NAŘÍZENÍ KOMISE (EU) č. 611/2013
ze dne 24. června 2013
o opatřeních vztahujících se na oznámení o narušení bezpečnosti osobních údajů podle směrnice Evropského parlamentu a Rady 2002/58/ES o soukromí a elektronických komunikacích
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (Směrnice o soukromí a elektronických komunikacích) (1), a zejména na čl. 4 odst. 5 uvedené směrnice,
po konzultaci s Evropskou agenturou pro bezpečnost sítí a informací (ENISA),
po konzultaci s pracovní skupinou pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízenou článkem 29 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (2) (dále jen „pracovní skupina zřízená podle článku 29“),
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
Směrnice 2002/58/ES harmonizuje předpisy členských států požadované pro zajištění rovnocenné úrovně ochrany základních práv a svobod, zejména práva na soukromí a zachování důvěrnosti informací, se zřetelem na zpracování osobních údajů v odvětví elektronických komunikací, a pro zajištění volného pohybu těchto údajů a elektronických komunikačních zařízení a služeb v Unii.
(2)
Podle článku 4 směrnice 2002/58/ES jsou poskytovatelé veřejně dostupných služeb elektronických komunikací povinni oznámit narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům a v některých případech také dotčeným účastníkům a jednotlivcům. Narušení bezpečnosti osobních údajů je definováno v čl. 2 písm. i) směrnice 2002/58/ES jako narušení bezpečnosti, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně či neoprávněnému vyzrazení nebo zpřístupnění osobních údajů přenášených, uchovávaných nebo jinak zpracovávaných v souvislosti s poskytováním veřejně dostupné služby elektronických komunikací v Unii.
(3)
Pro zajištění důsledného provádění opatření uvedených v čl. 4 odst. 2, 3 a 4 směrnice 2002/58/ES se v čl. 4 odst. 5 uvedeného nařízení Komise zmocňuje k přijetí technických prováděcích opatření týkajících se okolností, formátu a postupů, jež se vztahují na požadavky informování a oznamování podle uvedeného článku.
(4)
Rozdílné požadavky členských států v tomto ohledu mohou vést k právní nejistotě, složitějším a zdlouhavějším postupům a značným administrativním nákladům poskytovatelů, kteří působí v přeshraničním styku. Komise proto zastává názor, že je nutné přijmout tato technická prováděcí opatření.
(5)
Toto nařízení se omezuje na oznámení o narušení bezpečnosti osobních údajů, a proto nestanoví technická prováděcí opatření týkající se čl. 4 odst. 2 směrnice 2002/58/ES o informování účastníků v případě zvláštního rizika narušení bezpečnosti sítě.
(6)
Z čl. 4 odst. 3 prvního pododstavce směrnice 2002/58/ES vyplývá, že poskytovatelé by měli oznámit příslušnému vnitrostátnímu orgánu všechny případy narušení bezpečnosti osobních údajů. Rozhodnutí, zda je či není třeba oznámit narušení příslušnému vnitrostátnímu orgánu, by proto nemělo být ponecháno na vůli poskytovatele. To by však nemělo bránit příslušnému vnitrostátnímu orgánu, aby v souladu s platnými právními předpisy nepřistoupil k vyšetřování některých narušení přednostně podle jejich důležitosti a nepodnikl kroky nezbytné k tomu, aby se zabránilo přílišnému nebo nedostatečnému hlášení o narušení bezpečnosti osobních údajů.
(7)
Je třeba stanovit systém pro oznamování narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu, který by za splnění některých podmínek sestával z různých etap, pro něž by platily konkrétní lhůty. Systém by měl zajistit, aby příslušný vnitrostátní orgán byl informován co nejdříve a co nejúplněji, aniž by se tím neodůvodněně bránilo poskytovateli ve snaze narušení vyšetřit a přijmout nezbytná opatření k jeho omezení a nápravě důsledků.
(8)
Pouhé podezření, že došlo k narušení bezpečnosti osobních údajů, ani pouhé zjištění události bez dostatečných informací, které se ani přes největší úsilí nepodařilo poskytovateli získat, nepostačuje pro účely tohoto nařízení k tomu, aby bylo možné konstatovat, že došlo k odhalení narušení bezpečnosti osobních údajů. Zvláštní ohled je v této souvislosti třeba věnovat dostupnosti informací uvedených v příloze I.
(9)
V souvislosti s uplatňováním tohoto nařízení by v případech narušení bezpečnosti osobních údajů s přeshraničním rozměrem měly příslušné vnitrostátní orgány mezi sebou spolupracovat.
(10)
Toto nařízení nestanoví žádné upřesnění přehledu narušení bezpečnosti osobních údajů, které mají provozovatelé vést, protože v článku 4 směrnice 2002/58/ES je jeho obsah stanoven vyčerpávajícím způsobem. Poskytovatelé však při určování formátu přehledu mohou použít odkaz na toto nařízení.
(11)
Všechny příslušné vnitrostátní orgány by měly poskytovatelům zpřístupnit bezpečné elektronické prostředky umožňující oznamovat narušení bezpečnosti osobních údajů ve společném formátu, a to na základě normy, jako je např. XML, který bude obsahovat údaje stanovené v příloze I v příslušných jazycích tak, aby všichni poskytovatelé v rámci Unie mohli používat obdobný postup oznamování bez ohledu na to, kde se nacházejí nebo kde došlo k narušení bezpečnosti osobních údajů. V této souvislosti by Komise podle potřeby měla usnadnit zavádění bezpečných elektronických prostředků pořádáním setkání s příslušnými vnitrostátními orgány.
(12)
Při posuzování, zda by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno vzít v úvahu zejména povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, jako jsou např. údaje o kreditní kartě nebo bankovním účtu, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES a některé údaje, které se konkrétně týkají poskytování telefonních a internetových služeb, tj. údaje o elektronické poště, lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek a podrobné rozpisy uskutečněných volání.
(13)
Za výjimečných okolností, jestliže by oznámení účastníkovi nebo jednotlivci mohlo ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, by poskytovatel měl mít možnost oznámení účastníkovi nebo jednotlivci pozdržet. V tomto ohledu mohou výjimečné okolnosti zahrnovat trestní vyšetřování, jakož i další narušení bezpečnosti osobních údajů, která nelze považovat za závažnou trestnou činnost, kvůli nimž však může být vhodné oznámení odložit. Příslušný vnitrostátní orgán by za všech okolností měl v každém jednotlivém případě a s ohledem na okolnosti posoudit, zda se oznámení odloží, nebo zda bude vyžadováno.
(14)
Zatímco poskytovatelé by díky přímému smluvnímu vztahu měli mít kontaktní údaje svých účastníků, o ostatních jednotlivcích nepříznivě ovlivněných narušením bezpečnosti osobních údajů tyto informace mít nemusí. V takovém případě by poskytovatel měl mít možnost nejprve tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích, např. v novinách, a následně jim tuto skutečnost co nejdříve oznámit jednotlivě, jak je stanoveno v tomto nařízení. Poskytovatel jako takový tedy není povinen zveřejnit informace v médiích, ale je oprávněn postupovat případně tímto způsobem, pokud stále ještě probíhá zjišťování totožnosti ovlivněných jednotlivců.
(15)
Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi. Za přiměřený prostředek oznámení o narušení bezpečnosti osobních údajů by například nemělo být považováno uvedení informace o narušení bezpečnosti osobních údajů v běžné faktuře.
(16)
Toto nařízení nestanoví žádná zvláštní technická ochranná opatření, která odůvodňují odchylku od povinnosti oznamovat narušení bezpečnosti osobních údajů účastníkům nebo jednotlivcům, neboť ta se mohou v důsledku technologického pokroku v průběhu času měnit. Komise by však měla mít možnost zveřejnit orientační seznam těchto zvláštních technických ochranných opatření v souladu s platnými postupy.
(17)
Kódování nebo hašování nelze samo o sobě považovat za dostatečný způsob ochrany, který by poskytovatelům obecně umožňoval tvrdit, že splnili všechny všeobecné bezpečnostní povinnosti stanovené v článku 17 směrnice 95/46/ES. V tomto ohledu by poskytovatelé měli také provádět vhodná organizační a technická opatření na prevenci, odhalování a zamezení narušení bezpečnosti osobních údajů. Poskytovatelé by měli zvážit veškerá rizika, která mohou přetrvávat po provedení kontrol, aby bylo možné rozpoznat, kde může dojít k narušení bezpečnosti osobních údajů.
(18)
Pokud provozovatel k poskytování služeb částečně používá jiného poskytovatele, např. pro účely účtování nebo řízení, tento jiný poskytovatel, který není v přímém smluvním vztahu s koncovým uživatelem, by neměl mít povinnost v případě narušení bezpečnosti osobních údajů podávat oznámení. Místo toho by měl uvědomit a informovat poskytovatele, s nímž má přímý smluvní vztah. To by mělo platit i v souvislosti s velkoobchodním poskytováním služeb elektronických komunikací, kde obvykle velkoobchodní poskytovatel není v přímém smluvním vztahu s koncovým uživatelem.
(19)
Směrnice 95/46/ES vymezuje obecný rámec pro ochranu osobních údajů v Evropské unii. Komise předložila návrh nařízení Evropského parlamentu a Rady (dále jako „nařízení o ochraně údajů“), které by mělo směrnici 95/46/ES nahradit. Navrhované nařízení o ochraně údajů by na základě čl. 4 odst. 3 směrnice 2002/58/ES zavedlo pro všechny správce povinnost oznamovat narušení bezpečnosti osobních údajů. Toto nařízení Komise je s tímto opatřením plně v souladu.
(20)
Navrhované nařízení o ochraně údajů v omezeném rozsahu rovněž provádí technické úpravy ve směrnici 2002/58/ES s ohledem na změnu směrnice 95/46/ES na nařízení. Podstatné právní důsledky nového nařízení pro směrnici 2002/58/ES budou předmětem přezkumu, který provede Komise.
(21)
Uplatňování tohoto nařízení by mělo být přezkoumáno tři roky po jeho vstupu v platnost a jeho obsah by měl být přezkoumán s ohledem na právní rámec, který bude v platnosti v uvedené době, včetně navrhovaného nařízení o ochraně údajů. Přezkum tohoto nařízení by měl v budoucnosti být, bude-li to možné, spojen s každým přezkumem směrnice 2002/58/ES.
(22)
Uplatňování tohoto nařízení může být posuzováno mimo jiné na základě statistických údajů, které příslušné vnitrostátní orgány vedou o narušeních bezpečnosti osobních údajů, o nichž byly informovány. Tyto statistiky mohou zahrnovat např. informace o počtu narušení bezpečnosti osobních údajů oznámených příslušnému vnitrostátnímu orgánu, počtu případů narušení bezpečnosti osobních údajů oznámených účastníkovi nebo jednotlivci, době potřebné na vyřešení narušení bezpečnosti osobních údajů, a informace o tom, zda byla přijata technická ochranná opatření. Tyto statistiky by měly poskytovat Komisi a členským státům konzistentní a srovnatelné statistické údaje a neměly by odhalovat totožnost oznamujícího poskytovatele ani dotčených účastníků nebo jednotlivců. Komise může za tímto účelem rovněž pořádat pravidelná setkání s příslušnými vnitrostátními orgány a jinými zúčastněnými stranami.
(23)
Opatření tohoto nařízení jsou v souladu se stanoviskem Komunikačního výboru,
PŘIJALA TOTO NAŘÍZENÍ:
Článek 1
Oblast působnosti
Toto nařízení se vztahuje na oznámení poskytovatelů veřejně dostupných služeb elektronických komunikací (dále jen „poskytovatel“) o narušení bezpečnosti osobních údajů.
Článek 2
Oznámení příslušnému vnitrostátnímu orgánu
1. Poskytovatel oznámí všechna narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu.
2. Poskytovatel oznámí narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu nejpozději 24 hodin po zjištění narušení bezpečnosti osobních údajů, pokud je to proveditelné.
Poskytovatel ve svém oznámení příslušnému vnitrostátnímu orgánu uvede informace stanovené v příloze I.
Za zjištění narušení bezpečnosti osobních údajů se považuje situace, kdy poskytovatel získal dostatečné informace o tom, že došlo k bezpečnostní události, která měla za následek narušení osobních údajů, aby podal opodstatněné oznámení podle tohoto nařízení.
3. Jestliže nejsou k dispozici všechny informace stanovené v příloze I a je nutné další vyšetřování narušení bezpečnosti osobních údajů, může poskytovatel podat první oznámení příslušnému vnitrostátnímu orgánu nejpozději do 24 hodin po zjištění narušení bezpečnosti osobních údajů. Toto první oznámení příslušnému vnitrostátnímu orgánu musí obsahovat informace stanovené v příloze I oddíle 1. Poskytovatel je povinen podat příslušnému vnitrostátnímu orgánu co nejdříve, nejpozději do tří dnů po prvním oznámení, druhé oznámení. Toto druhé oznámení obsahuje informace stanovené v příloze I oddíle 2 a v případě potřeby aktualizuje již poskytnuté údaje.
Jestliže poskytovatel ani po vyšetřování nemůže ve lhůtě tří dnů od prvního oznámení poskytnout všechny informace, oznámí všechny informace, které má v této lhůtě k dispozici a předloží příslušnému vnitrostátnímu orgánu odůvodnění, proč musí být zbývající informace oznámeny později. Poskytovatel co možná nejdříve oznámí zbývající informace příslušnému vnitrostátnímu orgánu a v případě potřeby aktualizuje již poskytnuté údaje.
4. Příslušný vnitrostátní orgán poskytne všem poskytovatelům usazeným v dotčeném členském státě bezpečný elektronický prostředek pro oznamování narušení bezpečnosti osobních údajů a informace o postupech přístupu k němu a jeho používání. V zájmu snazšího uplatňování tohoto ustanovení Komise podle potřeby pořádá pravidelná setkání s příslušnými vnitrostátními orgány.
5. V případě, že se narušení bezpečnosti osobních údajů týká účastníků nebo jednotlivců z jiných členských států, než je členský stát příslušného vnitrostátního orgánu, jemuž bylo narušení bezpečnosti osobních údajů oznámeno, příslušný vnitrostátní orgán informuje orgány ostatních dotčených členských států.
Pro usnadnění uplatňování tohoto ustanovení Komise vytvoří a povede seznam příslušných vnitrostátních orgánů a příslušných kontaktních míst.
Článek 3
Oznámení účastníkovi nebo jednotlivci
1. Pokud by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, musí poskytovatel kromě oznámení uvedeného v článku 2 toto porušení oznámit rovněž účastníkovi nebo jednotlivci.
2. Při posuzování, zda narušení bezpečnosti osobních údajů může mít nepříznivý vliv na osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno brát ohled zejména na tyto okolnosti:
a)
povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES, jakož i lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek, údaje týkající se elektronické pošty a podrobné údaje o uskutečněných voláních;
b)
pravděpodobné důsledky narušení bezpečnosti osobních údajů pro dotčeného účastníka nebo jednotlivce, zejména tehdy, kdy by porušení mohlo vést ke krádeži nebo zneužití, fyzické újmě, psychickému strádání, ponížení nebo poškození pověsti a
c)
okolnosti narušení bezpečnosti osobních údajů, zejména pokud byly údaje odcizeny nebo pokud je poskytovateli známo, že údaje jsou v držení neoprávněné třetí strany.
3. Oznámení účastníkovi nebo jednotlivci musí být učiněno bez zbytečného odkladu po zjištění narušení bezpečnosti osobních údajů v souladu s čl. 2 odst. 2 třetím pododstavcem. Nesmí záviset na oznámení o narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům podle článku 2.
4. Poskytovatel ve svém oznámení účastníkovi nebo jednotlivci uvede informace stanovené v příloze II. Oznámení účastníkovi nebo jednotlivci musí být jasné a srozumitelné. Poskytovatel nesmí využít oznámení jako příležitost k propagaci nebo nabídce nových či doplňkových služeb.
5. Ve výjimečných případech, kdy oznámení účastníkovi nebo jednotlivci může ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, má poskytovatel možnost po získání souhlasu příslušného vnitrostátního orgánu oznámení účastníkovi nebo jednotlivci pozdržet, dokud příslušný vnitrostátní orgán neusoudí, že je možné oznámit narušení bezpečnosti osobních údajů podle tohoto článku.
6. Poskytovatel oznámí účastníkovi nebo jednotlivci narušení bezpečnosti osobních údajů takovým způsobem, který umožňuje rychlé předání informací a který je podle nejnovějších poznatků náležitě zabezpečen. Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi.
7. Pokud poskytovatel, který je v přímém smluvním vztahu s koncovým uživatelem, ani přes vynaložené úsilí není schopen ve lhůtě uvedené v odstavci 3 určit všechny jednotlivce, kteří by narušením bezpečnosti osobních údajů mohli být nepříznivě ovlivněni, může v uvedené lhůtě tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích v příslušných členských státech. Uvedená oznámení musí obsahovat informace stanovené v příloze II, v případě potřeby ve stručné formě. V takovém případě poskytovatel pokračuje v úsilí vedoucím k identifikaci těchto jednotlivců a co nejdříve jim oznámí informace uvedené v příloze II.
Článek 4
Technická ochranná opatření
1. Odchylně od čl. 3 odst. 1 se oznámení o narušení bezpečnosti osobních údajů dotčenému účastníkovi nebo jednotlivci nevyžaduje, pokud poskytovatel ke spokojenosti příslušného vnitrostátního orgánu prokázal, že zavedl náležitá technická ochranná opatření a že tato opatření byla na údaje, jichž se narušení bezpečnosti týká, použita. Tato technická ochranná opatření zajistí, aby údaje nebyly srozumitelné pro nikoho, kdo není k přístupu k nim oprávněn.
2. Údaje se považují za nesrozumitelné, jestliže:
a)
byly bezpečně zašifrovány normalizovaným algoritmem, klíč použitý k dešifrování údajů nebyl žádným narušením bezpečnosti ohrožen a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu, nebo
b)
byly nahrazeny svou zahašovanou hodnotou vypočítanou pomocí normalizované kryptografické hašovací funkce s klíčem, klíč použitý k hašování údajů nebyl ohrožen žádným narušením bezpečnosti a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu.
3. Komise může po konzultaci s příslušnými vnitrostátními orgány prostřednictvím pracovní skupiny zřízené podle článku 29, Evropskou agenturou pro bezpečnost sítí a informací a evropským inspektorem ochrany údajů zveřejnit orientační seznam vhodných technických ochranných opatření uvedených v odstavci 1 v souladu s platnými postupy.
Článek 5
Použití jiného poskytovatele
Jestliže je jiný poskytovatel smluvně zavázán, aby poskytl část služeb elektronických komunikací, aniž by byl v přímém smluvním vztahu s účastníky, tento další poskytovatel v případě, že došlo k narušení bezpečnosti osobních údajů, okamžitě informuje smluvního poskytovatele.
Článek 6
Podávání zpráv a přezkum
Do tří let od vstupu tohoto nařízení v platnost Komise předloží zprávu o uplatňování tohoto nařízení, jeho účinnosti a dopadu na poskytovatele, účastníky a jednotlivce. Na základě uvedené zprávy Komise toto nařízení přezkoumá.
Článek 7
Vstup v platnost
Toto nařízení vstupuje v platnost dne 25. srpna 2013.
Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.
V Bruselu dne 24. června 2013.
REGULAMENTUL (UE) NR. 611/2013 AL COMISIEI
din 24 iunie 2013
privind măsurile aplicabile notificării încălcărilor securității datelor cu caracter personal în temeiul Directivei 2002/58/CE a Parlamentului European și a Consiliului privind confidențialitatea și comunicațiile electronice
COMISIA EUROPEANĂ,
având în vedere Tratatul privind funcționarea Uniunii Europene,
având în vedere Directiva 2002/58/CE a Parlamentului European și a Consiliului din 12 iulie 2002 privind prelucrarea datelor personale și protejarea confidențialității în sectorul comunicațiilor publice (Directiva asupra confidențialității și comunicațiilor electronice) (1), în special articolul 4 alineatul (5),
după consultarea Agenției Europene pentru Securitatea Rețelelor Informatice și a Datelor (ENISA),
după consultarea Grupului de lucru pentru protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal, instituit prin articolul 29 din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (2) (Grupul de lucru instituit prin articolul 29),
după consultarea Autorității Europene pentru Protecția Datelor (AEPD),
întrucât:
(1)
Directiva 2002/58/CE prevede armonizarea dispozițiilor naționale, lucru necesar în vederea asigurării unui nivel echivalent de protecție a drepturilor și libertăților fundamentale, în special a dreptului la confidențialitate și la respectarea vieții private, în domeniul prelucrării de date cu caracter personal în sectorul comunicațiilor electronice, precum și în vederea asigurării liberei circulații a acestor date și a serviciilor și echipamentelor de comunicații electronice în interiorul Uniunii.
(2)
În temeiul articolului 4 din Directiva 2002/58/CE, prestatorii de servicii publice de comunicații electronice trebuie să informeze autoritățile naționale competente și, în anumite cazuri, de asemenea, abonații și persoanele în cauză cu privire la încălcarea securității datelor cu caracter personal. Încălcările privind securitatea datelor cu caracter personal sunt definite la articolul 2 litera (i) din Directiva 2002/58/CE ca încălcări ale securității având ca rezultat distrugerea accidentală sau ilegală, pierderea, alterarea, divulgarea neautorizată sau accesul neautorizat la datele cu caracter personal transmise, stocate sau prelucrate în alt mod în legătură cu furnizarea de servicii de comunicații electronice destinate publicului în cadrul Uniunii.
(3)
Pentru a asigura consecvența în punerea în aplicare a măsurilor la care se face referire la articolul 4 alineatele (2), (3) și (4) din Directiva 2002/58/CE, articolul 4 alineatul (5) din regulamentul respectiv permite Comisiei să adopte măsuri tehnice de punere în aplicare privind circumstanțele, formatul și procedurile aplicabile cerințelor de informare și notificare la care se face referire în articolul respectiv.
(4)
Cerințe naționale diferite în aceste privințe ar putea genera incertitudine juridică, proceduri mai complexe și greoaie și costuri administrative semnificative pentru prestatorii care desfășoară activități transfrontaliere. Prin urmare, Comisia consideră că este necesar să se adopte astfel de măsuri tehnice de punere în aplicare.
(5)
Prezentul regulament se limitează la notificarea încălcărilor securității datelor cu caracter personal și, prin urmare, nu prevede măsuri tehnice de punere în aplicare cu privire la articolul 4 alineatul (2) din Directiva 2002/58/CE în ceea ce privește informarea abonaților în cazul unui anumit risc de încălcare a securității rețelei.
(6)
Din articolul 4 alineatul (3) primul paragraf din Directiva 2002/58/CE rezultă că prestatorii trebuie să notifice autorității naționale competente toate cazurile de încălcare a securității datelor cu caracter personal. Prin urmare, nu ar trebui lăsată la latitudinea prestatorului decizia de a notifica sau nu autoritatea națională competentă. Totuși, acest lucru nu ar trebui să împiedice autoritatea națională competentă în cauză să investigheze cu prioritate anumite încălcări ale securității în modul pe care îl consideră adecvat, în conformitate cu legislația aplicabilă, și să ia măsurile necesare pentru a evita supraraportarea sau subraportarea încălcărilor securității datelor cu caracter personal.
(7)
Este necesar să se prevadă un sistem de notificare către autoritatea națională competentă a încălcărilor securității datelor cu caracter personal, un sistem alcătuit, în cazul în care sunt îndeplinite anumite condiții, din diferitele etape, fiecare etapă făcând obiectul unui anumit termen limită. Acest sistem este menit a garanta că autoritatea națională competentă este informată cât mai repede și cât mai complet posibil, fără însă a îngreuna în mod nejustificat eforturile prestatorului de a investiga încălcarea securității și de a lua măsurile necesare pentru a limita încălcarea și a remedia consecințele acesteia.
(8)
Nici o simplă suspiciune că a avut loc o încălcare a securității datelor cu caracter personal, nici o simplă depistare a unui incident, în lipsa unor informații suficiente, în pofida tuturor eforturilor depuse de un prestator în acest sens, nu trebuie apreciate ca suficiente pentru a se considera că a fost depistată o încălcare a datelor cu caracter personal în scopul prezentului regulament. În acest sens, trebuie să se țină seama în special de disponibilitatea informațiilor menționate în anexa I.
(9)
În contextul aplicării prezentului regulament, autoritățile naționale competente în cauză trebuie să coopereze atunci când încălcările securității datelor cu caracter personal au o dimensiune transfrontalieră.
(10)
Prezentul regulament nu prevede detalii suplimentare referitoare la inventarul cazurilor de încălcare a securității datelor cu caracter personal pe care trebuie să îl țină prestatorii, deoarece articolul 4 din Directiva 2002/58/CE precizează în mod exhaustiv conținutul inventarului. Totuși, prestatorii pot face trimitere la prezentul regulament pentru a stabili formatul inventarului.
(11)
Toate autoritățile naționale competente trebuie să pună la dispoziția prestatorilor un mijloc electronic sigur prin care să notifice încălcările securității datelor cu caracter personal într-un format comun, bazat pe un standard precum XML, care să conțină informațiile prevăzute în anexa I, în limbile relevante, astfel încât să toți prestatorii din Uniune să poată urma o procedură de notificare similară, indiferent de locul în care se află sau în care a avut loc încălcarea securității datelor cu caracter personal. În acest sens, Comisia trebuie să faciliteze implementarea mijloacelor electronice sigure, convocând reuniuni cu autoritățile naționale competente dacă este necesar.
(12)
Atunci când se evaluează dacă o încălcare a securității datelor cu caracter personal ar putea afecta negativ datele cu caracter personal sau viața privată a unui abonat sau a unei persoane, ar trebui să se țină seama în special de natura și conținutul datelor cu caracter personal în cauză, în special în cazul în care este vorba despre informații financiare, cum ar fi datele privind cartea de credit și detaliile privind contul bancar, despre categoriile speciale de date menționate la articolul 8 alineatul (1) din Directiva 95/46/CE, precum și despre anumite date legate în mod specific de furnizarea de servicii de telefonie sau de internet, mai exact date legate de e-mail, date de localizare, fișiere jurnal, istorii de navigare pe internet și liste detaliate de apeluri.
(13)
În circumstanțe excepționale, prestatorului trebuie să i se permită să întârzie notificarea abonatului sau persoanei, dacă notificarea abonatului sau a persoanei ar putea periclita investigarea adecvată a încălcării securității datelor cu caracter personal. În acest context, circumstanțele excepționale pot include cercetări penale, precum și alte încălcări ale securității datelor cu caracter personal care nu constituie o infracțiune gravă, dar pentru care poate fi adecvat să se amâne notificarea. În orice caz, autorității naționale competente trebuie să îi revină sarcina de a decide, în fiecare caz și în funcție de circumstanțe, dacă își dă acordul pentru amânare sau solicită notificarea.
(14)
Prestatorii trebuie să dețină datele de contact ale abonaților lor, având în vedere relația contractuală directă dintre prestatori și abonați, însă este posibil ca astfel de informații să nu existe pentru alte persoane afectate negativ de încălcarea securității datelor cu caracter personal. Într-un astfel de caz, prestatorului trebuie să i se permită să notifice aceste persoane inițial prin anunțuri în mass-media națională sau regională de mare anvergură, de exemplu în ziare, acțiune urmată cât mai curând posibil de o notificare individuală, astfel cum se prevede în prezentul regulament. Prin urmare, prestatorul nu este obligat în mod specific să efectueze notificarea prin mass-media, ci mai degrabă este mandatat să acționeze în acest mod, dacă dorește, atunci când se află încă în procesul de identificare a tuturor persoanelor afectate.
(15)
Informarea cu privire la încălcarea securității trebuie să fie limitată la încălcare și să nu fie asociată cu informații despre un alt subiect. De exemplu, includerea într-o factură obișnuită a unor informații despre o încălcare a securității datelor cu caracter personal nu trebuie considerată un mijloc adecvat de notificare a unei încălcări a securității datelor cu caracter personal.
(16)
Prezentul regulament nu stabilește măsuri tehnologice de protecție specifice care să justifice o derogare de la obligația de notificare a abonaților sau a persoanelor cu privire la încălcările securității datelor cu caracter personal, deoarece aceste măsuri se pot modifica pe parcursul timpului, pe măsură ce progresează tehnologia. Totuși, Comisia ar trebui să fie în măsură să publice o listă orientativă a unor astfel de măsuri tehnologice de protecție specifice conforme cu practicile actuale.
(17)
Aplicarea criptării sau a hashing-ului nu trebuie considerată suficientă în sine pentru a le permite prestatorilor să pretindă, în termeni mai generali, că s-au conformat obligației generale de securitate stabilite la articolul 17 din Directiva 95/46/CE. În această privință, prestatorii trebuie, de asemenea, să pună în aplicare măsuri organizaționale și tehnice adecvate pentru a preveni, a depista și a bloca încălcarea securității datelor cu caracter personal. Prestatorii trebuie să ia în considerare orice risc rezidual care ar putea exista după implementarea controalelor, pentru a înțelege unde ar putea apărea încălcări ale securității datelor cu caracter personal.
(18)
Dacă prestatorul utilizează un alt prestator pentru a furniza o parte din serviciu, de exemplu în ceea ce privește facturarea sau funcțiile de gestionare, respectivul alt prestator, care nu are relații contractuale directe cu utilizatorul final, nu trebuie să fie obligat să emită notificări în cazul unei încălcări a securității datelor cu caracter personal. În schimb, partea terță trebuie să alerteze și să informeze prestatorul cu care are o relație contractuală directă. Această dispoziție trebuie aplicată, de asemenea, în contextul furnizării angro de servicii de comunicații electronice, context în care, în mod normal, prestatorul angro nu are o relație contractuală directă cu utilizatorul final.
(19)
Directiva 95/46/CE definește un cadru general pentru protecția datelor cu caracter personal în Uniunea Europeană. Comisia a prezentat o propunere de regulament al Parlamentului European și al Consiliului care să înlocuiască Directiva 95/46/CE (Regulamentul privind protecția datelor). Având la bază articolul 4 alineatul (3) din Directiva 2002/58/CE, propunerea de regulament privind protecția datelor ar introduce obligația de notificare a încălcărilor securității datelor cu caracter personal pentru toți controlorii de date. Prezentul regulament al Comisiei este pe deplin coerent cu această măsură propusă.
(20)
Propunerea de regulament privind protecția datelor cuprinde, de asemenea, un număr limitat de modificări tehnice ale Directivei 2002/58/CE, pentru a se ține cont de transformarea în regulament a Directivei 95/46/CE. Consecințele juridice semnificative ale noului regulament în ceea ce privește Directiva 2002/58/CE vor face obiectul unei analize a Comisiei.
(21)
Aplicarea prezentului regulament trebuie analizată la trei ani de la intrarea în vigoare, iar conținutul prezentului regulament trebuie revizuit prin prisma cadrului juridic aflat în vigoare la momentul respectiv, aceleași acțiuni fiind prevăzute în ceea ce privește propunerea de regulament privind protecția datelor. Revizuirea prezentului regulament trebuie să fie legată, atât cât este posibil, de orice viitoare revizuire a Directivei 2002/58/CE.
(22)
Aplicarea prezentului regulament poate fi evaluată, printre altele, pe baza oricărui tip de statistici realizate de autoritățile naționale competente privind încălcările securității datelor cu caracter personal care le sunt notificate. Aceste statistici pot include, de exemplu, informații privind numărul cazurilor de încălcare a securității datelor personale notificate autorității naționale competente, numărul cazurilor de încălcare a securității datelor cu caracter personal notificate abonatului sau persoanei, durata necesară pentru a soluționa încălcarea securității datelor cu caracter personal și eventualele măsuri tehnologice de protecție luate. Aceste statistici trebuie să furnizeze Comisiei și statelor membre informații statistice coerente și comparabile și nu trebuie să dezvăluie nici identitatea prestatorului care a efectuat notificarea, nici identitatea abonaților sau a persoanelor în cauză. De asemenea, Comisia poate organiza, în acest scop, întruniri periodice cu autoritățile naționale competente și cu alte părți interesate.
(23)
Măsurile prevăzute de prezentul regulament sunt conforme cu avizul Comitetului pentru comunicații,
ADOPTĂ PREZENTUL REGULAMENT:
Articolul 1
Domeniu de aplicare
Prezentul regulament se aplică notificării de către prestatorii de servicii de comunicații electronice disponibile publicului („prestatorul”) a încălcării securității datelor cu caracter personal.
Articolul 2
Notificarea autorității naționale competente
(1) Prestatorul notifică autorității naționale competente toate încălcările securității datelor cu caracter personal.
(2) Prestatorul notifică autorității naționale competente încălcarea datelor cu caracter personal nu mai târziu de 24 de ore după detectarea încălcării securității datelor cu caracter personal, atunci când acest lucru este fezabil.
În notificarea adresată autorității naționale competente, prestatorul trebuie să includă informațiile prevăzute în anexa I.
Se consideră că a fost depistată o încălcare a securității datelor cu caracter personal atunci când prestatorul de suficiente elemente care să arate că a avut loc un incident de securitate care a dus la compromiterea datelor cu caracter personal, pentru a efectua o notificare clară, în conformitate cu prezentul regulament.
(3) În cazul în care nu sunt disponibile toate informațiile prevăzute în anexa I și este necesară investigarea mai amănunțită a încălcării securității datelor cu caracter personal, prestatorului i se permite să efectueze o notificare inițială către autoritatea națională competentă nu mai târziu de 24 de ore după detectarea încălcării securității datelor cu caracter personal. Această notificare inițială a autorității naționale competente trebuie să cuprindă informațiile prevăzute în secțiunea 1 din anexa I. Prestatorul efectuează o a doua notificare către autoritatea națională competentă cât mai curând posibil și cel mai târziu în termen de trei zile de la notificarea inițială. Această a doua notificare include informațiile prevăzute în secțiunea 2 din anexa I și, dacă este necesar, actualizează informațiile deja furnizate.
În cazul în care, în ciuda investigațiilor sale, nu poate furniza toate informațiile în termen de trei zile de la notificarea inițială, prestatorul notifică toate informațiile de care dispune în acest interval de timp și prezintă autorității naționale competente o justificare argumentată pentru notificarea tardivă a informațiilor rămase. Cât mai curând posibil, prestatorul notifică autorității naționale competente informațiile rămase și, dacă este necesar, actualizează informațiile deja furnizate.
(4) Autoritatea națională competentă pune la dispoziția tuturor prestatorilor stabiliți în statul membru în cauză un mijloc electronic sigur de notificare a încălcării securității datelor cu caracter personal și informații privind procedurile de acces și de utilizare. Atunci când este necesar, Comisia convoacă reuniuni cu autoritățile naționale competente pentru a facilita aplicarea acestei dispoziții.
(5) Dacă încălcarea securității datelor cu caracter personal afectează abonați sau persoane din alte state membre decât cel al autorității naționale competente căreia i-a fost notificată încălcarea securității datelor cu caracter personal, autoritatea națională competentă informează celelalte autorități naționale în cauză.
Pentru a facilita aplicarea acestei dispoziții, Comisia creează și menține o listă cu autoritățile naționale competente și punctele de contact corespunzătoare.
Articolul 3
Notificarea abonatului sau a persoanei
(1) Atunci când încălcarea securității datelor cu caracter personal ar putea afecta negativ datele cu caracter personal sau viața privată a unui abonat sau a unei persoane, prestatorul trebuie să emită notificarea menționată la articolul 2 și, în plus, să notifice respectiva încălcare abonatului sau persoanei în cauză.
(2) Riscul ca o încălcare a securității datelor cu caracter personal să afecteze negativ datele cu caracter personal sau viața privată a unui abonat sau a unei persoane trebuie evaluat luând în considerare, în special, următoarele circumstanțe:
(a)
natura și conținutul datelor cu caracter personal în cauză, în special în cazul în care este vorba despre informații financiare, despre categoriile speciale de date menționate la articolul 8 alineatul (1) din Directiva 95/46/CE, precum și despre date de localizare, fișiere jurnal, istorii de navigare pe internet, date legate de e-mail și liste detaliate de apeluri;
(b)
consecințele probabile ale încălcării securității datelor cu caracter personal pentru abonatul sau persoana în cauză, în special în cazul în care încălcarea ar putea duce la furtul sau fraudarea identității, vătămare corporală, stres psihologic, umilire sau compromiterea reputației; precum și
(c)
circumstanțele încălcării securității datelor cu caracter personal, în special dacă datele au fost furate sau dacă prestatorul știe că datele sunt în posesia unei părți terțe neautorizate.
(3) Notificarea abonatului sau a persoanei în cauză se face cât mai repede posibil după detectarea încălcării securității datelor cu caracter personal, în conformitate cu articolul 2 alineatul (2) al treilea paragraf. Acest lucru nu depinde de notificarea încălcării securității datelor cu caracter personal către autoritatea națională competentă, menționată la articolul 2.
(4) În notificarea adresată abonatului sau persoanei, prestatorul trebuie să includă informațiile prevăzute în anexa II. Notificarea adresată abonatului sau persoanei trebuie formulată într-un limbaj clar și ușor de înțeles. Prestatorul nu utilizează notificarea ca pe o oportunitate de a promova servicii noi sau suplimentare sau pentru a le face reclamă acestora.
(5) În cazuri excepționale, dacă notificarea abonatului sau a persoanei ar putea periclita investigarea adecvată a încălcării securității datelor cu caracter personal, prestatorului i se permite, după obținerea acordului autorității naționale competente, să amâne notificarea abonatului sau a persoanei până când autoritatea națională competentă consideră că este posibilă notificarea încălcării securității datelor cu caracter personal în conformitate cu prezentul articol.
(6) Notificarea de către prestator a abonatului sau a persoanei privind încălcarea securității datelor cu caracter personal se face printr-un mijloc de comunicare care asigură primirea rapidă a informațiilor și care este securizat în mod corespunzător, conform celor mai recente standarde tehnologice. Informarea cu privire la încălcarea securității trebuie să fie limitată la încălcare și să nu fie asociată cu informații despre un alt subiect.
(7) Dacă, în ciuda faptului că a depus eforturi rezonabile, prestatorul care are o relație contractuală directă cu utilizatorul final nu poate identifica, în intervalul de timp menționat la alineatul (3), toate persoanele care riscă să fie afectate negativ de încălcarea securității datelor cu caracter personal, prestatorul poate notifica persoanele respective, în acest interval de timp, prin anunțuri în mass-media regională sau națională de mare anvergură din statul membru în cauză. Aceste anunțuri trebuie să conțină informațiile prevăzute în anexa II, în mod succint dacă este necesar. În acest caz, prestatorul continuă să depună toate eforturile rezonabile pentru a identifica persoanele respective și pentru a le notifica, în cel mai scurt timp posibil, informațiile prevăzute în anexa II.
Articolul 4
Măsuri tehnologice de protecție
(1) Prin derogare de la articolul 3 alineatul (1), notificarea încălcării securității datelor cu caracter personal către abonatul sau persoana în cauză nu este necesară dacă prestatorul a demonstrat autorității naționale competente, într-un mod pe care aceasta îl consideră satisfăcător, că a aplicat măsuri tehnologice de protecție adecvate și că respectivele măsuri au fost aplicate datelor afectate de încălcarea securității. Astfel de măsuri tehnologice de protecție asigură faptul că datele devin neinteligibile pentru persoanele care nu sunt autorizate să le acceseze.
(2) Datele sunt considerate neinteligibile dacă:
(a)
au fost criptate în mod sigur cu un algoritm standardizat, iar cheia folosită pentru decriptarea datelor nu a fost compromisă prin nicio încălcare a securității și a fost generată în așa fel încât să nu poată fi identificată prin mijloacele tehnologice disponibile de nicio persoană care nu este autorizată să o acceseze; sau
(b)
au fost înlocuite cu valoarea algoritmului de criptare (hash) calculată cu o funcție hash standardizată cu cheie criptografică, cheia folosită pentru criptarea (hashing-ul) datelor nu a fost compromisă prin nicio încălcare a securității și a fost generată în așa fel încât să nu poată fi identificată prin mijloacele tehnologice disponibile de nicio persoană care nu este autorizată să o acceseze.
(3) După consultarea autorităților naționale competente prin intermediul Grupului de lucru instituit prin articolul 29, a Agenției Europene pentru Securitatea Rețelelor Informatice și a Datelor și a Autorității Europene pentru Protecția Datelor, Comisia poate publica o listă orientativă a măsurilor tehnologice de protecție adecvate menționate la alineatul (1), în conformitate cu practicile actuale.
Articolul 5
Utilizarea unui alt prestator
Dacă un alt prestator este contractat pentru a furniza o parte a serviciului de comunicații electronice fără a avea o relație contractuală directă cu abonații, acest alt prestator informează imediat prestatorul care l-a contractat în cazul în care are loc o încălcare a securității datelor cu caracter personal.
Articolul 6
Raportare și revizuire
În termen de trei ani de la intrarea în vigoare a prezentului regulament, Comisia prezintă un raport privind punerea în aplicare a prezentului regulament, precum și privind eficacitatea și impactul acestuia asupra prestatorilor, a abonaților și a persoanelor fizice. Pe baza acestui raport, Comisia revizuiește prezentul regulament.
Articolul 7
Intrare în vigoare
Prezentul regulament intră în vigoare la 25 august 2013.
Prezentul regulament este obligatoriu în toate elementele sale și se aplică direct în toate statele membre.
Adoptat la Bruxelles, 24 iunie 2013.