KOMMISSIONENS FORORDNING (EU) Nr. 611/2013
af 24. juni 2013
om de foranstaltninger, der skal anvendes ved underretningen om brud på persondatasikkerheden, jf. Europa-Parlamentets og Rådets direktiv 2002/58/EF vedrørende databeskyttelse inden for elektronisk kommunikation
EUROPA-KOMMISSIONEN HAR -
under henvisning til traktaten om Den Europæiske Unions funktionsmåde,
under henvisning til Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (Direktiv om databeskyttelse inden for elektronisk kommunikation) (1), særlig artikel 4, stk. 5,
efter at have hørt Det Europæiske Agentur for Net- og Informationssikkerhed (ENISA),
efter at have hørt Gruppen vedrørende Beskyttelse af Personer i forbindelse med Behandling af Personoplysninger, der er nedsat ved artikel 29 i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (2) (Artikel 29-Gruppen),
efter høring af Den Europæiske Tilsynsførende for Databeskyttelse (EDPS) og
ud fra følgende betragtninger:
(1)
Direktiv 2002/58/EF tager sigte på en harmonisering af nationale bestemmelser, der er nødvendig for at sikre et ensartet niveau i beskyttelsen af de grundlæggende rettigheder og frihedsrettigheder og navnlig retten til privatlivets fred og fortrolighed i forbindelse med behandling af personoplysninger inden for den elektroniske kommunikationssektor og for at sikre fri omsætning af sådanne oplysninger og af elektronisk kommunikationsudstyr og elektroniske kommunikationstjenester i Unionen.
(2)
I henhold til artikel 4 i direktiv 2002/58/EF har udbydere af offentligt tilgængelige kommunikationstjenester pligt til at underrette de kompetente nationale myndigheder og i visse tilfælde også berørte abonnenter og fysiske personer om brud på persondatasikkerheden. Brud på persondatasikkerheden er i artikel 2, litra i), i direktiv 2002/58/EF defineret som et sikkerhedsbrud, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, ubeføjet videregivelse af eller adgang til persondata, der sendes, lagres eller på anden måde behandles i forbindelse med udbuddet af offentligt tilgængelige kommunikationstjenester i Unionen.
(3)
For at sikre en ensartet gennemførelse af de foranstaltninger, der er anført i artikel 4, stk. 2, 3 og 4, i direktiv 2002/58/EF, giver samme direktivs artikel 4, stk. 5, Kommissionen beføjelse til at vedtage tekniske gennemførelsesforanstaltninger om, under hvilke omstændigheder informations- og underretningskravene i denne artikel gælder, samt hvilke former og procedurer der skal anvendes.
(4)
Forskelle i nationale krav i denne henseende kan medføre retlig usikkerhed, mere komplicerede og omstændelige procedurer og betydelige administrative omkostninger for udbydere, der opererer på tværs af landegrænserne. Kommissionen finder det derfor nødvendigt at vedtage sådanne tekniske gennemførelsesforanstaltninger.
(5)
Denne forordning er afgrænset til at omhandle underretningen om brud på persondatasikkerheden, og der er derfor ikke fastsat tekniske gennemførelsesforanstaltninger for artikel 4, stk. 2, i direktiv 2002/58/EF om underretning af abonnenter i tilfælde af en særlig risiko for brud på netsikkerheden.
(6)
Det følger af første afsnit i artikel 4, stk. 3, i direktiv 2002/58/EF, at udbyderne skal underrette den kompetente nationale myndighed om alle brud på persondatasikkerheden. Der bør derfor ikke overlades skønsbeføjelser til udbyderen om, hvorvidt den kompetente myndighed bør underrettes. Dette bør dog ikke hindre den berørte kompetente nationale myndighed i at prioritere undersøgelsen af visse brud på den måde, som den finder passende i overensstemmelse med den gældende lovgivning, og om fornødent at træffe foranstaltninger for at undgå over- eller underrapportering om brud på persondatasikkerheden.
(7)
Der bør tilvejebringes en ordning for underretning om brud på persondatabeskyttelsen til den kompetente nationale myndighed, og når visse betingelser er opfyldt, bør ordningen bestå af forskellige faser, som hver især er omfattet af visse frister. Hensigten med ordningen er at sikre, at den kompetente nationale myndighed underrettes så hurtigt og så fyldestgørende som muligt uden dog på en urimelig måde at hindre udbyderen i sine bestræbelser på at undersøge bruddet og træffe de nødvendige foranstaltninger for at begrænse det og afbøde konsekvenserne heraf.
(8)
Hverken en simpel formodning om, at et brud på persondatasikkerheden har fundet sted, eller en simpel påvisning af en hændelse, hvis de disponible oplysninger er utilstrækkelige trods det, at en udbyder gør sit bedste for at skabe afklaring, er tilstrækkeligt til at anse et brud på persondatasikkerheden for at være påvist i denne forordnings forstand. Der bør i den forbindelse tages særligt hensyn til, om de oplysninger, der er nævnt i bilag I, står til rådighed.
(9)
De berørte kompetente nationale myndigheder bør samarbejde om anvendelsen af denne forordning i tilfælde, hvor et brud på persondatasikkerheden har en tværnational dimension.
(10)
I denne forordning foretages der ingen yderligere specifikation af de optegnelser over brud på persondatasikkerheden, som udbydere fører, fordi indholdet specificeres udtømmende i artikel 4 i direktiv 2002/58/EF. Udbydere kan dog benytte nærværende forordning med henblik på at fastlægge optegnelsernes format.
(11)
Alle kompetente nationale myndigheder bør stille sikre elektroniske midler til rådighed for udbyderne, således at de kan underrette om brud på persondatasikkerheden i et fælles format baseret på en standard som f.eks. XML, med de oplysninger, der er anført i bilag I, på de relevante sprog, så alle udbydere i Unionen kan følge en ensartet underretningsprocedure, uanset hvor de befinder sig, eller hvor bruddet på persondatasikkerheden fandt sted. Kommissionen bør i den forbindelse lette gennemførelsen af de sikre elektroniske midler ved om fornødent at indkalde de kompetente nationale myndigheder til møder.
(12)
Ved vurderingen af, om et brud på persondatasikkerheden kan forventes at krænke personoplysninger eller privatlivets fred for en abonnent eller en fysisk person, bør der tages hensyn til bl.a. karakteren og indholdet af de pågældende personoplysninger, navnlig hvis oplysningerne vedrører finansielle oplysninger og herunder kreditkortoplysninger og bankoplysninger; særlige kategorier af oplysninger, jf. artikel 8, stk. 1, i direktiv 95/46/EF; og visse data, der specifikt vedrører udbuddet af telefoni- eller internettjenester, dvs. e-maildata, lokaliseringsdata, internetlogfiler, browserhistorik og udspecificerede opkaldslister.
(13)
I undtagelsestilfælde bør udbyderen have mulighed for at udskyde underretningen af abonnenten eller den fysiske person, hvis underretningen af abonnenten eller den fysiske person kan bringe en behørig undersøgelse af bruddet på persondatasikkerheden i fare. I denne sammenhæng kan undtagelsestilfælde omfatte strafferetlig efterforskning samt andre brud på persondatasikkerheden, hvor der ikke er tale om en grov forbrydelse, men for hvilke det kan være hensigtsmæssigt at udskyde underretningen. Under alle omstændigheder bør det være op til den kompetente nationale myndighed ud fra det enkelte tilfælde og på baggrund af omstændighederne at tage stilling til, hvorvidt den samtykker i at udskyde underretningen, eller om underretningen skal kræves foretaget.
(14)
Udbydere må forventes at have rådighed over deres abonnenters kontaktoplysninger i lyset af deres direkte kontraktforhold, men sådanne oplysninger findes muligvis ikke for andre fysiske personer, der berøres af bruddet på persondatasikkerheden. I det tilfælde bør der gives tilladelse til, at udbyderen i første omgang underretter disse fysiske personer via annoncer i større nationale eller regionale medier, f.eks. aviser, og at disse hurtigst muligt efterfølges af en individuel underretning som fastsat ved denne forordning. Udbyderen forpligtes derfor ikke til at underrette gennem medierne, men får snarere beføjelse til at handle på denne måde, hvis udbyderen ønsker det, når vedkommende stadig er i færd med at identificere alle fysiske personer.
(15)
Oplysningerne om bruddet bør stå alene og ikke gives sammen med oplysninger om andre emner. Det betragtes eksempelvis ikke som et velegnet middel til at underrette om et brud på persondatasikkerheden, hvis en normal faktura benyttes til at underrette om et brud på persondatasikkerheden.
(16)
Ved denne forordning fastsættes der ikke specifikke tekniske beskyttelsesforanstaltninger, som kan begrunde en fravigelse af pligten til at underrette abonnenter eller fysiske personer om et brud på persondatasikkerheden, fordi disse kan ændre sig med tiden i takt med teknologiske fremskridt. Kommissionen forventer dog at kunne offentliggøre en vejledende liste over sådanne specifikke tekniske beskyttelsesforanstaltninger i henhold til den aktuelle praksis.
(17)
Gennemførelse af kryptering eller hashing bør ikke i sig selv betragtes som tilstrækkeligt til, at udbydere generelt kan gøre gældende, at de har opfyldt den generelle sikkerhedsforpligtelse, der er fastsat ved artikel 17 i direktiv 95/46/EF. I den henseende bør udbydere også gennemføre passende organisatoriske og tekniske foranstaltninger, der skal forebygge, påvise og blokere brud på datasikkerheden. Efter at have gennemført kontrolforanstaltninger bør udbydere tage højde for eventuelle tilbageværende risici for at erkende, hvor brud på persondatasikkerheden potentielt kan forekomme.
(18)
Benytter udbyderen en anden udbyder til at udføre en del af tjenesteydelsen, f.eks. i forbindelse med fakturering og ledelsesfunktioner, bør denne anden udbyder, som ikke har et direkte kontraktforhold til slutbrugeren, ikke være forpligtet til at udstede underretninger i tilfælde af brud på persondatasikkerheden. Den anden udbyder bør i stedet advare og oplyse udbyderen, med hvilken vedkommende har indgået et direkte kontraktforhold. Dette bør også gælde i forbindelse med engrosudbud af elektroniske kommunikationstjenester, hvor engrosudbyderen normalt ikke har et direkte kontraktforhold til slutbrugeren.
(19)
I direktiv 95/46/EF defineres en generel ramme for beskyttelse af persondata i Den Europæiske Union. Kommissionen har forelagt et forslag til en forordning udstedt af Europa-Parlamentet og Rådet med henblik på at erstatte direktiv 95/46/EF (databeskyttelsesforordningen). Med den foreslåede databeskyttelsesforordning pålægges alle dataansvarlige at underrette om brud på persondatasikkerheden med udgangspunkt i artikel 4, stk. 3, i direktiv 2002/58/EF. Den aktuelle kommissionsforordning er i fuld overensstemmelse med denne foreslåede foranstaltning.
(20)
I den foreslåede databeskyttelsesforordning foretages endvidere et begrænset antal tekniske tilpasninger af direktiv 2002/58/EF for at tage højde for, at direktiv 95/46/EF omdannes til en forordning. Kommissionen vil gøre den nye forordnings materielle retlige konsekvenser for direktiv 2002/58/EF til genstand for en ny gennemgang.
(21)
Anvendelsen af denne forordning bør tages op til fornyet overvejelse tre år efter ikrafttrædelsen, og dens indhold tages op til fornyet overvejelse i lyset af den gældende lovramme til sin tid og herunder den foreslåede databeskyttelsesforordning. Den fornyede gennemgang af nærværende forordning bør derfor så vidt muligt knyttes sammen med gennemgangen af direktiv 2002/58/EF.
(22)
Forordningens anvendelse kan bl.a. vurderes på grundlag af de kompetente nationale medlemsstaters eventuelle statistikker over brud på persondatasikkerheden, som de får underretning om. Disse statistikker kan f.eks. omfatte oplysninger om antallet af brud på persondatasikkerheden, som den kompetente nationale myndighed har modtaget underretning om, antal brud på persondatasikkerheden, som abonnenten eller den fysiske person har modtaget underretning om, den tid, det tager at afhjælpe bruddet på persondatasikkerheden, og hvorvidt der er truffet tekniske beskyttelsesforanstaltninger. Disse statistikker bør give Kommissionen og medlemsstaterne sammenhængende og sammenlignelige statistiske data, og de bør ikke afsløre identiteten af hverken de udbydere, som foretager underretningen, eller abonnenter og fysiske personer. Kommissionen kan også holde jævnlige møder med de kompetente nationale myndigheder og andre interesseparter herom.
(23)
Foranstaltningerne i denne forordning er i overensstemmelse med udtalelse fra Kommunikationsudvalget -
VEDTAGET DENNE FORORDNING:
Artikel 1
Genstand
Denne forordning gælder for underretningen om brud på persondatasikkerheden, der foretages af udbydere af offentligt tilgængelige kommunikationstjenester (»udbyderen«).
Artikel 2
Underretning af den kompetente nationale myndighed
1. Udbyderen skal underrette den kompetente nationale myndighed om samtlige brud på persondatasikkerheden.
2. Udbyderen skal underrette den kompetente nationale myndighed om bruddet på persondatabeskyttelsen senest 24 timer efter, at bruddet er påvist, når dette er praktisk muligt.
Udbyderen skal i sin underretning af den kompetente nationale myndighed vedlægge de oplysninger, der er angivet i bilag I.
Et brud på persondatasikkerheden skal anses for at være påvist, hvis en udbyder har opnået tilstrækkelig kendskab til, at en sikkerhedshændelse er indtruffet, og at den har kompromitteret persondatasikkerheden, således at der kan afgives en hensigtsmæssig underretning som krævet ifølge denne forordning.
3. Udbyderen må foretage en indledende underretning af den kompetente nationale myndighed senest 24 timer efter påvisning af bruddet på persondatabeskyttelsen, hvis alle de i bilag I angivne oplysninger ikke foreligger, og der er behov for yderligere efterforskning af bruddet på persondatasikkerheden. Denne indledende underretning af den kompetente nationale myndighed skal indeholde de oplysninger, der er anført i bilag I, afdeling 1. Udbyderen skal foretage en anden underretning af den kompetente nationale myndighed så hurtigt som muligt og senest tre dage efter den indledende underretning. Denne anden underretning skal indeholde de oplysninger, der er anført i bilag I, afdeling 2, og om nødvendigt ajourføre de oplysninger, der allerede er afgivet.
Hvis udbyderen på trods af sin efterforskning ikke er i stand til at forelægge alle oplysninger senest tre dage efter den indledende underretning, skal udbyderen afgive alle disponible oplysninger inden for denne tidsfrist og forelægge den kompetente nationale myndighed en begrundelse for den forsinkede underretning om de resterende oplysninger. Udbyderen forelægger hurtigst muligt de resterende oplysninger for den kompetente nationale myndighed og ajourfører om nødvendigt de oplysninger, der allerede er afgivet.
4. Den kompetente nationale myndighed stiller sikre elektroniske midler til rådighed, således at alle udbydere, der er etableret i den pågældende medlemsstat, kan underrette om brud på persondatasikkerheden, tillige med oplysninger om procedurerne for adgang og brug af denne. Ved behov indkalder Kommissionen til møder mellem de kompetente nationale myndigheder med henblik på at lette anvendelsen af denne bestemmelse.
5. Når bruddet på persondatasikkerheden krænker abonnenter eller fysiske personer fra andre medlemsstater end den kompetente nationale myndigheds medlemsstat, hvori der er underrettet om bruddet på persondatasikkerheden, informerer den kompetente nationale myndighed de øvrige berørte nationale myndigheder.
For at lette anvendelsen af denne bestemmelse opretter og ajourfører Kommissionen en liste over de kompetente nationale myndigheder og de relevante kontaktpunkter.
Artikel 3
Underretning af en abonnent eller en fysisk person
1. Hvis bruddet på persondatasikkerheden kan forventes at krænke personoplysninger eller privatlivets fred for en abonnent eller en fysisk person, skal udbyderen foruden den underretning, der er nævnt i artikel 2, også underrette abonnenten eller den fysiske person om bruddet.
2. Ved vurderingen af, hvorvidt et brud på persondatasikkerheden kan forventes at krænke personoplysninger eller privatlivets fred for en abonnent eller en fysisk person, skal der tages hensyn til bl.a. følgende forhold:
a)
karakteren og indholdet af de pågældende personoplysninger, navnlig hvor oplysningerne vedrører finansielle oplysninger, særlige kategorier af oplysninger, jf. artikel 8, stk. 1, i direktiv 95/46/EF, samt lokaliseringsdata, internetlogfiler, browserhistorik, e-maildata og udspecificerede opkaldslister
b)
de sandsynlige følger af bruddet på persondatasikkerheden for den berørte abonnent eller fysiske person, navnlig hvis bruddet kan medføre identitetstyveri eller svig, fysisk skade, psykologisk forstyrrelse, tort eller skade af omdømme og
c)
omstændighederne ved bruddet på persondatasikkerheden, navnlig når oplysningerne er blevet stjålet, eller når udbyderen er bekendt med, at de nødvendige data er i en uautoriseret tredjemands besiddelse.
3. Abonnenten eller den fysiske person skal underrettes uden unødig forsinkelse, efter at bruddet på persondatasikkerheden er påvist, jf. artikel 2, stk. 2, tredje afsnit. Dette må ikke afhænge af underretningen om bruddet på persondatabeskyttelsen til den kompetente nationale myndighed, der er omhandlet i artikel 2.
4. I udbyderens underretning til abonnenten eller den fysiske person vedlægges de oplysninger, der er fastsat i bilag II. Underretningen af abonnenten eller den fysiske person skal være udtrykt i et klart og letforståeligt sprog. Udbyderen må ikke bruge underretningen som en lejlighed til at fremme eller reklamere for nye eller supplerende tjenester.
5. I undtagelsestilfælde, hvor underretningen af abonnenten eller den fysiske person kan bringe en behørig efterforskning af bruddet på persondatasikkerheden i fare, skal udbyderen efter at have opnået samtykke fra den kompetente nationale myndighed gives tilladelse til at udskyde underretningen af abonnenten eller den fysiske person, indtil den kompetente nationale myndighed skønner det muligt at underrette om bruddet på persondatasikkerheden i overensstemmelse med denne artikel.
6. Udbyderen skal underrette abonnenten eller den fysiske person om bruddet på persondatasikkerheden med kommunikationsmidler, som sikrer en hurtig modtagelse af oplysningerne, og som er sikret i overensstemmelse med aktuelle teknikker. Oplysningerne om bruddet skal stå alene og må ikke gives sammen med oplysninger om andre emner.
7. Hvis udbyderen, som har et direkte kontraktforhold til slutbrugeren, på trods af rimelige bestræbelser er ude af stand til inden for den tidsfrist, der er angivet i stk. 3, at identificere alle fysiske personer, som må forventes at blive krænket af bruddet på persondatasikkerheden, kan udbyderen underrette disse personer gennem annoncer i større nationale eller regionale medier i de relevante medlemsstater inden for tidsfristen. Disse annoncer skal indeholde de oplysninger, der er angivet i bilag II, om nødvendigt i sammenfattet form. I dette tilfælde skal udbyderen videreføre rimelige bestræbelser på at identificere disse fysiske personer og underrette dem om de i bilag II angivne oplysninger hurtigst muligt.
Artikel 4
Tekniske beskyttelsesforanstaltninger
1. Uanset artikel 3, stk. 1, er det ikke nødvendigt at underrette den pågældende abonnent eller fysiske person om et brud på persondatasikkerheden, hvis den kompetente nationale myndighed finder det godtgjort fra udbyderens side, at denne har gennemført passende teknologiske beskyttelsesforanstaltninger, og at disse foranstaltninger er blevet anvendt på de data, som sikkerhedsbruddet vedrørte. Sådanne teknologiske beskyttelsesforanstaltninger skal gøre dataene uforståelige for alle, der ikke har lovlig adgang hertil.
2. Data anses for uforståelige, hvis:
a)
de er blevet krypteret på sikker vis med en standardiseret algoritme, dekrypteringsnøglen ikke er kompromitteret af et brud på sikkerheden, og dekrypteringsnøglen er genereret på en sådan måde, at den ikke kan afsløres med de tilgængelige tekniske midler af en person, der ikke har lovlig adgang til nøglen eller
b)
de er blevet erstattet af deres hashværdi, der beregnes med en standardiseret kryptografisk hashfunktion med en nøgle, den nøgle, der er anvendt til at hashe dataene, ikke er kompromitteret af et brud på sikkerheden, og den nøgle, der er anvendt til at hashe dataene, er genereret på en sådan måde, at den ikke kan afsløres med de tilgængelige tekniske midler af en person, der ikke har lovlig adgang til nøglen.
3. Kommissionen kan efter at have hørt de kompetente nationale myndigheder via Artikel 29-Gruppen, Det Europæiske Agentur for Net- og Informationssikkerhed og Den Europæiske Tilsynsførende for Databeskyttelse offentliggøre en vejledende liste over egnede tekniske beskyttelsesforanstaltninger som nævnt i stk. 1 i overensstemmelse med den gældende praksis.
Artikel 5
Anvendelse af en anden udbyder
Indgår en udbyder en kontrakt med en anden udbyder om at levere en del af de elektroniske kommunikationstjenester uden at have et direkte kontraktforhold til abonnenter, skal denne anden udbyder øjeblikkeligt oplyse den kontraherende udbyder om brud på persondatasikkerheden.
Artikel 6
Rapportering og fornyet gennemgang
Inden for tre år efter denne forordnings ikrafttræden skal Kommissionen forelægge en rapport om forordningens anvendelse, dens effektivitet og konsekvenser for udbydere, abonnenter og fysiske personer. På grundlag af denne rapport foretager Kommissionen en fornyet gennemgang af denne forordning.
Artikel 7
Ikrafttræden
Denne forordning træder i kraft den 25. august 2013.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.
Udfærdiget i Bruxelles, den 24. juni 2013.
A BIZOTTSÁG 611/2013/EU RENDELETE
(2013. június 24.)
a 2002/58/EK európai parlamenti és tanácsi irányelv (elektronikus hírközlési adatvédelmi irányelv) szerinti személyes adatok megsértésére vonatkozó bejelentésre alkalmazandó intézkedésekről
AZ EURÓPAI BIZOTTSÁG,
tekintettel az Európai Unió működéséről szóló szerződésre,
tekintettel az elektronikus hírközlési ágazatban a személyes adatok feldolgozásáról és a magánélet védelméről szóló, 2002. július 12-i 2002/58/EK európai parlamenti és tanácsi irányelvre (elektronikus hírközlési adatvédelmi irányelv) (1) és különösen annak 4. cikke (5) bekezdésére,
az Európai Hálózat- és Információbiztonsági Ügynökséggel (ENISA) folytatott konzultációt követően,
a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24-i 95/46/EK európai parlamenti és tanácsi irányelv (2) 29. cikke alapján létrehozott, az egyéneknek a személyes adatok feldolgozása tekintetében való védelmével foglalkozó munkacsoporttal (a 29. cikk szerinti munkacsoport) folytatott konzultációt követően,
az európai adatvédelmi biztossal folytatott konzultációt követően,
mivel:
(1)
A 2002/58/EK irányelv előírja azon nemzeti rendelkezések összehangolását, amelyekre azért van szükség, hogy biztosítsák az elektronikus hírközlési ágazatban a személyes adatok kezelése vonatkozásában az alapvető jogok és szabadságok védelmének egyenértékű szintjét - különös tekintettel a magánélethez és a bizalmas adatkezeléshez való jogra -, valamint biztosítsák az ilyen adatoknak, az elektronikus hírközlő berendezéseknek és az elektronikus hírközlési szolgáltatásoknak az Unión belüli szabad mozgását.
(2)
A 2002/58/EK irányelv 4. cikke értelmében a nyilvánosan elérhető elektronikus hírközlési szolgáltatást nyújtó szolgáltatók a személyes adatok megsértését kötelesek bejelenteni az illetékes nemzeti hatóságnak, és arról bizonyos esetekben az érintett előfizetőket és magánszemélyeket is kötelesek értesíteni. A személyes adatok megsértését a 2002/58/EK irányelv 2. cikkének i) pontja a biztonság olyan megsértéseként határozza meg, amely az Unióban nyilvánosan elérhető hírközlési szolgáltatások nyújtásával összefüggésben továbbított, tárolt vagy más módon feldolgozott személyes adatok véletlen vagy jogellenes megsemmisítését, elveszítését, módosítását, jogosulatlan felfedését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.
(3)
A 2002/58/EK irányelv 4. cikkének (2), (3) és (4) bekezdésében említett intézkedések következetes végrehajtásának biztosítása érdekében az említett irányelv 4. cikkének (5) bekezdése felhatalmazza a Bizottságot, hogy műszaki végrehajtási intézkedéseket fogadjon el az említett cikkben foglalt tájékoztatási és értesítési követelményekre alkalmazandó körülményekre, formátumra és eljárásokra vonatkozóan.
(4)
Az e tekintetben fennálló különféle nemzeti követelmények jogbizonytalansághoz, bonyolultabb és nehézkesebb eljárásokhoz, valamint a több tagállamban is tevékenykedő szolgáltatók számára jelentős adminisztratív költségekhez vezethetnek. A Bizottság ezért szükségesnek tartja a vonatkozó műszaki végrehajtási intézkedések elfogadását.
(5)
E rendelet hatálya a személyes adatok megsértésének bejelentésére korlátozódik, ezért nem határoz meg műszaki végrehajtási intézkedéseket a 2002/58/EK irányelv 4. cikkének (2) bekezdésében foglalt - az előfizetőknek a hálózati biztonság megsértésének konkrét kockázata esetén történő értesítésével kapcsolatos - rendelkezések vonatkozásában.
(6)
A 2002/58/EK irányelv 4. cikke (3) bekezdésének első albekezdéséből az következik, hogy a szolgáltató a személyes adatok megsértését minden esetben köteles az illetékes nemzeti hatóságnak bejelenteni. Ezért a szolgáltatónak nem lehet mérlegelési jogköre abban a tekintetben, hogy az illetékes nemzeti hatóságnál bejelentést tesz-e vagy sem. Ez azonban nem lehet akadálya annak, hogy az érintett illetékes nemzeti hatóság a személyes adatok megsértésének egyes eseteit belátása szerint kiemelten kezelje a hatályos joggal összhangban, valamint hogy megtegye a szükséges lépéseket annak érdekében, hogy a személyes adatok megsértésének túlzó vagy elégtelen jelentését elkerülje.
(7)
Indokolt rendelkezni olyan rendszerről, amely a személyes adatok megsértésének a nemzeti hatóságoknál történő bejelentésére szolgál, és - bizonyos feltételek teljesülése esetén - különböző szakaszokból áll, melyek mindegyike határidőhöz van kötve. Ez a rendszer azt hivatott biztosítani, hogy az illetékes nemzeti hatóság mihamarabb minél teljesebb tájékoztatást kapjon, anélkül azonban, hogy ez akadályozná a szolgáltatót abban, hogy a jogsértést kivizsgálja, és megtegye a szükséges intézkedéseket annak érdekében, hogy gátat vessen neki és a következményeit orvosolja.
(8)
Sem a személyes adatok megsértésének puszta gyanúja, sem annak puszta ténye, hogy váratlan eseményt észleltek, amiről a szolgáltató minden erőfeszítése ellenére sem áll rendelkezésre elegendő információ, nem elegendő ahhoz, hogy e rendelet alkalmazásában úgy lehessen tekinteni, hogy személyes adat megsértésére derült fény. Ebben az összefüggésben különös figyelmet kell fordítani az I. mellékletben említett információk rendelkezésre állására.
(9)
E rendelet alkalmazása kapcsán az érintett illetékes nemzeti hatóságoknak indokolt együttműködniük a személyes adatok megsértésének azon eseteiben, amelyeknek van határokon átnyúló vetülete.
(10)
Ez a rendelet nem részletezi tovább a személyes adatok sérelmeinek a szolgáltatók általi kötelező nyilvántartására vonatkozó előírásokat, mivel a 2002/58/EK irányelv 4. cikke kimerítően rendelkezik a szóban forgó nyilvántartás tartalmáról. A szolgáltatók mindazonáltal támaszkodhatnak e rendeletre a nyilvántartás formátumának meghatározásakor.
(11)
Valamennyi nemzeti hatóságnak biztonságos elektronikus eszközt kell a szolgáltatók rendelkezésére bocsátania ahhoz, hogy azok közös, szabványos formátumban (pl. XML) tehessenek bejelentést a személyes adatok megsértéséről, az I. mellékletben meghatározott adatokat minden érintett nyelven feltüntetve, s ezáltal lehetővé téve, hogy az Unióban valamennyi szolgáltató - függetlenül székhelyétől vagy attól, hogy a személyes adat megsértésére hol került sor - hasonló bejelentési eljárást alkalmazzon. Ezzel összefüggésben a Bizottságnak elő kell segítenie a biztonságos elektronikus eszközök alkalmazását azzal, hogy szükség esetén találkozókra hívja az illetékes nemzeti hatóságokat.
(12)
Annak mérlegelésekor, hogy a személyes adatok megsértése várhatóan hátrányosan érinti-e az előfizető vagy a magánszemély személyes adatainak vagy magánéletének védelmét, figyelembe kell venni a vonatkozó személyes adatok jellegét és tartalmát, különös tekintettel arra, ha az adat pénzügyi információt, például hitelkártya- és bankszámlaadatokat, a 95/46/EK irányelv 8. cikkének (1) bekezdésében szereplő különleges adatkategóriákat, valamint bizonyos, kifejezetten a távközlési vagy internetszolgáltatáshoz kapcsolódó adatokat (például elektronikus levelezési adatok, helymeghatározó adatok, internetes naplófájlok, internetes böngészési előzmények és tételes híváslisták) érint.
(13)
Kivételes körülmények között lehetővé kell tenni, hogy a szolgáltató elhalassza az előfizető vagy magánszemély értesítését, ha az előfizető vagy magánszemély értesítése veszélyeztetné a személyes adatok megsértésének megfelelő kivizsgálását. Ebben az összefüggésben a kivételes körülmények bűnügyi nyomozást vagy a személyes adatok megsértésének egyéb olyan eseteit is felölelhetik, amelyek ugyan nem tekinthetők súlyos bűncselekménynek, de amelyek esetében indokolt lehet az értesítés elhalasztása. Mindenesetre az illetékes nemzeti hatóság feladata annak mérlegelése, hogy az adott esetben és a körülmények ismeretében hozzájárul-e az értesítés elhalasztásához vagy ellenkezőleg, megköveteli az értesítést.
(14)
A szolgáltatóknak rendelkezniük kell előfizetőik elérhetőségével, tekintettel a köztük fennálló közvetlen szerződéses jogviszonyra, azonban a személyes adatok megsértése által hátrányosan érintett egyéb magánszemélyekről nincs szükségképpen ilyen információjuk. Ilyen esetben lehetővé kell tenni, hogy a szolgáltató az érintett magánszemélyeket először a főbb országos vagy regionális tömegtájékoztatási eszközök útján, például napilapokban közzétett hirdetményeken keresztül értesítse, amit a lehető leghamarabb az e rendeletben előírt egyedi értesítésnek kell követnie. A szolgáltatónak tehát nem kötelessége a tömegtájékoztatás útján történő értesítés, hanem felhatalmazást kap arra, hogy belátása szerint így járjon el addig is, amíg még folyamatban van az érintettek teljes körének azonosítása.
(15)
A személyes adatok megsértéséről szóló tájékoztatásnak csakis a személyes adatok megsértéséről kell szólnia, és nem kapcsolható össze más témákról szóló információkkal. A személyes adatok megsértésére vonatkozó tájékoztatásnak a szokásos számlába való belefoglalása például nem tekinthető a személyes adatok megsértésére vonatkozó tájékoztatás megfelelő módjának.
(16)
Ez a rendelet nem határoz meg olyan különleges technológiai védelmi intézkedéseket, amelyek eltérést tennének indokolttá az előfizetőknek vagy magánszemélyeknek a személyes adatok megsértéséről való értesítésétől, mivel a szóban forgó intézkedések a technológia fejlődése következtében időközben változhatnak. A Bizottság azonban közzéteheti a jelenlegi gyakorlatnak megfelelő, ilyen jellegű technológiai védelmi intézkedések tájékoztató jellegű jegyzékét.
(17)
A titkosítás vagy kivonatolás (hashing) alkalmazása önmagában nem tekintendő elégségesnek ahhoz, hogy a szolgáltatók általánosságban azt állíthassák, hogy eleget tettek a 95/46/EK irányelv 17. cikkében meghatározott, a biztonságra vonatkozó általános kötelezettségüknek. E tekintetben a szolgáltatóknak megfelelő szervezeti és műszaki intézkedéseket is végre kell hajtaniuk a személyes adatok megsértésének megelőzése, felderítése és megszüntetése érdekében. Indokolt, hogy a szolgáltatók az ellenőrzések végrehajtása után esetlegesen fennmaradó kockázatot figyelembe vegyék annak felméréséhez, hogy potenciálisan hol fordulhat elő személyes adatok megsértése.
(18)
Ha a szolgáltató a szolgáltatások egy részét - például a számlázási vagy az igazgatási teendőket - egy másik szolgáltató igénybevételével teljesíti, a személyes adatok megsértésével kapcsolatos értesítés kötelezettsége nem hárítható át a végfelhasználóval közvetlen szerződéses jogviszonyban nem álló másik szolgáltatóra. A másik szolgáltatónak azt a szolgáltatót indokolt tájékoztatnia, akivel közvetlen szerződéses jogviszonyban áll. Ez alkalmazandó az elektronikus hírközlési szolgáltatások nagykereskedelmi értékesítése kapcsán is, ahol általános, hogy a nagykereskedelmi szolgáltató nem áll közvetlen szerződéses kapcsolatban a végfelhasználóval.
(19)
A 95/46/EK irányelv meghatározza a személyes adatok védelmének az Európai Unióban irányadó általános keretét. A Bizottság javaslatot terjesztett elő a 95/46/EK irányelvnek egy új európai parlamenti és tanácsi rendelettel (az adatvédelmi rendelettel) való felváltására. A javaslat értelmében az adatvédelmi rendelet - a 2002/58/EK irányelv 4. cikkének (3) bekezdése szellemében - minden adatkezelőt arra kötelezne, hogy a személyes adatok megsértéséről értesítést küldjön. Ez a bizottsági rendelet teljes összhangban van a javasolt intézkedéssel.
(20)
Az adatvédelmi rendeletre vonatkozó javaslat korlátozott számban olyan technikai kiigazításokat is tartalmaz, amelyeket a 2002/58/EK irányelven azért kell elvégezni, mert figyelembe kell venni, hogy a 95/46/EK irányelv rendeletté alakul át. Az új rendeletnek a 2002/58/EK irányelvet érintő érdemi jogi következményeit a Bizottság felülvizsgálatnak fogja alávetni.
(21)
E rendelet alkalmazását a hatálybalépése után három évvel indokolt felülvizsgálni, csakúgy, mint a tartalmát az akkor hatályos - a javasolt adatvédelmi rendeletet is magában foglaló - jogi keretre való figyelemmel. E rendelet felülvizsgálatára lehetőség szerint a 2002/58/EK irányelvnek egy majdani felülvizsgálatával együtt kell sort keríteni.
(22)
E rendelet alkalmazása többek között az illetékes nemzeti hatóságok által a személyes adatok megsértésének hozzájuk bejelentett eseteit feldolgozó statisztikák alapulvételével is értékelhető. E statisztikák kiterjedhetnek például a személyes adatok megsértésének az illetékes nemzeti hatósághoz bejelentett eseteinek számára, azon személyes adatok megsértésének eseteinek számára, amelyekről az előfizetőket vagy a magánszemélyeket tájékoztatták, a személyes adatok megsértésének orvoslására fordított időre, és arra, hogy hoztak-e technikai védelmi intézkedéseket. E statisztikáknak lehetővé kell tenniük, hogy a Bizottság és a tagállamok egységes és összehasonlítható statisztikai adatokhoz jussanak, és nem fedhetik fel sem az értesítést tevő szolgáltató, sem az érintett előfizetők vagy magánszemélyek kilétét. A Bizottság ebből a célból rendszeres találkozókat is szervezhet az illetékes nemzeti hatóságokkal és más érdekelt felekkel.
(23)
Az e rendeletben előírt intézkedések összhangban vannak a hírközlési bizottság véleményével,
ELFOGADTA EZT A RENDELETET:
1. cikk
Hatály
Ez a rendelet a személyes adatok megsértésének a nyilvánosan elérhető elektronikus hírközlési szolgáltatást nyújtó szolgáltatók („szolgáltatók”) általi bejelentésére vonatkozik.
2. cikk
Az illetékes nemzeti hatósághoz intézett bejelentés
(1) A szolgáltató a személyes adatok megsértésének valamennyi esetét köteles jelenteni az illetékes nemzeti hatóságnak.
(2) A szolgáltató a személyes adatok megsértésének észlelésétől számított lehetőleg 24 órán belül bejelenti az esetet az illetékes nemzeti hatóságnak.
A szolgáltatónak az illetékes nemzeti hatósághoz intézett bejelentésében fel kell tüntetnie az I. mellékletben meghatározott adatokat.
Úgy kell tekinteni, hogy személyes adatok megsértésének észlelésére került sor, ha egy, a személyes adatok megsértését eredményező biztonsági esemény bekövetkeztéről a szolgáltató kellő tudomást szerzett ahhoz, hogy e rendeletnek megfelelően érdemi értesítést tegyen.
(3) Amennyiben nem áll rendelkezésre az I. mellékletben előírt valamennyi adat, és a személyes adatok megsértésének esete további vizsgálatot igényel, megengedhető, hogy a szolgáltató a személyes adatok megsértésétől számított 24 órán belül első bejelentést intézzen az illetékes nemzeti hatósághoz. Az illetékes nemzeti hatósághoz intézett első bejelentésnek az I. melléklet 1. szakaszában előírt információkat kell tartalmaznia. A szolgáltatónak a lehető leghamarabb - legkésőbb az első bejelentést követő három napon belül - második bejelentést kell intéznie az illetékes nemzeti hatósághoz. A második bejelentésnek tartalmaznia kell az I. melléklet 2. szakaszában foglalt információkat, és szükség esetén aktualizálnia kell a már benyújtott információkat.
Amennyiben a szolgáltató az általa folytatott vizsgálat ellenére sem tudja valamennyi információt az első bejelentéstől számított háromnapos határidőn belül benyújtani, a szolgáltatónak a rendelkezésére álló lehető legtöbb információt be kell jelentenie ezen határidőn belül, és az illetékes nemzeti hatósághoz részletes indoklást kell benyújtania a fennmaradó információ késedelmes bejelentéséről. A szolgáltatónak a lehető leghamarabb sort kell kerítenie a fennmaradó információknak az illetékes hatósághoz való eljuttatására és - szükség esetén - a már benyújtott információk aktualizálására.
(4) Az illetékes nemzeti hatóságnak valamennyi, az érintett tagállamban letelepedett szolgáltatót el kell látnia egy, a személyes adatok megsértésének bejelentésére, valamint az eljárásokról szóló információkhoz való hozzáférésre és azok felhasználására szolgáló biztonságos elektronikus eszközzel. E rendelkezés alkalmazásának megkönnyítése céljából a Bizottság szükség esetén találkozókat szervez az illetékes nemzeti hatóságokkal.
(5) Ha a személyes adatok megsértése a személyes adatok megsértésének bejelentése szerinti illetékes nemzeti hatóság tagállamától eltérő tagállambeli előfizetőket vagy magánszemélyeket érint, az illetékes nemzeti hatóság értesíti a többi érintett nemzeti hatóságot.
E rendelkezés alkalmazásának megkönnyítésére a Bizottság összeállítja és naprakészen tartja az illetékes nemzeti hatóságok és a megfelelő kapcsolattartási pontok jegyzékét.
3. cikk
Az előfizető vagy a magánszemély értesítése
(1) Amennyiben a személyes adatok megsértése várhatóan hátrányosan érinti egy előfizető vagy magánszemély személyes adatainak vagy magánéletének védelmét, a szolgáltató a 2. cikkben említett bejelentésen felül az előfizetőt vagy a magánszemélyt is értesíti az eseményről.
(2) Azt, hogy a személyes adatok megsértése várhatóan hátrányosan érinti-e az előfizető vagy a magánszemély személyes adatainak vagy magánéletének védelmét, különösen a következő körülményekre való tekintettel kell mérlegelni:
a)
az érintett személyes adatok jellege és tartalma, különösen akkor, ha azok pénzügyi információkat, a 95/46/EK irányelv 8. cikkének (1) bekezdésében szereplő különleges adatkategóriákat, illetőleg helymeghatározó adatokat, internetes naplófájlokat, internetes böngészési előzményeket, elektronikus levelezési adatokat és tételes híváslistákat érintenek;
b)
a személyes adatok megsértésének várható következményei az érintett előfizetőre vagy magánszemélyre nézve, különösen akkor, ha a személyes adatok megsértése személyazonosság-lopáshoz, személyazonossággal való visszaéléshez, testi sérelemhez, lelki gyötrelemhez, a becsület csorbításához vagy hírnévrontáshoz vezethet; valamint
c)
a személyes adatok megsértésének körülményei, különösen akkor, ha az adatok eltulajdonítására került sor, vagy a szolgáltató tud róla, hogy az adatok jogosulatlan harmadik fél tulajdonában vannak.
(3) Az előfizető, illetőleg a magánszemély értesítésére a személyes adatok megsértésének - a 2. cikk (2) bekezdése harmadik albekezdésének megfelelő - észlelése után indokolatlan késedelem nélkül sort kell keríteni. Ez nem függ a személyes adat megsértéséről az illetékes nemzeti hatósághoz a 2. cikk értelmében intézendő bejelentéstől.
(4) A szolgáltató az előfizetőhöz vagy magánszemélyhez intézett értesítésében feltünteti a II. mellékletben meghatározott adatokat. Az előfizetőhöz vagy magánszemélyhez intézett értesítést világosan és közérthetően kell megfogalmazni. A szolgáltató nem használhatja fel az értesítést új vagy kiegészítő szolgáltatások népszerűsítésére vagy reklámozására.
(5) Kivételes körülmények között, ha az előfizető, illetőleg a magánszemély értesítése veszélyeztetheti a személyes adat megsértésének megfelelő kivizsgálását, a szolgáltató - az illetékes nemzeti hatóság előzetes jóváhagyásával - olyan időpontra halaszthatja az előfizető, illetőleg a magánszemély értesítését, amelyet az illetékes nemzeti hatóság már alkalmasnak tart a személyes adat megsértéséről szóló, e cikk szerinti értesítés megtételére.
(6) A szolgáltató az előfizetőt, illetőleg a magánszemélyt olyan kommunikációs eszközzel értesíti a személyes adatok megsértéséről, amely biztosítja az információ gyors célba érését, és amely a tudomány és a technika mindenkori állása szerint megfelelően biztonságos. A személyes adatok megsértéséről szóló tájékoztatás csakis a személyes adatok megsértéséről szólhat, és más tárgyú tájékoztatással nem kapcsolható össze.
(7) Amennyiben a végfelhasználóval közvetlen szerződéses jogviszonyban álló szolgáltató - annak ellenére, hogy megfelelő erőfeszítéseket tett - nem tudja azonosítani a (3) bekezdésben említett határidőn belül azokat a magánszemélyeket, akiket a személyes adatok megsértése várhatóan hátrányosan érint, a szolgáltató ezeket a magánszemélyeket a megadott határidőn belül a megfelelő tagállam főbb országos vagy regionális tömegtájékoztatási eszközei útján közzétett hirdetmények révén is értesítheti. E hirdetményeknek tartalmazniuk kell a II. mellékletben meghatározott információkat, szükség esetén tömörített formában. Ez esetben a szolgáltatónak továbbra is minden ésszerű erőfeszítést meg kell tennie az érintett magánszemélyek azonosítására és a II. mellékletben meghatározott információkról való mihamarabbi értesítésére.
4. cikk
Technológiai védelmi intézkedések
(1) A 3. cikk (1) bekezdésétől eltérve az érintett előfizetőt vagy magánszemélyt nem kötelező értesíteni a személyes adatainak megsértéséről, ha a szolgáltató az illetékes nemzeti hatóság számára kielégítően igazolta, hogy megfelelő technológiai védelmi intézkedéseket vezetett be, és hogy a szóban forgó intézkedések alkalmazásra kerültek a biztonság sérelmével érintett adatok esetében. E technológiai védelmi intézkedéseknek értelmezhetetlenné kell tenniük az adatokat a hozzáférési joggal nem rendelkező személyek számára.
(2) Az adatok értelmezhetetlennek tekinthetők, ha:
a)
szabványos algoritmussal biztonságosan titkosítva vannak, az adatok dekódolásához használt kulcsot nem veszélyeztette a biztonságnak semmilyen megsértése, és az adatok dekódolásához használt kulcs úgy került generálásra, hogy az elérhető technológiai eszközökkel azt senki olyan nem derítheti ki, aki a kulcshoz nem jogosult hozzáférni; vagy
b)
kriptográfiai kulcsos szabványos hash függvénnyel kiszámolt hash értékkel helyettesítésre kerültek, az adatok hasítására használt kulcsot nem veszélyeztette a biztonságnak semmilyen megsértése, és az adatok hasításához használt kulcs úgy került generálásra, hogy az elérhető technológiai eszközökkel azt senki olyan nem derítheti ki, aki a kulcshoz nem jogosult hozzáférni.
(3) A Bizottság, miután a 29. cikk szerinti munkacsoporton keresztül egyeztetett az illetékes hatóságokkal, valamint egyeztetett az Európai Hálózat- és Információbiztonsági Ügynökséggel és az európai adatvédelmi biztossal, közzéteheti a jelenlegi gyakorlat szerint megfelelő, az (1) bekezdésben említett technológiai védelmi intézkedések tájékoztató jellegű jegyzékét.
5. cikk
Másik szolgáltató igénybevétele
Amennyiben az elektronikus hírközlési szolgáltatás egy részének nyújtásával másik szolgáltatót bíztak meg, amely nem áll közvetlen szerződéses jogviszonyban az előfizetőkkel, a személyes adatok megsértése esetén ez a másik szolgáltató az őt megbízó szolgáltatót köteles haladéktalanul értesíteni.
6. cikk
Jelentéstétel és felülvizsgálat
A Bizottság e rendelet hatálybalépésétől számított három éven belül jelentést készít e rendelet alkalmazásáról, továbbá annak eredményességéről és a szolgáltatókat, az előfizetőket, illetve a magánszemélyeket érintő hatásairól. A Bizottság a szóban forgó jelentés alapján felülvizsgálja a rendeletet.
7. cikk
Hatálybalépés
Ez a rendelet 2013. augusztus 25-én lép hatályba.
Ez a rendelet teljes egészében kötelező és közvetlenül alkalmazandó valamennyi tagállamban.
Kelt Brüsszelben, 2013. június 24-én.