РЕГЛАМЕНТ (ЕС) № 611/2013 НА КОМИСИЯТА
от 24 юни 2013 година
относно мерките, приложими за съобщаването на нарушения на сигурността на личните данни съгласно Директива 2002/58/ЕО на Европейския парламент и на Съвета за правото на неприкосновеност на личния живот и електронни комуникации
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (1), и по-специално член 4, параграф 5 от нея,
след като се консултира с Европейската агенция за мрежова и информационна сигурност (ENISA),
след като се консултира с Работната група за защита на лицата по отношение на обработката на лични данни, която е сформирана съгласно член 29 от Директива 95/46/ЕО на Европейския парламент и Съвета от 24 октомври 1995 г. за защита на физическите лица по отношение на обработката на лични данни и за свободното движение на такива данни (2) (Работната група по член 29),
след като се консултира с Европейския надзорен орган по защита на данните (ЕНОЗД),
като има предвид, че:
(1)
В Директива 2002/58/ЕО се предвижда да бъдат хармонизирани националните разпоредби, необходими за осигуряване на еднаква степен на защита на основните права и свободи, и по-специално правото на неприкосновеност на личния живот и правото на поверителност по отношение на обработката на лични данни в сектора на електронните комуникации, както и да бъде осигурено свободно движение на такива данни и оборудване за електронни комуникации и услуги в Съюза.
(2)
Съгласно член 4 от Директива 2002/58/ЕО доставчиците на общественодостъпни електронни съобщителни услуги са задължени да уведомяват компетентните национални органи, а в определени случаи и засегнатите абонати и лица, за нарушенията на сигурността на личните данни. Нарушенията на сигурността на лични данни са дефинирани в член 2, буква и) от Директива 2002/58/ЕО като нарушения на сигурността, които водят до случайно или незаконно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, предавани, съхранявани или обработвани по друг начин във връзка с предоставянето на общественодостъпна електронна съобщителна услуга в Общността.
(3)
С цел да се осигури последователност при изпълнението на мерките, посочени в член 4, параграфи 2, 3 и 4 от Директива 2002/58/ЕО, член 4, параграф 5 от нея оправомощава Комисията да приема технически мерки за изпълнение във връзка с обстоятелствата, формата и процедурите, приложими за изискванията за информация и уведомяване, посочени в споменатия член.
(4)
Различните национални изисквания в това отношение могат да доведат до правна несигурност, по-сложни и тромави процедури и значителни административни разходи за доставчиците на услуги, извършващи трансгранична дейност. Поради това Комисията счита за необходимо да приеме такива технически мерки за изпълнение.
(5)
Настоящият регламент се ограничава със съобщаването на нарушения на сигурността на лични данни и следователно не определя технически мерки за изпълнение във връзка с член 4, параграф 2 от Директива 2002/58/ЕО относно информиране на абонатите, в случай че има конкретна опасност от нарушаване на сигурността на мрежата.
(6)
От член 4, параграф 3, първа алинея от Директива 2002/58/ЕО следва, че доставчиците трябва да уведомяват компетентния национален орган за всички нарушения на сигурността на лични данни. Следователно на доставчика не следва да се оставя свобода за вземане на решение дали да уведоми компетентния национален орган. Това обаче не следва да възпрепятства въпросния компетентен национален орган да приоритизира разследването на някои нарушения по начин, който той счита за подходящ в съответствие с приложимото законодателство, и да предприема необходимите мерки за предотвратяване на докладване на недостатъчно или прекалено много нарушения във връзка с лични данни.
(7)
Целесъобразно е да се предвиди система за уведомяване на компетентния национален орган за нарушенията на сигурността на лични данни, която се състои, в случаите, в които са изпълнени определени условия, от различни етапи, за всеки от които важат определени срокове. Тази система е предназначена да гарантира, че компетентният национален орган бива информиран възможно най-рано и във възможно най-пълна степен, без обаче да бъде възпрепятстван доставчикът в усилията му да разследва нарушението и да взема необходимите мерки за ограничаване и отстраняване на последствията от него.
(8)
За целите на настоящия регламент, за да се счита, че е било открито нарушение на сигурността на лични данни, не са достатъчни нито обикновеното подозрение, че е имало нарушение на сигурността на лични данни, нито простото откриване на инцидент, без да има налице достатъчно информация, въпреки всички възможни усилия на доставчика да осигури такава. В тази връзка особено внимание следва да се обърне на наличието на информацията, посочена в приложение I.
(9)
В контекста на прилагането на настоящия регламент в случай на нарушаване на сигурността на лични данни с трансгранично измерение съответните компетентни национални органи следва да си сътрудничат.
(10)
Настоящият регламент не предвижда допълнителна спецификация за регистъра на нарушенията на сигурността на лични данни, който трябва да се поддържа от доставчиците, като се има предвид, че в член 4 от Директива 2002/58/ЕО неговото съдържание се определя изчерпателно. Доставчиците обаче могат да се позовават на настоящия регламент, за да се определи форматът на регистъра.
(11)
Всички компетентни национални органи следва да осигурят сигурни електронни средства, така че доставчиците да съобщават за нарушения на сигурността на личните данни в общ формат (основан на стандарт като XML), съдържащ информацията, посочена в приложение I, на съответните езици, така че да се даде възможност на всички доставчици в рамките на Съюза да следват сходна процедура за съобщаване, независимо от това къде се намират или къде е било извършено нарушаването на сигурността на личните данни. В тази връзка Комисията следва да улеснява въвеждането на сигурни електронни средства, като свиква заседания с компетентните национални органи, когато това е необходимо.
(12)
При оценяване дали дадено нарушаване на сигурността на личните данни има вероятност да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или лице следва да се вземе предвид по-специално естеството и съдържанието на съответните лични данни, по-специално когато данните касаят финансова информация, като например данни за кредитни карти и подробности за банкови сметки; специалните категории от данни, посочени в член 8, параграф 1 от Директива 95/46/ЕО; както и някои данни, конкретно свързани с предоставянето на телефонни или интернет услуги, т.е. данни за електронната поща, данни за местоположението, файлове със статистика за интернет връзките, история на посетените уебстраници и списъци с повиквания, указани по позиции.
(13)
При изключителни обстоятелства, когато уведомяването на абоната или лицето може да изложи на риск правилното разследване на нарушаването на сигурността на личните данни, на доставчика следва да бъде разрешено да забавя уведомяването на абоната или лицето. В този контекст извънредни обстоятелства могат да включват криминални разследвания, както и други нарушения на сигурността на лични данни, които не са равностойни на сериозно престъпление, но за които може да е целесъобразно уведомяването да бъде отложено. Във всеки случай националният компетентен орган следва да е този, който преценява за всеки отделен случай и в светлината на обстоятелствата дали да даде съгласие за отлагане или да изиска уведомяване.
(14)
Макар че доставчиците следва да имат данни за контакт със своите абонати предвид преките им договорни отношения, за други лица, засегнати от нарушаването на сигурността на личните данни може да няма такава информация. В такъв случай следва да бъде разрешено доставчикът да уведоми въпросните лица първоначално посредством съобщения в основните национални или регионални средства за масова информация, като например вестници, които веднага щом бъде възможно трябва да бъдат последвани от индивидуално уведомяване, както е предвидено в настоящия регламент. Доставчикът следователно не е длъжен като такъв да уведомява чрез средствата за масова информация, а по-скоро е упълномощен да действа по този начин, ако пожелае, когато все още е в процес на определяне на всички лица, които са засегнати.
(15)
Информацията за нарушението следва да бъде съсредоточена върху нарушението, а не да бъде свързана с информация по друга тема. Така например включването на информация за нарушаване на сигурността на лични данни в редовна фактура не следва да се счита за адекватен начин за уведомяване за нарушаване на сигурността на лични данни.
(16)
В настоящия регламент не се определят конкретни технически мерки за защита, които да оправдават дерогация от задължението за уведомяване на абонатите и лицата за нарушаване на сигурността на личните данни, тъй като тези мерки могат да търпят промени с течение на времето и развитието на технологиите. Комисията обаче следва да бъде в състояние да публикува примерен списък на конкретни такива технологични мерки за защита в съответствие с текущите практики.
(17)
Прилагането на криптиране или хеширане не следва да се смята за достатъчно само по себе си, за да позволи доставчиците да претендират в по-широк план, че са изпълнили общото задължение за сигурност, посочено в член 17 от Директива 95/46/ЕО. В тази връзка доставчиците следва също така да прилагат подходящи организационни и технически мерки за предотвратяване, откриване и блокиране на нарушения на сигурността на личните данни. Доставчиците следва да вземат предвид всеки остатъчен риск, който може да съществува, след като са били извършени проверки, с цел да разберат къде потенциално може да има нарушения на сигурността на личните данни.
(18)
Когато доставчикът използва друг доставчик за извършването на част от услугата, например във връзка с фактуриране или управленски функции, в случай на нарушение на сигурността на лични данни този друг доставчик, който няма преки договорни отношения с крайния потребител, не следва да бъде задължен да издава уведомления. Вместо това той следва да предупреди и информира за това доставчика, с който има преки договорни взаимоотношения. Това следва да се прилага и в контекста на предоставянето на едро на електронни съобщителни услуги, когато обикновено доставчикът на едро няма преки договорни отношения с крайния потребител.
(19)
В Директива 95/46/ЕО се определя обща рамка за защита на личните данни в Европейския съюз. Комисията представи предложение за регламент на Европейския парламент и на Съвета, който да замени Директива 95/46/ЕО (Директивата за защитата на данните). Предложеният регламент за защитата на данните ще въведе задължение за всички администратори на лични данни да уведомяват за нарушаване на сигурността на личните данни, основавайки се на член 4, параграф 3 от Директива 2002/58/ЕО. Настоящият регламент на Комисията е напълно съвместим с тази предложена мярка.
(20)
Предложеният регламент за защитата на данните също така прави ограничен брой технически изменения в Директива 2002/58/ЕО, за да се вземе предвид преобразуването на Директива 95/46/ЕО в регламент. Съществените правни последици от новия регламент за Директива 2002/58/ЕО ще бъдат обект на преразглеждане от страна на Комисията.
(21)
Прилагането на настоящия регламент следва да бъде преразгледано три години след влизането му в сила, а неговото съдържание - преразгледано в светлината на действащата нормативна уредба към горепосочения момент, включително в светлината на предложения регламент за защитата на данните. Преразглеждането на настоящия регламент следва да бъдат свързано, когато това е възможно, с евентуално бъдещо преразглеждане на Директива 2002/58/ЕО.
(22)
Прилагането на настоящия регламент може да бъде оценено въз основа, inter alia, на всяка статистика, водена от националните компетентни органи, за съобщените нарушения на сигурността на лични данни. Тези статистически данни могат да включват например информация относно броя на нарушенията на сигурността на лични данни, съобщени на националния компетентен орган, броя на нарушенията на сигурността на лични данни, съобщени на абоната или лицето, времето, необходимо за разрешаването на проблема с нарушението на сигурността на лични данни, както и дали са били взети технически мерки за защита. Тези статистически данни следва да осигурят на Комисията и на държавите членки последователни и сравними статистически данни и не трябва да разкриват нито самоличността на уведомяващия доставчик, нито тази на засегнатите абонати или лица. За тази цел Комисията може също така да провежда редовни срещи с националните компетентни органи и други заинтересовани страни.
(23)
Мерките, предвидени в настоящия регламент, са в съответствие със становището на Комитета за регулиране на съобщенията,
ПРИЕ НАСТОЯЩИЯ РЕГЛАМЕНТ:
Член 1
Обхват
Настоящият регламент се прилага за съобщаването на нарушения на сигурността на лични данни от страна на доставчици на публичнодостъпни електронни съобщителни услуги („доставчикът“).
Член 2
Уведомяване на компетентните национални органи
1. Доставчикът уведомява националния компетентен орган за всички нарушения на сигурността на личните данни.
2. Доставчикът уведомява националния компетентен орган за нарушението на сигурността на лични данни не по-късно от 24 часа след откриване на нарушението на сигурността на лични данни, когато това е възможно.
Доставчикът трябва да включи в своето уведомление до националния компетентен орган информацията, посочена в приложение I.
Счита се, че е открито нарушение на сигурността на лични данни, когато доставчикът е получил достатъчно информация, че е имало произшествие, свързано със сигурността, довело до компрометиране на лични данни, за да направи той съдържателно уведомление, както се изисква съгласно настоящия регламент.
3. Когато не е налице цялата информация, посочена в приложение I, и се изисква допълнително разследване на нарушението на сигурността на лични данни, на доставчика следва да бъде разрешено да изпрати първоначалното уведомление на националния компетентен орган не по-късно от 24 часа след откриване на нарушението на сигурността на лични данни. Това първоначално уведомяване на националния компетентен орган включва информацията, посочена в раздел 1 от приложение I. Доставчикът изпраща второ уведомление на националния компетентен орган възможно най-скоро и най-късно в рамките на три дни след първоначалното уведомяване. Това второ уведомление включва информацията, посочена в раздел 2 от приложение I, и когато е необходимо, актуализира вече предоставената информация.
Когато доставчикът, въпреки разследванията си, не е в състояние да предостави цялата информация в тридневен срок от първоначалното уведомяване, той съобщава толкова информация, с колкото разполага за този срок, и предоставя на националния компетентен орган мотивирана обосновка за закъснялото съобщаване на останалата информация. Доставчикът съобщава останалата информация на националния компетентен орган и когато е необходимо, актуализира вече предоставената информация във възможно най-кратък срок.
4. Националният компетентен орган предоставя на всички доставчици, установени в съответната държава членка, сигурни електронни средства за съобщаване на нарушения на сигурността на лични данни и на информация относно процедурите за достъп до тях и използването им. Когато е необходимо, Комисията свиква заседания с компетентните национални органи, за да улесни прилагането на тази разпоредба.
5. Когато нарушаването на сигурността на личните данни засяга абонати или лица от държави членки, различни от тази на националния компетентен орган, на който е било съобщено нарушаване на сигурността на личните данни, националният компетентен орган информира другите съответни национални органи.
За да улесни прилагането на тази разпоредба, Комисията създава и поддържа списък на националните компетентни органи и съответните звена за контакт.
Член 3
Уведомяване на абоната или лицето
1. Когато има вероятност нарушението на сигурността на личните данни да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или отделно лице, освен уведомяването, посочено в член 2, доставчикът също така уведомява засегнатия абонат или лице.
2. Дали дадено нарушаване на сигурността на личните данни има вероятност да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или отделно лице се преценява, като се вземат предвид по-специално следните обстоятелства:
а)
естеството и съдържанието на съответните лични данни, по-специално когато данните се отнасят за финансова информация, специалните категории от данни, посочени в член 8, параграф 1 от Директива 95/46/ЕО, както и данни за местоположението, файлове със статистика за интернет връзките, история на посетените уебстраници, данни за електронната поща и списъци с повиквания, указани по позиции;
б)
вероятните последици от нарушаването на сигурността на личните данни за засегнатия абонат или лице, по специално когато нарушението може да доведе до кражба на самоличност или измама с фалшива самоличност, физическа вреда, психично разстройство, накърняване на достойнството или на репутацията; както и
в)
обстоятелствата на нарушаването на сигурността на личните данни, по-специално когато данните са били откраднати или когато доставчикът знае, че данните са в притежание на неупълномощена трета страна.
3. Уведомяването на абоната или лицето се извършва без ненужно забавяне след откриването на нарушението на сигурността на лични данни, както е определено в член 2, параграф 2, трета алинея. То не зависи от уведомяването на националния компетентен орган за нарушаване на сигурността на лични данни, посочено в член 2.
4. Доставчикът трябва да включи в своето съобщение до абоната или лицето информацията, посочена в приложение II. Уведомяването на абоната или лицето се извършва на ясен и лесноразбираем език. Доставчикът не трябва да използва уведомяването като възможност за популяризиране или реклама на нови или допълнителни услуги.
5. При изключителни обстоятелства, когато уведомяването на абоната или лицето може да изложи на риск правилното разследване на нарушението на сигурността на лични данни, на доставчика се разрешава, след като е получил съгласие от страна на националния компетентен орган, да забави уведомяването на абоната или лицето, докато компетентният национален орган счете, че е възможно да уведоми за нарушаването на сигурността на лични данни в съответствие с настоящия член.
6. Доставчикът уведомява засегнатия абонат или лице за нарушаването на сигурността на личните данни чрез средства за комуникация, гарантиращи незабавното получаване на информация и чиято сигурност е защитена по подходящ начин в съответствие със съвременното техническо ниво. Информацията за нарушението трябва да бъде съсредоточена върху нарушението, а не да бъде свързана с информация по друга тема.
7. Когато доставчикът, който има преки договорни отношения с крайния потребител, независимо от положените целесъобразни усилия не е в състояние в рамките на срока, посочен в параграф 3, да определи всички лица, които има вероятност да са засегнати по неблагоприятен начин от нарушението на сигурността на лични данни, той може да уведоми въпросните лица посредством обявления в основните национални или регионални медии в съответните държави членки в рамките на посочения срок. Тези обявления следва да съдържат информацията, посочена в приложение II, и когато е необходимо - в сбита форма. В такъв случай доставчикът трябва да продължи да полага всички целесъобразни усилия да определи посочените лица и да им съобщи информацията, посочена в приложение II, във възможно най-кратък срок.
Член 4
Технически мерки за защита
1. Чрез дерогация от член 3, параграф 1 не се изисква уведомяване на засегнат абонат или отделно засегнато лице за нарушение на сигурността на лични данни, ако доставчикът е доказал в удовлетворителна степен пред националния компетентен орган, че е взел подходящи технически мерки за защита и че тези мерки са приложени за данните, засегнати от нарушаването на сигурността. Такива технически мерки за защита трябва да правят данните неразбираеми за всяко лице, което не е упълномощено за достъп до тях.
2. Данните се разглеждат като неразбираеми, ако:
а)
са сигурно шифровани със стандартизиран алгоритъм, като ключът, използван за дешифриране на данните, не е бил разкрит при нарушение на сигурността, и ключът, използван за дешифриране на данните, е генериран така, че да не може да бъде открит с наличните технически средства от което и да било лице, което не е упълномощено за достъп до ключа; или
б)
са заменени с тяхната хеширана стойност, изчислена със стандартизирана шифроваща хеш-функция с ключ, като ключът, използван за хеширане на данните, не е бил разкрит при нарушение на сигурността, и ключът, използван за хеширане на данните, е генериран така, че да не може да бъде открит с наличните технически средства от което и да било лице, което не е упълномощено за достъп до ключа.
3. В съответствие с текущите практики, след консултация с компетентните национални органи посредством Работната група по член 29, с Европейската агенция за мрежова и информационна сигурност и с Европейския надзорен орган по защита на данните, Комисията може да публикува ориентировъчен списък с подходящи технически мерки за защита, споменати в параграф 1.
Член 5
Използване на друг доставчик
Когато се използва друг доставчик за доставянето на част от електронната съобщителна услуга без преки договорни отношения с абонатите, в случай на нарушение, свързано с личните данни, този друг доставчик незабавно уведомява доставчика, който го е ангажирал.
Член 6
Докладване и преразглеждане
В рамките на три години от влизането в сила на настоящия регламент Комисията следва да представи доклад за прилагането на настоящия регламент, неговата ефективност и въздействието му върху доставчиците, абонатите и физическите лица. Въз основа на този доклад Комисията преразглежда настоящия регламент.
Член 7
Влизане в сила
Настоящият регламент влиза в сила на 25 август 2013 г.
Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави членки.
Съставено в Брюксел на 24 юни 2013 година.
VERORDENING (EU) Nr. 611/2013 VAN DE COMMISSIE
van 24 juni 2013
betreffende maatregelen voor het melden van inbreuken in verband met persoonsgegevens op grond van Richtlijn 2002/58/EG van het Europees Parlement en de Raad betreffende privacy en elektronische communicatie
DE EUROPESE COMMISSIE,
Gezien het Verdrag betreffende de werking van de Europese Unie,
Gezien Richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn betreffende privacy en elektronische communicatie) (1), en met name artikel 4, lid 5,
Na raadpleging van het Europees Agentschap voor netwerk- en informatiebeveiliging (Enisa),
Na raadpleging van de Groep voor de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens, ingesteld bij artikel 29 van Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (2) (de Groep artikel 29),
Na raadpleging van de Europese Toezichthouder voor gegevensbescherming (EDPS),
Overwegende hetgeen volgt:
(1)
Richtlijn 2002/58/EG voorziet in de harmonisering van de nationale bepalingen die nodig zijn om te zorgen voor een gelijk niveau van bescherming van fundamentele rechten en vrijheden, met name het recht op een persoonlijke levenssfeer en het vertrouwelijke karakter in verband met de verwerking van persoonsgegevens in de elektronischecommunicatiesector en om het vrije verkeer van dergelijke data en van de elektronischecommunicatieapparatuur en -diensten in de Unie te garanderen.
(2)
Overeenkomstig artikel 4 van Richtlijn 2002/58/EG moeten aanbieders van openbare elektronischecommunicatiediensten de nationale bevoegde autoriteiten en in sommige gevallen ook de betrokken abonnees en andere personen in kennis stellen van inbreuken in verband met persoonsgegevens. Inbreuken in verband met persoonsgegevens worden in artikel 2, onder i), van Richtlijn 2002/58/EG omschreven als inbreuken op de beveiliging die resulteren in een accidentele of onwettige vernietiging, wijziging, niet-geautoriseerde vrijgave van of toegang tot persoonsgegevens die zijn verstuurd, opgeslagen of anderszins verwerkt in verband met de levering van een openbare elektronischecommunicatiedienst in de Unie.
(3)
Om een samenhangende tenuitvoerlegging te waarborgen van de in artikel 4, leden 2, 3 en 4, van Richtlijn 2002/58/EG bedoelde maatregelen, kan de Commissie op grond van artikel 4, lid 5, technische uitvoeringsmaatregelen vaststellen in verband met de omstandigheden, het formaat en de procedures die gelden voor de in dit artikel bedoelde informatieverstrekkings- en kennisgevingseisen.
(4)
Wanneer deze eisen per land verschillen, kan dit leiden tot rechtsonzekerheid, meer complexe en omslachtige procedures en aanzienlijke administratieve kosten voor aanbieders die grensoverschrijdend actief zijn. De Commissie vindt het derhalve noodzakelijk dergelijke technische uitvoeringsmaatregelen vast te stellen.
(5)
Deze verordening heeft alleen betrekking op de melding van inbreuken in verband met persoonsgegevens en omvat dan ook geen technische uitvoeringsmaatregelen met betrekking tot de verplichting van artikel 4, lid 2, van Richtlijn 2002/58/EG om, wanneer er een bijzonder risico bestaat van inbreuken op de beveiliging van het netwerk, de abonnees hiervan in kennis te stellen.
(6)
Uit artikel 4, lid 3, eerste alinea, van Richtlijn 2002/58/EG volgt dat aanbieders de bevoegde nationale autoriteit in kennis moeten stellen van alle inbreuken in verband met persoonsgegevens. Aanbieders mogen dan ook niet zelf bepalen of zij een inbreuk in verband met persoonsgegevens al dan niet aan de bevoegde nationale autoriteit melden. Dit mag de bevoegde nationale autoriteit echter niet verhinderen om naar eigen goeddunken voorrang te verlenen aan het onderzoek van bepaalde inbreuken in overeenstemming met het toepasselijk recht en passende maatregelen te nemen om over- of onderrapportering te voorkomen.
(7)
Er moet dan ook een systeem worden vastgesteld voor het aanmelden van inbreuken in verband met persoonsgegevens aan de bevoegde nationale autoriteit dat, indien wordt voldaan aan bepaalde voorwaarden, bestaat uit verschillende fasen, met telkens een bepaalde termijn. Dit systeem moet ervoor zorgen dat de bevoegde nationale autoriteit zo vroeg en zo volledig mogelijk in kennis wordt gesteld zonder dat de aanbieder daarbij onnodig wordt gehinderd bij zijn pogingen om de inbreuk te onderzoeken en de nodige maatregelen te treffen om de inbreuk te beperken en de gevolgen ervan te verhelpen.
(8)
Noch een simpel vermoeden dat een inbreuk in verband met persoonsgegevens heeft plaatsgevonden, noch een simpele opsporing van een incident zonder dat voldoende informatie beschikbaar is, ondanks het feit de aanbieder hiertoe al het mogelijke heeft gedaan, is voldoende om ervan uit te gaan dat een inbreuk in verband met persoonsgegevens is ontdekt in de zin van deze verordening. In dit verband moet met name worden gelet op de beschikbaarheid van de in Bijlage I bedoelde informatie.
(9)
In de context van de toepassing van deze verordening moeten de bevoegde nationale autoriteiten hun medewerking verlenen in gevallen van inbreuken in verband met persoonsgegevens met een grensoverschrijdende dimensie.
(10)
Een aanvullende specificatie van de inventaris van inbreuken op persoonsgegevens die aanbieders moeten bijhouden is op grond van deze verordening niet verplicht omdat de inhoud hiervan al uitvoerig is beschreven in artikel 4 van Richtlijn 2002/58/EG. Om het formaat van de inventaris te bepalen kunnen aanbieders echter gebruikmaken van deze verordening.
(11)
Alle bevoegde nationale autoriteiten moeten beveiligde elektronische middelen ter beschikking stellen zodat aanbieders in een gemeenschappelijk formaat, gebaseerd op een norm als XML, inbreuken in verband met persoonsgegevens kunnen melden, met inbegrip van de in bijlage I vermelde informatie in de desbetreffende talen, zodat alle aanbieders in de Unie een soortgelijke kennisgevingsprocedure kunnen volgen, ongeacht hun vestigingsplaats of de plaats waar de inbreuk in verband met persoonsgegevens plaatsvond. In dit verband moet de Commissie indien noodzakelijk de tenuitvoerlegging van beveiligde elektronische middelen vergemakkelijken door bijeenkomsten te organiseren met de bevoegde nationale autoriteiten.
(12)
Om na te gaan of een inbreuk op persoonsgegevens wellicht negatieve gevolgen kan hebben voor de persoonsgegevens of de privacy van een abonnee of een ander persoon, moet vooral rekening worden gehouden met de aard en inhoud van de betrokken persoonsgegevens, met name wanneer de gegevens betrekking hebben op financiële informatie zoals creditcardgegevens of informatie met betrekking tot een bankrekening; de bijzondere categorieën gegevens van artikel 8, lid 1, van Richtlijn 95/46/EG; en bepaalde gegevens die specifiek betrekking hebben op het verstrekken van telefoon- of internetdiensten, dat wil zeggen, e-mail gegevens, locatiegegevens, internetlogbestanden, webbrowsegeschiedenis en gespecificeerde lijsten van oproepen.
(13)
In uitzonderlijke omstandigheden moet, wanneer kennisgeving aan een abonnee of een andere persoon de doeltreffendheid van het onderzoek naar de inbreuk in verband met persoonsgegevens in gevaar zou brengen, de aanbieder de kennisgeving aan een abonnee of een persoon kunnen uitstellen. Uitzonderlijke omstandigheden zijn in deze context niet alleen strafrechtelijke onderzoeken maar ook andere inbreuken in verband met persoonsgegevens die geen ernstig delict vormen maar uitstel van de termijn voor kennisgeving wel kunnen rechtvaardigen. Het is in ieder geval aan de bevoegde nationale autoriteit om per geval en rekening houdend met de omstandigheden te beoordelen of uitstel gerechtvaardigd is dan wel of kennisgeving noodzakelijk is.
(14)
Aanbieders moeten weliswaar in het bezit zijn van contactgegevens van hun abonnees, gezien hun rechtstreekse contractuele relatie, maar niet van dergelijke gegevens van andere personen voor wie inbreuk op persoonsgegevens ook gevolgen kunnen hebben. In dat geval moet de aanbieder de personen in kwestie zo spoedig mogelijk, in eerste instantie via advertenties in de voornaamste nationale of regionale media, zoals kranten, en vervolgens, overeenkomstig onderhavige verordening, via een individuele kennisgeving, hiervan op de hoogte kunnen brengen. De aanbieder is derhalve niet verplicht kennisgeving te doen via de media, maar kan hiertoe desgewenst wel overgaan wanneer hij nog bezig is met het identificeren van de betrokkenen.
(15)
De informatie over de inbreuk mag alleen betrekking hebben op de inbreuk en mag geen verband houden met informatie over andere onderwerpen. Het bijsluiten van informatie over een inbreuk op persoonsgegevens in een periodieke factuur kan derhalve niet worden beschouwd als een adequate manier om kennisgeving te doen van een inbreuk in verband met persoonsgegevens.
(16)
In deze verordening worden geen specifieke maatregelen inzake technologische bescherming vastgesteld die een afwijking rechtvaardigen van de verplichting om abonnees of andere personen in kennis te stellen van inbreuken op persoonsgegevens omdat dergelijke maatregelen met de technische vooruitgang kunnen evolueren. Wel moet de Commissie, overeenkomstig de huidige praktijken, een indicatieve lijst kunnen publiceren van dergelijke specifieke maatregelen inzake technologische bescherming.
(17)
Aanbieders kunnen zich niet alleen op encryptie of hashing beroepen om te verklaren dat zij voldaan hebben aan de algemene beveiligingsverplichting van artikel 17 van Richtlijn 95/46/EG. Aanbieders moeten in dit verband ook adequate organisatorische en technische maatregelen nemen om inbreuk in verband met persoonsgegevens te voorkomen, op te sporen en te blokkeren. Aanbieders moeten elk risico dat na controles eventueel nog bestaat, onderzoeken om na te gaan waar inbreuken op persoonsgegevens zich eventueel kunnen voordoen.
(18)
Wanneer de aanbieder voor het uitvoeren van een deel van zijn diensten gebruik maakt van een andere aanbieder, bijvoorbeeld voor facturering of managementdiensten, is die andere aanbieder, die geen rechtstreekse contractuele overeenkomst heeft met de eindgebruiker, niet verplicht kennisgeving te doen van inbreuken in verband met persoonsgegevens. Deze derde partij moet de inbreuk echter wel signaleren en de aanbieder, waarmee hij een rechtstreekse contractuele overeenkomst heeft, hiervan in kennis stellen. Dit geldt ook in de context van wholesalelevering van elektronischecommunicatiediensten, waar de wholesaleaanbieder normaliter geen rechtstreekse contractuele overeenkomst met de eindgebruiker heeft.
(19)
In Richtlijn 95/46/EG wordt een definitie gegeven van een algemeen kader voor de bescherming van persoonsgegevens in de Europese Unie. De Commissie heeft een voorstel ingediend voor een verordening van het Europees Parlement en de Raad die de plaats moet innemen van Richtlijn 95/46/EG (de gegevensbeschermingsverordening). De voorgestelde gegevensbeschermingsverordening zou alle voor de verwerking van gegevens verantwoordelijke personen ertoe verplichten om, voortbouwend op artikel 4, lid 3, van Richtlijn 2002/58/EG, kennisgeving te doen van inbreuken in verband met persoonsgegevens. De onderhavige verordening van de Commissie is volledig in overeenstemming met deze voorgestelde maatregel.
(20)
De voorgestelde gegevensbeschermingsverordening houdt ook een beperkt aantal technische aanpassingen in van Richtlijn 2002/58/EG teneinde rekening te houden met de omvorming van Richtlijn 95/46/EG tot een verordening. De inhoudelijke juridische gevolgen van de nieuwe verordening voor Richtlijn 2002/58/EG zullen door de Commissie worden geëvalueerd.
(21)
De toepassing van deze verordening moet drie jaar na de inwerkingtreding ervan worden geëvalueerd en de inhoud moet worden herzien in het licht van het juridisch kader dat op dat moment van toepassing is, met inbegrip van de voorgestelde gegevensbeschermingsverordening. De herziening van deze verordening moet waar mogelijk worden gekoppeld aan een eventuele toekomstige herziening van Richtlijn 2002/58/EG.
(22)
De toepassing van deze verordening kan onder meer worden beoordeeld op basis van eventuele door de bevoegde nationale autoriteiten bijgehouden statistieken over bij hen aangemelde inbreuken op persoonsgegevens. Deze statistieken kunnen bijvoorbeeld informatie bevatten over het aantal bij de bevoegde nationale autoriteit aangemelde inbreuken, het aantal inbreuken in verband met persoonsgegevens waarvan kennisgeving werd gedaan bij de abonnee of een andere persoon, de tijd die nodig was om de inbreuk op persoonsgegevens op te lossen en informatie over genomen maatregelen inzake technologische bescherming. Deze statistieken moeten de Commissie en de lidstaten consistente en vergelijkbare statistische gegevens verstrekken en de identiteit van noch de aanbieder die de inbreuk aanmeldt, noch de abonnee of andere personen voor wie de inbreuk ook gevolgen kunnen hebben, onthullen. De Commissie kan met het oog hierop ook periodiek bijeenkomen met de bevoegde nationale autoriteiten en andere betrokkenen.
(23)
De in deze verordening vervatte maatregelen zijn in overeenstemming met het advies van het Comité voor communicatie,
HEEFT DE VOLGENDE VERORDENING VASTGESTELD:
Artikel 1
Toepassingsgebied
Deze verordening is van toepassing op de aanmelding van inbreuken in verband met persoonsgegevens door aanbieders van openbare elektronischecommunicatiediensten („de aanbieder”).
Artikel 2
Aanmelding bij de bevoegde nationale autoriteit
1. De aanbieder stelt de bevoegde nationale autoriteit in kennis van alle inbreuken in verband met persoonsgegevens.
2. De aanbieder stelt de bevoegde nationale autoriteit waar mogelijk uiterlijk 24 uur na opsporing in kennis van de inbreuk in verband met persoonsgegevens.
De aanbieder vermeldt in zijn kennisgeving aan de bevoegde nationale autoriteit de in bijlage I vermelde informatie.
Opsporing van een inbreuk in verband met persoonsgegevens wordt geacht te hebben plaatsgevonden zodra de aanbieder zich voldoende bewust is van een veiligheidsincident dat heeft geleid tot een inbreuk in verband met persoonsgegevens, om een zinvolle kennisgeving te kunnen doen, zoals vereist is op grond van deze verordening.
3. Wanneer niet alle in bijlage I vermelde informatie beschikbaar is en de inbreuk in verband met persoonsgegevens verder onderzoek vergt, kan de aanbieder de bevoegde nationale autoriteit niet later dan 24 uur na opsporing van de inbreuk in verband met persoonsgegevens voorlopige kennisgeving hiervan doen. Deze voorlopige kennisgeving aan de bevoegde nationale autoriteit omvat de in deel 1 van bijlage I vermelde informatie. De aanbieder doet de bevoegde nationale autoriteit zo spoedig mogelijk, en ten laatste binnen drie dagen volgend op de voorlopige kennisgeving, een tweede kennisgeving. Deze tweede kennisgeving omvat de in deel 2 van bijlage I vermelde informatie en eventueel bijgewerkte informatie.
Wanneer de aanbieder ondanks zijn onderzoek niet binnen drie dagen na de voorlopige kennisgeving alle informatie kan verstrekken, geeft hij de bevoegde nationale autoriteit alle informatie door die hij binnen die termijn heeft kunnen verzamelen en licht hij toe waarom de overige informatie laattijdig wordt ingediend. De aanbieder stelt de bevoegde nationale autoriteit zo spoedig mogelijk in kennis van de overige informatie en werkt deze waar nodig bij.
4. De bevoegde nationale autoriteit stelt alle in de desbetreffende lidstaat gevestigde aanbieders beveiligde elektronische middelen ter beschikking zodat zij inbreuken in verband met persoonsgegevens kunnen aanmelden en informatie over de procedures voor toegang tot en gebruik van deze middelen kunnen verstrekken. Indien nodig organiseert de Commissie vergaderingen met de bevoegde nationale autoriteiten om de toepassing van deze bepaling te vergemakkelijken.
5. Wanneer de inbreuk in verband met persoonsgegevens betrekking heeft op abonnees of andere personen in andere lidstaten dan die van de bevoegde nationale autoriteit die in kennis is gesteld van de inbreuk in verband met persoonsgegevens, informeert de bevoegde nationale autoriteit de andere betrokken nationale autoriteiten hierover.
Om de toepassing van deze bepaling te vergemakkelijken stelt de Commissie een lijst op van de bevoegde nationale autoriteiten en de desbetreffende contactpunten.
Artikel 3
Kennisgeving aan de abonnee of andere betrokkenen
1. Wanneer de inbreuk in verband met persoonsgegevens waarschijnlijk ook gevolgen zal hebben voor de persoonsgegevens of de privacy van een abonnee of een ander persoon, stelt de aanbieder, los van de in artikel 2 bedoelde kennisgeving, ook deze abonnee of andere persoon in kennis van de inbreuk in verband met persoonsgegevens.
2. Of een inbreuk in verband met persoonsgegevens waarschijnlijk ook negatieve gevolgen zal hebben voor de persoonsgegevens of de privacy van een abonnee of een ander persoon wordt beoordeeld op grond van met name de volgende omstandigheden:
a)
de aard en de inhoud van de desbetreffende persoonsgegevens, met name wanneer het om financiële gegevens gaat die onder de bijzondere categorieën van artikel 8, lid 1, van Richtlijn 95/46/EG vallen, alsmede locatiegegevens, internetlogbestanden, webbrowsegeschiedenis, e-mailgegevens en gespecificeerde lijsten van oproepen;
b)
de vermoedelijke gevolgen van de inbreuk op persoonsgegevens voor de betrokken abonnee of andere persoon, met name wanneer een inbreuk kan leiden tot bijvoorbeeld identiteitsdiefstal of -fraude, lichamelijke schade, ernstige vernedering of aantasting van de reputatie; alsmede
c)
de omstandigheden van de inbreuk in verband met persoonsgegevens, met name wanneer de gegevens zijn gestolen of wanneer de aanbieder weet dat de gegevens in het bezit zijn van een niet-geautoriseerde derde.
3. De kennisgeving aan de abonnee of de andere persoon geschiedt zonder onnodige vertraging na opsporing van de inbreuk in verband met persoonsgegevens zoals beschreven in artikel 2, lid 2, derde alinea. Een dergelijke kennisgeving staat los van de kennisgeving van de inbreuk in verband met persoonsgegevens aan de bevoegde nationale autoriteit, als bedoeld in artikel 2.
4. De aanbieder voegt bij de kennisgeving aan de abonnee of de andere persoon de informatie van bijlage II. De kennisgeving aan de abonnee of de andere persoon moet zijn opgesteld in heldere en begrijpelijke taal. De aanbieder gebruikt de kennisgeving niet als een mogelijkheid om nieuwe of aanvullende diensten te bevorderen of als reclame.
5. In uitzonderlijke omstandigheden, kan de aanbieder, wanneer kennisgeving aan de abonnee of de andere persoon een correct onderzoek van de inbreuk in verband met persoonsgegevens in gevaar kan brengen, na toestemming van de bevoegde nationale autoriteit te hebben ontvangen, de kennisgeving aan de abonnee of de andere persoon uitstellen tot het moment waarop de bevoegde nationale autoriteit kennisgeving van de inbreuk in verband met persoonsgegevens overeenkomstig dit artikel mogelijk acht.
6. De aanbieder stelt de abonnee of de andere persoon in kennis van de inbreuk in verband met persoonsgegevens via een communicatiemiddel dat een snelle ontvangst van de informatie waarborgt en volgens de laatste technische ontwikkelingen is beveiligd. De informatie over de inbreuk heeft alleen betrekking op de inbreuk en kan niet aan een ander onderwerp worden gekoppeld.
7. Wanneer de aanbieder die een rechtstreekse contractuele overeenkomst met de eindgebruiker heeft, ondanks redelijke inspanningen er niet in is geslaagd binnen de in lid 3 vermelde termijn alle personen die waarschijnlijk negatieve gevolgen zullen ondervinden van de inbreuk in verband met persoonsgegevens te identificeren, kan hij hen binnen die termijn hiervan op de hoogte brengen via een advertentie in de grote nationale of regionale media in de betrokken lidstaten. Deze advertenties bevatten de in bijlage II vermelde informatie, eventueel in beknopte vorm. In dat geval blijft de aanbieder al het nodige doen om deze betrokkenen te identificeren en hen zo spoedig mogelijk kennisgeving te doen van de in bijlage II vermelde informatie.
Artikel 4
Maatregelen inzake technologische bescherming
1. In afwijking van artikel 3, lid 1, is kennisgeving van een inbreuk in verband met persoonsgegevens niet vereist als de aanbieder ten genoegen van de bevoegde nationale autoriteit heeft aangetoond dat zij passende maatregelen inzake technologische bescherming heeft genomen en dat die maatregelen zijn toegepast op de gegevens die door de inbreuk zijn getroffen. Dergelijke maatregelen inzake technologische bescherming maken de gegevens onbegrijpelijk voor personen zonder geautoriseerde toegang tot deze gegevens.
2. Gegevens worden als onbegrijpelijk beschouwd als ze:
a)
op veilige wijze zijn versleuteld met een standaardalgoritme, de sleutel voor decryptie door geen enkele inbreuk gevaar heeft gelopen en de sleutel voor decryptie zodanig werd gegenereerd dat personen zonder geautoriseerde toegang de sleutel met de beschikbare technologische middelen niet kunnen vinden; of
b)
zijn vervangen door een met een cryptografisch versleutelde hashfunctie berekende hashwaarde, de sleutel die hiervoor werd gebruikt door geen enkele inbreuk gevaar heeft gelopen en deze voor datahashing gebruikte sleutel zodanig is gegenereerd dat personen zonder geautoriseerde toegang de sleutel niet kunnen vinden met de beschikbare technologische middelen.
3. De Commissie kan, na raadpleging van de bevoegde nationale autoriteiten via de Groep artikel 29, het Europees Agentschap voor netwerk- en informatiebeveiliging en de Europese Toezichthouder voor gegevensbescherming, een indicatieve lijst bekendmaken van de in lid 1 bedoelde, volgens de huidige gebruiken passende maatregelen inzake technologische bescherming.
Artikel 5
Beroep doen op een andere aanbieder
Wanneer de levering van een deel van de elektronischecommunicatiediensten is uitbesteed aan een andere aanbieder die geen rechtstreekse contractuele overeenkomst met de abonnees heeft, moet deze andere aanbieder onmiddellijk de uitbestedende aanbieder op de hoogte brengen wanneer zich een inbreuk in verband met persoonsgegevens voordoet.
Artikel 6
Verslag en herziening
Binnen drie jaar na de inwerkingtreding van deze verordening brengt de Commissie een verslag uit over de toepassing van deze verordening, de doelmatigheid ervan en de impact op aanbieders, abonnees en andere betrokkenen. Op basis van dat verslag gaat de Commissie over tot een herziening van deze verordening.
Artikel 7
Inwerkingtreding
Deze verordening treedt in werking op 25 augustus 2013.
Deze verordening is verbindend in al haar onderdelen en is rechtstreeks toepasselijk in elke lidstaat.
Gedaan te Brussel, 24 juni 2013.