РЕГЛАМЕНТ (ЕС) № 611/2013 НА КОМИСИЯТА
от 24 юни 2013 година
относно мерките, приложими за съобщаването на нарушения на сигурността на личните данни съгласно Директива 2002/58/ЕО на Европейския парламент и на Съвета за правото на неприкосновеност на личния живот и електронни комуникации
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (1), и по-специално член 4, параграф 5 от нея,
след като се консултира с Европейската агенция за мрежова и информационна сигурност (ENISA),
след като се консултира с Работната група за защита на лицата по отношение на обработката на лични данни, която е сформирана съгласно член 29 от Директива 95/46/ЕО на Европейския парламент и Съвета от 24 октомври 1995 г. за защита на физическите лица по отношение на обработката на лични данни и за свободното движение на такива данни (2) (Работната група по член 29),
след като се консултира с Европейския надзорен орган по защита на данните (ЕНОЗД),
като има предвид, че:
(1)
В Директива 2002/58/ЕО се предвижда да бъдат хармонизирани националните разпоредби, необходими за осигуряване на еднаква степен на защита на основните права и свободи, и по-специално правото на неприкосновеност на личния живот и правото на поверителност по отношение на обработката на лични данни в сектора на електронните комуникации, както и да бъде осигурено свободно движение на такива данни и оборудване за електронни комуникации и услуги в Съюза.
(2)
Съгласно член 4 от Директива 2002/58/ЕО доставчиците на общественодостъпни електронни съобщителни услуги са задължени да уведомяват компетентните национални органи, а в определени случаи и засегнатите абонати и лица, за нарушенията на сигурността на личните данни. Нарушенията на сигурността на лични данни са дефинирани в член 2, буква и) от Директива 2002/58/ЕО като нарушения на сигурността, които водят до случайно или незаконно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, предавани, съхранявани или обработвани по друг начин във връзка с предоставянето на общественодостъпна електронна съобщителна услуга в Общността.
(3)
С цел да се осигури последователност при изпълнението на мерките, посочени в член 4, параграфи 2, 3 и 4 от Директива 2002/58/ЕО, член 4, параграф 5 от нея оправомощава Комисията да приема технически мерки за изпълнение във връзка с обстоятелствата, формата и процедурите, приложими за изискванията за информация и уведомяване, посочени в споменатия член.
(4)
Различните национални изисквания в това отношение могат да доведат до правна несигурност, по-сложни и тромави процедури и значителни административни разходи за доставчиците на услуги, извършващи трансгранична дейност. Поради това Комисията счита за необходимо да приеме такива технически мерки за изпълнение.
(5)
Настоящият регламент се ограничава със съобщаването на нарушения на сигурността на лични данни и следователно не определя технически мерки за изпълнение във връзка с член 4, параграф 2 от Директива 2002/58/ЕО относно информиране на абонатите, в случай че има конкретна опасност от нарушаване на сигурността на мрежата.
(6)
От член 4, параграф 3, първа алинея от Директива 2002/58/ЕО следва, че доставчиците трябва да уведомяват компетентния национален орган за всички нарушения на сигурността на лични данни. Следователно на доставчика не следва да се оставя свобода за вземане на решение дали да уведоми компетентния национален орган. Това обаче не следва да възпрепятства въпросния компетентен национален орган да приоритизира разследването на някои нарушения по начин, който той счита за подходящ в съответствие с приложимото законодателство, и да предприема необходимите мерки за предотвратяване на докладване на недостатъчно или прекалено много нарушения във връзка с лични данни.
(7)
Целесъобразно е да се предвиди система за уведомяване на компетентния национален орган за нарушенията на сигурността на лични данни, която се състои, в случаите, в които са изпълнени определени условия, от различни етапи, за всеки от които важат определени срокове. Тази система е предназначена да гарантира, че компетентният национален орган бива информиран възможно най-рано и във възможно най-пълна степен, без обаче да бъде възпрепятстван доставчикът в усилията му да разследва нарушението и да взема необходимите мерки за ограничаване и отстраняване на последствията от него.
(8)
За целите на настоящия регламент, за да се счита, че е било открито нарушение на сигурността на лични данни, не са достатъчни нито обикновеното подозрение, че е имало нарушение на сигурността на лични данни, нито простото откриване на инцидент, без да има налице достатъчно информация, въпреки всички възможни усилия на доставчика да осигури такава. В тази връзка особено внимание следва да се обърне на наличието на информацията, посочена в приложение I.
(9)
В контекста на прилагането на настоящия регламент в случай на нарушаване на сигурността на лични данни с трансгранично измерение съответните компетентни национални органи следва да си сътрудничат.
(10)
Настоящият регламент не предвижда допълнителна спецификация за регистъра на нарушенията на сигурността на лични данни, който трябва да се поддържа от доставчиците, като се има предвид, че в член 4 от Директива 2002/58/ЕО неговото съдържание се определя изчерпателно. Доставчиците обаче могат да се позовават на настоящия регламент, за да се определи форматът на регистъра.
(11)
Всички компетентни национални органи следва да осигурят сигурни електронни средства, така че доставчиците да съобщават за нарушения на сигурността на личните данни в общ формат (основан на стандарт като XML), съдържащ информацията, посочена в приложение I, на съответните езици, така че да се даде възможност на всички доставчици в рамките на Съюза да следват сходна процедура за съобщаване, независимо от това къде се намират или къде е било извършено нарушаването на сигурността на личните данни. В тази връзка Комисията следва да улеснява въвеждането на сигурни електронни средства, като свиква заседания с компетентните национални органи, когато това е необходимо.
(12)
При оценяване дали дадено нарушаване на сигурността на личните данни има вероятност да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или лице следва да се вземе предвид по-специално естеството и съдържанието на съответните лични данни, по-специално когато данните касаят финансова информация, като например данни за кредитни карти и подробности за банкови сметки; специалните категории от данни, посочени в член 8, параграф 1 от Директива 95/46/ЕО; както и някои данни, конкретно свързани с предоставянето на телефонни или интернет услуги, т.е. данни за електронната поща, данни за местоположението, файлове със статистика за интернет връзките, история на посетените уебстраници и списъци с повиквания, указани по позиции.
(13)
При изключителни обстоятелства, когато уведомяването на абоната или лицето може да изложи на риск правилното разследване на нарушаването на сигурността на личните данни, на доставчика следва да бъде разрешено да забавя уведомяването на абоната или лицето. В този контекст извънредни обстоятелства могат да включват криминални разследвания, както и други нарушения на сигурността на лични данни, които не са равностойни на сериозно престъпление, но за които може да е целесъобразно уведомяването да бъде отложено. Във всеки случай националният компетентен орган следва да е този, който преценява за всеки отделен случай и в светлината на обстоятелствата дали да даде съгласие за отлагане или да изиска уведомяване.
(14)
Макар че доставчиците следва да имат данни за контакт със своите абонати предвид преките им договорни отношения, за други лица, засегнати от нарушаването на сигурността на личните данни може да няма такава информация. В такъв случай следва да бъде разрешено доставчикът да уведоми въпросните лица първоначално посредством съобщения в основните национални или регионални средства за масова информация, като например вестници, които веднага щом бъде възможно трябва да бъдат последвани от индивидуално уведомяване, както е предвидено в настоящия регламент. Доставчикът следователно не е длъжен като такъв да уведомява чрез средствата за масова информация, а по-скоро е упълномощен да действа по този начин, ако пожелае, когато все още е в процес на определяне на всички лица, които са засегнати.
(15)
Информацията за нарушението следва да бъде съсредоточена върху нарушението, а не да бъде свързана с информация по друга тема. Така например включването на информация за нарушаване на сигурността на лични данни в редовна фактура не следва да се счита за адекватен начин за уведомяване за нарушаване на сигурността на лични данни.
(16)
В настоящия регламент не се определят конкретни технически мерки за защита, които да оправдават дерогация от задължението за уведомяване на абонатите и лицата за нарушаване на сигурността на личните данни, тъй като тези мерки могат да търпят промени с течение на времето и развитието на технологиите. Комисията обаче следва да бъде в състояние да публикува примерен списък на конкретни такива технологични мерки за защита в съответствие с текущите практики.
(17)
Прилагането на криптиране или хеширане не следва да се смята за достатъчно само по себе си, за да позволи доставчиците да претендират в по-широк план, че са изпълнили общото задължение за сигурност, посочено в член 17 от Директива 95/46/ЕО. В тази връзка доставчиците следва също така да прилагат подходящи организационни и технически мерки за предотвратяване, откриване и блокиране на нарушения на сигурността на личните данни. Доставчиците следва да вземат предвид всеки остатъчен риск, който може да съществува, след като са били извършени проверки, с цел да разберат къде потенциално може да има нарушения на сигурността на личните данни.
(18)
Когато доставчикът използва друг доставчик за извършването на част от услугата, например във връзка с фактуриране или управленски функции, в случай на нарушение на сигурността на лични данни този друг доставчик, който няма преки договорни отношения с крайния потребител, не следва да бъде задължен да издава уведомления. Вместо това той следва да предупреди и информира за това доставчика, с който има преки договорни взаимоотношения. Това следва да се прилага и в контекста на предоставянето на едро на електронни съобщителни услуги, когато обикновено доставчикът на едро няма преки договорни отношения с крайния потребител.
(19)
В Директива 95/46/ЕО се определя обща рамка за защита на личните данни в Европейския съюз. Комисията представи предложение за регламент на Европейския парламент и на Съвета, който да замени Директива 95/46/ЕО (Директивата за защитата на данните). Предложеният регламент за защитата на данните ще въведе задължение за всички администратори на лични данни да уведомяват за нарушаване на сигурността на личните данни, основавайки се на член 4, параграф 3 от Директива 2002/58/ЕО. Настоящият регламент на Комисията е напълно съвместим с тази предложена мярка.
(20)
Предложеният регламент за защитата на данните също така прави ограничен брой технически изменения в Директива 2002/58/ЕО, за да се вземе предвид преобразуването на Директива 95/46/ЕО в регламент. Съществените правни последици от новия регламент за Директива 2002/58/ЕО ще бъдат обект на преразглеждане от страна на Комисията.
(21)
Прилагането на настоящия регламент следва да бъде преразгледано три години след влизането му в сила, а неговото съдържание - преразгледано в светлината на действащата нормативна уредба към горепосочения момент, включително в светлината на предложения регламент за защитата на данните. Преразглеждането на настоящия регламент следва да бъдат свързано, когато това е възможно, с евентуално бъдещо преразглеждане на Директива 2002/58/ЕО.
(22)
Прилагането на настоящия регламент може да бъде оценено въз основа, inter alia, на всяка статистика, водена от националните компетентни органи, за съобщените нарушения на сигурността на лични данни. Тези статистически данни могат да включват например информация относно броя на нарушенията на сигурността на лични данни, съобщени на националния компетентен орган, броя на нарушенията на сигурността на лични данни, съобщени на абоната или лицето, времето, необходимо за разрешаването на проблема с нарушението на сигурността на лични данни, както и дали са били взети технически мерки за защита. Тези статистически данни следва да осигурят на Комисията и на държавите членки последователни и сравними статистически данни и не трябва да разкриват нито самоличността на уведомяващия доставчик, нито тази на засегнатите абонати или лица. За тази цел Комисията може също така да провежда редовни срещи с националните компетентни органи и други заинтересовани страни.
(23)
Мерките, предвидени в настоящия регламент, са в съответствие със становището на Комитета за регулиране на съобщенията,
ПРИЕ НАСТОЯЩИЯ РЕГЛАМЕНТ:
Член 1
Обхват
Настоящият регламент се прилага за съобщаването на нарушения на сигурността на лични данни от страна на доставчици на публичнодостъпни електронни съобщителни услуги („доставчикът“).
Член 2
Уведомяване на компетентните национални органи
1. Доставчикът уведомява националния компетентен орган за всички нарушения на сигурността на личните данни.
2. Доставчикът уведомява националния компетентен орган за нарушението на сигурността на лични данни не по-късно от 24 часа след откриване на нарушението на сигурността на лични данни, когато това е възможно.
Доставчикът трябва да включи в своето уведомление до националния компетентен орган информацията, посочена в приложение I.
Счита се, че е открито нарушение на сигурността на лични данни, когато доставчикът е получил достатъчно информация, че е имало произшествие, свързано със сигурността, довело до компрометиране на лични данни, за да направи той съдържателно уведомление, както се изисква съгласно настоящия регламент.
3. Когато не е налице цялата информация, посочена в приложение I, и се изисква допълнително разследване на нарушението на сигурността на лични данни, на доставчика следва да бъде разрешено да изпрати първоначалното уведомление на националния компетентен орган не по-късно от 24 часа след откриване на нарушението на сигурността на лични данни. Това първоначално уведомяване на националния компетентен орган включва информацията, посочена в раздел 1 от приложение I. Доставчикът изпраща второ уведомление на националния компетентен орган възможно най-скоро и най-късно в рамките на три дни след първоначалното уведомяване. Това второ уведомление включва информацията, посочена в раздел 2 от приложение I, и когато е необходимо, актуализира вече предоставената информация.
Когато доставчикът, въпреки разследванията си, не е в състояние да предостави цялата информация в тридневен срок от първоначалното уведомяване, той съобщава толкова информация, с колкото разполага за този срок, и предоставя на националния компетентен орган мотивирана обосновка за закъснялото съобщаване на останалата информация. Доставчикът съобщава останалата информация на националния компетентен орган и когато е необходимо, актуализира вече предоставената информация във възможно най-кратък срок.
4. Националният компетентен орган предоставя на всички доставчици, установени в съответната държава членка, сигурни електронни средства за съобщаване на нарушения на сигурността на лични данни и на информация относно процедурите за достъп до тях и използването им. Когато е необходимо, Комисията свиква заседания с компетентните национални органи, за да улесни прилагането на тази разпоредба.
5. Когато нарушаването на сигурността на личните данни засяга абонати или лица от държави членки, различни от тази на националния компетентен орган, на който е било съобщено нарушаване на сигурността на личните данни, националният компетентен орган информира другите съответни национални органи.
За да улесни прилагането на тази разпоредба, Комисията създава и поддържа списък на националните компетентни органи и съответните звена за контакт.
Член 3
Уведомяване на абоната или лицето
1. Когато има вероятност нарушението на сигурността на личните данни да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или отделно лице, освен уведомяването, посочено в член 2, доставчикът също така уведомява засегнатия абонат или лице.
2. Дали дадено нарушаване на сигурността на личните данни има вероятност да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или отделно лице се преценява, като се вземат предвид по-специално следните обстоятелства:
а)
естеството и съдържанието на съответните лични данни, по-специално когато данните се отнасят за финансова информация, специалните категории от данни, посочени в член 8, параграф 1 от Директива 95/46/ЕО, както и данни за местоположението, файлове със статистика за интернет връзките, история на посетените уебстраници, данни за електронната поща и списъци с повиквания, указани по позиции;
б)
вероятните последици от нарушаването на сигурността на личните данни за засегнатия абонат или лице, по специално когато нарушението може да доведе до кражба на самоличност или измама с фалшива самоличност, физическа вреда, психично разстройство, накърняване на достойнството или на репутацията; както и
в)
обстоятелствата на нарушаването на сигурността на личните данни, по-специално когато данните са били откраднати или когато доставчикът знае, че данните са в притежание на неупълномощена трета страна.
3. Уведомяването на абоната или лицето се извършва без ненужно забавяне след откриването на нарушението на сигурността на лични данни, както е определено в член 2, параграф 2, трета алинея. То не зависи от уведомяването на националния компетентен орган за нарушаване на сигурността на лични данни, посочено в член 2.
4. Доставчикът трябва да включи в своето съобщение до абоната или лицето информацията, посочена в приложение II. Уведомяването на абоната или лицето се извършва на ясен и лесноразбираем език. Доставчикът не трябва да използва уведомяването като възможност за популяризиране или реклама на нови или допълнителни услуги.
5. При изключителни обстоятелства, когато уведомяването на абоната или лицето може да изложи на риск правилното разследване на нарушението на сигурността на лични данни, на доставчика се разрешава, след като е получил съгласие от страна на националния компетентен орган, да забави уведомяването на абоната или лицето, докато компетентният национален орган счете, че е възможно да уведоми за нарушаването на сигурността на лични данни в съответствие с настоящия член.
6. Доставчикът уведомява засегнатия абонат или лице за нарушаването на сигурността на личните данни чрез средства за комуникация, гарантиращи незабавното получаване на информация и чиято сигурност е защитена по подходящ начин в съответствие със съвременното техническо ниво. Информацията за нарушението трябва да бъде съсредоточена върху нарушението, а не да бъде свързана с информация по друга тема.
7. Когато доставчикът, който има преки договорни отношения с крайния потребител, независимо от положените целесъобразни усилия не е в състояние в рамките на срока, посочен в параграф 3, да определи всички лица, които има вероятност да са засегнати по неблагоприятен начин от нарушението на сигурността на лични данни, той може да уведоми въпросните лица посредством обявления в основните национални или регионални медии в съответните държави членки в рамките на посочения срок. Тези обявления следва да съдържат информацията, посочена в приложение II, и когато е необходимо - в сбита форма. В такъв случай доставчикът трябва да продължи да полага всички целесъобразни усилия да определи посочените лица и да им съобщи информацията, посочена в приложение II, във възможно най-кратък срок.
Член 4
Технически мерки за защита
1. Чрез дерогация от член 3, параграф 1 не се изисква уведомяване на засегнат абонат или отделно засегнато лице за нарушение на сигурността на лични данни, ако доставчикът е доказал в удовлетворителна степен пред националния компетентен орган, че е взел подходящи технически мерки за защита и че тези мерки са приложени за данните, засегнати от нарушаването на сигурността. Такива технически мерки за защита трябва да правят данните неразбираеми за всяко лице, което не е упълномощено за достъп до тях.
2. Данните се разглеждат като неразбираеми, ако:
а)
са сигурно шифровани със стандартизиран алгоритъм, като ключът, използван за дешифриране на данните, не е бил разкрит при нарушение на сигурността, и ключът, използван за дешифриране на данните, е генериран така, че да не може да бъде открит с наличните технически средства от което и да било лице, което не е упълномощено за достъп до ключа; или
б)
са заменени с тяхната хеширана стойност, изчислена със стандартизирана шифроваща хеш-функция с ключ, като ключът, използван за хеширане на данните, не е бил разкрит при нарушение на сигурността, и ключът, използван за хеширане на данните, е генериран така, че да не може да бъде открит с наличните технически средства от което и да било лице, което не е упълномощено за достъп до ключа.
3. В съответствие с текущите практики, след консултация с компетентните национални органи посредством Работната група по член 29, с Европейската агенция за мрежова и информационна сигурност и с Европейския надзорен орган по защита на данните, Комисията може да публикува ориентировъчен списък с подходящи технически мерки за защита, споменати в параграф 1.
Член 5
Използване на друг доставчик
Когато се използва друг доставчик за доставянето на част от електронната съобщителна услуга без преки договорни отношения с абонатите, в случай на нарушение, свързано с личните данни, този друг доставчик незабавно уведомява доставчика, който го е ангажирал.
Член 6
Докладване и преразглеждане
В рамките на три години от влизането в сила на настоящия регламент Комисията следва да представи доклад за прилагането на настоящия регламент, неговата ефективност и въздействието му върху доставчиците, абонатите и физическите лица. Въз основа на този доклад Комисията преразглежда настоящия регламент.
Член 7
Влизане в сила
Настоящият регламент влиза в сила на 25 август 2013 г.
Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави членки.
Съставено в Брюксел на 24 юни 2013 година.
KOMISSION ASETUS (EU) N:o 611/2013,
annettu 24 päivänä kesäkuuta 2013,
henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla annetun Euroopan parlamentin ja neuvoston direktiivin 2002/58/EY mukaisten henkilötietojen tietoturvaloukkausten ilmoittamiseen sovellettavista toimenpiteistä
EUROOPAN KOMISSIO, joka
ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,
ottaa huomioon henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla 12 päivänä heinäkuuta 2002 annetun Euroopan parlamentin ja neuvoston direktiivin 2002/58/EY (1) (sähköisen viestinnän tietosuojadirektiivi)ja erityisesti sen 4 artiklan 5 kohdan,
on kuullut Euroopan verkko- ja tietoturvavirastoa (ENISA),
on kuullut yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (2) 29 artiklalla perustettua tietosuojatyöryhmää (artikla 29 -työryhmä),
on kuullut Euroopan tietosuojavaltuutettua,
sekä katsoo seuraavaa:
(1)
Direktiivissä 2002/58/EY säädetään sellaisten kansallisten säännösten yhdenmukaistamisesta, joita tarvitaan samantasoisen perusoikeuksien ja -vapauksien, erityisesti yksityisyyttä ja luottamuksellisuutta koskevan oikeuden, suojan varmistamiseksi henkilötietojen käsittelyssä sähköisen viestinnän alalla sekä tällaisten tietojen ja sähköisten viestintälaitteiden ja -palvelujen vapaan liikkuvuuden varmistamiseksi unionissa.
(2)
Direktiivin 2002/58/EY 4 artiklan mukaan yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajien on ilmoitettava henkilötietojen tietoturvaloukkauksista toimivaltaisille kansallisille viranomaisille ja eräissä tapauksissa myös niiden kohteeksi joutuneille tilaajille ja henkilöille. Henkilötietojen tietoturvaloukkaukset määritellään direktiivin 2002/58/EY 2 artiklan i alakohdassa tietoturvaloukkauksiksi, jotka johtavat yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoamisen yhteydessä unionissa siirrettyjen, tallennettujen tai muutoin käsiteltyjen henkilötietojen vahingossa tapahtuvaan tai laittomaan tuhoamiseen, häviämiseen, muuttamiseen, luvattomaan luovuttamiseen tai käyttöön antamiseen.
(3)
Direktiivin 2002/58/EY 4 artiklan 2, 3 ja 4 kohdassa tarkoitettujen toimenpiteiden yhdenmukaisen toteuttamisen varmistamiseksi komissio valtuutetaan sen 4 artiklan 5 kohdassa hyväksymään teknisiä täytäntöönpanotoimenpiteitä, jotka koskevat kyseisessä artiklassa tarkoitettuihin tiedotus- ja ilmoitusvaatimuksiin sovellettavia olosuhteita, muotoa ja menettelyjä.
(4)
Toisistaan poikkeavat kansalliset vaatimukset voivat tässä yhteydessä aiheuttaa oikeudellista epävarmuutta, monimutkaisempia ja raskaampia menettelyjä ja huomattavia hallinnollisia kustannuksia rajojen yli toimiville palveluntarjoajille. Näistä syistä komissio katsoo tarpeelliseksi hyväksyä tällaisia teknisiä täytäntöönpanotoimenpiteitä.
(5)
Tämä asetus rajoittuu henkilötietojen tietoturvaloukkauksista ilmoittamiseen, eikä siinä näin ollen vahvisteta direktiivin 2002/58/EY 4 artiklan 2 kohtaan liittyviä teknisiä täytäntöönpanotoimenpiteitä, jotka koskevat tilaajille ilmoittamista verkon turvallisuuteen kohdistuvista erityisistä riskeistä.
(6)
Direktiivin 2002/58/EY 4 artiklan 3 kohdan ensimmäisestä alakohdasta seuraa, että palveluntarjoajien olisi ilmoitettava toimivaltaiselle kansalliselle viranomaiselle kaikista henkilötietojen tietoturvaloukkauksista. Näin ollen päätöstä siitä, ilmoitetaanko henkilötietojen tietoturvaloukkauksesta toimivaltaiselle kansalliselle viranomaiselle, ei saisi jättää palveluntarjoajan omaan harkintavaltaan. Tämä ei kuitenkaan saisi estää kyseistä toimivaltaista kansallista viranomaista priorisoimasta tiettyjen tietoturvaloukkausten tutkintaa tarpeelliseksi katsomallaan tavalla sovellettavan lainsäädännön mukaisesti ja toteuttamasta tarvittavia toimia henkilötietojen tietoturvaloukkauksien yli- tai aliraportoinnin välttämiseksi.
(7)
Henkilötietojen tietoturvaloukkauksista toimivaltaiselle kansalliselle viranomaiselle tehtäviä ilmoituksia varten on tarkoituksenmukaista säätää järjestelmästä, joka muodostuu tietyin edellytyksin eri vaiheista, joista kullakin on tietty aikaraja. Tämän järjestelmän tarkoituksena on varmistaa, että toimivaltaiselle kansalliselle viranomaiselle ilmoitetaan tietoturvaloukkauksesta mahdollisimman aikaisin ja mahdollisimman tyhjentävästi estämättä kuitenkaan tarpeettomasti palveluntarjoajaa tutkimasta tietoturvaloukkausta ja toteuttamasta tarpeellisia toimenpiteitä tietoturvaloukkauksen rajoittamiseksi ja sen seurausten korjaamiseksi.
(8)
Pelkkä epäily henkilötietojen tietoturvaloukkauksen tapahtumisesta tai pelkkä tietoturvapoikkeaman havaitseminen ilman, että palveluntarjoajan yrityksistä huolimatta käytettävissä on riittäviä tietoja, ei ole riittävä syy katsoa, että tässä asetuksessa tarkoitettu tietoturvaloukkaus on havaittu. Erityistä huomiota olisi tässä yhteydessä kiinnitettävä liitteessä I tarkoitettujen tietojen saatavuuteen.
(9)
Asianomaisten toimivaltaisten kansallisten viranomaisten olisi tämän asetuksen soveltamisen yhteydessä tehtävä yhteistyötä sellaisissa tapauksissa, joissa henkilötietojen tietoturvaloukkauksella on rajat ylittävä ulottuvuus.
(10)
Tässä asetuksessa ei määritellä tarkemmin henkilötietojen tietoturvaloukkauksien luetteloa, jota palveluntarjoajien on pidettävä yllä, koska sen sisältö määritellään tyhjentävästi direktiivin 2002/58/EY 4 artiklassa. Palveluntarjoajat voivat kuitenkin käyttää tätä asetusta määritellessään luettelon muotoa.
(11)
Kaikkien toimivaltaisten kansallisten viranomaisten olisi annettava palveluntarjoajien käyttöön suojattu sähköinen menetelmä henkilötietojen tietoturvaloukkauksista ilmoittamiseen noudattaen yhteistä muotoa, joka perustuu standardiin, kuten XML:ään, ja joka sisältää liitteessä I mainitut tiedot asianomaisilla kielillä, jotta kaikki palveluntarjoajat unionissa voivat noudattaa samanlaista ilmoitusmenettelyä riippumatta siitä, minne ne ovat sijoittautuneet tai missä henkilötietojen tietoturvaloukkaus on tapahtunut. Tähän liittyen komission olisi helpotettava suojatun sähköisen menetelmän käyttöönottoa järjestämällä tarvittaessa kokouksia toimivaltaisten kansallisten viranomaisten kanssa.
(12)
Arvioitaessa, onko henkilötietojen tietoturvaloukkauksella todennäköisesti haittavaikutuksia tilaajan tai henkilön henkilötiedoille tai yksityisyydelle, olisi otettava huomioon erityisesti kyseisten henkilötietojen luonne ja sisältö, varsinkin jos tiedot sisältävät taloudellista informaatiota, kuten luottokortti- ja pankkitilitietoja, direktiivin 95/46/EY 8 artiklan 1 kohdassa tarkoitettuihin erityisiin luokkiin kuuluvia tietoja ja tiettyjä tietoja, jotka liittyvät erityisesti puhelin- tai internetpalvelujen tarjoamiseen, kuten sähköpostitiedot, paikannustiedot, internetin lokitiedostot, www-selaushistoriat ja puheluerittelyt.
(13)
Poikkeuksellisissa olosuhteissa palveluntarjoajan olisi voitava lykätä tilaajalle tai henkilölle annettavaa ilmoitusta, jos tilaajalle tai yksityishenkilölle ilmoittaminen voi vaarantaa henkilötietojen tietoturvaloukkauksen asianmukaisen tutkimisen. Tässä yhteydessä poikkeuksellisiin olosuhteisiin voivat kuulua myös rikostutkinta sekä muut sellaiset henkilötietojen tietoturvaloukkaukset, jotka eivät ole vakavia rikoksia mutta joiden osalta voi olla tarkoituksenmukaista lykätä ilmoittamista. Toimivaltaisen kansallisen viranomaisen olisi joka tapauksessa arvioitava kunkin tapauksen olosuhteet huomioon ottaen, hyväksytäänkö lykkääminen vai vaaditaanko ilmoitusta.
(14)
Palveluntarjoajilla olisi oltava tilaajiensa yhteystiedot suoran sopimussuhteen vuoksi, mutta palveluntarjoajilla ei välttämättä ole näitä tietoja muista henkilöistä, joihin henkilötietojen tietoturvaloukkaus on vaikuttanut haitallisesti. Tällöin palveluntarjoajan olisi voitava aluksi ilmoittaa näille henkilöille suurimmissa kansallisissa tai alueellisissa tiedotusvälineissä, kuten sanomalehdissä, julkaistavilla ilmoituksilla, minkä jälkeen sen olisi annettava mahdollisimman pian henkilökohtainen ilmoitus siten kuin tässä asetuksessa säädetään. Palveluntarjoajalla ei siis ole velvollisuutta julkaista ilmoitusta tiedotusvälineissä, mutta sillä on halutessaan lupa toimia näin, kunnes se on yksilöinyt kaikki henkilöt, joihin tietoturvaloukkaus on vaikuttanut.
(15)
Tietoturvaloukkausta koskevat tiedot olisi liitettävä pelkästään tietoturvaloukkauksen asiayhteyteen eikä muita aiheita koskevien tietojen yhteyteen. Esimerkiksi henkilötietojen tietoturvaloukkausta koskevien tietojen antamista tavanomaisen laskun yhteydessä ei saisi pitää asianmukaisena keinona ilmoittaa henkilötietojen tietoturvaloukkauksesta.
(16)
Tässä asetuksessa ei säädetä erityisistä teknisistä suojatoimenpiteistä, joiden vuoksi voidaan poiketa velvoitteesta ilmoittaa henkilötietojen tietoturvaloukkauksista tilaajille tai henkilöille, sillä nämä suojatoimenpiteet voivat muuttua ajan myötä teknologian kehityksen myötä. Komission olisi kuitenkin voitava julkaista ohjeellinen luettelo nykykäytännön mukaisista tällaisista erityisistä teknisistä suojatoimenpiteistä.
(17)
Salauksen tai tiivistämisen toteuttamista ei saisi pitää itsessään riittävänä, jotta palveluntarjoajat voisivat yleisemmin väittää täyttäneensä direktiivin 95/46/EY 17 artiklassa asetetun yleisen tietoturvavelvoitteen. Palveluntarjoajien olisi tältä osin toteutettava myös riittävät organisatoriset ja tekniset toimenpiteet henkilötietojen tietoturvaloukkausten torjumiseksi, havaitsemiseksi ja estämiseksi. Palveluntarjoajien olisi otettava huomioon mahdollinen suojakeinojen toteuttamisen jälkeinen jäännösriski, jotta voidaan ymmärtää, missä henkilötietojen tietoturvaloukkauksia voi potentiaalisesti esiintyä.
(18)
Jos palveluntarjoaja käyttää toista palveluntarjoajaa suorittamaan osan palvelusta esimerkiksi laskutuksessa tai hallinnossa, tätä toista palveluntarjoajaa, joka ei ole suorassa sopimussuhteessa loppukäyttäjään, ei saisi velvoittaa antamaan ilmoituksia henkilötietojen tietoturvaloukkauksista. Sen sijaan sen olisi varoitettava ja informoitava palveluntarjoajaa, jonka kanssa sillä on suora sopimussuhde. Tämän olisi koskettava myös sähköisten viestintäpalvelujen tukkutarjontaa, jossa tukkupalveluntarjoaja ei yleensä ole suorassa sopimussuhteessa loppukäyttäjään.
(19)
Direktiivissä 95/46/EY määritellään yleiset puitteet henkilötietojen suojalle Euroopan unionissa. Komissio on antanut ehdotuksen direktiivin 95/46/EY korvaavasta Euroopan parlamentin ja neuvoston asetuksesta (tietosuoja-asetus). Ehdotetussa tietosuoja-asetuksessa kaikki rekisterinpitäjät velvoitettaisiin ilmoittamaan henkilötietojen tietoturvaloukkauksista direktiivin 2002/58/EY 4 artiklan 3 kohtaan perustuvalla tavalla. Tämä komission asetus on täysin johdonmukainen kyseisen ehdotetun säädöksen kanssa.
(20)
Ehdotetussa tietosuoja-asetuksessa direktiiviin 2002/58/EY tehdään myös joitain teknisiä mukautuksia, jotta voidaan ottaa huomioon direktiivin 95/46/EY muuttaminen asetukseksi. Komissio tekee arvioinnin uuden asetuksen aineellisoikeudellisista seurauksista direktiivin 2002/58/EY kannalta.
(21)
Tämän asetuksen täytäntöönpanoa olisi tarkasteltava kolme vuotta sen voimaantulon jälkeen, jolloin myös sen sisältöä olisi tarkasteltava uudelleen tuolloin voimassa olevan oikeudellisen kehyksen, muun muassa ehdotetun tietosuoja-asetuksen, perusteella. Tämän asetuksen uudelleentarkastelu olisi mahdollisuuksien mukaan kytkettävä direktiivin 2002/58/EY tuleviin uudelleentarkasteluihin.
(22)
Tämän asetuksen täytäntöönpanoa voidaan arvioida muun muassa toimivaltaisten kansallisten viranomaisten niille ilmoitetuista henkilötietojen tietoturvaloukkauksista mahdollisesti pitämien tilastojen pohjalta. Näitä tilastoja voidaan pitää esimerkiksi toimivaltaiselle kansalliselle viranomaiselle ilmoitettujen henkilötietojen tietoturvaloukkauksien määrästä, tilaajalle tai henkilölle ilmoitettujen henkilötietojen tietoturvaloukkauksien määrästä, henkilötietojen tietoturvaloukkauksen ratkaisemiseen kuluneesta ajasta ja siitä, onko käytössä teknisiä suojatoimenpiteitä. Näiden tilastojen olisi annettava komissiolle ja jäsenvaltioille johdonmukaiset ja vertailukelpoiset tilastotiedot nimeämättä ilmoituksen tekevää palveluntarjoajaa ja kyseisiä tilaajia ja yksityishenkilöitä. Komissio voi tätä tarkoitusta varten myös järjestää säännöllisiä kokouksia toimivaltaisten kansallisten viranomaisten ja muiden asiaankuuluvien sidosryhmien kanssa.
(23)
Tässä asetuksessa säädetyt toimenpiteet ovat viestintäkomitean lausunnon mukaiset,
ON HYVÄKSYNYT TÄMÄN ASETUKSEN:
1 artikla
Soveltamisala
Tätä asetusta sovelletaan yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajien, jäljempänä ’palveluntarjoaja’, suorittamaan henkilötietojen tietoturvaloukkauksista ilmoittamiseen.
2 artikla
Ilmoittaminen toimivaltaiselle kansalliselle viranomaiselle
1. Palveluntarjoajan on ilmoitettava kaikista henkilötietojen tietoturvaloukkauksista toimivaltaiselle kansalliselle viranomaiselle.
2. Palveluntarjoajan on ilmoitettava henkilötietojen tietoturvaloukkauksesta toimivaltaiselle kansalliselle viranomaiselle 24 tunnin kuluessa sen havaitsemisesta, kun tämä on käytännössä mahdollista.
Palveluntarjoajan on annettava toimivaltaiselle kansalliselle viranomaiselle tekemässään ilmoituksessa liitteessä I mainitut tiedot.
Jotta ilmoituksen antaminen tämän asetuksen nojalla olisi mielekästä, henkilötietojen tietoturvaloukkauksen on katsottava tapahtuneen, jos palveluntarjoaja on saanut riittävän tiedon siitä, että on ilmennyt henkilötietojen vaarantumiseen johtanut tietoturvapoikkeama.
3. Jos kaikkia liitteessä I esitettyjä tietoja ei ole saatavilla ja henkilötietojen tietoturvaloukkausta on tutkittava tarkemmin, palveluntarjoaja voi antaa toimivaltaiselle kansalliselle viranomaiselle alustavan ilmoituksen 24 tunnin kuluessa henkilötietojen tietoturvaloukkauksen havaitsemisesta. Tässä toimivaltaiselle kansalliselle viranomaiselle annettavassa alustavassa ilmoituksessa on oltava liitteessä I olevassa 1 jaksossa esitetyt tiedot. Palveluntarjoajan on annettava toimivaltaiselle kansalliselle viranomaiselle täydentävä ilmoitus mahdollisimman pian ja viimeistään kolmen päivän kuluttua alustavasta ilmoituksesta. Tässä täydentävässä ilmoituksessa on oltava liitteessä I olevassa 2 jaksossa esitetyt tiedot, ja siinä on tarpeen mukaan päivitettävä jo annetut tiedot.
Jos palveluntarjoaja ei tutkimuksistaan huolimatta pysty antamaan kaikkia tietoja kolmen päivän kuluessa alustavasta ilmoituksesta, palveluntarjoajan on annettava kyseisessä määräajassa käyttöön saamansa tiedot ja perusteltava toimivaltaiselle kansalliselle viranomaiselle, miksi loput tiedot ilmoitetaan määräajan jälkeen. Palveluntarjoajan on ilmoitettava loput tiedot kansalliselle toimivaltaiselle viranomaiselle ja tarpeen mukaan päivitettävä jo annetut tiedot mahdollisimman pian.
4. Toimivaltaisen kansallisen viranomaisen on annettava kaikkien kyseiseen jäsenvaltioon sijoittautuneiden palveluntarjoajien käyttöön suojattu sähköinen menetelmä, jonka avulla henkilötietojen tietoturvaloukkauksista on ilmoitettava, sekä tiedot sen käyttöönoton ja käytön menettelyistä. Komissio järjestää tarvittaessa toimivaltaisten kansallisten viranomaisten kanssa kokouksia tämän säännöksen täytäntöönpanon helpottamiseksi.
5. Jos henkilötietojen tietoturvaloukkaus vaikuttaa tilaajiin tai henkilöihin muissa jäsenvaltioissa kuin sen toimivaltaisen kansallisen viranomaisen jäsenvaltiossa, jolle henkilötietojen tietoturvaloukkauksesta on ilmoitettu, toimivaltaisen kansallisen viranomaisen on ilmoitettava tästä asianomaisille muille kansallisille viranomaisille.
Tämän säännöksen täytäntöönpanon helpottamiseksi komissio laatii luettelon toimivaltaisista kansallisista viranomaisista ja tarvittavista yhteyspisteistä ja pitää sitä yllä.
3 artikla
Ilmoittaminen tilaajalle tai henkilölle
1. Jos henkilötietojen tietoturvaloukkauksella on todennäköisesti haittavaikutuksia tilaajan tai henkilön henkilötiedoille tai yksityisyydelle, palveluntarjoajan on 2 artiklassa tarkoitetun ilmoituksen lisäksi annettava tietoturvaloukkauksesta ilmoitus myös tilaajalle tai henkilölle.
2. Arvioitaessa sitä, onko henkilötietojen tietoturvaloukkauksella todennäköisesti haittavaikutuksia tilaajan tai henkilön henkilötiedoille tai yksityisyydelle, on otettava huomioon erityisesti seuraavat tekijät:
a)
kyseisten henkilötietojen luonne ja sisältö, erityisesti jos tiedot sisältävät taloudellista informaatiota, kuuluvat direktiivin 95/46/EY 8 artiklan 1 kohdassa tarkoitettuihin erityisiin luokkiin tai ovat paikannustietoja, internetin lokitiedostoja, www-selaushistorioita, sähköpostitietoja ja puheluerittelyjä;
b)
henkilötietojen tietoturvaloukkauksesta sen kohteeksi joutuneelle tilaajalle tai henkilölle todennäköisesti aiheutuvat seuraukset, erityisesti jos tietoturvaloukkaus voi johtaa henkilöllisyysvarkauteen tai -petokseen, ruumiilliseen tai henkiseen kärsimykseen, nöyryytykseen tai maineen vahingoittumiseen; ja
c)
henkilötietojen tietoturvaloukkauksen olosuhteet, erityisesti jos tiedot on varastettu tai jos palveluntarjoaja tietää, että tiedot ovat luvattomasti kolmannen osapuolen hallussa.
3. Ilmoitus on annettava tilaajalle tai yksityishenkilölle ilman aiheetonta viivytystä henkilötietojen tietoturvaloukkauksen havaitsemisen jälkeen siten kuin 2 artiklan 2 kohdan kolmannessa alakohdassa esitetään. Se ei saa olla riippuvainen 2 artiklassa tarkoitetusta henkilötietojen tietoturvaloukkauksen ilmoittamisesta toimivaltaiselle kansalliselle viranomaiselle.
4. Palveluntarjoajan on annettava tilaajalle tai henkilölle tekemässään ilmoituksessa liitteessä II esitetyt tiedot. Tilaajalle tai henkilölle annettava ilmoitus on laadittava selkeällä ja helposti ymmärrettävällä kielellä. Palveluntarjoaja ei saa käyttää ilmoitusta tilaisuutena uusien tai lisäpalvelujen mainontaan tai myynninedistämiseen.
5. Jos tilaajalle tai henkilölle ilmoittaminen voi poikkeuksellisten olosuhteiden vuoksi vaarantaa henkilötietojen tietoturvaloukkauksen asianmukaisen tutkinnan, palveluntarjoaja voi kansallisen toimivaltaisen viranomaisen suostumuksen saatuaan lykätä tilaajalle tai henkilölle annettavaa ilmoitusta, kunnes toimivaltainen kansallinen viranomainen katsoo, että henkilötietojen tietoturvaloukkauksesta voidaan ilmoittaa tämän artiklan mukaisesti.
6. Palveluntarjoajan on ilmoitettava henkilötietojen tietoturvaloukkauksesta tilaajalle tai henkilölle viestintämenetelmillä, jotka takaavat tiedon nopean vastaanottamisen ja jotka on asianmukaisesti suojattu tekniikan nykytason mukaisesti. Tietoturvaloukkausta koskevat tiedot on liitettävä pelkästään tietoturvaloukkauksen asiayhteyteen eikä muita aiheita koskevien tietojen yhteyteen.
7. Jos palveluntarjoaja, joka on suorassa sopimussuhteessa loppukäyttäjään, ei kohtuullisin toimin kykene määrittämään 3 kohdassa tarkoitetussa määräajassa kaikkia henkilöitä, joihin henkilötietojen tietoturvaloukkaus todennäköisesti vaikuttaa haitallisesti, palveluntarjoaja voi tiedottaa siitä näille henkilöille suurimmissa kansallisissa tai alueellisissa tiedotusvälineissä kyseisessä määräajassa kyseisissä jäsenvaltioissa julkaistavilla ilmoituksilla. Näissä ilmoituksissa on oltava liitteessä II esitetyt tiedot, tarvittaessa tiivistetysti esitettyinä. Tässä tapauksessa palveluntarjoajan on jatkettava kaikkia kohtuullisia toimia voidakseen yksilöidä kyseiset henkilöt ja ilmoittaa heille liitteessä II esitetyt tiedot mahdollisimman pian.
4 artikla
Tekniset suojatoimenpiteet
1. Poiketen siitä, mitä 3 artiklan 1 kohdassa säädetään, ilmoitusta henkilötietojen tietoturvaloukkauksesta sen kohteeksi joutuneelle tilaajalle tai henkilölle ei vaadita, jos palveluntarjoaja on osoittanut toimivaltaista kansallista viranomaista tyydyttävällä tavalla, että se on toteuttanut asianmukaiset tekniset suojatoimenpiteet ja että kyseisiä toimenpiteitä sovellettiin tietoturvaloukkauksen kohteena olevaan tietoon. Tällaisten teknisten suojatoimenpiteiden avulla tiedot muutetaan sellaiseen muotoon, että ne eivät ole sellaisten henkilöiden ymmärrettävissä, joilla ei ole lupaa päästä tietoihin.
2. Tietojen katsotaan olevan sellaisessa muodossa, etteivät ne ole ymmärrettävissä, jos
a)
ne on salattu turvallisesti käyttäen standardoitua algoritmia, salauksen purkamiseen käytetty avain ei ole vaarantunut missään tietoturvaloukkauksessa ja salauksen purkamiseen käytetty avain on muodostettu siten, etteivät henkilöt, joilla ei ole lupa käyttää avainta, voi saada sitä selville käytettävissä olevan teknologian avulla; tai
b)
ne on korvattu niiden tiivistearvolla, joka on laskettu standardoitua kryptografista avaimellista tiivistefunktiota käyttäen, tietojen tiivistämiseen käytetty avain ei ole vaarantunut missään tietoturvaloukkauksessa ja tietojen tiivistämiseen käytetty avain on muodostettu siten, etteivät henkilöt, joilla ei ole lupa käyttää avainta, voi saada sitä selville käytettävissä olevan teknologian avulla.
3. Kuultuaan toimivaltaisia viranomaisia artikla 29 -työryhmän kautta, Euroopan verkko- ja tietoturvavirastoa ja Euroopan tietosuojavaltuutettua komissio voi julkaista ohjeellisen luettelon 1 kohdassa tarkoitetuista nykyisiin käytäntöihin perustuvista asianmukaisista teknisistä suojatoimenpiteistä.
5 artikla
Toisen palveluntarjoajan käyttö
Jos sähköisen viestintäpalvelun tarjonnassa käytetään alihankkijana toista palveluntarjoajaa, joka ei ole suorassa sopimussuhteessa tilaajiin, tämän toisen palveluntarjoajan on ilmoitettava henkilötietojen tietoturvaloukkauksesta välittömästi sitä alihankkijana käyttävälle palveluntarjoajalle.
6 artikla
Raportointi ja uudelleentarkastelu
Komissio antaa kolmen vuoden kuluessa tämän asetuksen voimaantulosta kertomuksen sen täytäntöönpanosta, tuloksellisuudesta ja vaikutuksesta palveluntarjoajiin, tilaajiin ja yksityishenkilöihin. Komissio tarkastelee tätä asetusta uudelleen kyseisen kertomuksen perusteella.
7 artikla
Voimaantulo
Tämä asetus tulee voimaan 25 päivänä elokuuta 2013.
Tämä asetus on kaikilta osiltaan velvoittava, ja sitä sovelletaan sellaisenaan kaikissa jäsenvaltioissa.
Tehty Brysselissä 24 päivänä kesäkuuta 2013.