РЕГЛАМЕНТ (ЕС) № 611/2013 НА КОМИСИЯТА
от 24 юни 2013 година
относно мерките, приложими за съобщаването на нарушения на сигурността на личните данни съгласно Директива 2002/58/ЕО на Европейския парламент и на Съвета за правото на неприкосновеност на личния живот и електронни комуникации
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (1), и по-специално член 4, параграф 5 от нея,
след като се консултира с Европейската агенция за мрежова и информационна сигурност (ENISA),
след като се консултира с Работната група за защита на лицата по отношение на обработката на лични данни, която е сформирана съгласно член 29 от Директива 95/46/ЕО на Европейския парламент и Съвета от 24 октомври 1995 г. за защита на физическите лица по отношение на обработката на лични данни и за свободното движение на такива данни (2) (Работната група по член 29),
след като се консултира с Европейския надзорен орган по защита на данните (ЕНОЗД),
като има предвид, че:
(1)
В Директива 2002/58/ЕО се предвижда да бъдат хармонизирани националните разпоредби, необходими за осигуряване на еднаква степен на защита на основните права и свободи, и по-специално правото на неприкосновеност на личния живот и правото на поверителност по отношение на обработката на лични данни в сектора на електронните комуникации, както и да бъде осигурено свободно движение на такива данни и оборудване за електронни комуникации и услуги в Съюза.
(2)
Съгласно член 4 от Директива 2002/58/ЕО доставчиците на общественодостъпни електронни съобщителни услуги са задължени да уведомяват компетентните национални органи, а в определени случаи и засегнатите абонати и лица, за нарушенията на сигурността на личните данни. Нарушенията на сигурността на лични данни са дефинирани в член 2, буква и) от Директива 2002/58/ЕО като нарушения на сигурността, които водят до случайно или незаконно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, предавани, съхранявани или обработвани по друг начин във връзка с предоставянето на общественодостъпна електронна съобщителна услуга в Общността.
(3)
С цел да се осигури последователност при изпълнението на мерките, посочени в член 4, параграфи 2, 3 и 4 от Директива 2002/58/ЕО, член 4, параграф 5 от нея оправомощава Комисията да приема технически мерки за изпълнение във връзка с обстоятелствата, формата и процедурите, приложими за изискванията за информация и уведомяване, посочени в споменатия член.
(4)
Различните национални изисквания в това отношение могат да доведат до правна несигурност, по-сложни и тромави процедури и значителни административни разходи за доставчиците на услуги, извършващи трансгранична дейност. Поради това Комисията счита за необходимо да приеме такива технически мерки за изпълнение.
(5)
Настоящият регламент се ограничава със съобщаването на нарушения на сигурността на лични данни и следователно не определя технически мерки за изпълнение във връзка с член 4, параграф 2 от Директива 2002/58/ЕО относно информиране на абонатите, в случай че има конкретна опасност от нарушаване на сигурността на мрежата.
(6)
От член 4, параграф 3, първа алинея от Директива 2002/58/ЕО следва, че доставчиците трябва да уведомяват компетентния национален орган за всички нарушения на сигурността на лични данни. Следователно на доставчика не следва да се оставя свобода за вземане на решение дали да уведоми компетентния национален орган. Това обаче не следва да възпрепятства въпросния компетентен национален орган да приоритизира разследването на някои нарушения по начин, който той счита за подходящ в съответствие с приложимото законодателство, и да предприема необходимите мерки за предотвратяване на докладване на недостатъчно или прекалено много нарушения във връзка с лични данни.
(7)
Целесъобразно е да се предвиди система за уведомяване на компетентния национален орган за нарушенията на сигурността на лични данни, която се състои, в случаите, в които са изпълнени определени условия, от различни етапи, за всеки от които важат определени срокове. Тази система е предназначена да гарантира, че компетентният национален орган бива информиран възможно най-рано и във възможно най-пълна степен, без обаче да бъде възпрепятстван доставчикът в усилията му да разследва нарушението и да взема необходимите мерки за ограничаване и отстраняване на последствията от него.
(8)
За целите на настоящия регламент, за да се счита, че е било открито нарушение на сигурността на лични данни, не са достатъчни нито обикновеното подозрение, че е имало нарушение на сигурността на лични данни, нито простото откриване на инцидент, без да има налице достатъчно информация, въпреки всички възможни усилия на доставчика да осигури такава. В тази връзка особено внимание следва да се обърне на наличието на информацията, посочена в приложение I.
(9)
В контекста на прилагането на настоящия регламент в случай на нарушаване на сигурността на лични данни с трансгранично измерение съответните компетентни национални органи следва да си сътрудничат.
(10)
Настоящият регламент не предвижда допълнителна спецификация за регистъра на нарушенията на сигурността на лични данни, който трябва да се поддържа от доставчиците, като се има предвид, че в член 4 от Директива 2002/58/ЕО неговото съдържание се определя изчерпателно. Доставчиците обаче могат да се позовават на настоящия регламент, за да се определи форматът на регистъра.
(11)
Всички компетентни национални органи следва да осигурят сигурни електронни средства, така че доставчиците да съобщават за нарушения на сигурността на личните данни в общ формат (основан на стандарт като XML), съдържащ информацията, посочена в приложение I, на съответните езици, така че да се даде възможност на всички доставчици в рамките на Съюза да следват сходна процедура за съобщаване, независимо от това къде се намират или къде е било извършено нарушаването на сигурността на личните данни. В тази връзка Комисията следва да улеснява въвеждането на сигурни електронни средства, като свиква заседания с компетентните национални органи, когато това е необходимо.
(12)
При оценяване дали дадено нарушаване на сигурността на личните данни има вероятност да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или лице следва да се вземе предвид по-специално естеството и съдържанието на съответните лични данни, по-специално когато данните касаят финансова информация, като например данни за кредитни карти и подробности за банкови сметки; специалните категории от данни, посочени в член 8, параграф 1 от Директива 95/46/ЕО; както и някои данни, конкретно свързани с предоставянето на телефонни или интернет услуги, т.е. данни за електронната поща, данни за местоположението, файлове със статистика за интернет връзките, история на посетените уебстраници и списъци с повиквания, указани по позиции.
(13)
При изключителни обстоятелства, когато уведомяването на абоната или лицето може да изложи на риск правилното разследване на нарушаването на сигурността на личните данни, на доставчика следва да бъде разрешено да забавя уведомяването на абоната или лицето. В този контекст извънредни обстоятелства могат да включват криминални разследвания, както и други нарушения на сигурността на лични данни, които не са равностойни на сериозно престъпление, но за които може да е целесъобразно уведомяването да бъде отложено. Във всеки случай националният компетентен орган следва да е този, който преценява за всеки отделен случай и в светлината на обстоятелствата дали да даде съгласие за отлагане или да изиска уведомяване.
(14)
Макар че доставчиците следва да имат данни за контакт със своите абонати предвид преките им договорни отношения, за други лица, засегнати от нарушаването на сигурността на личните данни може да няма такава информация. В такъв случай следва да бъде разрешено доставчикът да уведоми въпросните лица първоначално посредством съобщения в основните национални или регионални средства за масова информация, като например вестници, които веднага щом бъде възможно трябва да бъдат последвани от индивидуално уведомяване, както е предвидено в настоящия регламент. Доставчикът следователно не е длъжен като такъв да уведомява чрез средствата за масова информация, а по-скоро е упълномощен да действа по този начин, ако пожелае, когато все още е в процес на определяне на всички лица, които са засегнати.
(15)
Информацията за нарушението следва да бъде съсредоточена върху нарушението, а не да бъде свързана с информация по друга тема. Така например включването на информация за нарушаване на сигурността на лични данни в редовна фактура не следва да се счита за адекватен начин за уведомяване за нарушаване на сигурността на лични данни.
(16)
В настоящия регламент не се определят конкретни технически мерки за защита, които да оправдават дерогация от задължението за уведомяване на абонатите и лицата за нарушаване на сигурността на личните данни, тъй като тези мерки могат да търпят промени с течение на времето и развитието на технологиите. Комисията обаче следва да бъде в състояние да публикува примерен списък на конкретни такива технологични мерки за защита в съответствие с текущите практики.
(17)
Прилагането на криптиране или хеширане не следва да се смята за достатъчно само по себе си, за да позволи доставчиците да претендират в по-широк план, че са изпълнили общото задължение за сигурност, посочено в член 17 от Директива 95/46/ЕО. В тази връзка доставчиците следва също така да прилагат подходящи организационни и технически мерки за предотвратяване, откриване и блокиране на нарушения на сигурността на личните данни. Доставчиците следва да вземат предвид всеки остатъчен риск, който може да съществува, след като са били извършени проверки, с цел да разберат къде потенциално може да има нарушения на сигурността на личните данни.
(18)
Когато доставчикът използва друг доставчик за извършването на част от услугата, например във връзка с фактуриране или управленски функции, в случай на нарушение на сигурността на лични данни този друг доставчик, който няма преки договорни отношения с крайния потребител, не следва да бъде задължен да издава уведомления. Вместо това той следва да предупреди и информира за това доставчика, с който има преки договорни взаимоотношения. Това следва да се прилага и в контекста на предоставянето на едро на електронни съобщителни услуги, когато обикновено доставчикът на едро няма преки договорни отношения с крайния потребител.
(19)
В Директива 95/46/ЕО се определя обща рамка за защита на личните данни в Европейския съюз. Комисията представи предложение за регламент на Европейския парламент и на Съвета, който да замени Директива 95/46/ЕО (Директивата за защитата на данните). Предложеният регламент за защитата на данните ще въведе задължение за всички администратори на лични данни да уведомяват за нарушаване на сигурността на личните данни, основавайки се на член 4, параграф 3 от Директива 2002/58/ЕО. Настоящият регламент на Комисията е напълно съвместим с тази предложена мярка.
(20)
Предложеният регламент за защитата на данните също така прави ограничен брой технически изменения в Директива 2002/58/ЕО, за да се вземе предвид преобразуването на Директива 95/46/ЕО в регламент. Съществените правни последици от новия регламент за Директива 2002/58/ЕО ще бъдат обект на преразглеждане от страна на Комисията.
(21)
Прилагането на настоящия регламент следва да бъде преразгледано три години след влизането му в сила, а неговото съдържание - преразгледано в светлината на действащата нормативна уредба към горепосочения момент, включително в светлината на предложения регламент за защитата на данните. Преразглеждането на настоящия регламент следва да бъдат свързано, когато това е възможно, с евентуално бъдещо преразглеждане на Директива 2002/58/ЕО.
(22)
Прилагането на настоящия регламент може да бъде оценено въз основа, inter alia, на всяка статистика, водена от националните компетентни органи, за съобщените нарушения на сигурността на лични данни. Тези статистически данни могат да включват например информация относно броя на нарушенията на сигурността на лични данни, съобщени на националния компетентен орган, броя на нарушенията на сигурността на лични данни, съобщени на абоната или лицето, времето, необходимо за разрешаването на проблема с нарушението на сигурността на лични данни, както и дали са били взети технически мерки за защита. Тези статистически данни следва да осигурят на Комисията и на държавите членки последователни и сравними статистически данни и не трябва да разкриват нито самоличността на уведомяващия доставчик, нито тази на засегнатите абонати или лица. За тази цел Комисията може също така да провежда редовни срещи с националните компетентни органи и други заинтересовани страни.
(23)
Мерките, предвидени в настоящия регламент, са в съответствие със становището на Комитета за регулиране на съобщенията,
ПРИЕ НАСТОЯЩИЯ РЕГЛАМЕНТ:
Член 1
Обхват
Настоящият регламент се прилага за съобщаването на нарушения на сигурността на лични данни от страна на доставчици на публичнодостъпни електронни съобщителни услуги („доставчикът“).
Член 2
Уведомяване на компетентните национални органи
1. Доставчикът уведомява националния компетентен орган за всички нарушения на сигурността на личните данни.
2. Доставчикът уведомява националния компетентен орган за нарушението на сигурността на лични данни не по-късно от 24 часа след откриване на нарушението на сигурността на лични данни, когато това е възможно.
Доставчикът трябва да включи в своето уведомление до националния компетентен орган информацията, посочена в приложение I.
Счита се, че е открито нарушение на сигурността на лични данни, когато доставчикът е получил достатъчно информация, че е имало произшествие, свързано със сигурността, довело до компрометиране на лични данни, за да направи той съдържателно уведомление, както се изисква съгласно настоящия регламент.
3. Когато не е налице цялата информация, посочена в приложение I, и се изисква допълнително разследване на нарушението на сигурността на лични данни, на доставчика следва да бъде разрешено да изпрати първоначалното уведомление на националния компетентен орган не по-късно от 24 часа след откриване на нарушението на сигурността на лични данни. Това първоначално уведомяване на националния компетентен орган включва информацията, посочена в раздел 1 от приложение I. Доставчикът изпраща второ уведомление на националния компетентен орган възможно най-скоро и най-късно в рамките на три дни след първоначалното уведомяване. Това второ уведомление включва информацията, посочена в раздел 2 от приложение I, и когато е необходимо, актуализира вече предоставената информация.
Когато доставчикът, въпреки разследванията си, не е в състояние да предостави цялата информация в тридневен срок от първоначалното уведомяване, той съобщава толкова информация, с колкото разполага за този срок, и предоставя на националния компетентен орган мотивирана обосновка за закъснялото съобщаване на останалата информация. Доставчикът съобщава останалата информация на националния компетентен орган и когато е необходимо, актуализира вече предоставената информация във възможно най-кратък срок.
4. Националният компетентен орган предоставя на всички доставчици, установени в съответната държава членка, сигурни електронни средства за съобщаване на нарушения на сигурността на лични данни и на информация относно процедурите за достъп до тях и използването им. Когато е необходимо, Комисията свиква заседания с компетентните национални органи, за да улесни прилагането на тази разпоредба.
5. Когато нарушаването на сигурността на личните данни засяга абонати или лица от държави членки, различни от тази на националния компетентен орган, на който е било съобщено нарушаване на сигурността на личните данни, националният компетентен орган информира другите съответни национални органи.
За да улесни прилагането на тази разпоредба, Комисията създава и поддържа списък на националните компетентни органи и съответните звена за контакт.
Член 3
Уведомяване на абоната или лицето
1. Когато има вероятност нарушението на сигурността на личните данни да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или отделно лице, освен уведомяването, посочено в член 2, доставчикът също така уведомява засегнатия абонат или лице.
2. Дали дадено нарушаване на сигурността на личните данни има вероятност да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или отделно лице се преценява, като се вземат предвид по-специално следните обстоятелства:
а)
естеството и съдържанието на съответните лични данни, по-специално когато данните се отнасят за финансова информация, специалните категории от данни, посочени в член 8, параграф 1 от Директива 95/46/ЕО, както и данни за местоположението, файлове със статистика за интернет връзките, история на посетените уебстраници, данни за електронната поща и списъци с повиквания, указани по позиции;
б)
вероятните последици от нарушаването на сигурността на личните данни за засегнатия абонат или лице, по специално когато нарушението може да доведе до кражба на самоличност или измама с фалшива самоличност, физическа вреда, психично разстройство, накърняване на достойнството или на репутацията; както и
в)
обстоятелствата на нарушаването на сигурността на личните данни, по-специално когато данните са били откраднати или когато доставчикът знае, че данните са в притежание на неупълномощена трета страна.
3. Уведомяването на абоната или лицето се извършва без ненужно забавяне след откриването на нарушението на сигурността на лични данни, както е определено в член 2, параграф 2, трета алинея. То не зависи от уведомяването на националния компетентен орган за нарушаване на сигурността на лични данни, посочено в член 2.
4. Доставчикът трябва да включи в своето съобщение до абоната или лицето информацията, посочена в приложение II. Уведомяването на абоната или лицето се извършва на ясен и лесноразбираем език. Доставчикът не трябва да използва уведомяването като възможност за популяризиране или реклама на нови или допълнителни услуги.
5. При изключителни обстоятелства, когато уведомяването на абоната или лицето може да изложи на риск правилното разследване на нарушението на сигурността на лични данни, на доставчика се разрешава, след като е получил съгласие от страна на националния компетентен орган, да забави уведомяването на абоната или лицето, докато компетентният национален орган счете, че е възможно да уведоми за нарушаването на сигурността на лични данни в съответствие с настоящия член.
6. Доставчикът уведомява засегнатия абонат или лице за нарушаването на сигурността на личните данни чрез средства за комуникация, гарантиращи незабавното получаване на информация и чиято сигурност е защитена по подходящ начин в съответствие със съвременното техническо ниво. Информацията за нарушението трябва да бъде съсредоточена върху нарушението, а не да бъде свързана с информация по друга тема.
7. Когато доставчикът, който има преки договорни отношения с крайния потребител, независимо от положените целесъобразни усилия не е в състояние в рамките на срока, посочен в параграф 3, да определи всички лица, които има вероятност да са засегнати по неблагоприятен начин от нарушението на сигурността на лични данни, той може да уведоми въпросните лица посредством обявления в основните национални или регионални медии в съответните държави членки в рамките на посочения срок. Тези обявления следва да съдържат информацията, посочена в приложение II, и когато е необходимо - в сбита форма. В такъв случай доставчикът трябва да продължи да полага всички целесъобразни усилия да определи посочените лица и да им съобщи информацията, посочена в приложение II, във възможно най-кратък срок.
Член 4
Технически мерки за защита
1. Чрез дерогация от член 3, параграф 1 не се изисква уведомяване на засегнат абонат или отделно засегнато лице за нарушение на сигурността на лични данни, ако доставчикът е доказал в удовлетворителна степен пред националния компетентен орган, че е взел подходящи технически мерки за защита и че тези мерки са приложени за данните, засегнати от нарушаването на сигурността. Такива технически мерки за защита трябва да правят данните неразбираеми за всяко лице, което не е упълномощено за достъп до тях.
2. Данните се разглеждат като неразбираеми, ако:
а)
са сигурно шифровани със стандартизиран алгоритъм, като ключът, използван за дешифриране на данните, не е бил разкрит при нарушение на сигурността, и ключът, използван за дешифриране на данните, е генериран така, че да не може да бъде открит с наличните технически средства от което и да било лице, което не е упълномощено за достъп до ключа; или
б)
са заменени с тяхната хеширана стойност, изчислена със стандартизирана шифроваща хеш-функция с ключ, като ключът, използван за хеширане на данните, не е бил разкрит при нарушение на сигурността, и ключът, използван за хеширане на данните, е генериран така, че да не може да бъде открит с наличните технически средства от което и да било лице, което не е упълномощено за достъп до ключа.
3. В съответствие с текущите практики, след консултация с компетентните национални органи посредством Работната група по член 29, с Европейската агенция за мрежова и информационна сигурност и с Европейския надзорен орган по защита на данните, Комисията може да публикува ориентировъчен списък с подходящи технически мерки за защита, споменати в параграф 1.
Член 5
Използване на друг доставчик
Когато се използва друг доставчик за доставянето на част от електронната съобщителна услуга без преки договорни отношения с абонатите, в случай на нарушение, свързано с личните данни, този друг доставчик незабавно уведомява доставчика, който го е ангажирал.
Член 6
Докладване и преразглеждане
В рамките на три години от влизането в сила на настоящия регламент Комисията следва да представи доклад за прилагането на настоящия регламент, неговата ефективност и въздействието му върху доставчиците, абонатите и физическите лица. Въз основа на този доклад Комисията преразглежда настоящия регламент.
Член 7
Влизане в сила
Настоящият регламент влиза в сила на 25 август 2013 г.
Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави членки.
Съставено в Брюксел на 24 юни 2013 година.
REGULAMENTO (UE) N.o 611/2013 DA COMISSÃO
de 24 de junho de 2013
relativo às medidas aplicáveis à notificação da violação de dados pessoais em conformidade com a Diretiva 2002/58/CE do Parlamento Europeu e do Conselho relativa à privacidade e às comunicações eletrónicas
A COMISSÃO EUROPEIA,
Tendo em conta o Tratado sobre o Funcionamento da União Europeia,
Tendo em conta a Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Directiva relativa à privacidade e às comunicações electrónicas) (1), nomeadamente o artigo 4.o, n.o 5,
Tendo consultado a Agência Europeia para a Segurança das Redes e da Informação (ENISA),
Tendo consultado o grupo de trabalho para a proteção das pessoas no que diz respeito ao tratamento de dados pessoais, instituído pelo artigo 29.o da Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (2) (grupo de trabalho do artigo 29.o).
Tendo consultado a Autoridade Europeia para a Proteção de Dados (AEPD),
Considerando o seguinte:
(1)
A Diretiva 2002/58/CE prevê a harmonização das disposições nacionais necessárias para garantir um nível equivalente de proteção dos direitos e liberdades fundamentais, nomeadamente o direito à privacidade e à confidencialidade, no que respeita ao tratamento de dados pessoais no setor das comunicações eletrónicas, e para garantir a livre circulação desses dados e dos equipamentos e serviços de comunicações eletrónicas na União.
(2)
Nos termos do artigo 4.o da Diretiva 2002/58/CE, os operadores de serviços de comunicações eletrónicas publicamente disponíveis são obrigados a comunicar às autoridades nacionais competentes e, em determinados casos, também aos assinantes e às outras pessoas em causa, a violação de dados pessoais. A violação de dados pessoais é definida no artigo 2.o, alínea i), da Diretiva 2002/58/CE como uma violação da segurança que provoca, de modo acidental ou ilegal, a destruição, a perda, a alteração, a divulgação ou acesso não autorizados a dados pessoais transmitidos, armazenados ou de outro modo tratados no contexto da prestação de serviços de comunicações eletrónicas publicamente disponíveis na União.
(3)
Para assegurar coerência na aplicação das medidas a que se refere o artigo 4.o, n.os 2, 3 e 4, da Diretiva 2002/58/CE, o n.o 5 do mesmo artigo confere à Comissão o poder de adotar medidas técnicas de execução respeitantes às circunstâncias, ao formato e aos procedimentos aplicáveis aos requisitos de informação e notificação a que se refere aquele artigo.
(4)
A existência de requisitos nacionais diferentes nesta matéria pode originar insegurança jurídica, procedimentos mais complexos e morosos e custos administrativos significativos para os operadores com atividades transfronteiras. Por conseguinte, a Comissão considera ser necessário adotar tais medidas técnicas de execução.
(5)
O presente regulamento abrange apenas a notificação dos casos de violação de dados pessoais, pelo que não estabelece medidas técnicas de execução do artigo 4.o, n.o 2, da Diretiva 2002/58/CE, respeitantes à informação a transmitir aos assinantes no caso de um determinado risco de violação da segurança da rede.
(6)
O artigo 4.o, n.o 3, primeiro parágrafo, da Diretiva 2002/58/CE determina que os operadores devem comunicar à autoridade nacional competente todos os casos de violação de dados pessoais. Por conseguinte, não deve ser dada ao operador a possibilidade de optar por não comunicar essas violações. No entanto, isso não deve impedir a autoridade nacional competente de atribuir prioridade à investigação de determinados casos de violação, como melhor entender, em conformidade com a legislação aplicável, e de tomar as medidas necessárias para evitar que a comunicação de violações de dados pessoais seja excessiva ou insuficiente.
(7)
Convém prever um sistema de notificação dos casos de violação de dados pessoais à autoridade nacional competente, que compreenda, caso estejam preenchidas determinadas condições, várias fases, cada uma delas submetida a um determinado prazo. Este sistema visa garantir que a autoridade nacional competente é informada assim que possível e de forma tão circunstanciada quanto possível, sem, no entanto, dificultar indevidamente os esforços do operador para investigar a violação e tomar as medidas necessárias para a confinar e para obviar às suas consequências.
(8)
A simples suspeita de que ocorreu uma violação de dados pessoais ou a simples deteção de um incidente sobre o qual não há informações suficientes, apesar de todos os esforços do operador no sentido de as obter, não é suficiente, para efeitos do presente regulamento, para se considerar que foi detetada uma violação de dados pessoais. A este respeito, deve ser dada especial atenção à disponibilidade das informações a que se refere o anexo I.
(9)
No contexto da aplicação do presente regulamento, as autoridades nacionais competentes em causa devem cooperar nos casos de violação de dados pessoais de dimensão transfronteiras.
(10)
O presente regulamento não prevê especificações suplementares do inventário dos casos de violação de dados pessoais que os operadores devem manter, dado que o artigo 4.o da Diretiva 2002/58/CE especifica o seu conteúdo de modo exaustivo. No entanto, os operadores podem tomar como referência o presente regulamento para determinarem o formato do inventário.
(11)
Todas as autoridades nacionais competentes devem disponibilizar aos operadores meios eletrónicos seguros para estes notificarem os casos de violação de dados pessoais segundo um formato comum, baseado numa norma, por exemplo, a XML, que inclua as informações enumeradas no anexo I nas línguas pertinentes, de modo a que todos os operadores na União possam seguir procedimentos de notificação similares, independentemente do local onde se encontrem estabelecidos ou do local onde tenha ocorrido a violação de dados pessoais. A este respeito, a Comissão deve facilitar a aplicação de meios eletrónicos seguros, organizando para tal, quando necessário, reuniões com as autoridades nacionais competentes.
(12)
Para se determinar se um caso de violação de dados pessoais é suscetível de afetar negativamente os dados pessoais ou a privacidade do assinante ou de outra pessoa em causa, deve ter-se em conta, em especial, a natureza e o teor dos dados pessoais em causa, nomeadamente quando se trata de informações financeiras, como os dados relativos a cartões de crédito ou a contas bancárias, de dados das categorias especiais a que se refere o artigo 8.o, n.o 1, da Diretiva 95/46/CE ou de determinados dados especificamente relacionados com o fornecimento de serviços de telefonia ou de Internet, ou seja, dados de correio eletrónico, dados de localização, dados de acesso à Internet, histórico da navegação na Internet e listas discriminadas de chamadas.
(13)
Em circunstâncias excecionais, o operador deve ter a possibilidade de adiar a notificação ao assinante ou a outra pessoa em causa, caso essa notificação possa pôr em risco a eficácia da investigação da violação de dados pessoais. Neste contexto, poderão ser consideradas circunstâncias excecionais as investigações criminais, bem como outras violações de dados pessoais que, embora não constituam crimes graves, justificam o adiamento da notificação. De qualquer modo, deve incumbir à autoridade nacional competente determinar, em cada caso e à luz das circunstâncias, se o adiamento é ou não aceitável.
(14)
Os operadores, embora devam ter dados de contacto dos seus assinantes, dada a sua relação contratual direta, podem não ter dados de contacto de outras pessoas afetadas pela violação de dados pessoais. Nesses casos, o operador deve poder notificar essas pessoas inicialmente através de anúncios nos mais importantes meios de comunicação social nacionais ou regionais, nomeadamente jornais, seguindo-se, assim que possível, a notificação individual em conformidade com o presente regulamento. Consequentemente, o operador não é estritamente obrigado a proceder à notificação através dos meios de comunicação social, mas pode decidir fazê-lo durante o processo de identificação de todas as pessoas afetadas.
(15)
A informação sobre a violação de dados deve incidir nessa violação e não estar associada a informações sobre outras matérias. Por exemplo, a inclusão de informações sobre um caso de violação de dados pessoais numa fatura normal não deve ser considerada um meio adequado de notificação dessa violação.
(16)
O presente regulamento não estabelece medidas tecnológicas específicas de proteção que justifiquem uma derrogação da obrigação de notificar os casos de violação de dados pessoais aos assinantes ou às outras pessoas em causa, pois tais medidas podem, com o tempo, mudar, em função do progresso tecnológico. A Comissão deve, contudo, poder publicar uma lista indicativa dessas medidas tecnológicas específicas de proteção em consonância com as práticas correntes.
(17)
A aplicação de métodos de cifragem ou hashing não deve ser considerada, por si só, suficiente para os operadores poderem alegar, de um modo mais geral, que cumpriram o dever de segurança geral estabelecido no artigo 17.o da Diretiva 95/46/CE. A este respeito, os operadores devem igualmente pôr em prática medidas organizativas e técnicas adequadas para prevenir, detetar e bloquear a violação de dados pessoais. Os operadores devem avaliar os riscos residuais que possam existir após a realização das operações de controlo, para melhor entenderem como e onde poderá ocorrer a violação de dados pessoais.
(18)
Caso o operador recorra a outro operador para realizar parte do serviço, designadamente no que respeita às funções de faturação ou gestão, esse outro operador, que não tem qualquer relação contratual direta com o utilizador final, não deve ser obrigado a emitir notificações em caso de violação de dados pessoais; deve, antes, alertar e informar o operador com o qual tem uma relação contratual direta. Esta regra deve aplicar-se igualmente no contexto da oferta grossista de serviços de comunicações eletrónicas, em que, normalmente, o operador grossista não tem uma relação contratual direta com o utilizador final.
(19)
A Diretiva 95/46/CE define um quadro geral para a proteção de dados pessoais na União Europeia. A Comissão apresentou uma proposta de regulamento do Parlamento Europeu e do Conselho que substitui a Diretiva 95/46/CE (Regulamento Proteção de Dados). Esse regulamento proposto estabelece a obrigação, para todos os responsáveis pelo tratamento de dados, de notificação dos casos de violação de dados pessoais, com base no artigo 4.o, n.o 3, da Diretiva 2002/58/CE. O presente regulamento da Comissão é plenamente coerente com essa medida proposta.
(20)
O Regulamento Proteção de Dados proposto prevê também um pequeno número de adaptações técnicas da Diretiva 2002/58/CE, decorrentes da transformação da Diretiva 95/46/CE num regulamento. Os efeitos jurídicos substantivos do novo regulamento na Diretiva 2002/58/CE serão objeto de análise pela Comissão.
(21)
A aplicação do presente regulamento deve ser avaliada três anos após a sua entrada em vigor e o seu conteúdo deve ser revisto à luz do quadro jurídico em vigor nessa altura, inclusive do Regulamento Proteção de Dados proposto. A revisão do presente regulamento deve ser associada, se possível, às futuras revisões da Diretiva 2002/58/CE.
(22)
A aplicação do presente regulamento pode ser avaliada tomando como base, nomeadamente, as estatísticas, mantidas pelas autoridades nacionais competentes, dos casos de violação de dados pessoais que lhes tenham sido notificados. Essas estatísticas poderão incluir, por exemplo, informações sobre o número de casos de violação de dados pessoais notificados à autoridade nacional competente, o número de casos de violação de dados pessoais notificados aos assinantes ou às outras pessoas em causa, o tempo que foi necessário para solucionar cada caso de violação de dados pessoais e as medidas tecnológicas de proteção eventualmente adotadas. Tais estatísticas devem fornecer à Comissão e aos Estados-Membros dados coerentes e comparáveis, mas não devem revelar a identidade dos operadores notificantes nem a dos assinantes ou outras pessoas afetadas. A Comissão pode ainda organizar, para esse efeito, reuniões periódicas com as autoridades nacionais competentes e com outras partes interessadas.
(23)
As medidas previstas no presente regulamento estão conformes com o parecer do Comité das Comunicações,
ADOTOU O PRESENTE REGULAMENTO:
Artigo 1.o
Âmbito de aplicação
O presente regulamento é aplicável à notificação, pelos operadores de serviços de comunicações eletrónicas publicamente disponíveis («os operadores»), dos casos de violação de dados pessoais.
Artigo 2.o
Notificação à autoridade nacional competente
1. O operador deve notificar todos os casos de violação de dados pessoais à autoridade nacional competente.
2. O operador deve notificar a violação de dados pessoais à autoridade nacional competente no prazo de 24 horas após a deteção dessa violação, se possível.
O operador deve incluir na sua notificação à autoridade nacional competente as informações enumeradas no anexo I.
Considera-se que a deteção de uma violação de dados pessoais teve lugar quando o operador obteve conhecimento suficiente de que ocorreu um incidente de segurança que afetou dados pessoais para efetuar uma notificação pertinente, como previsto no presente regulamento.
3. Caso não estejam disponíveis todas as informações enumeradas no anexo I e seja necessária uma investigação suplementar da violação de dados pessoais, o operador deve poder proceder a uma primeira notificação à autoridade nacional competente no prazo de 24 horas após a deteção dessa violação. Essa primeira notificação deve incluir as informações enumeradas na secção 1 do anexo I. O operador deve proceder a uma segunda notificação à autoridade nacional competente assim que possível, o mais tardar três dias após a primeira notificação. Essa segunda notificação deve incluir as informações enumeradas na secção 2 do anexo I e, se necessário, atualizar as informações já fornecidas.
Se, apesar da investigação efetuada, não estiver em condições de comunicar todas as informações no prazo de três dias a contar da primeira notificação, o operador deve comunicar, dentro desse prazo, todas as informações de que disponha e apresentar à autoridade nacional competente uma justificação fundamentada para o atraso da notificação das informações restantes. O operador deve, assim que possível, comunicar essas informações restantes à autoridade nacional competente e, se necessário, atualizar as informações já fornecidas.
4. A autoridade nacional competente deve fornecer a todos os operadores estabelecidos no Estado-Membro em causa meios eletrónicos seguros para a notificação das violações de dados pessoais e informações sobre os procedimentos de acesso e utilização dos mesmos. Se necessário, a Comissão convoca reuniões com as autoridades nacionais competentes, para facilitar a aplicação da presente disposição.
5. Caso a violação de dados pessoais afete assinantes ou outras pessoas de outros Estados-Membros, a autoridade nacional competente deve informar as restantes autoridades nacionais em causa.
Para facilitar a aplicação da presente disposição, a Comissão cria e mantém uma lista das autoridades nacionais competentes e dos pontos de contacto adequados.
Artigo 3.o
Notificação ao assinante ou a outra pessoa em causa
1. Caso a violação de dados pessoais seja suscetível de afetar negativamente os dados pessoais ou a privacidade de um assinante ou de outra pessoa, o operador deve notificar essa violação não só à autoridade nacional competente, como prevê o artigo 2.o, mas também ao assinante ou à outra pessoa em causa.
2. Para se determinar se uma violação de dados pessoais é suscetível de afetar negativamente os dados pessoais ou a privacidade de um assinante ou de outra pessoa em causa, devem ter-se em conta, em especial, as seguintes circunstâncias:
a)
a natureza e o teor dos dados pessoais em causa, nomeadamente quando se trata de informações financeiras, de dados das categorias especiais a que se refere o artigo 8.o, n.o 1, da Diretiva 95/46/CE, ou ainda de dados de localização, dados de acesso à Internet, histórico da navegação na Internet, dados de correio eletrónico e listas discriminadas de chamadas;
b)
as prováveis consequências da violação de dados pessoais para o assinante ou outra pessoa em causa, nomeadamente quando essa violação pode conduzir ao roubo ou à usurpação de identidade, a danos físicos ou psicológicos, a humilhações ou a prejuízos para a reputação; e ainda
c)
as circunstâncias da violação de dados pessoais, em especial quando esses dados foram roubados ou o operador tem conhecimento de que os dados se encontram na posse de terceiros não autorizados.
3. A notificação ao assinante ou a outra pessoa em causa deve ser efetuada sem demora indevida após a deteção da violação de dados pessoais, como previsto no artigo 2.o, n.o 2, terceiro parágrafo. Tal notificação é independente da notificação da violação de dados pessoais à autoridade nacional competente, a que se refere o artigo 2.o.
4. O operador deve incluir na sua notificação ao assinante ou a outra pessoa em causa as informações enumeradas no anexo II. A notificação ao assinante ou a outra pessoa em causa deve ser feita numa linguagem clara e facilmente compreensível. O operador não deve aproveitar a notificação para promover ou publicitar serviços novos ou suplementares.
5. Em circunstâncias excecionais, caso a notificação ao assinante ou a outra pessoa em causa possa pôr em risco a eficácia da investigação da violação de dados pessoais, o operador pode, com o acordo da autoridade nacional competente, adiar a notificação ao assinante ou a outra pessoa em causa até ao momento em que a autoridade nacional competente considere ser possível notificar a violação de dados pessoais em conformidade com o presente artigo.
6. O operador deve notificar a violação de dados pessoais ao assinante ou a outra pessoa em causa mediante uma comunicação que assegure a rápida receção das informações e que seja convenientemente protegida, segundo as práticas mais avançadas. A comunicação deve dizer respeito unicamente à violação, não devendo incluir informações sobre outras matérias.
7. Se, apesar dos esforços significativos realizados, não estiver em condições de identificar, no prazo previsto no n.o 3, todas as pessoas que possam ter sido negativamente afetadas pela violação de dados pessoais, o operador que tem uma relação contratual direta com o utilizador final pode notificar, dentro daquele prazo, essas pessoas, através de anúncios nos mais importantes meios de comunicação social, nacionais ou regionais, dos Estados-Membros em causa. Esses anúncios devem incluir as informações enumeradas no anexo II, se necessário de forma condensada. Nesse caso, o operador deve continuar a envidar todos os esforços para identificar aquelas pessoas e lhes transmitir as informações enumeradas no anexo II assim que possível.
Artigo 4.o
Medidas tecnológicas de proteção
1. Em derrogação ao disposto no artigo 3.o, n.o 1, a notificação de uma violação de dados pessoais a um assinante ou a outra pessoa em causa não é necessária se o operador provar cabalmente à autoridade nacional competente que adotou as medidas tecnológicas de proteção adequadas e que essas medidas foram aplicadas aos dados eventualmente afetados pela violação. Essas medidas tecnológicas de proteção devem tornar os dados ininteligíveis para qualquer pessoa que não esteja autorizada a aceder aos mesmos.
2. Considera-se que os dados são ininteligíveis se:
a)
tiverem sido cifrados de forma segura, com um algoritmo normalizado e a chave utilizada para decifrar os dados não tiver sido afetada por qualquer falha de segurança e tiver sido gerada de tal modo que não possa ser determinada por meios tecnológicos disponíveis para qualquer pessoa que não esteja autorizada a aceder a essa chave; ou
b)
tiverem sido substituídos pelos seus valores calculados por meio de uma função hash criptográfica normalizada com chave, a chave utilizada para a transformação dos dados pela função hash não tiver sido afetada por qualquer falha de segurança e essa chave tiver sido gerada de tal modo que não possa ser determinada por meios tecnológicos disponíveis para qualquer pessoa que não esteja autorizada a aceder a essa chave.
3. A Comissão, tendo consultado as autoridades nacionais competentes através do grupo de trabalho do artigo 29.o, a Agência Europeia para a Segurança das Redes e da Informação e a Autoridade Europeia para a Proteção de Dados, pode publicar uma lista indicativa das medidas tecnológicas de proteção adequadas a que se refere o n.o 1, em consonância com as práticas correntes.
Artigo 5.o
Recurso a outro operador
Caso outro operador que não tenha uma relação contratual direta com os assinantes seja contratado para fornecer parte do serviço de comunicações eletrónicas, esse outro operador deve informar imediatamente o operador contratante de qualquer violação de dados pessoais.
Artigo 6.o
Relatório e revisão
No prazo de três anos a contar da entrada em vigor do presente regulamento, a Comissão apresenta um relatório sobre a aplicação do presente regulamento, a sua eficácia e o seu impacto nos operadores, nos assinantes e nas outras pessoas em causa. Com base nesse relatório, a Comissão procede à revisão do presente regulamento.
Artigo 7.o
Entrada em vigor
O presente regulamento entra em vigor em 25 de agosto de 2013.
O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros.
Feito em Bruxelas, em 24 de junho de 2013.