РЕГЛАМЕНТ (ЕС) № 611/2013 НА КОМИСИЯТА
от 24 юни 2013 година
относно мерките, приложими за съобщаването на нарушения на сигурността на личните данни съгласно Директива 2002/58/ЕО на Европейския парламент и на Съвета за правото на неприкосновеност на личния живот и електронни комуникации
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (1), и по-специално член 4, параграф 5 от нея,
след като се консултира с Европейската агенция за мрежова и информационна сигурност (ENISA),
след като се консултира с Работната група за защита на лицата по отношение на обработката на лични данни, която е сформирана съгласно член 29 от Директива 95/46/ЕО на Европейския парламент и Съвета от 24 октомври 1995 г. за защита на физическите лица по отношение на обработката на лични данни и за свободното движение на такива данни (2) (Работната група по член 29),
след като се консултира с Европейския надзорен орган по защита на данните (ЕНОЗД),
като има предвид, че:
(1)
В Директива 2002/58/ЕО се предвижда да бъдат хармонизирани националните разпоредби, необходими за осигуряване на еднаква степен на защита на основните права и свободи, и по-специално правото на неприкосновеност на личния живот и правото на поверителност по отношение на обработката на лични данни в сектора на електронните комуникации, както и да бъде осигурено свободно движение на такива данни и оборудване за електронни комуникации и услуги в Съюза.
(2)
Съгласно член 4 от Директива 2002/58/ЕО доставчиците на общественодостъпни електронни съобщителни услуги са задължени да уведомяват компетентните национални органи, а в определени случаи и засегнатите абонати и лица, за нарушенията на сигурността на личните данни. Нарушенията на сигурността на лични данни са дефинирани в член 2, буква и) от Директива 2002/58/ЕО като нарушения на сигурността, които водят до случайно или незаконно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, предавани, съхранявани или обработвани по друг начин във връзка с предоставянето на общественодостъпна електронна съобщителна услуга в Общността.
(3)
С цел да се осигури последователност при изпълнението на мерките, посочени в член 4, параграфи 2, 3 и 4 от Директива 2002/58/ЕО, член 4, параграф 5 от нея оправомощава Комисията да приема технически мерки за изпълнение във връзка с обстоятелствата, формата и процедурите, приложими за изискванията за информация и уведомяване, посочени в споменатия член.
(4)
Различните национални изисквания в това отношение могат да доведат до правна несигурност, по-сложни и тромави процедури и значителни административни разходи за доставчиците на услуги, извършващи трансгранична дейност. Поради това Комисията счита за необходимо да приеме такива технически мерки за изпълнение.
(5)
Настоящият регламент се ограничава със съобщаването на нарушения на сигурността на лични данни и следователно не определя технически мерки за изпълнение във връзка с член 4, параграф 2 от Директива 2002/58/ЕО относно информиране на абонатите, в случай че има конкретна опасност от нарушаване на сигурността на мрежата.
(6)
От член 4, параграф 3, първа алинея от Директива 2002/58/ЕО следва, че доставчиците трябва да уведомяват компетентния национален орган за всички нарушения на сигурността на лични данни. Следователно на доставчика не следва да се оставя свобода за вземане на решение дали да уведоми компетентния национален орган. Това обаче не следва да възпрепятства въпросния компетентен национален орган да приоритизира разследването на някои нарушения по начин, който той счита за подходящ в съответствие с приложимото законодателство, и да предприема необходимите мерки за предотвратяване на докладване на недостатъчно или прекалено много нарушения във връзка с лични данни.
(7)
Целесъобразно е да се предвиди система за уведомяване на компетентния национален орган за нарушенията на сигурността на лични данни, която се състои, в случаите, в които са изпълнени определени условия, от различни етапи, за всеки от които важат определени срокове. Тази система е предназначена да гарантира, че компетентният национален орган бива информиран възможно най-рано и във възможно най-пълна степен, без обаче да бъде възпрепятстван доставчикът в усилията му да разследва нарушението и да взема необходимите мерки за ограничаване и отстраняване на последствията от него.
(8)
За целите на настоящия регламент, за да се счита, че е било открито нарушение на сигурността на лични данни, не са достатъчни нито обикновеното подозрение, че е имало нарушение на сигурността на лични данни, нито простото откриване на инцидент, без да има налице достатъчно информация, въпреки всички възможни усилия на доставчика да осигури такава. В тази връзка особено внимание следва да се обърне на наличието на информацията, посочена в приложение I.
(9)
В контекста на прилагането на настоящия регламент в случай на нарушаване на сигурността на лични данни с трансгранично измерение съответните компетентни национални органи следва да си сътрудничат.
(10)
Настоящият регламент не предвижда допълнителна спецификация за регистъра на нарушенията на сигурността на лични данни, който трябва да се поддържа от доставчиците, като се има предвид, че в член 4 от Директива 2002/58/ЕО неговото съдържание се определя изчерпателно. Доставчиците обаче могат да се позовават на настоящия регламент, за да се определи форматът на регистъра.
(11)
Всички компетентни национални органи следва да осигурят сигурни електронни средства, така че доставчиците да съобщават за нарушения на сигурността на личните данни в общ формат (основан на стандарт като XML), съдържащ информацията, посочена в приложение I, на съответните езици, така че да се даде възможност на всички доставчици в рамките на Съюза да следват сходна процедура за съобщаване, независимо от това къде се намират или къде е било извършено нарушаването на сигурността на личните данни. В тази връзка Комисията следва да улеснява въвеждането на сигурни електронни средства, като свиква заседания с компетентните национални органи, когато това е необходимо.
(12)
При оценяване дали дадено нарушаване на сигурността на личните данни има вероятност да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или лице следва да се вземе предвид по-специално естеството и съдържанието на съответните лични данни, по-специално когато данните касаят финансова информация, като например данни за кредитни карти и подробности за банкови сметки; специалните категории от данни, посочени в член 8, параграф 1 от Директива 95/46/ЕО; както и някои данни, конкретно свързани с предоставянето на телефонни или интернет услуги, т.е. данни за електронната поща, данни за местоположението, файлове със статистика за интернет връзките, история на посетените уебстраници и списъци с повиквания, указани по позиции.
(13)
При изключителни обстоятелства, когато уведомяването на абоната или лицето може да изложи на риск правилното разследване на нарушаването на сигурността на личните данни, на доставчика следва да бъде разрешено да забавя уведомяването на абоната или лицето. В този контекст извънредни обстоятелства могат да включват криминални разследвания, както и други нарушения на сигурността на лични данни, които не са равностойни на сериозно престъпление, но за които може да е целесъобразно уведомяването да бъде отложено. Във всеки случай националният компетентен орган следва да е този, който преценява за всеки отделен случай и в светлината на обстоятелствата дали да даде съгласие за отлагане или да изиска уведомяване.
(14)
Макар че доставчиците следва да имат данни за контакт със своите абонати предвид преките им договорни отношения, за други лица, засегнати от нарушаването на сигурността на личните данни може да няма такава информация. В такъв случай следва да бъде разрешено доставчикът да уведоми въпросните лица първоначално посредством съобщения в основните национални или регионални средства за масова информация, като например вестници, които веднага щом бъде възможно трябва да бъдат последвани от индивидуално уведомяване, както е предвидено в настоящия регламент. Доставчикът следователно не е длъжен като такъв да уведомява чрез средствата за масова информация, а по-скоро е упълномощен да действа по този начин, ако пожелае, когато все още е в процес на определяне на всички лица, които са засегнати.
(15)
Информацията за нарушението следва да бъде съсредоточена върху нарушението, а не да бъде свързана с информация по друга тема. Така например включването на информация за нарушаване на сигурността на лични данни в редовна фактура не следва да се счита за адекватен начин за уведомяване за нарушаване на сигурността на лични данни.
(16)
В настоящия регламент не се определят конкретни технически мерки за защита, които да оправдават дерогация от задължението за уведомяване на абонатите и лицата за нарушаване на сигурността на личните данни, тъй като тези мерки могат да търпят промени с течение на времето и развитието на технологиите. Комисията обаче следва да бъде в състояние да публикува примерен списък на конкретни такива технологични мерки за защита в съответствие с текущите практики.
(17)
Прилагането на криптиране или хеширане не следва да се смята за достатъчно само по себе си, за да позволи доставчиците да претендират в по-широк план, че са изпълнили общото задължение за сигурност, посочено в член 17 от Директива 95/46/ЕО. В тази връзка доставчиците следва също така да прилагат подходящи организационни и технически мерки за предотвратяване, откриване и блокиране на нарушения на сигурността на личните данни. Доставчиците следва да вземат предвид всеки остатъчен риск, който може да съществува, след като са били извършени проверки, с цел да разберат къде потенциално може да има нарушения на сигурността на личните данни.
(18)
Когато доставчикът използва друг доставчик за извършването на част от услугата, например във връзка с фактуриране или управленски функции, в случай на нарушение на сигурността на лични данни този друг доставчик, който няма преки договорни отношения с крайния потребител, не следва да бъде задължен да издава уведомления. Вместо това той следва да предупреди и информира за това доставчика, с който има преки договорни взаимоотношения. Това следва да се прилага и в контекста на предоставянето на едро на електронни съобщителни услуги, когато обикновено доставчикът на едро няма преки договорни отношения с крайния потребител.
(19)
В Директива 95/46/ЕО се определя обща рамка за защита на личните данни в Европейския съюз. Комисията представи предложение за регламент на Европейския парламент и на Съвета, който да замени Директива 95/46/ЕО (Директивата за защитата на данните). Предложеният регламент за защитата на данните ще въведе задължение за всички администратори на лични данни да уведомяват за нарушаване на сигурността на личните данни, основавайки се на член 4, параграф 3 от Директива 2002/58/ЕО. Настоящият регламент на Комисията е напълно съвместим с тази предложена мярка.
(20)
Предложеният регламент за защитата на данните също така прави ограничен брой технически изменения в Директива 2002/58/ЕО, за да се вземе предвид преобразуването на Директива 95/46/ЕО в регламент. Съществените правни последици от новия регламент за Директива 2002/58/ЕО ще бъдат обект на преразглеждане от страна на Комисията.
(21)
Прилагането на настоящия регламент следва да бъде преразгледано три години след влизането му в сила, а неговото съдържание - преразгледано в светлината на действащата нормативна уредба към горепосочения момент, включително в светлината на предложения регламент за защитата на данните. Преразглеждането на настоящия регламент следва да бъдат свързано, когато това е възможно, с евентуално бъдещо преразглеждане на Директива 2002/58/ЕО.
(22)
Прилагането на настоящия регламент може да бъде оценено въз основа, inter alia, на всяка статистика, водена от националните компетентни органи, за съобщените нарушения на сигурността на лични данни. Тези статистически данни могат да включват например информация относно броя на нарушенията на сигурността на лични данни, съобщени на националния компетентен орган, броя на нарушенията на сигурността на лични данни, съобщени на абоната или лицето, времето, необходимо за разрешаването на проблема с нарушението на сигурността на лични данни, както и дали са били взети технически мерки за защита. Тези статистически данни следва да осигурят на Комисията и на държавите членки последователни и сравними статистически данни и не трябва да разкриват нито самоличността на уведомяващия доставчик, нито тази на засегнатите абонати или лица. За тази цел Комисията може също така да провежда редовни срещи с националните компетентни органи и други заинтересовани страни.
(23)
Мерките, предвидени в настоящия регламент, са в съответствие със становището на Комитета за регулиране на съобщенията,
ПРИЕ НАСТОЯЩИЯ РЕГЛАМЕНТ:
Член 1
Обхват
Настоящият регламент се прилага за съобщаването на нарушения на сигурността на лични данни от страна на доставчици на публичнодостъпни електронни съобщителни услуги („доставчикът“).
Член 2
Уведомяване на компетентните национални органи
1. Доставчикът уведомява националния компетентен орган за всички нарушения на сигурността на личните данни.
2. Доставчикът уведомява националния компетентен орган за нарушението на сигурността на лични данни не по-късно от 24 часа след откриване на нарушението на сигурността на лични данни, когато това е възможно.
Доставчикът трябва да включи в своето уведомление до националния компетентен орган информацията, посочена в приложение I.
Счита се, че е открито нарушение на сигурността на лични данни, когато доставчикът е получил достатъчно информация, че е имало произшествие, свързано със сигурността, довело до компрометиране на лични данни, за да направи той съдържателно уведомление, както се изисква съгласно настоящия регламент.
3. Когато не е налице цялата информация, посочена в приложение I, и се изисква допълнително разследване на нарушението на сигурността на лични данни, на доставчика следва да бъде разрешено да изпрати първоначалното уведомление на националния компетентен орган не по-късно от 24 часа след откриване на нарушението на сигурността на лични данни. Това първоначално уведомяване на националния компетентен орган включва информацията, посочена в раздел 1 от приложение I. Доставчикът изпраща второ уведомление на националния компетентен орган възможно най-скоро и най-късно в рамките на три дни след първоначалното уведомяване. Това второ уведомление включва информацията, посочена в раздел 2 от приложение I, и когато е необходимо, актуализира вече предоставената информация.
Когато доставчикът, въпреки разследванията си, не е в състояние да предостави цялата информация в тридневен срок от първоначалното уведомяване, той съобщава толкова информация, с колкото разполага за този срок, и предоставя на националния компетентен орган мотивирана обосновка за закъснялото съобщаване на останалата информация. Доставчикът съобщава останалата информация на националния компетентен орган и когато е необходимо, актуализира вече предоставената информация във възможно най-кратък срок.
4. Националният компетентен орган предоставя на всички доставчици, установени в съответната държава членка, сигурни електронни средства за съобщаване на нарушения на сигурността на лични данни и на информация относно процедурите за достъп до тях и използването им. Когато е необходимо, Комисията свиква заседания с компетентните национални органи, за да улесни прилагането на тази разпоредба.
5. Когато нарушаването на сигурността на личните данни засяга абонати или лица от държави членки, различни от тази на националния компетентен орган, на който е било съобщено нарушаване на сигурността на личните данни, националният компетентен орган информира другите съответни национални органи.
За да улесни прилагането на тази разпоредба, Комисията създава и поддържа списък на националните компетентни органи и съответните звена за контакт.
Член 3
Уведомяване на абоната или лицето
1. Когато има вероятност нарушението на сигурността на личните данни да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или отделно лице, освен уведомяването, посочено в член 2, доставчикът също така уведомява засегнатия абонат или лице.
2. Дали дадено нарушаване на сигурността на личните данни има вероятност да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или отделно лице се преценява, като се вземат предвид по-специално следните обстоятелства:
а)
естеството и съдържанието на съответните лични данни, по-специално когато данните се отнасят за финансова информация, специалните категории от данни, посочени в член 8, параграф 1 от Директива 95/46/ЕО, както и данни за местоположението, файлове със статистика за интернет връзките, история на посетените уебстраници, данни за електронната поща и списъци с повиквания, указани по позиции;
б)
вероятните последици от нарушаването на сигурността на личните данни за засегнатия абонат или лице, по специално когато нарушението може да доведе до кражба на самоличност или измама с фалшива самоличност, физическа вреда, психично разстройство, накърняване на достойнството или на репутацията; както и
в)
обстоятелствата на нарушаването на сигурността на личните данни, по-специално когато данните са били откраднати или когато доставчикът знае, че данните са в притежание на неупълномощена трета страна.
3. Уведомяването на абоната или лицето се извършва без ненужно забавяне след откриването на нарушението на сигурността на лични данни, както е определено в член 2, параграф 2, трета алинея. То не зависи от уведомяването на националния компетентен орган за нарушаване на сигурността на лични данни, посочено в член 2.
4. Доставчикът трябва да включи в своето съобщение до абоната или лицето информацията, посочена в приложение II. Уведомяването на абоната или лицето се извършва на ясен и лесноразбираем език. Доставчикът не трябва да използва уведомяването като възможност за популяризиране или реклама на нови или допълнителни услуги.
5. При изключителни обстоятелства, когато уведомяването на абоната или лицето може да изложи на риск правилното разследване на нарушението на сигурността на лични данни, на доставчика се разрешава, след като е получил съгласие от страна на националния компетентен орган, да забави уведомяването на абоната или лицето, докато компетентният национален орган счете, че е възможно да уведоми за нарушаването на сигурността на лични данни в съответствие с настоящия член.
6. Доставчикът уведомява засегнатия абонат или лице за нарушаването на сигурността на личните данни чрез средства за комуникация, гарантиращи незабавното получаване на информация и чиято сигурност е защитена по подходящ начин в съответствие със съвременното техническо ниво. Информацията за нарушението трябва да бъде съсредоточена върху нарушението, а не да бъде свързана с информация по друга тема.
7. Когато доставчикът, който има преки договорни отношения с крайния потребител, независимо от положените целесъобразни усилия не е в състояние в рамките на срока, посочен в параграф 3, да определи всички лица, които има вероятност да са засегнати по неблагоприятен начин от нарушението на сигурността на лични данни, той може да уведоми въпросните лица посредством обявления в основните национални или регионални медии в съответните държави членки в рамките на посочения срок. Тези обявления следва да съдържат информацията, посочена в приложение II, и когато е необходимо - в сбита форма. В такъв случай доставчикът трябва да продължи да полага всички целесъобразни усилия да определи посочените лица и да им съобщи информацията, посочена в приложение II, във възможно най-кратък срок.
Член 4
Технически мерки за защита
1. Чрез дерогация от член 3, параграф 1 не се изисква уведомяване на засегнат абонат или отделно засегнато лице за нарушение на сигурността на лични данни, ако доставчикът е доказал в удовлетворителна степен пред националния компетентен орган, че е взел подходящи технически мерки за защита и че тези мерки са приложени за данните, засегнати от нарушаването на сигурността. Такива технически мерки за защита трябва да правят данните неразбираеми за всяко лице, което не е упълномощено за достъп до тях.
2. Данните се разглеждат като неразбираеми, ако:
а)
са сигурно шифровани със стандартизиран алгоритъм, като ключът, използван за дешифриране на данните, не е бил разкрит при нарушение на сигурността, и ключът, използван за дешифриране на данните, е генериран така, че да не може да бъде открит с наличните технически средства от което и да било лице, което не е упълномощено за достъп до ключа; или
б)
са заменени с тяхната хеширана стойност, изчислена със стандартизирана шифроваща хеш-функция с ключ, като ключът, използван за хеширане на данните, не е бил разкрит при нарушение на сигурността, и ключът, използван за хеширане на данните, е генериран така, че да не може да бъде открит с наличните технически средства от което и да било лице, което не е упълномощено за достъп до ключа.
3. В съответствие с текущите практики, след консултация с компетентните национални органи посредством Работната група по член 29, с Европейската агенция за мрежова и информационна сигурност и с Европейския надзорен орган по защита на данните, Комисията може да публикува ориентировъчен списък с подходящи технически мерки за защита, споменати в параграф 1.
Член 5
Използване на друг доставчик
Когато се използва друг доставчик за доставянето на част от електронната съобщителна услуга без преки договорни отношения с абонатите, в случай на нарушение, свързано с личните данни, този друг доставчик незабавно уведомява доставчика, който го е ангажирал.
Член 6
Докладване и преразглеждане
В рамките на три години от влизането в сила на настоящия регламент Комисията следва да представи доклад за прилагането на настоящия регламент, неговата ефективност и въздействието му върху доставчиците, абонатите и физическите лица. Въз основа на този доклад Комисията преразглежда настоящия регламент.
Член 7
Влизане в сила
Настоящият регламент влиза в сила на 25 август 2013 г.
Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави членки.
Съставено в Брюксел на 24 юни 2013 година.
REGOLAMENTO (UE) N. 611/2013 DELLA COMMISSIONE
del 24 giugno 2013
sulle misure applicabili alla notifica delle violazioni di dati personali a norma della direttiva 2002/58/CE del Parlamento europeo e del Consiglio relativa alla vita privata e alle comunicazioni elettroniche
LA COMMISSIONE EUROPEA,
visto il trattato sul funzionamento dell’Unione europea,
vista la direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) (1), in particolare l’articolo 4, paragrafo 5,
previa consultazione dell’Agenzia europea per la sicurezza delle reti e dell’informazione (ENISA),
previa consultazione del gruppo per la tutela delle persone con riguardo al trattamento dei dati personali, istituito dall’articolo 29 della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (2) (il gruppo dell’articolo 29),
previa consultazione del Garante europeo della protezione dei dati (GEPD),
considerando quanto segue:
(1)
La direttiva 2002/58/CE prevede l’armonizzazione delle disposizioni nazionali necessarie per garantire un livello equivalente di tutela dei diritti e delle libertà fondamentali, in particolare del diritto alla vita privata e alla riservatezza, con riguardo al trattamento dei dati personali nel settore delle comunicazioni elettroniche e per assicurare la libera circolazione di tali dati e delle apparecchiature e dei servizi di comunicazione elettronica all’interno dell’Unione.
(2)
A norma dell’articolo 4 della direttiva 2002/58/CE, i fornitori di servizi di comunicazione elettronica accessibili al pubblico sono tenuti a notificare le violazioni di dati personali alle autorità nazionali competenti e, in alcuni casi, anche agli abbonati e alle altre persone interessate. Ai sensi dell’articolo 2, lettera i), della direttiva 2002/58/CE, si intende per «violazione dei dati personali» una violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la rivelazione non autorizzata o l’accesso ai dati personali trasmessi, memorizzati o comunque elaborati nel contesto della fornitura di un servizio di comunicazione accessibile al pubblico nell’Unione.
(3)
Per garantire l’attuazione uniforme delle misure di cui all’articolo 4, paragrafi 2, 3 e 4 della direttiva 2002/58/CE, l’articolo 4, paragrafo 5, della stessa direttiva conferisce alla Commissione la facoltà di adottare misure tecniche di attuazione riguardanti le circostanze, il formato e le procedure applicabili alle prescrizioni in materia di informazioni e comunicazioni di cui allo stesso articolo.
(4)
L’esistenza di requisiti nazionali divergenti in proposito può dar luogo a incertezza giuridica, a procedure più complesse e gravose e a costi amministrativi considerevoli per i fornitori che operano a livello transfrontaliero. La Commissione ritiene pertanto necessario adottare le suddette misure tecniche di attuazione.
(5)
Il presente regolamento riguarda esclusivamente la notifica delle violazioni di dati personali e non fissa pertanto misure tecniche di attuazione con riguardo all’articolo 4, paragrafo 2, della direttiva 2002/58/CE sull’informazione degli abbonati nel caso in cui esista un particolare rischio di violazione della sicurezza della rete.
(6)
Dall’articolo 4, paragrafo 3, primo comma, della direttiva 2002/58/CE consegue che i fornitori sono tenuti a notificare tutte le violazioni di dati personali all’autorità nazionale competente. Al fornitore non dev’essere pertanto lasciata la possibilità di decidere se informare o meno tale autorità. Ciò non deve tuttavia impedire all’autorità nazionale competente interessata di indagare in via prioritaria su determinate violazioni nel modo che ritiene adeguato conformemente alla legislazione applicabile e di adottare le misure necessarie per evitare che vi siano troppe o troppo poche violazioni di dati personali segnalate.
(7)
È opportuno prevedere un sistema di notifica delle violazioni di dati personali all’autorità nazionale competente che comporti, ove sussistano determinate condizioni, fasi distinte a cui si applicano scadenze ben definite. Questo sistema è volto a garantire che l’autorità nazionale competente venga informata con la massima tempestività e precisione, senza tuttavia ostacolare indebitamente gli sforzi compiuti dal fornitore per indagare sulla violazione e prendere le misure necessarie per arginarla e porre rimedio alle sue conseguenze.
(8)
Ai fini del presente regolamento, il semplice sospetto che si sia verificata una violazione di dati personali o la semplice individuazione di un incidente non accompagnati da informazioni sufficienti, malgrado tutti gli sforzi messi in atto da un fornitore per disporne, non possono essere considerati sufficienti per ritenere che è stata individuata una violazione di dati personali. A questo proposito, una particolare attenzione deve essere riservata al possesso delle informazioni di cui all'allegato I.
(9)
Nel quadro dell’applicazione del presente regolamento, è opportuno che le autorità nazionali competenti interessate prestino la loro collaborazione nei casi di violazione di dati personali che presentano una dimensione transnazionale.
(10)
Il presente regolamento non fornisce specifiche supplementari con riguardo all’inventario delle violazioni di dati personali che i fornitori devono compilare, dato che l’articolo 4 della direttiva 2002/58/CE ne definisce il contenuto in maniera esaustiva. I fornitori possono tuttavia far riferimento al presente regolamento per determinare il formato dell’inventario.
(11)
È necessario che tutte le autorità nazionali competenti mettano a disposizione dei fornitori uno strumento elettronico sicuro per la notifica delle violazioni di dati personali in un formato comune, basato su una norma come l’XML e contenente le informazioni di cui all’allegato I nelle lingue pertinenti, in modo da consentire a tutti i fornitori all’interno dell’Unione di seguire una procedura di notifica analoga, a prescindere dal luogo di stabilimento e dal luogo della violazione. A questo proposito, è opportuno che la Commissione faciliti l’introduzione dello strumento elettronico sicuro organizzando, ove necessario, riunioni con le autorità nazionali competenti.
(12)
Nel valutare se una violazione di dati personali rischia di pregiudicare i dati personali o la vita privata di un abbonato o di altra persona occorre tener conto, in particolare, della natura e del contenuto dei dati personali interessati, soprattutto nel caso di dati relativi a informazioni finanziarie quali numeri di carte di credito e coordinate bancarie, di categorie particolari di dati di cui all’articolo 8, paragrafo 1, della direttiva 95/46/CE nonché di alcuni dati specificamente legati alla fornitura di servizi di telefonia o Internet, ossia dati relativi alla posta elettronica, dati relativi all’ubicazione, file di connessione a Internet, cronologie di navigazione in rete ed elenchi dettagliati delle chiamate.
(13)
In circostanze eccezionali è opportuno che il fornitore sia autorizzato a ritardare la notifica all’abbonato o ad altra persona, qualora tale notifica possa mettere a rischio il corretto svolgimento dell’indagine sulla violazione di dati personali. In questo contesto, le circostanze eccezionali possono includere indagini penali e altre violazioni di dati personali non equiparabili a un reato grave, ma per le quali può essere opportuno posticipare la notifica. È comunque opportuno che spetti alle autorità nazionali competenti valutare, caso per caso e alla luce delle circostanze, se accogliere il rinvio o esigere la notifica.
(14)
I fornitori devono disporre delle coordinate dei propri abbonati, dato il loro rapporto contrattuale diretto, ma è possibile che tali informazioni non esistano per altre persone lese dalla violazione di dati personali. In tal caso, è opportuno che al fornitore venga consentito di informare in un primo tempo tali persone mediante annunci pubblicitari sui principali mezzi di comunicazione nazionali o regionali, come i giornali, per poi trasmettere, non appena possibile, una notifica individuale secondo quanto previsto dal presente regolamento. Il fornitore non è dunque espressamente obbligato a ricorrere a tali mezzi di comunicazione, ma ha piuttosto la facoltà di farlo se lo desidera, quando è ancora nella fase di identificazione di tutte le persone lese.
(15)
È opportuno che le informazioni relative alla violazione si limitino esclusivamente alla violazione stessa e non siano associate ad informazioni di altro tipo. Ad esempio, l’inclusione di informazioni riguardanti una violazione di dati personali in una regolare fattura non può essere considerata un mezzo adeguato di notifica di tale violazione.
(16)
Il presente regolamento non definisce misure tecnologiche di protezione specifiche che giustifichino una deroga all’obbligo di notifica delle violazioni di dati personali agli abbonati o ad altre persone interessate, poiché tali misure possono mutare nel tempo in funzione del progresso tecnologico. È tuttavia opportuno che la Commissione abbia la possibilità di pubblicare un elenco indicativo di tali misure tecnologiche di protezione specifiche in base alle prassi attuali.
(17)
Il ricorso a tecniche di crittografia o di hashing non deve essere ritenuto di per sé sufficiente dai fornitori per poter asserire in termini più generali di aver ottemperato all’obbligo generale di sicurezza di cui all’articolo 17 della direttiva 95/46/CE. A tal riguardo, i fornitori devono altresì applicare adeguate misure organizzative e tecniche volte a prevenire, individuare e bloccare le violazioni di dati personali. Essi devono inoltre esaminare ogni rischio residuo ancora presente una volta applicati i controlli al fine di comprendere se sussiste la possibilità che si verifichino violazioni di dati personali.
(18)
Se il fornitore ricorre a un altro fornitore per svolgere una parte del servizio, ad esempio per quanto riguarda la fatturazione o per funzioni di gestione, è opportuno che quest'altro fornitore, che non ha un rapporto contrattuale diretto con l’utilizzatore finale, non sia obbligato a notificare le violazioni di dati personali. Esso deve invece allertare e informare il fornitore con cui ha un rapporto contrattuale diretto. Questo principio deve valere anche nel contesto della fornitura all’ingrosso di servizi di comunicazione elettronica, in cui in genere il fornitore all’ingrosso non ha un rapporto contrattuale diretto con l’utilizzatore finale.
(19)
La direttiva 95/46/CE definisce un quadro generale per la protezione dei dati personali nell’Unione europea. La Commissione ha presentato una proposta di regolamento del Parlamento europeo e del Consiglio (il «regolamento sulla protezione dei dati») volto a sostituire la direttiva 95/46/CE. Il proposto regolamento sulla protezione dei dati intende introdurre l’obbligo per tutti i responsabili del trattamento di dati di notificare le violazioni di dati personali, sulla base dell’articolo 4, paragrafo 3, della direttiva 2002/58/CE. Il presente regolamento della Commissione è pienamente compatibile con la misura proposta.
(20)
Il proposto regolamento sulla protezione dei dati introduce inoltre un numero limitato di adeguamenti tecnici alla direttiva 2002/58/CE per tener conto della conversione in regolamento della direttiva 95/46/CE. Le conseguenze in materia di diritto sostanziale per la direttiva 2002/58/CE prodotte dal nuovo regolamento saranno oggetto di una revisione della Commissione.
(21)
È opportuno che l’applicazione del presente regolamento venga riesaminata a distanza di tre anni dall’entrata in vigore e che il suo contenuto sia riveduto alla luce del contesto giuridico in vigore in quel momento, incluso il proposto regolamento sulla protezione dei dati. Ove possibile, il riesame del presente regolamento deve essere associato a ogni futura revisione della direttiva 2002/58/CE.
(22)
L’applicazione del presente regolamento può essere valutata fra l’altro in base alle statistiche tenute dalle autorità nazionali competenti con riguardo alle violazioni di dati personali che vengono loro notificate. Tali statistiche possono ad esempio includere informazioni sul numero di violazioni di dati personali notificate all’autorità nazionale competente, sul numero di violazioni di dati personali notificate all’abbonato o ad altra persona, sul tempo impiegato per rimediare alla violazione e sull’eventuale adozione di misure tecnologiche di protezione. È opportuno che tali statistiche forniscano alla Commissione e agli Stati membri dati statistici coerenti e comparabili senza rivelare né l’identità del fornitore da cui è partita la notifica né quella degli abbonati o delle altre persone coinvolte. A tal fine la Commissione può anche organizzare riunioni regolari con le autorità nazionali competenti e altre parti interessate.
(23)
Le misure di cui al presente regolamento sono conformi al parere del comitato per le comunicazioni,
HA ADOTTATO IL PRESENTE REGOLAMENTO:
Articolo 1
Campo di applicazione
Il presente regolamento si applica alla notifica delle violazioni di dati personali da parte dei fornitori di servizi di comunicazione elettronica accessibili al pubblico («il fornitore»).
Articolo 2
Notifica all’autorità nazionale competente
1. Il fornitore notifica all’autorità nazionale competente tutte le violazioni di dati personali.
2. Il fornitore notifica all’autorità nazionale competente la violazione di dati personali entro un termine di 24 ore a partire dal rilevamento della violazione, ove possibile.
Il fornitore include nella propria notifica all’autorità nazionale competente le informazioni di cui all’allegato I.
La constatazione di una violazione di dati personali è considerata avvenuta se il fornitore ha acquisito elementi sufficienti, relativi a un incidente di sicurezza che ha compromesso dati personali, a giustificare una notifica a norma del presente regolamento.
3. Qualora le informazioni di cui all’allegato I non siano interamente disponibili e occorrano ulteriori indagini sulla violazione di dati personali, il fornitore è autorizzato a trasmettere all’autorità nazionale competente una notifica iniziale entro 24 ore a partire dal rilevamento della violazione. Questa notifica iniziale all’autorità nazionale competente contiene le informazioni di cui alla sezione 1 dell’allegato I. Non appena possibile, e al massimo entro tre giorni dalla notifica iniziale, il fornitore trasmette all’autorità nazionale competente una seconda notifica. Questa seconda notifica contiene le informazioni di cui alla sezione 2 dello stesso allegato e, se necessario, aggiorna le informazioni già fornite.
Il fornitore che, malgrado le indagini effettuate, non sia in grado di fornire tutte le informazioni entro tre giorni dalla notifica iniziale, notifica tutte le informazioni di cui dispone entro tale termine e presenta all’autorità nazionale competente una giustificazione motivata per la notifica tardiva delle informazioni residue. Non appena possibile, il fornitore notifica all’autorità nazionale competente tali informazioni residue e, se necessario, aggiorna le informazioni già fornite.
4. L’autorità nazionale competente mette a disposizione di tutti i fornitori stabiliti nello Stato membro interessato uno strumento elettronico sicuro per la notifica delle violazioni di dati personali nonché informazioni sulle procedure di accesso e di uso di tale strumento. Se necessario, la Commissione organizza riunioni con le autorità nazionali competenti per facilitare l’applicazione della presente disposizione.
5. Quando la violazione di dati personali riguarda abbonati o altre persone provenienti da uno Stato membro diverso da quello dell’autorità nazionale competente a cui la violazione di dati personali è stata notificata, l’autorità nazionale competente ne informa le altre autorità nazionali interessate.
Per facilitare l’applicazione della presente disposizione, la Commissione redige e mantiene aggiornato un elenco delle autorità nazionali competenti e di punti di contatto adeguati.
Articolo 3
Notifica all’abbonato o ad altra persona
1. Quando la violazione di dati personali rischia di pregiudicare i dati personali o la vita privata di un abbonato o di altra persona, in aggiunta alla notifica di cui all’articolo 2 il fornitore comunica l’avvenuta violazione anche all’abbonato o all’altra persona.
2. L’eventualità che una violazione di dati personali possa pregiudicare i dati personali o la vita privata di un abbonato o di un’altra persona è valutata tenendo conto, in particolare, delle seguenti circostanze:
a)
la natura e il contenuto dei dati personali interessati, in particolare qualora essi riguardino informazioni finanziarie, categorie particolari di dati di cui all’articolo 8, paragrafo 1, della direttiva 95/46/CE, nonché dati relativi all’ubicazione, file di connessione a Internet, cronologie di navigazione in rete, dati relativi alla posta elettronica ed elenchi dettagliati delle chiamate;
b)
le probabili conseguenze della violazione di dati personali per l’abbonato o l’altra persona interessata, in particolare nel caso in cui la violazione possa comportare furto o usurpazione di identità, danni fisici, disagio psicologico, umiliazione o danni alla reputazione; nonché
c)
le circostanze della violazione di dati personali, in particolare nel caso in cui i dati siano stati rubati o se il fornitore è a conoscenza del fatto che i dati sono in possesso di un terzo non autorizzato.
3. La notifica all’abbonato o all’altra persona è effettuata senza indebito ritardo dopo la scoperta della violazione di dati personali, secondo quanto previsto all’articolo 2, paragrafo 2, terzo comma. Tale notifica è indipendente dalla notifica della violazione di dati personali all’autorità nazionale competente, di cui all’articolo 2.
4. Il fornitore include nella propria notifica all’abbonato o altra persona interessata le informazioni di cui all’allegato II. La notifica all’abbonato o all’altra persona è espressa in modo chiaro e facilmente comprensibile. Il fornitore non si serve della notifica come mezzo per promuovere o pubblicizzare servizi nuovi o aggiuntivi.
5. In circostanze eccezionali, qualora la notifica all’abbonato o all’altra persona possa mettere a rischio il corretto svolgimento dell’indagine sulla violazione di dati personali, il fornitore è autorizzato, previo accordo dell’autorità nazionale competente, a ritardare la notifica all’abbonato o all’altra persona fino a quando la suddetta autorità ritenga possibile notificare la violazione di dati personali conformemente al presente articolo.
6. Il fornitore notifica all’abbonato o all’altra persona la violazione di dati personali facendo ricorso a mezzi di comunicazione che consentano un rapido recapito delle informazioni e la cui sicurezza sia garantita con le tecnologie più avanzate. Le informazioni relative alla violazione si limitano alla violazione stessa e non sono associate ad informazioni di altro tipo.
7. Il fornitore legato da un rapporto contrattuale diretto all’utilizzatore finale che, malgrado i ragionevoli sforzi profusi, non sia in grado di individuare entro il termine di cui al paragrafo 3 tutte le persone che potrebbero essere lese dalla violazione di dati personali, può informare tali persone entro lo stesso termine attraverso annunci pubblicitari nei principali mezzi di comunicazione nazionali o regionali negli Stati membri interessati. Tali annunci sono corredati delle informazioni riportate nell’allegato II, se necessario in forma sintetica. In tal caso, il fornitore continua a compiere tutti gli sforzi ragionevoli per identificare tali persone e notificare loro quanto prima le informazioni di cui all’allegato II.
Articolo 4
Misure tecnologiche di protezione
1. In deroga all’articolo 3, paragrafo 1, non è richiesta la notifica di una violazione dei dati personali a un abbonato o ad altra persona interessata se il fornitore ha dimostrato in modo convincente all’autorità nazionale competente di avere utilizzato adeguate misure tecnologiche di protezione e che tali misure erano state applicate ai dati interessati dalla violazione della sicurezza. Tali misure tecnologiche di protezione rendono i dati incomprensibili a chiunque non sia autorizzato ad accedervi.
2. I dati sono considerati incomprensibili se:
a)
sono stati crittografati in modo sicuro mediante un algoritmo standardizzato, la chiave utilizzata per decifrarli non è stata compromessa nell’ambito di una violazione della sicurezza ed è stata generata in modo tale da non poter essere individuata con i mezzi tecnologici disponibili da qualcuno che non sia autorizzato ad accedervi; o
b)
sono stati sostituiti dal loro valore hash calcolato mediante una funzione di hash con chiave crittografica normalizzata, la chiave utilizzata per l’hashing dei dati non è stata compromessa nell’ambito di una violazione della sicurezza ed è stata generata in modo tale da non poter essere individuata con i mezzi tecnologici disponibili da qualcuno che non sia autorizzato ad accedervi.
3. La Commissione, dopo aver consultato le autorità nazionali competenti tramite il gruppo dell’articolo 29, l’Agenzia europea per la sicurezza delle reti e dell’informazione e il Garante europeo della protezione dei dati, può pubblicare un elenco indicativo delle misure tecnologiche di protezione adeguate di cui al paragrafo 1, in base alle prassi attuali.
Articolo 5
Ricorso a un altro fornitore
Qualora per poter fornire una parte dei servizi di comunicazione elettronica si faccia ricorso a un altro fornitore che non ha un legame contrattuale diretto con gli abbonati, questo altro fornitore informa immediatamente il fornitore che lo ha ingaggiato in caso di violazione di dati personali.
Articolo 6
Relazioni e riesame
Entro tre anni dall’entrata in vigore del presente regolamento, la Commissione redige una relazione sull’applicazione del regolamento, la sua efficacia e il suo impatto sui fornitori, sugli abbonati e sulle altre persone. Sulla base di tale relazione la Commissione procede al riesame del presente regolamento.
Articolo 7
Entrata in vigore
Il presente regolamento entra in vigore il 25 agosto 2013.
Il presente regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.
Fatto a Bruxelles, il 24 giugno 2013