NAŘÍZENÍ KOMISE (EU) č. 611/2013
ze dne 24. června 2013
o opatřeních vztahujících se na oznámení o narušení bezpečnosti osobních údajů podle směrnice Evropského parlamentu a Rady 2002/58/ES o soukromí a elektronických komunikacích
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (Směrnice o soukromí a elektronických komunikacích) (1), a zejména na čl. 4 odst. 5 uvedené směrnice,
po konzultaci s Evropskou agenturou pro bezpečnost sítí a informací (ENISA),
po konzultaci s pracovní skupinou pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízenou článkem 29 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (2) (dále jen „pracovní skupina zřízená podle článku 29“),
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
Směrnice 2002/58/ES harmonizuje předpisy členských států požadované pro zajištění rovnocenné úrovně ochrany základních práv a svobod, zejména práva na soukromí a zachování důvěrnosti informací, se zřetelem na zpracování osobních údajů v odvětví elektronických komunikací, a pro zajištění volného pohybu těchto údajů a elektronických komunikačních zařízení a služeb v Unii.
(2)
Podle článku 4 směrnice 2002/58/ES jsou poskytovatelé veřejně dostupných služeb elektronických komunikací povinni oznámit narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům a v některých případech také dotčeným účastníkům a jednotlivcům. Narušení bezpečnosti osobních údajů je definováno v čl. 2 písm. i) směrnice 2002/58/ES jako narušení bezpečnosti, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně či neoprávněnému vyzrazení nebo zpřístupnění osobních údajů přenášených, uchovávaných nebo jinak zpracovávaných v souvislosti s poskytováním veřejně dostupné služby elektronických komunikací v Unii.
(3)
Pro zajištění důsledného provádění opatření uvedených v čl. 4 odst. 2, 3 a 4 směrnice 2002/58/ES se v čl. 4 odst. 5 uvedeného nařízení Komise zmocňuje k přijetí technických prováděcích opatření týkajících se okolností, formátu a postupů, jež se vztahují na požadavky informování a oznamování podle uvedeného článku.
(4)
Rozdílné požadavky členských států v tomto ohledu mohou vést k právní nejistotě, složitějším a zdlouhavějším postupům a značným administrativním nákladům poskytovatelů, kteří působí v přeshraničním styku. Komise proto zastává názor, že je nutné přijmout tato technická prováděcí opatření.
(5)
Toto nařízení se omezuje na oznámení o narušení bezpečnosti osobních údajů, a proto nestanoví technická prováděcí opatření týkající se čl. 4 odst. 2 směrnice 2002/58/ES o informování účastníků v případě zvláštního rizika narušení bezpečnosti sítě.
(6)
Z čl. 4 odst. 3 prvního pododstavce směrnice 2002/58/ES vyplývá, že poskytovatelé by měli oznámit příslušnému vnitrostátnímu orgánu všechny případy narušení bezpečnosti osobních údajů. Rozhodnutí, zda je či není třeba oznámit narušení příslušnému vnitrostátnímu orgánu, by proto nemělo být ponecháno na vůli poskytovatele. To by však nemělo bránit příslušnému vnitrostátnímu orgánu, aby v souladu s platnými právními předpisy nepřistoupil k vyšetřování některých narušení přednostně podle jejich důležitosti a nepodnikl kroky nezbytné k tomu, aby se zabránilo přílišnému nebo nedostatečnému hlášení o narušení bezpečnosti osobních údajů.
(7)
Je třeba stanovit systém pro oznamování narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu, který by za splnění některých podmínek sestával z různých etap, pro něž by platily konkrétní lhůty. Systém by měl zajistit, aby příslušný vnitrostátní orgán byl informován co nejdříve a co nejúplněji, aniž by se tím neodůvodněně bránilo poskytovateli ve snaze narušení vyšetřit a přijmout nezbytná opatření k jeho omezení a nápravě důsledků.
(8)
Pouhé podezření, že došlo k narušení bezpečnosti osobních údajů, ani pouhé zjištění události bez dostatečných informací, které se ani přes největší úsilí nepodařilo poskytovateli získat, nepostačuje pro účely tohoto nařízení k tomu, aby bylo možné konstatovat, že došlo k odhalení narušení bezpečnosti osobních údajů. Zvláštní ohled je v této souvislosti třeba věnovat dostupnosti informací uvedených v příloze I.
(9)
V souvislosti s uplatňováním tohoto nařízení by v případech narušení bezpečnosti osobních údajů s přeshraničním rozměrem měly příslušné vnitrostátní orgány mezi sebou spolupracovat.
(10)
Toto nařízení nestanoví žádné upřesnění přehledu narušení bezpečnosti osobních údajů, které mají provozovatelé vést, protože v článku 4 směrnice 2002/58/ES je jeho obsah stanoven vyčerpávajícím způsobem. Poskytovatelé však při určování formátu přehledu mohou použít odkaz na toto nařízení.
(11)
Všechny příslušné vnitrostátní orgány by měly poskytovatelům zpřístupnit bezpečné elektronické prostředky umožňující oznamovat narušení bezpečnosti osobních údajů ve společném formátu, a to na základě normy, jako je např. XML, který bude obsahovat údaje stanovené v příloze I v příslušných jazycích tak, aby všichni poskytovatelé v rámci Unie mohli používat obdobný postup oznamování bez ohledu na to, kde se nacházejí nebo kde došlo k narušení bezpečnosti osobních údajů. V této souvislosti by Komise podle potřeby měla usnadnit zavádění bezpečných elektronických prostředků pořádáním setkání s příslušnými vnitrostátními orgány.
(12)
Při posuzování, zda by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno vzít v úvahu zejména povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, jako jsou např. údaje o kreditní kartě nebo bankovním účtu, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES a některé údaje, které se konkrétně týkají poskytování telefonních a internetových služeb, tj. údaje o elektronické poště, lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek a podrobné rozpisy uskutečněných volání.
(13)
Za výjimečných okolností, jestliže by oznámení účastníkovi nebo jednotlivci mohlo ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, by poskytovatel měl mít možnost oznámení účastníkovi nebo jednotlivci pozdržet. V tomto ohledu mohou výjimečné okolnosti zahrnovat trestní vyšetřování, jakož i další narušení bezpečnosti osobních údajů, která nelze považovat za závažnou trestnou činnost, kvůli nimž však může být vhodné oznámení odložit. Příslušný vnitrostátní orgán by za všech okolností měl v každém jednotlivém případě a s ohledem na okolnosti posoudit, zda se oznámení odloží, nebo zda bude vyžadováno.
(14)
Zatímco poskytovatelé by díky přímému smluvnímu vztahu měli mít kontaktní údaje svých účastníků, o ostatních jednotlivcích nepříznivě ovlivněných narušením bezpečnosti osobních údajů tyto informace mít nemusí. V takovém případě by poskytovatel měl mít možnost nejprve tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích, např. v novinách, a následně jim tuto skutečnost co nejdříve oznámit jednotlivě, jak je stanoveno v tomto nařízení. Poskytovatel jako takový tedy není povinen zveřejnit informace v médiích, ale je oprávněn postupovat případně tímto způsobem, pokud stále ještě probíhá zjišťování totožnosti ovlivněných jednotlivců.
(15)
Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi. Za přiměřený prostředek oznámení o narušení bezpečnosti osobních údajů by například nemělo být považováno uvedení informace o narušení bezpečnosti osobních údajů v běžné faktuře.
(16)
Toto nařízení nestanoví žádná zvláštní technická ochranná opatření, která odůvodňují odchylku od povinnosti oznamovat narušení bezpečnosti osobních údajů účastníkům nebo jednotlivcům, neboť ta se mohou v důsledku technologického pokroku v průběhu času měnit. Komise by však měla mít možnost zveřejnit orientační seznam těchto zvláštních technických ochranných opatření v souladu s platnými postupy.
(17)
Kódování nebo hašování nelze samo o sobě považovat za dostatečný způsob ochrany, který by poskytovatelům obecně umožňoval tvrdit, že splnili všechny všeobecné bezpečnostní povinnosti stanovené v článku 17 směrnice 95/46/ES. V tomto ohledu by poskytovatelé měli také provádět vhodná organizační a technická opatření na prevenci, odhalování a zamezení narušení bezpečnosti osobních údajů. Poskytovatelé by měli zvážit veškerá rizika, která mohou přetrvávat po provedení kontrol, aby bylo možné rozpoznat, kde může dojít k narušení bezpečnosti osobních údajů.
(18)
Pokud provozovatel k poskytování služeb částečně používá jiného poskytovatele, např. pro účely účtování nebo řízení, tento jiný poskytovatel, který není v přímém smluvním vztahu s koncovým uživatelem, by neměl mít povinnost v případě narušení bezpečnosti osobních údajů podávat oznámení. Místo toho by měl uvědomit a informovat poskytovatele, s nímž má přímý smluvní vztah. To by mělo platit i v souvislosti s velkoobchodním poskytováním služeb elektronických komunikací, kde obvykle velkoobchodní poskytovatel není v přímém smluvním vztahu s koncovým uživatelem.
(19)
Směrnice 95/46/ES vymezuje obecný rámec pro ochranu osobních údajů v Evropské unii. Komise předložila návrh nařízení Evropského parlamentu a Rady (dále jako „nařízení o ochraně údajů“), které by mělo směrnici 95/46/ES nahradit. Navrhované nařízení o ochraně údajů by na základě čl. 4 odst. 3 směrnice 2002/58/ES zavedlo pro všechny správce povinnost oznamovat narušení bezpečnosti osobních údajů. Toto nařízení Komise je s tímto opatřením plně v souladu.
(20)
Navrhované nařízení o ochraně údajů v omezeném rozsahu rovněž provádí technické úpravy ve směrnici 2002/58/ES s ohledem na změnu směrnice 95/46/ES na nařízení. Podstatné právní důsledky nového nařízení pro směrnici 2002/58/ES budou předmětem přezkumu, který provede Komise.
(21)
Uplatňování tohoto nařízení by mělo být přezkoumáno tři roky po jeho vstupu v platnost a jeho obsah by měl být přezkoumán s ohledem na právní rámec, který bude v platnosti v uvedené době, včetně navrhovaného nařízení o ochraně údajů. Přezkum tohoto nařízení by měl v budoucnosti být, bude-li to možné, spojen s každým přezkumem směrnice 2002/58/ES.
(22)
Uplatňování tohoto nařízení může být posuzováno mimo jiné na základě statistických údajů, které příslušné vnitrostátní orgány vedou o narušeních bezpečnosti osobních údajů, o nichž byly informovány. Tyto statistiky mohou zahrnovat např. informace o počtu narušení bezpečnosti osobních údajů oznámených příslušnému vnitrostátnímu orgánu, počtu případů narušení bezpečnosti osobních údajů oznámených účastníkovi nebo jednotlivci, době potřebné na vyřešení narušení bezpečnosti osobních údajů, a informace o tom, zda byla přijata technická ochranná opatření. Tyto statistiky by měly poskytovat Komisi a členským státům konzistentní a srovnatelné statistické údaje a neměly by odhalovat totožnost oznamujícího poskytovatele ani dotčených účastníků nebo jednotlivců. Komise může za tímto účelem rovněž pořádat pravidelná setkání s příslušnými vnitrostátními orgány a jinými zúčastněnými stranami.
(23)
Opatření tohoto nařízení jsou v souladu se stanoviskem Komunikačního výboru,
PŘIJALA TOTO NAŘÍZENÍ:
Článek 1
Oblast působnosti
Toto nařízení se vztahuje na oznámení poskytovatelů veřejně dostupných služeb elektronických komunikací (dále jen „poskytovatel“) o narušení bezpečnosti osobních údajů.
Článek 2
Oznámení příslušnému vnitrostátnímu orgánu
1. Poskytovatel oznámí všechna narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu.
2. Poskytovatel oznámí narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu nejpozději 24 hodin po zjištění narušení bezpečnosti osobních údajů, pokud je to proveditelné.
Poskytovatel ve svém oznámení příslušnému vnitrostátnímu orgánu uvede informace stanovené v příloze I.
Za zjištění narušení bezpečnosti osobních údajů se považuje situace, kdy poskytovatel získal dostatečné informace o tom, že došlo k bezpečnostní události, která měla za následek narušení osobních údajů, aby podal opodstatněné oznámení podle tohoto nařízení.
3. Jestliže nejsou k dispozici všechny informace stanovené v příloze I a je nutné další vyšetřování narušení bezpečnosti osobních údajů, může poskytovatel podat první oznámení příslušnému vnitrostátnímu orgánu nejpozději do 24 hodin po zjištění narušení bezpečnosti osobních údajů. Toto první oznámení příslušnému vnitrostátnímu orgánu musí obsahovat informace stanovené v příloze I oddíle 1. Poskytovatel je povinen podat příslušnému vnitrostátnímu orgánu co nejdříve, nejpozději do tří dnů po prvním oznámení, druhé oznámení. Toto druhé oznámení obsahuje informace stanovené v příloze I oddíle 2 a v případě potřeby aktualizuje již poskytnuté údaje.
Jestliže poskytovatel ani po vyšetřování nemůže ve lhůtě tří dnů od prvního oznámení poskytnout všechny informace, oznámí všechny informace, které má v této lhůtě k dispozici a předloží příslušnému vnitrostátnímu orgánu odůvodnění, proč musí být zbývající informace oznámeny později. Poskytovatel co možná nejdříve oznámí zbývající informace příslušnému vnitrostátnímu orgánu a v případě potřeby aktualizuje již poskytnuté údaje.
4. Příslušný vnitrostátní orgán poskytne všem poskytovatelům usazeným v dotčeném členském státě bezpečný elektronický prostředek pro oznamování narušení bezpečnosti osobních údajů a informace o postupech přístupu k němu a jeho používání. V zájmu snazšího uplatňování tohoto ustanovení Komise podle potřeby pořádá pravidelná setkání s příslušnými vnitrostátními orgány.
5. V případě, že se narušení bezpečnosti osobních údajů týká účastníků nebo jednotlivců z jiných členských států, než je členský stát příslušného vnitrostátního orgánu, jemuž bylo narušení bezpečnosti osobních údajů oznámeno, příslušný vnitrostátní orgán informuje orgány ostatních dotčených členských států.
Pro usnadnění uplatňování tohoto ustanovení Komise vytvoří a povede seznam příslušných vnitrostátních orgánů a příslušných kontaktních míst.
Článek 3
Oznámení účastníkovi nebo jednotlivci
1. Pokud by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, musí poskytovatel kromě oznámení uvedeného v článku 2 toto porušení oznámit rovněž účastníkovi nebo jednotlivci.
2. Při posuzování, zda narušení bezpečnosti osobních údajů může mít nepříznivý vliv na osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno brát ohled zejména na tyto okolnosti:
a)
povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES, jakož i lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek, údaje týkající se elektronické pošty a podrobné údaje o uskutečněných voláních;
b)
pravděpodobné důsledky narušení bezpečnosti osobních údajů pro dotčeného účastníka nebo jednotlivce, zejména tehdy, kdy by porušení mohlo vést ke krádeži nebo zneužití, fyzické újmě, psychickému strádání, ponížení nebo poškození pověsti a
c)
okolnosti narušení bezpečnosti osobních údajů, zejména pokud byly údaje odcizeny nebo pokud je poskytovateli známo, že údaje jsou v držení neoprávněné třetí strany.
3. Oznámení účastníkovi nebo jednotlivci musí být učiněno bez zbytečného odkladu po zjištění narušení bezpečnosti osobních údajů v souladu s čl. 2 odst. 2 třetím pododstavcem. Nesmí záviset na oznámení o narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům podle článku 2.
4. Poskytovatel ve svém oznámení účastníkovi nebo jednotlivci uvede informace stanovené v příloze II. Oznámení účastníkovi nebo jednotlivci musí být jasné a srozumitelné. Poskytovatel nesmí využít oznámení jako příležitost k propagaci nebo nabídce nových či doplňkových služeb.
5. Ve výjimečných případech, kdy oznámení účastníkovi nebo jednotlivci může ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, má poskytovatel možnost po získání souhlasu příslušného vnitrostátního orgánu oznámení účastníkovi nebo jednotlivci pozdržet, dokud příslušný vnitrostátní orgán neusoudí, že je možné oznámit narušení bezpečnosti osobních údajů podle tohoto článku.
6. Poskytovatel oznámí účastníkovi nebo jednotlivci narušení bezpečnosti osobních údajů takovým způsobem, který umožňuje rychlé předání informací a který je podle nejnovějších poznatků náležitě zabezpečen. Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi.
7. Pokud poskytovatel, který je v přímém smluvním vztahu s koncovým uživatelem, ani přes vynaložené úsilí není schopen ve lhůtě uvedené v odstavci 3 určit všechny jednotlivce, kteří by narušením bezpečnosti osobních údajů mohli být nepříznivě ovlivněni, může v uvedené lhůtě tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích v příslušných členských státech. Uvedená oznámení musí obsahovat informace stanovené v příloze II, v případě potřeby ve stručné formě. V takovém případě poskytovatel pokračuje v úsilí vedoucím k identifikaci těchto jednotlivců a co nejdříve jim oznámí informace uvedené v příloze II.
Článek 4
Technická ochranná opatření
1. Odchylně od čl. 3 odst. 1 se oznámení o narušení bezpečnosti osobních údajů dotčenému účastníkovi nebo jednotlivci nevyžaduje, pokud poskytovatel ke spokojenosti příslušného vnitrostátního orgánu prokázal, že zavedl náležitá technická ochranná opatření a že tato opatření byla na údaje, jichž se narušení bezpečnosti týká, použita. Tato technická ochranná opatření zajistí, aby údaje nebyly srozumitelné pro nikoho, kdo není k přístupu k nim oprávněn.
2. Údaje se považují za nesrozumitelné, jestliže:
a)
byly bezpečně zašifrovány normalizovaným algoritmem, klíč použitý k dešifrování údajů nebyl žádným narušením bezpečnosti ohrožen a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu, nebo
b)
byly nahrazeny svou zahašovanou hodnotou vypočítanou pomocí normalizované kryptografické hašovací funkce s klíčem, klíč použitý k hašování údajů nebyl ohrožen žádným narušením bezpečnosti a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu.
3. Komise může po konzultaci s příslušnými vnitrostátními orgány prostřednictvím pracovní skupiny zřízené podle článku 29, Evropskou agenturou pro bezpečnost sítí a informací a evropským inspektorem ochrany údajů zveřejnit orientační seznam vhodných technických ochranných opatření uvedených v odstavci 1 v souladu s platnými postupy.
Článek 5
Použití jiného poskytovatele
Jestliže je jiný poskytovatel smluvně zavázán, aby poskytl část služeb elektronických komunikací, aniž by byl v přímém smluvním vztahu s účastníky, tento další poskytovatel v případě, že došlo k narušení bezpečnosti osobních údajů, okamžitě informuje smluvního poskytovatele.
Článek 6
Podávání zpráv a přezkum
Do tří let od vstupu tohoto nařízení v platnost Komise předloží zprávu o uplatňování tohoto nařízení, jeho účinnosti a dopadu na poskytovatele, účastníky a jednotlivce. Na základě uvedené zprávy Komise toto nařízení přezkoumá.
Článek 7
Vstup v platnost
Toto nařízení vstupuje v platnost dne 25. srpna 2013.
Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.
V Bruselu dne 24. června 2013.
ROZPORZĄDZENIE KOMISJI (UE) NR 611/2013
z dnia 24 czerwca 2013 r.
w sprawie środków mających zastosowanie przy powiadamianiu o przypadkach naruszenia danych osobowych, na mocy dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady o prywatności i łączności elektronicznej
KOMISJA EUROPEJSKA,
uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,
uwzględniając dyrektywę 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotyczącą przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej) (1), w szczególności jej art. 4 ust. 5,
po konsultacji z Europejską Agencją ds. Bezpieczeństwa Sieci i Informacji (ENISA),
po konsultacji z Grupą Roboczą ds. Ochrony Osób Fizycznych w zakresie Przetwarzania Danych Osobowych powołaną w art. 29 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (2) (Grupa Robocza Art. 29),
po konsultacji z Europejskim Inspektorem Ochrony Danych (EIOD),
a także mając na uwadze, co następuje:
(1)
W dyrektywie 2002/58/WE przewiduje się harmonizację przepisów krajowych wymaganych do zapewnienia równoważnego poziomu ochrony podstawowych praw i wolności, w szczególności prawa do prywatności i poufności, w odniesieniu do przetwarzania danych osobowych w sektorze łączności elektronicznej oraz w celu zapewnienia swobodnego przepływu w Unii tego typu danych oraz urządzeń i usług łączności elektronicznej.
(2)
Na mocy art. 4 dyrektywy 2002/58/WE dostawcy publicznie dostępnych usług łączności elektronicznej zobowiązani są powiadamiać o przypadkach naruszenia danych osobowych właściwe organy krajowe, a w niektórych okolicznościach również abonentów lub osoby fizyczne, których to dotyczy. Naruszenie danych osobowych zdefiniowano w art. 2 lit. i) dyrektywy 2002/58/WE jako naruszenie bezpieczeństwa prowadzące do przypadkowego lub bezprawnego zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia lub dostępu do danych osobowych przekazywanych, przechowywanych lub w inny sposób przetwarzanych w związku ze świadczeniem publicznie dostępnych usług łączności elektronicznej w Unii.
(3)
W celu zapewnienia spójności we wdrażaniu środków, o których mowa w art. 4 ust. 2, 3 i 4 dyrektywy 2002/58/WE, w art. 4 ust. 5 tej dyrektywy uprawniono Komisję do przyjęcia technicznych środków wykonawczych dotyczących okoliczności, formy i trybu mających zastosowanie do wymogów dotyczących informowania i powiadamiania, o których mowa w tym artykule.
(4)
Rozbieżne wymogi krajowe w tym zakresie mogą prowadzić do braku pewności prawa, bardziej skomplikowanych i uciążliwych procedur oraz znacznych kosztów administracyjnych dla dostawców transgranicznych. Komisja uznaje zatem, że przyjęcie takich technicznych środków wykonawczych jest niezbędne.
(5)
Niniejsze rozporządzenie ogranicza się do powiadamiania o przypadkach naruszenia danych osobowych i nie określa technicznych środków wykonawczych związanych z art. 4 ust. 2 dyrektywy 2002/58/WE, w którym mowa jest o informowaniu abonentów w przypadku szczególnego ryzyka naruszenia bezpieczeństwa sieci.
(6)
Z art. 4 ust. 3 akapit pierwszy dyrektywy 2002/58/WE wynika, że dostawca powinien powiadomić właściwy organ krajowy o każdym przypadku naruszenia danych osobowych. Decyzja, czy powiadomić właściwy organ krajowy, nie powinna zatem w żadnym zakresie leżeć w gestii dostawcy. Właściwy organ krajowy powinien mieć jednak możliwość priorytetowego traktowania niektórych badanych przypadków naruszenia według swojego uznania i zgodnie z obowiązującym prawem; powinien on również móc podejmować odpowiednie kroki, aby nie zgłaszano naruszenia, gdy nie ma takiej potrzeby, oraz by nie pomijano żadnych rzeczywistych przypadków naruszenia.
(7)
Należy ustanowić system powiadamiania właściwego organu krajowego o przypadkach naruszenia danych osobowych, który to system składa się, jeśli spełnione są określone warunki, z różnych etapów podlegających określonym terminom. System ten ma zapewnić, by właściwy organ krajowy był powiadamiany w najwcześniejszym możliwym terminie i w najbardziej wyczerpujący sposób; system ten nie powinien jednak niepotrzebnie utrudniać dostawcy badania przypadku naruszenia oraz stosowania środków niezbędnych dla jego ograniczenia i zaradzenia jego skutkom.
(8)
Ani samo podejrzenie, że doszło do naruszenia danych osobowych, ani samo wykrycie zdarzenia bez wystarczających dostępnych informacji, mimo starannego działania dostawcy w tym zakresie, nie wystarczą, by uznać, że wykryto naruszenie danych osobowych do celów niniejszego rozporządzenia. Szczególny nacisk należy zatem położyć na dostępność informacji, o których mowa w załącznikach.
(9)
W kontekście stosowania niniejszego rozporządzenia właściwe organy krajowe, których to dotyczy, powinny współpracować w przypadkach naruszenia danych osobowych o charakterze transgranicznym.
(10)
Niniejsze rozporządzenie nie zawiera dodatkowych szczegółowych przepisów dotyczących rejestru naruszeń danych osobowych, który dostawcy zobowiązani są prowadzić, gdyż zawartość rejestru została wyczerpująco określona w art. 4 dyrektywy 2002/58/WE. Dostawcy mogą jednak odnieść się do niniejszego rozporządzenia przy określaniu formy rejestru.
(11)
Wszystkie właściwe organy krajowe powinny udostępnić dostawcom bezpieczne środki elektroniczne służące do powiadamiania w jednolitej formie o przypadkach naruszenia danych osobowych, w oparciu o standardy takie jak XML, zawierające informacje określone w załączniku I w stosownych językach, tak aby wszyscy dostawcy w Unii mogli działać w podobnym trybie niezależnie od tego, gdzie mają swoją siedzibę i gdzie doszło do naruszenia danych osobowych. W związku z powyższym Komisja powinna ułatwić wdrożenie takich bezpiecznych środków elektronicznych, w razie potrzeby organizując spotkania z właściwymi organami krajowymi.
(12)
Przy ocenie, czy naruszenie danych osobowych może pociągnąć za sobą niekorzystne skutki dla danych osobowych lub prywatności abonenta lub osoby fizycznej, należy w szczególności uwzględnić charakter i treść przedmiotowych danych osobowych, zwłaszcza w przypadku, gdy dane dotyczą informacji finansowych, takich jak informacje związane z kartą kredytową i rachunkiem bankowym; szczególne kategorie danych, o których mowa w art. 8 ust. 1 dyrektywy 95/46/WE; oraz niektóre dane szczególnie związane ze świadczeniem usług telefonicznych lub internetowych, np. dane dotyczące poczty elektronicznej, dane dotyczące lokalizacji, internetowe pliki rejestru, rejestry przeszukiwanych stron internetowych i wykazy wykonanych usług telekomunikacyjnych.
(13)
W wyjątkowych okolicznościach dostawca powinien mieć możliwość powiadomienia abonenta lub osoby fizycznej w późniejszym terminie, jeśli powiadomienie abonenta lub osoby fizycznej może zaszkodzić należytemu zbadaniu przypadku naruszenia danych osobowych. W tym kontekście do wyjątkowych okoliczności można zaliczyć dochodzenie w sprawach karnych oraz inne przypadki naruszenia danych osobowych, które nie stanowią poważnego przestępstwa, ale w odniesieniu do których stosowne może być opóźnienie powiadomienia. W każdym razie do właściwego organu krajowego należy ocena, czy w danym przypadku i w świetle danych okoliczności należy zgodzić się na opóźnienie, czy zażądać powiadomienia.
(14)
Dostawcy, ze względu na bezpośredni stosunek umowny, powinni dysponować danymi kontaktowymi swoich abonentów, takie informacje mogą jednak nie być dostępne w odniesieniu do innych osób fizycznych, wobec których naruszenie danych osobowych miało niekorzystne skutki. W takim przypadku należy zezwolić dostawcy na wstępne powiadomienie tych osób fizycznych poprzez ogłoszenia w głównych krajowych lub regionalnych mediach, takich jak gazety, po którym to powiadomieniu wstępnym jak najszybciej powinno nastąpić indywidualne powiadomienie zgodnie z niniejszym rozporządzeniem. Dostawca nie jest zatem zobowiązany do powiadamiania za pośrednictwem mediów, ale jest do tego upoważniony, jeśli uzna to za stosowne podczas identyfikacji wszystkich osób fizycznych, których dotyczyło naruszenie.
(15)
Informacja o naruszeniu powinna dotyczyć naruszenia i nie może być powiązana z informacjami na inny temat. Na przykład zawarcie informacji o naruszeniu danych osobowych w zwykłej fakturze należy uznać za niewłaściwy sposób powiadomienia o naruszeniu danych osobowych.
(16)
Niniejsze rozporządzenie nie określa szczegółowych technologicznych środków ochrony, które uzasadniają odstępstwo od obowiązku powiadamiania abonentów lub osób fizycznych o przypadkach naruszenia danych osobowych, gdyż środki te zmieniają się w miarę postępu technologicznego. Komisja powinna jednak być w stanie publikować orientacyjny wykaz takich szczegółowych technologicznych środków ochrony zgodnych z bieżącą praktyką.
(17)
Samego stosowania szyfrowania czy haszowania nie powinno uważać się za wystarczające, by dostawcy mogli szerzej twierdzić, iż spełnili ogólne wymogi bezpieczeństwa określone w art. 17 dyrektywy 95/46/WE. W tym kontekście dostawcy powinni również wprowadzić odpowiednie środki organizacyjne i techniczne, aby zapobiegać przypadkom naruszenia, wykrywać je i blokować. Dostawcy powinni wziąć pod uwagę wszelkie ewentualne ryzyko szczątkowe istniejące po wprowadzeniu w życie kontroli celem zrozumienia, w jakich sytuacjach może dojść do naruszenia danych osobowych.
(18)
Jeżeli dostawca powierza innemu dostawcy wykonanie części usługi, np. w związku z naliczaniem opłat czy zarządzaniem, taki inny dostawca, którego z użytkownikiem końcowym nie łączy bezpośredni stosunek umowny, nie powinien być zobowiązany do wydawania powiadomień w przypadku naruszenia danych osobowych. Powinien natomiast powiadomić dostawcę, z którym łączy go bezpośredni stosunek umowny. Powyższą procedurę należy również stosować w kontekście hurtowego świadczenia usług łączności elektronicznej, gdzie hurtowego dostawcy z użytkownikiem końcowym nie łączy zazwyczaj bezpośredni stosunek umowny.
(19)
W dyrektywie 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych określono ogólne ramy ochrony danych osobowych w Unii Europejskiej. Komisja przedstawiła wniosek dotyczący rozporządzenia Parlamentu Europejskiego i Rady mającego zastąpić dyrektywę 95/46/WE (rozporządzenie o ochronie danych). Proponowanym rozporządzeniem o ochronie danych nałożono by na wszystkich administratorów danych obowiązek powiadamiania o przypadkach naruszenia danych osobowych, biorąc za podstawę art. 4 ust. 3 dyrektywy 2002/58/WE. Niniejsze rozporządzenie Komisji jest w pełni spójne ze wspomnianym proponowanym środkiem.
(20)
Proponowane rozporządzenie o ochronie danych wprowadza również pewne techniczne dostosowania w dyrektywie 2002/58/WE w celu uwzględnienia przekształcenia dyrektywy 95/46/WE w rozporządzenie. Skutki materialno-prawne nowego rozporządzenia w odniesieniu do dyrektywy 2002/58/WE będą przedmiotem przeglądu Komisji.
(21)
Stosowanie niniejszego rozporządzenia należy poddać przeglądowi trzy lata po jego wejściu w życie, a jego treść należy poddać przeglądowi w świetle obowiązujących w tym czasie ram prawnych, w tym proponowanego rozporządzenia o ochronie danych. Przegląd niniejszego rozporządzenia powinien być w miarę możliwości połączony z przyszłym przeglądem dyrektywy 2002/58/WE.
(22)
Stosowanie niniejszego rozporządzenia można ocenić m.in. w oparciu o prowadzone przez właściwe organy krajowe statystyki dotyczące przypadków naruszenia danych osobowych, o których zostały powiadomione. Statystyki te mogą obejmować np. liczbę przypadków naruszenia danych osobowych, o których powiadomiono właściwy organ krajowy, liczbę przypadków naruszenia danych osobowych, o których powiadomiono abonenta lub osobę fizyczną, czas potrzebny na zaradzenie naruszeniu danych osobowych oraz to, czy wprowadzono technologiczne środki ochrony. Statystyki te powinny być dla Komisji i państw członkowskich źródłem spójnych i porównywalnych danych statystycznych i nie powinny ujawniać tożsamości powiadamiającego dostawcy ani tożsamości abonentów ani osób fizycznych, których dotyczy naruszenie. W tym celu Komisja może również odbywać regularne spotkania z właściwymi organami krajowymi i innymi zainteresowanymi podmiotami.
(23)
Środki przewidziane w niniejszym rozporządzeniu są zgodne z opinią Komitetu ds. Łączności,
PRZYJMUJE NINIEJSZE ROZPORZĄDZENIE:
Artykuł 1
Zakres
Niniejsze rozporządzenie stosuje się do powiadamiania przez dostawców publicznie dostępnych usług łączności elektronicznej (zwanych dalej „dostawcą”) o naruszeniu danych osobowych.
Artykuł 2
Powiadomienie właściwego organu krajowego
1. Dostawca powiadamia właściwy organ krajowy o wszystkich przypadkach naruszenia danych osobowych.
2. Dostawca powiadamia właściwy organ krajowy o przypadku naruszenia danych osobowych nie później niż 24 godziny po wykryciu naruszenia danych osobowych, jeśli jest to wykonalne.
W powiadomieniu skierowanym do właściwego organu krajowego dostawca zawiera informacje określone w załączniku I.
Uznaje się, że doszło do wykrycia naruszenia danych osobowych, gdy dostawca uzyskał wystarczającą wiedzę o zaistnieniu zdarzenia naruszającego ochronę, które doprowadziło do naruszenia danych osobowych, w celu przekazania zasadne powiadomienia zgodnie z wymogami niniejszego powiadomienia.
3. Jeśli nie wszystkie informacje określone w załączniku I są dostępne i konieczne jest dalsze badanie przypadku naruszenia danych osobowych, zezwala się dostawcy na wstępne powiadomienie właściwego organu krajowego nie później niż 24 godziny po wykryciu naruszenia danych osobowych. Takie wstępne powiadomienie właściwego organu krajowego zawiera informacje określone w załączniku I sekcja 1. Dostawca przedkłada właściwemu organowi krajowemu drugie powiadomienie najszybciej, jak to możliwe i najpóźniej w ciągu trzech dni po wstępnym powiadomieniu. Takie drugie powiadomienie zawiera informacje określone w załączniku I sekcja 2 oraz w stosownych przypadkach uaktualnienie wcześniej przekazanych informacji.
Jeżeli dostawca, mimo zbadania przypadku, nie jest w stanie przedstawić wszystkich informacji w terminie trzech dni od wstępnego powiadomienia, przedstawia we wspomnianym terminie te informacje, którymi dysponuje, oraz przedkłada właściwemu organowi krajowemu uzasadnienie opóźnienia w przekazaniu pozostałych informacji. Dostawca jak najszybciej przekazuje pozostałe informacje właściwemu organowi krajowemu oraz w stosownych przypadkach jak najszybciej aktualizuje wcześniej przekazane informacje.
4. Właściwy organ krajowy zapewnia wszystkim dostawcom posiadającym siedzibę w państwie członkowskim, którego to dotyczy, bezpieczne środki elektroniczne służące do powiadamiania o przypadkach naruszenia danych osobowych oraz informacje dotyczące trybu dostępu do tych środków i ich stosowania. W stosownych przypadkach Komisja organizuje spotkania z właściwymi organami krajowymi w celu ułatwienia stosowania niniejszego przepisu.
5. Jeżeli naruszenie danych osobowych ma wpływ na abonentów lub osoby fizyczne z państw członkowskich innych niż państwo właściwego organu krajowego, który powiadomiono o naruszeniu danych osobowych, organ ten informuje inne zainteresowane organy krajowe.
Aby ułatwić stosowanie niniejszego przepisu, Komisja tworzy i utrzymuje wykaz właściwych organów krajowych i odpowiednich punktów kontaktowych.
Artykuł 3
Powiadomienie abonenta lub osoby fizycznej
1. Jeśli istnieje prawdopodobieństwo, że naruszenie danych osobowych wywoła niekorzystne skutki dla danych osobowych lub prywatności abonenta lub osoby fizycznej, dostawca, oprócz powiadomienia, o którym mowa w art. 2, powiadamia również o naruszeniu tego abonenta lub tę osobę fizyczną.
2. Prawdopodobieństwo, że naruszenie danych osobowych może mieć niekorzystne skutki dla danych osobowych lub prywatności abonenta lub osoby fizycznej, ocenia się, biorąc od uwagę w szczególności następujące okoliczności:
a)
charakter i treść odnośnych danych osobowych, zwłaszcza jeśli dane te związane są z informacjami finansowymi, szczególnymi kategoriami danych, o których mowa w art. 8 ust. 1 dyrektywy 95/46/WE, danymi dotyczącymi poczty elektronicznej, danymi dotyczącymi lokalizacji, internetowymi plikami rejestru, rejestrami przeszukiwanych stron internetowych i wykazami wykonanych usług telekomunikacyjnych;
b)
prawdopodobne konsekwencje naruszenia danych osobowych dla danego abonenta lub osoby fizycznej, szczególnie jeżeli naruszenie mogłoby skutkować kradzieżą lub sfałszowaniem tożsamości, uszkodzeniem ciała, cierpieniem psychicznym, upokorzeniem lub naruszeniem dobrego imienia; oraz
c)
okoliczności, w jakich doszło do naruszenia danych osobowych, w szczególności to, gdzie skradziono dane oraz kiedy dostawca dowiedział się, że dane są w posiadaniu nieupoważnionej strony trzeciej.
3. Powiadomienie abonenta lub osoby fizycznej następuje bez zbędnej zwłoki po wykryciu naruszenia danych osobowych, jak określono w art. 2 ust. 2 akapit trzeci. Powyższe nie jest zależne od powiadomienia o naruszeniu danych osobowych skierowanego do właściwego organu krajowego, o którym mowa w art. 2.
4. W powiadomieniu skierowanym do abonenta lub osoby fizycznej dostawca zawiera informacje określone w załączniku II. Powiadomienie skierowane do abonenta lub osoby fizycznej sformułowane jest w sposób jasny i łatwo zrozumiały. Dostawca nie wykorzystuje powiadomienia jako okazji do promowania lub reklamowania nowych lub dodatkowych usług.
5. W wyjątkowych okolicznościach, gdy powiadomienie abonenta lub osoby fizycznej może zaszkodzić należytemu zbadaniu przypadku naruszenia danych osobowych, dostawcy zezwala się, po uprzednim uzyskaniu zgody właściwego organu krajowego, na powiadomienie abonenta lub osoby fizycznej w późniejszym terminie, który właściwy organ krajowy uzna za możliwy do celów powiadomienia o naruszeniu danych osobowych zgodnie z niniejszym artykułem.
6. Dostawca powiadamia abonenta lub osobę fizyczną o naruszeniu danych osobowych, używając środków komunikacji zapewniających szybkie dotarcie informacji i odpowiednio zabezpieczonych zgodnie z najnowszym stanem wiedzy w tej dziedzinie. Informacja o naruszeniu dotyczy naruszenia i nie jest powiązana z informacjami na inny temat.
7. Jeżeli w terminie, o którym mowa w ust. 3, oraz mimo odpowiednich starań, dostawca związany z końcowym użytkownikiem bezpośrednim stosunkiem umownym nie jest w stanie zidentyfikować wszystkich osób fizycznych, wobec których naruszenie danych osobowych prawdopodobnie ma niekorzystne skutki, dostawca może w tymże terminie powiadomić te osoby poprzez ogłoszenia w głównych mediach krajowych lub regionalnych w danych państwach członkowskich. Ogłoszenia te zawierają informacje określone w załączniku II, w razie potrzeby w formie skróconej. W takim przypadku dostawca nadal podejmuje odpowiednie starania, by zidentyfikować te osoby i jak najszybciej przekazać im informacje określone w załączniku II.
Artykuł 4
Technologiczne środki ochrony
1. Na zasadzie odstępstwa od art. 3 ust. 1 powiadomienie danego abonenta lub osoby fizycznej o naruszeniu danych osobowych nie jest wymagane, jeżeli dostawca wykazał w sposób wymagany przez właściwy organ krajowy, że wprowadził w życie odpowiednie technologiczne środki ochrony oraz że środki te zostały zastosowane do danych, których dotyczyło naruszenie bezpieczeństwa. Tego rodzaju technologiczne środki ochrony sprawiają, że dane stają się nieczytelne dla każdego, kto nie jest uprawniony do dostępu do nich.
2. Dane uznaje się za nieczytelne, jeżeli:
a)
zostały bezpiecznie zaszyfrowane z użyciem ustandaryzowanego algorytmu, klucz używany do odszyfrowywania tych danych nie został złamany w wyniku naruszenia bezpieczeństwa, oraz został wygenerowany w sposób, który uniemożliwia osobie nieupoważnionej poznanie go za pomocą dostępnych technologicznie środków; lub
b)
zostały zastąpione wartością klucza haszującego, obliczoną za pomocą standaryzowanej kryptograficznej funkcji haszującej z kluczem tajnym, klucz użyty do haszowania tych danych nie został złamany w wyniku naruszenia bezpieczeństwa, oraz został wygenerowany w sposób, który uniemożliwia osobie nieupoważnionej poznanie go za pomocą dostępnych technologicznie środków.
3. Po konsultacji z właściwymi organami krajowymi w ramach Grupy Roboczej Art. 29, Europejską Agencją ds. Bezpieczeństwa Sieci i Informacji oraz Europejskim Inspektorem Ochrony Danych Komisja może opublikować orientacyjny wykaz stosownych technologicznych środków ochrony, o których mowa w ust. 1, zgodnie z bieżącą praktyką.
Artykuł 5
Korzystanie z usług innego dostawcy
Jeżeli zawarto umowę z innym dostawcą, który będzie świadczyć część usługi łączności elektronicznej i który nie jest związany z abonentami bezpośrednim stosunkiem umownym, dostawca ten niezwłocznie powiadamia dostawcę zamawiającego o przypadku naruszenia danych osobowych.
Artykuł 6
Sprawozdawczość i przegląd
W ciągu trzech lat od wejścia w życie niniejszego rozporządzenia Komisja przedstawi sprawozdanie dotyczące jego stosowania, skuteczności skutków dla dostawców. Na podstawie tego sprawozdania Komisja dokona przeglądu niniejszego rozporządzenia.
Artykuł 7
Wejście w życie
Niniejsze rozporządzenie wchodzi w życie z dniem 25 sierpnia 2013 r., dwa miesiące po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.
Niniejsze rozporządzenie wiąże w całości i jest bezpośrednio stosowane we wszystkich państwach członkowskich.
Sporządzono w Brukseli dnia 24 czerwca 2013 r.