РЕГЛАМЕНТ (ЕС) № 611/2013 НА КОМИСИЯТА
от 24 юни 2013 година
относно мерките, приложими за съобщаването на нарушения на сигурността на личните данни съгласно Директива 2002/58/ЕО на Европейския парламент и на Съвета за правото на неприкосновеност на личния живот и електронни комуникации
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (1), и по-специално член 4, параграф 5 от нея,
след като се консултира с Европейската агенция за мрежова и информационна сигурност (ENISA),
след като се консултира с Работната група за защита на лицата по отношение на обработката на лични данни, която е сформирана съгласно член 29 от Директива 95/46/ЕО на Европейския парламент и Съвета от 24 октомври 1995 г. за защита на физическите лица по отношение на обработката на лични данни и за свободното движение на такива данни (2) (Работната група по член 29),
след като се консултира с Европейския надзорен орган по защита на данните (ЕНОЗД),
като има предвид, че:
(1)
В Директива 2002/58/ЕО се предвижда да бъдат хармонизирани националните разпоредби, необходими за осигуряване на еднаква степен на защита на основните права и свободи, и по-специално правото на неприкосновеност на личния живот и правото на поверителност по отношение на обработката на лични данни в сектора на електронните комуникации, както и да бъде осигурено свободно движение на такива данни и оборудване за електронни комуникации и услуги в Съюза.
(2)
Съгласно член 4 от Директива 2002/58/ЕО доставчиците на общественодостъпни електронни съобщителни услуги са задължени да уведомяват компетентните национални органи, а в определени случаи и засегнатите абонати и лица, за нарушенията на сигурността на личните данни. Нарушенията на сигурността на лични данни са дефинирани в член 2, буква и) от Директива 2002/58/ЕО като нарушения на сигурността, които водят до случайно или незаконно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, предавани, съхранявани или обработвани по друг начин във връзка с предоставянето на общественодостъпна електронна съобщителна услуга в Общността.
(3)
С цел да се осигури последователност при изпълнението на мерките, посочени в член 4, параграфи 2, 3 и 4 от Директива 2002/58/ЕО, член 4, параграф 5 от нея оправомощава Комисията да приема технически мерки за изпълнение във връзка с обстоятелствата, формата и процедурите, приложими за изискванията за информация и уведомяване, посочени в споменатия член.
(4)
Различните национални изисквания в това отношение могат да доведат до правна несигурност, по-сложни и тромави процедури и значителни административни разходи за доставчиците на услуги, извършващи трансгранична дейност. Поради това Комисията счита за необходимо да приеме такива технически мерки за изпълнение.
(5)
Настоящият регламент се ограничава със съобщаването на нарушения на сигурността на лични данни и следователно не определя технически мерки за изпълнение във връзка с член 4, параграф 2 от Директива 2002/58/ЕО относно информиране на абонатите, в случай че има конкретна опасност от нарушаване на сигурността на мрежата.
(6)
От член 4, параграф 3, първа алинея от Директива 2002/58/ЕО следва, че доставчиците трябва да уведомяват компетентния национален орган за всички нарушения на сигурността на лични данни. Следователно на доставчика не следва да се оставя свобода за вземане на решение дали да уведоми компетентния национален орган. Това обаче не следва да възпрепятства въпросния компетентен национален орган да приоритизира разследването на някои нарушения по начин, който той счита за подходящ в съответствие с приложимото законодателство, и да предприема необходимите мерки за предотвратяване на докладване на недостатъчно или прекалено много нарушения във връзка с лични данни.
(7)
Целесъобразно е да се предвиди система за уведомяване на компетентния национален орган за нарушенията на сигурността на лични данни, която се състои, в случаите, в които са изпълнени определени условия, от различни етапи, за всеки от които важат определени срокове. Тази система е предназначена да гарантира, че компетентният национален орган бива информиран възможно най-рано и във възможно най-пълна степен, без обаче да бъде възпрепятстван доставчикът в усилията му да разследва нарушението и да взема необходимите мерки за ограничаване и отстраняване на последствията от него.
(8)
За целите на настоящия регламент, за да се счита, че е било открито нарушение на сигурността на лични данни, не са достатъчни нито обикновеното подозрение, че е имало нарушение на сигурността на лични данни, нито простото откриване на инцидент, без да има налице достатъчно информация, въпреки всички възможни усилия на доставчика да осигури такава. В тази връзка особено внимание следва да се обърне на наличието на информацията, посочена в приложение I.
(9)
В контекста на прилагането на настоящия регламент в случай на нарушаване на сигурността на лични данни с трансгранично измерение съответните компетентни национални органи следва да си сътрудничат.
(10)
Настоящият регламент не предвижда допълнителна спецификация за регистъра на нарушенията на сигурността на лични данни, който трябва да се поддържа от доставчиците, като се има предвид, че в член 4 от Директива 2002/58/ЕО неговото съдържание се определя изчерпателно. Доставчиците обаче могат да се позовават на настоящия регламент, за да се определи форматът на регистъра.
(11)
Всички компетентни национални органи следва да осигурят сигурни електронни средства, така че доставчиците да съобщават за нарушения на сигурността на личните данни в общ формат (основан на стандарт като XML), съдържащ информацията, посочена в приложение I, на съответните езици, така че да се даде възможност на всички доставчици в рамките на Съюза да следват сходна процедура за съобщаване, независимо от това къде се намират или къде е било извършено нарушаването на сигурността на личните данни. В тази връзка Комисията следва да улеснява въвеждането на сигурни електронни средства, като свиква заседания с компетентните национални органи, когато това е необходимо.
(12)
При оценяване дали дадено нарушаване на сигурността на личните данни има вероятност да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или лице следва да се вземе предвид по-специално естеството и съдържанието на съответните лични данни, по-специално когато данните касаят финансова информация, като например данни за кредитни карти и подробности за банкови сметки; специалните категории от данни, посочени в член 8, параграф 1 от Директива 95/46/ЕО; както и някои данни, конкретно свързани с предоставянето на телефонни или интернет услуги, т.е. данни за електронната поща, данни за местоположението, файлове със статистика за интернет връзките, история на посетените уебстраници и списъци с повиквания, указани по позиции.
(13)
При изключителни обстоятелства, когато уведомяването на абоната или лицето може да изложи на риск правилното разследване на нарушаването на сигурността на личните данни, на доставчика следва да бъде разрешено да забавя уведомяването на абоната или лицето. В този контекст извънредни обстоятелства могат да включват криминални разследвания, както и други нарушения на сигурността на лични данни, които не са равностойни на сериозно престъпление, но за които може да е целесъобразно уведомяването да бъде отложено. Във всеки случай националният компетентен орган следва да е този, който преценява за всеки отделен случай и в светлината на обстоятелствата дали да даде съгласие за отлагане или да изиска уведомяване.
(14)
Макар че доставчиците следва да имат данни за контакт със своите абонати предвид преките им договорни отношения, за други лица, засегнати от нарушаването на сигурността на личните данни може да няма такава информация. В такъв случай следва да бъде разрешено доставчикът да уведоми въпросните лица първоначално посредством съобщения в основните национални или регионални средства за масова информация, като например вестници, които веднага щом бъде възможно трябва да бъдат последвани от индивидуално уведомяване, както е предвидено в настоящия регламент. Доставчикът следователно не е длъжен като такъв да уведомява чрез средствата за масова информация, а по-скоро е упълномощен да действа по този начин, ако пожелае, когато все още е в процес на определяне на всички лица, които са засегнати.
(15)
Информацията за нарушението следва да бъде съсредоточена върху нарушението, а не да бъде свързана с информация по друга тема. Така например включването на информация за нарушаване на сигурността на лични данни в редовна фактура не следва да се счита за адекватен начин за уведомяване за нарушаване на сигурността на лични данни.
(16)
В настоящия регламент не се определят конкретни технически мерки за защита, които да оправдават дерогация от задължението за уведомяване на абонатите и лицата за нарушаване на сигурността на личните данни, тъй като тези мерки могат да търпят промени с течение на времето и развитието на технологиите. Комисията обаче следва да бъде в състояние да публикува примерен списък на конкретни такива технологични мерки за защита в съответствие с текущите практики.
(17)
Прилагането на криптиране или хеширане не следва да се смята за достатъчно само по себе си, за да позволи доставчиците да претендират в по-широк план, че са изпълнили общото задължение за сигурност, посочено в член 17 от Директива 95/46/ЕО. В тази връзка доставчиците следва също така да прилагат подходящи организационни и технически мерки за предотвратяване, откриване и блокиране на нарушения на сигурността на личните данни. Доставчиците следва да вземат предвид всеки остатъчен риск, който може да съществува, след като са били извършени проверки, с цел да разберат къде потенциално може да има нарушения на сигурността на личните данни.
(18)
Когато доставчикът използва друг доставчик за извършването на част от услугата, например във връзка с фактуриране или управленски функции, в случай на нарушение на сигурността на лични данни този друг доставчик, който няма преки договорни отношения с крайния потребител, не следва да бъде задължен да издава уведомления. Вместо това той следва да предупреди и информира за това доставчика, с който има преки договорни взаимоотношения. Това следва да се прилага и в контекста на предоставянето на едро на електронни съобщителни услуги, когато обикновено доставчикът на едро няма преки договорни отношения с крайния потребител.
(19)
В Директива 95/46/ЕО се определя обща рамка за защита на личните данни в Европейския съюз. Комисията представи предложение за регламент на Европейския парламент и на Съвета, който да замени Директива 95/46/ЕО (Директивата за защитата на данните). Предложеният регламент за защитата на данните ще въведе задължение за всички администратори на лични данни да уведомяват за нарушаване на сигурността на личните данни, основавайки се на член 4, параграф 3 от Директива 2002/58/ЕО. Настоящият регламент на Комисията е напълно съвместим с тази предложена мярка.
(20)
Предложеният регламент за защитата на данните също така прави ограничен брой технически изменения в Директива 2002/58/ЕО, за да се вземе предвид преобразуването на Директива 95/46/ЕО в регламент. Съществените правни последици от новия регламент за Директива 2002/58/ЕО ще бъдат обект на преразглеждане от страна на Комисията.
(21)
Прилагането на настоящия регламент следва да бъде преразгледано три години след влизането му в сила, а неговото съдържание - преразгледано в светлината на действащата нормативна уредба към горепосочения момент, включително в светлината на предложения регламент за защитата на данните. Преразглеждането на настоящия регламент следва да бъдат свързано, когато това е възможно, с евентуално бъдещо преразглеждане на Директива 2002/58/ЕО.
(22)
Прилагането на настоящия регламент може да бъде оценено въз основа, inter alia, на всяка статистика, водена от националните компетентни органи, за съобщените нарушения на сигурността на лични данни. Тези статистически данни могат да включват например информация относно броя на нарушенията на сигурността на лични данни, съобщени на националния компетентен орган, броя на нарушенията на сигурността на лични данни, съобщени на абоната или лицето, времето, необходимо за разрешаването на проблема с нарушението на сигурността на лични данни, както и дали са били взети технически мерки за защита. Тези статистически данни следва да осигурят на Комисията и на държавите членки последователни и сравними статистически данни и не трябва да разкриват нито самоличността на уведомяващия доставчик, нито тази на засегнатите абонати или лица. За тази цел Комисията може също така да провежда редовни срещи с националните компетентни органи и други заинтересовани страни.
(23)
Мерките, предвидени в настоящия регламент, са в съответствие със становището на Комитета за регулиране на съобщенията,
ПРИЕ НАСТОЯЩИЯ РЕГЛАМЕНТ:
Член 1
Обхват
Настоящият регламент се прилага за съобщаването на нарушения на сигурността на лични данни от страна на доставчици на публичнодостъпни електронни съобщителни услуги („доставчикът“).
Член 2
Уведомяване на компетентните национални органи
1. Доставчикът уведомява националния компетентен орган за всички нарушения на сигурността на личните данни.
2. Доставчикът уведомява националния компетентен орган за нарушението на сигурността на лични данни не по-късно от 24 часа след откриване на нарушението на сигурността на лични данни, когато това е възможно.
Доставчикът трябва да включи в своето уведомление до националния компетентен орган информацията, посочена в приложение I.
Счита се, че е открито нарушение на сигурността на лични данни, когато доставчикът е получил достатъчно информация, че е имало произшествие, свързано със сигурността, довело до компрометиране на лични данни, за да направи той съдържателно уведомление, както се изисква съгласно настоящия регламент.
3. Когато не е налице цялата информация, посочена в приложение I, и се изисква допълнително разследване на нарушението на сигурността на лични данни, на доставчика следва да бъде разрешено да изпрати първоначалното уведомление на националния компетентен орган не по-късно от 24 часа след откриване на нарушението на сигурността на лични данни. Това първоначално уведомяване на националния компетентен орган включва информацията, посочена в раздел 1 от приложение I. Доставчикът изпраща второ уведомление на националния компетентен орган възможно най-скоро и най-късно в рамките на три дни след първоначалното уведомяване. Това второ уведомление включва информацията, посочена в раздел 2 от приложение I, и когато е необходимо, актуализира вече предоставената информация.
Когато доставчикът, въпреки разследванията си, не е в състояние да предостави цялата информация в тридневен срок от първоначалното уведомяване, той съобщава толкова информация, с колкото разполага за този срок, и предоставя на националния компетентен орган мотивирана обосновка за закъснялото съобщаване на останалата информация. Доставчикът съобщава останалата информация на националния компетентен орган и когато е необходимо, актуализира вече предоставената информация във възможно най-кратък срок.
4. Националният компетентен орган предоставя на всички доставчици, установени в съответната държава членка, сигурни електронни средства за съобщаване на нарушения на сигурността на лични данни и на информация относно процедурите за достъп до тях и използването им. Когато е необходимо, Комисията свиква заседания с компетентните национални органи, за да улесни прилагането на тази разпоредба.
5. Когато нарушаването на сигурността на личните данни засяга абонати или лица от държави членки, различни от тази на националния компетентен орган, на който е било съобщено нарушаване на сигурността на личните данни, националният компетентен орган информира другите съответни национални органи.
За да улесни прилагането на тази разпоредба, Комисията създава и поддържа списък на националните компетентни органи и съответните звена за контакт.
Член 3
Уведомяване на абоната или лицето
1. Когато има вероятност нарушението на сигурността на личните данни да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или отделно лице, освен уведомяването, посочено в член 2, доставчикът също така уведомява засегнатия абонат или лице.
2. Дали дадено нарушаване на сигурността на личните данни има вероятност да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или отделно лице се преценява, като се вземат предвид по-специално следните обстоятелства:
а)
естеството и съдържанието на съответните лични данни, по-специално когато данните се отнасят за финансова информация, специалните категории от данни, посочени в член 8, параграф 1 от Директива 95/46/ЕО, както и данни за местоположението, файлове със статистика за интернет връзките, история на посетените уебстраници, данни за електронната поща и списъци с повиквания, указани по позиции;
б)
вероятните последици от нарушаването на сигурността на личните данни за засегнатия абонат или лице, по специално когато нарушението може да доведе до кражба на самоличност или измама с фалшива самоличност, физическа вреда, психично разстройство, накърняване на достойнството или на репутацията; както и
в)
обстоятелствата на нарушаването на сигурността на личните данни, по-специално когато данните са били откраднати или когато доставчикът знае, че данните са в притежание на неупълномощена трета страна.
3. Уведомяването на абоната или лицето се извършва без ненужно забавяне след откриването на нарушението на сигурността на лични данни, както е определено в член 2, параграф 2, трета алинея. То не зависи от уведомяването на националния компетентен орган за нарушаване на сигурността на лични данни, посочено в член 2.
4. Доставчикът трябва да включи в своето съобщение до абоната или лицето информацията, посочена в приложение II. Уведомяването на абоната или лицето се извършва на ясен и лесноразбираем език. Доставчикът не трябва да използва уведомяването като възможност за популяризиране или реклама на нови или допълнителни услуги.
5. При изключителни обстоятелства, когато уведомяването на абоната или лицето може да изложи на риск правилното разследване на нарушението на сигурността на лични данни, на доставчика се разрешава, след като е получил съгласие от страна на националния компетентен орган, да забави уведомяването на абоната или лицето, докато компетентният национален орган счете, че е възможно да уведоми за нарушаването на сигурността на лични данни в съответствие с настоящия член.
6. Доставчикът уведомява засегнатия абонат или лице за нарушаването на сигурността на личните данни чрез средства за комуникация, гарантиращи незабавното получаване на информация и чиято сигурност е защитена по подходящ начин в съответствие със съвременното техническо ниво. Информацията за нарушението трябва да бъде съсредоточена върху нарушението, а не да бъде свързана с информация по друга тема.
7. Когато доставчикът, който има преки договорни отношения с крайния потребител, независимо от положените целесъобразни усилия не е в състояние в рамките на срока, посочен в параграф 3, да определи всички лица, които има вероятност да са засегнати по неблагоприятен начин от нарушението на сигурността на лични данни, той може да уведоми въпросните лица посредством обявления в основните национални или регионални медии в съответните държави членки в рамките на посочения срок. Тези обявления следва да съдържат информацията, посочена в приложение II, и когато е необходимо - в сбита форма. В такъв случай доставчикът трябва да продължи да полага всички целесъобразни усилия да определи посочените лица и да им съобщи информацията, посочена в приложение II, във възможно най-кратък срок.
Член 4
Технически мерки за защита
1. Чрез дерогация от член 3, параграф 1 не се изисква уведомяване на засегнат абонат или отделно засегнато лице за нарушение на сигурността на лични данни, ако доставчикът е доказал в удовлетворителна степен пред националния компетентен орган, че е взел подходящи технически мерки за защита и че тези мерки са приложени за данните, засегнати от нарушаването на сигурността. Такива технически мерки за защита трябва да правят данните неразбираеми за всяко лице, което не е упълномощено за достъп до тях.
2. Данните се разглеждат като неразбираеми, ако:
а)
са сигурно шифровани със стандартизиран алгоритъм, като ключът, използван за дешифриране на данните, не е бил разкрит при нарушение на сигурността, и ключът, използван за дешифриране на данните, е генериран така, че да не може да бъде открит с наличните технически средства от което и да било лице, което не е упълномощено за достъп до ключа; или
б)
са заменени с тяхната хеширана стойност, изчислена със стандартизирана шифроваща хеш-функция с ключ, като ключът, използван за хеширане на данните, не е бил разкрит при нарушение на сигурността, и ключът, използван за хеширане на данните, е генериран така, че да не може да бъде открит с наличните технически средства от което и да било лице, което не е упълномощено за достъп до ключа.
3. В съответствие с текущите практики, след консултация с компетентните национални органи посредством Работната група по член 29, с Европейската агенция за мрежова и информационна сигурност и с Европейския надзорен орган по защита на данните, Комисията може да публикува ориентировъчен списък с подходящи технически мерки за защита, споменати в параграф 1.
Член 5
Използване на друг доставчик
Когато се използва друг доставчик за доставянето на част от електронната съобщителна услуга без преки договорни отношения с абонатите, в случай на нарушение, свързано с личните данни, този друг доставчик незабавно уведомява доставчика, който го е ангажирал.
Член 6
Докладване и преразглеждане
В рамките на три години от влизането в сила на настоящия регламент Комисията следва да представи доклад за прилагането на настоящия регламент, неговата ефективност и въздействието му върху доставчиците, абонатите и физическите лица. Въз основа на този доклад Комисията преразглежда настоящия регламент.
Член 7
Влизане в сила
Настоящият регламент влиза в сила на 25 август 2013 г.
Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави членки.
Съставено в Брюксел на 24 юни 2013 година.
NARIADENIE KOMISIE (EÚ) č. 611/2013
z 24. júna 2013
o opatreniach uplatniteľných na oznamovanie prípadov porušenia ochrany osobných údajov na základe smernice Európskeho parlamentu a Rady 2002/58/ES o súkromí a elektronických komunikáciách
EURÓPSKA KOMISIA,
so zreteľom na Zmluvu o fungovaní Európskej únie,
so zreteľom na smernicu Európskeho parlamentu a Rady 2002/58/ES z 12. júla 2002 týkajúcu sa spracovávania osobných údajov a ochrany súkromia v sektore elektronických komunikácií (smernica o súkromí a elektronických komunikáciách) (1), a najmä na jej článok 4 ods. 5,
po porade s Európskou agentúrou pre bezpečnosť sietí a informácií (ENISA),
po porade s pracovnou skupinou pre ochranu jednotlivcov so zreteľom na spracovanie osobných údajov zriadenou podľa článku 29 smernice Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe takýchto údajov (2) (článok 29 Pracovná skupina),
po porade s európskym dozorným úradníkom pre ochranu údajov (EDPS),
keďže:
(1)
Smernicou 2002/58/ES sa ustanovuje harmonizácia vnútroštátnych ustanovení požadovaných na zabezpečenie primeranej úrovne ochrany základných práv a slobôd, a najmä práva na súkromie a dôvernosť, z hľadiska spracúvania osobných údajov v elektronickom komunikačnom sektore a na zabezpečenie voľného pohybu takých údajov a elektronických komunikačných zariadení a služieb v Únii.
(2)
Podľa článku 4 smernice 2002/58/ES poskytovateľ verejne dostupnej elektronickej komunikačnej služby musí porušenie ochrany osobných údajov oznámiť príslušným vnútroštátnym orgánom a v určitých prípadoch aj účastníkom a dotknutým jednotlivcom. Pojem porušenie osobných údajov je vymedzený v článku 2 písm. i) smernice 2002/58/ES ako porušenie bezpečnosti, ktoré má za následok náhodné alebo nezákonné zničenie, stratu, zmenu nedovolené zverejnenie alebo sprístupnenie osobných údajov, ktoré sa prenášajú, ukladajú alebo inak spracúvajú v súvislosti s poskytovaním verejne dostupnej elektronickej komunikačnej služby v Únii.
(3)
S cieľom zabezpečiť konzistentné vykonávanie opatrení uvedených v článku 4 ods. 2, 3 a 4 smernice 2002/58/ES sa článkom 4 ods. 5 danej smernice Komisia splnomocňuje na prijímanie technických vykonávacích opatrení týkajúcich sa okolností, formy a postupov, ktoré sa vzťahujú na požiadavky súvisiace s informáciami a oznámeniami podľa daného článku.
(4)
Rozličné požiadavky jednotlivých členských štátov v danom ohľade môžu viesť k právnej neistote, zložitejším a zdĺhavejším postupom a značným administratívnym nákladom pre cezhranične pôsobiacich poskytovateľov. Komisia preto považuje za potrebné prijať uvedené technické vykonávacie opatrenia.
(5)
Toto nariadenie sa obmedzuje na oznamovanie prípadov porušenia ochrany osobných údajov, preto sa ním nestanovujú technické vykonávacie opatrenia týkajúce sa článku 4 ods. 2 smernice 2002/58/ES o informovaní príslušných účastníkov v prípade osobitného rizika narušenia bezpečnosti siete.
(6)
Z prvého pododseku odseku 3 článku 4 smernice 2002/58/ES vyplýva, že poskytovatelia by mali oznamovať príslušnému vnútroštátnemu orgánu všetky prípady porušenia ochrany osobných údajov. Poskytovateľ by preto nemal mať diskrečnú právomoc rozhodnúť, či príslušnému vnútroštátnemu orgánu porušenie oznámi alebo nie. Dotknutému príslušnému vnútroštátnemu orgánu by to však nemalo brániť prednostne vyšetrovať určité porušenia ochrany spôsobom, ktorý považuje za vhodný v súlade s uplatniteľnými právnymi predpismi, a prijímať opatrenia potrebné na predchádzanie nedostatočnému alebo nadmernému nahlasovaniu porušení ochrany osobných údajov.
(7)
Na oznamovanie porušení ochrany osobných údajov príslušnému vnútroštátnemu orgánu je vhodné stanoviť systém, ktorý v prípade splnenia určitých podmienok pozostáva z rôznych etáp, pričom na každú z nich sa vzťahujú určité lehoty. Cieľom systému je zabezpečiť, že príslušný vnútroštátny orgán dostane informácie čo možno najskôr a čo možno najúplnejšie, avšak bez toho, aby to poskytovateľovi nadmieru prekážalo v jeho úsilí o vyšetrenie daného porušenia a v prijatí potrebných opatrení na jeho obmedzenie a nápravu vzniknutých dôsledkov.
(8)
Ani samotné podozrenie, že došlo k porušeniu ochrany osobných údajov, ani samotné zistenie narušenia bezpečnosti bez dostatočných informácií, ktoré sa poskytovateľovi ani napriek najväčšej snahe vynaloženej v tomto smere nepodarilo získať, nepostačuje na účely tohto nariadenia na skonštatovanie, že sa zistilo porušenie ochrany osobných údajov. V tejto súvislosti by sa mal brať osobitný ohľad na dostupnosť informácií uvedených v prílohe I.
(9)
Pri uplatňovaní tohto nariadenia by príslušné vnútroštátne orgány mali spolupracovať v prípadoch, keď porušenia ochrany osobných údajov sú cezhraničnej povahy.
(10)
V tomto nariadení sa nestanovuje ďalšie bližšie určenie zoznamu prípadov porušení ochrany osobných údajov, ktorý majú poskytovatelia viesť, keďže v článku 4 smernice 2002/58/ES sa jeho obsah uvádza vyčerpávajúco. Poskytovatelia však môžu na určenie formátu uvedeného zoznamu použiť toto nariadenie.
(11)
Všetky príslušné vnútroštátne orgány by mali dať poskytovateľom k dispozícii bezpečné elektronické prostriedky na oznamovanie porušení ochrany osobných údajov v spoločnom formáte, založenom na norme ako napríklad XML, obsahujúcom informácie uvedené v prílohe I v príslušných jazykoch, aby všetci poskytovatelia v Únii mohli podávať oznámenia obdobným postupom bez ohľadu na to, kde sa nachádzajú alebo kde došlo k porušeniu ochrany osobných údajov. V tejto súvislosti by Komisia prípadne mala uľahčiť zavádzanie bezpečných elektronických prostriedkov prostredníctvom zvolávania zasadnutí s príslušnými vnútroštátnymi orgánmi.
(12)
Pri posudzovaní, či sa porušenie ochrany osobných údajov pravdepodobne nepriaznivo dotkne osobných údajov alebo súkromia účastníka alebo jednotlivca, by sa mala zohľadniť predovšetkým povaha a obsah dotknutých osobných údajov, predovšetkým ak ide o finančné informácie, akými sú údaje o kreditnej karte alebo údaje o bankovom účte; osobitné kategórie údajov uvedené v článku 8 ods. 1 smernice 95/46/ES; a určité údaje konkrétne súvisiace s poskytovaním telefónnych alebo internetových služieb, t. j. údaje o elektronickej pošte, lokalizačné dáta, internetové logovacie súbory, záznamy o prezeraných webových stránkach a zoznamy jednotlivých hovorov.
(13)
Za výnimočných okolností by sa poskytovateľovi malo povoliť odložiť oznámenie účastníkovi alebo jednotlivcovi, ak oznámenie účastníkovi alebo jednotlivcovi môže ohroziť riadne vyšetrenie daného porušenia ochrany osobných údajov. K výnimočným okolnostiam v tejto súvislosti môžu patriť trestnoprávne vyšetrovania, ako aj iné porušenia ochrany osobných údajov, ktoré nezodpovedajú závažnej trestnej činnosti, ale pri ktorých môže byť vhodné oznámenie odložiť. Posúdenie v každom jednotlivom prípade a so zreteľom na okolnosti, či pristúpiť na odloženie oznámenia, alebo ho vyžadovať, by každopádne malo byť na príslušnom vnútroštátnom orgáne.
(14)
Poskytovatelia by síce vzhľadom na ich priamy zmluvný vzťah mali mať kontaktné údaje svojich účastníkov, no takéto informácie nemusia existovať v prípade iných jednotlivcov nepriaznivo dotknutých daným porušením ochrany osobných údajov. V takom prípade by sa poskytovateľovi malo povoliť informovať týchto jednotlivcov najprv prostredníctvom inzercie v hlavných celoštátnych alebo regionálnych médiách, napríklad novinách, po ktorej bude čo najskôr nasledovať individuálne oznámenie podľa ustanovení v tomto nariadení. Poskytovateľ teda nie je povinný oznamovať prostredníctvom médií, ale ak si to želá, má skôr poverenie postupovať tak, kým ešte stále prebieha zisťovanie totožnosti všetkých dotknutých jednotlivcov.
(15)
Informácie o porušení ochrany by sa mali venovať porušeniu a nemali by sa spájať s informáciami na inú tému. Za adekvátny spôsob informovania o porušení ochrany osobných údajov by sa nemalo považovať napríklad začlenenie informácie o porušení ochrany osobných údajov do pravidelnej faktúry.
(16)
V tomto nariadení sa nestanovujú konkrétne technologické ochranné opatrenia, ktoré odôvodňujú odchýlku od povinnosti oznamovať účastníkom alebo jednotlivcom porušenia ochrany osobných údajov, keďže tieto opatrenia sa môžu časom meniť v dôsledku technologického pokroku. Komisia by však mala byť schopná uverejniť orientačný zoznam takýchto konkrétnych technologických ochranných opatrení v súlade s platnými postupmi.
(17)
Implementácia kódovania ani hašovania by sa nemala sama o sebe považovať za dostatočnú na to, aby oprávňovala poskytovateľov na širšie tvrdenie, že spĺňajú všeobecné bezpečnostné povinnosti uvedené v článku 17 smernice 95/46/ES. V tomto ohľade by poskytovatelia mali takisto zaviesť primerané organizačné a technické opatrenia na zabránenie porušeniam ochrany osobných údajov a na ich zisťovanie a izolovanie. Poskytovatelia by mali zvážiť všetky riziká, ktoré by mohli pretrvávať po zavedení kontrol, aby porozumeli tomu, kde môže prípadne dôjsť k porušeniam ochrany osobných údajov.
(18)
Keď poskytovateľ využíva iného poskytovateľa na vykonanie časti služby, pokiaľ ide napríklad o účtovné alebo riadiace úlohy, tento iný poskytovateľ, ktorý nemá žiadny priamy zmluvný vzťah s koncovým užívateľom, by nemal mať povinnosť podávať oznámenia v prípade, že dôjde k porušeniu ochrany osobných údajov. Namiesto toho by mal upozorniť a informovať poskytovateľa, s ktorým má priamy zmluvný vzťah. Malo by to platiť aj v rámci veľkoobchodného poskytovania elektronických komunikačných služieb, keď veľkoobchodný poskytovateľ v zásade nemá priamy zmluvný vzťah s koncovým užívateľom.
(19)
Smernicou 95/46/ES sa vymedzuje všeobecný rámec pre ochranu osobných údajov v Európskej únii. Komisia predložila návrh nariadenia Európskeho parlamentu a Rady s cieľom nahradiť smernicu 95/46/ES (ďalej len nariadenie o ochrane údajov). Navrhovaným nariadením o ochrane údajov by sa na základe článku 4 ods. 3 smernice 2002/58/ES zaviedla povinnosť pre všetkých prevádzkovateľov oznamovať porušenia ochrany osobných údajov. Toto nariadenie Komisie je plne v súlade s navrhovaným opatrením.
(20)
V navrhovanom nariadení o ochrane údajov sa zároveň vykonal obmedzený rozsah technických úprav v smernici 2002/58/ES, aby sa zohľadnila premena smernice 95/46/ES na nariadenie. Podstatné právne dôsledky nového nariadenia pre smernicu 2002/58/ES budú predmetom preskúmania Komisie.
(21)
Uplatňovanie tohto nariadenia by sa malo preskúmať po troch rokoch od nadobudnutia jeho účinnosti a jeho obsah by sa mal preskúmať z pohľadu právneho rámca platného v danom čase, vrátane navrhovaného nariadenia o ochrane údajov. Preskúmanie tohto nariadenia by malo byť podľa možnosti spojené s každým budúcim preskúmaním smernice 2002/58/ES.
(22)
Uplatňovanie tohto nariadenia sa môže posúdiť okrem iného na základe akýchkoľvek štatistických údajov, ktoré uchovávajú príslušné vnútroštátne orgány o porušeniach ochrany osobných údajov, ktoré im boli oznámené. Tieto štatistické údaje môžu zahŕňať napríklad informácie o počte porušení ochrany osobných údajov oznámených danému príslušnému vnútroštátnemu orgánu, počte porušení ochrany osobných údajov oznámených účastníkovi alebo jednotlivcovi, čase potrebnom na vyriešenie porušenia ochrany osobných údajov a o tom, či boli prijaté technické ochranné opatrenia. Uvedené štatistiky by mali Komisii a členským štátom poskytovať konzistentné a porovnateľné štatistické údaje a nemali by odhaľovať totožnosť oznamujúceho poskytovateľa ani dotknutých účastníkov či jednotlivcov. Komisia môže na tieto účely zároveň organizovať pravidelné stretnutia s príslušnými vnútroštátnymi orgánmi a inými zainteresovanými stranami.
(23)
Opatrenia stanovené v tomto nariadení sú v súlade so stanoviskom komunikačného výboru,
PRIJALA TOTO NARIADENIE:
Článok 1
Rozsah pôsobnosti
Toto nariadenie sa uplatňuje na oznámenia poskytovateľov verejne dostupnej elektronickej komunikačnej služby (ďalej len „poskytovateľ“) o porušení ochrany osobných údajov.
Článok 2
Oznamovanie príslušnému vnútroštátnemu orgánu
1. Poskytovateľ oznámi každé porušenie ochrany osobných údajov príslušnému vnútroštátnemu orgánu.
2. Poskytovateľ oznámi porušenie ochrany osobných údajov príslušnému vnútroštátnemu orgánu najneskôr do 24 hodín po zistení porušenia ochrany osobných údajov, ak je to uskutočniteľné.
Do oznámenia určeného príslušnému vnútroštátnemu orgánu poskytovateľ zahrnie informácie stanovené v prílohe I.
Za zistenie porušenia ochrany osobných údajov sa pokladá situácia, keď poskytovateľ nadobudol vedomosť o tom, že došlo k narušeniu bezpečnosti, ktoré viedlo k zneužitiu osobných údajov, dostačujúcu na to, aby mohol podať zmysluplné oznámenie podľa požiadaviek v tomto nariadení.
3. Ak nie sú dostupné všetky informácie stanovené v prílohe 1 a je nevyhnutné ďalšie vyšetrovanie porušenia ochrany osobných údajov, poskytovateľovi sa povoľuje poskytnúť prvotné oznámenie príslušnému vnútroštátnemu orgánu najneskôr 24 hodín po zistení porušenia ochrany osobných údajov. Toto prvotné oznámenie príslušnému vnútroštátnemu orgánu obsahuje informácie stanovené v oddiele 1 prílohy I. Čo najskôr, najneskôr však do troch dní po prvotnom oznámení, podá poskytovateľ príslušnému vnútroštátnemu orgánu druhé oznámenie Toto druhé oznámenie obsahuje informácie stanovené v oddiele 2 prílohy I a v prípade potreby sa v ňom aktualizujú predtým poskytnuté informácie.
Keď poskytovateľ ani napriek vyšetrovaniam nie je schopný poskytnúť v trojdňovej lehote od zaslania prvotného oznámenia všetky informácie, oznámi tie informácie, ktoré má v danej lehote k dispozícii, a predloží príslušnému vnútroštátnemu orgánu podložené odôvodnenie, prečo zvyšné informácie oznámi neskôr. Poskytovateľ čo najskôr oznámi zvyšné informácie príslušnému vnútroštátnemu orgánu a v prípade potreby aktualizuje predtým poskytnuté informácie.
4. Príslušný vnútroštátny orgán poskytne všetkým poskytovateľom usadeným v dotknutom členskom štáte bezpečný elektronický prostriedok na oznamovanie porušení ochrany osobných údajov a informácie o postupoch prístupu k nemu a jeho používania. Komisia v prípade potreby zorganizuje stretnutia s príslušnými vnútroštátnymi orgánmi s cieľom uľahčiť uplatňovanie tohto ustanovenia.
5. Keď sa porušenie ochrany osobných údajov dotkne účastníkov alebo jednotlivcov z iných členských štátov než z členského štátu príslušného vnútroštátneho orgánu, ktorému sa porušenie ochrany osobných údajov oznámilo, daný príslušný vnútroštátny orgán informuje vnútroštátne orgány ostatných dotknutých členských štátov.
Na ľahšie uplatňovanie tohto ustanovenia Komisia vypracuje a udržiava zoznam príslušných vnútroštátnych orgánov a zodpovedajúcich kontaktných miest.
Článok 3
Oznámenie účastníkovi alebo jednotlivcovi
1. Ak je pravdepodobné, že porušenie ochrany osobných údajov nepriaznivo ovplyvní osobné údaje alebo súkromie účastníka alebo jednotlivca, poskytovateľ okrem oznámenia uvedeného v článku 2 oznámi takéto porušenie aj účastníkovi alebo jednotlivcovi.
2. To, či porušenie ochrany osobných údajov pravdepodobne nepriaznivo ovplyvní osobné údaje alebo súkromie účastníka alebo jednotlivca, sa posúdi so zohľadnením najmä týchto okolností:
1.
povaha a obsah dotknutých osobných údajov, predovšetkým ak ide o finančné informácie, osobitné kategórie údajov uvedené v článku 8 ods. 1 smernice 95/46/ES, ako aj lokalizačné údaje, internetové logovacie súbory, záznamy o prezeraných webových stránkach, údaje o elektronickej pošte a zoznamy jednotlivých hovorov;
2.
pravdepodobné dôsledky porušenia ochrany osobných údajov pre dotknutého účastníka alebo jednotlivca, najmä ak by porušenie mohlo viesť ku krádeži alebo zneužitiu identity, fyzickej ujme, psychickému utrpeniu, poníženiu alebo poškodeniu povesti, ako aj
3.
okolnosti porušenia ochrany osobných údajov, najmä ak boli údaje odcudzené alebo ak poskytovateľ vie, že údaje má v držbe neoprávnená tretia strana.
3. Oznámenie účastníkovi alebo jednotlivcovi sa vykoná bez zbytočného odkladu po zistení porušenia ochrany osobných údajov, ako sa uvádza v článku 2 ods. 2 treťom pododseku. Nemalo by to závisieť od oznámenia porušenia ochrany osobných údajov príslušnému vnútroštátnemu orgánu uvedeného v článku 2.
4. Do oznámenia určeného účastníkovi alebo jednotlivcovi poskytovateľ zahrnie informácie stanovené v prílohe II. Jazyk oznámenia určeného účastníkovi alebo jednotlivcovi musí byť jasný a ľahko zrozumiteľný. Poskytovateľ nesmie využiť oznámenie ako príležitosť na propagáciu alebo reklamu nových ani doplnkových služieb.
5. Za výnimočných okolností, keď oznámenie účastníkovi alebo jednotlivcovi môže ohroziť riadne vyšetrenie porušenia ochrany osobných údajov, poskytovateľovi sa po získaní súhlasu od príslušného vnútroštátneho orgánu povoľuje odložiť zaslanie oznámenia účastníkovi alebo jednotlivcovi dovtedy, kým príslušný vnútroštátny orgán nepovažuje za možné oznámiť porušenie ochrany osobných údajov v súlade s týmto článkom.
6. Poskytovateľ oznámi účastníkovi alebo jednotlivcovi porušenie ochrany osobných údajov takými komunikačnými prostriedkami, ktorými sa zabezpečí rýchle doručenie informácií a ktoré sú podľa najnovších poznatkov v danej oblasti náležite zabezpečené. Informácie o porušení sú venované len danému porušeniu a nespájajú sa s informáciami na iné témy.
7. Keď poskytovateľ, ktorý má priamy zmluvný vzťah s koncovým užívateľom, ani napriek vynaloženému primeranému úsiliu nie je schopný v lehote uvedenej v odseku 3 identifikovať všetkých jednotlivcov, ktorých by sa pravdepodobne mohlo nepriaznivo dotknúť dané porušenie ochrany osobných údajov, môže v uvedenej lehote informovať týchto jednotlivcov prostredníctvom inzercie uverejnenej v hlavných celoštátnych alebo regionálnych médiách v príslušných členských štátoch. Takáto inzercia obsahuje informácie uvedené v prílohe II, v prípade potreby v stručnej forme. Poskytovateľ v takom prípade pokračuje v primeranom úsilí identifikovať daných jednotlivcov a oznámiť im informácie uvedené v prílohe II čo najskôr.
Článok 4
Technické ochranné opatrenia
1. Odchylne od článku 3 ods. 1 oznámenie o porušení ochrany osobných údajov dotknutému účastníkovi alebo jednotlivcovi sa nevyžaduje, ak poskytovateľ preukázal k spokojnosti príslušného vnútroštátneho orgánu, že vykonal primerané technologické ochranné opatrenia a že tieto opatrenia sa uplatnili na údaje dotknuté porušením bezpečnosti. Takými opatreniami technologickej ochrany sa zabezpečí, aby sa údaje stali nečitateľné pre všetky osoby bez oprávneného prístupu k nim.
2. Údaje sa považujú za nečitateľné, ak:
1.
boli bezpečne zakódované normalizovaným algoritmom, kľúč používaný na odkódovanie údajov nebol poškodený žiadnym porušením bezpečnosti a tento kľúč bol vytvorený tak, aby ho nikto, kto k nemu nemá prístupové právo, nemohol dostupnými technickými prostriedkami zistiť, alebo
2.
boli nahradené ich hašovanou hodnotou vypočítanou pomocou normalizovanej kryptografickej hašovacej funkcie s kľúčom, pričom kľúč použitý na hašovanie údajov nebol poškodený žiadnym porušením bezpečnosti a tento kľúč bol vytvorený tak, aby ho nikto, kto k nemu nemá prístupové právo, nemohol dostupnými technickými prostriedkami zistiť.
3. Komisia môže po porade s príslušnými vnútroštátnymi orgánmi prostredníctvom pracovnej skupiny zriadenej článkom 29, Európskou agentúrou pre bezpečnosť sietí a informácií a európskym dozorným úradníkom pre ochranu údajov uverejniť orientačný zoznam primeraných technologických ochranných opatrení uvedených v odseku 1 v súlade s platnými postupmi.
Článok 5
Využívanie iného poskytovateľa
Ak sa časť elektronickej komunikačnej služby poskytuje na základe zmluvy s iným poskytovateľom, pričom tento nemá priamy zmluvný vzťah s účastníkmi, tento iný poskytovateľ bezodkladne informuje zadávajúceho poskytovateľa v prípade porušenia ochrany osobných údajov.
Článok 6
Podávanie správ a preskúmanie
Do troch rokov od nadobudnutia účinnosti tohto nariadenia Komisia predloží správu o uplatňovaní tohto nariadenia, jeho účinnosti a vplyve na poskytovateľov, účastníkov a jednotlivcov. Komisia na základe uvedenej správy preskúma toto nariadenie.
Článok 7
Nadobudnutie účinnosti
Toto nariadenie nadobúda účinnosť 25. augusta 2013.
Toto nariadenie je záväzné v celom rozsahu a priamo uplatniteľné vo všetkých členských štátoch.
V Bruseli 24. júna 2013