NAŘÍZENÍ KOMISE (EU) č. 611/2013
ze dne 24. června 2013
o opatřeních vztahujících se na oznámení o narušení bezpečnosti osobních údajů podle směrnice Evropského parlamentu a Rady 2002/58/ES o soukromí a elektronických komunikacích
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (Směrnice o soukromí a elektronických komunikacích) (1), a zejména na čl. 4 odst. 5 uvedené směrnice,
po konzultaci s Evropskou agenturou pro bezpečnost sítí a informací (ENISA),
po konzultaci s pracovní skupinou pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízenou článkem 29 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (2) (dále jen „pracovní skupina zřízená podle článku 29“),
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
Směrnice 2002/58/ES harmonizuje předpisy členských států požadované pro zajištění rovnocenné úrovně ochrany základních práv a svobod, zejména práva na soukromí a zachování důvěrnosti informací, se zřetelem na zpracování osobních údajů v odvětví elektronických komunikací, a pro zajištění volného pohybu těchto údajů a elektronických komunikačních zařízení a služeb v Unii.
(2)
Podle článku 4 směrnice 2002/58/ES jsou poskytovatelé veřejně dostupných služeb elektronických komunikací povinni oznámit narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům a v některých případech také dotčeným účastníkům a jednotlivcům. Narušení bezpečnosti osobních údajů je definováno v čl. 2 písm. i) směrnice 2002/58/ES jako narušení bezpečnosti, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně či neoprávněnému vyzrazení nebo zpřístupnění osobních údajů přenášených, uchovávaných nebo jinak zpracovávaných v souvislosti s poskytováním veřejně dostupné služby elektronických komunikací v Unii.
(3)
Pro zajištění důsledného provádění opatření uvedených v čl. 4 odst. 2, 3 a 4 směrnice 2002/58/ES se v čl. 4 odst. 5 uvedeného nařízení Komise zmocňuje k přijetí technických prováděcích opatření týkajících se okolností, formátu a postupů, jež se vztahují na požadavky informování a oznamování podle uvedeného článku.
(4)
Rozdílné požadavky členských států v tomto ohledu mohou vést k právní nejistotě, složitějším a zdlouhavějším postupům a značným administrativním nákladům poskytovatelů, kteří působí v přeshraničním styku. Komise proto zastává názor, že je nutné přijmout tato technická prováděcí opatření.
(5)
Toto nařízení se omezuje na oznámení o narušení bezpečnosti osobních údajů, a proto nestanoví technická prováděcí opatření týkající se čl. 4 odst. 2 směrnice 2002/58/ES o informování účastníků v případě zvláštního rizika narušení bezpečnosti sítě.
(6)
Z čl. 4 odst. 3 prvního pododstavce směrnice 2002/58/ES vyplývá, že poskytovatelé by měli oznámit příslušnému vnitrostátnímu orgánu všechny případy narušení bezpečnosti osobních údajů. Rozhodnutí, zda je či není třeba oznámit narušení příslušnému vnitrostátnímu orgánu, by proto nemělo být ponecháno na vůli poskytovatele. To by však nemělo bránit příslušnému vnitrostátnímu orgánu, aby v souladu s platnými právními předpisy nepřistoupil k vyšetřování některých narušení přednostně podle jejich důležitosti a nepodnikl kroky nezbytné k tomu, aby se zabránilo přílišnému nebo nedostatečnému hlášení o narušení bezpečnosti osobních údajů.
(7)
Je třeba stanovit systém pro oznamování narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu, který by za splnění některých podmínek sestával z různých etap, pro něž by platily konkrétní lhůty. Systém by měl zajistit, aby příslušný vnitrostátní orgán byl informován co nejdříve a co nejúplněji, aniž by se tím neodůvodněně bránilo poskytovateli ve snaze narušení vyšetřit a přijmout nezbytná opatření k jeho omezení a nápravě důsledků.
(8)
Pouhé podezření, že došlo k narušení bezpečnosti osobních údajů, ani pouhé zjištění události bez dostatečných informací, které se ani přes největší úsilí nepodařilo poskytovateli získat, nepostačuje pro účely tohoto nařízení k tomu, aby bylo možné konstatovat, že došlo k odhalení narušení bezpečnosti osobních údajů. Zvláštní ohled je v této souvislosti třeba věnovat dostupnosti informací uvedených v příloze I.
(9)
V souvislosti s uplatňováním tohoto nařízení by v případech narušení bezpečnosti osobních údajů s přeshraničním rozměrem měly příslušné vnitrostátní orgány mezi sebou spolupracovat.
(10)
Toto nařízení nestanoví žádné upřesnění přehledu narušení bezpečnosti osobních údajů, které mají provozovatelé vést, protože v článku 4 směrnice 2002/58/ES je jeho obsah stanoven vyčerpávajícím způsobem. Poskytovatelé však při určování formátu přehledu mohou použít odkaz na toto nařízení.
(11)
Všechny příslušné vnitrostátní orgány by měly poskytovatelům zpřístupnit bezpečné elektronické prostředky umožňující oznamovat narušení bezpečnosti osobních údajů ve společném formátu, a to na základě normy, jako je např. XML, který bude obsahovat údaje stanovené v příloze I v příslušných jazycích tak, aby všichni poskytovatelé v rámci Unie mohli používat obdobný postup oznamování bez ohledu na to, kde se nacházejí nebo kde došlo k narušení bezpečnosti osobních údajů. V této souvislosti by Komise podle potřeby měla usnadnit zavádění bezpečných elektronických prostředků pořádáním setkání s příslušnými vnitrostátními orgány.
(12)
Při posuzování, zda by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno vzít v úvahu zejména povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, jako jsou např. údaje o kreditní kartě nebo bankovním účtu, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES a některé údaje, které se konkrétně týkají poskytování telefonních a internetových služeb, tj. údaje o elektronické poště, lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek a podrobné rozpisy uskutečněných volání.
(13)
Za výjimečných okolností, jestliže by oznámení účastníkovi nebo jednotlivci mohlo ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, by poskytovatel měl mít možnost oznámení účastníkovi nebo jednotlivci pozdržet. V tomto ohledu mohou výjimečné okolnosti zahrnovat trestní vyšetřování, jakož i další narušení bezpečnosti osobních údajů, která nelze považovat za závažnou trestnou činnost, kvůli nimž však může být vhodné oznámení odložit. Příslušný vnitrostátní orgán by za všech okolností měl v každém jednotlivém případě a s ohledem na okolnosti posoudit, zda se oznámení odloží, nebo zda bude vyžadováno.
(14)
Zatímco poskytovatelé by díky přímému smluvnímu vztahu měli mít kontaktní údaje svých účastníků, o ostatních jednotlivcích nepříznivě ovlivněných narušením bezpečnosti osobních údajů tyto informace mít nemusí. V takovém případě by poskytovatel měl mít možnost nejprve tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích, např. v novinách, a následně jim tuto skutečnost co nejdříve oznámit jednotlivě, jak je stanoveno v tomto nařízení. Poskytovatel jako takový tedy není povinen zveřejnit informace v médiích, ale je oprávněn postupovat případně tímto způsobem, pokud stále ještě probíhá zjišťování totožnosti ovlivněných jednotlivců.
(15)
Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi. Za přiměřený prostředek oznámení o narušení bezpečnosti osobních údajů by například nemělo být považováno uvedení informace o narušení bezpečnosti osobních údajů v běžné faktuře.
(16)
Toto nařízení nestanoví žádná zvláštní technická ochranná opatření, která odůvodňují odchylku od povinnosti oznamovat narušení bezpečnosti osobních údajů účastníkům nebo jednotlivcům, neboť ta se mohou v důsledku technologického pokroku v průběhu času měnit. Komise by však měla mít možnost zveřejnit orientační seznam těchto zvláštních technických ochranných opatření v souladu s platnými postupy.
(17)
Kódování nebo hašování nelze samo o sobě považovat za dostatečný způsob ochrany, který by poskytovatelům obecně umožňoval tvrdit, že splnili všechny všeobecné bezpečnostní povinnosti stanovené v článku 17 směrnice 95/46/ES. V tomto ohledu by poskytovatelé měli také provádět vhodná organizační a technická opatření na prevenci, odhalování a zamezení narušení bezpečnosti osobních údajů. Poskytovatelé by měli zvážit veškerá rizika, která mohou přetrvávat po provedení kontrol, aby bylo možné rozpoznat, kde může dojít k narušení bezpečnosti osobních údajů.
(18)
Pokud provozovatel k poskytování služeb částečně používá jiného poskytovatele, např. pro účely účtování nebo řízení, tento jiný poskytovatel, který není v přímém smluvním vztahu s koncovým uživatelem, by neměl mít povinnost v případě narušení bezpečnosti osobních údajů podávat oznámení. Místo toho by měl uvědomit a informovat poskytovatele, s nímž má přímý smluvní vztah. To by mělo platit i v souvislosti s velkoobchodním poskytováním služeb elektronických komunikací, kde obvykle velkoobchodní poskytovatel není v přímém smluvním vztahu s koncovým uživatelem.
(19)
Směrnice 95/46/ES vymezuje obecný rámec pro ochranu osobních údajů v Evropské unii. Komise předložila návrh nařízení Evropského parlamentu a Rady (dále jako „nařízení o ochraně údajů“), které by mělo směrnici 95/46/ES nahradit. Navrhované nařízení o ochraně údajů by na základě čl. 4 odst. 3 směrnice 2002/58/ES zavedlo pro všechny správce povinnost oznamovat narušení bezpečnosti osobních údajů. Toto nařízení Komise je s tímto opatřením plně v souladu.
(20)
Navrhované nařízení o ochraně údajů v omezeném rozsahu rovněž provádí technické úpravy ve směrnici 2002/58/ES s ohledem na změnu směrnice 95/46/ES na nařízení. Podstatné právní důsledky nového nařízení pro směrnici 2002/58/ES budou předmětem přezkumu, který provede Komise.
(21)
Uplatňování tohoto nařízení by mělo být přezkoumáno tři roky po jeho vstupu v platnost a jeho obsah by měl být přezkoumán s ohledem na právní rámec, který bude v platnosti v uvedené době, včetně navrhovaného nařízení o ochraně údajů. Přezkum tohoto nařízení by měl v budoucnosti být, bude-li to možné, spojen s každým přezkumem směrnice 2002/58/ES.
(22)
Uplatňování tohoto nařízení může být posuzováno mimo jiné na základě statistických údajů, které příslušné vnitrostátní orgány vedou o narušeních bezpečnosti osobních údajů, o nichž byly informovány. Tyto statistiky mohou zahrnovat např. informace o počtu narušení bezpečnosti osobních údajů oznámených příslušnému vnitrostátnímu orgánu, počtu případů narušení bezpečnosti osobních údajů oznámených účastníkovi nebo jednotlivci, době potřebné na vyřešení narušení bezpečnosti osobních údajů, a informace o tom, zda byla přijata technická ochranná opatření. Tyto statistiky by měly poskytovat Komisi a členským státům konzistentní a srovnatelné statistické údaje a neměly by odhalovat totožnost oznamujícího poskytovatele ani dotčených účastníků nebo jednotlivců. Komise může za tímto účelem rovněž pořádat pravidelná setkání s příslušnými vnitrostátními orgány a jinými zúčastněnými stranami.
(23)
Opatření tohoto nařízení jsou v souladu se stanoviskem Komunikačního výboru,
PŘIJALA TOTO NAŘÍZENÍ:
Článek 1
Oblast působnosti
Toto nařízení se vztahuje na oznámení poskytovatelů veřejně dostupných služeb elektronických komunikací (dále jen „poskytovatel“) o narušení bezpečnosti osobních údajů.
Článek 2
Oznámení příslušnému vnitrostátnímu orgánu
1. Poskytovatel oznámí všechna narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu.
2. Poskytovatel oznámí narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu nejpozději 24 hodin po zjištění narušení bezpečnosti osobních údajů, pokud je to proveditelné.
Poskytovatel ve svém oznámení příslušnému vnitrostátnímu orgánu uvede informace stanovené v příloze I.
Za zjištění narušení bezpečnosti osobních údajů se považuje situace, kdy poskytovatel získal dostatečné informace o tom, že došlo k bezpečnostní události, která měla za následek narušení osobních údajů, aby podal opodstatněné oznámení podle tohoto nařízení.
3. Jestliže nejsou k dispozici všechny informace stanovené v příloze I a je nutné další vyšetřování narušení bezpečnosti osobních údajů, může poskytovatel podat první oznámení příslušnému vnitrostátnímu orgánu nejpozději do 24 hodin po zjištění narušení bezpečnosti osobních údajů. Toto první oznámení příslušnému vnitrostátnímu orgánu musí obsahovat informace stanovené v příloze I oddíle 1. Poskytovatel je povinen podat příslušnému vnitrostátnímu orgánu co nejdříve, nejpozději do tří dnů po prvním oznámení, druhé oznámení. Toto druhé oznámení obsahuje informace stanovené v příloze I oddíle 2 a v případě potřeby aktualizuje již poskytnuté údaje.
Jestliže poskytovatel ani po vyšetřování nemůže ve lhůtě tří dnů od prvního oznámení poskytnout všechny informace, oznámí všechny informace, které má v této lhůtě k dispozici a předloží příslušnému vnitrostátnímu orgánu odůvodnění, proč musí být zbývající informace oznámeny později. Poskytovatel co možná nejdříve oznámí zbývající informace příslušnému vnitrostátnímu orgánu a v případě potřeby aktualizuje již poskytnuté údaje.
4. Příslušný vnitrostátní orgán poskytne všem poskytovatelům usazeným v dotčeném členském státě bezpečný elektronický prostředek pro oznamování narušení bezpečnosti osobních údajů a informace o postupech přístupu k němu a jeho používání. V zájmu snazšího uplatňování tohoto ustanovení Komise podle potřeby pořádá pravidelná setkání s příslušnými vnitrostátními orgány.
5. V případě, že se narušení bezpečnosti osobních údajů týká účastníků nebo jednotlivců z jiných členských států, než je členský stát příslušného vnitrostátního orgánu, jemuž bylo narušení bezpečnosti osobních údajů oznámeno, příslušný vnitrostátní orgán informuje orgány ostatních dotčených členských států.
Pro usnadnění uplatňování tohoto ustanovení Komise vytvoří a povede seznam příslušných vnitrostátních orgánů a příslušných kontaktních míst.
Článek 3
Oznámení účastníkovi nebo jednotlivci
1. Pokud by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, musí poskytovatel kromě oznámení uvedeného v článku 2 toto porušení oznámit rovněž účastníkovi nebo jednotlivci.
2. Při posuzování, zda narušení bezpečnosti osobních údajů může mít nepříznivý vliv na osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno brát ohled zejména na tyto okolnosti:
a)
povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES, jakož i lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek, údaje týkající se elektronické pošty a podrobné údaje o uskutečněných voláních;
b)
pravděpodobné důsledky narušení bezpečnosti osobních údajů pro dotčeného účastníka nebo jednotlivce, zejména tehdy, kdy by porušení mohlo vést ke krádeži nebo zneužití, fyzické újmě, psychickému strádání, ponížení nebo poškození pověsti a
c)
okolnosti narušení bezpečnosti osobních údajů, zejména pokud byly údaje odcizeny nebo pokud je poskytovateli známo, že údaje jsou v držení neoprávněné třetí strany.
3. Oznámení účastníkovi nebo jednotlivci musí být učiněno bez zbytečného odkladu po zjištění narušení bezpečnosti osobních údajů v souladu s čl. 2 odst. 2 třetím pododstavcem. Nesmí záviset na oznámení o narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům podle článku 2.
4. Poskytovatel ve svém oznámení účastníkovi nebo jednotlivci uvede informace stanovené v příloze II. Oznámení účastníkovi nebo jednotlivci musí být jasné a srozumitelné. Poskytovatel nesmí využít oznámení jako příležitost k propagaci nebo nabídce nových či doplňkových služeb.
5. Ve výjimečných případech, kdy oznámení účastníkovi nebo jednotlivci může ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, má poskytovatel možnost po získání souhlasu příslušného vnitrostátního orgánu oznámení účastníkovi nebo jednotlivci pozdržet, dokud příslušný vnitrostátní orgán neusoudí, že je možné oznámit narušení bezpečnosti osobních údajů podle tohoto článku.
6. Poskytovatel oznámí účastníkovi nebo jednotlivci narušení bezpečnosti osobních údajů takovým způsobem, který umožňuje rychlé předání informací a který je podle nejnovějších poznatků náležitě zabezpečen. Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi.
7. Pokud poskytovatel, který je v přímém smluvním vztahu s koncovým uživatelem, ani přes vynaložené úsilí není schopen ve lhůtě uvedené v odstavci 3 určit všechny jednotlivce, kteří by narušením bezpečnosti osobních údajů mohli být nepříznivě ovlivněni, může v uvedené lhůtě tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích v příslušných členských státech. Uvedená oznámení musí obsahovat informace stanovené v příloze II, v případě potřeby ve stručné formě. V takovém případě poskytovatel pokračuje v úsilí vedoucím k identifikaci těchto jednotlivců a co nejdříve jim oznámí informace uvedené v příloze II.
Článek 4
Technická ochranná opatření
1. Odchylně od čl. 3 odst. 1 se oznámení o narušení bezpečnosti osobních údajů dotčenému účastníkovi nebo jednotlivci nevyžaduje, pokud poskytovatel ke spokojenosti příslušného vnitrostátního orgánu prokázal, že zavedl náležitá technická ochranná opatření a že tato opatření byla na údaje, jichž se narušení bezpečnosti týká, použita. Tato technická ochranná opatření zajistí, aby údaje nebyly srozumitelné pro nikoho, kdo není k přístupu k nim oprávněn.
2. Údaje se považují za nesrozumitelné, jestliže:
a)
byly bezpečně zašifrovány normalizovaným algoritmem, klíč použitý k dešifrování údajů nebyl žádným narušením bezpečnosti ohrožen a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu, nebo
b)
byly nahrazeny svou zahašovanou hodnotou vypočítanou pomocí normalizované kryptografické hašovací funkce s klíčem, klíč použitý k hašování údajů nebyl ohrožen žádným narušením bezpečnosti a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu.
3. Komise může po konzultaci s příslušnými vnitrostátními orgány prostřednictvím pracovní skupiny zřízené podle článku 29, Evropskou agenturou pro bezpečnost sítí a informací a evropským inspektorem ochrany údajů zveřejnit orientační seznam vhodných technických ochranných opatření uvedených v odstavci 1 v souladu s platnými postupy.
Článek 5
Použití jiného poskytovatele
Jestliže je jiný poskytovatel smluvně zavázán, aby poskytl část služeb elektronických komunikací, aniž by byl v přímém smluvním vztahu s účastníky, tento další poskytovatel v případě, že došlo k narušení bezpečnosti osobních údajů, okamžitě informuje smluvního poskytovatele.
Článek 6
Podávání zpráv a přezkum
Do tří let od vstupu tohoto nařízení v platnost Komise předloží zprávu o uplatňování tohoto nařízení, jeho účinnosti a dopadu na poskytovatele, účastníky a jednotlivce. Na základě uvedené zprávy Komise toto nařízení přezkoumá.
Článek 7
Vstup v platnost
Toto nařízení vstupuje v platnost dne 25. srpna 2013.
Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.
V Bruselu dne 24. června 2013.
UREDBA KOMISIJE (EU) št. 611/2013
z dne 24. junija 2013
o ukrepih, ki veljajo za obveščanje o kršitvi varnosti osebnih podatkov v skladu z Direktivo 2002/58/ES Evropskega parlamenta in Sveta o zasebnosti in elektronskih komunikacijah
EVROPSKA KOMISIJA JE -
ob upoštevanju Pogodbe o delovanju Evropske unije,
ob upoštevanju Direktive 2002/58/ES Evropskega parlamenta in Sveta z dne 12. julija 2002 o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (Direktiva o zasebnosti in elektronskih komunikacijah) (1) ter zlasti člena 4(5) Direktive,
po posvetovanju z Evropsko agencijo za varnost omrežij in informacij (ENISA),
po posvetovanju z Delovno skupino za varstvo posameznikov pri obdelavi osebnih podatkov iz člena 29 Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (2) (v nadaljnjem besedilu: delovna skupina iz člena 29),
po posvetovanju z Evropskim nadzornikom za varstvo podatkov (ENVP),
ob upoštevanju naslednjega:
(1)
Direktiva 2002/58/ES določa uskladitev nacionalnih določb držav članic, ki je potrebna za zagotovitev enakovredne ravni varstva temeljnih pravic in svoboščin ter zlasti pravice do zasebnosti in zaupnosti v zvezi z obdelavo osebnih podatkov na področju elektronskih komunikacij in za zagotovitev prostega pretoka takih podatkov ter elektronske komunikacijske opreme in storitev v Uniji.
(2)
Ponudniki javno razpoložljivih elektronskih komunikacijskih storitev morajo v skladu s členom 4 Direktive 2002/58/ES obvestiti pristojne nacionalne organe ter v nekaterih primerih tudi zadevne naročnike in posameznike o kršitvah varnosti osebnih podatkov. Kršitve varnosti osebnih podatkov so v členu 2(i) Direktive 2002/58/ES opredeljene kot kršitve varnosti, ki povzročijo nenamerno ali nezakonito uničenje, izgubo, spremembo, nepooblaščeno razkritje ali dostop do osebnih podatkov, ki so poslani, shranjeni ali kako drugače obdelani v zvezi z zagotavljanjem javno razpoložljivih elektronskih komunikacijskih storitev v Uniji.
(3)
Komisija je na podlagi člena 4(5) Direktive 2002/58/ES pooblaščena za sprejetje tehničnih izvedbenih ukrepov v zvezi z okoliščinami, predpisano obliko in postopki, ki se uporabljajo za zahteve glede informacij in obvestil iz navedenega člena, da se zagotovi doslednost pri izvajanju ukrepov iz člena 4(2), (3) in (4) navedene direktive.
(4)
Različne zahteve držav članic na tem področju lahko povzročijo pravno negotovost, bolj zapletene in dolgotrajne postopke ter visoke upravne stroške ponudnikov, ki poslujejo v več državah članicah. Zato Komisija meni, da je treba sprejeti take tehnične izvedbene ukrepe.
(5)
Področje uporabe te uredbe je omejeno na obveščanje o kršitvi varnosti osebnih podatkov, zato ne določa tehničnih izvedbenih ukrepov glede člena 4(2) Direktive 2002/58/ES v zvezi z obveščanjem naročnikov v primeru posebnega tveganja za kršitev varnosti omrežja.
(6)
Iz prvega pododstavka člena 4(3) Direktive 2002/58/ES sledi, da bi ponudniki morali pristojni nacionalni organ obvestiti o vseh kršitvah varnosti osebnih podatkov. Zato ponudnik ne bi smel prosto presojati o tem, ali bo pristojnemu nacionalnemu organu poslal obvestilo ali ne. Vendar pa to zadevnemu pristojnemu nacionalnemu organu ne sme preprečiti prednostne obravnave določenih kršitev tako, kot je po njegovem mnenju skladno z zakonodajo, ki se uporablja, in sprejemanja ukrepov, potrebnih za preprečitev preobsežnega ali nezadostnega poročanja o kršitvah varnosti osebnih podatkov.
(7)
Primerno je zagotoviti sistem za obveščanje pristojnega nacionalnega organa o kršitvah varnosti osebnih podatkov, ki bo ob izpolnjevanju določenih pogojev sestavljen iz različnih faz, od katerih bo vsaka imela določene časovne omejitve. Namen tega sistema je zagotoviti karseda hitro in podrobno obveščanje pristojnega nacionalnega organa, pri čemer pa se ne bo oviralo ponudnikovih prizadevanj za preiskavo kršitve in sprejetje ukrepov, potrebnih za omejitev kršitve ter odpravo njenih posledic.
(8)
Samo sum kršitve varnosti osebnih podatkov ali samo odkritje incidenta brez zadostnih razpoložljivih informacij, ne glede na to, ali si je ponudnik za to prizadeval po svojih najboljših močeh, ne zadostujeta, da bi se za namene te uredbe štelo, da je bila odkrita kršitev varnosti osebnih podatkov. V zvezi s tem je treba paziti zlasti na razpoložljivost informacij iz Priloge I.
(9)
Zadevni pristojni nacionalni organi bi v okviru uporabe te uredbe morali med seboj sodelovati, kadar bi šlo za kršitve varnosti osebnih podatkov, ki imajo čezmejne razsežnosti.
(10)
V tej uredbi ni dodatnih specifikacij v zvezi z evidenco kršitev varnosti osebnih podatkov, ki jo morajo voditi ponudniki, saj njeno vsebino že dovolj natančno določa člen 4 Direktive 2002/58/ES. Kljub temu pa se ponudniki za določitev oblike evidence lahko sklicujejo na to uredbo.
(11)
Vsi pristojni nacionalni organi bi morali zagotoviti varno elektronsko sredstvo, prek katerega bi lahko ponudniki pošiljali obvestila o kršitvah varnosti osebnih podatkov v skupni obliki zapisa na podlagi standarda, kot je XML, pri čemer bi taka obvestila vključevala informacije iz Priloge I v ustreznih jezikih, da se vsem ponudnikom v Uniji omogoči uporaba podobnega postopka obveščanja, ne glede na njihovo lokacijo ali kraj kršitve varnosti osebnih podatkov. V zvezi s tem bi Komisija morala olajšati izvajanje varnih elektronskih sredstev tako, da bi po potrebi sklicala sestanke s pristojnimi nacionalnimi organi.
(12)
Pri oceni verjetnosti, da bo kršitev varnosti osebnih podatkov negativno vplivala na osebne podatke ali zasebnost naročnika ali posameznika, bi bilo treba upoštevati zlasti naravo in vsebino zadevnih osebnih podatkov, zlasti kadar ti podatki zadevajo finančne informacije, kot so podatki o kreditnih karticah in podatki o bančnem računu, posebne vrste podatkov iz člena 8(1) Direktive 95/46/ES, ter nekatere podatke, ki so izrecno povezani z zagotavljanjem storitev na področju telefonije ali interneta, tj. podatke z elektronske pošte, podatke o lokaciji, internetne dnevniške datoteke, zgodovino brskanja po spletu in razčlenjene sezname klicev.
(13)
Ponudniku bi bilo treba v posebnih okoliščinah dovoliti, da preloži obvestilo naročniku ali posamezniku, kadar bi lahko obvestilo naročniku ali posamezniku ogrozilo ustrezno preiskavo o kršitvi varnosti osebnih podatkov. Izjemne okoliščine v zvezi s tem so lahko med drugim kriminalne preiskave in druge kršitve varnosti osebnih podatkov, ki ne štejejo za resne zločine, vendar bi bilo primerno preložiti obvestilo o njih. V vsakem primeru bi moral pristojni nacionalni organ za vsak posamezen primer ob upoštevanju okoliščin oceniti, ali se strinja s preložitvijo obvestila ali ga zahteva.
(14)
Ponudniki bi zaradi neposrednega pogodbenega razmerja s svojimi naročniki morali imeti njihove kontaktne podatke, vendar ni nujno, da so te informacije na voljo za druge posameznike, na katere je negativno vplivala kršitev varnosti osebnih podatkov. V takem primeru bi bilo treba ponudniku dovoliti, da te posameznike obvesti najprej prek oglasov v pomembnih nacionalnih ali regionalnih sredstvih javnega obveščanja, kot so časopisi, in jim nato čim prej pošlje ločeno obvestilo, kot je določeno v tej uredbi. Ponudnik torej ni zavezan k obveščanju prek medijev, temveč se mu to dovoli, če tako želi, kadar je še v procesu ugotavljanja, na katere posameznike je kršitev vplivala.
(15)
Informacije o kršitvi bi se morale nanašati na kršitev in ne bi smele biti povezane z informacijami o drugi temi. Navedba informacij o kršitvi varnosti osebnih podatkov na običajnem računu se na primer ne bi smela obravnavati kot ustrezen način obveščanja o kršitvi varnosti osebnih podatkov.
(16)
Ta uredba ne določa posebnih ukrepov za tehnološko zaščito, na podlagi katerih je mogoče odstopanje od obveznega obveščanja naročnikov ali posameznikov o kršitvah varnosti osebnih podatkov, ker se lahko kršitve sčasoma spremenijo zaradi tehnološkega napredka. Vendar bi bilo treba Komisiji v skladu s sedanjo prakso omogočiti objavo okvirnega seznama takih posebnih ukrepov za tehnološko zaščito.
(17)
Samo šifriranje ali zgoščevanje ne bi smelo biti zadostna podlaga za utemeljene trditve ponudnikov, da so na splošno izpolnili obveznost na področju splošne varnosti iz člena 17 Direktive 95/46/ES. Ponudniki bi morali v zvezi s tem izvajati tudi ustrezne organizacijske in tehnične ukrepe za preprečevanje, odkrivanje in blokiranje kršitev varnosti osebnih podatkov. Ponudniki bi morali upoštevati vsa ostala tveganja, ki lahko nastanejo po izvedbi varnostnih ukrepov, da se ugotovijo področja, na katerih bi lahko prišlo do kršitve varnosti osebnih podatkov.
(18)
Kadar ponudnik za opravljanje dela storitve vključi drugega ponudnika, na primer v zvezi s funkcijami obračunavanja ali upravljanja, se od navedenega drugega ponudnika, ki ni v neposrednem pogodbenem razmerju s končnim uporabnikom, ne bi smelo zahtevati izdajanje obvestil v primeru kršitve varnosti osebnih podatkov. Namesto tega bi morala opozoriti in obvestiti ponudnika, s katerim je v neposrednem pogodbenem razmerju. To bi moralo veljati tudi v kontekstu zagotavljanja storitev elektronskih komunikacij na veleprodajni ravni, kadar ponudnik na veleprodajni ravni običajno ni v neposrednem pogodbenem razmerju s končnim uporabnikom.
(19)
Direktiva 95/46/ES določa splošni okvir za varnost osebnih podatkov v Evropski uniji. Komisija je predstavila predlog za uredbo Evropskega parlamenta in Sveta, ki bi nadomestila Direktivo 95/46/ES (uredba o varstvu podatkov). Predlagana uredba o varstvu podatkov bi za upravljavce podatkov uvedla zahtevo obveščanja o kršitvah varnosti osebnih podatkov, in sicer na podlagi člena 4(3) Direktive 2002/58/ES. Trenutna uredba Komisije je v celoti skladna s tem predlaganim ukrepom.
(20)
Predlagana uredba o varstvu podatkov v Direktivo 2002/58/ES vnaša tudi omejeno število tehničnih prilagoditev, ki upoštevajo preoblikovanje Direktive 95/46/ES v uredbo. Komisija bo preučila materialne pravne posledice, ki jih bo nova uredba povzročila v Direktivi 2002/58/ES.
(21)
Uporaba te uredbe bi morala biti pregledana tri leta po začetku veljave, njeno vsebino pa bi bilo treba preučiti v luči takrat veljavnega pravnega okvira, vključno s predlagano uredbo o varstvu podatkov. Pregled te uredbe bi moral biti, kjer bo to mogoče, povezan z vsemi prihodnjimi pregledi Direktive 2002/58/ES.
(22)
Uporabo te uredbe se lahko med drugim oceni na podlagi katerih koli statističnih podatkov pristojnih nacionalnih organov o kršitvah varnosti osebnih podatkov, o katerih so bili ti organi obveščeni. Ti statistični podatki lahko zajemajo na primer informacije o številu kršitev varnosti osebnih podatkov, o katerih je bil obveščen pristojni nacionalni organ, številu kršitev varnosti osebnih podatkov, o katerih je bil obveščen naročnik ali posameznik, času, potrebnem za odpravo kršitve varnosti osebnih podatkov, ter o tem, ali so bili sprejeti ukrepi za tehnološko zaščito. Ti statistični podatki naj bi Komisiji in državam članicam zagotovili dosledne in primerljive podatke, pri čemer pa se ne sme razkriti niti identitete ponudnika, ki obvešča, niti identitete zadevnih naročnikov ali posameznikov. Komisija lahko v ta namen tudi organizira redna srečanja s pristojnimi nacionalnimi organi in drugimi zainteresiranimi stranmi.
(23)
Ukrepi, predvideni s to uredbo, so v skladu z mnenjem Odbora za komunikacije -
SPREJELA NASLEDNJO UREDBO:
Člen 1
Področje uporabe
Ta uredba se uporablja za obveščanje ponudnikov javno razpoložljivih elektronskih komunikacijskih storitev (v nadaljnjem besedilu: ponudnik) o kršitvah varnosti osebnih podatkov.
Člen 2
Obvestilo pristojnemu nacionalnemu organu
1. Ponudnik obvesti pristojni nacionalni organ o vseh kršitvah varnosti osebnih podatkov.
2. Kadar je to mogoče, ponudnik obvesti pristojni nacionalni organ o kršitvi najpozneje 24 ur po odkritju kršitve varnosti osebnih podatkov.
Ponudnik v obvestilo pristojnemu nacionalnemu organu vključi informacije iz Priloge I.
Kršitev varnosti osebnih podatkov bi bilo treba obravnavati kot kršitev, kadar je ponudnik zadostno osveščen o varnostnem incidentu, ki je privedel do ogrožanja osebnih podatkov, da lahko o njem smiselno poroča, kot se zahteva v skladu s to uredbo.
3. Ponudniku se dovoli, da pošlje prvo obvestilo pristojnemu nacionalnemu organu najpozneje 24 ur po odkritju kršitve varnosti osebnih podatkov, kadar niso na voljo vse informacije iz Priloge I in se zahteva nadaljnja preiskava kršitve varnosti osebnih podatkov. Ponudnik v to prvo obvestilo pristojnemu nacionalnemu organu vključi informacije iz oddelka 1 Priloge I. Ponudnik pošlje drugo obvestilo pristojnemu organu v najkrajšem možnem času oziroma najpozneje tri dni po prvem obvestilu. Ponudnik v to drugo obvestilo vključi informacije iz oddelka 2 Priloge I in po potrebi posodobi že navedene informacije.
Kadar ponudnik kljub preiskavam ne more zagotoviti vseh informacij v treh dneh po prvem obvestilu, ta ponudnik pristojni organ obvesti o vseh informacijah, ki jih ima na voljo v tem časovnem okviru, in pristojnemu organu predloži utemeljeno obrazložitev o razlogih za pozno obveščanje o preostalih informacijah. Ponudnik pristojni nacionalni organ čim prej obvesti o preostalih informacijah in po potrebi posodobi že navedene informacije.
4. Pristojni nacionalni organ zagotovi vsem ponudnikom s sedežem v zadevni državi članici varno elektronsko sredstvo za obveščanje o kršitvah varnosti osebnih podatkov ter informacije o postopkih za dostop do tega sredstva za obveščanje in njegovo uporabo. Komisija po potrebi skliče srečanja s pristojnimi nacionalnimi organi, da se olajša uporaba te določbe.
5. Kadar kršitev varnosti osebnih podatkov zadeva naročnike ali posameznike iz držav članic, ki niso država pristojnega organa, ki je bil obveščen o kršitvi varnosti osebnih podatkov, pristojni nacionalni organ obvesti druge zadevne nacionalne organe.
Zaradi lažje uporabe te določbe Komisija pripravi in vzdržuje seznam pristojnih nacionalnih organov in ustreznih kontaktnih točk.
Člen 3
Obvestilo naročniku ali posamezniku
1. Kadar je verjetno, da bo kršitev varnosti osebnih podatkov negativno vplivala na osebne podatke ali zasebnost naročnika ali posameznika, ponudnik ne pošlje le obvestila iz člena 2, ampak o kršitvi obvesti tudi naročnika ali posameznika.
2. Verjetnost, da bo kršitev varnosti osebnih podatkov negativno vplivala na osebne podatke ali zasebnost naročnika ali posameznika, se oceni ob upoštevanju zlasti naslednjih okoliščin:
(a)
narava in vsebina zadevnih osebnih podatkov, zlasti kadar podatki zadevajo finančne informacije, posebne vrste podatkov iz člena 8(1) Direktive 95/46/ES in podatke o lokaciji, internetne dnevniške datoteke, zgodovino brskanja po spletu, podatke z elektronske pošte in razčlenjene sezname klicev;
(b)
verjetne posledice kršitve osebnih podatkov za zadevnega naročnika ali posameznika, zlasti kadar bi lahko zaradi kršitve prišlo do kraje ali zlorabe identitete, fizičnih poškodb, psihične stiske, poniževanja ali škodovanja ugledu, in
(c)
okoliščine kršitve osebnih podatkov, zlasti kadar so podatki ukradeni ali ponudnik ve, da s podatki razpolaga nepooblaščena tretja oseba.
3. Naročnik ali posameznik je o odkritju kršitve varnosti osebnih podatkov obveščen brez nepotrebnega odlašanja, kot je določeno v tretjem pododstavku člena 2(2). To ni odvisno od uradnega obvestila pristojnim nacionalnim organom o kršitvi varnosti osebnih podatkov iz člena 2.
4. Ponudnik v obvestilo naročniku ali posamezniku vključi informacije iz Priloge II. Obvestilo naročniku ali posamezniku je napisano v jasnem in razumljivem jeziku. Ponudnik obvestila ne sme izrabiti kot priložnost za promocijo ali oglaševanje novih ali dodatnih storitev.
5. V izjemnih okoliščinah se ponudniku, če bi lahko obvestilo, poslano naročniku ali posamezniku, ogrozilo ustrezno preiskavo o kršitvi varnosti osebnih podatkov, dovoli, da po pridobitvi soglasja pristojnega nacionalnega organa obvestilo naročniku ali posamezniku preloži za toliko časa, dokler pristojni nacionalni organ ne oceni, da je o kršitvi varnosti osebnih podatkov mogoče obvestiti v skladu s tem členom.
6. Ponudnik naročnika ali posameznika o kršitvi varnosti osebnih podatkov obvesti prek komunikacijskih sredstev, ki zagotavljajo takojšen prejem informacij in ustrezno varnost na podlagi najsodobnejše tehnologije. Informacije o kršitvi se nanašajo na kršitev in niso povezane z informacijami o drugi temi.
7. Če ponudnik, ki je v neposrednem pogodbenem razmerju s končnim uporabnikom, v časovnem okviru iz odstavka 3 kljub ustreznim prizadevanjem ne more identificirati vseh posameznikov, na katere bi lahko kršitev varnosti osebnih podatkov negativno vplivala, lahko ponudnik te posameznike v navedenem časovnem okviru obvesti prek oglasov v pomembnejših nacionalnih ali regionalnih sredstvih javnega obveščanja v zadevnih državah članicah. Ti oglasi vključujejo informacije iz Priloge II, ki so po potrebi v zgoščeni obliki. V takem primeru si ponudnik še naprej ustrezno prizadeva za identifikacijo teh posameznikov in čimprejšnje obveščanje teh posameznikov o informacijah iz Priloge II.
Člen 4
Ukrepi za tehnološko zaščito
1. Z odstopanjem od člena 3(1) zadevnega naročnika ali posameznika ni treba obvestiti o kršitvi varnosti osebnih podatkov, če je ponudnik pristojnemu organu zadovoljivo dokazal, da je izvedel ustrezne ukrepe za tehnološko zaščito in da je te ukrepe izvedel v zvezi s podatki, ki jih zadeva kršitev varnosti. Zaradi takih ukrepov za tehnološko zaščito postanejo podatki nerazumljivi za vse osebe, ki nimajo dovoljenja za dostop do njih.
2. Podatki se obravnavajo kot nerazumljivi, če:
(a)
so varno šifrirani s standardiziranim algoritmom, če ključ za dešifriranje podatkov ni bil ogrožen zaradi katere koli kršitve varnosti in če je bil ključ za dešifriranje podatkov ustvarjen tako, da ga s tehnološkimi sredstvi, ki so na voljo, ne more ugotoviti nobena oseba, ki nima dovoljenja za dostop do ključa, ali
(b)
so bili nadomeščeni z zgoščeno vrednostjo, izračunano s standardizirano zgoščevalno funkcijo z uporabo šifrirnega ključa, če ključ za zgoščevanje podatkov ni bil ogrožen zaradi katere koli kršitve varnosti in če je bil ključ za zgoščevanje podatkov ustvarjen tako, da ga s tehnološkimi sredstvi, ki so na voljo, ne more ugotoviti nobena oseba, ki nima dovoljenja za dostop do ključa.
3. Komisija lahko po posvetovanju s pristojnim nacionalnim organom prek delovne skupine iz člena 29, Evropsko agencijo za varnost omrežij in informacij ter Evropskim nadzornikom za varstvo podatkov v skladu s sedanjo prakso objavi okvirni seznam ustreznih ukrepov za tehnološko zaščito iz odstavka 1.
Člen 5
Vključitev drugega ponudnika
Kadar se za opravljanje dela elektronskih komunikacijskih storitev najame drugega ponudnika, ki ni v neposrednem pogodbenem razmerju z naročniki, navedeni drugi ponudnik v primeru kršitve varnosti osebnih podatkov o tem nemudoma obvesti ponudnika, ki ga je najel.
Člen 6
Poročanje in pregled
Komisija v roku treh let po začetku veljavnosti te uredbe pripravi poročilo o uporabi te uredbe, njeni učinkovitosti ter njenem vplivu na ponudnike, naročnike in posameznike. Na podlagi ugotovitev iz navedenega poročila Komisija opravi pregled te uredbe.
Člen 7
Začetek veljavnosti
Ta uredba začne veljati 25. avgusta 2013.
Ta uredba je v celoti zavezujoča in se neposredno uporablja v vseh državah članicah.
V Bruslju, 24. junija 2013