NAŘÍZENÍ KOMISE (EU) č. 611/2013
ze dne 24. června 2013
o opatřeních vztahujících se na oznámení o narušení bezpečnosti osobních údajů podle směrnice Evropského parlamentu a Rady 2002/58/ES o soukromí a elektronických komunikacích
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (Směrnice o soukromí a elektronických komunikacích) (1), a zejména na čl. 4 odst. 5 uvedené směrnice,
po konzultaci s Evropskou agenturou pro bezpečnost sítí a informací (ENISA),
po konzultaci s pracovní skupinou pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízenou článkem 29 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (2) (dále jen „pracovní skupina zřízená podle článku 29“),
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
Směrnice 2002/58/ES harmonizuje předpisy členských států požadované pro zajištění rovnocenné úrovně ochrany základních práv a svobod, zejména práva na soukromí a zachování důvěrnosti informací, se zřetelem na zpracování osobních údajů v odvětví elektronických komunikací, a pro zajištění volného pohybu těchto údajů a elektronických komunikačních zařízení a služeb v Unii.
(2)
Podle článku 4 směrnice 2002/58/ES jsou poskytovatelé veřejně dostupných služeb elektronických komunikací povinni oznámit narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům a v některých případech také dotčeným účastníkům a jednotlivcům. Narušení bezpečnosti osobních údajů je definováno v čl. 2 písm. i) směrnice 2002/58/ES jako narušení bezpečnosti, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně či neoprávněnému vyzrazení nebo zpřístupnění osobních údajů přenášených, uchovávaných nebo jinak zpracovávaných v souvislosti s poskytováním veřejně dostupné služby elektronických komunikací v Unii.
(3)
Pro zajištění důsledného provádění opatření uvedených v čl. 4 odst. 2, 3 a 4 směrnice 2002/58/ES se v čl. 4 odst. 5 uvedeného nařízení Komise zmocňuje k přijetí technických prováděcích opatření týkajících se okolností, formátu a postupů, jež se vztahují na požadavky informování a oznamování podle uvedeného článku.
(4)
Rozdílné požadavky členských států v tomto ohledu mohou vést k právní nejistotě, složitějším a zdlouhavějším postupům a značným administrativním nákladům poskytovatelů, kteří působí v přeshraničním styku. Komise proto zastává názor, že je nutné přijmout tato technická prováděcí opatření.
(5)
Toto nařízení se omezuje na oznámení o narušení bezpečnosti osobních údajů, a proto nestanoví technická prováděcí opatření týkající se čl. 4 odst. 2 směrnice 2002/58/ES o informování účastníků v případě zvláštního rizika narušení bezpečnosti sítě.
(6)
Z čl. 4 odst. 3 prvního pododstavce směrnice 2002/58/ES vyplývá, že poskytovatelé by měli oznámit příslušnému vnitrostátnímu orgánu všechny případy narušení bezpečnosti osobních údajů. Rozhodnutí, zda je či není třeba oznámit narušení příslušnému vnitrostátnímu orgánu, by proto nemělo být ponecháno na vůli poskytovatele. To by však nemělo bránit příslušnému vnitrostátnímu orgánu, aby v souladu s platnými právními předpisy nepřistoupil k vyšetřování některých narušení přednostně podle jejich důležitosti a nepodnikl kroky nezbytné k tomu, aby se zabránilo přílišnému nebo nedostatečnému hlášení o narušení bezpečnosti osobních údajů.
(7)
Je třeba stanovit systém pro oznamování narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu, který by za splnění některých podmínek sestával z různých etap, pro něž by platily konkrétní lhůty. Systém by měl zajistit, aby příslušný vnitrostátní orgán byl informován co nejdříve a co nejúplněji, aniž by se tím neodůvodněně bránilo poskytovateli ve snaze narušení vyšetřit a přijmout nezbytná opatření k jeho omezení a nápravě důsledků.
(8)
Pouhé podezření, že došlo k narušení bezpečnosti osobních údajů, ani pouhé zjištění události bez dostatečných informací, které se ani přes největší úsilí nepodařilo poskytovateli získat, nepostačuje pro účely tohoto nařízení k tomu, aby bylo možné konstatovat, že došlo k odhalení narušení bezpečnosti osobních údajů. Zvláštní ohled je v této souvislosti třeba věnovat dostupnosti informací uvedených v příloze I.
(9)
V souvislosti s uplatňováním tohoto nařízení by v případech narušení bezpečnosti osobních údajů s přeshraničním rozměrem měly příslušné vnitrostátní orgány mezi sebou spolupracovat.
(10)
Toto nařízení nestanoví žádné upřesnění přehledu narušení bezpečnosti osobních údajů, které mají provozovatelé vést, protože v článku 4 směrnice 2002/58/ES je jeho obsah stanoven vyčerpávajícím způsobem. Poskytovatelé však při určování formátu přehledu mohou použít odkaz na toto nařízení.
(11)
Všechny příslušné vnitrostátní orgány by měly poskytovatelům zpřístupnit bezpečné elektronické prostředky umožňující oznamovat narušení bezpečnosti osobních údajů ve společném formátu, a to na základě normy, jako je např. XML, který bude obsahovat údaje stanovené v příloze I v příslušných jazycích tak, aby všichni poskytovatelé v rámci Unie mohli používat obdobný postup oznamování bez ohledu na to, kde se nacházejí nebo kde došlo k narušení bezpečnosti osobních údajů. V této souvislosti by Komise podle potřeby měla usnadnit zavádění bezpečných elektronických prostředků pořádáním setkání s příslušnými vnitrostátními orgány.
(12)
Při posuzování, zda by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno vzít v úvahu zejména povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, jako jsou např. údaje o kreditní kartě nebo bankovním účtu, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES a některé údaje, které se konkrétně týkají poskytování telefonních a internetových služeb, tj. údaje o elektronické poště, lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek a podrobné rozpisy uskutečněných volání.
(13)
Za výjimečných okolností, jestliže by oznámení účastníkovi nebo jednotlivci mohlo ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, by poskytovatel měl mít možnost oznámení účastníkovi nebo jednotlivci pozdržet. V tomto ohledu mohou výjimečné okolnosti zahrnovat trestní vyšetřování, jakož i další narušení bezpečnosti osobních údajů, která nelze považovat za závažnou trestnou činnost, kvůli nimž však může být vhodné oznámení odložit. Příslušný vnitrostátní orgán by za všech okolností měl v každém jednotlivém případě a s ohledem na okolnosti posoudit, zda se oznámení odloží, nebo zda bude vyžadováno.
(14)
Zatímco poskytovatelé by díky přímému smluvnímu vztahu měli mít kontaktní údaje svých účastníků, o ostatních jednotlivcích nepříznivě ovlivněných narušením bezpečnosti osobních údajů tyto informace mít nemusí. V takovém případě by poskytovatel měl mít možnost nejprve tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích, např. v novinách, a následně jim tuto skutečnost co nejdříve oznámit jednotlivě, jak je stanoveno v tomto nařízení. Poskytovatel jako takový tedy není povinen zveřejnit informace v médiích, ale je oprávněn postupovat případně tímto způsobem, pokud stále ještě probíhá zjišťování totožnosti ovlivněných jednotlivců.
(15)
Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi. Za přiměřený prostředek oznámení o narušení bezpečnosti osobních údajů by například nemělo být považováno uvedení informace o narušení bezpečnosti osobních údajů v běžné faktuře.
(16)
Toto nařízení nestanoví žádná zvláštní technická ochranná opatření, která odůvodňují odchylku od povinnosti oznamovat narušení bezpečnosti osobních údajů účastníkům nebo jednotlivcům, neboť ta se mohou v důsledku technologického pokroku v průběhu času měnit. Komise by však měla mít možnost zveřejnit orientační seznam těchto zvláštních technických ochranných opatření v souladu s platnými postupy.
(17)
Kódování nebo hašování nelze samo o sobě považovat za dostatečný způsob ochrany, který by poskytovatelům obecně umožňoval tvrdit, že splnili všechny všeobecné bezpečnostní povinnosti stanovené v článku 17 směrnice 95/46/ES. V tomto ohledu by poskytovatelé měli také provádět vhodná organizační a technická opatření na prevenci, odhalování a zamezení narušení bezpečnosti osobních údajů. Poskytovatelé by měli zvážit veškerá rizika, která mohou přetrvávat po provedení kontrol, aby bylo možné rozpoznat, kde může dojít k narušení bezpečnosti osobních údajů.
(18)
Pokud provozovatel k poskytování služeb částečně používá jiného poskytovatele, např. pro účely účtování nebo řízení, tento jiný poskytovatel, který není v přímém smluvním vztahu s koncovým uživatelem, by neměl mít povinnost v případě narušení bezpečnosti osobních údajů podávat oznámení. Místo toho by měl uvědomit a informovat poskytovatele, s nímž má přímý smluvní vztah. To by mělo platit i v souvislosti s velkoobchodním poskytováním služeb elektronických komunikací, kde obvykle velkoobchodní poskytovatel není v přímém smluvním vztahu s koncovým uživatelem.
(19)
Směrnice 95/46/ES vymezuje obecný rámec pro ochranu osobních údajů v Evropské unii. Komise předložila návrh nařízení Evropského parlamentu a Rady (dále jako „nařízení o ochraně údajů“), které by mělo směrnici 95/46/ES nahradit. Navrhované nařízení o ochraně údajů by na základě čl. 4 odst. 3 směrnice 2002/58/ES zavedlo pro všechny správce povinnost oznamovat narušení bezpečnosti osobních údajů. Toto nařízení Komise je s tímto opatřením plně v souladu.
(20)
Navrhované nařízení o ochraně údajů v omezeném rozsahu rovněž provádí technické úpravy ve směrnici 2002/58/ES s ohledem na změnu směrnice 95/46/ES na nařízení. Podstatné právní důsledky nového nařízení pro směrnici 2002/58/ES budou předmětem přezkumu, který provede Komise.
(21)
Uplatňování tohoto nařízení by mělo být přezkoumáno tři roky po jeho vstupu v platnost a jeho obsah by měl být přezkoumán s ohledem na právní rámec, který bude v platnosti v uvedené době, včetně navrhovaného nařízení o ochraně údajů. Přezkum tohoto nařízení by měl v budoucnosti být, bude-li to možné, spojen s každým přezkumem směrnice 2002/58/ES.
(22)
Uplatňování tohoto nařízení může být posuzováno mimo jiné na základě statistických údajů, které příslušné vnitrostátní orgány vedou o narušeních bezpečnosti osobních údajů, o nichž byly informovány. Tyto statistiky mohou zahrnovat např. informace o počtu narušení bezpečnosti osobních údajů oznámených příslušnému vnitrostátnímu orgánu, počtu případů narušení bezpečnosti osobních údajů oznámených účastníkovi nebo jednotlivci, době potřebné na vyřešení narušení bezpečnosti osobních údajů, a informace o tom, zda byla přijata technická ochranná opatření. Tyto statistiky by měly poskytovat Komisi a členským státům konzistentní a srovnatelné statistické údaje a neměly by odhalovat totožnost oznamujícího poskytovatele ani dotčených účastníků nebo jednotlivců. Komise může za tímto účelem rovněž pořádat pravidelná setkání s příslušnými vnitrostátními orgány a jinými zúčastněnými stranami.
(23)
Opatření tohoto nařízení jsou v souladu se stanoviskem Komunikačního výboru,
PŘIJALA TOTO NAŘÍZENÍ:
Článek 1
Oblast působnosti
Toto nařízení se vztahuje na oznámení poskytovatelů veřejně dostupných služeb elektronických komunikací (dále jen „poskytovatel“) o narušení bezpečnosti osobních údajů.
Článek 2
Oznámení příslušnému vnitrostátnímu orgánu
1. Poskytovatel oznámí všechna narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu.
2. Poskytovatel oznámí narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu nejpozději 24 hodin po zjištění narušení bezpečnosti osobních údajů, pokud je to proveditelné.
Poskytovatel ve svém oznámení příslušnému vnitrostátnímu orgánu uvede informace stanovené v příloze I.
Za zjištění narušení bezpečnosti osobních údajů se považuje situace, kdy poskytovatel získal dostatečné informace o tom, že došlo k bezpečnostní události, která měla za následek narušení osobních údajů, aby podal opodstatněné oznámení podle tohoto nařízení.
3. Jestliže nejsou k dispozici všechny informace stanovené v příloze I a je nutné další vyšetřování narušení bezpečnosti osobních údajů, může poskytovatel podat první oznámení příslušnému vnitrostátnímu orgánu nejpozději do 24 hodin po zjištění narušení bezpečnosti osobních údajů. Toto první oznámení příslušnému vnitrostátnímu orgánu musí obsahovat informace stanovené v příloze I oddíle 1. Poskytovatel je povinen podat příslušnému vnitrostátnímu orgánu co nejdříve, nejpozději do tří dnů po prvním oznámení, druhé oznámení. Toto druhé oznámení obsahuje informace stanovené v příloze I oddíle 2 a v případě potřeby aktualizuje již poskytnuté údaje.
Jestliže poskytovatel ani po vyšetřování nemůže ve lhůtě tří dnů od prvního oznámení poskytnout všechny informace, oznámí všechny informace, které má v této lhůtě k dispozici a předloží příslušnému vnitrostátnímu orgánu odůvodnění, proč musí být zbývající informace oznámeny později. Poskytovatel co možná nejdříve oznámí zbývající informace příslušnému vnitrostátnímu orgánu a v případě potřeby aktualizuje již poskytnuté údaje.
4. Příslušný vnitrostátní orgán poskytne všem poskytovatelům usazeným v dotčeném členském státě bezpečný elektronický prostředek pro oznamování narušení bezpečnosti osobních údajů a informace o postupech přístupu k němu a jeho používání. V zájmu snazšího uplatňování tohoto ustanovení Komise podle potřeby pořádá pravidelná setkání s příslušnými vnitrostátními orgány.
5. V případě, že se narušení bezpečnosti osobních údajů týká účastníků nebo jednotlivců z jiných členských států, než je členský stát příslušného vnitrostátního orgánu, jemuž bylo narušení bezpečnosti osobních údajů oznámeno, příslušný vnitrostátní orgán informuje orgány ostatních dotčených členských států.
Pro usnadnění uplatňování tohoto ustanovení Komise vytvoří a povede seznam příslušných vnitrostátních orgánů a příslušných kontaktních míst.
Článek 3
Oznámení účastníkovi nebo jednotlivci
1. Pokud by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, musí poskytovatel kromě oznámení uvedeného v článku 2 toto porušení oznámit rovněž účastníkovi nebo jednotlivci.
2. Při posuzování, zda narušení bezpečnosti osobních údajů může mít nepříznivý vliv na osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno brát ohled zejména na tyto okolnosti:
a)
povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES, jakož i lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek, údaje týkající se elektronické pošty a podrobné údaje o uskutečněných voláních;
b)
pravděpodobné důsledky narušení bezpečnosti osobních údajů pro dotčeného účastníka nebo jednotlivce, zejména tehdy, kdy by porušení mohlo vést ke krádeži nebo zneužití, fyzické újmě, psychickému strádání, ponížení nebo poškození pověsti a
c)
okolnosti narušení bezpečnosti osobních údajů, zejména pokud byly údaje odcizeny nebo pokud je poskytovateli známo, že údaje jsou v držení neoprávněné třetí strany.
3. Oznámení účastníkovi nebo jednotlivci musí být učiněno bez zbytečného odkladu po zjištění narušení bezpečnosti osobních údajů v souladu s čl. 2 odst. 2 třetím pododstavcem. Nesmí záviset na oznámení o narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům podle článku 2.
4. Poskytovatel ve svém oznámení účastníkovi nebo jednotlivci uvede informace stanovené v příloze II. Oznámení účastníkovi nebo jednotlivci musí být jasné a srozumitelné. Poskytovatel nesmí využít oznámení jako příležitost k propagaci nebo nabídce nových či doplňkových služeb.
5. Ve výjimečných případech, kdy oznámení účastníkovi nebo jednotlivci může ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, má poskytovatel možnost po získání souhlasu příslušného vnitrostátního orgánu oznámení účastníkovi nebo jednotlivci pozdržet, dokud příslušný vnitrostátní orgán neusoudí, že je možné oznámit narušení bezpečnosti osobních údajů podle tohoto článku.
6. Poskytovatel oznámí účastníkovi nebo jednotlivci narušení bezpečnosti osobních údajů takovým způsobem, který umožňuje rychlé předání informací a který je podle nejnovějších poznatků náležitě zabezpečen. Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi.
7. Pokud poskytovatel, který je v přímém smluvním vztahu s koncovým uživatelem, ani přes vynaložené úsilí není schopen ve lhůtě uvedené v odstavci 3 určit všechny jednotlivce, kteří by narušením bezpečnosti osobních údajů mohli být nepříznivě ovlivněni, může v uvedené lhůtě tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích v příslušných členských státech. Uvedená oznámení musí obsahovat informace stanovené v příloze II, v případě potřeby ve stručné formě. V takovém případě poskytovatel pokračuje v úsilí vedoucím k identifikaci těchto jednotlivců a co nejdříve jim oznámí informace uvedené v příloze II.
Článek 4
Technická ochranná opatření
1. Odchylně od čl. 3 odst. 1 se oznámení o narušení bezpečnosti osobních údajů dotčenému účastníkovi nebo jednotlivci nevyžaduje, pokud poskytovatel ke spokojenosti příslušného vnitrostátního orgánu prokázal, že zavedl náležitá technická ochranná opatření a že tato opatření byla na údaje, jichž se narušení bezpečnosti týká, použita. Tato technická ochranná opatření zajistí, aby údaje nebyly srozumitelné pro nikoho, kdo není k přístupu k nim oprávněn.
2. Údaje se považují za nesrozumitelné, jestliže:
a)
byly bezpečně zašifrovány normalizovaným algoritmem, klíč použitý k dešifrování údajů nebyl žádným narušením bezpečnosti ohrožen a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu, nebo
b)
byly nahrazeny svou zahašovanou hodnotou vypočítanou pomocí normalizované kryptografické hašovací funkce s klíčem, klíč použitý k hašování údajů nebyl ohrožen žádným narušením bezpečnosti a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu.
3. Komise může po konzultaci s příslušnými vnitrostátními orgány prostřednictvím pracovní skupiny zřízené podle článku 29, Evropskou agenturou pro bezpečnost sítí a informací a evropským inspektorem ochrany údajů zveřejnit orientační seznam vhodných technických ochranných opatření uvedených v odstavci 1 v souladu s platnými postupy.
Článek 5
Použití jiného poskytovatele
Jestliže je jiný poskytovatel smluvně zavázán, aby poskytl část služeb elektronických komunikací, aniž by byl v přímém smluvním vztahu s účastníky, tento další poskytovatel v případě, že došlo k narušení bezpečnosti osobních údajů, okamžitě informuje smluvního poskytovatele.
Článek 6
Podávání zpráv a přezkum
Do tří let od vstupu tohoto nařízení v platnost Komise předloží zprávu o uplatňování tohoto nařízení, jeho účinnosti a dopadu na poskytovatele, účastníky a jednotlivce. Na základě uvedené zprávy Komise toto nařízení přezkoumá.
Článek 7
Vstup v platnost
Toto nařízení vstupuje v platnost dne 25. srpna 2013.
Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.
V Bruselu dne 24. června 2013.
KOMMISSIONENS FÖRORDNING (EU) nr 611/2013
av den 24 juni 2013
om åtgärder tillämpliga på anmälan av personuppgiftsbrott enligt Europaparlamentets och rådets direktiv 2002/58/EG vad gäller personlig integritet och elektronisk kommunikation
EUROPEISKA KOMMISSIONEN HAR ANTAGIT DENNA FÖRORDNING
med beaktande av fördraget om Europeiska unionens funktionssätt,
med beaktande av Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (1), särskilt artikel 4.5,
efter att ha samrått med Europeiska byrån för nät- och informationssäkerhet (Enisa),
efter att ha samrått med arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter, som inrättades genom artikel 29 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (2) (artikel 29-gruppen),
efter att ha samrått med Europeiska datatillsynsmannen, och
av följande skäl:
(1)
Genom direktiv 2002/58/EG möjliggörs en harmonisering av nationella bestämmelser för att säkerställa ett likvärdigt skydd av de grundläggande fri- och rättigheterna, i synnerhet rätten till personlig integritet och konfidentialitet, när det gäller behandling av personuppgifter inom sektorn för elektronisk kommunikation, samt för att säkerställa fri rörlighet för sådana uppgifter och för utrustning och tjänster avseende elektronisk kommunikation inom unionen.
(2)
Enligt artikel 4 i direktiv 2002/58/EG ska leverantören av en allmänt tillgänglig elektronisk kommunikationstjänst anmäla personuppgiftsbrott till den behöriga nationella myndigheten och i vissa fall även till berörda abonnenter och privatpersoner. Personuppgiftsbrott definieras i artikel 2 i i direktiv 2002/58/EG som ett brott mot säkerhetsbestämmelserna som leder till oavsiktlig eller olaglig utplåning, förlust, ändring, otillåtet avslöjande eller åtkomst av personuppgifter som överförs, lagras eller på annat sätt behandlas i samband med tillhandahållandet av allmänt tillgänglig elektronisk kommunikationstjänst inom unionen.
(3)
För att säkerställa ett konsekvent genomförande av de åtgärder som avses i 4.2-4.4 i direktiv 2002/58/EG får kommissionen enligt artikel 4.5 i samma direktiv anta tekniska genomförandeåtgärder avseende omständigheter, format och förfaranden som kan tillämpas för de informations- och anmälningskrav som avses i den artikeln.
(4)
Olika nationella krav i detta hänseende kan leda till rättsosäkerhet, mer komplicerade och betungande förfaranden och betydande administrativa kostnader för leverantörer med gränsöverskridande verksamhet. Kommissionen anser därför att sådana tekniska genomförandeåtgärder bör antas.
(5)
Denna förordning är begränsad till anmälan av personuppgiftsbrott och omfattar därför inte några tekniska genomförandeåtgärder avseende artikel 4.2 i direktiv 2002/58/EG vad gäller information till abonnenterna om det föreligger särskilda risker för brott mot nätsäkerheten.
(6)
Av artikel 4.3 första stycket i direktiv 2002/58/EG framgår att leverantören ska anmäla alla personuppgiftsbrott till den behöriga nationella myndigheten. Leverantören bör därför inte själv få avgöra om den behöriga nationella myndigheten ska underrättas. Detta bör dock inte hindra den berörda behöriga nationella myndigheten från att prioritera undersökning av vissa brott på lämpligt sätt i enlighet med tillämplig lagstiftning och vidta åtgärder som är nödvändiga för att undvika över- eller underrapportering av personuppgiftsbrott.
(7)
Det är lämpligt att införa ett system för anmälan av personuppgiftsbrott till den behöriga nationella myndigheten som består, om vissa villkor är uppfyllda, av olika steg med tidsgränser för vart och ett av stegen. Systemet är tänkt att garantera att den behöriga nationella myndigheten informeras så tidigt och fullständigt som möjligt, dock utan att hindra leverantören från att utreda brottet och vidta nödvändiga åtgärder för att begränsa brottet och åtgärda följderna av det.
(8)
Det räcker varken med enbart en misstanke om att personuppgiftsbrott inträffat eller med enbart ett avslöjande av en incident utan att det finns tillräcklig information, trots att en leverantör gör sitt bästa för att få fram sådan information, för att det ska anses att ett personuppgiftsbrott har upptäckts i enlighet med denna förordning. Särskild hänsyn bör tas till tillgängligheten i fråga om den information som avses i bilaga I.
(9)
Vid tillämpning av denna förordning bör de berörda behöriga nationella myndigheterna samarbeta om personuppgiftsbrottet har gränsöverskridande inslag.
(10)
Denna förordning innehåller inga ytterligare specifikationer av förteckningar över personuppgiftsbrott som leverantörer ska föra, eftersom artikel 4 i direktiv 2002/58/EG ger en uttömmande beskrivning av förteckningarnas innehåll. Leverantörer kan dock hänvisa till denna förordning för att fastställa förteckningens format.
(11)
Alla behöriga nationella myndigheter bör tillhandahålla ett säkert sätt för leverantörerna att på elektronisk väg anmäla personuppgiftsbrott i ett gemensamt format, baserat på en standard som t.ex. XML, som innehåller alla uppgifter som anges i bilaga I på de berörda språken, så att alla leverantörer inom unionen kan använda ett likadant anmälningsförfarande oavsett var de är lokaliserade eller var personuppgiftsbrottet inträffat. I det sammanhanget bör kommissionen underlätta genomförandet av säkra sätt att på elektronisk väg anmäla personuppgiftsbrott genom att sammankalla möten med de behöriga nationella myndigheterna när det är nödvändigt.
(12)
Vid bedömning av om ett personuppgiftsbrott kan antas inverka menligt på en abonnents eller en enskild persons personuppgifter eller integritet ska hänsyn i synnerhet tas till de berörda personuppgifternas art och innehåll, särskilt om uppgifterna rör finansiell information avseende t.ex. kreditkort och bankkonton, särskilda kategorier av uppgifter enligt artikel 8.1 i direktiv 95/46/EG och vissa uppgifter som specifikt rör tillhandahållandet av teletjänster eller internettjänster, dvs. e-post, lokaliseringsuppgifter, internetloggar, webbläsarhistorik och specificerade samtalslistor.
(13)
Leverantören bör ha rätt att under exceptionella omständigheter skjuta upp anmälan till abonnenten eller privatpersonen, om en sådan anmälan kan medföra att en korrekt utredning av personuppgiftsbrottet äventyras. I detta sammanhang kan exceptionella omständigheter inbegripa brottsutredningar samt andra personuppgiftsbrott som inte innebär ett allvarligt brott och för vilka det kan vara lämpligt att skjuta upp anmälan. Det bör dock alltid vara den behöriga nationella myndigheten som i varje enskilt fall och mot bakgrund av omständigheterna bedömer om uppskjutandet godkänns eller en anmälan krävs.
(14)
Leverantörerna bör ha kontaktuppgifter för sina abonnenter med tanke på direkta kontraktsförhållande, men sådana uppgifter finns kanske inte nödvändigtvis för andra enskilda personer på vilka personuppgiftsbrottet inverkar menligt. I sådana fall bör leverantören ha rätt att först underrätta dessa privatpersoner genom annonser i större nationella eller regionala medier, som tidningar, vilket snarast möjligt bör följas upp med en individuell anmälan i enlighet med denna förordning. Detta innebär att leverantören i sig inte är skyldig att ge underrättelser via medier, utan snarare kan välja att sköta underrättelsen på det viset under tiden som den hittar alla privatpersoner som berörs.
(15)
Informationen om personuppgiftsbrottet bör endast behandla själva brottet och inte kopplas till information om andra ämnen. Information om ett personuppgiftsbrott som lämnas på en vanlig faktura bör t.ex. inte anses som ett lämpligt sätt att anmäla ett personuppgiftsbrott.
(16)
Denna förordning omfattar inte några särskilda tekniska skyddsåtgärder som motiverar undantag från skyldigheten att anmäla personuppgiftsbrott till abonnenter eller enskilda personer, eftersom sådana kan ändras i takt med den tekniska utvecklingen. Kommissionen bör dock offentliggöra en vägledande förteckning över sådana särskilda tekniska skyddsåtgärder i enlighet med rådande praxis.
(17)
Det bör inte anses tillräckligt med införande av kryptering eller hashteknik för att leverantörer generellt ska kunna hävda att de har uppfyllt de allmänna säkerhetskraven enligt artikel 17 i direktiv 95/46/EG. I detta hänseende bör leverantörerna också vidta lämpliga organisatoriska och tekniska åtgärder för att förebygga, avslöja och stoppa personuppgiftsbrott. Leverantörer bör analysera de eventuella risker som kvarstår efter att kontrollerna har genomförts för att förstå var personuppgiftsbrott skulle kunna inträffa.
(18)
Om leverantörer använder en annan leverantör för att utföra delar av tjänsten, till exempel när det gäller fakturering eller förvaltningsuppgifter, bör denna andra leverantör, som inte har något direkt kontraktsförhållande med slutanvändaren, inte vara skyldig att utfärda anmälningar i fråga om personuppgiftsbrott. Den bör i stället varsko och informera leverantören med vilken den har ett direkt kontraktsförhållande. Det bör även gälla i fråga om tillhandahållande av elektroniska kommunikationstjänster i grossistledet, när vanligtvis leverantören i grossistledet inte har något direkt kontraktsförhållande med slutanvändaren.
(19)
Direktiv 95/46/EG fastställer en allmän ram för skydd av personuppgifter i Europeiska unionen. Kommissionen har lagt fram ett förslag till Europaparlamentets och rådets förordning som ska ersätta direktiv 95/46/EG (förordningen om dataskydd). Genom den föreslagna förordningen om dataskydd skulle det införas en skyldighet för alla registeransvariga att anmäla personuppgiftsbrott, med artikel 4.3 i direktiv 2002/58/EG som underlag. Dagens kommissionsförordning är helt och hållet förenlig med denna åtgärd.
(20)
Den föreslagna förordningen om dataskydd innehåller också ett begränsat antal tekniska justeringar av direktiv 2002/58/EG för att ta hänsyn till att direktiv 95/46/EG omvandlas till en förordning. Den nya förordningens materiella rättsliga konsekvenser för direktiv 2002/58/EG kommer att granskas av kommissionen.
(21)
Tillämpningen av denna förordning bör ses över tre år efter det att den träder i kraft, och dess innehåll ses över mot bakgrund av det rättsliga ramverk som gäller vid den tidpunkten, inklusive den föreslagna förordningen om dataskydd. Översynen av denna förordning bör om det är möjligt kopplas till eventuella kommande översyner av direktiv 2002/58/EG.
(22)
Tillämpningen av denna förordning kan bedömas på grundval av bland annat statistik från behöriga nationella myndigheter om de personuppgiftsbrott som anmäls till dem. Sådan statistik kan bland annat omfatta uppgifter om antal personuppgiftsbrott som anmälts till den behöriga nationella myndigheten, antal personuppgiftsbrott som anmälts till abonnenter eller enskilda personer, den tid som det tagit att åtgärda personuppgiftsbrottet och huruvida tekniska skyddsåtgärder vidtagits. Genom denna statistik bör kommissionen och medlemsstaterna få enhetliga och jämförbara statistiska uppgifter. Uppgifterna ska varken avslöja identiteten på den leverantör som gör anmälan eller på inblandade abonnenter eller enskilda personer. Kommissionen kan också genomföra regelbundna möten med behöriga nationella myndigheter och andra berörda intressenter.
(23)
De åtgärder som föreskrivs i denna förordning är förenliga med yttrandet från kommunikationskommittén.
HÄRIGENOM FÖRESKRIVS FÖLJANDE.
Artikel 1
Tillämpningsområde
Denna förordning ska tillämpas på anmälningar av personuppgiftsbrott som görs av leverantörer av allmänt tillgängliga elektroniska kommunikationstjänster (nedan kallad leverantören).
Artikel 2
Anmälan till den behöriga nationella myndigheten
1. Leverantören ska anmäla alla personuppgiftsbrott till den behöriga nationella myndigheten.
2. Leverantören ska anmäla personuppgiftsbrottet till den behöriga nationella myndigheten senast 24 timmar efter att personuppgiftsbrottet upptäckts, där så är möjligt.
Leverantören ska i sin anmälan till den behöriga nationella myndigheten inkludera de uppgifter som anges i bilaga I.
Personuppgiftsbrott ska anses ha upptäckts om leverantören har varit tillräckligt medveten om att en säkerhetsincident har inträffat som ledde till att personuppgifter äventyrats, för att göra en anmälan i enlighet med denna förordning.
3. Om inte alla uppgifter som anges i bilaga I finns tillgängliga och ytterligare utredning av personuppgiftsbrottet krävs ska leverantören ha rätt att göra en inledande anmälan till den behöriga myndigheten senast 24 timmar efter att personuppgiftsbrottet upptäckts. Denna inledande anmälan till den behöriga nationella myndigheten ska innehålla de uppgifter som anges i avsnitt 1 i bilaga I. Leverantören bör göra en andra anmälan till den behöriga nationella myndigheten så snart som möjligt och inom tre dagar från den inledande anmälan. Denna andra anmälan bör innehålla de uppgifter som anges i avsnitt 2 i bilaga I och, om det är nödvändigt, en uppdatering av redan lämnade uppgifter.
Om leverantören, trots sin utredning, inte kan tillhandahålla alla uppgifter inom tre dagar från den ursprungliga anmälan ska leverantören lämna så många uppgifter som den förfogar över inom den tidsfristen och till den behöriga myndigheten lämna en välgrundad motivering till den sena anmälan av de återstående uppgifterna. Leverantören ska snarast möjligt lämna de återstående uppgifterna till den behöriga myndigheten och, om det är nödvändigt, snarast möjligt uppdatera redan lämnade uppgifter.
4. Den behöriga nationella myndigheten ska för alla leverantörer som är etablerade i den berörda medlemsstaten tillhandahålla ett säkert sätt att på elektronisk väg anmäla personuppgiftsbrott samt information om förfarandena för åtkomst och användning. Om det är nödvändigt ska kommissionen sammankalla möten med behöriga nationella myndigheter för att underlätta tillämpningen av denna bestämmelse.
5. När personuppgiftsbrott påverkar abonnenter och enskilda personer från andra medlemsstater än den medlemsstat där personuppgiftsbrottet anmälts till den behöriga nationella myndigheten, ska den behöriga nationella myndigheten underrätta de andra nationella myndigheter som berörs.
För att underlätta tillämpningen av denna bestämmelse, ska kommissionen upprätta en förteckning över de behöriga nationella myndigheterna och lämpliga kontaktpunkter samt hålla den aktuell.
Artikel 3
Anmälan till abonnent eller enskild person
1. Om personuppgiftsbrottet kan antas inverka menligt på en abonnents eller en enskild persons personuppgifter eller integritet ska leverantören, utöver anmälan enligt artikel 2, också underrätta abonnenten eller den enskilda personen om personuppgiftsbrottet.
2. När det ska fastställas om ett personuppgiftsbrott kan antas inverka menligt på en abonnents eller enskild persons personuppgifter eller integritet ska i synnerhet följande omständigheter beaktas:
a)
De berörda personuppgifternas art och innehåll, i synnerhet när de avser finansiell information, särskilda kategorier av uppgifter enligt artikel 8.1 i direktiv 95/46/EG samt lokaliseringsdata, internetloggar, webbläsarhistorik, uppgifter om e-post och specificerade samtalslistor.
b)
Personuppgiftsbrottets troliga konsekvenser för den berörda abonnenten eller enskilda personen, i synnerhet om brottet skulle kunna medföra identitetsstöld eller bedrägeri, fysisk skada, psykiska men, förödmjukelse eller skadat rykte.
c)
Omständigheterna för personuppgiftsbrottet, i synnerhet om uppgifterna har stulits eller om leverantören vet att uppgifterna finns hos en obehörig tredje part.
3. Anmälan till abonnenten eller den enskilda personen ska göras utan onödigt dröjsmål efter att personuppgiftsbrottet avslöjats i enlighet med artikel 2.2 tredje stycket. Detta ska inte vara beroende av den anmälan av personuppgiftsbrottet till den behöriga nationella myndighet som avses i artikel 2.
4. Leverantören ska i sin anmälan till den behöriga nationella myndigheten inkludera de uppgifter som anges i bilaga II. Anmälan till abonnenten eller den enskilda personen ska formuleras tydligt och lättbegripligt. Leverantören ska inte utnyttja anmälan som en möjlighet att marknadsföra eller annonsera om nya eller kompletterande tjänster.
5. I exceptionella fall, om anmälan till abonnenten eller den enskilda personen kan äventyra en korrekt utredning av personuppgiftsbrottet, ska leverantören ha rätt att, efter godkännande av den behöriga nationella myndigheten, skjuta upp anmälan till abonnenten eller den enskilda personen tills den behöriga nationella myndigheten anser att det är möjligt att anmäla personuppgiftsbrottet i enlighet med denna artikel.
6. Leverantören ska till abonnenten eller den enskilda personen anmäla personuppgiftsbrottet genom kommunikation som säkerställer att informationen snabbt kan mottas och som på lämpligt sätt är säkrad enligt den senaste tekniken. Informationen om personuppgiftsbrottet ska enbart omfatta uppgifter om detta brott och inte innehålla uppgifter om något annat ämne.
7. Om den leverantör som har ett direkt kontraktsförhållande med slutanvändaren, trots rimliga ansträngningar inte inom den tidsfrist som anges i punkt 3 kan identifiera alla enskilda personer på vilka personuppgiftsbrottet kan tänkas inverka menligt, får leverantören underrätta dessa enskilda personer genom annonser i större nationella eller regionala medier i de relevanta medlemsstaterna inom den tidsfristen. Dessa annonser ska innehålla de uppgifter som anges i bilaga II, om nödvändigt i förkortad form. I sådana fall ska leverantören fortsätta att göra alla rimliga ansträngningar för att identifiera dessa enskilda personer och snarast möjligt meddela dem de uppgifter som anges i bilaga II.
Artikel 4
Tekniska skyddsåtgärder
1. Med avvikelse från artikel 3.1 ska det inte vara ett krav att anmäla personuppgiftsbrottet till den berörda abonnenten eller enskilda personen om leverantören på ett tillfredsställande sätt har visat den behöriga nationella myndigheten att den har vidtagit lämpliga tekniska skyddsåtgärder och att dessa åtgärder tillämpats på de uppgifter som berördes av säkerhetsöverträdelsen. Sådana tekniska skyddsåtgärder ska göra data oläsbara för alla personer som inte är behöriga att få tillgång till uppgifterna.
2. Data ska anses oläsbara om
a)
de har krypterats säkert med en standardiserad algoritm, den nyckel som används för att dekryptera data inte har äventyrats genom någon säkerhetsöverträdelse och den nyckel som används för att dekryptera data har genererats på ett sådant sätt att den inte kan utrönas med tillgängliga tekniska metoder av en person som är obehörig att använda nyckeln, eller
b)
de har ersatts med sina hashvärden beräknade med en standardiserad kryptografisk hashfunktion med nyckel, den nyckel som används för kondensat av data har inte äventyrats genom någon säkerhetsöverträdelse och den nyckel som används för kondenseringen har genererats så att den inte kan utrönas med tillgängliga tekniska metoder av en person som är obehörig att använda nyckeln.
3. Kommissionen får efter samråd med de behöriga nationella myndigheterna via artikel 29-gruppen, Europeiska byrån för nät- och informationssäkerhet och Europeiska datatillsynsmannen offentliggöra en vägledande förteckning över lämpliga tekniska skyddsåtgärder enligt punkt 1, i enlighet med rådande praxis.
Artikel 5
Användning av en annan leverantör
Om en annan leverantör har kontrakterats för att leverera en del av de elektroniska kommunikationstjänsterna utan att ha ett direkt kontraktsförhållande med abonnenter ska denna andra leverantör omedelbart informera den leverantör som har tillhandahållit kontraktet i händelse av personuppgiftsbrott.
Artikel 6
Rapportering och översyn
Inom tre år efter ikraftträdandet av denna förordning ska kommissionen lägga fram en rapport om tillämpningen av denna förordning, hur effektiv den varit samt hur den påverkat leverantörer, abonnenter och enskilda personer. Med den rapporten som underlag ska kommissionen se över denna förordning.
Artikel 7
Ikraftträdande
Denna förordning träder i kraft den 25 augusti 2013.
Denna förordning är till alla delar bindande och direkt tillämplig i alla medlemsstater.
Utfärdad i Bryssel den 24 juni 2013.