KOMMISSIONENS FORORDNING (EU) Nr. 611/2013
af 24. juni 2013
om de foranstaltninger, der skal anvendes ved underretningen om brud på persondatasikkerheden, jf. Europa-Parlamentets og Rådets direktiv 2002/58/EF vedrørende databeskyttelse inden for elektronisk kommunikation
EUROPA-KOMMISSIONEN HAR -
under henvisning til traktaten om Den Europæiske Unions funktionsmåde,
under henvisning til Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (Direktiv om databeskyttelse inden for elektronisk kommunikation) (1), særlig artikel 4, stk. 5,
efter at have hørt Det Europæiske Agentur for Net- og Informationssikkerhed (ENISA),
efter at have hørt Gruppen vedrørende Beskyttelse af Personer i forbindelse med Behandling af Personoplysninger, der er nedsat ved artikel 29 i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (2) (Artikel 29-Gruppen),
efter høring af Den Europæiske Tilsynsførende for Databeskyttelse (EDPS) og
ud fra følgende betragtninger:
(1)
Direktiv 2002/58/EF tager sigte på en harmonisering af nationale bestemmelser, der er nødvendig for at sikre et ensartet niveau i beskyttelsen af de grundlæggende rettigheder og frihedsrettigheder og navnlig retten til privatlivets fred og fortrolighed i forbindelse med behandling af personoplysninger inden for den elektroniske kommunikationssektor og for at sikre fri omsætning af sådanne oplysninger og af elektronisk kommunikationsudstyr og elektroniske kommunikationstjenester i Unionen.
(2)
I henhold til artikel 4 i direktiv 2002/58/EF har udbydere af offentligt tilgængelige kommunikationstjenester pligt til at underrette de kompetente nationale myndigheder og i visse tilfælde også berørte abonnenter og fysiske personer om brud på persondatasikkerheden. Brud på persondatasikkerheden er i artikel 2, litra i), i direktiv 2002/58/EF defineret som et sikkerhedsbrud, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, ubeføjet videregivelse af eller adgang til persondata, der sendes, lagres eller på anden måde behandles i forbindelse med udbuddet af offentligt tilgængelige kommunikationstjenester i Unionen.
(3)
For at sikre en ensartet gennemførelse af de foranstaltninger, der er anført i artikel 4, stk. 2, 3 og 4, i direktiv 2002/58/EF, giver samme direktivs artikel 4, stk. 5, Kommissionen beføjelse til at vedtage tekniske gennemførelsesforanstaltninger om, under hvilke omstændigheder informations- og underretningskravene i denne artikel gælder, samt hvilke former og procedurer der skal anvendes.
(4)
Forskelle i nationale krav i denne henseende kan medføre retlig usikkerhed, mere komplicerede og omstændelige procedurer og betydelige administrative omkostninger for udbydere, der opererer på tværs af landegrænserne. Kommissionen finder det derfor nødvendigt at vedtage sådanne tekniske gennemførelsesforanstaltninger.
(5)
Denne forordning er afgrænset til at omhandle underretningen om brud på persondatasikkerheden, og der er derfor ikke fastsat tekniske gennemførelsesforanstaltninger for artikel 4, stk. 2, i direktiv 2002/58/EF om underretning af abonnenter i tilfælde af en særlig risiko for brud på netsikkerheden.
(6)
Det følger af første afsnit i artikel 4, stk. 3, i direktiv 2002/58/EF, at udbyderne skal underrette den kompetente nationale myndighed om alle brud på persondatasikkerheden. Der bør derfor ikke overlades skønsbeføjelser til udbyderen om, hvorvidt den kompetente myndighed bør underrettes. Dette bør dog ikke hindre den berørte kompetente nationale myndighed i at prioritere undersøgelsen af visse brud på den måde, som den finder passende i overensstemmelse med den gældende lovgivning, og om fornødent at træffe foranstaltninger for at undgå over- eller underrapportering om brud på persondatasikkerheden.
(7)
Der bør tilvejebringes en ordning for underretning om brud på persondatabeskyttelsen til den kompetente nationale myndighed, og når visse betingelser er opfyldt, bør ordningen bestå af forskellige faser, som hver især er omfattet af visse frister. Hensigten med ordningen er at sikre, at den kompetente nationale myndighed underrettes så hurtigt og så fyldestgørende som muligt uden dog på en urimelig måde at hindre udbyderen i sine bestræbelser på at undersøge bruddet og træffe de nødvendige foranstaltninger for at begrænse det og afbøde konsekvenserne heraf.
(8)
Hverken en simpel formodning om, at et brud på persondatasikkerheden har fundet sted, eller en simpel påvisning af en hændelse, hvis de disponible oplysninger er utilstrækkelige trods det, at en udbyder gør sit bedste for at skabe afklaring, er tilstrækkeligt til at anse et brud på persondatasikkerheden for at være påvist i denne forordnings forstand. Der bør i den forbindelse tages særligt hensyn til, om de oplysninger, der er nævnt i bilag I, står til rådighed.
(9)
De berørte kompetente nationale myndigheder bør samarbejde om anvendelsen af denne forordning i tilfælde, hvor et brud på persondatasikkerheden har en tværnational dimension.
(10)
I denne forordning foretages der ingen yderligere specifikation af de optegnelser over brud på persondatasikkerheden, som udbydere fører, fordi indholdet specificeres udtømmende i artikel 4 i direktiv 2002/58/EF. Udbydere kan dog benytte nærværende forordning med henblik på at fastlægge optegnelsernes format.
(11)
Alle kompetente nationale myndigheder bør stille sikre elektroniske midler til rådighed for udbyderne, således at de kan underrette om brud på persondatasikkerheden i et fælles format baseret på en standard som f.eks. XML, med de oplysninger, der er anført i bilag I, på de relevante sprog, så alle udbydere i Unionen kan følge en ensartet underretningsprocedure, uanset hvor de befinder sig, eller hvor bruddet på persondatasikkerheden fandt sted. Kommissionen bør i den forbindelse lette gennemførelsen af de sikre elektroniske midler ved om fornødent at indkalde de kompetente nationale myndigheder til møder.
(12)
Ved vurderingen af, om et brud på persondatasikkerheden kan forventes at krænke personoplysninger eller privatlivets fred for en abonnent eller en fysisk person, bør der tages hensyn til bl.a. karakteren og indholdet af de pågældende personoplysninger, navnlig hvis oplysningerne vedrører finansielle oplysninger og herunder kreditkortoplysninger og bankoplysninger; særlige kategorier af oplysninger, jf. artikel 8, stk. 1, i direktiv 95/46/EF; og visse data, der specifikt vedrører udbuddet af telefoni- eller internettjenester, dvs. e-maildata, lokaliseringsdata, internetlogfiler, browserhistorik og udspecificerede opkaldslister.
(13)
I undtagelsestilfælde bør udbyderen have mulighed for at udskyde underretningen af abonnenten eller den fysiske person, hvis underretningen af abonnenten eller den fysiske person kan bringe en behørig undersøgelse af bruddet på persondatasikkerheden i fare. I denne sammenhæng kan undtagelsestilfælde omfatte strafferetlig efterforskning samt andre brud på persondatasikkerheden, hvor der ikke er tale om en grov forbrydelse, men for hvilke det kan være hensigtsmæssigt at udskyde underretningen. Under alle omstændigheder bør det være op til den kompetente nationale myndighed ud fra det enkelte tilfælde og på baggrund af omstændighederne at tage stilling til, hvorvidt den samtykker i at udskyde underretningen, eller om underretningen skal kræves foretaget.
(14)
Udbydere må forventes at have rådighed over deres abonnenters kontaktoplysninger i lyset af deres direkte kontraktforhold, men sådanne oplysninger findes muligvis ikke for andre fysiske personer, der berøres af bruddet på persondatasikkerheden. I det tilfælde bør der gives tilladelse til, at udbyderen i første omgang underretter disse fysiske personer via annoncer i større nationale eller regionale medier, f.eks. aviser, og at disse hurtigst muligt efterfølges af en individuel underretning som fastsat ved denne forordning. Udbyderen forpligtes derfor ikke til at underrette gennem medierne, men får snarere beføjelse til at handle på denne måde, hvis udbyderen ønsker det, når vedkommende stadig er i færd med at identificere alle fysiske personer.
(15)
Oplysningerne om bruddet bør stå alene og ikke gives sammen med oplysninger om andre emner. Det betragtes eksempelvis ikke som et velegnet middel til at underrette om et brud på persondatasikkerheden, hvis en normal faktura benyttes til at underrette om et brud på persondatasikkerheden.
(16)
Ved denne forordning fastsættes der ikke specifikke tekniske beskyttelsesforanstaltninger, som kan begrunde en fravigelse af pligten til at underrette abonnenter eller fysiske personer om et brud på persondatasikkerheden, fordi disse kan ændre sig med tiden i takt med teknologiske fremskridt. Kommissionen forventer dog at kunne offentliggøre en vejledende liste over sådanne specifikke tekniske beskyttelsesforanstaltninger i henhold til den aktuelle praksis.
(17)
Gennemførelse af kryptering eller hashing bør ikke i sig selv betragtes som tilstrækkeligt til, at udbydere generelt kan gøre gældende, at de har opfyldt den generelle sikkerhedsforpligtelse, der er fastsat ved artikel 17 i direktiv 95/46/EF. I den henseende bør udbydere også gennemføre passende organisatoriske og tekniske foranstaltninger, der skal forebygge, påvise og blokere brud på datasikkerheden. Efter at have gennemført kontrolforanstaltninger bør udbydere tage højde for eventuelle tilbageværende risici for at erkende, hvor brud på persondatasikkerheden potentielt kan forekomme.
(18)
Benytter udbyderen en anden udbyder til at udføre en del af tjenesteydelsen, f.eks. i forbindelse med fakturering og ledelsesfunktioner, bør denne anden udbyder, som ikke har et direkte kontraktforhold til slutbrugeren, ikke være forpligtet til at udstede underretninger i tilfælde af brud på persondatasikkerheden. Den anden udbyder bør i stedet advare og oplyse udbyderen, med hvilken vedkommende har indgået et direkte kontraktforhold. Dette bør også gælde i forbindelse med engrosudbud af elektroniske kommunikationstjenester, hvor engrosudbyderen normalt ikke har et direkte kontraktforhold til slutbrugeren.
(19)
I direktiv 95/46/EF defineres en generel ramme for beskyttelse af persondata i Den Europæiske Union. Kommissionen har forelagt et forslag til en forordning udstedt af Europa-Parlamentet og Rådet med henblik på at erstatte direktiv 95/46/EF (databeskyttelsesforordningen). Med den foreslåede databeskyttelsesforordning pålægges alle dataansvarlige at underrette om brud på persondatasikkerheden med udgangspunkt i artikel 4, stk. 3, i direktiv 2002/58/EF. Den aktuelle kommissionsforordning er i fuld overensstemmelse med denne foreslåede foranstaltning.
(20)
I den foreslåede databeskyttelsesforordning foretages endvidere et begrænset antal tekniske tilpasninger af direktiv 2002/58/EF for at tage højde for, at direktiv 95/46/EF omdannes til en forordning. Kommissionen vil gøre den nye forordnings materielle retlige konsekvenser for direktiv 2002/58/EF til genstand for en ny gennemgang.
(21)
Anvendelsen af denne forordning bør tages op til fornyet overvejelse tre år efter ikrafttrædelsen, og dens indhold tages op til fornyet overvejelse i lyset af den gældende lovramme til sin tid og herunder den foreslåede databeskyttelsesforordning. Den fornyede gennemgang af nærværende forordning bør derfor så vidt muligt knyttes sammen med gennemgangen af direktiv 2002/58/EF.
(22)
Forordningens anvendelse kan bl.a. vurderes på grundlag af de kompetente nationale medlemsstaters eventuelle statistikker over brud på persondatasikkerheden, som de får underretning om. Disse statistikker kan f.eks. omfatte oplysninger om antallet af brud på persondatasikkerheden, som den kompetente nationale myndighed har modtaget underretning om, antal brud på persondatasikkerheden, som abonnenten eller den fysiske person har modtaget underretning om, den tid, det tager at afhjælpe bruddet på persondatasikkerheden, og hvorvidt der er truffet tekniske beskyttelsesforanstaltninger. Disse statistikker bør give Kommissionen og medlemsstaterne sammenhængende og sammenlignelige statistiske data, og de bør ikke afsløre identiteten af hverken de udbydere, som foretager underretningen, eller abonnenter og fysiske personer. Kommissionen kan også holde jævnlige møder med de kompetente nationale myndigheder og andre interesseparter herom.
(23)
Foranstaltningerne i denne forordning er i overensstemmelse med udtalelse fra Kommunikationsudvalget -
VEDTAGET DENNE FORORDNING:
Artikel 1
Genstand
Denne forordning gælder for underretningen om brud på persondatasikkerheden, der foretages af udbydere af offentligt tilgængelige kommunikationstjenester (»udbyderen«).
Artikel 2
Underretning af den kompetente nationale myndighed
1. Udbyderen skal underrette den kompetente nationale myndighed om samtlige brud på persondatasikkerheden.
2. Udbyderen skal underrette den kompetente nationale myndighed om bruddet på persondatabeskyttelsen senest 24 timer efter, at bruddet er påvist, når dette er praktisk muligt.
Udbyderen skal i sin underretning af den kompetente nationale myndighed vedlægge de oplysninger, der er angivet i bilag I.
Et brud på persondatasikkerheden skal anses for at være påvist, hvis en udbyder har opnået tilstrækkelig kendskab til, at en sikkerhedshændelse er indtruffet, og at den har kompromitteret persondatasikkerheden, således at der kan afgives en hensigtsmæssig underretning som krævet ifølge denne forordning.
3. Udbyderen må foretage en indledende underretning af den kompetente nationale myndighed senest 24 timer efter påvisning af bruddet på persondatabeskyttelsen, hvis alle de i bilag I angivne oplysninger ikke foreligger, og der er behov for yderligere efterforskning af bruddet på persondatasikkerheden. Denne indledende underretning af den kompetente nationale myndighed skal indeholde de oplysninger, der er anført i bilag I, afdeling 1. Udbyderen skal foretage en anden underretning af den kompetente nationale myndighed så hurtigt som muligt og senest tre dage efter den indledende underretning. Denne anden underretning skal indeholde de oplysninger, der er anført i bilag I, afdeling 2, og om nødvendigt ajourføre de oplysninger, der allerede er afgivet.
Hvis udbyderen på trods af sin efterforskning ikke er i stand til at forelægge alle oplysninger senest tre dage efter den indledende underretning, skal udbyderen afgive alle disponible oplysninger inden for denne tidsfrist og forelægge den kompetente nationale myndighed en begrundelse for den forsinkede underretning om de resterende oplysninger. Udbyderen forelægger hurtigst muligt de resterende oplysninger for den kompetente nationale myndighed og ajourfører om nødvendigt de oplysninger, der allerede er afgivet.
4. Den kompetente nationale myndighed stiller sikre elektroniske midler til rådighed, således at alle udbydere, der er etableret i den pågældende medlemsstat, kan underrette om brud på persondatasikkerheden, tillige med oplysninger om procedurerne for adgang og brug af denne. Ved behov indkalder Kommissionen til møder mellem de kompetente nationale myndigheder med henblik på at lette anvendelsen af denne bestemmelse.
5. Når bruddet på persondatasikkerheden krænker abonnenter eller fysiske personer fra andre medlemsstater end den kompetente nationale myndigheds medlemsstat, hvori der er underrettet om bruddet på persondatasikkerheden, informerer den kompetente nationale myndighed de øvrige berørte nationale myndigheder.
For at lette anvendelsen af denne bestemmelse opretter og ajourfører Kommissionen en liste over de kompetente nationale myndigheder og de relevante kontaktpunkter.
Artikel 3
Underretning af en abonnent eller en fysisk person
1. Hvis bruddet på persondatasikkerheden kan forventes at krænke personoplysninger eller privatlivets fred for en abonnent eller en fysisk person, skal udbyderen foruden den underretning, der er nævnt i artikel 2, også underrette abonnenten eller den fysiske person om bruddet.
2. Ved vurderingen af, hvorvidt et brud på persondatasikkerheden kan forventes at krænke personoplysninger eller privatlivets fred for en abonnent eller en fysisk person, skal der tages hensyn til bl.a. følgende forhold:
a)
karakteren og indholdet af de pågældende personoplysninger, navnlig hvor oplysningerne vedrører finansielle oplysninger, særlige kategorier af oplysninger, jf. artikel 8, stk. 1, i direktiv 95/46/EF, samt lokaliseringsdata, internetlogfiler, browserhistorik, e-maildata og udspecificerede opkaldslister
b)
de sandsynlige følger af bruddet på persondatasikkerheden for den berørte abonnent eller fysiske person, navnlig hvis bruddet kan medføre identitetstyveri eller svig, fysisk skade, psykologisk forstyrrelse, tort eller skade af omdømme og
c)
omstændighederne ved bruddet på persondatasikkerheden, navnlig når oplysningerne er blevet stjålet, eller når udbyderen er bekendt med, at de nødvendige data er i en uautoriseret tredjemands besiddelse.
3. Abonnenten eller den fysiske person skal underrettes uden unødig forsinkelse, efter at bruddet på persondatasikkerheden er påvist, jf. artikel 2, stk. 2, tredje afsnit. Dette må ikke afhænge af underretningen om bruddet på persondatabeskyttelsen til den kompetente nationale myndighed, der er omhandlet i artikel 2.
4. I udbyderens underretning til abonnenten eller den fysiske person vedlægges de oplysninger, der er fastsat i bilag II. Underretningen af abonnenten eller den fysiske person skal være udtrykt i et klart og letforståeligt sprog. Udbyderen må ikke bruge underretningen som en lejlighed til at fremme eller reklamere for nye eller supplerende tjenester.
5. I undtagelsestilfælde, hvor underretningen af abonnenten eller den fysiske person kan bringe en behørig efterforskning af bruddet på persondatasikkerheden i fare, skal udbyderen efter at have opnået samtykke fra den kompetente nationale myndighed gives tilladelse til at udskyde underretningen af abonnenten eller den fysiske person, indtil den kompetente nationale myndighed skønner det muligt at underrette om bruddet på persondatasikkerheden i overensstemmelse med denne artikel.
6. Udbyderen skal underrette abonnenten eller den fysiske person om bruddet på persondatasikkerheden med kommunikationsmidler, som sikrer en hurtig modtagelse af oplysningerne, og som er sikret i overensstemmelse med aktuelle teknikker. Oplysningerne om bruddet skal stå alene og må ikke gives sammen med oplysninger om andre emner.
7. Hvis udbyderen, som har et direkte kontraktforhold til slutbrugeren, på trods af rimelige bestræbelser er ude af stand til inden for den tidsfrist, der er angivet i stk. 3, at identificere alle fysiske personer, som må forventes at blive krænket af bruddet på persondatasikkerheden, kan udbyderen underrette disse personer gennem annoncer i større nationale eller regionale medier i de relevante medlemsstater inden for tidsfristen. Disse annoncer skal indeholde de oplysninger, der er angivet i bilag II, om nødvendigt i sammenfattet form. I dette tilfælde skal udbyderen videreføre rimelige bestræbelser på at identificere disse fysiske personer og underrette dem om de i bilag II angivne oplysninger hurtigst muligt.
Artikel 4
Tekniske beskyttelsesforanstaltninger
1. Uanset artikel 3, stk. 1, er det ikke nødvendigt at underrette den pågældende abonnent eller fysiske person om et brud på persondatasikkerheden, hvis den kompetente nationale myndighed finder det godtgjort fra udbyderens side, at denne har gennemført passende teknologiske beskyttelsesforanstaltninger, og at disse foranstaltninger er blevet anvendt på de data, som sikkerhedsbruddet vedrørte. Sådanne teknologiske beskyttelsesforanstaltninger skal gøre dataene uforståelige for alle, der ikke har lovlig adgang hertil.
2. Data anses for uforståelige, hvis:
a)
de er blevet krypteret på sikker vis med en standardiseret algoritme, dekrypteringsnøglen ikke er kompromitteret af et brud på sikkerheden, og dekrypteringsnøglen er genereret på en sådan måde, at den ikke kan afsløres med de tilgængelige tekniske midler af en person, der ikke har lovlig adgang til nøglen eller
b)
de er blevet erstattet af deres hashværdi, der beregnes med en standardiseret kryptografisk hashfunktion med en nøgle, den nøgle, der er anvendt til at hashe dataene, ikke er kompromitteret af et brud på sikkerheden, og den nøgle, der er anvendt til at hashe dataene, er genereret på en sådan måde, at den ikke kan afsløres med de tilgængelige tekniske midler af en person, der ikke har lovlig adgang til nøglen.
3. Kommissionen kan efter at have hørt de kompetente nationale myndigheder via Artikel 29-Gruppen, Det Europæiske Agentur for Net- og Informationssikkerhed og Den Europæiske Tilsynsførende for Databeskyttelse offentliggøre en vejledende liste over egnede tekniske beskyttelsesforanstaltninger som nævnt i stk. 1 i overensstemmelse med den gældende praksis.
Artikel 5
Anvendelse af en anden udbyder
Indgår en udbyder en kontrakt med en anden udbyder om at levere en del af de elektroniske kommunikationstjenester uden at have et direkte kontraktforhold til abonnenter, skal denne anden udbyder øjeblikkeligt oplyse den kontraherende udbyder om brud på persondatasikkerheden.
Artikel 6
Rapportering og fornyet gennemgang
Inden for tre år efter denne forordnings ikrafttræden skal Kommissionen forelægge en rapport om forordningens anvendelse, dens effektivitet og konsekvenser for udbydere, abonnenter og fysiske personer. På grundlag af denne rapport foretager Kommissionen en fornyet gennemgang af denne forordning.
Artikel 7
Ikrafttræden
Denne forordning træder i kraft den 25. august 2013.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.
Udfærdiget i Bruxelles, den 24. juni 2013.
VERORDNUNG (EU) Nr. 611/2013 DER KOMMISSION
vom 24. Juni 2013
über die Maßnahmen für die Benachrichtigung von Verletzungen des Schutzes personenbezogener Daten gemäß der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates (Datenschutzrichtlinie für elektronische Kommunikation)
DIE EUROPÄISCHE KOMMISSION -
gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,
gestützt auf die Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) (1), insbesondere auf Artikel 4 Absatz 5,
nach Anhörung der Europäischen Agentur für Netz- und Informationssicherheit (ENISA),
nach Anhörung der Arbeitsgruppe für den Schutz von Personen bei der Verarbeitung personenbezogener Daten, die gemäß Artikel 29 der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (2) eingesetzt wurde („Artikel-29-Datenschutzgruppe“),
nach Konsultation des Europäischen Datenschutzbeauftragten,
in Erwägung nachstehender Gründe:
(1)
Die Richtlinie 2002/58/EG sieht die Harmonisierung der Vorschriften der Mitgliedstaaten vor, die erforderlich sind, um einen gleichwertigen Schutz der Grundrechte und Grundfreiheiten, insbesondere des Rechts auf Privatsphäre und Vertraulichkeit, in Bezug auf die Verarbeitung personenbezogener Daten im Bereich der elektronischen Kommunikation sowie den freien Verkehr dieser Daten und von elektronischen Kommunikationsgeräten und -diensten in der Union zu gewährleisten.
(2)
Gemäß Artikel 4 der Richtlinie 2002/58/EG sind Betreiber öffentlich zugänglicher elektronischer Kommunikationsdienste verpflichtet, unverzüglich die zuständige nationale Behörde und in bestimmten Fällen auch die von Verletzungen des Schutzes personenbezogener Daten betroffenen Teilnehmer und Personen zu benachrichtigen. Verletzungen des Schutzes personenbezogener Daten werden in Artikel 2 Buchstabe i der Richtlinie 2002/58/EG definiert als Verletzung der Sicherheit, die auf unbeabsichtigte oder unrechtmäßige Weise zur Vernichtung, zum Verlust, zur Veränderung und zur unbefugten Weitergabe von bzw. zum unbefugten Zugang zu personenbezogenen Daten führt, die übertragen, gespeichert oder auf andere Weise im Zusammenhang mit der Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste in der Union verarbeitet werden.
(3)
Zur Gewährleistung einer einheitlichen Anwendung der in Artikel 4 Absätze 2, 3 und 4 der Richtlinie 2002/58/EG vorgesehenen Maßnahmen wird die Kommission durch Artikel 4 Absatz 5 derselben Richtlinie ermächtigt, technische Durchführungsmaßnahmen in Bezug auf die Umstände, Form und Verfahren der in dem genannten Artikel vorgeschriebenen Informationen und Benachrichtigungen zu erlassen.
(4)
Unterschiedliche nationale Anforderungen in dieser Hinsicht können zu rechtlicher Unsicherheit, komplizierteren und umständlicheren Verfahren und erheblichen Verwaltungskosten für grenzübergreifend tätige Betreiber führen. Die Kommission hält es daher für notwendig, solche technischen Durchführungsmaßnahmen zu erlassen.
(5)
Diese Verordnung betrifft nur die Benachrichtigung von Verletzungen des Schutzes personenbezogener Daten und enthält daher keine technischen Durchführungsmaßnahmen im Hinblick auf Artikel 4 Absatz 2 der Richtlinie 2002/58/EG bezüglich der Aufklärung der Teilnehmer über ein besonderes Risiko der Verletzung der Netzsicherheit.
(6)
Wie sich aus Artikel 4 Absatz 3 erster Unterabsatz der Richtlinie 2002/58/EG ergibt, sollten die Betreiber die zuständige nationale Behörde von allen Verletzungen des Schutzes personenbezogener Daten benachrichtigen. Folglich sollte es nicht im Ermessen des Betreibers liegen, ob er die zuständige nationale Behörde benachrichtigt oder nicht. Dies sollte die betreffende zuständige nationale Behörde jedoch nicht daran hindern, der Untersuchung bestimmter Verletzungen in der Weise, die sie nach geltendem Recht für geeignet hält, Vorrang einzuräumen und erforderliche Schritte zu unternehmen, um eine überzogene oder unzureichende Benachrichtigung von Verletzungen des Schutzes personenbezogener Daten zu verhindern.
(7)
Es ist angemessen, für die Benachrichtigung der zuständigen nationalen Behörde ein System vorzusehen, das unter bestimmten Voraussetzungen mehrere Stufen umfasst, für die jeweils bestimmte Fristen gelten. Dieses System soll sicherstellen, dass die zuständige nationale Behörde so früh und so vollständig wie möglich informiert wird, ohne den Betreiber bei der Untersuchung der Verletzung und der Ergreifung der Maßnahmen zu behindern, die zur Eindämmung und Beseitigung der Folgen der Verletzung nötig sind.
(8)
Weder ein bloßer Verdacht, dass eine Verletzung des Schutzes personenbezogener Daten aufgetreten ist, noch die bloße Feststellung eines Vorfalls, über den trotz größtmöglicher Bemühungen des Betreibers keine ausreichenden Informationen vorliegen, sollten ausreichen, um geltend zu machen, dass eine Verletzung des Schutzes personenbezogener Daten im Sinne dieser Verordnung festgestellt worden ist. Von besonderer Bedeutung ist in diesem Zusammenhang das Vorliegen der in Anhang I aufgeführten Informationen.
(9)
Im Zuge der Durchführung dieser Verordnung sollten die zuständigen nationalen Behörden in Fällen grenzübergreifender Verletzungen des Schutzes personenbezogener Daten zusammenarbeiten.
(10)
Diese Verordnung enthält keine zusätzlichen Vorgaben für das von den Betreibern zu führende Verzeichnis der Verletzungen des Schutzes personenbezogener Daten, da dessen Inhalt durch Artikel 4 der Richtlinie 2002/58/EG bereits umfassend geregelt wird. Die Betreiber können sich aber bei der Festlegung des Verzeichnisformats auf diese Verordnung stützen.
(11)
Alle zuständigen nationalen Behörden sollten gesicherte elektronische Mittel bereitstellen, damit die Betreiber Verletzungen des Schutzes personenbezogener Daten in einem einheitlichen Format melden können, das auf einem Standard wie XML beruht und die in Anhang I aufgeführten Informationen in den betreffenden Sprachen enthält, damit alle Betreiber in der Union ein ähnliches Benachrichtigungsverfahren verwenden können, unabhängig davon, wo sie sich befinden oder wo die Verletzung des Schutzes personenbezogener Daten stattgefunden hat. In diesem Zusammenhang sollte die Kommission die Einrichtung der gesicherten elektronischen Mittel dadurch erleichtern, dass sie - falls nötig - Sitzungen mit den zuständigen nationalen Behörden einberuft.
(12)
Bei der Beurteilung, ob sich eine Verletzung des Schutzes personenbezogener Daten wahrscheinlich nachteilig auf die personenbezogenen Daten oder die Privatsphäre eines Teilnehmers oder einer Person auswirken wird, sollten vor allem Art und Inhalt der personenbezogenen Daten berücksichtigt werden; dies gilt insbesondere für Daten, die finanzielle Informationen wie Kreditkartendaten oder Einzelheiten über Bankkonten enthalten, für besondere Datenkategorien, die in Artikel 8 Absatz 1 der Richtlinie 95/46/EG genannt werden, sowie für bestimmte Daten im besonderen Zusammenhang mit der Erbringung von Telefon- und Internetdienstleistungen, z. B. E-Mail-Daten, Standortdaten, Internet-Protokolldateien, Webbrowser-Verläufe und Aufstellungen von Einzelverbindungen.
(13)
Unter außergewöhnlichen Umständen sollte es dem Betreiber gestattet werden, die Benachrichtigung des Teilnehmers oder der Person aufzuschieben, falls durch die Benachrichtigung des Teilnehmers oder der Person die ordnungsgemäße Untersuchung der Verletzung des Schutzes personenbezogener Daten gefährdet würde. Außergewöhnliche Umstände wären in diesem Zusammenhang beispielsweise strafrechtliche Ermittlungen wie auch andere Verletzungen des Schutzes personenbezogener Daten, die zwar keine schwere Straftat darstellen, aber ein Aufschieben der Benachrichtigung dennoch als angemessen erscheinen lassen. Auf jeden Fall sollte die zuständige Behörde im Einzelfall unter Berücksichtigung der gegebenen Umstände beurteilen, ob sie der Aufschiebung zustimmt oder eine Benachrichtigung verlangt.
(14)
Die Betreiber sollten zwar aufgrund ihrer direkten vertraglichen Beziehung im Besitz der Kontaktangaben ihrer Teilnehmer sein, verfügen aber möglicherweise über keine derartigen Angaben zu anderen Personen, auf die sich eine Verletzung des Schutzes personenbezogener Daten nachteilig auswirken könnte. In solchen Fällen sollte es den Betreibern gestattet sein, derartige Personen zunächst durch Bekanntmachungen in großen nationalen oder regionalen Medien, z. B. in Zeitungen, zu benachrichtigen und anschließend so bald wie möglich eine individuelle Benachrichtigung entsprechend dieser Verordnung nachzuholen. Der Betreiber ist daher an sich nicht zur Bekanntmachung in den Medien verpflichtet, sondern ist hierzu - falls er dies wünscht - berechtigt, solange er noch alle betroffenen Personen ermittelt.
(15)
Die Informationen über die Verletzung sollten sich ausschließlich auf die Verletzung beziehen und nicht mit Informationen zu anderen Themen verbunden werden. Beispielsweise sollten Informationen über eine Verletzung des Schutzes personenbezogener Daten, die in einer regulären Rechnung erscheinen, nicht als geeignetes Mittel zur Benachrichtigung über eine Verletzung personenbezogener Daten angesehen werden.
(16)
In dieser Verordnung werden keine bestimmten technischen Schutzmaßnahmen vorgeschrieben, die eine Ausnahme von der Pflicht zur Benachrichtigung der Teilnehmer oder Personen von Verletzungen des Schutzes personenbezogener Daten rechtfertigen könnten, weil sich diese mit dem technischen Fortschritt ändern können. Dennoch sollte die Kommission in der Lage sein, entsprechend der aktuellen Praxis eine Aufstellung solcher spezifischen technischen Schutzmaßnahmen zu veröffentlichen.
(17)
Allein die Anwendung von Verschlüsselung oder Streuspeicherung (Hashing) sollte nicht als ausreichend dafür angesehen werden, dass Betreiber pauschal behaupten können, sie erfüllten die allgemeine Schutzpflicht gemäß Artikel 17 der Richtlinie 95/46/EG. In dieser Hinsicht sollten die Betreiber auch geeignete organisatorische und technische Vorkehrungen treffen, um Verletzungen des Schutzes personenbezogener Daten vorzubeugen bzw. diese festzustellen und zu blockieren. Die Betreiber sollten auch ein verbleibendes Restrisiko betrachten, das nach der Umsetzung von Kontrollen noch fortbestehen könnte, um zu verstehen, wo Verletzungen des Schutzes personenbezogener Daten möglicherweise auftreten könnten.
(18)
Wenn der Betreiber einen Teil der Dienstleistung, z. B. in Bezug auf Abrechnungs- oder Verwaltungsfunktionen, von einem anderen Betreiber ausführen lässt, so sollte der andere Betreiber, der in keinem direkten Vertragsverhältnis zum Endkunden steht, nicht verpflichtet sein, im Falle einer Verletzung des Schutzes personenbezogener Daten selbst Benachrichtigungen vorzunehmen. Stattdessen sollte der Dritte den Betreiber, mit dem er in einer direkten Vertragsbeziehung steht, warnen und informieren. Dies gilt auch im Zusammenhang mit der Bereitstellung elektronischer Kommunikationsdienste auf der Vorleistungsebene, wo der Vorleister üblicherweise in keinem direkten Vertragsverhältnis zum Endkunden steht.
(19)
Durch die Richtlinie 95/46/EG wird ein allgemeiner Rahmen für den Schutz personenbezogener Daten in der Europäischen Union festgelegt. Die Kommission hat einen Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Ersetzung der Richtlinie 95/46/EG („Datenschutzverordnung“) vorgelegt. Die vorgeschlagene Datenschutzverordnung würde, aufbauend auf Artikel 4 Absatz 3 der Richtlinie 2002/58/EG, für alle für die Verarbeitung Verantwortlichen eine Verpflichtung einführen, Verletzungen des Schutzes personenbezogener Daten zu melden. Die vorliegende Verordnung der Kommission steht mit diesem Vorschlag in vollem Einklang.
(20)
Die vorgeschlagene Datenschutzverordnung enthält auch eine begrenzte Anzahl technischer Anpassungen der Richtlinie 2002/58/EG, die der Umwandlung der Richtlinie 95/46/EG in eine Verordnung Rechnung tragen. Die materiellen rechtlichen Folgen, die sich für die Richtlinie 2002/58/EG aus der neuen Verordnung ergeben, werden Gegenstand einer Überprüfung durch die Kommission sein.
(21)
Die Durchführung dieser Verordnung sollte alle drei Jahre ab ihrem Inkrafttreten überprüft werden; gleichzeitig sollte der Inhalt dieser Verordnung im Lichte des dann geltenden Rechtsrahmens, einschließlich der vorgeschlagenen Datenschutzverordnung, überprüft werden. Die Überprüfung dieser Verordnung sollte - soweit möglich - mit etwaigen künftigen Überprüfungen der Richtlinie 2002/58/EG verknüpft werden.
(22)
Die Durchführung dieser Verordnung kann u. a. auf der Grundlage der von den zuständigen nationalen Behörden geführten Statistiken über die ihnen gemeldeten Verletzungen des Schutzes personenbezogener Daten bewertet werden. Diese Statistiken können beispielsweise Angaben darüber enthalten, wieviele Verletzungen des Schutzes personenbezogener Daten den zuständigen nationalen Behörden gemeldet wurden, von wievielen Verletzungen des Schutzes personenbezogener Daten die betroffenen Teilnehmer oder Personen benachrichtigt wurden, wieviel Zeit zur Behebung der Verletzung des Schutzes personenbezogener Daten benötigt wurde und ob technische Schutzmaßnahmen getroffen wurden. Diese Statistiken sollen der Kommission und den Mitgliedstaaten kohärente und vergleichbare statistische Daten liefern und weder die Identität der meldenden Betreiber noch die Identität betroffener Teilnehmer oder Personen offenlegen. Die Kommission kann zu diesem Zweck regelmäßige Sitzungen mit zuständigen nationalen Behörden und anderen interessierten Beteiligten abhalten.
(23)
Die in dieser Verordnung vorgesehenen Maßnahmen entsprechen der Stellungnahme des Kommunikationsausschusses -
HAT FOLGENDE VERORDNUNG ERLASSEN:
Artikel 1
Geltungsbereich
Diese Verordnung gilt für die Benachrichtigung von Verletzungen des Schutzes personenbezogener Daten durch Betreiber öffentlich zugänglicher elektronischer Kommunikationsdienste („Betreiber“).
Artikel 2
Benachrichtigung der zuständigen nationalen Behörde
(1) Der Betreiber benachrichtigt die zuständige nationale Behörde von allen Verletzungen des Schutzes personenbezogener Daten.
(2) Der Betreiber benachrichtigt die zuständige nationale Behörde von der Verletzung des Schutzes personenbezogener Daten binnen 24 Stunden nach Feststellung der Verletzung, soweit dies möglich ist.
In seiner Benachrichtigung der zuständigen nationalen Behörde macht der Betreiber die in Anhang I aufgeführten Angaben.
Eine Verletzung des Schutzes personenbezogener Daten gilt als festgestellt, sobald der Betreiber vom Auftreten einer Sicherheitsverletzung, die zu einer Verletzung des Schutzes personenbezogener Daten geführt hat, hinreichende Kenntnis insoweit erlangt hat, dass er eine sinnvolle Benachrichtigung nach den Vorschriften dieser Verordnung vornehmen kann.
(3) Falls nicht alle in Anhang I aufgeführten Angaben vorliegen und eine weitere Untersuchung der Verletzung des Schutzes personenbezogener Daten erforderlich ist, kann der Betreiber zunächst binnen 24 Stunden nach Feststellung der Verletzung eine Erstbenachrichtigung der zuständigen nationalen Behörde vornehmen. Diese Erstbenachrichtigung der zuständigen nationalen Behörde muss die in Anhang I Abschnitt 1 aufgeführten Angaben enthalten. Anschließend nimmt der Betreiber so bald wie möglich, spätestens aber binnen drei Tagen nach der Erstbenachrichtigung, eine zweite Benachrichtigung der zuständigen nationalen Behörde vor. Diese zweite Benachrichtigung muss die in Anhang I Abschnitt 2 aufgeführten Angaben enthalten und die bereits zuvor gemachten Angaben gegebenenfalls aktualisieren.
Ist der Betreiber trotz seiner Nachforschungen nicht in der Lage, alle diese Angaben binnen drei Tagen nach der Erstbenachrichtigung zu machen, übermittelt er der zuständigen nationalen Behörde alle Angaben, die ihm innerhalb des genannten Zeitraums vorliegen, und eine Begründung für die verspätete Mitteilung der verbleibenden Angaben. Der Betreiber muss der zuständigen nationalen Behörde so bald wie möglich die verbleibenden Angaben mitteilen und die bereits zuvor gemachten Angaben aktualisieren.
(4) Die zuständige nationale Behörde stellt allen Betreibern, die in dem betreffenden Mitgliedstaat niedergelassen sind, gesicherte elektronische Mittel für die Benachrichtigung von Verletzungen des Schutzes personenbezogener Daten sowie Informationen über die Verfahren für den Zugang hierzu und für deren Benutzung zur Verfügung. Falls notwendig beruft die Kommission Sitzungen mit den zuständigen nationalen Behörden ein, um die Durchführung dieser Verordnung zu erleichtern.
(5) Betrifft die Verletzung des Schutzes personenbezogener Daten Teilnehmer oder Personen aus anderen Mitgliedstaaten als dem der von der Verletzung benachrichtigten zuständigen nationalen Behörde, so unterrichtet die zuständige nationale Behörde die anderen betroffenen nationalen Behörden.
Um die Anwendung dieser Bestimmung zu erleichtern, erstellt und führt die Kommission eine Liste der zuständigen nationalen Behörden und der jeweiligen Ansprechpartner.
Artikel 3
Benachrichtigung der Teilnehmer oder Personen
(1) Ist anzunehmen, dass durch die Verletzung des Schutzes personenbezogener Daten die personenbezogenen Daten eines Teilnehmers oder einer Person oder deren Privatsphäre beeinträchtigt werden, so benachrichtigt der Betreiber zusätzlich zu der Benachrichtigung gemäß Artikel 2 auch den Teilnehmer bzw. die Person von der Verletzung.
(2) Ob eine Verletzung des Schutzes personenbezogener Daten wahrscheinlich die personenbezogenen Daten oder die Privatsphäre eines Teilnehmers oder einer Person beeinträchtigt, wird insbesondere unter Berücksichtigung folgender Umstände beurteilt:
a)
Art und Inhalt der betroffenen personenbezogenen Daten, insbesondere wenn diese finanzielle Informationen, besondere Datenkategorien gemäß Artikel 8 Absatz 1 der Richtlinie 95/46/EG sowie Standortdaten, Internet-Protokolldateien, Webbrowser-Verläufe, E-Mail-Daten und Aufstellungen von Einzelverbindungen betreffen;
b)
die wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten für den betroffenen Teilnehmer oder die betroffene Person, insbesondere wenn die Verletzung einen Identitätsdiebstahl oder Betrug, eine physische Schädigung, ein psychisches Leid, eine Demütigung oder Rufschädigung zur Folge haben könnte;
c)
die Umstände der Verletzung des Schutzes personenbezogener Daten, insbesondere wenn die Daten gestohlen wurden oder wenn der Betreiber weiß, dass die Daten im Besitz eines unbefugten Dritten sind.
(3) Die Benachrichtigung des Teilnehmers oder der Person muss ohne unangemessene Verzögerung nach Feststellung der Verletzung des Schutzes personenbezogener Daten gemäß Artikel 2 Absatz 2 dritter Unterabsatz erfolgen. Sie erfolgt unabhängig von der Meldung der Verletzung des Schutzes personenbezogener Daten bei der zuständigen nationalen Behörde gemäß Artikel 2.
(4) In seiner Benachrichtigung des Teilnehmers oder der Person macht der Betreiber die in Anhang II genannten Angaben. Die Benachrichtigung des Teilnehmers oder der Person muss in einer sprachlich klaren und leicht verständlichen Weise erfolgen. Der Betreiber darf die Benachrichtigung nicht als Gelegenheit zur Verkaufsförderung oder Werbung für neue oder zusätzliche Dienste nutzen.
(5) Unter außergewöhnlichen Umständen, unter denen die ordnungsgemäße Untersuchung der Verletzung des Schutzes personenbezogener Daten durch die Benachrichtigung des Teilnehmers oder der Person gefährdet würde, kann der Betreiber nach Zustimmung der zuständigen nationalen Behörde die Benachrichtigung des Teilnehmers oder der Person aufschieben, bis die zuständige nationale Behörde eine Benachrichtigung von der Verletzung des Schutzes personenbezogener Daten gemäß diesem Artikel für möglich hält.
(6) Der Betreiber benachrichtigt den Teilnehmer oder die Person von der Verletzung des Schutzes personenbezogener Daten mit Hilfe von Kommunikationsmitteln, die einen zügigen Empfang der Informationen gewährleisten und nach dem Stand der Technik angemessen gesichert sind. Die Informationen über die Verletzung müssen sich ausschließlich auf die Verletzung beziehen und dürfen nicht mit Informationen zu anderen Themen verbunden werden.
(7) Kann der Betreiber, der in einem direkten Vertragsverhältnis zum Endnutzer steht, obwohl er hierzu alle zumutbaren Anstrengungen unternommen hat, innerhalb der in Absatz 3 genannten Frist nicht alle Personen ermitteln, die von der Verletzung des Schutzes personenbezogener Daten wahrscheinlich beeinträchtigt werden, so kann er diese Personen durch Bekanntmachungen in großen nationalen oder regionalen Medien der betreffenden Mitgliedstaaten innerhalb dieser Frist benachrichtigen. Diese Bekanntmachungen müssen die in Anhang II aufgeführten Angaben erhalten, falls nötig in gekürzter Form. In diesem Fall muss der Betreiber weiterhin alle zumutbaren Anstrengungen unternehmen, um diese Personen zu ermitteln und sie so bald wie möglich mit den in Anhang II aufgeführten Angaben zu benachrichtigen.
Artikel 4
Technische Schutzmaßnahmen
(1) Abweichend von Artikel 3 Absatz 1 braucht der Betreiber die betroffenen Teilnehmer oder Personen nicht von einer Verletzung des Schutzes personenbezogener Daten zu benachrichtigen, wenn er zur Zufriedenheit der zuständigen nationalen Behörde nachgewiesen hat, dass er geeignete technische Schutzmaßnahmen getroffen hat und dass diese Maßnahmen auf die von der Sicherheitsverletzung betroffenen Daten angewendet wurden. Durch diese technischen Schutzmaßnahmen müssen die Daten für alle Personen, die nicht zum Zugriff auf die Daten befugt sind, unverständlich gemacht werden.
(2) Daten gelten als unverständlich, wenn
a)
sie auf sichere Weise mit einem Standardalgorithmus verschlüsselt worden sind, der zur Entschlüsselung verwendete Schlüssel durch keine Sicherheitsverletzung beeinträchtigt ist und der zur Entschlüsselung verwendete Schlüssel so generiert wurde, dass er von Personen, die zum Zugriff auf den Schlüssel nicht befugt sind, mit derzeit verfügbaren technischen Mitteln nicht ermittelt werden kann, oder
b)
sie durch ihren mit einer kryptografischen verschlüsselten Standard-Hash-Funktion berechneten Hash-Wert ersetzt worden sind, der zum Daten-Hashing verwendete Schlüssel durch keine Sicherheitsverletzung beeinträchtigt ist und der zum Daten-Hashing verwendete Schlüssel so generiert wurde, dass er von Personen, die zum Zugriff auf den Schlüssel nicht befugt sind, mit derzeit verfügbaren technischen Mitteln nicht ermittelt werden kann.
(3) Die Kommission kann nach Anhörung der zuständigen nationalen Behörden über die Artikel-29-Datenschutzgruppe, der Europäischen Agentur für Netz- und Informationssicherheit und des Europäischen Datenschutzbeauftragten entsprechend der aktuellen Praxis eine vorläufige Aufstellung geeigneter technischer Schutzmaßnahmen gemäß Absatz 1 veröffentlichen.
Artikel 5
Erbringung von Leistungen durch einen anderen Betreiber
Wird ein anderer Betreiber, der in keinem direkten Vertragsverhältnis zu den Teilnehmern steht, mit der Erbringung eines Teils des elektronischen Kommunikationsdienstes beauftragt, muss dieser andere Betreiber im Falle einer Verletzung des Schutzes personenbezogener Daten den beauftragenden Betreiber sofort informieren.
Artikel 6
Berichterstattung und Überprüfung
Innerhalb von drei Jahren nach dem Inkrafttreten dieser Verordnung legt die Kommission einen Bericht über die Durchführung dieser Verordnung, ihre Wirksamkeit und ihre Auswirkungen auf Betreiber, Teilnehmer und Personen vor. Auf der Grundlage dieses Berichts nimmt die Kommission eine Überprüfung dieser Verordnung vor.
Artikel 7
Inkrafttreten
Diese Verordnung tritt am 25. August 2013 in Kraft.
Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.
Brüssel, den 24. Juni 2013