abbonati u lill-individwi kkonċernati, dwar ksur ta’ dejta personali. Fl-Artikolu 2(i) tad-Direttiva 2002/58/KE, ksur ta’ dejta personali huwa definit bħala ksur tas-sigurtà li jwassal għal qerda, telf, tibdil inċidentali jew illegali jew divulgazzjoni mhux awtorizzata ta’, jew aċċess għal, dejta personali trasmessa, maħżuna jew ipproċessata bi kwalunkwe mod ieħor b’rabta mal-għoti ta’ servizz tal-komunikazzjoni elettronika disponibbli pubblikament fl-Unjoni.
(3)
Biex jiżgura konsistenza fl-implimentazzjoni tal-miżuri msemmija fl-Artikolu 4(2), (3) u (4) tad-Direttiva 2002/58/KE, l-Artikolu 4(5) tagħha jagħti s-setgħa lill-Kummissjoni li tadotta miżuri tekniċi ta’ implimentazzjoni dwar iċ-ċirkostanzi, il-format u l-proċeduri applikabbli għar-rekwiżiti ta’ informazzjoni u notifika msemmija f’dak l-Artikolu.
(4)
Rekwiżiti nazzjonali differenti f’dan ir-rigward jistgħu jwasslu għal inċertezza legali, proċeduri iktar kumplessi u kkumplikati u spejjeż amministrattivi sinifikanti għall-fornituri li joperaw b’mod transfruntier. Għaldaqstant, il-Kummissjoni tqis li hemm bżonn li jiġu adottati miżuri tekniċi ta’ implimentazzjoni bħal dawn.
(5)
Dan ir-Regolament huwa limitat għan-notifika ta’ ksur ta’ dejta personali u għaldaqstant ma jistabbilixxix miżuri tekniċi ta’ implimentazzjoni li jikkonċernaw l-Artikolu 4(2) tad-Direttiva 2002/58/KE dwar l-għoti ta’ informazzjoni lill-abbonati f’każ ta’ riskju partikolari ta’ ksur tas-sigurtà tan-netwerk.
(6)
Mill-ewwel subparagrafu tal-Artikolu 4(3) tad-Direttiva 2002/58/KE jirriżulta li l-fornituri għandhom jinnotifikaw il-ksur kollu ta’ dejta personali lill-awtorità kompetenti nazzjonali. Għalhekk, ma għandha titħalla ebda diskrezzjoni lill-fornitur dwar jekk jinnotifikax jew le lill-awtorità kompetenti nazzjonali. Madankollu, dan ma għandux jiċħad lill-awtorità kompetenti nazzjonali kkonċernata mill-possibbiltà li tagħti prijorità lill-investigazzjoni ta’ ċertu ksur b’mod li tqis xieraq skont il-liġi applikabbli, u li tieħu l-passi kif meħtieġ sabiex tevita rappurtar żejjed jew nieqes tal-ksur fid-dejta personali.
(7)
Huwa xieraq li tkun prevista sistema għan-notifika tal-ksur ta’ dejta personali lill-awtorità kompetenti nazzjonali, li, fejn jiġu ssodisfati ċerti kundizzjonijiet, tkun tikkonsisti minn stadji varji, b’kull stadju jkun suġġett għal ċerti limiti ta’ żmien. Din is-sistema għandha l-għan li tiżgura li l-awtorità kompetenti nazzjonali tkun infurmata kmieni kemm jista’ jkun u bid-dettalji kollha tal-każ, mingħajr pero’ ma tfixkel lill-fornitur fl-isforzi tiegħu biex jinvestiga l-ksur u jieħu l-miżuri neċessarji biex jiġi limitat dan il-ksur u jirrimedja l-konsegwenzi tiegħu.
(8)
La sempliċi suspett li seħħ ksur ta’ dejta personali, u lanqas sejba sempliċi ta’ inċident mingħajr ma tkun disponibbli biżżejjed informazzjoni, minkejja l-aqwa sforzi tal-fornitur għal dan il-għan, ma huma biżżejjed biex jitqies li nstab ksur ta’ dejta personali għall-finijiet ta’ dan ir-Regolament. F’dan ir-rigward, għandha titqies b’mod partikolari d-disponibbiltà tal-informazzjoni msemmija fl-Anness I.
(9)
Fil-kuntest tal-applikazzjoni ta’ dan ir-Regolament l-awtoritajiet kompetenti nazzjonali kkonċernati għandhom jikkooperaw fil-każijiet ta’ ksur ta’ dejta personali li jkollhom dimensjoni transfruntiera.
(10)
Dan ir-Regolament ma jipprovdix għal speċifikazzjoni addizzjonali tal-inventarju tal-ksur ta’ dejta personali li għandu jinżamm mill-fornituri, peress li l-Artikolu 4 tad-Direttiva 2002/58/KE jispeċifika l-kontenut tiegħu b’mod eżawrjenti. Madankollu, il-fornitur jista’ jirreferi għal dan ir-Regolament biex jiddetermina l-format tal-inventarju.
(11)
L-awtoritajiet kompetenti nazzjonali kollha għandhom iqiegħdu mezzi elettroniċi sikuri għad-dispożizzjoni tal-fornituri biex jinnotifikaw ksur ta’ dejta personali f’format komuni, ibbażat fuq standard bħal XML, li fih l-informazzjoni stipulata fl-Anness I fil-lingwi rilevanti, sabiex il-fornituri kollha fi ħdan l-Unjoni jkunu jistgħu jsegwu proċedura ta’ notifika simili, indipendentement minn fejn jinsabu jew fejn ikun seħħ il-ksur ta’ dejta personali. F’dan ir-rigward, il-Kummissjoni għandha tiffaċilita l-implimentazzjoni ta’ mezzi elettroniċi siguri billi torganizza laqgħat mal-awtoritajiet kompetenti nazzjonali fejn ikun meħtieġ.
(12)
Meta jiġi vvalutat jekk ksur ta’ dejta personali għandux il-probabilità li jaffettwa b’mod ħażin id-dejta personali jew il-privatezza ta’ abbonat jew individwu, għandhom jitqiesu, b’mod partikolari, l-għamla u l-kontenut tad-dejta personali kkonċernata, b’mod partikolari meta d-dejta tkun tikkonċerna informazzjoni finanzjarja, bħal dejta tal-karti ta’ kreditu u dettalji tal-kont tal-bank; kategoriji speċjali ta’ dejta msemmija fl-Artikolu 8(1) tad-Direttiva 95/46/KE; u ċerta dejta speċifikament marbuta mal-forniment ta’ servizzi tat-telefonija jew tal-Internet, jiġifieri dejta dwar il-posta elettronika, dejta ta’ lokalizzazzjoni, fajls ta’ log tal-Internet, il-kronoloġiji tal-ibbrawżjar onlajn u listi tas-sejħiet dettaljati.
(13)
F’ċirkostanzi eċċezzjonali, il-fornitur għandu jitħalla jittardja n-notifika lill-abbonat jew lill-individwu, meta n-notifika lill-abbonat jew lill-individwu tista’ xxekkel l-investigazzjoni proprja tal-ksur ta’ dejta personali. F’dan il-kuntest, ċirkostanzi eċċezzjonali jistgħu jinkludu investigazzjonijiet kriminali, kif ukoll ksur ieħor ta’ dejta personali li ma jwasslux għal reat serju iżda li għalihom jista’ jkun xieraq li tiġi posposta n-notifika. Fi kwalunkwe każ, għandu jkun f’idejn l-awtorità kompetenti nazzjonali li f’kull każ u fid-dawl taċ-ċirkostanzi, tivvaluta jekk taqbilx mal-posponiment jew tkunx teħtieġ in-notifika.
(14)
Filwaqt li l-fornituri għandu jkollhom id-dettalji ta’ kuntatt tal-abbonati tagħhom, b’konsegwenza tar-relazzjoni kuntrattwali diretta tagħhom, dik l-informazzjoni tista’ ma tkunx teżisti għal individwi oħrajn milqutin b’mod ħażin mill-ksur ta’ dejta personali. F’każ bħal dan, il-fornitur għandu jitħalla jinnotifika lil dawk l-individwi inizjalment permezz ta’ reklami f’midja nazzjonali jew reġjonali maġġuri, bħall-gazzetti, segwiti, malajr kemm jista’ jkun, minn notifika individwali kif stipulat f’dan ir-Regolament. Għalhekk il-fornitur effettivament mhuwiex obbligat jinnotifika permezz tal-midja, iżda għandu s-setgħa jaġixxi b’dan il-mod, jekk jixtieq hekk, meta jkun għadu fil-proċess tal-identifikazzjoni tal-individwi kollha affetwati.
(15)
L-informazzjoni dwar il-ksur għandha tkun iddedikata għall-ksur u ma għandux ikollha x’taqsam ma’ informazzjoni dwar suġġett ieħor. Pereżempju, l-inklużjoni ta’ informazzjoni dwar ksur ta’ dejta personali f’fattura regolari ma għandhiex titqies bħala mezz adegwat biex jiġi nnotifikat ksur ta’ dejta personali.
(16)
Dan ir-Regolament ma jistabbilixxix miżuri teknoloġiċi u speċifiċi ta’ protezzjoni li jiġġustifikaw deroga mill-obbligu ta’ notifika tal-ksur ta’ dejta personali lill-abbonati jew lill-individwi, peress li dawn jistgħu jinbidlu maż-żmien hekk kif tavvanza t-teknoloġija. Madankollu, il-Kummissjoni għandha tkun tista’ tippubblika lista indikattiva tat-tali miżuri teknoloġiċi speċifiċi ta’ protezzjoni skont il-prattiki attwali.
(17)
L-implimentazzjoni ta’ kodifikazzjoni jew ‘hashing’ ma għandhiex titqies biżżejjed waħedha biex tippermetti lill-fornituri jiddikjaraw li ssodisfaw l-obbligu dwar is-sigurtà ġenerali stabbilit fl-Artikolu 17 tad-Direttiva 95/46/KE. F’dan ir-rigward, il-fornituri għandhom jimplimentaw ukoll miżuri organizzattivi u tekniċi adegwati biex jipprevjenu, jikxfu u jimblokkaw ksur ta’ dejta personali. Il-fornituri għandhom jikkunsidraw kwalunkwe riskju residwu li jista’ jkun preżenti wara li jkunu ġew implimentati l-kontrolli sabiex jifhmu fejn hemm il-potenzjal li jseħħ ksur ta’ dejta personali.
(18)
Fejn il-fornitur juża fornitur ieħor biex iwettaq parti mis-servizz, pereżempju fir-rigward ta’ funzjonijiet f’relazzjoni mal-kontijiet jew il-ġestjoni, dan il-fornitur l-ieħor, li ma għandu l-ebda relazzjoni kuntrattwali diretta mal-utent aħħari ma għandux ikollu l-obbligu li joħroġ in-notifiki fil-każ ta’ ksur ta’ dejta personali. Minflok, għandha tiġbed l-attenzjoni tal-fornitur li miegħu għandha relazzjoni kuntrattwali diretta u tinfurmah bil-ksur. Dan għandu japplika wkoll fil-kuntest tal-forniment, fil-livell tal-operaturi, ta’ servizzi ta’ komunikazzjoni elettronika, meta tipikament il-fornitur fil-livell tal-operaturi ma jkollux relazzjoni kuntrattwali diretti mal-utent aħħari.
(19)
Id-Direttiva 95/46/KE tiddefinixxi qafas ġenerali għall-protezzjoni ta’ dejta personali fl-Unjoni Ewropea. Il-Kummissjoni ppreżentat proposta għal Regolament tal-Parlament Ewropew u tal-Kunsill biex tissostitwixxi d-Direttiva 95/46/KE (ir-Regolament dwar il-Protezzjoni tad-Dejta). Ir-Regolament dwar il-Protezzjoni tad-Dejta propost għandu jintroduċi obbligu għall-kontrolluri tad-dejta kollha li jinnotifikaw il-ksur ta’ dejta personali, fuq il-bażi tal-Artikolu 4(3) tad-Direttiva 2002/58/KE. Ir-Regolament tal-Kummissjoni preżenti huwa konsistenti bis-sħiħ ma’ din il-miżura proposta.
(20)
Ir-Regolament dwar il-Protezzjoni tad-Dejta propost jagħmel ukoll għadd limitat ta’ aġġustamenti tekniċi għad-Direttiva 2002/58/KE biex iqis it-trasformazzjoni tad-Direttiva 95/46/KE f’Regolament. Il-konsegwenzi sostantivi legali tar-Regolament il-ġdid għad-Direttiva 2002/58/KE se jkunu l-oġġett ta’ analiżi mill-Kummissjoni.
(21)
L-applikazzjoni ta’ dan ir-Regolament għandha tiġi analizzata tliet snin wara d-dħul fis-seħħ tiegħu, u l-kontenut tiegħu għandu jiġi analizzat fid-dawl tal-qafas legali fis-seħħ dak iż-żmien, inkluż ir-Regolament dwar il-Protezzjoni tad-Dejta propost. L-analiżi ta’ dan ir-Regolament għandha tkun marbuta, fejn ikun possibbli, ma kwalunkwe analiżi fil-futur tad-Direttiva 2002/58/KE.
(22)
L-applikazzjoni ta’ dan ir-Regolament għandha tiġi vvalutata, fost oħrajn, abbażi ta’ kwalunkwe statistika li tinżamm mill-awtoritajiet kompetenti nazzjonali dwar il-ksur ta’ dejta personali li jkunu ġew innotifikati bih. Dawn l-istatistiki jistgħu jinkludu, pereżempju, informazzjoni dwar l-għadd ta’ ksur ta’ dejta personali nnotifikati lill-awtorità kompetenti nazzjonali, l-għadd ta’ ksur ta’ dejta personali nnotifikati lill-abbonat jew lill-individwu, iż-żmien li jkun ittieħed biex jiġi solvut il-ksur ta’ dejta personali, u jekk ittiħdux miżuri teknoloġiċi ta’ protezzjoni. Dawn l-istatistiki għandhom jipprovdu dejta statistika li tkun konsistenti u komparabbli lill-Kummissjoni u lill-Istati Membri, u la għandhom jikxfu l-identità tal-fornitur li jkun għamel in-notifika u lanqas l-abbonati jew l-individwi involuti. Il-Kummissjoni tista’ wkoll torganizza laqgħat regolari mal-awtoritajiet kompetenti nazzjonali u ma’ partijiet interessati oħrajn għal dan il-għan.
(23)
Il-miżuri stipulati f’dan ir-Regolament huma konformi mal-opinjoni tal-Kumitat għall-Komunikazzjonijiet,
ADOTTAT DAN IR-REGOLAMENT:
Artikolu 1
Kamp ta’ applikazzjoni
Dan ir-Regolament għandu japplika għan-notifika ta’ ksur ta’ dejta personali minn fornituri ta’ servizzi ta’ komunikazzjoni elettronika disponibbli pubblikament (‘il-fornitur’).
Artikolu 2
Notifika lill-awtoritajiet kompetenti nazzjonali
1. Il-fornitur għandu jinnotifika kull ksur ta’ dejta personali lill-awtorità kompetenti nazzjonali.
2. Il-fornitur għandu jinnotifika l-ksur ta’ dejta personali lill-awtorità kompetenti nazzjonali mhux iktar tard minn 24 siegħa wara li jinkixef il-ksur ta’ dejta personali, fejn fattibbli.
Fin-notifika tiegħu lill-awtorità kompetenti nazzjonali l-fornitur għandu jinkludi dik l-informazzjoni stipulata fl-Anness I.
Il-kxif ta’ ksur ta’ dejta personali għandu jitqies li seħħ meta l-fornitur ikun kiseb għarfien biżżejjed li seħħ inċident relatat mas-sigurtà li wassal biex id-dejta personali tkun kompromessa, biex b’hekk ikun jista’ jagħmel notifika sinifikanti kif meħtieġ skont dan ir-Regolament.
3. Fejn l-informazzjoni kollha stabbilita fl-Anness I ma tkunx disponibbli u jkun hemm bżonn ta’ aktar investigazzjoni dwar il-ksur ta’ dejta personali, il-fornitur għandu jitħalla jagħmel notifika inizjali lill-awtorità kompetenti nazzjonali mhux iktar tard minn 24 siegħa wara l-kxif tal-ksur ta’ dejta personali. Din in-notifika inizjali lill-awtorità kompetenti nazzjonali għandha tinkludi l-informazzjoni stabbilita fit-taqsima 1 tal-Anness I. Il-fornitur għandu jagħmel it-tieni notifika lill-awtorità kompetenti nazzjonali malajr kemm jista’ jkun, u mhux iktar tard minn tlett ijiem wara n-notifika inizjali. Din it-tieni notifika għandha tinkludi l-informazzjoni stabbilita fit-taqsima 2 tal-Anness I u, fejn meħtieġ, għandha taġġorna l-informazzjoni li tkun diġà ingħatat.
Meta, minkejja l-investigazzjonijiet li jagħmel, il-fornitur ma jkunx jista’ jipprovdi l-informazzjoni kollha fi żmien perjodu ta’ tlett ijiem min-notifika inizjali, il-fornitur għandu jinnotifika l-informazzjoni kollha fil-pussess tiegħu fi ħdan dak il-perjodu ta’ żmien u għandu jippreżenta lill-awtorità kompetenti nazzjonali b’ġustifikazzjoni rraġunata għan-notifika ttardjata tal-informazzjoni li jifdal. Il-fornitur għandu jinnotifka l-informazzjoni li jifdal lill-awtorità kompetenti nazzjonali u, fejn ikun meħtieġ, jaġġorna l-informazzjoni li tkun diġà ingħatat, malajr kemm jista’ jkun.
4. L-awtorità kompetenti nazzjonali għandha tipprovdi lill-fornituri kollha stabbiliti fl-Istat Membru kkonċernat mezz elettroniku sigur għan-notifika ta’ ksur ta’ dejta personali u informazzjoni dwar il-proċeduri għall-aċċess u l-użu tiegħu. Fejn meħtieġ, il-Kummissjoni għandha torganizza laqgħat mal-awtoritajiet kompetenti nazzjonali biex tiffaċilita l-applikazzjoni ta’ din id-dispożizzjoni.
5. Meta l-ksur ta’ dejta personali jaffettwa lil abbonati jew lil individwi minn Stati Membri li mhumiex dawk tal-awtorità kompetenti nazzjonali li lilha ġie nnotifikat il-ksur ta’ dejta personali, l-awtorità kompetenti nazzjonali għandha tinforma lill-awtoritajiet nazzjonali kkonċernati l-oħrajn.
Il-Kummissjoni għandha toħloq u żżomm lista tal-awtoritajiet kompetenti nazzjonali flimkiem mal-punti ta’ kuntatt xierqa biex tiffaċilita l-applikazzjoni ta’ din id-dispożizzjoni.
Artikolu 3
Notifika lill-abbonat jew lill-individwu
1. Meta l-ksur ta’ dejta personali jkollu probabilità li jaffettwa b’mod ħażin id-dejta personali jew il-privatezza ta’ abbonat jew individwu, il-fornitur, flimkien man-notifika msemmija fl-Artikolu 2, għandu jinnotifika wkoll lill-abbonat jew lill-individwu bil-ksur.
2. Il-valutazzjoni dwar jekk ksur ta’ dejta personali għandux il-probabilità li jaffettwa b’mod ħażin id-dejta personali jew il-privatezza ta’ abbonat jew individwu għandha titwettaq billi jitqiesu, b’mod partikolari, iċ-ċirkostanzi li ġejjin:
(a)
l-għamla u l-kontenut tad-dejta personali involuta, b’mod partikolari f’każijiet fejn id-dejta tkun tikkonċerna informazzjoni finanzjarja, kategoriji speċjali ta’ dejta msemmija fl-Artikolu 8(1) tad-Direttiva 95/46/KE, kif ukoll dejta ta’ lokalizzazzjoni, fajls ta’ log tal-Internet, il-kronoloġiji tal-ibbrawżjar onlajn, dejta dwar il-posta elettronika u listi dettaljati tat-telefonati;
(b)
il-konsegwenzi probabbli tal-ksur ta’ dejta personali għall-abbonat jew għall-individwu kkonċernat, b’mod partikolari meta l-ksur ikun jista’ jirriżulta f’serq tal-identità jew frodi, danni fiżiċi, stress psikoloġiku, umiljazzjoni jew ħsara għar-reputazzjoni; u
(c)
iċ-ċirkostanzi tal-ksur ta’ dejta personali, b’mod patikolari f’każijiet fejn id-dejta tkun insterqet jew meta l-fornitur ikun jaf li d-dejta tkun fil-pussess ta’ parti terza mhux awtorizzata.
3. In-notifika lill-abbonat jew lill-individwu għandha ssir mingħajr dewmien żejjed wara li jinkixef il-ksur ta’ dejta, kif stabbilit fit-tielet subparagrafu tal-Artikolu 2(2). Dan ma għandux ikun dipendenti fuq in-notifika tal-ksur ta’ dejta personali lill-awtorità kompetenti personali, kif imsemmi fl-Artikolu 2.
4. Fin-notifika tiegħu lill-abbonat jew lill-individwu, il-fornitur għandu jinkludi l-informazzjoni stabbilita fl-Anness II. In-notifika lill-abbonat jew lill-individwu għandha tkun espressa f’lingwaġġ ċar u li jinftiehem faċilment. Il-fornitur ma għandux juża n-notifika bħala opportunità biex jippromwovi jew biex jirreklama servizzi ġodda jew addizzjonali.
5. F’ċirkustanzi eċċezzjonali, fejn in-notifika lill-abbonat jew lill-individwu tista’ tkun ta’ riskju għall-investigazzjoni xierqa tal-ksur ta’ dejta personali, il-fornitur, wara li jikseb il-qbil min-naħa tal-awtorità kompetenti nazzjonali, għandu jkun jista’ jittardja n-notifika lill-abbonat jew lill-individwu sa dak iż-żmien meta l-awtorità kompetenti nazzjonali tqis li jkun possibbli li jiġi nnotifikat il-ksur ta’ dejta personali skont dan l-Artikolu.
6. Il-fornitur għandu jinnotifika lill-abbonat jew lill-individwu dwar il-ksur ta’ dejta personali permezz ta’ mezzi ta’ komunikazzjoni li jiżguraw riċevuta fil-ħin tal-informazzjoni u li huma sikuri bix-xieraq skont l-aktar mezzi moderni. L-informazzjoni dwar il-ksur għandha tkun iddedikata għall-ksur u ma għandhiex tkun assoċjata ma’ informazzjoni dwar suġġett ieħor.
7. Meta l-fornitur ikollu relazzjoni kuntrattwali diretta mal-utent aħħari, minkejja li jkun għamel sforzi raġonevoli u fi ħdan il-perjodu ta’ żmien imsemmi fil-paragrafu 3, ma jirnexxilux jidentifika lill-individwi kollha li aktarx li se jkunu affettwati b’mod ħażin mill-ksur ta’ dejta personali, il-fornitur jista’ jinnotifika lil dawk l-individwi permezz ta’ reklami f’midja nazzjonali jew reġjonali maġġuri, fl-Istati Membri rilevanti, fi ħdan dak il-perjodu ta’ żmien. Dawn ir-reklami għandu jkun fihom l-informazzjoni stabbilita fl-Anness II, u fejn ikun hemm bżonn f’għamla qasira kemm jista’ jkun. F’dak il-każ, il-fornitur għandu jkompli jagħmel l-isforzi raġonevoli kollha biex jidentifika lil dawk l-individwi u jinnotifikalhom l-informazzjoni stipulata fl-Anness II malajr kemm jista’ jkun.
Artikolu 4
Miżuri teknoloġiċi ta’ protezzjoni
1. B’deroga mill-Artikolu 3(1), in-notifika ta’ ksur ta’ dejta personali lil abbonat jew individwu kkonċernat ma għandhiex tkun meħtieġa jekk il-fornitur ikun wera b’mod sodisfaċenti lill-awtorità kompetenti nazzjonali li huwa implimenta miżuri teknoloġiċi ta’ protezzjoni xierqa, u li dawk il-miżuri ġew applikati għad-dejta kkonċernata mill-ksur tas-sigurtà. Dawn il-miżuri teknoloġiċi ta’ protezzjoni għandhom iġibu d-dejta bħala waħda li ma tista’ tinqara minn ħadd ħlief mill-persuni li jkollhom aċċess awtorizzat għaliha.
2. Id-dejta għandha titqies bħala dejta li ma tistax tinqara jekk:
(a)
tkun ġiet ikkodifikata b’mod sigur b’algorittmu standardizzat, il-kodiċi użat biex tiġi ddekodifikata d-dejta ma jkunx f’riskju ta’ xi ksur tas-sigurtà, u l-kodiċi użat biex tiġi ddekodifikata d-dejta jkun ġie ġġenerat sabiex dan ma jkunx jista’ jsir magħruf b’kwalunkwe mezz teknoloġiku disponibbli għal kwalunkwe persuna li mhijiex awtorizzata taċċessal-kodiċi; jew
(b)
ġiet sostitwita mill-valur ‘hashed’ tagħha kkalkolat b’funzjoni kriptografika u standardizzata ta’ ‘hash’ b’kodiċi, il-kodiċi użat għall-‘hash’ tad-dejta ma jkunx kompromess f’xi ksur tas-sigurtà, u l-kodiċi użat għall-‘hash’ tad-dejta jkun ġie ġġenerat b’tali mod li dan ma jkunx jista’ jsir magħruf minn kwalunkwe persuna bi kwalukwe mezzi teknoloġiċi disponibbli li ma jkollhiex aċċess awtorizzat għall-kodiċi.
3. Il-Kummissjoni, wara li tkun ikkonsultat lill-awtoritajiet kompetenti nazzjonali permezz tal-Grupp ta’ Ħidma tal-Artikolu 29, lill-Aġenzija Ewropea dwar is-Sigurtà tan-Networks u l-Informazzjoni u lill-Kontrollur Ewropew għall-Protezzjoni tad-Dejta, tista’ tippubblika lista indikattiva tal-miżuri teknoloġiċi ta’ protezzjoni xierqa, imsemmija fil-paragrafu 1, skont il-prattiki attwali.
Artikolu 5
Użu ta’ fornitur ieħor
Fejn fornitur ieħor jiġi kuntrattat biex jipprovdi parti mis-servizz ta’ komunikazzjoni elettronika mingħajr ma jkollu relazzjoni kuntrattwali diretta mal-abbonati, dan il-fornitur l-ieħor għandu jinforma immedjatament lill-fornitur kontraenti fil-każ ta’ ksur fid-dejta personali.
Artikolu 6
Rappurtar u analiżi
Fi żmien tliet snin mid-dħul fis-seħħ ta’ dan ir-Regolament, il-Kummissjoni għandha tipprovdi rapport dwar l-applikazzjoni ta’ dan ir-Regolament, l-effettività tiegħu u l-impatt tiegħu fuq il-fornituri, l-abbonati u l-individwi. Abbażi ta’ dak ir-rapport, il-Kummissjoni għandha tanalizza dan ir-Regolament.
Artikolu 7
Dħul fis-seħħ
Dan ir-Regolament għandu jidħol fis-seħħ fil-25 ta’ Awwissu 2013.
Dan ir-Regolament għandu jorbot fl-intier tiegħu u japplika direttament fl-Istati Membri kollha.
Magħmul fi Brussell, l-24 ta’ Ġunju 2013.