РЕГЛАМЕНТ (ЕС) № 611/2013 НА КОМИСИЯТА
от 24 юни 2013 година
относно мерките, приложими за съобщаването на нарушения на сигурността на личните данни съгласно Директива 2002/58/ЕО на Европейския парламент и на Съвета за правото на неприкосновеност на личния живот и електронни комуникации
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (1), и по-специално член 4, параграф 5 от нея,
след като се консултира с Европейската агенция за мрежова и информационна сигурност (ENISA),
след като се консултира с Работната група за защита на лицата по отношение на обработката на лични данни, която е сформирана съгласно член 29 от Директива 95/46/ЕО на Европейския парламент и Съвета от 24 октомври 1995 г. за защита на физическите лица по отношение на обработката на лични данни и за свободното движение на такива данни (2) (Работната група по член 29),
след като се консултира с Европейския надзорен орган по защита на данните (ЕНОЗД),
като има предвид, че:
(1)
В Директива 2002/58/ЕО се предвижда да бъдат хармонизирани националните разпоредби, необходими за осигуряване на еднаква степен на защита на основните права и свободи, и по-специално правото на неприкосновеност на личния живот и правото на поверителност по отношение на обработката на лични данни в сектора на електронните комуникации, както и да бъде осигурено свободно движение на такива данни и оборудване за електронни комуникации и услуги в Съюза.
(2)
Съгласно член 4 от Директива 2002/58/ЕО доставчиците на общественодостъпни електронни съобщителни услуги са задължени да уведомяват компетентните национални органи, а в определени случаи и засегнатите абонати и лица, за нарушенията на сигурността на личните данни. Нарушенията на сигурността на лични данни са дефинирани в член 2, буква и) от Директива 2002/58/ЕО като нарушения на сигурността, които водят до случайно или незаконно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, предавани, съхранявани или обработвани по друг начин във връзка с предоставянето на общественодостъпна електронна съобщителна услуга в Общността.
(3)
С цел да се осигури последователност при изпълнението на мерките, посочени в член 4, параграфи 2, 3 и 4 от Директива 2002/58/ЕО, член 4, параграф 5 от нея оправомощава Комисията да приема технически мерки за изпълнение във връзка с обстоятелствата, формата и процедурите, приложими за изискванията за информация и уведомяване, посочени в споменатия член.
(4)
Различните национални изисквания в това отношение могат да доведат до правна несигурност, по-сложни и тромави процедури и значителни административни разходи за доставчиците на услуги, извършващи трансгранична дейност. Поради това Комисията счита за необходимо да приеме такива технически мерки за изпълнение.
(5)
Настоящият регламент се ограничава със съобщаването на нарушения на сигурността на лични данни и следователно не определя технически мерки за изпълнение във връзка с член 4, параграф 2 от Директива 2002/58/ЕО относно информиране на абонатите, в случай че има конкретна опасност от нарушаване на сигурността на мрежата.
(6)
От член 4, параграф 3, първа алинея от Директива 2002/58/ЕО следва, че доставчиците трябва да уведомяват компетентния национален орган за всички нарушения на сигурността на лични данни. Следователно на доставчика не следва да се оставя свобода за вземане на решение дали да уведоми компетентния национален орган. Това обаче не следва да възпрепятства въпросния компетентен национален орган да приоритизира разследването на някои нарушения по начин, който той счита за подходящ в съответствие с приложимото законодателство, и да предприема необходимите мерки за предотвратяване на докладване на недостатъчно или прекалено много нарушения във връзка с лични данни.
(7)
Целесъобразно е да се предвиди система за уведомяване на компетентния национален орган за нарушенията на сигурността на лични данни, която се състои, в случаите, в които са изпълнени определени условия, от различни етапи, за всеки от които важат определени срокове. Тази система е предназначена да гарантира, че компетентният национален орган бива информиран възможно най-рано и във възможно най-пълна степен, без обаче да бъде възпрепятстван доставчикът в усилията му да разследва нарушението и да взема необходимите мерки за ограничаване и отстраняване на последствията от него.
(8)
За целите на настоящия регламент, за да се счита, че е било открито нарушение на сигурността на лични данни, не са достатъчни нито обикновеното подозрение, че е имало нарушение на сигурността на лични данни, нито простото откриване на инцидент, без да има налице достатъчно информация, въпреки всички възможни усилия на доставчика да осигури такава. В тази връзка особено внимание следва да се обърне на наличието на информацията, посочена в приложение I.
(9)
В контекста на прилагането на настоящия регламент в случай на нарушаване на сигурността на лични данни с трансгранично измерение съответните компетентни национални органи следва да си сътрудничат.
(10)
Настоящият регламент не предвижда допълнителна спецификация за регистъра на нарушенията на сигурността на лични данни, който трябва да се поддържа от доставчиците, като се има предвид, че в член 4 от Директива 2002/58/ЕО неговото съдържание се определя изчерпателно. Доставчиците обаче могат да се позовават на настоящия регламент, за да се определи форматът на регистъра.
(11)
Всички компетентни национални органи следва да осигурят сигурни електронни средства, така че доставчиците да съобщават за нарушения на сигурността на личните данни в общ формат (основан на стандарт като XML), съдържащ информацията, посочена в приложение I, на съответните езици, така че да се даде възможност на всички доставчици в рамките на Съюза да следват сходна процедура за съобщаване, независимо от това къде се намират или къде е било извършено нарушаването на сигурността на личните данни. В тази връзка Комисията следва да улеснява въвеждането на сигурни електронни средства, като свиква заседания с компетентните национални органи, когато това е необходимо.
(12)
При оценяване дали дадено нарушаване на сигурността на личните данни има вероятност да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или лице следва да се вземе предвид по-специално естеството и съдържанието на съответните лични данни, по-специално когато данните касаят финансова информация, като например данни за кредитни карти и подробности за банкови сметки; специалните категории от данни, посочени в член 8, параграф 1 от Директива 95/46/ЕО; както и някои данни, конкретно свързани с предоставянето на телефонни или интернет услуги, т.е. данни за електронната поща, данни за местоположението, файлове със статистика за интернет връзките, история на посетените уебстраници и списъци с повиквания, указани по позиции.
(13)
При изключителни обстоятелства, когато уведомяването на абоната или лицето може да изложи на риск правилното разследване на нарушаването на сигурността на личните данни, на доставчика следва да бъде разрешено да забавя уведомяването на абоната или лицето. В този контекст извънредни обстоятелства могат да включват криминални разследвания, както и други нарушения на сигурността на лични данни, които не са равностойни на сериозно престъпление, но за които може да е целесъобразно уведомяването да бъде отложено. Във всеки случай националният компетентен орган следва да е този, който преценява за всеки отделен случай и в светлината на обстоятелствата дали да даде съгласие за отлагане или да изиска уведомяване.
(14)
Макар че доставчиците следва да имат данни за контакт със своите абонати предвид преките им договорни отношения, за други лица, засегнати от нарушаването на сигурността на личните данни може да няма такава информация. В такъв случай следва да бъде разрешено доставчикът да уведоми въпросните лица първоначално посредством съобщения в основните национални или регионални средства за масова информация, като например вестници, които веднага щом бъде възможно трябва да бъдат последвани от индивидуално уведомяване, както е предвидено в настоящия регламент. Доставчикът следователно не е длъжен като такъв да уведомява чрез средствата за масова информация, а по-скоро е упълномощен да действа по този начин, ако пожелае, когато все още е в процес на определяне на всички лица, които са засегнати.
(15)
Информацията за нарушението следва да бъде съсредоточена върху нарушението, а не да бъде свързана с информация по друга тема. Така например включването на информация за нарушаване на сигурността на лични данни в редовна фактура не следва да се счита за адекватен начин за уведомяване за нарушаване на сигурността на лични данни.
(16)
В настоящия регламент не се определят конкретни технически мерки за защита, които да оправдават дерогация от задължението за уведомяване на абонатите и лицата за нарушаване на сигурността на личните данни, тъй като тези мерки могат да търпят промени с течение на времето и развитието на технологиите. Комисията обаче следва да бъде в състояние да публикува примерен списък на конкретни такива технологични мерки за защита в съответствие с текущите практики.
(17)
Прилагането на криптиране или хеширане не следва да се смята за достатъчно само по себе си, за да позволи доставчиците да претендират в по-широк план, че са изпълнили общото задължение за сигурност, посочено в член 17 от Директива 95/46/ЕО. В тази връзка доставчиците следва също така да прилагат подходящи организационни и технически мерки за предотвратяване, откриване и блокиране на нарушения на сигурността на личните данни. Доставчиците следва да вземат предвид всеки остатъчен риск, който може да съществува, след като са били извършени проверки, с цел да разберат къде потенциално може да има нарушения на сигурността на личните данни.
(18)
Когато доставчикът използва друг доставчик за извършването на част от услугата, например във връзка с фактуриране или управленски функции, в случай на нарушение на сигурността на лични данни този друг доставчик, който няма преки договорни отношения с крайния потребител, не следва да бъде задължен да издава уведомления. Вместо това той следва да предупреди и информира за това доставчика, с който има преки договорни взаимоотношения. Това следва да се прилага и в контекста на предоставянето на едро на електронни съобщителни услуги, когато обикновено доставчикът на едро няма преки договорни отношения с крайния потребител.
(19)
В Директива 95/46/ЕО се определя обща рамка за защита на личните данни в Европейския съюз. Комисията представи предложение за регламент на Европейския парламент и на Съвета, който да замени Директива 95/46/ЕО (Директивата за защитата на данните). Предложеният регламент за защитата на данните ще въведе задължение за всички администратори на лични данни да уведомяват за нарушаване на сигурността на личните данни, основавайки се на член 4, параграф 3 от Директива 2002/58/ЕО. Настоящият регламент на Комисията е напълно съвместим с тази предложена мярка.
(20)
Предложеният регламент за защитата на данните също така прави ограничен брой технически изменения в Директива 2002/58/ЕО, за да се вземе предвид преобразуването на Директива 95/46/ЕО в регламент. Съществените правни последици от новия регламент за Директива 2002/58/ЕО ще бъдат обект на преразглеждане от страна на Комисията.
(21)
Прилагането на настоящия регламент следва да бъде преразгледано три години след влизането му в сила, а неговото съдържание - преразгледано в светлината на действащата нормативна уредба към горепосочения момент, включително в светлината на предложения регламент за защитата на данните. Преразглеждането на настоящия регламент следва да бъдат свързано, когато това е възможно, с евентуално бъдещо преразглеждане на Директива 2002/58/ЕО.
(22)
Прилагането на настоящия регламент може да бъде оценено въз основа, inter alia, на всяка статистика, водена от националните компетентни органи, за съобщените нарушения на сигурността на лични данни. Тези статистически данни могат да включват например информация относно броя на нарушенията на сигурността на лични данни, съобщени на националния компетентен орган, броя на нарушенията на сигурността на лични данни, съобщени на абоната или лицето, времето, необходимо за разрешаването на проблема с нарушението на сигурността на лични данни, както и дали са били взети технически мерки за защита. Тези статистически данни следва да осигурят на Комисията и на държавите членки последователни и сравними статистически данни и не трябва да разкриват нито самоличността на уведомяващия доставчик, нито тази на засегнатите абонати или лица. За тази цел Комисията може също така да провежда редовни срещи с националните компетентни органи и други заинтересовани страни.
(23)
Мерките, предвидени в настоящия регламент, са в съответствие със становището на Комитета за регулиране на съобщенията,
ПРИЕ НАСТОЯЩИЯ РЕГЛАМЕНТ:
Член 1
Обхват
Настоящият регламент се прилага за съобщаването на нарушения на сигурността на лични данни от страна на доставчици на публичнодостъпни електронни съобщителни услуги („доставчикът“).
Член 2
Уведомяване на компетентните национални органи
1. Доставчикът уведомява националния компетентен орган за всички нарушения на сигурността на личните данни.
2. Доставчикът уведомява националния компетентен орган за нарушението на сигурността на лични данни не по-късно от 24 часа след откриване на нарушението на сигурността на лични данни, когато това е възможно.
Доставчикът трябва да включи в своето уведомление до националния компетентен орган информацията, посочена в приложение I.
Счита се, че е открито нарушение на сигурността на лични данни, когато доставчикът е получил достатъчно информация, че е имало произшествие, свързано със сигурността, довело до компрометиране на лични данни, за да направи той съдържателно уведомление, както се изисква съгласно настоящия регламент.
3. Когато не е налице цялата информация, посочена в приложение I, и се изисква допълнително разследване на нарушението на сигурността на лични данни, на доставчика следва да бъде разрешено да изпрати първоначалното уведомление на националния компетентен орган не по-късно от 24 часа след откриване на нарушението на сигурността на лични данни. Това първоначално уведомяване на националния компетентен орган включва информацията, посочена в раздел 1 от приложение I. Доставчикът изпраща второ уведомление на националния компетентен орган възможно най-скоро и най-късно в рамките на три дни след първоначалното уведомяване. Това второ уведомление включва информацията, посочена в раздел 2 от приложение I, и когато е необходимо, актуализира вече предоставената информация.
Когато доставчикът, въпреки разследванията си, не е в състояние да предостави цялата информация в тридневен срок от първоначалното уведомяване, той съобщава толкова информация, с колкото разполага за този срок, и предоставя на националния компетентен орган мотивирана обосновка за закъснялото съобщаване на останалата информация. Доставчикът съобщава останалата информация на националния компетентен орган и когато е необходимо, актуализира вече предоставената информация във възможно най-кратък срок.
4. Националният компетентен орган предоставя на всички доставчици, установени в съответната държава членка, сигурни електронни средства за съобщаване на нарушения на сигурността на лични данни и на информация относно процедурите за достъп до тях и използването им. Когато е необходимо, Комисията свиква заседания с компетентните национални органи, за да улесни прилагането на тази разпоредба.
5. Когато нарушаването на сигурността на личните данни засяга абонати или лица от държави членки, различни от тази на националния компетентен орган, на който е било съобщено нарушаване на сигурността на личните данни, националният компетентен орган информира другите съответни национални органи.
За да улесни прилагането на тази разпоредба, Комисията създава и поддържа списък на националните компетентни органи и съответните звена за контакт.
Член 3
Уведомяване на абоната или лицето
1. Когато има вероятност нарушението на сигурността на личните данни да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или отделно лице, освен уведомяването, посочено в член 2, доставчикът също така уведомява засегнатия абонат или лице.
2. Дали дадено нарушаване на сигурността на личните данни има вероятност да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или отделно лице се преценява, като се вземат предвид по-специално следните обстоятелства:
а)
естеството и съдържанието на съответните лични данни, по-специално когато данните се отнасят за финансова информация, специалните категории от данни, посочени в член 8, параграф 1 от Директива 95/46/ЕО, както и данни за местоположението, файлове със статистика за интернет връзките, история на посетените уебстраници, данни за електронната поща и списъци с повиквания, указани по позиции;
б)
вероятните последици от нарушаването на сигурността на личните данни за засегнатия абонат или лице, по специално когато нарушението може да доведе до кражба на самоличност или измама с фалшива самоличност, физическа вреда, психично разстройство, накърняване на достойнството или на репутацията; както и
в)
обстоятелствата на нарушаването на сигурността на личните данни, по-специално когато данните са били откраднати или когато доставчикът знае, че данните са в притежание на неупълномощена трета страна.
3. Уведомяването на абоната или лицето се извършва без ненужно забавяне след откриването на нарушението на сигурността на лични данни, както е определено в член 2, параграф 2, трета алинея. То не зависи от уведомяването на националния компетентен орган за нарушаване на сигурността на лични данни, посочено в член 2.
4. Доставчикът трябва да включи в своето съобщение до абоната или лицето информацията, посочена в приложение II. Уведомяването на абоната или лицето се извършва на ясен и лесноразбираем език. Доставчикът не трябва да използва уведомяването като възможност за популяризиране или реклама на нови или допълнителни услуги.
5. При изключителни обстоятелства, когато уведомяването на абоната или лицето може да изложи на риск правилното разследване на нарушението на сигурността на лични данни, на доставчика се разрешава, след като е получил съгласие от страна на националния компетентен орган, да забави уведомяването на абоната или лицето, докато компетентният национален орган счете, че е възможно да уведоми за нарушаването на сигурността на лични данни в съответствие с настоящия член.
6. Доставчикът уведомява засегнатия абонат или лице за нарушаването на сигурността на личните данни чрез средства за комуникация, гарантиращи незабавното получаване на информация и чиято сигурност е защитена по подходящ начин в съответствие със съвременното техническо ниво. Информацията за нарушението трябва да бъде съсредоточена върху нарушението, а не да бъде свързана с информация по друга тема.
7. Когато доставчикът, който има преки договорни отношения с крайния потребител, независимо от положените целесъобразни усилия не е в състояние в рамките на срока, посочен в параграф 3, да определи всички лица, които има вероятност да са засегнати по неблагоприятен начин от нарушението на сигурността на лични данни, той може да уведоми въпросните лица посредством обявления в основните национални или регионални медии в съответните държави членки в рамките на посочения срок. Тези обявления следва да съдържат информацията, посочена в приложение II, и когато е необходимо - в сбита форма. В такъв случай доставчикът трябва да продължи да полага всички целесъобразни усилия да определи посочените лица и да им съобщи информацията, посочена в приложение II, във възможно най-кратък срок.
Член 4
Технически мерки за защита
1. Чрез дерогация от член 3, параграф 1 не се изисква уведомяване на засегнат абонат или отделно засегнато лице за нарушение на сигурността на лични данни, ако доставчикът е доказал в удовлетворителна степен пред националния компетентен орган, че е взел подходящи технически мерки за защита и че тези мерки са приложени за данните, засегнати от нарушаването на сигурността. Такива технически мерки за защита трябва да правят данните неразбираеми за всяко лице, което не е упълномощено за достъп до тях.
2. Данните се разглеждат като неразбираеми, ако:
а)
са сигурно шифровани със стандартизиран алгоритъм, като ключът, използван за дешифриране на данните, не е бил разкрит при нарушение на сигурността, и ключът, използван за дешифриране на данните, е генериран така, че да не може да бъде открит с наличните технически средства от което и да било лице, което не е упълномощено за достъп до ключа; или
б)
са заменени с тяхната хеширана стойност, изчислена със стандартизирана шифроваща хеш-функция с ключ, като ключът, използван за хеширане на данните, не е бил разкрит при нарушение на сигурността, и ключът, използван за хеширане на данните, е генериран така, че да не може да бъде открит с наличните технически средства от което и да било лице, което не е упълномощено за достъп до ключа.
3. В съответствие с текущите практики, след консултация с компетентните национални органи посредством Работната група по член 29, с Европейската агенция за мрежова и информационна сигурност и с Европейския надзорен орган по защита на данните, Комисията може да публикува ориентировъчен списък с подходящи технически мерки за защита, споменати в параграф 1.
Член 5
Използване на друг доставчик
Когато се използва друг доставчик за доставянето на част от електронната съобщителна услуга без преки договорни отношения с абонатите, в случай на нарушение, свързано с личните данни, този друг доставчик незабавно уведомява доставчика, който го е ангажирал.
Член 6
Докладване и преразглеждане
В рамките на три години от влизането в сила на настоящия регламент Комисията следва да представи доклад за прилагането на настоящия регламент, неговата ефективност и въздействието му върху доставчиците, абонатите и физическите лица. Въз основа на този доклад Комисията преразглежда настоящия регламент.
Член 7
Влизане в сила
Настоящият регламент влиза в сила на 25 август 2013 г.
Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави членки.
Съставено в Брюксел на 24 юни 2013 година.
KOMMISSIONENS FÖRORDNING (EU) nr 611/2013
av den 24 juni 2013
om åtgärder tillämpliga på anmälan av personuppgiftsbrott enligt Europaparlamentets och rådets direktiv 2002/58/EG vad gäller personlig integritet och elektronisk kommunikation
EUROPEISKA KOMMISSIONEN HAR ANTAGIT DENNA FÖRORDNING
med beaktande av fördraget om Europeiska unionens funktionssätt,
med beaktande av Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (1), särskilt artikel 4.5,
efter att ha samrått med Europeiska byrån för nät- och informationssäkerhet (Enisa),
efter att ha samrått med arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter, som inrättades genom artikel 29 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (2) (artikel 29-gruppen),
efter att ha samrått med Europeiska datatillsynsmannen, och
av följande skäl:
(1)
Genom direktiv 2002/58/EG möjliggörs en harmonisering av nationella bestämmelser för att säkerställa ett likvärdigt skydd av de grundläggande fri- och rättigheterna, i synnerhet rätten till personlig integritet och konfidentialitet, när det gäller behandling av personuppgifter inom sektorn för elektronisk kommunikation, samt för att säkerställa fri rörlighet för sådana uppgifter och för utrustning och tjänster avseende elektronisk kommunikation inom unionen.
(2)
Enligt artikel 4 i direktiv 2002/58/EG ska leverantören av en allmänt tillgänglig elektronisk kommunikationstjänst anmäla personuppgiftsbrott till den behöriga nationella myndigheten och i vissa fall även till berörda abonnenter och privatpersoner. Personuppgiftsbrott definieras i artikel 2 i i direktiv 2002/58/EG som ett brott mot säkerhetsbestämmelserna som leder till oavsiktlig eller olaglig utplåning, förlust, ändring, otillåtet avslöjande eller åtkomst av personuppgifter som överförs, lagras eller på annat sätt behandlas i samband med tillhandahållandet av allmänt tillgänglig elektronisk kommunikationstjänst inom unionen.
(3)
För att säkerställa ett konsekvent genomförande av de åtgärder som avses i 4.2-4.4 i direktiv 2002/58/EG får kommissionen enligt artikel 4.5 i samma direktiv anta tekniska genomförandeåtgärder avseende omständigheter, format och förfaranden som kan tillämpas för de informations- och anmälningskrav som avses i den artikeln.
(4)
Olika nationella krav i detta hänseende kan leda till rättsosäkerhet, mer komplicerade och betungande förfaranden och betydande administrativa kostnader för leverantörer med gränsöverskridande verksamhet. Kommissionen anser därför att sådana tekniska genomförandeåtgärder bör antas.
(5)
Denna förordning är begränsad till anmälan av personuppgiftsbrott och omfattar därför inte några tekniska genomförandeåtgärder avseende artikel 4.2 i direktiv 2002/58/EG vad gäller information till abonnenterna om det föreligger särskilda risker för brott mot nätsäkerheten.
(6)
Av artikel 4.3 första stycket i direktiv 2002/58/EG framgår att leverantören ska anmäla alla personuppgiftsbrott till den behöriga nationella myndigheten. Leverantören bör därför inte själv få avgöra om den behöriga nationella myndigheten ska underrättas. Detta bör dock inte hindra den berörda behöriga nationella myndigheten från att prioritera undersökning av vissa brott på lämpligt sätt i enlighet med tillämplig lagstiftning och vidta åtgärder som är nödvändiga för att undvika över- eller underrapportering av personuppgiftsbrott.
(7)
Det är lämpligt att införa ett system för anmälan av personuppgiftsbrott till den behöriga nationella myndigheten som består, om vissa villkor är uppfyllda, av olika steg med tidsgränser för vart och ett av stegen. Systemet är tänkt att garantera att den behöriga nationella myndigheten informeras så tidigt och fullständigt som möjligt, dock utan att hindra leverantören från att utreda brottet och vidta nödvändiga åtgärder för att begränsa brottet och åtgärda följderna av det.
(8)
Det räcker varken med enbart en misstanke om att personuppgiftsbrott inträffat eller med enbart ett avslöjande av en incident utan att det finns tillräcklig information, trots att en leverantör gör sitt bästa för att få fram sådan information, för att det ska anses att ett personuppgiftsbrott har upptäckts i enlighet med denna förordning. Särskild hänsyn bör tas till tillgängligheten i fråga om den information som avses i bilaga I.
(9)
Vid tillämpning av denna förordning bör de berörda behöriga nationella myndigheterna samarbeta om personuppgiftsbrottet har gränsöverskridande inslag.
(10)
Denna förordning innehåller inga ytterligare specifikationer av förteckningar över personuppgiftsbrott som leverantörer ska föra, eftersom artikel 4 i direktiv 2002/58/EG ger en uttömmande beskrivning av förteckningarnas innehåll. Leverantörer kan dock hänvisa till denna förordning för att fastställa förteckningens format.
(11)
Alla behöriga nationella myndigheter bör tillhandahålla ett säkert sätt för leverantörerna att på elektronisk väg anmäla personuppgiftsbrott i ett gemensamt format, baserat på en standard som t.ex. XML, som innehåller alla uppgifter som anges i bilaga I på de berörda språken, så att alla leverantörer inom unionen kan använda ett likadant anmälningsförfarande oavsett var de är lokaliserade eller var personuppgiftsbrottet inträffat. I det sammanhanget bör kommissionen underlätta genomförandet av säkra sätt att på elektronisk väg anmäla personuppgiftsbrott genom att sammankalla möten med de behöriga nationella myndigheterna när det är nödvändigt.
(12)
Vid bedömning av om ett personuppgiftsbrott kan antas inverka menligt på en abonnents eller en enskild persons personuppgifter eller integritet ska hänsyn i synnerhet tas till de berörda personuppgifternas art och innehåll, särskilt om uppgifterna rör finansiell information avseende t.ex. kreditkort och bankkonton, särskilda kategorier av uppgifter enligt artikel 8.1 i direktiv 95/46/EG och vissa uppgifter som specifikt rör tillhandahållandet av teletjänster eller internettjänster, dvs. e-post, lokaliseringsuppgifter, internetloggar, webbläsarhistorik och specificerade samtalslistor.
(13)
Leverantören bör ha rätt att under exceptionella omständigheter skjuta upp anmälan till abonnenten eller privatpersonen, om en sådan anmälan kan medföra att en korrekt utredning av personuppgiftsbrottet äventyras. I detta sammanhang kan exceptionella omständigheter inbegripa brottsutredningar samt andra personuppgiftsbrott som inte innebär ett allvarligt brott och för vilka det kan vara lämpligt att skjuta upp anmälan. Det bör dock alltid vara den behöriga nationella myndigheten som i varje enskilt fall och mot bakgrund av omständigheterna bedömer om uppskjutandet godkänns eller en anmälan krävs.
(14)
Leverantörerna bör ha kontaktuppgifter för sina abonnenter med tanke på direkta kontraktsförhållande, men sådana uppgifter finns kanske inte nödvändigtvis för andra enskilda personer på vilka personuppgiftsbrottet inverkar menligt. I sådana fall bör leverantören ha rätt att först underrätta dessa privatpersoner genom annonser i större nationella eller regionala medier, som tidningar, vilket snarast möjligt bör följas upp med en individuell anmälan i enlighet med denna förordning. Detta innebär att leverantören i sig inte är skyldig att ge underrättelser via medier, utan snarare kan välja att sköta underrättelsen på det viset under tiden som den hittar alla privatpersoner som berörs.
(15)
Informationen om personuppgiftsbrottet bör endast behandla själva brottet och inte kopplas till information om andra ämnen. Information om ett personuppgiftsbrott som lämnas på en vanlig faktura bör t.ex. inte anses som ett lämpligt sätt att anmäla ett personuppgiftsbrott.
(16)
Denna förordning omfattar inte några särskilda tekniska skyddsåtgärder som motiverar undantag från skyldigheten att anmäla personuppgiftsbrott till abonnenter eller enskilda personer, eftersom sådana kan ändras i takt med den tekniska utvecklingen. Kommissionen bör dock offentliggöra en vägledande förteckning över sådana särskilda tekniska skyddsåtgärder i enlighet med rådande praxis.
(17)
Det bör inte anses tillräckligt med införande av kryptering eller hashteknik för att leverantörer generellt ska kunna hävda att de har uppfyllt de allmänna säkerhetskraven enligt artikel 17 i direktiv 95/46/EG. I detta hänseende bör leverantörerna också vidta lämpliga organisatoriska och tekniska åtgärder för att förebygga, avslöja och stoppa personuppgiftsbrott. Leverantörer bör analysera de eventuella risker som kvarstår efter att kontrollerna har genomförts för att förstå var personuppgiftsbrott skulle kunna inträffa.
(18)
Om leverantörer använder en annan leverantör för att utföra delar av tjänsten, till exempel när det gäller fakturering eller förvaltningsuppgifter, bör denna andra leverantör, som inte har något direkt kontraktsförhållande med slutanvändaren, inte vara skyldig att utfärda anmälningar i fråga om personuppgiftsbrott. Den bör i stället varsko och informera leverantören med vilken den har ett direkt kontraktsförhållande. Det bör även gälla i fråga om tillhandahållande av elektroniska kommunikationstjänster i grossistledet, när vanligtvis leverantören i grossistledet inte har något direkt kontraktsförhållande med slutanvändaren.
(19)
Direktiv 95/46/EG fastställer en allmän ram för skydd av personuppgifter i Europeiska unionen. Kommissionen har lagt fram ett förslag till Europaparlamentets och rådets förordning som ska ersätta direktiv 95/46/EG (förordningen om dataskydd). Genom den föreslagna förordningen om dataskydd skulle det införas en skyldighet för alla registeransvariga att anmäla personuppgiftsbrott, med artikel 4.3 i direktiv 2002/58/EG som underlag. Dagens kommissionsförordning är helt och hållet förenlig med denna åtgärd.
(20)
Den föreslagna förordningen om dataskydd innehåller också ett begränsat antal tekniska justeringar av direktiv 2002/58/EG för att ta hänsyn till att direktiv 95/46/EG omvandlas till en förordning. Den nya förordningens materiella rättsliga konsekvenser för direktiv 2002/58/EG kommer att granskas av kommissionen.
(21)
Tillämpningen av denna förordning bör ses över tre år efter det att den träder i kraft, och dess innehåll ses över mot bakgrund av det rättsliga ramverk som gäller vid den tidpunkten, inklusive den föreslagna förordningen om dataskydd. Översynen av denna förordning bör om det är möjligt kopplas till eventuella kommande översyner av direktiv 2002/58/EG.
(22)
Tillämpningen av denna förordning kan bedömas på grundval av bland annat statistik från behöriga nationella myndigheter om de personuppgiftsbrott som anmäls till dem. Sådan statistik kan bland annat omfatta uppgifter om antal personuppgiftsbrott som anmälts till den behöriga nationella myndigheten, antal personuppgiftsbrott som anmälts till abonnenter eller enskilda personer, den tid som det tagit att åtgärda personuppgiftsbrottet och huruvida tekniska skyddsåtgärder vidtagits. Genom denna statistik bör kommissionen och medlemsstaterna få enhetliga och jämförbara statistiska uppgifter. Uppgifterna ska varken avslöja identiteten på den leverantör som gör anmälan eller på inblandade abonnenter eller enskilda personer. Kommissionen kan också genomföra regelbundna möten med behöriga nationella myndigheter och andra berörda intressenter.
(23)
De åtgärder som föreskrivs i denna förordning är förenliga med yttrandet från kommunikationskommittén.
HÄRIGENOM FÖRESKRIVS FÖLJANDE.
Artikel 1
Tillämpningsområde
Denna förordning ska tillämpas på anmälningar av personuppgiftsbrott som görs av leverantörer av allmänt tillgängliga elektroniska kommunikationstjänster (nedan kallad leverantören).
Artikel 2
Anmälan till den behöriga nationella myndigheten
1. Leverantören ska anmäla alla personuppgiftsbrott till den behöriga nationella myndigheten.
2. Leverantören ska anmäla personuppgiftsbrottet till den behöriga nationella myndigheten senast 24 timmar efter att personuppgiftsbrottet upptäckts, där så är möjligt.
Leverantören ska i sin anmälan till den behöriga nationella myndigheten inkludera de uppgifter som anges i bilaga I.
Personuppgiftsbrott ska anses ha upptäckts om leverantören har varit tillräckligt medveten om att en säkerhetsincident har inträffat som ledde till att personuppgifter äventyrats, för att göra en anmälan i enlighet med denna förordning.
3. Om inte alla uppgifter som anges i bilaga I finns tillgängliga och ytterligare utredning av personuppgiftsbrottet krävs ska leverantören ha rätt att göra en inledande anmälan till den behöriga myndigheten senast 24 timmar efter att personuppgiftsbrottet upptäckts. Denna inledande anmälan till den behöriga nationella myndigheten ska innehålla de uppgifter som anges i avsnitt 1 i bilaga I. Leverantören bör göra en andra anmälan till den behöriga nationella myndigheten så snart som möjligt och inom tre dagar från den inledande anmälan. Denna andra anmälan bör innehålla de uppgifter som anges i avsnitt 2 i bilaga I och, om det är nödvändigt, en uppdatering av redan lämnade uppgifter.
Om leverantören, trots sin utredning, inte kan tillhandahålla alla uppgifter inom tre dagar från den ursprungliga anmälan ska leverantören lämna så många uppgifter som den förfogar över inom den tidsfristen och till den behöriga myndigheten lämna en välgrundad motivering till den sena anmälan av de återstående uppgifterna. Leverantören ska snarast möjligt lämna de återstående uppgifterna till den behöriga myndigheten och, om det är nödvändigt, snarast möjligt uppdatera redan lämnade uppgifter.
4. Den behöriga nationella myndigheten ska för alla leverantörer som är etablerade i den berörda medlemsstaten tillhandahålla ett säkert sätt att på elektronisk väg anmäla personuppgiftsbrott samt information om förfarandena för åtkomst och användning. Om det är nödvändigt ska kommissionen sammankalla möten med behöriga nationella myndigheter för att underlätta tillämpningen av denna bestämmelse.
5. När personuppgiftsbrott påverkar abonnenter och enskilda personer från andra medlemsstater än den medlemsstat där personuppgiftsbrottet anmälts till den behöriga nationella myndigheten, ska den behöriga nationella myndigheten underrätta de andra nationella myndigheter som berörs.
För att underlätta tillämpningen av denna bestämmelse, ska kommissionen upprätta en förteckning över de behöriga nationella myndigheterna och lämpliga kontaktpunkter samt hålla den aktuell.
Artikel 3
Anmälan till abonnent eller enskild person
1. Om personuppgiftsbrottet kan antas inverka menligt på en abonnents eller en enskild persons personuppgifter eller integritet ska leverantören, utöver anmälan enligt artikel 2, också underrätta abonnenten eller den enskilda personen om personuppgiftsbrottet.
2. När det ska fastställas om ett personuppgiftsbrott kan antas inverka menligt på en abonnents eller enskild persons personuppgifter eller integritet ska i synnerhet följande omständigheter beaktas:
a)
De berörda personuppgifternas art och innehåll, i synnerhet när de avser finansiell information, särskilda kategorier av uppgifter enligt artikel 8.1 i direktiv 95/46/EG samt lokaliseringsdata, internetloggar, webbläsarhistorik, uppgifter om e-post och specificerade samtalslistor.
b)
Personuppgiftsbrottets troliga konsekvenser för den berörda abonnenten eller enskilda personen, i synnerhet om brottet skulle kunna medföra identitetsstöld eller bedrägeri, fysisk skada, psykiska men, förödmjukelse eller skadat rykte.
c)
Omständigheterna för personuppgiftsbrottet, i synnerhet om uppgifterna har stulits eller om leverantören vet att uppgifterna finns hos en obehörig tredje part.
3. Anmälan till abonnenten eller den enskilda personen ska göras utan onödigt dröjsmål efter att personuppgiftsbrottet avslöjats i enlighet med artikel 2.2 tredje stycket. Detta ska inte vara beroende av den anmälan av personuppgiftsbrottet till den behöriga nationella myndighet som avses i artikel 2.
4. Leverantören ska i sin anmälan till den behöriga nationella myndigheten inkludera de uppgifter som anges i bilaga II. Anmälan till abonnenten eller den enskilda personen ska formuleras tydligt och lättbegripligt. Leverantören ska inte utnyttja anmälan som en möjlighet att marknadsföra eller annonsera om nya eller kompletterande tjänster.
5. I exceptionella fall, om anmälan till abonnenten eller den enskilda personen kan äventyra en korrekt utredning av personuppgiftsbrottet, ska leverantören ha rätt att, efter godkännande av den behöriga nationella myndigheten, skjuta upp anmälan till abonnenten eller den enskilda personen tills den behöriga nationella myndigheten anser att det är möjligt att anmäla personuppgiftsbrottet i enlighet med denna artikel.
6. Leverantören ska till abonnenten eller den enskilda personen anmäla personuppgiftsbrottet genom kommunikation som säkerställer att informationen snabbt kan mottas och som på lämpligt sätt är säkrad enligt den senaste tekniken. Informationen om personuppgiftsbrottet ska enbart omfatta uppgifter om detta brott och inte innehålla uppgifter om något annat ämne.
7. Om den leverantör som har ett direkt kontraktsförhållande med slutanvändaren, trots rimliga ansträngningar inte inom den tidsfrist som anges i punkt 3 kan identifiera alla enskilda personer på vilka personuppgiftsbrottet kan tänkas inverka menligt, får leverantören underrätta dessa enskilda personer genom annonser i större nationella eller regionala medier i de relevanta medlemsstaterna inom den tidsfristen. Dessa annonser ska innehålla de uppgifter som anges i bilaga II, om nödvändigt i förkortad form. I sådana fall ska leverantören fortsätta att göra alla rimliga ansträngningar för att identifiera dessa enskilda personer och snarast möjligt meddela dem de uppgifter som anges i bilaga II.
Artikel 4
Tekniska skyddsåtgärder
1. Med avvikelse från artikel 3.1 ska det inte vara ett krav att anmäla personuppgiftsbrottet till den berörda abonnenten eller enskilda personen om leverantören på ett tillfredsställande sätt har visat den behöriga nationella myndigheten att den har vidtagit lämpliga tekniska skyddsåtgärder och att dessa åtgärder tillämpats på de uppgifter som berördes av säkerhetsöverträdelsen. Sådana tekniska skyddsåtgärder ska göra data oläsbara för alla personer som inte är behöriga att få tillgång till uppgifterna.
2. Data ska anses oläsbara om
a)
de har krypterats säkert med en standardiserad algoritm, den nyckel som används för att dekryptera data inte har äventyrats genom någon säkerhetsöverträdelse och den nyckel som används för att dekryptera data har genererats på ett sådant sätt att den inte kan utrönas med tillgängliga tekniska metoder av en person som är obehörig att använda nyckeln, eller
b)
de har ersatts med sina hashvärden beräknade med en standardiserad kryptografisk hashfunktion med nyckel, den nyckel som används för kondensat av data har inte äventyrats genom någon säkerhetsöverträdelse och den nyckel som används för kondenseringen har genererats så att den inte kan utrönas med tillgängliga tekniska metoder av en person som är obehörig att använda nyckeln.
3. Kommissionen får efter samråd med de behöriga nationella myndigheterna via artikel 29-gruppen, Europeiska byrån för nät- och informationssäkerhet och Europeiska datatillsynsmannen offentliggöra en vägledande förteckning över lämpliga tekniska skyddsåtgärder enligt punkt 1, i enlighet med rådande praxis.
Artikel 5
Användning av en annan leverantör
Om en annan leverantör har kontrakterats för att leverera en del av de elektroniska kommunikationstjänsterna utan att ha ett direkt kontraktsförhållande med abonnenter ska denna andra leverantör omedelbart informera den leverantör som har tillhandahållit kontraktet i händelse av personuppgiftsbrott.
Artikel 6
Rapportering och översyn
Inom tre år efter ikraftträdandet av denna förordning ska kommissionen lägga fram en rapport om tillämpningen av denna förordning, hur effektiv den varit samt hur den påverkat leverantörer, abonnenter och enskilda personer. Med den rapporten som underlag ska kommissionen se över denna förordning.
Artikel 7
Ikraftträdande
Denna förordning träder i kraft den 25 augusti 2013.
Denna förordning är till alla delar bindande och direkt tillämplig i alla medlemsstater.
Utfärdad i Bryssel den 24 juni 2013.