РЕГЛАМЕНТ (ЕС) № 611/2013 НА КОМИСИЯТА
от 24 юни 2013 година
относно мерките, приложими за съобщаването на нарушения на сигурността на личните данни съгласно Директива 2002/58/ЕО на Европейския парламент и на Съвета за правото на неприкосновеност на личния живот и електронни комуникации
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (1), и по-специално член 4, параграф 5 от нея,
след като се консултира с Европейската агенция за мрежова и информационна сигурност (ENISA),
след като се консултира с Работната група за защита на лицата по отношение на обработката на лични данни, която е сформирана съгласно член 29 от Директива 95/46/ЕО на Европейския парламент и Съвета от 24 октомври 1995 г. за защита на физическите лица по отношение на обработката на лични данни и за свободното движение на такива данни (2) (Работната група по член 29),
след като се консултира с Европейския надзорен орган по защита на данните (ЕНОЗД),
като има предвид, че:
(1)
В Директива 2002/58/ЕО се предвижда да бъдат хармонизирани националните разпоредби, необходими за осигуряване на еднаква степен на защита на основните права и свободи, и по-специално правото на неприкосновеност на личния живот и правото на поверителност по отношение на обработката на лични данни в сектора на електронните комуникации, както и да бъде осигурено свободно движение на такива данни и оборудване за електронни комуникации и услуги в Съюза.
(2)
Съгласно член 4 от Директива 2002/58/ЕО доставчиците на общественодостъпни електронни съобщителни услуги са задължени да уведомяват компетентните национални органи, а в определени случаи и засегнатите абонати и лица, за нарушенията на сигурността на личните данни. Нарушенията на сигурността на лични данни са дефинирани в член 2, буква и) от Директива 2002/58/ЕО като нарушения на сигурността, които водят до случайно или незаконно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, предавани, съхранявани или обработвани по друг начин във връзка с предоставянето на общественодостъпна електронна съобщителна услуга в Общността.
(3)
С цел да се осигури последователност при изпълнението на мерките, посочени в член 4, параграфи 2, 3 и 4 от Директива 2002/58/ЕО, член 4, параграф 5 от нея оправомощава Комисията да приема технически мерки за изпълнение във връзка с обстоятелствата, формата и процедурите, приложими за изискванията за информация и уведомяване, посочени в споменатия член.
(4)
Различните национални изисквания в това отношение могат да доведат до правна несигурност, по-сложни и тромави процедури и значителни административни разходи за доставчиците на услуги, извършващи трансгранична дейност. Поради това Комисията счита за необходимо да приеме такива технически мерки за изпълнение.
(5)
Настоящият регламент се ограничава със съобщаването на нарушения на сигурността на лични данни и следователно не определя технически мерки за изпълнение във връзка с член 4, параграф 2 от Директива 2002/58/ЕО относно информиране на абонатите, в случай че има конкретна опасност от нарушаване на сигурността на мрежата.
(6)
От член 4, параграф 3, първа алинея от Директива 2002/58/ЕО следва, че доставчиците трябва да уведомяват компетентния национален орган за всички нарушения на сигурността на лични данни. Следователно на доставчика не следва да се оставя свобода за вземане на решение дали да уведоми компетентния национален орган. Това обаче не следва да възпрепятства въпросния компетентен национален орган да приоритизира разследването на някои нарушения по начин, който той счита за подходящ в съответствие с приложимото законодателство, и да предприема необходимите мерки за предотвратяване на докладване на недостатъчно или прекалено много нарушения във връзка с лични данни.
(7)
Целесъобразно е да се предвиди система за уведомяване на компетентния национален орган за нарушенията на сигурността на лични данни, която се състои, в случаите, в които са изпълнени определени условия, от различни етапи, за всеки от които важат определени срокове. Тази система е предназначена да гарантира, че компетентният национален орган бива информиран възможно най-рано и във възможно най-пълна степен, без обаче да бъде възпрепятстван доставчикът в усилията му да разследва нарушението и да взема необходимите мерки за ограничаване и отстраняване на последствията от него.
(8)
За целите на настоящия регламент, за да се счита, че е било открито нарушение на сигурността на лични данни, не са достатъчни нито обикновеното подозрение, че е имало нарушение на сигурността на лични данни, нито простото откриване на инцидент, без да има налице достатъчно информация, въпреки всички възможни усилия на доставчика да осигури такава. В тази връзка особено внимание следва да се обърне на наличието на информацията, посочена в приложение I.
(9)
В контекста на прилагането на настоящия регламент в случай на нарушаване на сигурността на лични данни с трансгранично измерение съответните компетентни национални органи следва да си сътрудничат.
(10)
Настоящият регламент не предвижда допълнителна спецификация за регистъра на нарушенията на сигурността на лични данни, който трябва да се поддържа от доставчиците, като се има предвид, че в член 4 от Директива 2002/58/ЕО неговото съдържание се определя изчерпателно. Доставчиците обаче могат да се позовават на настоящия регламент, за да се определи форматът на регистъра.
(11)
Всички компетентни национални органи следва да осигурят сигурни електронни средства, така че доставчиците да съобщават за нарушения на сигурността на личните данни в общ формат (основан на стандарт като XML), съдържащ информацията, посочена в приложение I, на съответните езици, така че да се даде възможност на всички доставчици в рамките на Съюза да следват сходна процедура за съобщаване, независимо от това къде се намират или къде е било извършено нарушаването на сигурността на личните данни. В тази връзка Комисията следва да улеснява въвеждането на сигурни електронни средства, като свиква заседания с компетентните национални органи, когато това е необходимо.
(12)
При оценяване дали дадено нарушаване на сигурността на личните данни има вероятност да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или лице следва да се вземе предвид по-специално естеството и съдържанието на съответните лични данни, по-специално когато данните касаят финансова информация, като например данни за кредитни карти и подробности за банкови сметки; специалните категории от данни, посочени в член 8, параграф 1 от Директива 95/46/ЕО; както и някои данни, конкретно свързани с предоставянето на телефонни или интернет услуги, т.е. данни за електронната поща, данни за местоположението, файлове със статистика за интернет връзките, история на посетените уебстраници и списъци с повиквания, указани по позиции.
(13)
При изключителни обстоятелства, когато уведомяването на абоната или лицето може да изложи на риск правилното разследване на нарушаването на сигурността на личните данни, на доставчика следва да бъде разрешено да забавя уведомяването на абоната или лицето. В този контекст извънредни обстоятелства могат да включват криминални разследвания, както и други нарушения на сигурността на лични данни, които не са равностойни на сериозно престъпление, но за които може да е целесъобразно уведомяването да бъде отложено. Във всеки случай националният компетентен орган следва да е този, който преценява за всеки отделен случай и в светлината на обстоятелствата дали да даде съгласие за отлагане или да изиска уведомяване.
(14)
Макар че доставчиците следва да имат данни за контакт със своите абонати предвид преките им договорни отношения, за други лица, засегнати от нарушаването на сигурността на личните данни може да няма такава информация. В такъв случай следва да бъде разрешено доставчикът да уведоми въпросните лица първоначално посредством съобщения в основните национални или регионални средства за масова информация, като например вестници, които веднага щом бъде възможно трябва да бъдат последвани от индивидуално уведомяване, както е предвидено в настоящия регламент. Доставчикът следователно не е длъжен като такъв да уведомява чрез средствата за масова информация, а по-скоро е упълномощен да действа по този начин, ако пожелае, когато все още е в процес на определяне на всички лица, които са засегнати.
(15)
Информацията за нарушението следва да бъде съсредоточена върху нарушението, а не да бъде свързана с информация по друга тема. Така например включването на информация за нарушаване на сигурността на лични данни в редовна фактура не следва да се счита за адекватен начин за уведомяване за нарушаване на сигурността на лични данни.
(16)
В настоящия регламент не се определят конкретни технически мерки за защита, които да оправдават дерогация от задължението за уведомяване на абонатите и лицата за нарушаване на сигурността на личните данни, тъй като тези мерки могат да търпят промени с течение на времето и развитието на технологиите. Комисията обаче следва да бъде в състояние да публикува примерен списък на конкретни такива технологични мерки за защита в съответствие с текущите практики.
(17)
Прилагането на криптиране или хеширане не следва да се смята за достатъчно само по себе си, за да позволи доставчиците да претендират в по-широк план, че са изпълнили общото задължение за сигурност, посочено в член 17 от Директива 95/46/ЕО. В тази връзка доставчиците следва също така да прилагат подходящи организационни и технически мерки за предотвратяване, откриване и блокиране на нарушения на сигурността на личните данни. Доставчиците следва да вземат предвид всеки остатъчен риск, който може да съществува, след като са били извършени проверки, с цел да разберат къде потенциално може да има нарушения на сигурността на личните данни.
(18)
Когато доставчикът използва друг доставчик за извършването на част от услугата, например във връзка с фактуриране или управленски функции, в случай на нарушение на сигурността на лични данни този друг доставчик, който няма преки договорни отношения с крайния потребител, не следва да бъде задължен да издава уведомления. Вместо това той следва да предупреди и информира за това доставчика, с който има преки договорни взаимоотношения. Това следва да се прилага и в контекста на предоставянето на едро на електронни съобщителни услуги, когато обикновено доставчикът на едро няма преки договорни отношения с крайния потребител.
(19)
В Директива 95/46/ЕО се определя обща рамка за защита на личните данни в Европейския съюз. Комисията представи предложение за регламент на Европейския парламент и на Съвета, който да замени Директива 95/46/ЕО (Директивата за защитата на данните). Предложеният регламент за защитата на данните ще въведе задължение за всички администратори на лични данни да уведомяват за нарушаване на сигурността на личните данни, основавайки се на член 4, параграф 3 от Директива 2002/58/ЕО. Настоящият регламент на Комисията е напълно съвместим с тази предложена мярка.
(20)
Предложеният регламент за защитата на данните също така прави ограничен брой технически изменения в Директива 2002/58/ЕО, за да се вземе предвид преобразуването на Директива 95/46/ЕО в регламент. Съществените правни последици от новия регламент за Директива 2002/58/ЕО ще бъдат обект на преразглеждане от страна на Комисията.
(21)
Прилагането на настоящия регламент следва да бъде преразгледано три години след влизането му в сила, а неговото съдържание - преразгледано в светлината на действащата нормативна уредба към горепосочения момент, включително в светлината на предложения регламент за защитата на данните. Преразглеждането на настоящия регламент следва да бъдат свързано, когато това е възможно, с евентуално бъдещо преразглеждане на Директива 2002/58/ЕО.
(22)
Прилагането на настоящия регламент може да бъде оценено въз основа, inter alia, на всяка статистика, водена от националните компетентни органи, за съобщените нарушения на сигурността на лични данни. Тези статистически данни могат да включват например информация относно броя на нарушенията на сигурността на лични данни, съобщени на националния компетентен орган, броя на нарушенията на сигурността на лични данни, съобщени на абоната или лицето, времето, необходимо за разрешаването на проблема с нарушението на сигурността на лични данни, както и дали са били взети технически мерки за защита. Тези статистически данни следва да осигурят на Комисията и на държавите членки последователни и сравними статистически данни и не трябва да разкриват нито самоличността на уведомяващия доставчик, нито тази на засегнатите абонати или лица. За тази цел Комисията може също така да провежда редовни срещи с националните компетентни органи и други заинтересовани страни.
(23)
Мерките, предвидени в настоящия регламент, са в съответствие със становището на Комитета за регулиране на съобщенията,
ПРИЕ НАСТОЯЩИЯ РЕГЛАМЕНТ:
Член 1
Обхват
Настоящият регламент се прилага за съобщаването на нарушения на сигурността на лични данни от страна на доставчици на публичнодостъпни електронни съобщителни услуги („доставчикът“).
Член 2
Уведомяване на компетентните национални органи
1. Доставчикът уведомява националния компетентен орган за всички нарушения на сигурността на личните данни.
2. Доставчикът уведомява националния компетентен орган за нарушението на сигурността на лични данни не по-късно от 24 часа след откриване на нарушението на сигурността на лични данни, когато това е възможно.
Доставчикът трябва да включи в своето уведомление до националния компетентен орган информацията, посочена в приложение I.
Счита се, че е открито нарушение на сигурността на лични данни, когато доставчикът е получил достатъчно информация, че е имало произшествие, свързано със сигурността, довело до компрометиране на лични данни, за да направи той съдържателно уведомление, както се изисква съгласно настоящия регламент.
3. Когато не е налице цялата информация, посочена в приложение I, и се изисква допълнително разследване на нарушението на сигурността на лични данни, на доставчика следва да бъде разрешено да изпрати първоначалното уведомление на националния компетентен орган не по-късно от 24 часа след откриване на нарушението на сигурността на лични данни. Това първоначално уведомяване на националния компетентен орган включва информацията, посочена в раздел 1 от приложение I. Доставчикът изпраща второ уведомление на националния компетентен орган възможно най-скоро и най-късно в рамките на три дни след първоначалното уведомяване. Това второ уведомление включва информацията, посочена в раздел 2 от приложение I, и когато е необходимо, актуализира вече предоставената информация.
Когато доставчикът, въпреки разследванията си, не е в състояние да предостави цялата информация в тридневен срок от първоначалното уведомяване, той съобщава толкова информация, с колкото разполага за този срок, и предоставя на националния компетентен орган мотивирана обосновка за закъснялото съобщаване на останалата информация. Доставчикът съобщава останалата информация на националния компетентен орган и когато е необходимо, актуализира вече предоставената информация във възможно най-кратък срок.
4. Националният компетентен орган предоставя на всички доставчици, установени в съответната държава членка, сигурни електронни средства за съобщаване на нарушения на сигурността на лични данни и на информация относно процедурите за достъп до тях и използването им. Когато е необходимо, Комисията свиква заседания с компетентните национални органи, за да улесни прилагането на тази разпоредба.
5. Когато нарушаването на сигурността на личните данни засяга абонати или лица от държави членки, различни от тази на националния компетентен орган, на който е било съобщено нарушаване на сигурността на личните данни, националният компетентен орган информира другите съответни национални органи.
За да улесни прилагането на тази разпоредба, Комисията създава и поддържа списък на националните компетентни органи и съответните звена за контакт.
Член 3
Уведомяване на абоната или лицето
1. Когато има вероятност нарушението на сигурността на личните данни да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или отделно лице, освен уведомяването, посочено в член 2, доставчикът също така уведомява засегнатия абонат или лице.
2. Дали дадено нарушаване на сигурността на личните данни има вероятност да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или отделно лице се преценява, като се вземат предвид по-специално следните обстоятелства:
а)
естеството и съдържанието на съответните лични данни, по-специално когато данните се отнасят за финансова информация, специалните категории от данни, посочени в член 8, параграф 1 от Директива 95/46/ЕО, както и данни за местоположението, файлове със статистика за интернет връзките, история на посетените уебстраници, данни за електронната поща и списъци с повиквания, указани по позиции;
б)
вероятните последици от нарушаването на сигурността на личните данни за засегнатия абонат или лице, по специално когато нарушението може да доведе до кражба на самоличност или измама с фалшива самоличност, физическа вреда, психично разстройство, накърняване на достойнството или на репутацията; както и
в)
обстоятелствата на нарушаването на сигурността на личните данни, по-специално когато данните са били откраднати или когато доставчикът знае, че данните са в притежание на неупълномощена трета страна.
3. Уведомяването на абоната или лицето се извършва без ненужно забавяне след откриването на нарушението на сигурността на лични данни, както е определено в член 2, параграф 2, трета алинея. То не зависи от уведомяването на националния компетентен орган за нарушаване на сигурността на лични данни, посочено в член 2.
4. Доставчикът трябва да включи в своето съобщение до абоната или лицето информацията, посочена в приложение II. Уведомяването на абоната или лицето се извършва на ясен и лесноразбираем език. Доставчикът не трябва да използва уведомяването като възможност за популяризиране или реклама на нови или допълнителни услуги.
5. При изключителни обстоятелства, когато уведомяването на абоната или лицето може да изложи на риск правилното разследване на нарушението на сигурността на лични данни, на доставчика се разрешава, след като е получил съгласие от страна на националния компетентен орган, да забави уведомяването на абоната или лицето, докато компетентният национален орган счете, че е възможно да уведоми за нарушаването на сигурността на лични данни в съответствие с настоящия член.
6. Доставчикът уведомява засегнатия абонат или лице за нарушаването на сигурността на личните данни чрез средства за комуникация, гарантиращи незабавното получаване на информация и чиято сигурност е защитена по подходящ начин в съответствие със съвременното техническо ниво. Информацията за нарушението трябва да бъде съсредоточена върху нарушението, а не да бъде свързана с информация по друга тема.
7. Когато доставчикът, който има преки договорни отношения с крайния потребител, независимо от положените целесъобразни усилия не е в състояние в рамките на срока, посочен в параграф 3, да определи всички лица, които има вероятност да са засегнати по неблагоприятен начин от нарушението на сигурността на лични данни, той може да уведоми въпросните лица посредством обявления в основните национални или регионални медии в съответните държави членки в рамките на посочения срок. Тези обявления следва да съдържат информацията, посочена в приложение II, и когато е необходимо - в сбита форма. В такъв случай доставчикът трябва да продължи да полага всички целесъобразни усилия да определи посочените лица и да им съобщи информацията, посочена в приложение II, във възможно най-кратък срок.
Член 4
Технически мерки за защита
1. Чрез дерогация от член 3, параграф 1 не се изисква уведомяване на засегнат абонат или отделно засегнато лице за нарушение на сигурността на лични данни, ако доставчикът е доказал в удовлетворителна степен пред националния компетентен орган, че е взел подходящи технически мерки за защита и че тези мерки са приложени за данните, засегнати от нарушаването на сигурността. Такива технически мерки за защита трябва да правят данните неразбираеми за всяко лице, което не е упълномощено за достъп до тях.
2. Данните се разглеждат като неразбираеми, ако:
а)
са сигурно шифровани със стандартизиран алгоритъм, като ключът, използван за дешифриране на данните, не е бил разкрит при нарушение на сигурността, и ключът, използван за дешифриране на данните, е генериран така, че да не може да бъде открит с наличните технически средства от което и да било лице, което не е упълномощено за достъп до ключа; или
б)
са заменени с тяхната хеширана стойност, изчислена със стандартизирана шифроваща хеш-функция с ключ, като ключът, използван за хеширане на данните, не е бил разкрит при нарушение на сигурността, и ключът, използван за хеширане на данните, е генериран така, че да не може да бъде открит с наличните технически средства от което и да било лице, което не е упълномощено за достъп до ключа.
3. В съответствие с текущите практики, след консултация с компетентните национални органи посредством Работната група по член 29, с Европейската агенция за мрежова и информационна сигурност и с Европейския надзорен орган по защита на данните, Комисията може да публикува ориентировъчен списък с подходящи технически мерки за защита, споменати в параграф 1.
Член 5
Използване на друг доставчик
Когато се използва друг доставчик за доставянето на част от електронната съобщителна услуга без преки договорни отношения с абонатите, в случай на нарушение, свързано с личните данни, този друг доставчик незабавно уведомява доставчика, който го е ангажирал.
Член 6
Докладване и преразглеждане
В рамките на три години от влизането в сила на настоящия регламент Комисията следва да представи доклад за прилагането на настоящия регламент, неговата ефективност и въздействието му върху доставчиците, абонатите и физическите лица. Въз основа на този доклад Комисията преразглежда настоящия регламент.
Член 7
Влизане в сила
Настоящият регламент влиза в сила на 25 август 2013 г.
Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави членки.
Съставено в Брюксел на 24 юни 2013 година.
ΚΑΝΟΝΙΣΜΌΣ (ΕΕ) αριθ. 611/2013 ΤΗΣ ΕΠΙΤΡΟΠΉΣ
της 24ης Ιουνίου 2013
σχετικά με τα εφαρμοστέα μέτρα για την κοινοποίηση παραβιάσεων προσωπικών δεδομένων βάσει της οδηγίας 2002/58/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες
Η ΕΥΡΩΠΑΪΚΗ ΕΠΙΤΡΟΠΗ,
Έχοντας υπόψη τη Συνθήκη για τη λειτουργία της Ευρωπαϊκής Ένωσης,
Έχοντας υπόψη την οδηγία 2002/58/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 12ης Ιουλίου 2002, σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα και την προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών (οδηγία για την προστασία ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες) (1), και ιδίως το άρθρο 4 παράγραφος 5,
Έπειτα από διαβούλευση με τον ευρωπαϊκό οργανισμό για την ασφάλεια δικτύων και πληροφοριών (ENISA),
Έπειτα από διαβούλευση με την ομάδα εργασίας σχετικά με την προστασία των προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, η οποία έχει συσταθεί δυνάμει του άρθρου 29 της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (2) (ομάδα εργασίας του άρθρου 29),
Έπειτα από διαβούλευση με τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων ((EDPS),
Εκτιμώντας τα ακόλουθα:
(1)
Η οδηγία 2002/58/ΕΚ προβλέπει την εναρμόνιση των εθνικών διατάξεων οι οποίες απαιτούνται προκειμένου να διασφαλίζεται ισοδύναμο επίπεδο προστασίας των θεμελιωδών δικαιωμάτων και ελευθεριών, και ιδίως του δικαιώματος στην ιδιωτική ζωή και την εμπιστευτικότητα, όσον αφορά την επεξεργασία προσωπικών δεδομένων στον τομέα των ηλεκτρονικών επικοινωνιών, καθώς και να διασφαλίζεται η ελεύθερη κυκλοφορία των δεδομένων αυτών, καθώς και του εξοπλισμού και των υπηρεσιών ηλεκτρονικών επικοινωνιών στην Ένωση.
(2)
Βάσει του άρθρου 4 της οδηγίας 2002/58/ΕΚ, οι φορείς παροχής διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών υποχρεούται να κοινοποιούν στις αρμόδιες εθνικές αρχές, καθώς και -σε ορισμένες περιπτώσεις- στους ενδιαφερόμενους συνδρομητές και άτομα, τις παραβιάσεις προσωπικών δεδομένων. Η παραβίαση προσωπικών δεδομένων ορίζεται στο άρθρο 2 στοιχείο θ) της οδηγίας 2002/58/ΕΚ ως παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή πρόσβαση σε προσωπικά δεδομένα που έχουν διαβιβαστεί, αποθηκευτεί ή κατ’ άλλο τρόπο υποβληθεί σε επεξεργασία, σε συνδυασμό με την παροχή διαθέσιμων στο κοινό ηλεκτρονικών υπηρεσιών επικοινωνιών στην Ένωση.
(3)
Προκειμένου να διασφαλιστεί η συνοχή κατά την εφαρμογή των μέτρων που αναφέρονται στις παραγράφους 2, 3 και 4 του άρθρου 4 της οδηγίας 2002/58/ΕΚ, με το άρθρο 4 παράγραφος 5 εξουσιοδοτείται η Επιτροπή να λαμβάνει τεχνικά εκτελεστικά μέτρα όσον αφορά τις συνθήκες, το μορφότυπο και τις διαδικασίες που εφαρμόζονται στις απαιτήσεις πληροφόρησης και κοινοποίησης που αναφέρονται στο εν λόγω άρθρο.
(4)
Ή Η ύπαρξη διαφορετικών εθνικών απαιτήσεων ενδέχεται εν προκειμένω να οδηγήσει σε νομική αβεβαιότητα, συνθετότερες και επαχθέστερες διαδικασίες, καθώς και να συνεπάγεται σημαντικό διοικητικό κόστος για παρόχους που λειτουργούν διασυνοριακά. Κατά συνέπεια, η Επιτροπή κρίνει απαραίτητη τη θέσπιση σχετικών τεχνικών εκτελεστικών μέτρων.
(5)
Ο παρών κανονισμός περιορίζεται στην κοινοποίηση περιπτώσεων παραβίασης προσωπικών δεδομένων και επομένως δεν ορίζει τεχνικά εκτελεστικά μέτρα όσον αφορά το άρθρο 4 παράγραφος 2 της οδηγίας 2002/58/ΕΚ για ενημέρωση των συνδρομητών σε περίπτωση συγκεκριμένου κινδύνου παραβίασης της ασφάλειας του δικτύου.
(6)
Από το πρώτο εδάφιο του άρθρου 4 παράγραφος 3 της οδηγίας 2002/58/ΕΚ συνάγεται ότι οι πάροχοι οφείλουν να κοινοποιούν στην αρμόδια εθνική αρχή κάθε παραβίαση προσωπικών δεδομένων. Επομένως, ο πάροχος δεν πρέπει να διαθέτει την ευχέρεια να αποφασίζει αν θα κοινοποιεί ή όχι στην αρμόδια εθνική αρχή. Ωστόσο, αυτό δεν πρέπει να εμποδίζει την αρμόδια εθνική αρχή να παραχωρεί προτεραιότητα στη διερεύνηση ορισμένων παραβάσεων κατά τον τρόπο που αυτή κρίνει αναγκαίο, σύμφωνα με την ισχύουσα νομοθεσία, ούτε και να λάβει τα αναγκαία μέτρα για να αποφύγει την υπερβολική ή την ελλιπή αναφορά παραβιάσεων προσωπικών δεδομένων.
(7)
Είναι σκόπιμο να προβλεφθεί ένα σύστημα για την κοινοποίηση στην αρμόδια εθνική αρχή παραβιάσεων προσωπικών δεδομένων, που θα αποτελείται, εφόσον πληρούνται ορισμένες προϋποθέσεις, από διάφορες φάσεις, καθεμία από τις οποίες υπάγεται σε ορισμένα χρονικά όρια. Το σύστημα αυτό έχει ως στόχο να εξασφαλίσει ότι η αρμόδια εθνική αρχή ενημερώνεται το συντομότερο και όσο το δυνατόν πληρέστερα, χωρίς όμως αδικαιολόγητη παρακώλυση του παρόχου στις προσπάθειές του να διερευνήσει την παραβίαση και να λάβει τα αναγκαία μέτρα για περιορισμό και αντιμετώπιση των συνεπειών της.
(8)
Ούτε απλή υποψία ότι έχει συμβεί παραβίαση προσωπικών δεδομένων, ούτε απλή ανίχνευση ενός συμβάντος χωρίς να είναι διαθέσιμες επαρκείς πληροφορίες, παρά τις φιλότιμες προσπάθειες του παρόχου προς τούτο, αρκούν για να θεωρηθεί ότι έχει διαπιστωθεί παραβίαση προσωπικών δεδομένων κατά τους σκοπούς του παρόντος κανονισμού. Ιδιαίτερη προσοχή πρέπει να δοθεί εν προκειμένω στη διαθεσιμότητα των πληροφοριών που αναφέρονται στο παράρτημα Ι.
(9)
Στο πλαίσιο της εφαρμογής του παρόντος κανονισμού, οι αρμόδιες εθνικές αρχές πρέπει να συνεργάζονται σε περιπτώσεις παραβιάσεων προσωπικών δεδομένων με διασυνοριακή διάσταση.
(10)
Ο παρών κανονισμός δεν προβλέπει πρόσθετες προδιαγραφές για την απογραφή των παραβιάσεων προσωπικών δεδομένων που οφείλουν να διατηρούν οι πάροχοι, δεδομένου ότι στο άρθρο 4 της οδηγίας 2002/58/ΕΚ ορίζεται εξαντλητικά το περιεχόμενό της. Ωστόσο, οι πάροχοι μπορούν να παραπέμπουν στον παρόντα κανονισμό για τον καθορισμό της μορφής της απογραφής.
(11)
Όλες οι αρμόδιες εθνικές αρχές οφείλουν να διαθέτουν ένα ασφαλές ηλεκτρονικό μέσο ώστε οι πάροχοι να κοινοποιούν παραβιάσεις προσωπικών δεδομένων σε κοινό μορφότυπο, με βάση ένα πρότυπο όπως το XML, το οποίο περιέχει τις πληροφορίες που καθορίζονται στο παράρτημα Ι στις αντίστοιχες γλώσσες, έτσι ώστε να μπορούν όλοι οι πάροχοι εντός της Ένωσης να ακολουθούν παρόμοια διαδικασία κοινοποίησης, ανεξάρτητα από το πού βρίσκονται ή πού συνέβη η παραβίαση προσωπικών δεδομένων. Στο πλαίσιο αυτό, η Επιτροπή πρέπει να διευκολύνει την εφαρμογή των ασφαλών ηλεκτρονικών μέσων οργανώνοντας συναντήσεις με τις αρμόδιες εθνικές αρχές, όπου είναι αναγκαίο.
(12)
Κατά την εκτίμηση αν μια παραβίαση προσωπικών δεδομένων είναι πιθανό να επηρεάσει αρνητικά τα προσωπικά δεδομένα ή την ιδιωτική ζωή ενός συνδρομητή ή ατόμου, πρέπει να λαμβάνονται ιδίως υπόψη ο χαρακτήρας και το περιεχόμενο των εν λόγω δεδομένων προσωπικού χαρακτήρα, ιδίως όταν τα δεδομένα αφορούν οικονομικές πληροφορίες, όπως στοιχεία πιστωτικών καρτών και στοιχεία τραπεζικών λογαριασμών· ειδικές κατηγορίες δεδομένων που αναφέρονται στο άρθρο 8 παράγραφος 1 της οδηγίας 95/46/ΕΚ· και ορισμένα στοιχεία που σχετίζονται ειδικότερα με την παροχή υπηρεσιών τηλεφωνίας ή διαδικτύου, δηλαδή δεδομένα ηλε-ταχυδρομείου, γεωγραφικής θέσης, διαδικτυακά αρχεία καταγραφής, ιστορικά ιστοπεριήγησης και αναλυτικούς καταλόγους κλήσεων.
(13)
Σε εξαιρετικές περιπτώσεις, πρέπει να επιτρέπεται στον πάροχο να καθυστερήσει για εύλογο χρονικό διάστημα την κοινοποίηση στον συνδρομητή ή άτομο, εφόσον η γνωστοποίηση στον συνδρομητή ή άτομο ενδέχεται να θέσει σε κίνδυνο την ορθή διερεύνηση της παραβίασης προσωπικών δεδομένων. Στο πλαίσιο αυτό, στις εξαιρετικές περιστάσεις μπορεί να περιλαμβάνεται διερεύνηση ποινικών υποθέσεων, καθώς και άλλες παραβιάσεις προσωπικών δεδομένων που δεν ισοδυναμούν με σοβαρό έγκλημα, αλλά για τις οποίες μπορεί να είναι σκόπιμη η αναβολή της κοινοποίησης Σε κάθε περίπτωση, πρέπει να εναπόκειται στην αρμόδια εθνική αρχή να αξιολογήσει, κατά περίπτωση και υπό το φως των περιστάσεων, εάν συμφωνήσει στην αναβολή ή αν απαιτήσει κοινοποίηση.
(14)
Μολονότι οι πάροχοι πρέπει να διαθέτουν τα στοιχεία επικοινωνίας των συνδρομητών τους, δεδομένης της άμεσης συμβατικής σχέσης τους, οι πληροφορίες αυτές ενδέχεται να μην υπάρχουν για άλλα άτομα που θίγονται από την παραβίαση προσωπικών δεδομένων. Σε τέτοια περίπτωση, πρέπει να επιτρέπεται στον πάροχο να ενημερώσει αρχικά τα άτομα αυτά μέσω διαφημίσεων σε μεγάλα εθνικά ή περιφερειακά μέσα επικοινωνίας, όπως είναι οι εφημερίδες, και το συντομότερο δυνατό να ακολουθεί ατομική κοινοποίηση, όπως προβλέπεται στον παρόντα κανονισμό. Επομένως, ο πάροχος δεν υποχρεούται αφεαυτού να ενημερώσει μέσω των μέσων επικοινωνίας, αλλά έχει εντολή να ενεργεί κατ’ αυτόν τον τρόπο, εφόσον επιθυμεί, όταν πρόκειται ακόμα για τη διαδικασία εντοπισμού όλων των ατόμων που επηρεάζονται.
(15)
Οι πληροφορίες σχετικά με την παράβαση πρέπει να χρησιμοποιούνται αποκλειστικά για την παράβαση και να μην σχετίζονται με πληροφορίες σχετικά με άλλο θέμα. Για παράδειγμα, η συμπερίληψη πληροφοριών σχετικά με παραβίαση προσωπικών δεδομένων σε ένα κανονικό τιμολόγιο δεν πρέπει να θεωρείται επαρκές μέσο για να γνωστοποιηθεί μια παραβίαση προσωπικών δεδομένων.
(16)
Ο παρών κανονισμός δεν καθορίζει συγκεκριμένα τεχνολογικά μέτρα προστασίας που να δικαιολογούν παρέκκλιση από την υποχρέωση κοινοποίησης παραβιάσεων προσωπικών δεδομένων σε συνδρομητές ή άτομα, καθώς τα μέτρα αυτά ενδέχεται να αλλάξουν με την πάροδο του χρόνου, ανάλογα με τις τεχνολογικές εξελίξεις. Η Επιτροπή πρέπει, ωστόσο, να είναι σε θέση να δημοσιεύσει ενδεικτικό κατάλογο τέτοιων συγκεκριμένων τεχνολογικών μέτρων προστασίας σύμφωνα με τρέχουσες πρακτικές.
(17)
Η εφαρμογή κρυπτοθέτησης ή κατακερματισμού δεν πρέπει να θεωρείται αφεαυτής επαρκής ώστε να επιτρέψει στους παρόχους να υποστηρίζουν γενικά ότι έχουν εκπληρώσει τη γενική υποχρέωση ασφάλειας που καθορίζεται στο άρθρο 17 της οδηγίας 95/46/ΕΚ. Σε αυτό το πλαίσιο, οι πάροχοι οφείλουν επίσης να εφαρμόζουν επαρκή οργανωτικά και τεχνικά μέτρα για την πρόληψη, τον εντοπισμό και τον αποκλεισμό των παραβιάσεων προσωπικών δεδομένων. Οι πάροχοι πρέπει να εξετάζουν κάθε υπολειπόμενο κίνδυνο που ενδεχομένως υπάρχει μετά την εκτέλεση των ελέγχων ώστε να αντιληφθούν πού είναι πιθανό να παρουσιαστούν παραβιάσεις προσωπικών δεδομένων.
(18)
Σε περίπτωση που ο πάροχος χρησιμοποιεί άλλο πάροχο για την εκτέλεση μέρους της υπηρεσίας, για παράδειγμα σε σχέση με την τιμολόγηση ή τη διαχείριση λειτουργιών, ο εν λόγω άλλος πάροχος που δεν έχει άμεση συμβατική σχέση με τον τελικό χρήστη δεν υποχρεούται να εκδίδει κοινοποιήσεις σε περίπτωση παραβίασης προσωπικών δεδομένων. Αντ’ αυτού, πρέπει να ειδοποιήσουν και να ενημερώσουν τον πάροχο με τον οποίο έχουν άμεση συμβατική σχέση. Αυτό πρέπει να ισχύει και στο πλαίσιο της χονδρικής παροχής υπηρεσιών ηλεκτρονικών επικοινωνιών, όταν τυπικά ο πάροχος χονδρικής δεν έχει άμεση συμβατική σχέση με τον τελικό χρήστη.
(19)
Η οδηγία 95/46/ΕΚ καθορίζει το γενικό πλαίσιο για την προστασία των προσωπικών δεδομένων στην Ευρωπαϊκή Ένωση. Η Επιτροπή υπέβαλε πρόταση κανονισμού του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου για την αντικατάσταση της οδηγίας 95/46/ΕΚ (κανονισμός για την προστασία των δεδομένων). Ο προτεινόμενος κανονισμός για την προστασία των δεδομένων θα εισήγαγε υποχρέωση για όλους τους υπευθύνους επεξεργασίας δεδομένων να κοινοποιούν παραβιάσεις προσωπικών δεδομένων, με βάση το άρθρο 4 παράγραφος 3 της οδηγίας 2002/58/ΕΚ. Ο παρών κανονισμός της Επιτροπής είναι απόλυτα συνεπής με αυτό το προτεινόμενο μέτρο.
(20)
Ο προτεινόμενος κανονισμός για την προστασία των δεδομένων προχωρεί επίσης σε περιορισμένο αριθμό τεχνικών προσαρμογών στην οδηγία 2002/58/ΕΚ, ώστε να ληφθεί υπόψη η μετατροπή της οδηγίας 95/46/ΕΚ σε κανονισμό. Οι ουσιαστικές έννομες συνέπειες του νέου κανονισμού για την οδηγία 2002/58/ΕΚ, θα αποτελέσουν αντικείμενο επανεξέτασης από την Επιτροπή.
(21)
Η εφαρμογή του παρόντος κανονισμού πρέπει να αναθεωρηθεί τρία έτη μετά την έναρξη ισχύος του, ενώ το περιεχόμενο του πρέπει να επανεξεταστεί υπό το πρίσμα του νομικού πλαισίου που θα ισχύει την εποχή εκείνη, συμπεριλαμβανομένου του προτεινόμενου κανονισμού για την προστασία των δεδομένων. Η αναθεώρηση του παρόντος κανονισμού πρέπει να συνδέεται, όπου είναι δυνατόν σε οποιαδήποτε μελλοντική αναθεώρηση της οδηγίας 2002/58/ΕΚ.
(22)
Η εφαρμογή του παρόντος κανονισμού μπορεί να αξιολογηθεί με βάση, μεταξύ άλλων, τυχόν στατιστικές που τηρούν οι αρμόδιες εθνικές αρχές σχετικά με παραβιάσεις προσωπικών δεδομένων οι οποίες τους έχουν κοινοποιηθεί. Αυτά τα στατιστικά στοιχεία μπορεί να περιλαμβάνουν, για παράδειγμα, πληροφορίες σχετικά με τον αριθμό των παραβιάσεων προσωπικών δεδομένων που έχουν κοινοποιηθεί στην αρμόδια εθνική αρχή, τον αριθμό των παραβιάσεων προσωπικών δεδομένων που έχουν κοινοποιηθεί στον συνδρομητή ή άτομο, το χρόνο που απαιτήθηκε για την επίλυση της παραβίασης προσωπικών δεδομένων, καθώς και αν ελήφθησαν τεχνολογικά μέτρα προστασίας. Οι στατιστικές αυτές πρέπει να παρέχουν στην Επιτροπή και τα κράτη μέλη συνεπή και συγκρίσιμα στατιστικά στοιχεία, ενώ δεν πρέπει να αποκαλύπτονται ούτε η ταυτότητα του κοινοποιούντος παρόχου, ούτε των εμπλεκόμενων συνδρομητών ή ατόμων. Προς τούτο, η Επιτροπή μπορεί επίσης να πραγματοποιεί τακτικές συναντήσεις με τις αρμόδιες εθνικές αρχές και άλλα ενδιαφερόμενα μέρη.
(23)
Τα μέτρα που προβλέπονται στον παρόντα κανονισμό είναι σύμφωνα με τη γνώμη της επιτροπής επικοινωνιών,
ΕΞΕΔΩΣΕ ΤΟΝ ΠΑΡΟΝΤΑ ΚΑΝΟΝΙΣΜΟ:
Άρθρο 1
Πεδίο εφαρμογής
Ο παρών κανονισμός εφαρμόζεται στην κοινοποίηση των παραβιάσεων προσωπικών δεδομένων από τους παρόχους διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών (εφεξής «ο πάροχος»).
Άρθρο 2
Κοινοποίηση στην αρμόδια εθνική αρχή
1. Ο πάροχος κοινοποιεί στην αρμόδια εθνική αρχή όλες τις παραβιάσεις προσωπικών δεδομένων.
2. Ο πάροχος κοινοποιεί στην αρμόδια εθνική αρχή την παραβίαση προσωπικών δεδομένων το αργότερο 24 ώρες έπειτα από την ανίχνευση της παραβίασης προσωπικών δεδομένων, εφόσον αυτό είναι εφικτό.
Στην κοινοποίησή του προς την αρμόδια εθνική αρχή ο πάροχος περιλαμβάνει τις πληροφορίες που καθορίζονται στο παράρτημα Ι.
Η ανίχνευση παραβίασης προσωπικών δεδομένων θεωρείται ότι έχει πραγματοποιηθεί όταν ο πάροχος έχει αποκτήσει επαρκή επίγνωση ότι έχει συμβεί περιστατικό ασφάλειας με αποτέλεσμα διακύβευση δεδομένων προσωπικού χαρακτήρα, προκειμένου να συντάξει ουσιαστική ανακοίνωση, όπως απαιτείται βάσει του παρόντος κανονισμού.
3. Εφόσον δεν είναι διαθέσιμο το σύνολο των πληροφοριών που αναφέρονται στο παράρτημα Ι και απαιτείται περαιτέρω διερεύνηση της παραβίασης προσωπικών δεδομένων, επιτρέπεται στον πάροχο να προχωρήσει σε αρχική κοινοποίηση προς την αρμόδια εθνική αρχή το αργότερο 24 ώρες έπειτα από την ανίχνευση της παραβίασης προσωπικών δεδομένων. Η αρχική αυτή κοινοποίηση προς την αρμόδια εθνική αρχή περιλαμβάνει τις πληροφορίες που προβλέπονται στο τμήμα 1 του παραρτήματος Ι. Ο πάροχος προχωρεί σε δεύτερη κοινοποίηση προς την αρμόδια εθνική αρχή, το συντομότερο δυνατό, και το αργότερο εντός τριών ημερών από την αρχική κοινοποίηση. Η δεύτερη αυτή κοινοποίηση περιλαμβάνει τις πληροφορίες που προβλέπονται στο τμήμα 2 του παραρτήματος Ι και, κατά περίπτωση, τις ήδη παρασχεθείσες πληροφορίες.
Εφόσον ο πάροχος, παρά τις έρευνές του, δεν είναι σε θέση να παράσχει το σύνολο των πληροφοριών εντός της τριήμερης προθεσμίας από την αρχική κοινοποίηση, κοινοποιεί εντός του προβλεπόμενου χρονοδιαγράμματος τις πληροφορίες που διαθέτει και υποβάλλει στην αρμόδια εθνική αρχή τεκμηριωμένη αιτιολόγηση για την καθυστερημένη κοινοποίηση των υπόλοιπων πληροφοριών. Ο πάροχος κοινοποιεί στην αρμόδια εθνική αρχή τις υπόλοιπες πληροφορίες και, κατά περίπτωση, επικαιροποιεί τις ήδη παρασχεθείσες πληροφορίες, το συντομότερο δυνατό.
4. Η αρμόδια εθνική αρχή παρέχει σε όλους τους παρόχους που είναι εγκατεστημένοι στο συγκεκριμένο κράτος μέλος ασφαλές ηλεκτρονικό μέσο για την κοινοποίηση των παραβιάσεων προσωπικών δεδομένων, καθώς και πληροφορίες σχετικά με τις διαδικασίες για την πρόσβαση σε αυτό, καθώς και για τη χρήση του. Κατά περίπτωση, η Επιτροπή συγκαλεί συναντήσεις με τις αρμόδιες εθνικές αρχές προς διευκόλυνση της εφαρμογής της εν λόγω διάταξης.
5. Εφόσον η παραβίαση προσωπικών δεδομένων επηρεάζει συνδρομητές ή άτομα από κράτη μέλη εκτός αυτού της αρμόδιας εθνικής αρχής στην οποία έχει κοινοποιηθεί η παραβίαση προσωπικών δεδομένων, η αρμόδια εθνική αρχή ενημερώνει τις άλλες εθνικές αρχές.
Για να διευκολυνθεί η εφαρμογή της εν λόγω διάταξης, η Επιτροπή δημιουργεί και διατηρεί κατάλογο με τις αρμόδιες εθνικές αρχές και τα κατάλληλα σημεία επικοινωνίας.
Άρθρο 3
Κοινοποίηση στον συνδρομητή ή άτομο
1. Εφόσον η παραβίαση προσωπικών δεδομένων είναι πιθανό να επηρεάσει αρνητικά τα προσωπικά δεδομένα ή την ιδιωτική ζωή ενός συνδρομητή ή ατόμου, ο πάροχος, εκτός από την κοινοποίηση που αναφέρεται στο άρθρο 2, κοινοποιεί επίσης στον συνδρομητή ή το άτομο την παραβίαση.
2. Το κατά πόσο μια παραβίαση προσωπικών δεδομένων είναι πιθανό να επηρεάσει αρνητικά τα προσωπικά δεδομένα ή την ιδιωτική ζωή ενός συνδρομητή ή ατόμου, αξιολογείται λαμβάνοντας ιδίως υπόψη τις ακόλουθες περιστάσεις:
α)
τον χαρακτήρα και το περιεχόμενο των εν λόγω δεδομένων προσωπικού χαρακτήρα, ιδίως εφόσον τα δεδομένα αφορούν οικονομικές πληροφορίες, ειδικές κατηγορίες δεδομένων που αναφέρονται στο άρθρο 8 παράγραφος 1 της οδηγίας 95/46/ΕΚ, καθώς και δεδομένα γεωγραφικής θέσης, διαδικτυακά αρχεία διαδικτυακής καταγραφής, ιστορικά ιστοπεριήγησης, στοιχεία ηλε-ταχυδρομείου, και αναλυτικούς καταλόγους κλήσεων·
β)
τις πιθανές συνέπειες από την παραβίαση προσωπικών δεδομένων για τον ενδιαφερόμενο συνδρομητή ή άτομο, ιδίως εφόσον η παράβαση θα μπορούσε να συνεπάγεται κλοπή ταυτότητας ή απάτη, σωματική βλάβη, ψυχολογική πίεση, ταπείνωση ή προσβολή της υπολήψεως· και
γ)
τις συνθήκες της παραβίασης προσωπικών δεδομένων, ιδίως εφόσον τα δεδομένα έχουν κλαπεί ή όταν ο πάροχος γνωρίζει ότι τα δεδομένα βρίσκονται στην κατοχή μη εξουσιοδοτημένου τρίτου.
3. Η κοινοποίηση στον συνδρομητή ή το άτομο γίνεται χωρίς αδικαιολόγητη καθυστέρηση ύστερα από την ανίχνευση της παραβίασης προσωπικών δεδομένων, όπως ορίζεται στο τρίτο εδάφιο του άρθρου 2 παράγραφος 2. Τούτο δεν εξαρτάται από την κοινοποίηση της παραβίασης προσωπικών δεδομένων στην αρμόδια εθνική αρχή, που αναφέρεται στο άρθρο 2.
4. Στην κοινοποίησή του προς τον συνδρομητή ή το άτομο, ο πάροχος περιλαμβάνει τις πληροφορίες που καθορίζονται στο παράρτημα ΙΙ. Η κοινοποίηση στον συνδρομητή ή το άτομο διατυπώνεται με σαφή και εύληπτο τρόπο. Ο πάροχος δεν χρησιμοποιεί την κοινοποίηση ως ευκαιρία για προώθηση ή διαφήμιση νέων ή συμπληρωματικών υπηρεσιών.
5. Σε εξαιρετικές περιπτώσεις, εφόσον η κοινοποίηση στο συνδρομητή ή άτομο μπορεί να θέσει σε κίνδυνο την ορθή διερεύνηση της παραβίασης προσωπικών δεδομένων, επιτρέπεται στον πάροχο, αφού λάβει τη σύμφωνη γνώμη της αρμόδιας εθνικής αρχής, να καθυστερήσει την κοινοποίηση προς τον συνδρομητή ή άτομο έως ότου η αρμόδια εθνική αρχή θεωρήσει ότι είναι δυνατόν να κοινοποιήσει την παραβίαση προσωπικών δεδομένων, σύμφωνα με το εν λόγω άρθρο.
6. Ο πάροχος ενημερώνει τον συνδρομητή ή άτομο σχετικά με την παραβίαση προσωπικών δεδομένων με επικοινωνία που διασφαλίζει άμεση και ασφαλή παραλαβή των πληροφοριών, σύμφωνα με την εξέλιξη της τεχνολογίας. Οι πληροφορίες σχετικά με την παράβαση αφορούν αποκλειστικά την παράβαση και δεν σχετίζονται με πληροφορίες σχετικά με άλλο θέμα.
7. Εφόσον ο πάροχος που έχει άμεση συμβατική σχέση με τον τελικό χρήστη, παρά τις εύλογες προσπάθειές του, δεν είναι σε θέση να εντοπίσει εντός του χρονικού πλαισίου που αναφέρεται στην παράγραφο 3 όλα τα άτομα που είναι πιθανό να έχουν επηρεαστεί αρνητικά από την παραβίαση προσωπικών δεδομένων, μπορεί (ο πάροχος) να ειδοποιήσει τα άτομα αυτά με καταχώριση σε σημαντικά εθνικά ή περιφερειακά μέσα επικοινωνίας, στο αντίστοιχο κράτος μέλος, σε αυτό το χρονικό πλαίσιο. Αυτές οι καταχωρίσεις περιέχουν τις πληροφορίες που παρατίθενται στο παράρτημα ΙΙ, όπου είναι απαραίτητο σε συνοπτική μορφή. Στην περίπτωση αυτή, ο πάροχος συνεχίζει να καταβάλλει κάθε εύλογη προσπάθεια για να εντοπίσει το συντομότερο τα άτομα αυτά και να τους κοινοποιήσει τις πληροφορίες που αναφέρονται στο παράρτημα ΙΙ.
Άρθρο 4
Τεχνολογικά μέτρα προστασίας
1. Κατά παρέκκλιση από το άρθρο 3 παράγραφος 1, η κοινοποίηση παραβίασης προσωπικών δεδομένων σε ενδιαφερόμενο συνδρομητή ή άτομο δεν απαιτείται εάν ο πάροχος έχει αποδείξει κατά ικανοποιητικό τρόπο για την αρμόδια αρχή ότι έχει εφαρμόσει κατάλληλα τεχνολογικά μέτρα προστασίας και ότι τα μέτρα αυτά εφαρμόστηκαν ως προς τα δεδομένα που αφορούσε η παραβίαση της ασφάλειας. Τα εν λόγω τεχνολογικά μέτρα προστασίας πρέπει να καθιστούν τα δεδομένα ακατανόητα σε οποιοδήποτε πρόσωπο δεν διαθέτει δικαίωμα πρόσβασης σε αυτά.
2. Τα δεδομένα θεωρούνται ακατάληπτα, εάν:
α)
έχουν κρυπτοθετηθεί με τυποποιημένο αλγόριθμο, το κλειδί που χρησιμοποιείται για την αποκρυπτοθέτηση των δεδομένων δεν έχει παραβιαστεί σε οποιαδήποτε παραβίαση της ασφάλειας, και το κλειδί που χρησιμοποιείται για την αποκρυπτοθέτηση των δεδομένων έχει δημιουργηθεί κατά τρόπο που να μην μπορεί να εξακριβωθεί με τα διαθέσιμα τεχνολογικά μέσα από οποιοδήποτε πρόσωπο που δεν έχει εξουσιοδοτημένη πρόσβαση στο κλειδί· ή
β)
έχουν αντικατασταθεί από την τιμή κατακερματισμού τους, που έχει υπολογιστεί με τυποποιημένη κρυπτοθετημένη συνάρτηση κατακερματισμού, το κλειδί που χρησιμοποιείται για την αποκρυπτοθέτηση των δεδομένων δεν έχει παραβιαστεί σε οποιαδήποτε παραβίαση της ασφάλειας, και το κλειδί που χρησιμοποιείται για την αποκρυπτοθέτηση των δεδομένων έχει δημιουργηθεί κατά τρόπο που να μην μπορεί να εξακριβωθεί με τα διαθέσιμα τεχνολογικά μέσα από οποιοδήποτε πρόσωπο που δεν έχει εξουσιοδοτημένη πρόσβαση στο κλειδί.
3. Η Επιτροπή, έπειτα από διαβούλευση με τις αρμόδιες εθνικές αρχές μέσω της ομάδας εργασίας του άρθρου 29, τον Ευρωπαϊκό Οργανισμό για την Ασφάλεια δικτύων και Πληροφοριών και τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων, μπορεί να δημοσιεύσει ενδεικτικό κατάλογο κατάλληλων τεχνολογικών μέτρων προστασίας που αναφέρονται στην παράγραφο 1, σύμφωνα με τρέχουσες πρακτικές.
Άρθρο 5
Χρησιμοποίηση άλλου παρόχου
Στις περιπτώσεις που συνάπτεται σύμβαση με άλλο πάροχο για την παροχή μέρους των υπηρεσιών ηλεκτρονικών επικοινωνιών χωρίς ο άλλος πάροχος να έχει άμεση συμβατική σχέση με τους συνδρομητές, ο εν λόγω άλλος πάροχος ενημερώνει αμέσως τον συμβατικό πάροχο σε περίπτωση παραβίασης προσωπικών δεδομένων.
Άρθρο 6
Υποβολή εκθέσεων και επανεξέταση
Εντός τριών ετών από την έναρξη ισχύος του παρόντος κανονισμού, η Επιτροπή υποβάλλει έκθεση σχετικά με την εφαρμογή του παρόντος κανονισμού, την αποτελεσματικότητά του και τον αντίκτυπό του σε παρόχους, συνδρομητές και ιδιώτες. Βάσει της εν λόγω έκθεσης, η Επιτροπή αναθεωρεί τον παρόντα κανονισμό.
Άρθρο 7
Έναρξη ισχύος
Ο παρών κανονισμός αρχίζει να ισχύει στις 25 Αυγούστου 2013.
Ο παρών κανονισμός είναι δεσμευτικός ως προς όλα τα μέρη του και ισχύει άμεσα σε κάθε κράτος μέλος.
Βρυξέλλες, 24 Ιουνίου 2013.