NAŘÍZENÍ KOMISE (EU) č. 611/2013
ze dne 24. června 2013
o opatřeních vztahujících se na oznámení o narušení bezpečnosti osobních údajů podle směrnice Evropského parlamentu a Rady 2002/58/ES o soukromí a elektronických komunikacích
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (Směrnice o soukromí a elektronických komunikacích) (1), a zejména na čl. 4 odst. 5 uvedené směrnice,
po konzultaci s Evropskou agenturou pro bezpečnost sítí a informací (ENISA),
po konzultaci s pracovní skupinou pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízenou článkem 29 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (2) (dále jen „pracovní skupina zřízená podle článku 29“),
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
Směrnice 2002/58/ES harmonizuje předpisy členských států požadované pro zajištění rovnocenné úrovně ochrany základních práv a svobod, zejména práva na soukromí a zachování důvěrnosti informací, se zřetelem na zpracování osobních údajů v odvětví elektronických komunikací, a pro zajištění volného pohybu těchto údajů a elektronických komunikačních zařízení a služeb v Unii.
(2)
Podle článku 4 směrnice 2002/58/ES jsou poskytovatelé veřejně dostupných služeb elektronických komunikací povinni oznámit narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům a v některých případech také dotčeným účastníkům a jednotlivcům. Narušení bezpečnosti osobních údajů je definováno v čl. 2 písm. i) směrnice 2002/58/ES jako narušení bezpečnosti, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně či neoprávněnému vyzrazení nebo zpřístupnění osobních údajů přenášených, uchovávaných nebo jinak zpracovávaných v souvislosti s poskytováním veřejně dostupné služby elektronických komunikací v Unii.
(3)
Pro zajištění důsledného provádění opatření uvedených v čl. 4 odst. 2, 3 a 4 směrnice 2002/58/ES se v čl. 4 odst. 5 uvedeného nařízení Komise zmocňuje k přijetí technických prováděcích opatření týkajících se okolností, formátu a postupů, jež se vztahují na požadavky informování a oznamování podle uvedeného článku.
(4)
Rozdílné požadavky členských států v tomto ohledu mohou vést k právní nejistotě, složitějším a zdlouhavějším postupům a značným administrativním nákladům poskytovatelů, kteří působí v přeshraničním styku. Komise proto zastává názor, že je nutné přijmout tato technická prováděcí opatření.
(5)
Toto nařízení se omezuje na oznámení o narušení bezpečnosti osobních údajů, a proto nestanoví technická prováděcí opatření týkající se čl. 4 odst. 2 směrnice 2002/58/ES o informování účastníků v případě zvláštního rizika narušení bezpečnosti sítě.
(6)
Z čl. 4 odst. 3 prvního pododstavce směrnice 2002/58/ES vyplývá, že poskytovatelé by měli oznámit příslušnému vnitrostátnímu orgánu všechny případy narušení bezpečnosti osobních údajů. Rozhodnutí, zda je či není třeba oznámit narušení příslušnému vnitrostátnímu orgánu, by proto nemělo být ponecháno na vůli poskytovatele. To by však nemělo bránit příslušnému vnitrostátnímu orgánu, aby v souladu s platnými právními předpisy nepřistoupil k vyšetřování některých narušení přednostně podle jejich důležitosti a nepodnikl kroky nezbytné k tomu, aby se zabránilo přílišnému nebo nedostatečnému hlášení o narušení bezpečnosti osobních údajů.
(7)
Je třeba stanovit systém pro oznamování narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu, který by za splnění některých podmínek sestával z různých etap, pro něž by platily konkrétní lhůty. Systém by měl zajistit, aby příslušný vnitrostátní orgán byl informován co nejdříve a co nejúplněji, aniž by se tím neodůvodněně bránilo poskytovateli ve snaze narušení vyšetřit a přijmout nezbytná opatření k jeho omezení a nápravě důsledků.
(8)
Pouhé podezření, že došlo k narušení bezpečnosti osobních údajů, ani pouhé zjištění události bez dostatečných informací, které se ani přes největší úsilí nepodařilo poskytovateli získat, nepostačuje pro účely tohoto nařízení k tomu, aby bylo možné konstatovat, že došlo k odhalení narušení bezpečnosti osobních údajů. Zvláštní ohled je v této souvislosti třeba věnovat dostupnosti informací uvedených v příloze I.
(9)
V souvislosti s uplatňováním tohoto nařízení by v případech narušení bezpečnosti osobních údajů s přeshraničním rozměrem měly příslušné vnitrostátní orgány mezi sebou spolupracovat.
(10)
Toto nařízení nestanoví žádné upřesnění přehledu narušení bezpečnosti osobních údajů, které mají provozovatelé vést, protože v článku 4 směrnice 2002/58/ES je jeho obsah stanoven vyčerpávajícím způsobem. Poskytovatelé však při určování formátu přehledu mohou použít odkaz na toto nařízení.
(11)
Všechny příslušné vnitrostátní orgány by měly poskytovatelům zpřístupnit bezpečné elektronické prostředky umožňující oznamovat narušení bezpečnosti osobních údajů ve společném formátu, a to na základě normy, jako je např. XML, který bude obsahovat údaje stanovené v příloze I v příslušných jazycích tak, aby všichni poskytovatelé v rámci Unie mohli používat obdobný postup oznamování bez ohledu na to, kde se nacházejí nebo kde došlo k narušení bezpečnosti osobních údajů. V této souvislosti by Komise podle potřeby měla usnadnit zavádění bezpečných elektronických prostředků pořádáním setkání s příslušnými vnitrostátními orgány.
(12)
Při posuzování, zda by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno vzít v úvahu zejména povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, jako jsou např. údaje o kreditní kartě nebo bankovním účtu, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES a některé údaje, které se konkrétně týkají poskytování telefonních a internetových služeb, tj. údaje o elektronické poště, lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek a podrobné rozpisy uskutečněných volání.
(13)
Za výjimečných okolností, jestliže by oznámení účastníkovi nebo jednotlivci mohlo ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, by poskytovatel měl mít možnost oznámení účastníkovi nebo jednotlivci pozdržet. V tomto ohledu mohou výjimečné okolnosti zahrnovat trestní vyšetřování, jakož i další narušení bezpečnosti osobních údajů, která nelze považovat za závažnou trestnou činnost, kvůli nimž však může být vhodné oznámení odložit. Příslušný vnitrostátní orgán by za všech okolností měl v každém jednotlivém případě a s ohledem na okolnosti posoudit, zda se oznámení odloží, nebo zda bude vyžadováno.
(14)
Zatímco poskytovatelé by díky přímému smluvnímu vztahu měli mít kontaktní údaje svých účastníků, o ostatních jednotlivcích nepříznivě ovlivněných narušením bezpečnosti osobních údajů tyto informace mít nemusí. V takovém případě by poskytovatel měl mít možnost nejprve tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích, např. v novinách, a následně jim tuto skutečnost co nejdříve oznámit jednotlivě, jak je stanoveno v tomto nařízení. Poskytovatel jako takový tedy není povinen zveřejnit informace v médiích, ale je oprávněn postupovat případně tímto způsobem, pokud stále ještě probíhá zjišťování totožnosti ovlivněných jednotlivců.
(15)
Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi. Za přiměřený prostředek oznámení o narušení bezpečnosti osobních údajů by například nemělo být považováno uvedení informace o narušení bezpečnosti osobních údajů v běžné faktuře.
(16)
Toto nařízení nestanoví žádná zvláštní technická ochranná opatření, která odůvodňují odchylku od povinnosti oznamovat narušení bezpečnosti osobních údajů účastníkům nebo jednotlivcům, neboť ta se mohou v důsledku technologického pokroku v průběhu času měnit. Komise by však měla mít možnost zveřejnit orientační seznam těchto zvláštních technických ochranných opatření v souladu s platnými postupy.
(17)
Kódování nebo hašování nelze samo o sobě považovat za dostatečný způsob ochrany, který by poskytovatelům obecně umožňoval tvrdit, že splnili všechny všeobecné bezpečnostní povinnosti stanovené v článku 17 směrnice 95/46/ES. V tomto ohledu by poskytovatelé měli také provádět vhodná organizační a technická opatření na prevenci, odhalování a zamezení narušení bezpečnosti osobních údajů. Poskytovatelé by měli zvážit veškerá rizika, která mohou přetrvávat po provedení kontrol, aby bylo možné rozpoznat, kde může dojít k narušení bezpečnosti osobních údajů.
(18)
Pokud provozovatel k poskytování služeb částečně používá jiného poskytovatele, např. pro účely účtování nebo řízení, tento jiný poskytovatel, který není v přímém smluvním vztahu s koncovým uživatelem, by neměl mít povinnost v případě narušení bezpečnosti osobních údajů podávat oznámení. Místo toho by měl uvědomit a informovat poskytovatele, s nímž má přímý smluvní vztah. To by mělo platit i v souvislosti s velkoobchodním poskytováním služeb elektronických komunikací, kde obvykle velkoobchodní poskytovatel není v přímém smluvním vztahu s koncovým uživatelem.
(19)
Směrnice 95/46/ES vymezuje obecný rámec pro ochranu osobních údajů v Evropské unii. Komise předložila návrh nařízení Evropského parlamentu a Rady (dále jako „nařízení o ochraně údajů“), které by mělo směrnici 95/46/ES nahradit. Navrhované nařízení o ochraně údajů by na základě čl. 4 odst. 3 směrnice 2002/58/ES zavedlo pro všechny správce povinnost oznamovat narušení bezpečnosti osobních údajů. Toto nařízení Komise je s tímto opatřením plně v souladu.
(20)
Navrhované nařízení o ochraně údajů v omezeném rozsahu rovněž provádí technické úpravy ve směrnici 2002/58/ES s ohledem na změnu směrnice 95/46/ES na nařízení. Podstatné právní důsledky nového nařízení pro směrnici 2002/58/ES budou předmětem přezkumu, který provede Komise.
(21)
Uplatňování tohoto nařízení by mělo být přezkoumáno tři roky po jeho vstupu v platnost a jeho obsah by měl být přezkoumán s ohledem na právní rámec, který bude v platnosti v uvedené době, včetně navrhovaného nařízení o ochraně údajů. Přezkum tohoto nařízení by měl v budoucnosti být, bude-li to možné, spojen s každým přezkumem směrnice 2002/58/ES.
(22)
Uplatňování tohoto nařízení může být posuzováno mimo jiné na základě statistických údajů, které příslušné vnitrostátní orgány vedou o narušeních bezpečnosti osobních údajů, o nichž byly informovány. Tyto statistiky mohou zahrnovat např. informace o počtu narušení bezpečnosti osobních údajů oznámených příslušnému vnitrostátnímu orgánu, počtu případů narušení bezpečnosti osobních údajů oznámených účastníkovi nebo jednotlivci, době potřebné na vyřešení narušení bezpečnosti osobních údajů, a informace o tom, zda byla přijata technická ochranná opatření. Tyto statistiky by měly poskytovat Komisi a členským státům konzistentní a srovnatelné statistické údaje a neměly by odhalovat totožnost oznamujícího poskytovatele ani dotčených účastníků nebo jednotlivců. Komise může za tímto účelem rovněž pořádat pravidelná setkání s příslušnými vnitrostátními orgány a jinými zúčastněnými stranami.
(23)
Opatření tohoto nařízení jsou v souladu se stanoviskem Komunikačního výboru,
PŘIJALA TOTO NAŘÍZENÍ:
Článek 1
Oblast působnosti
Toto nařízení se vztahuje na oznámení poskytovatelů veřejně dostupných služeb elektronických komunikací (dále jen „poskytovatel“) o narušení bezpečnosti osobních údajů.
Článek 2
Oznámení příslušnému vnitrostátnímu orgánu
1. Poskytovatel oznámí všechna narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu.
2. Poskytovatel oznámí narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu nejpozději 24 hodin po zjištění narušení bezpečnosti osobních údajů, pokud je to proveditelné.
Poskytovatel ve svém oznámení příslušnému vnitrostátnímu orgánu uvede informace stanovené v příloze I.
Za zjištění narušení bezpečnosti osobních údajů se považuje situace, kdy poskytovatel získal dostatečné informace o tom, že došlo k bezpečnostní události, která měla za následek narušení osobních údajů, aby podal opodstatněné oznámení podle tohoto nařízení.
3. Jestliže nejsou k dispozici všechny informace stanovené v příloze I a je nutné další vyšetřování narušení bezpečnosti osobních údajů, může poskytovatel podat první oznámení příslušnému vnitrostátnímu orgánu nejpozději do 24 hodin po zjištění narušení bezpečnosti osobních údajů. Toto první oznámení příslušnému vnitrostátnímu orgánu musí obsahovat informace stanovené v příloze I oddíle 1. Poskytovatel je povinen podat příslušnému vnitrostátnímu orgánu co nejdříve, nejpozději do tří dnů po prvním oznámení, druhé oznámení. Toto druhé oznámení obsahuje informace stanovené v příloze I oddíle 2 a v případě potřeby aktualizuje již poskytnuté údaje.
Jestliže poskytovatel ani po vyšetřování nemůže ve lhůtě tří dnů od prvního oznámení poskytnout všechny informace, oznámí všechny informace, které má v této lhůtě k dispozici a předloží příslušnému vnitrostátnímu orgánu odůvodnění, proč musí být zbývající informace oznámeny později. Poskytovatel co možná nejdříve oznámí zbývající informace příslušnému vnitrostátnímu orgánu a v případě potřeby aktualizuje již poskytnuté údaje.
4. Příslušný vnitrostátní orgán poskytne všem poskytovatelům usazeným v dotčeném členském státě bezpečný elektronický prostředek pro oznamování narušení bezpečnosti osobních údajů a informace o postupech přístupu k němu a jeho používání. V zájmu snazšího uplatňování tohoto ustanovení Komise podle potřeby pořádá pravidelná setkání s příslušnými vnitrostátními orgány.
5. V případě, že se narušení bezpečnosti osobních údajů týká účastníků nebo jednotlivců z jiných členských států, než je členský stát příslušného vnitrostátního orgánu, jemuž bylo narušení bezpečnosti osobních údajů oznámeno, příslušný vnitrostátní orgán informuje orgány ostatních dotčených členských států.
Pro usnadnění uplatňování tohoto ustanovení Komise vytvoří a povede seznam příslušných vnitrostátních orgánů a příslušných kontaktních míst.
Článek 3
Oznámení účastníkovi nebo jednotlivci
1. Pokud by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, musí poskytovatel kromě oznámení uvedeného v článku 2 toto porušení oznámit rovněž účastníkovi nebo jednotlivci.
2. Při posuzování, zda narušení bezpečnosti osobních údajů může mít nepříznivý vliv na osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno brát ohled zejména na tyto okolnosti:
a)
povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES, jakož i lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek, údaje týkající se elektronické pošty a podrobné údaje o uskutečněných voláních;
b)
pravděpodobné důsledky narušení bezpečnosti osobních údajů pro dotčeného účastníka nebo jednotlivce, zejména tehdy, kdy by porušení mohlo vést ke krádeži nebo zneužití, fyzické újmě, psychickému strádání, ponížení nebo poškození pověsti a
c)
okolnosti narušení bezpečnosti osobních údajů, zejména pokud byly údaje odcizeny nebo pokud je poskytovateli známo, že údaje jsou v držení neoprávněné třetí strany.
3. Oznámení účastníkovi nebo jednotlivci musí být učiněno bez zbytečného odkladu po zjištění narušení bezpečnosti osobních údajů v souladu s čl. 2 odst. 2 třetím pododstavcem. Nesmí záviset na oznámení o narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům podle článku 2.
4. Poskytovatel ve svém oznámení účastníkovi nebo jednotlivci uvede informace stanovené v příloze II. Oznámení účastníkovi nebo jednotlivci musí být jasné a srozumitelné. Poskytovatel nesmí využít oznámení jako příležitost k propagaci nebo nabídce nových či doplňkových služeb.
5. Ve výjimečných případech, kdy oznámení účastníkovi nebo jednotlivci může ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, má poskytovatel možnost po získání souhlasu příslušného vnitrostátního orgánu oznámení účastníkovi nebo jednotlivci pozdržet, dokud příslušný vnitrostátní orgán neusoudí, že je možné oznámit narušení bezpečnosti osobních údajů podle tohoto článku.
6. Poskytovatel oznámí účastníkovi nebo jednotlivci narušení bezpečnosti osobních údajů takovým způsobem, který umožňuje rychlé předání informací a který je podle nejnovějších poznatků náležitě zabezpečen. Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi.
7. Pokud poskytovatel, který je v přímém smluvním vztahu s koncovým uživatelem, ani přes vynaložené úsilí není schopen ve lhůtě uvedené v odstavci 3 určit všechny jednotlivce, kteří by narušením bezpečnosti osobních údajů mohli být nepříznivě ovlivněni, může v uvedené lhůtě tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích v příslušných členských státech. Uvedená oznámení musí obsahovat informace stanovené v příloze II, v případě potřeby ve stručné formě. V takovém případě poskytovatel pokračuje v úsilí vedoucím k identifikaci těchto jednotlivců a co nejdříve jim oznámí informace uvedené v příloze II.
Článek 4
Technická ochranná opatření
1. Odchylně od čl. 3 odst. 1 se oznámení o narušení bezpečnosti osobních údajů dotčenému účastníkovi nebo jednotlivci nevyžaduje, pokud poskytovatel ke spokojenosti příslušného vnitrostátního orgánu prokázal, že zavedl náležitá technická ochranná opatření a že tato opatření byla na údaje, jichž se narušení bezpečnosti týká, použita. Tato technická ochranná opatření zajistí, aby údaje nebyly srozumitelné pro nikoho, kdo není k přístupu k nim oprávněn.
2. Údaje se považují za nesrozumitelné, jestliže:
a)
byly bezpečně zašifrovány normalizovaným algoritmem, klíč použitý k dešifrování údajů nebyl žádným narušením bezpečnosti ohrožen a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu, nebo
b)
byly nahrazeny svou zahašovanou hodnotou vypočítanou pomocí normalizované kryptografické hašovací funkce s klíčem, klíč použitý k hašování údajů nebyl ohrožen žádným narušením bezpečnosti a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu.
3. Komise může po konzultaci s příslušnými vnitrostátními orgány prostřednictvím pracovní skupiny zřízené podle článku 29, Evropskou agenturou pro bezpečnost sítí a informací a evropským inspektorem ochrany údajů zveřejnit orientační seznam vhodných technických ochranných opatření uvedených v odstavci 1 v souladu s platnými postupy.
Článek 5
Použití jiného poskytovatele
Jestliže je jiný poskytovatel smluvně zavázán, aby poskytl část služeb elektronických komunikací, aniž by byl v přímém smluvním vztahu s účastníky, tento další poskytovatel v případě, že došlo k narušení bezpečnosti osobních údajů, okamžitě informuje smluvního poskytovatele.
Článek 6
Podávání zpráv a přezkum
Do tří let od vstupu tohoto nařízení v platnost Komise předloží zprávu o uplatňování tohoto nařízení, jeho účinnosti a dopadu na poskytovatele, účastníky a jednotlivce. Na základě uvedené zprávy Komise toto nařízení přezkoumá.
Článek 7
Vstup v platnost
Toto nařízení vstupuje v platnost dne 25. srpna 2013.
Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.
V Bruselu dne 24. června 2013.
KOMISIJAS REGULA (ES) Nr. 611/2013
(2013. gada 24. jūnijs)
par pasākumiem, kas piemērojami paziņošanai par personas datu aizsardzības pārkāpumiem saskaņā ar Eiropas Parlamenta un Padomes Direktīvu 2002/58/EK par privātumu un elektronisko komunikāciju
EIROPAS KOMISIJA,
ņemot vērā Līgumu par Eiropas Savienības darbību,
ņemot vērā Eiropas Parlamenta un Padomes 2002. gada 12. jūlija Direktīvu 2002/58/EK par personas datu apstrādi un privātās dzīves aizsardzību elektronisko komunikāciju nozarē (direktīva par privāto dzīvi un elektronisko komunikāciju) (1) un jo īpaši tās 4. panta 5. punktu,
apspriedusies ar Eiropas Tīklu un informācijas drošības aģentūru (ENISA),
apspriedusies ar Darba grupu fizisku personu aizsardzībai attiecībā uz personas datu apstrādi, kas izveidota saskaņā ar 29. pantu Eiropas Parlamenta un Padomes 1995. gada 24. oktobra Direktīvā 95/46/EK par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un par šādu datu brīvu apriti (2) (29. pantā minētā darba grupa),
apspriedusies ar Eiropas Datu aizsardzības uzraudzītāju (EDAU),
tā kā:
(1)
Direktīva 2002/58/EK paredz dalībvalstu to noteikumu saskaņošanu, ar kuriem jānodrošina pamattiesību un pamatbrīvību līdzvērtīgs aizsardzības līmenis, un jo īpaši tiesības uz privāto dzīvi un konfidencialitāti saistībā ar personas datu apstrādi elektronisko komunikāciju nozarē, kā arī jānodrošina šo datu un elektronisko komunikāciju iekārtu un pakalpojumu brīva aprite Savienībā.
(2)
Saskaņā ar Direktīvas 2002/58/EK 4. pantu publiski pieejamu elektronisko komunikāciju pakalpojumu sniedzējiem par personas datu aizsardzības pārkāpumu ir jāpaziņo kompetentajām valsts iestādēm un noteiktos gadījumos arī abonentiem un individuālajiem lietotājiem. Personas datu aizsardzības pārkāpums ir definēts Direktīvas 2002/58/EK 2. panta i) punktā kā drošības pārkāpums, kura rezultātā notiek nejauša vai nelikumīga nosūtīto, uzglabāto vai citādi apstrādāto personas datu iznīcināšana vai nejauša zaudēšana, pārveidošana, neatļauta vai nelikumīga izpaušana vai piekļuve, un jebkurš cits nelikumīgs apstrādes veids, kas saistīts ar noteikumu par publiski pieejamiem komunikāciju pakalpojumiem Savienībā.
(3)
Lai nodrošinātu Direktīvas 2002/58/EK 4. panta 2., 3. un 4. punktā minēto pasākumu īstenošanas konsekvenci, ar minētās direktīvas 4. panta 5. punktu Komisija ir pilnvarota pieņemt tehniskus īstenošanas pasākumus attiecībā uz attiecīgajā pantā minēto informēšanas un paziņošanas prasību piemērošanas apstākļiem, veidu un kārtību.
(4)
Šajā ziņā dažādas valstu prasības var novest pie tiesiskas nenoteiktības, sarežģītākām un apgrūtinošām procedūrām un ievērojamām administratīvām izmaksām tiem pakalpojumu sniedzējiem, kas darbojas pārrobežu režīmā. Tāpēc Komisija uzskata, ka ir nepieciešams pieņemt šādus tehniskus īstenošanas pasākumus.
(5)
Šī regula attiecas tikai uz paziņošanu par personas datu aizsardzības pārkāpumiem, tātad tajā nav izklāstīti tehniski īstenošanas pasākumi saistībā ar Direktīvas 2002/58/EK 4. panta 2. punktu par abonentu informēšanu tīkla drošības pārkāpuma īpaša riska gadījumā.
(6)
No Direktīvas 2002/58/EK 4. panta 3. punkta pirmās daļas izriet, ka pakalpojumu sniedzējiem būtu jāpaziņo kompetentajai valsts iestādei par visiem personas datu aizsardzības pārkāpumiem. Tas, vai paziņot kompetentajai valsts iestādei par personas datu aizsardzības pārkāpumu, nebūtu atstājams pakalpojumu sniedzēja ziņā. Tomēr minētais noteikums neliedz attiecīgajai kompetentajai valsts iestādei pēc saviem ieskatiem un saskaņā ar spēkā esošajiem tiesību aktiem noteikt, kuru konkrētu pārkāpumu izmeklēšana būtu uzskatāma par prioritāti, un veikt nepieciešamos pasākumus, lai ziņošana par personas datu aizsardzības pārkāpumiem nebūtu nepietiekama vai pārmērīga.
(7)
Būtu lietderīgi izstrādāt sistēmu, saskaņā ar kuru personas datu aizsardzības pārkāpumus paziņo kompetentajai valsts iestādei un kurai pie zināmiem nosacījumiem ir atšķirīgi līmeņi, uz katru no kuriem attiecas noteikti termiņi. Šādas sistēmas uzdevums būtu nodrošināt, ka kompetentā iestāde tiek informēta pēc iespējas agrāk un pilnīgāk, tomēr nevajadzīgi nekavējot pakalpojumu sniedzēja centienus izmeklēt pārkāpumu un veikt vajadzīgos pasākumus, lai to apturētu un likvidētu pārkāpuma sekas.
(8)
Vienkāršas aizdomas, ka ir noticis personas datu aizsardzības pārkāpums, vai vienkāršs konstatējums, ka ir noticis drošības incidents, bet par to nav pieejams pietiekami daudz informācijas par spīti pakalpojumu sniedzēja centieniem šajā sakarībā, nav pietiekams iemesls, lai uzskatītu, ka ir noticis personas datu aizsardzības pārkāpums šīs regulas izpratnē. Īpaša vērība saistībā ar minēto būtu jāpievērš tam, vai ir pieejama I pielikumā minētā informācija.
(9)
Piemērojot šo regulu, attiecīgajām kompetentajām valsts iestādēm būtu jāsadarbojas personas datu aizsardzības pārkāpumu lietās, kam ir pārrobežu raksturs.
(10)
Šī regula neparedz papildu specifikācijas attiecībā uz personas datu aizsardzības pārkāpumu reģistru, kas jāuztur pakalpojumu sniedzējam, jo tā saturs izsmeļoši precizēts Direktīvas 2002/58/EK 4. pantā. Tomēr pakalpojumu sniedzēji var atsaukties uz šo regulu, lai noteiktu reģistra formātu.
(11)
Visām kompetentajām valsts iestādēm būtu pakalpojumu lietotājiem jādara pieejami droši elektroniski līdzekļi, kā par personas datu aizsardzības pārkāpumiem sniegt paziņojumu vienotā formātā, kura pamatā ir noteikts standarts, piemēram, XML, un kurš satur I pielikumā norādīto informāciju attiecīgajās valodās, lai visi pakalpojumu sniedzēji Savienībā varētu ievērot līdzīgu informēšanas kārtību neatkarīgi no atrašanās vietas vai personas datu aizsardzības pārkāpuma norises vietas. Komisijai šajā sakarībā būtu jāveicina drošu elektronisko līdzekļu ieviešana, vajadzības gadījumā sasaucot sanāksmes ar kompetento valsts iestāžu piedalīšanos.
(12)
Izvērtējot, vai personas datu aizsardzības pārkāpums varētu negatīvi ietekmēt abonenta vai individuāla lietotāja personas datus vai privātumu, jo īpaši jāņem vērā attiecīgo personas datu būtība un saturs, proti, vai tie ir ar finanšu informāciju saistīti dati, piemēram, kredītkaršu vai bankas konta dati, Direktīvas 95/46/EK 8. panta 1. punktā minētās īpašās datu kategorijas un noteikti dati, kas specifiski saistīti ar telefonijas vai interneta pakalpojumu sniegšanu, t. i., e-pasta dati, atrašanās vietas dati, interneta žurnālfaili, tīmekļa pārlūkošanas vēsture un detalizēta zvanu informācija.
(13)
Ārkārtas apstākļos vajadzētu būt pieļaujamam, ka pakalpojumu sniedzējs abonentu vai individuālo lietotāju var informēt ar aizkavēšanos, ja abonenta vai individuālā lietotāja informēšana var apdraudēt personas datu aizsardzības pārkāpuma pienācīgu izmeklēšanu. Šajā kontekstā ārkārtas apstākļi var būt kriminālizmeklēšana, kā arī citi personas datu aizsardzības pārkāpumi, kas gan nav uzskatāmi par nopietnu noziegumu, bet kuru dēļ varētu būt lietderīgi paziņošanu atlikt. Jebkurā gadījumā kompetentajai valsts iestādei katrā gadījumā atsevišķi un ievērojot apstākļus būtu jāizvērtē, vai piekrist atlikšanai vai noteikt, ka par pārkāpumu ir jāpaziņo.
(14)
Ņemot vērā tiešās līgumattiecības, pakalpojumu sniedzēju rīcībā vajadzētu būt abonentu kontaktinformācijai, taču šāda informācija var arī nebūt pieejama par citiem individuāliem lietotājiem, kurus negatīvi ietekmējis personas datu aizsardzības pārkāpums. Tādā gadījumā vajadzētu atļaut pakalpojumu sniedzējam šos individuālos lietotājus informēt, sākumā publicējot sludinājumus lielākajos valsts un reģionālajos plašsaziņas līdzekļos, piemēram, laikrakstos, un pēc tam pēc iespējas drīzāk tiem paziņot individuāli, kā paredzēts šajā regulā. Tādējādi informēt individuālos lietotājus ar plašsaziņas līdzekļu starpniecību nav pakalpojumu sniedzēja obligāts pienākums, bet, kamēr norit pārkāpuma skarto individuālo lietotāju identificēšana, būtu ieteicams rīkoties šādā veidā, ja pakalpojumu sniedzējs tā vēlas.
(15)
Informācijai par pārkāpumu vajadzētu attiekties tikai uz pārkāpumu, nevis uz kādu citu tematu. Piemēram, ja informāciju par personas datu aizsardzības pārkāpumu iekļauj kārtējā rēķinā, tas nebūtu uzskatāms par pienācīgu paņēmienu, kā paziņot par personas datu aizsardzības pārkāpumu.
(16)
Šajā regulā nav noteikti specifiski tehniski aizsardzības pasākumi, ar kuriem varētu pamatot atkāpes no pienākuma paziņot abonentiem vai individuāliem lietotājiem par personas datu aizsardzības pārkāpumiem, jo tehnikas attīstības gaitā šādi pasākumi var mainīties. Tomēr Komisijai vajadzētu būt iespējai publicēt šādu specifisku tehnisku aizsardzības pasākumu orientējošu sarakstu saskaņā ar pašreizējo praksi.
(17)
Šifrēšanas vai jaukšanas izmantošanu pašu par sevi nevarētu uzskatīt par pietiekamu, lai pakalpojumu sniedzēji varētu apgalvot, ka ir izpildījuši Direktīvas 95/46/EK 17. pantā noteikto vispārējo drošības pienākumu. Šajā sakarībā pakalpojumu sniedzējiem vajadzētu īstenot arī pienācīgus organizatoriskos un tehniskos pasākumus, lai nepieļautu, konstatētu un bloķētu personas datu aizsardzības pārkāpumus. Pakalpojumu sniedzējiem vajadzētu ņemt vērā visus neapzinātos apdraudējumus, kas var pastāvēt arī pēc tam, kad īstenoti kontroles pasākumi, lai izprastu, kur varētu notikt iespējamie personas datu aizsardzības pārkāpumi.
(18)
Ja pakalpojumu sniedzējs daļu no pakalpojuma, piemēram, rēķinu izrakstīšanu vai pārvaldības funkcijas, nodrošina ar cita pakalpojumu sniedzēja starpniecību, šim citam pakalpojumu sniedzējam, kam nav tiešu līgumattiecību ar galalietotāju, nav pienākuma sniegt paziņojumus personas datu aizsardzības pārkāpumu gadījumā. Tā vietā tam ir jābrīdina un jāinformē pakalpojumu sniedzējs, ar kuru tam ir tiešas līgumattiecības. Šis noteikums ir spēkā arī elektronisko komunikāciju pakalpojumu vairumtirdzniecības piegādes kontekstā, kad vairumtirdzniecības pakalpojumu sniedzējam parasti nav tiešu līgumattiecību ar galalietotāju.
(19)
Direktīvā 95/46/EK noteikta vispārēja personas datu aizsardzības kārtība Eiropas Savienībā. Komisija ir iesniegusi priekšlikumu Eiropas Parlamenta un Padomes regulai, ar kuru aizstātu Direktīvu 95/46/EK (Datu aizsardzības regula). Ar ierosināto datu aizsardzības regulu tiktu noteikts, ka visiem datu kontrolētājiem ir pienākums paziņot par personas datu aizsardzības pārkāpumiem, pamatojoties uz Direktīvas 2002/58/EK 4. panta 3. punktu. Līdzšinējā Komisijas regula ir pilnībā saderīga ar ierosināto pasākumu.
(20)
Ar ierosināto Datu aizsardzības regulu tiks veikti arī daži tehniski pielāgojumi Direktīvā 2002/58/EK, ņemot vērā Direktīvas 95/46/EK pārveidošanu par regulu. Komisija veiks pārskatīšanu par to, kādas būtiskas juridiskās sekas uz Direktīvu 2002/58/EK atstās jaunā regula.
(21)
Šīs regulas piemērošana būtu jāpārskata trīs gadus pēc tās stāšanās spēkā, un tās saturs būtu jāpārskata, ņemot vērā tajā laikā spēkā esošo tiesisko regulējumu, tostarp ierosināto Datu aizsardzības regulu. Šīs regulas pārskatīšana, ja iespējams, būtu jāveic saistībā ar jebkādu Direktīvas 2002/58/EK pārskatīšanu nākotnē.
(22)
Šīs regulas piemērošanu var novērtēt, inter alia balstoties uz statistiku, ko savākušas kompetentās valsts iestādes par tām paziņotajiem personas datu aizsardzības pārkāpumiem. Šāda statistika var būt, piemēram, informācija par kompetentajai valsts iestādei paziņoto personas datu aizsardzības pārkāpumu skaitu, informācija par abonentiem vai individuāliem lietotājiem paziņoto personas datu aizsardzības pārkāpumu skaitu, personas datu aizsardzības pārkāpuma atrisināšanai patērētais laiks un tas, vai tika izmantoti tehniski aizsardzības pasākumi. Šādai statistikai būtu jānodrošina Komisija un dalībvalstis ar konsekventiem un salīdzināmiem statistikas datiem, un tai nevajadzētu atklāt ne ziņotāja pakalpojumu sniedzēja, ne iesaistīto abonentu vai individuālo lietotāju identitāti. Komisija šajā nolūkā var rīkot regulāras sanāksmes ar kompetento valsts iestāžu un citu ieinteresēto personu piedalīšanos.
(23)
Šajā regulā paredzētie pasākumi ir saskaņā ar Komunikāciju komitejas atzinumu,
IR PIEŅĒMUSI ŠO REGULU.
1. pants
Darbības joma
Šī regula attiecas uz to, kā publiski pieejamu elektronisko komunikāciju pakalpojumu sniedzēji (“pakalpojumu sniedzējs”) paziņo par personas datu aizsardzības pārkāpumiem.
2. pants
Paziņošana kompetentajai valsts iestādei
1. Par visiem personas datu aizsardzības pārkāpumiem pakalpojumu sniedzējs paziņo kompetentajai valsts iestādei.
2. Ja iespējams, pakalpojumu sniedzējs kompetentajai valsts iestādei par personas datu aizsardzības pārkāpumu paziņo ne vēlāk kā 24 stundu laikā pēc tam, kad konstatēts personas datu aizsardzības pārkāpums.
Pakalpojumu sniedzējs paziņojumā kompetentajai valsts iestādei iekļauj I pielikumā norādīto informāciju.
Personas datu aizsardzības pārkāpuma konstatēšanu uzskata par notikušu brīdī, kad pakalpojumu sniedzējs ir guvis pietiekamu pārliecību, lai saskaņā ar šo regulu sniegtu pamatotu paziņojumu, ka ir noticis drošības incidents, kas izraisījis personas datu apdraudējumu.
3. Ja visa I pielikumā norādītā informācija nav pieejama un ir nepieciešama turpmāka izmeklēšana par personas datu aizsardzības pārkāpumu, pakalpojumu sniedzējam ir atļauts sniegt kompetentajai valsts iestādei sākotnējo paziņojumu ne vēlāk kā 24 stundu laikā pēc tam, kad konstatēts personas datu aizsardzības pārkāpums. Šajā sākotnējā paziņojumā kompetentajai valsts iestādei iekļauj I pielikuma 1. iedaļā norādīto informāciju. Pakalpojumu sniedzējs sniedz otru paziņojumu kompetentajai valsts iestādei pēc iespējas drīzāk, bet ne vēlāk kā trīs dienu laikā pēc sākotnējā paziņojuma. Šajā otrajā paziņojumā iekļauj I pielikuma 2. iedaļā norādīto informāciju un vajadzības gadījumā atjaunina agrāk sniegto informāciju.
Ja pakalpojumu sniedzējs, neraugoties uz veikto izmeklēšanu, nespēj sniegt visu informāciju trīs dienu laikā kopš sākotnējā paziņojuma, pakalpojumu sniedzējs sniedz informāciju, kas šajā laikā ir tā rīcībā, un sniedz kompetentajai iestādei pamatotu skaidrojumu par pārējās informācijas vēlāku iesniegšanu. Pakalpojumu sniedzējs pārējo informāciju kompetentajai valsts iestādei paziņo pēc iespējas drīzāk un vajadzības gadījumā pēc iespējas drīzāk atjaunina agrāk sniegto informāciju.
4. Kompetentā valsts iestāde visiem pakalpojumu sniedzējiem, kas reģistrēti attiecīgajā dalībvalstī, nodrošina drošus elektroniskus līdzekļus, kā paziņot par personas datu aizsardzības pārkāpumiem, un sniedz informāciju par procedūrām, kā šiem līdzekļiem piekļūt un kā tos izmantot. Vajadzības gadījumā Komisija sasauc sanāksmes ar kompetento valsts iestāžu piedalīšanos, lai veicinātu šā nosacījuma piemērošanu.
5. Ja personas datu aizsardzības pārkāpums skar abonentus vai individuālus lietotājus no citām dalībvalstīm, nevis no tās, kuras kompetentajai valsts iestādei paziņots par personas datu aizsardzības pārkāpumu, šī kompetentā valsts iestāde sniedz informāciju pārējām skartajām valsts iestādēm.
Lai veicinātu minētā nosacījuma piemērošanu, Komisija izveido un uztur kompetento valsts iestāžu un attiecīgo kontaktpunktu sarakstu.
3. pants
Paziņojums abonentam vai individuālam lietotājam
1. Ja personas datu aizsardzības pārkāpums varētu negatīvi ietekmēt abonenta vai individuāla lietotāja personas datus vai privātumu, pakalpojumu sniedzējs papildus 2. pantā minētajam paziņojumam paziņo par pārkāpumu abonentam vai individuālajam lietotājam.
2. To, vai personas datu aizsardzības pārkāpums varētu negatīvi ietekmēt abonenta vai individuāla lietotāja personas datus vai privātumu, izvērtē, ņemot vērā īpaši šādus apstākļus:
a)
attiecīgo personas datu būtība un saturs, proti, vai tie ir ar finanšu informāciju saistīti dati, Direktīvas 95/46/E 8. panta 1. punktā minētās īpašās datu kategorijas, kā arī atrašanās vietas dati, interneta žurnālfaili, tīmekļa pārlūkošanas vēsture, e-pasta dati un detalizēta zvanu informācija;
b)
personas datu aizsardzības pārkāpuma iespējamās sekas attiecīgajam abonentam vai individuālajam lietotājam, jo īpaši - ja pārkāpums var būt par iemeslu identitātes zādzībai vai krāpšanai, fiziskam kaitējumam, psiholoģiskam diskomfortam, pazemojumam vai reputācijas graušanai; kā arī
c)
personas datu aizsardzības pārkāpuma apstākļi, konkrētāk, kur dati nozagti vai kad pakalpojumu sniedzējam kļuvis zināms, ka dati ir nepilnvarotas trešās personas rīcībā.
3. Paziņojumu abonentam vai individuālajam lietotājam sniedz bez liekas kavēšanās pēc personas datu aizsardzības pārkāpuma konstatēšanas, kā noteikts 2. panta 2. punkta trešajā daļā. Minēto paziņojumu sniedz neatkarīgi no 2. pantā minētā paziņojuma kompetentajai valsts iestādei par personas datu aizsardzības pārkāpumu.
4. Pakalpojumu sniedzējs paziņojumā abonentam vai individuālajam lietotājam iekļauj II pielikumā norādīto informāciju. Paziņojumu abonentam vai individuālajam lietotājam formulē skaidri un viegli saprotamā valodā. Pakalpojumu sniedzējs neizmanto šādu paziņošanu kā izdevību reklamēt vai popularizēt jaunus vai papildu pakalpojumus.
5. Ārkārtas apstākļos, kad abonenta vai individuālā lietotāja informēšana var apdraudēt personas datu aizsardzības pārkāpuma pienācīgu izmeklēšanu, pakalpojumu sniedzējam, ja tas saņēmis kompetentās valsts iestādes piekrišanu, ir atļauts abonenta vai individuālā lietotāja informēšanu atlikt līdz brīdim, kamēr kompetentā valsts iestāde uzskata par iespējamu informēt par personas datu aizsardzības pārkāpumu saskaņā ar šo pantu.
6. Pakalpojumu sniedzējs abonentam vai individuālajam lietotājam par personas datu aizsardzības pārkāpumu paziņo, izmantojot tādus saziņas līdzekļus, kas nodrošina tūlītēju informācijas saņemšanu un ir pietiekami droši atbilstīgi jaunākajām tehnoloģijām. Informācija par pārkāpumu attiecas tikai uz pārkāpumu, nevis uz kādu citu tematu.
7. Ja pakalpojumu sniedzējs, kam ir tiešas līgumattiecības ar galalietotāju, ir pielicis saprātīgas pūles, tomēr 3. punktā minētajā termiņā nespēj identificēt visus individuālos lietotājus, kurus varētu negatīvi ietekmēt personas datu aizsardzības pārkāpums, pakalpojumu sniedzējs par pārkāpumu var šiem individuālajiem lietotājiem paziņot, minētajā termiņā publicējot sludinājumus lielākajos valsts mēroga un reģionālajos plašsaziņas līdzekļos attiecīgajās dalībvalstīs. Šajos sludinājumos iekļauj II pielikumā norādīto informāciju, vajadzības gadījumā saīsinātā formā. Tādā gadījumā pakalpojumu sniedzējs turpina pielikt saprātīgas pūles, lai pēc iespējas drīzāk identificētu šos individuālos lietotājus un paziņotu tiem II pielikumā norādīto informāciju.
4. pants
Tehniski aizsardzības pasākumi
1. Atkāpjoties no 3. panta 1. punkta, abonentam vai attiecīgajam individuālajam lietotājam nav jāpaziņo par personas datu aizsardzības pārkāpumu, ja pakalpojumu sniedzējs kompetentajai valsts iestādei ir uzskatāmi pierādījis, ka tas ir īstenojis atbilstīgus tehniskus aizsardzības pasākumus un ka šie pasākumi tikuši piemēroti datiem, ko skāris drošības pārkāpums. Ar šādiem tehniskiem aizsardzības pasākumiem datus padara nesaprotamus personām, kurām nav pilnvaru piekļūt datiem.
2. Datus uzskata par nesaprotamiem, ja:
a)
tie ir droši šifrēti ar standartizētu algoritmu, datu atšifrēšanas atslēgu nav skāris nekāds drošības pārkāpums un datu atšifrēšanas atslēga ir ģenerēta tā, ka to ar pieejamiem tehniskajiem līdzekļiem nevar noskaidrot neviens, kam nav pilnvaru piekļūt atslēgai; vai
b)
dati ir aizstāti ar to jaucējvērtību (hešvērtību), kas aprēķināta ar standartizētu kriptogrāfisku jaucējfunkciju ar atslēgu, datu jaukšanas atslēgu nav skāris nekāds drošības pārkāpums un datu jaukšanas atslēga ir ģenerēta tā, ka to ar pieejamiem tehniskajiem līdzekļiem nevar noskaidrot neviens, kam nav pilnvaru piekļūt atslēgai.
3. Komisija pēc apspriešanās ar kompetentajām valsts iestādēm 29. pantā minētās darba grupas ietvaros, Eiropas Tīklu un informācijas drošības aģentūru un Eiropas Datu aizsardzības uzraudzītāju var publicēt 1. punktā minēto tehnisko aizsardzības pasākumu orientējošu sarakstu saskaņā ar pašreizējo praksi.
5. pants
Cita pakalpojumu sniedzēja iesaistīšana
Ja ir nolīgts cits pakalpojumu sniedzējs, lai tas sniegtu daļu elektroniskās komunikācijas pakalpojumu, nenodibinot tiešas līgumattiecības ar abonentiem, šis cits pakalpojumu sniedzējs nekavējoties informē to nolīgušo pakalpojumu sniedzēju par personas datu aizsardzības pārkāpumu.
6. pants
Ziņošana un pārskatīšana
Trīs gadu laikā no šīs regulas spēkā stāšanās dienas Komisija sniedz ziņojumu par šīs regulas piemērošanu, tās efektivitāti un ietekmi uz pakalpojumu sniedzējiem, abonentiem un individuālajiem lietotājiem. Uz minētā ziņojuma pamata Komisija veic šīs regulas pārskatīšanu.
7. pants
Stāšanās spēkā
Šī regula stājas spēkā 2013. gada 25. augustā.
Šī regula uzliek saistības kopumā un ir tieši piemērojama visās dalībvalstīs.
Briselē, 2013. gada 24. jūnijā