РЕГЛАМЕНТ (ЕС) № 611/2013 НА КОМИСИЯТА
от 24 юни 2013 година
относно мерките, приложими за съобщаването на нарушения на сигурността на личните данни съгласно Директива 2002/58/ЕО на Европейския парламент и на Съвета за правото на неприкосновеност на личния живот и електронни комуникации
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (1), и по-специално член 4, параграф 5 от нея,
след като се консултира с Европейската агенция за мрежова и информационна сигурност (ENISA),
след като се консултира с Работната група за защита на лицата по отношение на обработката на лични данни, която е сформирана съгласно член 29 от Директива 95/46/ЕО на Европейския парламент и Съвета от 24 октомври 1995 г. за защита на физическите лица по отношение на обработката на лични данни и за свободното движение на такива данни (2) (Работната група по член 29),
след като се консултира с Европейския надзорен орган по защита на данните (ЕНОЗД),
като има предвид, че:
(1)
В Директива 2002/58/ЕО се предвижда да бъдат хармонизирани националните разпоредби, необходими за осигуряване на еднаква степен на защита на основните права и свободи, и по-специално правото на неприкосновеност на личния живот и правото на поверителност по отношение на обработката на лични данни в сектора на електронните комуникации, както и да бъде осигурено свободно движение на такива данни и оборудване за електронни комуникации и услуги в Съюза.
(2)
Съгласно член 4 от Директива 2002/58/ЕО доставчиците на общественодостъпни електронни съобщителни услуги са задължени да уведомяват компетентните национални органи, а в определени случаи и засегнатите абонати и лица, за нарушенията на сигурността на личните данни. Нарушенията на сигурността на лични данни са дефинирани в член 2, буква и) от Директива 2002/58/ЕО като нарушения на сигурността, които водят до случайно или незаконно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, предавани, съхранявани или обработвани по друг начин във връзка с предоставянето на общественодостъпна електронна съобщителна услуга в Общността.
(3)
С цел да се осигури последователност при изпълнението на мерките, посочени в член 4, параграфи 2, 3 и 4 от Директива 2002/58/ЕО, член 4, параграф 5 от нея оправомощава Комисията да приема технически мерки за изпълнение във връзка с обстоятелствата, формата и процедурите, приложими за изискванията за информация и уведомяване, посочени в споменатия член.
(4)
Различните национални изисквания в това отношение могат да доведат до правна несигурност, по-сложни и тромави процедури и значителни административни разходи за доставчиците на услуги, извършващи трансгранична дейност. Поради това Комисията счита за необходимо да приеме такива технически мерки за изпълнение.
(5)
Настоящият регламент се ограничава със съобщаването на нарушения на сигурността на лични данни и следователно не определя технически мерки за изпълнение във връзка с член 4, параграф 2 от Директива 2002/58/ЕО относно информиране на абонатите, в случай че има конкретна опасност от нарушаване на сигурността на мрежата.
(6)
От член 4, параграф 3, първа алинея от Директива 2002/58/ЕО следва, че доставчиците трябва да уведомяват компетентния национален орган за всички нарушения на сигурността на лични данни. Следователно на доставчика не следва да се оставя свобода за вземане на решение дали да уведоми компетентния национален орган. Това обаче не следва да възпрепятства въпросния компетентен национален орган да приоритизира разследването на някои нарушения по начин, който той счита за подходящ в съответствие с приложимото законодателство, и да предприема необходимите мерки за предотвратяване на докладване на недостатъчно или прекалено много нарушения във връзка с лични данни.
(7)
Целесъобразно е да се предвиди система за уведомяване на компетентния национален орган за нарушенията на сигурността на лични данни, която се състои, в случаите, в които са изпълнени определени условия, от различни етапи, за всеки от които важат определени срокове. Тази система е предназначена да гарантира, че компетентният национален орган бива информиран възможно най-рано и във възможно най-пълна степен, без обаче да бъде възпрепятстван доставчикът в усилията му да разследва нарушението и да взема необходимите мерки за ограничаване и отстраняване на последствията от него.
(8)
За целите на настоящия регламент, за да се счита, че е било открито нарушение на сигурността на лични данни, не са достатъчни нито обикновеното подозрение, че е имало нарушение на сигурността на лични данни, нито простото откриване на инцидент, без да има налице достатъчно информация, въпреки всички възможни усилия на доставчика да осигури такава. В тази връзка особено внимание следва да се обърне на наличието на информацията, посочена в приложение I.
(9)
В контекста на прилагането на настоящия регламент в случай на нарушаване на сигурността на лични данни с трансгранично измерение съответните компетентни национални органи следва да си сътрудничат.
(10)
Настоящият регламент не предвижда допълнителна спецификация за регистъра на нарушенията на сигурността на лични данни, който трябва да се поддържа от доставчиците, като се има предвид, че в член 4 от Директива 2002/58/ЕО неговото съдържание се определя изчерпателно. Доставчиците обаче могат да се позовават на настоящия регламент, за да се определи форматът на регистъра.
(11)
Всички компетентни национални органи следва да осигурят сигурни електронни средства, така че доставчиците да съобщават за нарушения на сигурността на личните данни в общ формат (основан на стандарт като XML), съдържащ информацията, посочена в приложение I, на съответните езици, така че да се даде възможност на всички доставчици в рамките на Съюза да следват сходна процедура за съобщаване, независимо от това къде се намират или къде е било извършено нарушаването на сигурността на личните данни. В тази връзка Комисията следва да улеснява въвеждането на сигурни електронни средства, като свиква заседания с компетентните национални органи, когато това е необходимо.
(12)
При оценяване дали дадено нарушаване на сигурността на личните данни има вероятност да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или лице следва да се вземе предвид по-специално естеството и съдържанието на съответните лични данни, по-специално когато данните касаят финансова информация, като например данни за кредитни карти и подробности за банкови сметки; специалните категории от данни, посочени в член 8, параграф 1 от Директива 95/46/ЕО; както и някои данни, конкретно свързани с предоставянето на телефонни или интернет услуги, т.е. данни за електронната поща, данни за местоположението, файлове със статистика за интернет връзките, история на посетените уебстраници и списъци с повиквания, указани по позиции.
(13)
При изключителни обстоятелства, когато уведомяването на абоната или лицето може да изложи на риск правилното разследване на нарушаването на сигурността на личните данни, на доставчика следва да бъде разрешено да забавя уведомяването на абоната или лицето. В този контекст извънредни обстоятелства могат да включват криминални разследвания, както и други нарушения на сигурността на лични данни, които не са равностойни на сериозно престъпление, но за които може да е целесъобразно уведомяването да бъде отложено. Във всеки случай националният компетентен орган следва да е този, който преценява за всеки отделен случай и в светлината на обстоятелствата дали да даде съгласие за отлагане или да изиска уведомяване.
(14)
Макар че доставчиците следва да имат данни за контакт със своите абонати предвид преките им договорни отношения, за други лица, засегнати от нарушаването на сигурността на личните данни може да няма такава информация. В такъв случай следва да бъде разрешено доставчикът да уведоми въпросните лица първоначално посредством съобщения в основните национални или регионални средства за масова информация, като например вестници, които веднага щом бъде възможно трябва да бъдат последвани от индивидуално уведомяване, както е предвидено в настоящия регламент. Доставчикът следователно не е длъжен като такъв да уведомява чрез средствата за масова информация, а по-скоро е упълномощен да действа по този начин, ако пожелае, когато все още е в процес на определяне на всички лица, които са засегнати.
(15)
Информацията за нарушението следва да бъде съсредоточена върху нарушението, а не да бъде свързана с информация по друга тема. Така например включването на информация за нарушаване на сигурността на лични данни в редовна фактура не следва да се счита за адекватен начин за уведомяване за нарушаване на сигурността на лични данни.
(16)
В настоящия регламент не се определят конкретни технически мерки за защита, които да оправдават дерогация от задължението за уведомяване на абонатите и лицата за нарушаване на сигурността на личните данни, тъй като тези мерки могат да търпят промени с течение на времето и развитието на технологиите. Комисията обаче следва да бъде в състояние да публикува примерен списък на конкретни такива технологични мерки за защита в съответствие с текущите практики.
(17)
Прилагането на криптиране или хеширане не следва да се смята за достатъчно само по себе си, за да позволи доставчиците да претендират в по-широк план, че са изпълнили общото задължение за сигурност, посочено в член 17 от Директива 95/46/ЕО. В тази връзка доставчиците следва също така да прилагат подходящи организационни и технически мерки за предотвратяване, откриване и блокиране на нарушения на сигурността на личните данни. Доставчиците следва да вземат предвид всеки остатъчен риск, който може да съществува, след като са били извършени проверки, с цел да разберат къде потенциално може да има нарушения на сигурността на личните данни.
(18)
Когато доставчикът използва друг доставчик за извършването на част от услугата, например във връзка с фактуриране или управленски функции, в случай на нарушение на сигурността на лични данни този друг доставчик, който няма преки договорни отношения с крайния потребител, не следва да бъде задължен да издава уведомления. Вместо това той следва да предупреди и информира за това доставчика, с който има преки договорни взаимоотношения. Това следва да се прилага и в контекста на предоставянето на едро на електронни съобщителни услуги, когато обикновено доставчикът на едро няма преки договорни отношения с крайния потребител.
(19)
В Директива 95/46/ЕО се определя обща рамка за защита на личните данни в Европейския съюз. Комисията представи предложение за регламент на Европейския парламент и на Съвета, който да замени Директива 95/46/ЕО (Директивата за защитата на данните). Предложеният регламент за защитата на данните ще въведе задължение за всички администратори на лични данни да уведомяват за нарушаване на сигурността на личните данни, основавайки се на член 4, параграф 3 от Директива 2002/58/ЕО. Настоящият регламент на Комисията е напълно съвместим с тази предложена мярка.
(20)
Предложеният регламент за защитата на данните също така прави ограничен брой технически изменения в Директива 2002/58/ЕО, за да се вземе предвид преобразуването на Директива 95/46/ЕО в регламент. Съществените правни последици от новия регламент за Директива 2002/58/ЕО ще бъдат обект на преразглеждане от страна на Комисията.
(21)
Прилагането на настоящия регламент следва да бъде преразгледано три години след влизането му в сила, а неговото съдържание - преразгледано в светлината на действащата нормативна уредба към горепосочения момент, включително в светлината на предложения регламент за защитата на данните. Преразглеждането на настоящия регламент следва да бъдат свързано, когато това е възможно, с евентуално бъдещо преразглеждане на Директива 2002/58/ЕО.
(22)
Прилагането на настоящия регламент може да бъде оценено въз основа, inter alia, на всяка статистика, водена от националните компетентни органи, за съобщените нарушения на сигурността на лични данни. Тези статистически данни могат да включват например информация относно броя на нарушенията на сигурността на лични данни, съобщени на националния компетентен орган, броя на нарушенията на сигурността на лични данни, съобщени на абоната или лицето, времето, необходимо за разрешаването на проблема с нарушението на сигурността на лични данни, както и дали са били взети технически мерки за защита. Тези статистически данни следва да осигурят на Комисията и на държавите членки последователни и сравними статистически данни и не трябва да разкриват нито самоличността на уведомяващия доставчик, нито тази на засегнатите абонати или лица. За тази цел Комисията може също така да провежда редовни срещи с националните компетентни органи и други заинтересовани страни.
(23)
Мерките, предвидени в настоящия регламент, са в съответствие със становището на Комитета за регулиране на съобщенията,
ПРИЕ НАСТОЯЩИЯ РЕГЛАМЕНТ:
Член 1
Обхват
Настоящият регламент се прилага за съобщаването на нарушения на сигурността на лични данни от страна на доставчици на публичнодостъпни електронни съобщителни услуги („доставчикът“).
Член 2
Уведомяване на компетентните национални органи
1. Доставчикът уведомява националния компетентен орган за всички нарушения на сигурността на личните данни.
2. Доставчикът уведомява националния компетентен орган за нарушението на сигурността на лични данни не по-късно от 24 часа след откриване на нарушението на сигурността на лични данни, когато това е възможно.
Доставчикът трябва да включи в своето уведомление до националния компетентен орган информацията, посочена в приложение I.
Счита се, че е открито нарушение на сигурността на лични данни, когато доставчикът е получил достатъчно информация, че е имало произшествие, свързано със сигурността, довело до компрометиране на лични данни, за да направи той съдържателно уведомление, както се изисква съгласно настоящия регламент.
3. Когато не е налице цялата информация, посочена в приложение I, и се изисква допълнително разследване на нарушението на сигурността на лични данни, на доставчика следва да бъде разрешено да изпрати първоначалното уведомление на националния компетентен орган не по-късно от 24 часа след откриване на нарушението на сигурността на лични данни. Това първоначално уведомяване на националния компетентен орган включва информацията, посочена в раздел 1 от приложение I. Доставчикът изпраща второ уведомление на националния компетентен орган възможно най-скоро и най-късно в рамките на три дни след първоначалното уведомяване. Това второ уведомление включва информацията, посочена в раздел 2 от приложение I, и когато е необходимо, актуализира вече предоставената информация.
Когато доставчикът, въпреки разследванията си, не е в състояние да предостави цялата информация в тридневен срок от първоначалното уведомяване, той съобщава толкова информация, с колкото разполага за този срок, и предоставя на националния компетентен орган мотивирана обосновка за закъснялото съобщаване на останалата информация. Доставчикът съобщава останалата информация на националния компетентен орган и когато е необходимо, актуализира вече предоставената информация във възможно най-кратък срок.
4. Националният компетентен орган предоставя на всички доставчици, установени в съответната държава членка, сигурни електронни средства за съобщаване на нарушения на сигурността на лични данни и на информация относно процедурите за достъп до тях и използването им. Когато е необходимо, Комисията свиква заседания с компетентните национални органи, за да улесни прилагането на тази разпоредба.
5. Когато нарушаването на сигурността на личните данни засяга абонати или лица от държави членки, различни от тази на националния компетентен орган, на който е било съобщено нарушаване на сигурността на личните данни, националният компетентен орган информира другите съответни национални органи.
За да улесни прилагането на тази разпоредба, Комисията създава и поддържа списък на националните компетентни органи и съответните звена за контакт.
Член 3
Уведомяване на абоната или лицето
1. Когато има вероятност нарушението на сигурността на личните данни да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или отделно лице, освен уведомяването, посочено в член 2, доставчикът също така уведомява засегнатия абонат или лице.
2. Дали дадено нарушаване на сигурността на личните данни има вероятност да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или отделно лице се преценява, като се вземат предвид по-специално следните обстоятелства:
а)
естеството и съдържанието на съответните лични данни, по-специално когато данните се отнасят за финансова информация, специалните категории от данни, посочени в член 8, параграф 1 от Директива 95/46/ЕО, както и данни за местоположението, файлове със статистика за интернет връзките, история на посетените уебстраници, данни за електронната поща и списъци с повиквания, указани по позиции;
б)
вероятните последици от нарушаването на сигурността на личните данни за засегнатия абонат или лице, по специално когато нарушението може да доведе до кражба на самоличност или измама с фалшива самоличност, физическа вреда, психично разстройство, накърняване на достойнството или на репутацията; както и
в)
обстоятелствата на нарушаването на сигурността на личните данни, по-специално когато данните са били откраднати или когато доставчикът знае, че данните са в притежание на неупълномощена трета страна.
3. Уведомяването на абоната или лицето се извършва без ненужно забавяне след откриването на нарушението на сигурността на лични данни, както е определено в член 2, параграф 2, трета алинея. То не зависи от уведомяването на националния компетентен орган за нарушаване на сигурността на лични данни, посочено в член 2.
4. Доставчикът трябва да включи в своето съобщение до абоната или лицето информацията, посочена в приложение II. Уведомяването на абоната или лицето се извършва на ясен и лесноразбираем език. Доставчикът не трябва да използва уведомяването като възможност за популяризиране или реклама на нови или допълнителни услуги.
5. При изключителни обстоятелства, когато уведомяването на абоната или лицето може да изложи на риск правилното разследване на нарушението на сигурността на лични данни, на доставчика се разрешава, след като е получил съгласие от страна на националния компетентен орган, да забави уведомяването на абоната или лицето, докато компетентният национален орган счете, че е възможно да уведоми за нарушаването на сигурността на лични данни в съответствие с настоящия член.
6. Доставчикът уведомява засегнатия абонат или лице за нарушаването на сигурността на личните данни чрез средства за комуникация, гарантиращи незабавното получаване на информация и чиято сигурност е защитена по подходящ начин в съответствие със съвременното техническо ниво. Информацията за нарушението трябва да бъде съсредоточена върху нарушението, а не да бъде свързана с информация по друга тема.
7. Когато доставчикът, който има преки договорни отношения с крайния потребител, независимо от положените целесъобразни усилия не е в състояние в рамките на срока, посочен в параграф 3, да определи всички лица, които има вероятност да са засегнати по неблагоприятен начин от нарушението на сигурността на лични данни, той може да уведоми въпросните лица посредством обявления в основните национални или регионални медии в съответните държави членки в рамките на посочения срок. Тези обявления следва да съдържат информацията, посочена в приложение II, и когато е необходимо - в сбита форма. В такъв случай доставчикът трябва да продължи да полага всички целесъобразни усилия да определи посочените лица и да им съобщи информацията, посочена в приложение II, във възможно най-кратък срок.
Член 4
Технически мерки за защита
1. Чрез дерогация от член 3, параграф 1 не се изисква уведомяване на засегнат абонат или отделно засегнато лице за нарушение на сигурността на лични данни, ако доставчикът е доказал в удовлетворителна степен пред националния компетентен орган, че е взел подходящи технически мерки за защита и че тези мерки са приложени за данните, засегнати от нарушаването на сигурността. Такива технически мерки за защита трябва да правят данните неразбираеми за всяко лице, което не е упълномощено за достъп до тях.
2. Данните се разглеждат като неразбираеми, ако:
а)
са сигурно шифровани със стандартизиран алгоритъм, като ключът, използван за дешифриране на данните, не е бил разкрит при нарушение на сигурността, и ключът, използван за дешифриране на данните, е генериран така, че да не може да бъде открит с наличните технически средства от което и да било лице, което не е упълномощено за достъп до ключа; или
б)
са заменени с тяхната хеширана стойност, изчислена със стандартизирана шифроваща хеш-функция с ключ, като ключът, използван за хеширане на данните, не е бил разкрит при нарушение на сигурността, и ключът, използван за хеширане на данните, е генериран така, че да не може да бъде открит с наличните технически средства от което и да било лице, което не е упълномощено за достъп до ключа.
3. В съответствие с текущите практики, след консултация с компетентните национални органи посредством Работната група по член 29, с Европейската агенция за мрежова и информационна сигурност и с Европейския надзорен орган по защита на данните, Комисията може да публикува ориентировъчен списък с подходящи технически мерки за защита, споменати в параграф 1.
Член 5
Използване на друг доставчик
Когато се използва друг доставчик за доставянето на част от електронната съобщителна услуга без преки договорни отношения с абонатите, в случай на нарушение, свързано с личните данни, този друг доставчик незабавно уведомява доставчика, който го е ангажирал.
Член 6
Докладване и преразглеждане
В рамките на три години от влизането в сила на настоящия регламент Комисията следва да представи доклад за прилагането на настоящия регламент, неговата ефективност и въздействието му върху доставчиците, абонатите и физическите лица. Въз основа на този доклад Комисията преразглежда настоящия регламент.
Член 7
Влизане в сила
Настоящият регламент влиза в сила на 25 август 2013 г.
Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави членки.
Съставено в Брюксел на 24 юни 2013 година.
32013R0611
L 173/2
SLUŽBENI LIST EUROPSKE UNIJE
UREDBA KOMISIJE (EU) br. 611/2013
od 24. lipnja 2013.
o mjerama koje se primjenjuju na obavješćivanje o povredama osobnih podataka u skladu s Direktivom 2002/58/EZ Europskog parlamenta i Vijeća o privatnosti i elektroničkim komunikacijama
EUROPSKA KOMISIJA,
uzimajući o obzir Ugovor o funkcioniranju Europske unije,
uzimajući u obzir Direktivu 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama) (1), a posebno njezin članak 4. stavak 5.,
nakon savjetovanja s Europskom agencijom za mrežnu i informacijsku sigurnost (ENISA),
nakon savjetovanja s Radnom skupinom za zaštitu pojedinaca u vezi s obradom osobnih podataka osnovanom člankom 29. Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom prijenosu takvih podataka (2) (Radna skupina iz članka 29.),
nakon savjetovanja s Europskim nadzornikom za zaštitu podataka (EDPS),
budući da:
(1)
Direktivom 2002/58/EZ predviđeno je usklađivanje nacionalnih odredaba potrebnih za osiguravanje jednake razine zaštite temeljnih prava i sloboda, a posebno prava na privatnost i povjerljivost, u vezi s obradom osobnih podataka u području elektroničkih komunikacija i za osiguravanje slobodnog kretanja takvih podataka te elektroničke komunikacijske opreme i usluga u Uniji.
(2)
Na temelju članka 4. Direktive 2002/58/EZ, pružatelji javno dostupnih elektroničkih komunikacijskih usluga obvezni su obavijestiti nadležna nacionalna tijela, a u određenim slučajevima i predmetne pretplatnike i pojedince, o povredama osobnih podataka. Povrede osobnih podataka definirane su u članku 2. točki (i) Direktive 2002/58/EZ kao proboji zaštitnih mjera koji dovode do slučajnog ili nezakonitog uništavanja, gubitka, izmjene, neovlaštenog otkrivanja ili pristupa u pogledu osobnih podataka koji se prenose, čuvaju ili na neki drugi način obrađuju u vezi s pružanjem javno dostupnih elektroničkih komunikacijskih usluga u Uniji.
(3)
Kako bi se osigurala dosljedna provedba mjera iz članka 4. stavaka 2., 3. i 4. Direktive 2002/58/EZ, njezinim je člankom 4. stavkom 5. Komisija ovlaštena donositi tehničke provedbene mjere koje se odnose na okolnosti, oblik i postupke primjenljive na zahtjeve u vezi s obavješćivanjem i prijavljivanjem iz tog članka.
(4)
Različiti nacionalni zahtjevi u tom pogledu mogu dovesti do pravne nesigurnosti, složenijih i težih postupaka i značajnih administrativnih troškova za pružatelje usluga koji posluju prekogranično. Komisija stoga smatra potrebnim donijeti takve tehničke provedbene mjere.
(5)
Ova je Uredba ograničena na obavješćivanje o povredama osobnih podataka i stoga se njome ne utvrđuju tehničke provedbene mjere koje se odnose na članak 4. stavak 2. Direktive 2002/58/EZ o obavješćivanju pretplatnika u slučaju posebnog rizika od kršenja sigurnosti mreže.
(6)
Iz prvog podstavka članka 4. stavka 3. Direktive 2002/58/EZ proizlazi da bi pružatelji usluga trebali obavijestiti nadležno nacionalno tijelo o svim povredama osobnih podataka. Stoga se pružatelju usluga ne bi trebalo dati nikakvo diskrecijsko pravo u pogledu toga hoće li ili neće obavijestiti nadležno nacionalno tijelo. Međutim, time se ne bi trebalo spriječiti predmetno nadležno nacionalno tijelo da odredi prioritete u vezi s istraživanjem određenih povreda na način koji smatra prikladnim u skladu s primjenljivim pravom te da poduzme potrebne korake s ciljem izbjegavanja prekomjernog ili nedovoljnog izvješćivanja o povredama osobnih podataka.
(7)
Prikladno je osigurati sustav za obavješćivanje nadležnog nacionalnog tijela o povredama osobnih podataka koji se sastoji, u slučaju da su ispunjeni određeni uvjeti, od različitih faza, od kojih svaka podliježe određenim vremenskim ograničenjima. Tim se sustavom namjerava osigurati što ranije i potpunije moguće obavješćivanje nadležnog nacionalnog tijela, pri čemu se, međutim, ne bi trebalo nepotrebno sprečavati pružatelja usluga u njegovim nastojanjima da istraži povredu i poduzme potrebne mjere za njezino ograničavanje i za otklanjanje posljedica takve povrede.
(8)
Sama sumnja da je došlo do povrede osobnih podataka ili samo otkrivanje nezgode bez raspolaganja dostatnim informacijama nisu dovoljni, usprkos najvećim naporima koje je pružatelj napravio u tu svrhu, da bi se u smislu ove Uredbe smatralo da je otkrivena povreda osobnih podataka. S tim u vezi, posebno bi trebalo uzeti u obzir raspoloživost informacija iz Priloga I.
(9)
U kontekstu primjene ove Uredbe predmetna nadležna nacionalna tijela trebala bi surađivati na slučajevima povreda osobnih podataka s prekograničnim elementima.
(10)
Ovom se Uredbom ne predviđa dodatna specifikacija popisa povreda osobnih podataka koji trebaju voditi pružatelji usluga budući da je u članku 4. Direktive 2002/58/EZ temeljito utvrđen njegov sadržaj. Međutim, pružatelji usluga mogu se pozvati na ovu Uredbu u vezi s određivanjem oblika popisa.
(11)
Sva bi nadležna nacionalna tijela trebala staviti na raspolaganje sigurna elektronička sredstva putem kojih će pružatelji usluga obavješćivati o povredama osobnih podataka na zajedničkom obrascu, koji se temelji na standardu kao što je XML, koji sadrži informacije utvrđene u Prilogu I. i koji je na relevantnim jezicima kako bi se svim pružateljima usluga u Uniji omogućilo postupanje u skladu sa sličnim postupkom obavješćivanja bez obzira na to gdje se nalaze ili gdje se dogodila povreda osobnih podataka. S tim u vezi, Komisija bi trebala olakšati uvođenje sigurnih elektroničkih sredstava sazivanjem sastanaka s nadležnim nacionalnim tijelima ako je to potrebno.
(12)
Prilikom procjene vjerojatnosti da će povreda osobnih podataka imati štetan učinak na osobne podatke ili privatnost pretplatnika ili pojedinca trebali bi se ponajprije uzeti u obzir vrsta i sadržaj predmetnih osobnih podataka, posebno ako se podaci odnose na financijske informacije, kao što su podaci o kreditnoj kartici i pojedinosti o bankovnom računu, posebne kategorije podataka iz članka 8. stavka 1. Direktive 95/46/EZ i određene podatke koji su izričito povezani s pružanjem telefonskih ili internetskih usluga, odnosno podatke o e-pošti, podatke o lokaciji, datoteke s podacima o prijavama na internet, povijest pretraživanja interneta i detaljne ispise poziva.
(13)
U izvanrednim okolnostima pružatelju usluga trebalo bi se dopustiti da odgodi obavješćivanje pretplatnika ili pojedinca ako bi se obavješćivanjem pretplatnika ili pojedinca mogla ugroziti pravilna istraga povrede osobnih podataka. U tom kontekstu izvanredne okolnosti mogu uključivati kaznene istrage, kao i druge povrede osobnih podataka koje nisu ekvivalent teškog kaznenog djela, ali u slučaju kojih može biti prikladno odgoditi obavijest. U svakom slučaju, nadležno nacionalno tijelo trebalo bi za svaki slučaj pojedinačno i s obzirom na okolnosti procijeniti je li suglasno s odgodom obavijesti ili zahtijeva obavijest.
(14)
Pružatelji usluga trebali bi zbog svog izravnog ugovornog odnosa s pretplatnicima imati njihove kontaktne podatke, međutim takve informacije možda ne postoje za druge pojedince na koje štetno utječe povreda osobnih podataka. U tom bi slučaju pružatelju usluga trebalo biti dopušteno da te pojedince obavijesti prvo putem oglasa u glavnim nacionalnim ili regionalnim medijima, kao što su novine, a nakon toga što je prije moguće slanjem pojedinačne obavijesti kako je predviđeno ovom Uredbom. Stoga pružatelj usluga kao takav nije obvezan obavješćivati putem medija, već mu se to dopušta, ako to želi, kada je još uvijek u procesu utvrđivanja svih zahvaćenih pojedinaca.
(15)
Informacije o povredi trebale bi se odnositi na povredu i ne bi se trebale povezivati s informacijama o drugoj temi. Na primjer, uključivanje informacija o povredi osobnih podataka u redovan račun ne bi se trebalo smatrati primjerenim načinom obavješćivanja o povredi osobnih podataka.
(16)
Ovom se Uredbom ne utvrđuju posebne tehničke mjere zaštite kojima se opravdava odstupanje od obveze obavješćivanja pretplatnika ili pojedinaca o povredama osobnih podataka budući da se te mjere mogu promijeniti s razvojem tehnologije. Međutim, Komisija bi trebala imati mogućnost objavljivanja indikativnog popisa takvih posebnih tehničkih mjera zaštite u skladu s postojećim praksama.
(17)
Uvođenje kodiranja ili raspršenog adresiranja (hashing) ne bi se samo po sebi trebalo smatrati dostatnom osnovom na temelju koje pružatelji usluga mogu u širem smislu tvrditi da su ispunili opću sigurnosnu obvezu predviđenu člankom 17. Direktive 95/46/EZ. U tom bi smislu pružatelji usluga trebali također uvesti odgovarajuće organizacijske i tehničke mjere za sprečavanje, otkrivanje i blokiranje povreda osobnih podataka. Pružatelji bi usluga trebali razmotriti sve preostale rizike koji su možda prisutni nakon provedbe kontrola kako bi razumjeli gdje se mogu pojaviti povrede osobnih podataka.
(18)
Ako pružatelj usluga koristi drugog pružatelja usluga za obavljanje dijela usluge, na primjer u vezi s funkcijama izdavanja računa ili upravljanja, taj drugi pružatelj usluga, koji nije u izravnom ugovornom odnosu s krajnjim korisnikom, ne bi trebao imati obvezu davanja obavijesti u slučaju povrede osobnih podataka. Umjesto toga, on bi trebao upozoriti i obavijestiti pružatelja usluga s kojim je u izravnom ugovornom odnosu. Navedeno bi se trebalo također primjenjivati u kontekstu pružanja elektroničkih komunikacijskih usluga na veleprodajnoj razini, kada pružatelj usluga na veleprodajnoj razini obično nije u izravnom ugovornom odnosu s krajnjim korisnikom.
(19)
Direktivom 95/46/EZ utvrđen je opći okvir za zaštitu osobnih podataka u Europskoj uniji. Komisija je iznijela prijedlog Uredbe Europskog parlamenta i Vijeća kojom se treba zamijeniti Direktiva 95/46/EZ (Uredba o zaštiti podataka). Predloženom Uredbom o zaštiti podataka uvela bi se obveza obavješćivanja o povredama osobnih podataka za sve nadzornike podataka na temelju članka 4. stavka 3. Direktive 2002/58/EZ. Sadašnja Uredba Komisije potpuno je u skladu s predloženom mjerom.
(20)
Predloženom Uredbom o zaštiti podataka također se uvodi ograničeni broj tehničkih prilagodbi Direktive 2002/58/EZ kako bi se uzelo u obzir preoblikovanje Direktive 95/46/EZ u Uredbu. Materijalne pravne posljedice nove Uredbe za Direktivu 2002/58/EZ bit će predmetom preispitivanja koje provodi Komisija.
(21)
Primjena ove Uredbe trebala bi se preispitati tri godine nakon njezina stupanja na snagu, a njezin bi se sadržaj trebao preispitati s obzirom na pravni okvir koji je na snazi u tom trenutku, uključujući predloženu Uredbu o zaštiti podataka. Preispitivanje ove Uredbe trebalo bi, ako je to moguće, biti povezano sa svim budućim preispitivanjima Direktive 2002/58/EZ.
(22)
Primjena ove Uredbe može se ocijeniti na temelju, između ostalog, bilo kojih statističkih podataka koje nadležna nacionalna tijela vode o povredama osobnih podataka o kojima su obaviještena. Ti statistički podaci mogu uključivati, na primjer, informacije o broju povreda osobnih podataka o kojima je obaviješteno nadležno nacionalno tijelo, broju povreda osobnih podataka o kojima je obaviješten pretplatnik ili pojedinac, vrijeme koje je bilo potrebno za rješavanje povrede osobnih podataka i jesu li poduzete tehničke mjere zaštite. Tim bi se statističkim podacima Komisiji i državama članicama trebali osigurati dosljedni i usporedivi statistički podaci, pri čemu oni ne bi trebali otkriti identitet pružatelja usluga koji dostavlja obavijest, kao ni identitet uključenih pretplatnika ili pojedinaca. Komisija može u tu svrhu također održavati redovne sastanke s nadležnim nacionalnim tijelima i drugim interesnim skupinama.
(23)
Mjere predviđene u ovoj Uredbi u skladu su s mišljenjem Odbora za komunikacije,
DONIJELA JE OVU UREDBU:
Članak 1.
Područje primjene
Ova se Uredba primjenjuje na obavješćivanje o povredama osobnih podataka od strane pružatelja javno dostupnih elektroničkih komunikacijskih usluga („pružatelj usluga”).
Članak 2.
Obavješćivanje nadležnog nacionalnog tijela
1. Pružatelj usluga obavješćuje nadležno nacionalno tijelo o svim povredama osobnih podataka.
2. Pružatelj usluga obavješćuje nadležno nacionalno tijelo o povredi osobnih podataka najkasnije 24 sata nakon otkrivanja povrede osobnih podataka ako je to izvedivo.
U svoju obavijest nadležnom nacionalnom tijelu pružatelj usluga uključuje informacije predviđene u Prilogu I.
Povreda osobnih podataka smatra se otkrivenom kada je pružatelj usluga u dovoljnoj mjeri upoznat s time da je došlo do nezgode u vezi sa sigurnosnom zaštitom zbog koje su ugroženi osobni podaci, s ciljem dostavljanja smislene obavijesti kako je propisano ovom Uredbom.
3. Ako na raspolaganju nisu sve informacije predviđene u Prilogu I. i ako je potrebna daljnja istraga povrede osobnih podataka, pružatelju usluga dopušteno je da početnu obavijest dostavi nadležnom nacionalnom tijelu najkasnije 24 sata nakon otkrivanja povrede osobnih podataka. Početna obavijest nadležnom nacionalnom tijelu uključuje informacije predviđene u odjeljku 1. Priloga I. Pružatelj usluga dostavlja drugu obavijest nadležnom nacionalnom tijelu što je prije moguće, a najkasnije u roku od tri dana od početne obavijesti. Druga obavijest uključuje informacije predviđene u odjeljku 2. Priloga I. i u njoj su, prema potrebi, ažurirane već dostavljene informacije.
Ako pružatelj usluga usprkos svojoj istrazi ne može osigurati sve informacije u roku od tri dana od početne obavijesti, pružatelj usluga dostavlja sve informacije kojima raspolaže u tom vremenskom roku i nadležnom nacionalnom tijelu šalje utemeljeno obrazloženje za kasnu dostavu preostalih informacija. Pružatelj usluga dostavlja preostale informacije nadležnom nacionalnom tijelu i prema potrebi ažurira već dostavljene informacije što je prije moguće.
4. Nadležno nacionalno tijelo svim pružateljima usluga s poslovnim nastanom u predmetnoj državi članici osigurava sigurno elektroničko sredstvo za obavješćivanje o povredama osobnih podataka i informacije o postupcima za pristup tom sredstvu i njegovu uporabu. Komisija prema potrebi saziva sastanke s nadležnim nacionalnim tijelima kako bi olakšala primjenu ove odredbe.
5. Ako povreda osobnih podataka utječe na pretplatnike ili pojedince iz država članica koje nisu država članica nadležnog nacionalnog tijela koje je obaviješteno o povredi osobnih podataka, nadležno nacionalno tijelo obavješćuje druga zainteresirana nadležna tijela.
Kako bi olakšala primjenu ove odredbe, Komisija uspostavlja i vodi popis nadležnih nacionalnih tijela i odgovarajućih kontaktnih točaka.
Članak 3.
Obavješćivanje pretplatnika ili pojedinca
1. Ako bi povreda osobnih podataka mogla imati štetan učinak na osobne podatke ili privatnost pretplatnika ili pojedinca, pružatelj usluga dužan je, pored obavijesti iz članka 2., o povredi obavijestiti i pretplatnika ili pojedinca.
2. Vjerojatnost da će povreda osobnih podataka imati štetan učinak na osobne podatke ili privatnost pretplatnika ili pojedinca procjenjuje se uzimajući posebno u obzir sljedeće okolnosti:
(a)
vrstu i sadržaj predmetnih osobnih podataka, posebno ako se podaci odnose na financijske informacije, posebne kategorije podataka iz članka 8. stavka 1. Direktive 95/46/EZ, podatke o lokaciji, datoteke s podacima o prijavama na internet, povijest pretraživanja interneta, podatke o e-pošti i detaljne ispise poziva;
(b)
moguće posljedice povrede osobnih podataka za predmetnog pretplatnika ili pojedinca, posebno ako bi povreda mogla rezultirati krađom identiteta ili prijevarom, fizičkom ozljedom, psihološkim poteškoćama, poniženjem ili narušavanjem ugleda; i
(c)
okolnosti povrede osobnih podataka, posebno ako su podaci ukradeni ili ako pružatelj usluga zna da su podaci u posjedu neovlaštene treće strane.
3. Pretplatnika ili pojedinca obavješćuje se bez nepotrebnog odlaganja o povredi osobnih podataka nakon što je otkrivena, u skladu s trećim podstavkom članka 2. stavka 2. To ne ovisi o obavješćivanju nadležnog nacionalnog tijela o povredi osobnih podataka iz članka 2.
4. U svoju obavijest pretplatniku ili pojedincu pružatelj usluga uključuje informacije predviđene u Prilogu II. Obavijest pretplatniku ili pojedincu mora biti iskazana jasnim i lako razumljivim jezikom. Pružatelj usluga ne smije koristiti obavijest kao priliku za promidžbu ili oglašavanje novih ili dodatnih usluga.
5. U izvanrednim okolnostima, ako bi se obavješćivanjem pretplatnika ili pojedinca mogla ugroziti pravilna istraga povrede osobnih podataka, pružatelju usluga dopušteno je, nakon pribavljanja suglasnosti nadležnog nacionalnog tijela, da odgodi obavješćivanje pretplatnika ili pojedinca sve dok nadležno nacionalno tijelo ne bude smatralo da je moguće poslati obavijest o povredi osobnih podataka u skladu s ovim člankom.
6. Pružatelj usluga obavješćuje pretplatnika ili pojedinca o povredi osobnih podataka sredstvima komunikacije kojima se osigurava pravodobno primanje informacija i koja su na odgovarajući način zaštićena u skladu s najnovijim tehničkim dostignućima. Informacije o povredi odnose se na povredu i ne povezuju se s informacijama o drugoj temi.
7. Ako pružatelj usluga koji je u izravnom ugovornom odnosu s krajnjim korisnikom usprkos svojim razumnim naporima ne može u roku iz stavka 3. utvrditi sve pojedince na koje će vjerojatno štetno utjecati povreda osobnih podataka, pružatelj usluga može obavijestiti te pojedince putem oglasa u glavnim nacionalnim ili regionalnim medijima u relevantnim državama članicama u navedenom roku. Takvi oglasi sadrže informacije predviđene u Prilogu II., prema potrebi u sažetom obliku. U tom slučaju pružatelj usluga i dalje čini sve razumne napore kako bi identificirao te pojedince i obavijestio ih u što kraćem roku o informacijama predviđenim u Prilogu II.
Članak 4.
Tehničke mjere zaštite
1. Odstupajući od članka 3. stavka 1., obavješćivanje predmetnog pretplatnika ili pojedinca o povredi osobnih podataka nije potrebno ako je pružatelj usluga nadležnom nacionalnom tijelu pružio zadovoljavajuće dokaze da je uveo odgovarajuće tehničke mjere zaštite i da su te mjere primijenjene na podatke na koje se odnosi proboj zaštitnih mjera. Takvim tehničkim mjerama zašite podaci postaju nerazumljivi svim osobama koje nisu ovlaštene pristupati tim podacima.
2. Podaci se smatraju nerazumljivima:
(a)
ako su sigurno kodirani standardnim algoritmom, ako ključ korišten za dekodiranje podataka nije ugrožen probojem zaštitnih mjera i ako je ključ korišten za dekodiranje podataka izrađen na takav način da ga pomoću dostupnih tehnoloških sredstava ne može utvrditi nijedna osoba koja nije ovlaštena pristupiti ključu; ili
(b)
ako su zamijenjeni svojom raspršenom vrijednošću koja se izračunava standardiziranom funkcijom raspršivanja pomoću kriptografskog ključa, ako ključ korišten za raspršivanje podataka nije ugrožen probojem zaštitnih mjera i ako je ključ korišten za raspršivanje podataka izrađen na takav način da ga pomoću dostupnih tehnoloških sredstava ne može utvrditi nijedna osoba koja nije ovlaštena pristupiti ključu.
3. Komisija može, nakon savjetovanja s nadležnim nacionalnim tijelima putem radne skupine iz članka 29., Europskom agencijom za mrežnu i informacijsku sigurnosti i Europskim nadzornikom za zaštitu podataka, objaviti indikativni popis odgovarajućih tehničkih mjera zaštite iz stavka 1. u skladu s postojećim praksama.
Članak 5.
Korištenje drugog pružatelja usluga
Ako se sklopi ugovor za pružanje dijela elektroničkih komunikacijskih usluga s drugim pružateljem usluga koji nije u izravnom ugovornom odnosu s pretplatnicima, taj drugi pružatelj usluga treba u slučaju povrede osobnih podataka bez odlaganja obavijestiti pružatelja usluga naručitelja.
Članak 6.
Izvješćivanje i preispitivanje
U roku od tri godina od stupanja na snagu ove Uredbe Komisija dostavlja izvješće o primjeni ove Uredbe, njezinoj učinkovitosti i njezinim učincima na pružatelje usluga, pretplatnike i pojedince. Komisija na temelju tog izvješća preispituje ovu Uredbu.
Članak 7.
Stupanje na snagu
Ova Uredba stupa na snagu 25. kolovoza 2013.
Ova je Uredba u cijelosti obvezujuća i izravno se primjenjuje u svim državama članicama.
Sastavljeno u Bruxellesu 24. lipnja 2013.