РЕГЛАМЕНТ (ЕС) № 611/2013 НА КОМИСИЯТА
от 24 юни 2013 година
относно мерките, приложими за съобщаването на нарушения на сигурността на личните данни съгласно Директива 2002/58/ЕО на Европейския парламент и на Съвета за правото на неприкосновеност на личния живот и електронни комуникации
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (1), и по-специално член 4, параграф 5 от нея,
след като се консултира с Европейската агенция за мрежова и информационна сигурност (ENISA),
след като се консултира с Работната група за защита на лицата по отношение на обработката на лични данни, която е сформирана съгласно член 29 от Директива 95/46/ЕО на Европейския парламент и Съвета от 24 октомври 1995 г. за защита на физическите лица по отношение на обработката на лични данни и за свободното движение на такива данни (2) (Работната група по член 29),
след като се консултира с Европейския надзорен орган по защита на данните (ЕНОЗД),
като има предвид, че:
(1)
В Директива 2002/58/ЕО се предвижда да бъдат хармонизирани националните разпоредби, необходими за осигуряване на еднаква степен на защита на основните права и свободи, и по-специално правото на неприкосновеност на личния живот и правото на поверителност по отношение на обработката на лични данни в сектора на електронните комуникации, както и да бъде осигурено свободно движение на такива данни и оборудване за електронни комуникации и услуги в Съюза.
(2)
Съгласно член 4 от Директива 2002/58/ЕО доставчиците на общественодостъпни електронни съобщителни услуги са задължени да уведомяват компетентните национални органи, а в определени случаи и засегнатите абонати и лица, за нарушенията на сигурността на личните данни. Нарушенията на сигурността на лични данни са дефинирани в член 2, буква и) от Директива 2002/58/ЕО като нарушения на сигурността, които водят до случайно или незаконно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, предавани, съхранявани или обработвани по друг начин във връзка с предоставянето на общественодостъпна електронна съобщителна услуга в Общността.
(3)
С цел да се осигури последователност при изпълнението на мерките, посочени в член 4, параграфи 2, 3 и 4 от Директива 2002/58/ЕО, член 4, параграф 5 от нея оправомощава Комисията да приема технически мерки за изпълнение във връзка с обстоятелствата, формата и процедурите, приложими за изискванията за информация и уведомяване, посочени в споменатия член.
(4)
Различните национални изисквания в това отношение могат да доведат до правна несигурност, по-сложни и тромави процедури и значителни административни разходи за доставчиците на услуги, извършващи трансгранична дейност. Поради това Комисията счита за необходимо да приеме такива технически мерки за изпълнение.
(5)
Настоящият регламент се ограничава със съобщаването на нарушения на сигурността на лични данни и следователно не определя технически мерки за изпълнение във връзка с член 4, параграф 2 от Директива 2002/58/ЕО относно информиране на абонатите, в случай че има конкретна опасност от нарушаване на сигурността на мрежата.
(6)
От член 4, параграф 3, първа алинея от Директива 2002/58/ЕО следва, че доставчиците трябва да уведомяват компетентния национален орган за всички нарушения на сигурността на лични данни. Следователно на доставчика не следва да се оставя свобода за вземане на решение дали да уведоми компетентния национален орган. Това обаче не следва да възпрепятства въпросния компетентен национален орган да приоритизира разследването на някои нарушения по начин, който той счита за подходящ в съответствие с приложимото законодателство, и да предприема необходимите мерки за предотвратяване на докладване на недостатъчно или прекалено много нарушения във връзка с лични данни.
(7)
Целесъобразно е да се предвиди система за уведомяване на компетентния национален орган за нарушенията на сигурността на лични данни, която се състои, в случаите, в които са изпълнени определени условия, от различни етапи, за всеки от които важат определени срокове. Тази система е предназначена да гарантира, че компетентният национален орган бива информиран възможно най-рано и във възможно най-пълна степен, без обаче да бъде възпрепятстван доставчикът в усилията му да разследва нарушението и да взема необходимите мерки за ограничаване и отстраняване на последствията от него.
(8)
За целите на настоящия регламент, за да се счита, че е било открито нарушение на сигурността на лични данни, не са достатъчни нито обикновеното подозрение, че е имало нарушение на сигурността на лични данни, нито простото откриване на инцидент, без да има налице достатъчно информация, въпреки всички възможни усилия на доставчика да осигури такава. В тази връзка особено внимание следва да се обърне на наличието на информацията, посочена в приложение I.
(9)
В контекста на прилагането на настоящия регламент в случай на нарушаване на сигурността на лични данни с трансгранично измерение съответните компетентни национални органи следва да си сътрудничат.
(10)
Настоящият регламент не предвижда допълнителна спецификация за регистъра на нарушенията на сигурността на лични данни, който трябва да се поддържа от доставчиците, като се има предвид, че в член 4 от Директива 2002/58/ЕО неговото съдържание се определя изчерпателно. Доставчиците обаче могат да се позовават на настоящия регламент, за да се определи форматът на регистъра.
(11)
Всички компетентни национални органи следва да осигурят сигурни електронни средства, така че доставчиците да съобщават за нарушения на сигурността на личните данни в общ формат (основан на стандарт като XML), съдържащ информацията, посочена в приложение I, на съответните езици, така че да се даде възможност на всички доставчици в рамките на Съюза да следват сходна процедура за съобщаване, независимо от това къде се намират или къде е било извършено нарушаването на сигурността на личните данни. В тази връзка Комисията следва да улеснява въвеждането на сигурни електронни средства, като свиква заседания с компетентните национални органи, когато това е необходимо.
(12)
При оценяване дали дадено нарушаване на сигурността на личните данни има вероятност да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или лице следва да се вземе предвид по-специално естеството и съдържанието на съответните лични данни, по-специално когато данните касаят финансова информация, като например данни за кредитни карти и подробности за банкови сметки; специалните категории от данни, посочени в член 8, параграф 1 от Директива 95/46/ЕО; както и някои данни, конкретно свързани с предоставянето на телефонни или интернет услуги, т.е. данни за електронната поща, данни за местоположението, файлове със статистика за интернет връзките, история на посетените уебстраници и списъци с повиквания, указани по позиции.
(13)
При изключителни обстоятелства, когато уведомяването на абоната или лицето може да изложи на риск правилното разследване на нарушаването на сигурността на личните данни, на доставчика следва да бъде разрешено да забавя уведомяването на абоната или лицето. В този контекст извънредни обстоятелства могат да включват криминални разследвания, както и други нарушения на сигурността на лични данни, които не са равностойни на сериозно престъпление, но за които може да е целесъобразно уведомяването да бъде отложено. Във всеки случай националният компетентен орган следва да е този, който преценява за всеки отделен случай и в светлината на обстоятелствата дали да даде съгласие за отлагане или да изиска уведомяване.
(14)
Макар че доставчиците следва да имат данни за контакт със своите абонати предвид преките им договорни отношения, за други лица, засегнати от нарушаването на сигурността на личните данни може да няма такава информация. В такъв случай следва да бъде разрешено доставчикът да уведоми въпросните лица първоначално посредством съобщения в основните национални или регионални средства за масова информация, като например вестници, които веднага щом бъде възможно трябва да бъдат последвани от индивидуално уведомяване, както е предвидено в настоящия регламент. Доставчикът следователно не е длъжен като такъв да уведомява чрез средствата за масова информация, а по-скоро е упълномощен да действа по този начин, ако пожелае, когато все още е в процес на определяне на всички лица, които са засегнати.
(15)
Информацията за нарушението следва да бъде съсредоточена върху нарушението, а не да бъде свързана с информация по друга тема. Така например включването на информация за нарушаване на сигурността на лични данни в редовна фактура не следва да се счита за адекватен начин за уведомяване за нарушаване на сигурността на лични данни.
(16)
В настоящия регламент не се определят конкретни технически мерки за защита, които да оправдават дерогация от задължението за уведомяване на абонатите и лицата за нарушаване на сигурността на личните данни, тъй като тези мерки могат да търпят промени с течение на времето и развитието на технологиите. Комисията обаче следва да бъде в състояние да публикува примерен списък на конкретни такива технологични мерки за защита в съответствие с текущите практики.
(17)
Прилагането на криптиране или хеширане не следва да се смята за достатъчно само по себе си, за да позволи доставчиците да претендират в по-широк план, че са изпълнили общото задължение за сигурност, посочено в член 17 от Директива 95/46/ЕО. В тази връзка доставчиците следва също така да прилагат подходящи организационни и технически мерки за предотвратяване, откриване и блокиране на нарушения на сигурността на личните данни. Доставчиците следва да вземат предвид всеки остатъчен риск, който може да съществува, след като са били извършени проверки, с цел да разберат къде потенциално може да има нарушения на сигурността на личните данни.
(18)
Когато доставчикът използва друг доставчик за извършването на част от услугата, например във връзка с фактуриране или управленски функции, в случай на нарушение на сигурността на лични данни този друг доставчик, който няма преки договорни отношения с крайния потребител, не следва да бъде задължен да издава уведомления. Вместо това той следва да предупреди и информира за това доставчика, с който има преки договорни взаимоотношения. Това следва да се прилага и в контекста на предоставянето на едро на електронни съобщителни услуги, когато обикновено доставчикът на едро няма преки договорни отношения с крайния потребител.
(19)
В Директива 95/46/ЕО се определя обща рамка за защита на личните данни в Европейския съюз. Комисията представи предложение за регламент на Европейския парламент и на Съвета, който да замени Директива 95/46/ЕО (Директивата за защитата на данните). Предложеният регламент за защитата на данните ще въведе задължение за всички администратори на лични данни да уведомяват за нарушаване на сигурността на личните данни, основавайки се на член 4, параграф 3 от Директива 2002/58/ЕО. Настоящият регламент на Комисията е напълно съвместим с тази предложена мярка.
(20)
Предложеният регламент за защитата на данните също така прави ограничен брой технически изменения в Директива 2002/58/ЕО, за да се вземе предвид преобразуването на Директива 95/46/ЕО в регламент. Съществените правни последици от новия регламент за Директива 2002/58/ЕО ще бъдат обект на преразглеждане от страна на Комисията.
(21)
Прилагането на настоящия регламент следва да бъде преразгледано три години след влизането му в сила, а неговото съдържание - преразгледано в светлината на действащата нормативна уредба към горепосочения момент, включително в светлината на предложения регламент за защитата на данните. Преразглеждането на настоящия регламент следва да бъдат свързано, когато това е възможно, с евентуално бъдещо преразглеждане на Директива 2002/58/ЕО.
(22)
Прилагането на настоящия регламент може да бъде оценено въз основа, inter alia, на всяка статистика, водена от националните компетентни органи, за съобщените нарушения на сигурността на лични данни. Тези статистически данни могат да включват например информация относно броя на нарушенията на сигурността на лични данни, съобщени на националния компетентен орган, броя на нарушенията на сигурността на лични данни, съобщени на абоната или лицето, времето, необходимо за разрешаването на проблема с нарушението на сигурността на лични данни, както и дали са били взети технически мерки за защита. Тези статистически данни следва да осигурят на Комисията и на държавите членки последователни и сравними статистически данни и не трябва да разкриват нито самоличността на уведомяващия доставчик, нито тази на засегнатите абонати или лица. За тази цел Комисията може също така да провежда редовни срещи с националните компетентни органи и други заинтересовани страни.
(23)
Мерките, предвидени в настоящия регламент, са в съответствие със становището на Комитета за регулиране на съобщенията,
ПРИЕ НАСТОЯЩИЯ РЕГЛАМЕНТ:
Член 1
Обхват
Настоящият регламент се прилага за съобщаването на нарушения на сигурността на лични данни от страна на доставчици на публичнодостъпни електронни съобщителни услуги („доставчикът“).
Член 2
Уведомяване на компетентните национални органи
1. Доставчикът уведомява националния компетентен орган за всички нарушения на сигурността на личните данни.
2. Доставчикът уведомява националния компетентен орган за нарушението на сигурността на лични данни не по-късно от 24 часа след откриване на нарушението на сигурността на лични данни, когато това е възможно.
Доставчикът трябва да включи в своето уведомление до националния компетентен орган информацията, посочена в приложение I.
Счита се, че е открито нарушение на сигурността на лични данни, когато доставчикът е получил достатъчно информация, че е имало произшествие, свързано със сигурността, довело до компрометиране на лични данни, за да направи той съдържателно уведомление, както се изисква съгласно настоящия регламент.
3. Когато не е налице цялата информация, посочена в приложение I, и се изисква допълнително разследване на нарушението на сигурността на лични данни, на доставчика следва да бъде разрешено да изпрати първоначалното уведомление на националния компетентен орган не по-късно от 24 часа след откриване на нарушението на сигурността на лични данни. Това първоначално уведомяване на националния компетентен орган включва информацията, посочена в раздел 1 от приложение I. Доставчикът изпраща второ уведомление на националния компетентен орган възможно най-скоро и най-късно в рамките на три дни след първоначалното уведомяване. Това второ уведомление включва информацията, посочена в раздел 2 от приложение I, и когато е необходимо, актуализира вече предоставената информация.
Когато доставчикът, въпреки разследванията си, не е в състояние да предостави цялата информация в тридневен срок от първоначалното уведомяване, той съобщава толкова информация, с колкото разполага за този срок, и предоставя на националния компетентен орган мотивирана обосновка за закъснялото съобщаване на останалата информация. Доставчикът съобщава останалата информация на националния компетентен орган и когато е необходимо, актуализира вече предоставената информация във възможно най-кратък срок.
4. Националният компетентен орган предоставя на всички доставчици, установени в съответната държава членка, сигурни електронни средства за съобщаване на нарушения на сигурността на лични данни и на информация относно процедурите за достъп до тях и използването им. Когато е необходимо, Комисията свиква заседания с компетентните национални органи, за да улесни прилагането на тази разпоредба.
5. Когато нарушаването на сигурността на личните данни засяга абонати или лица от държави членки, различни от тази на националния компетентен орган, на който е било съобщено нарушаване на сигурността на личните данни, националният компетентен орган информира другите съответни национални органи.
За да улесни прилагането на тази разпоредба, Комисията създава и поддържа списък на националните компетентни органи и съответните звена за контакт.
Член 3
Уведомяване на абоната или лицето
1. Когато има вероятност нарушението на сигурността на личните данни да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или отделно лице, освен уведомяването, посочено в член 2, доставчикът също така уведомява засегнатия абонат или лице.
2. Дали дадено нарушаване на сигурността на личните данни има вероятност да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или отделно лице се преценява, като се вземат предвид по-специално следните обстоятелства:
а)
естеството и съдържанието на съответните лични данни, по-специално когато данните се отнасят за финансова информация, специалните категории от данни, посочени в член 8, параграф 1 от Директива 95/46/ЕО, както и данни за местоположението, файлове със статистика за интернет връзките, история на посетените уебстраници, данни за електронната поща и списъци с повиквания, указани по позиции;
б)
вероятните последици от нарушаването на сигурността на личните данни за засегнатия абонат или лице, по специално когато нарушението може да доведе до кражба на самоличност или измама с фалшива самоличност, физическа вреда, психично разстройство, накърняване на достойнството или на репутацията; както и
в)
обстоятелствата на нарушаването на сигурността на личните данни, по-специално когато данните са били откраднати или когато доставчикът знае, че данните са в притежание на неупълномощена трета страна.
3. Уведомяването на абоната или лицето се извършва без ненужно забавяне след откриването на нарушението на сигурността на лични данни, както е определено в член 2, параграф 2, трета алинея. То не зависи от уведомяването на националния компетентен орган за нарушаване на сигурността на лични данни, посочено в член 2.
4. Доставчикът трябва да включи в своето съобщение до абоната или лицето информацията, посочена в приложение II. Уведомяването на абоната или лицето се извършва на ясен и лесноразбираем език. Доставчикът не трябва да използва уведомяването като възможност за популяризиране или реклама на нови или допълнителни услуги.
5. При изключителни обстоятелства, когато уведомяването на абоната или лицето може да изложи на риск правилното разследване на нарушението на сигурността на лични данни, на доставчика се разрешава, след като е получил съгласие от страна на националния компетентен орган, да забави уведомяването на абоната или лицето, докато компетентният национален орган счете, че е възможно да уведоми за нарушаването на сигурността на лични данни в съответствие с настоящия член.
6. Доставчикът уведомява засегнатия абонат или лице за нарушаването на сигурността на личните данни чрез средства за комуникация, гарантиращи незабавното получаване на информация и чиято сигурност е защитена по подходящ начин в съответствие със съвременното техническо ниво. Информацията за нарушението трябва да бъде съсредоточена върху нарушението, а не да бъде свързана с информация по друга тема.
7. Когато доставчикът, който има преки договорни отношения с крайния потребител, независимо от положените целесъобразни усилия не е в състояние в рамките на срока, посочен в параграф 3, да определи всички лица, които има вероятност да са засегнати по неблагоприятен начин от нарушението на сигурността на лични данни, той може да уведоми въпросните лица посредством обявления в основните национални или регионални медии в съответните държави членки в рамките на посочения срок. Тези обявления следва да съдържат информацията, посочена в приложение II, и когато е необходимо - в сбита форма. В такъв случай доставчикът трябва да продължи да полага всички целесъобразни усилия да определи посочените лица и да им съобщи информацията, посочена в приложение II, във възможно най-кратък срок.
Член 4
Технически мерки за защита
1. Чрез дерогация от член 3, параграф 1 не се изисква уведомяване на засегнат абонат или отделно засегнато лице за нарушение на сигурността на лични данни, ако доставчикът е доказал в удовлетворителна степен пред националния компетентен орган, че е взел подходящи технически мерки за защита и че тези мерки са приложени за данните, засегнати от нарушаването на сигурността. Такива технически мерки за защита трябва да правят данните неразбираеми за всяко лице, което не е упълномощено за достъп до тях.
2. Данните се разглеждат като неразбираеми, ако:
а)
са сигурно шифровани със стандартизиран алгоритъм, като ключът, използван за дешифриране на данните, не е бил разкрит при нарушение на сигурността, и ключът, използван за дешифриране на данните, е генериран така, че да не може да бъде открит с наличните технически средства от което и да било лице, което не е упълномощено за достъп до ключа; или
б)
са заменени с тяхната хеширана стойност, изчислена със стандартизирана шифроваща хеш-функция с ключ, като ключът, използван за хеширане на данните, не е бил разкрит при нарушение на сигурността, и ключът, използван за хеширане на данните, е генериран така, че да не може да бъде открит с наличните технически средства от което и да било лице, което не е упълномощено за достъп до ключа.
3. В съответствие с текущите практики, след консултация с компетентните национални органи посредством Работната група по член 29, с Европейската агенция за мрежова и информационна сигурност и с Европейския надзорен орган по защита на данните, Комисията може да публикува ориентировъчен списък с подходящи технически мерки за защита, споменати в параграф 1.
Член 5
Използване на друг доставчик
Когато се използва друг доставчик за доставянето на част от електронната съобщителна услуга без преки договорни отношения с абонатите, в случай на нарушение, свързано с личните данни, този друг доставчик незабавно уведомява доставчика, който го е ангажирал.
Член 6
Докладване и преразглеждане
В рамките на три години от влизането в сила на настоящия регламент Комисията следва да представи доклад за прилагането на настоящия регламент, неговата ефективност и въздействието му върху доставчиците, абонатите и физическите лица. Въз основа на този доклад Комисията преразглежда настоящия регламент.
Член 7
Влизане в сила
Настоящият регламент влиза в сила на 25 август 2013 г.
Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави членки.
Съставено в Брюксел на 24 юни 2013 година.
KOMISIJOS REGLAMENTAS (ES) Nr. 611/2013
2013 m. birželio 24 d.
dėl priemonių, kurios pagal Europos Parlamento ir Tarybos direktyvą 2002/58/EB dėl privatumo ir elektroninių ryšių taikomos pranešimams apie asmens duomenų saugumo pažeidimus
EUROPOS KOMISIJA,
atsižvelgdama į Sutartį dėl Europos Sąjungos veikimo,
atsižvelgdama į 2002 m. liepos 12 d. Europos Parlamento ir Tarybos direktyvą Nr. 2002/58/EB dėl asmens duomenų tvarkymo ir privatumo apsaugos elektroninių ryšių sektoriuje (Direktyva dėl privatumo ir elektroninių ryšių) (1), ypač į jos 4 straipsnio 5 dalį,
pasikonsultavusi su Europos tinklų ir informacijos apsaugos agentūra (ENISA),
pasikonsultavusi su Asmenų apsaugos tvarkant asmens duomenis darbo grupe, įsteigta pagal 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvos 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (2) 29 straipsnį (29 straipsnio darbo grupe),
pasikonsultavusi su Europos duomenų apsaugos priežiūros pareigūnu (EDAPP),
kadangi:
(1)
Direktyvoje 2002/58/EB numatytas valstybių narių nuostatų, užtikrinančių vienodo lygio pagrindinių teisių ir laisvių, ypač teisės į privatumą ir konfidencialumą, apsaugą, susijusių su asmens duomenų tvarkymu elektroninių ryšių sektoriuje, ir užtikrinančių laisvą tokių duomenų judėjimą ir laisvą elektroninių ryšių įrangos ir paslaugų judėjimą Sąjungoje, suderinimas;
(2)
pagal Direktyvos 2002/58/EB 4 straipsnį viešai prieinamų elektroninių ryšių paslaugų teikėjai įpareigoti informuoti kompetentingas nacionalines institucijas (tam tikrais atvejais - ir susijusius abonentus bei fizinius asmenis) apie asmens duomenų saugumo pažeidimus. Kaip apibrėžta Direktyvos 2002/58/EB 2 straipsnio i punkte, asmens duomenų saugumo pažeidimas - saugumo pažeidimas, dėl kurio atsitiktinai arba neteisėtai sunaikinami, prarandami, pakeičiami, be leidimo atskleidžiami asmens duomenys arba atsiranda galimybė naudotis tais duomenimis, kai jie buvo perduodami, saugomi arba kitaip tvarkomi teikiant viešąją elektroninių ryšių paslaugą Sąjungoje;
(3)
siekiant užtikrinti darnų Direktyvos 2002/58/EB 4 straipsnio 2, 3 ir 4 dalyse nurodytų priemonių įgyvendinimą, jos 4 straipsnio 5 dalimi Komisijai suteikti įgaliojimai priimti technines įgyvendinimo priemones, susijusias su tame straipsnyje nurodytiems informavimo ir pranešimo reikalavimams taikomomis aplinkybėmis, forma ir tvarka;
(4)
dėl skirtingų nacionalinių šios srities reikalavimų taikymo teikėjai, vykdantys veiklą tarpvalstybiniu mastu, gali patirti teisinį netikrumą, susidurti su sudėtingesnėmis varžančiomis procedūromis ir turėti didelių administracinių sąnaudų. Todėl Komisija mano, kad būtina priimti tokias technines įgyvendinimo priemones;
(5)
šio reglamento taikymo sritis apima tik pranešimą apie asmens duomenų saugumo pažeidimus, todėl jame nenumatytos techninės įgyvendinimo priemonės, susijusios su Direktyvos 2002/58/EB 4 straipsnio 2 dalimi dėl abonentų informavimo iškilus tam tikrai tinklo saugumo pažeidimo rizikai;
(6)
remiantis Direktyvos 2002/58/EB 4 straipsnio 3 dalies pirma pastraipa, paslaugų teikėjai kompetentingai nacionalinei institucijai turi pranešti apie visus asmens duomenų saugumo pažeidimus. Todėl teikėjui neturėtų būti leista savo nuožiūra spręsti, ar pranešti apie asmens duomenų saugumo pažeidimą kompetentingai nacionalinei institucijai. Tačiau atitinkamai kompetentingai nacionalinei institucijai tai neturėtų trukdyti pagal galiojančius įstatymus tam tikrus pažeidimus savo nuožiūra nagrinėti pirmumo tvarka ir prireikus imtis veiksmų, kad būtų išvengta netikslumų, susijusių su asmens duomenų pažeidimų, apie kuriuos pranešama, skaičiumi;
(7)
reikėtų nustatyti pranešimo kompetentingai nacionalinei institucijai apie asmens duomenų saugumo pažeidimus sistemą, kurioje būtų numatyta, kad tam tikromis sąlygomis tam tikrą ribotą laikotarpį įgyvendinami įvairūs etapai. Taikant šią sistemą turėtų būti užtikrinama, kad kompetentinga nacionalinė institucija būtų informuojama kuo anksčiau, tačiau paslaugų teikėjui nebūtų trukdoma nagrinėti pažeidimą ir imtis reikiamų priemonių apriboti pažeidimo mastą ir pašalinti jo pasekmes;
(8)
vien įtarimo, kad įvyko asmens duomenų saugumo pažeidimas, arba vien saugumo incidento nustatymo, kai neturima pakankamai informacijos, nors teikėjas dėjo visas pastangas jos gauti, nepakanka, kad pagal šį reglamentą būtų laikoma, jog nustatytas asmens duomenų saugumo pažeidimas. Šiuo atžvilgiu turėtų būti ypač svarbu turėti I priede nurodytą informaciją;
(9)
taikant šį reglamentą tarpvalstybinio pobūdžio asmens duomenų saugumo pažeidimus susijusios kompetentingos nacionalinės institucijos nagrinėja bendradarbiaudamos;
(10)
šiame reglamente nenumatyta jokia papildoma pagal Direktyvos 2002/58/EB 4 straipsnį teikėjų tvarkomo asmens duomenų saugumo pažeidimų registro specifikacija. Tačiau teikėjai gali nustatyti tokio registro formą vadovaudamiesi šiuo reglamentu;
(11)
visos kompetentingos nacionalinės institucijos turėtų teikti saugias elektronines priemones, kuriomis naudodamiesi teikėjai galėtų atitinkamomis kalbomis pateikti I priede nurodytą bendros formos (pvz., grindžiamos XML standartu) informaciją, kad visoje Sąjungoje būtų laikomasi panašios pranešimo tvarkos, kad ir kur būtų įsisteigęs teikėjas ar būtų įvykdytas asmens duomenų saugumo pažeidimas. Tuo atžvilgiu Komisija turėtų palengvinti saugių elektroninių priemonių įgyvendinimą ir tuo tikslu prireikus rengti posėdžius su kompetentingomis nacionalinėmis institucijomis;
(12)
vertinant, ar asmens duomenų saugumo pažeidimas gali turėti neigiamą poveikį asmens duomenims arba abonento ar fizinio asmens privatumui, visų pirma turėtų būti atsižvelgta į atitinkamų asmens duomenų pobūdį ir turinį, ypač kai duomenys yra susiję su finansine informacija, pavyzdžiui, kai tai kredito kortelių duomenys ir informacija apie banko sąskaitą; ypatingų kategorijų duomenys, nurodyti Direktyvos 95/46/EB 8 straipsnio 1 dalyje; taip pat tam tikri duomenys, konkrečiai susiję su telefonijos ar interneto paslaugų teikimu, t. y. e. pašto duomenys, vietos nustatymo duomenys, interneto įeičių dienynų failai, interneto naršymo istorija ir detalūs iškvietų sąrašai;
(13)
išskirtinėmis aplinkybėmis teikėjui turėtų būti leidžiama pranešimą abonentui arba fiziniam asmeniui atidėti, jei dėl pranešimo galbūt būtų apsunkintas tinkamas asmens duomenų saugumo pažeidimo tyrimas. Todėl prie išskirtinių aplinkybių gali būti priskiriamas baudžiamųjų veikų tyrimas, taip pat kiti asmens duomenų saugumo pažeidimai, kurie neprilygsta sunkiam nusikaltimui, tačiau kurių atveju gali būti tikslinga atidėti pranešimą. Bet kuriuo atveju kompetentinga nacionalinė institucija turėtų įvertinti kiekvieną konkretų atvejį ir, atsižvelgdama į aplinkybes, nuspręsti, ar sutikti su pranešimo atidėjimu, ar reikalauti pranešimą pateikti nedelsiant;
(14)
nors teikėjai dėl tiesioginių sutartinių santykių su savo abonentais turėtų turėti jų kontaktinius duomenis, tokios informacijos apie kitus fizinius asmenis, kuriems dėl asmens duomenų saugumo pažeidimo padarytas neigiamas poveikis, jie gali neturėti. Tokiu atveju, siekiant apie tai pranešti tiems fiziniams asmenims, teikėjui turėtų būti leidžiama iš pradžių įdėti atitinkamą skelbimą pagrindinėse nacionalinėse arba regioninėse žiniasklaidos priemonėse, pavyzdžiui, laikraščiuose, o po to kuo greičiau pateikti individualų pranešimą, kaip numatyta šiame reglamente. Todėl iš esmės teikėjas ne įpareigojamas pranešti per žiniasklaidos priemones, o tik įgaliojamas tai padaryti savo nuožiūra, kol nustatinėjami visi fiziniai asmenys, kuriems padarytas poveikis;
(15)
informacija apie pažeidimą turėtų būti susijusi tik su tuo pažeidimu ir nesiejama su jokia kita informacija. Pavyzdžiui, informacijos apie asmens duomenų saugumo pažeidimą pateikimas įprastoje sąskaitoje faktūroje neturėtų būti laikomas tinkama priemone pranešti apie asmens duomenų saugumo pažeidimą;
(16)
šiuo reglamentu nenustatoma konkrečių technologinių apsaugos priemonių, kuriomis būtų galima pagrįsti nukrypimą nuo įpareigojimo pranešti abonentams arba fiziniams asmenims apie asmens duomenų saugumo pažeidimus, nes technologijoms tobulėjant tokios priemonės ilgainiui gali keistis. Tačiau Komisija pagal galiojančią tvarką turėtų turėti galimybę skelbti tokių konkrečių technologinės apsaugos priemonių orientacinį sąrašą;
(17)
neturėtų būti laikoma, kad šifravimo arba maišos pakanka, kad teikėjai galėtų plačiau pareikšti, jog yra įvykdę bendrąjį saugumo įpareigojimą pagal Direktyvos 95/46/EB 17 straipsnį. Šiuo atžvilgiu teikėjai taip pat turėtų įgyvendinti tinkamas organizacines ir technines priemones, kad išvengtų asmens duomenų saugumo pažeidimų, juos aptiktų ir užkirstų jiems kelią. Teikėjai turėtų įvertinti riziką, kuri galbūt lieka įgyvendinus kontrolės priemones, kad suprastų, kur gali įvykti asmens duomenų saugumo pažeidimų;
(18)
kai teikėjas paslaugą iš dalies teikia naudodamasis kito teikėjo paslaugomis, pavyzdžiui, susijusiomis su sąskaitų išrašymu ar valdymu, pastarasis teikėjas, kuris su galutiniu naudotoju nėra tiesiogiai susietas sutartiniais santykiais, asmens duomenų saugumo pažeidimo atveju neturėtų būti įpareigojamas pateikti pranešimus. Jis tik turėtų įspėti ir informuoti teikėją, su kuriuo yra tiesiogiai susietas sutartiniais santykiais. Tai turėtų būti taikoma ir teikiant didmenines elektroninių ryšių paslaugas, kai didmeninės paslaugos teikėjas su galutiniu vartotoju paprastai nėra tiesiogiai susietas sutartiniais santykiais;
(19)
Direktyva Nr. 95/46/EB nustatyta bendroji asmens duomenų apsaugos Europos Sąjungoje sistema. Komisija pateikė Europos Parlamento ir Tarybos reglamento, kuriuo būtų pakeista Direktyva 95/46/EB, (Duomenų apsaugos reglamento) pasiūlymą. Pasiūlytu Duomenų apsaugos reglamentu visi duomenų valdytojai, remiantis Direktyvos 2002/58/EB 4 straipsnio 3 dalimi, būtų įpareigojami pranešti apie asmens duomenų saugumo pažeidimus. Šis Komisijos reglamentas visiškai atitinka minėtą pasiūlytą priemonę;
(20)
pasiūlytu Duomenų apsaugos reglamentu padaromas ir tam tikras ribotas skaičius techninių Direktyvos 2002/58/EB pakeitimų, kad būtų atsižvelgta į tai, kad Direktyva 95/46/EB pakeičiama reglamentu. Komisija apsvarstys, kokių svarbių teisinių padarinių naujasis reglamentas turės Direktyvai 2002/58/EB;
(21)
šio reglamento taikymą reikėtų persvarstyti praėjus trejiems metams po jo įsigaliojimo, o jo turinys turėtų būti persvarstomas atsižvelgiant į tuo metu galiojančią teisinę sistemą, įskaitant pasiūlytą Duomenų apsaugos reglamentą. Šio reglamento persvarstymas turėtų būti siejamas, jei įmanoma, su galimu būsimu Direktyvos 2002/58/EB persvarstymu;
(22)
šio reglamento taikymas galėtų būti vertinamas remiantis, inter alia, visais kompetentingų nacionalinių institucijų tvarkomais asmens duomenų saugumo pažeidimų, apie kuriuos joms pranešama, statistiniais duomenimis. Tai, pavyzdžiui, gali būti informacija apie asmens duomenų saugumo pažeidimų, apie kuriuos pranešta kompetentingai nacionalinei institucijai, skaičių, apie asmens duomenų saugumo pažeidimų, apie kuriuos pranešta abonentams arba fiziniams asmenims, skaičių, apie tai, kiek laiko užtruko išspręsti asmens duomenų saugumo pažeidimą ir ar imtasi technologinių apsaugos priemonių. Teikiant šią statistinę informaciją Komisijai ir valstybėms narėms turėtų būti pateikiami nuoseklūs ir palyginami statistiniai duomenys, neatskleidžiant nei pranešančiojo teikėjo, nei susijusių abonentų ar fizinių asmenų tapatybės. Be to, Komisija šiuo tikslu gali reguliariai rengti susitikimus su kompetentingomis nacionalinėmis institucijomis ir kitomis suinteresuotosiomis šalimis;
(23)
šiame reglamente numatytos priemonės atitinka Ryšių komiteto nuomonę,
PRIĖMĖ ŠĮ REGLAMENTĄ:
1 straipsnis
Taikymo sritis
Šis reglamentas taikomas viešai prieinamų elektroninių ryšių paslaugų teikėjo (toliau - teikėjas) pranešimui apie asmens duomenų saugumo pažeidimus.
2 straipsnis
Pranešimas kompetentingai nacionalinei institucijai
1. Apie visus asmens duomenų saugumo pažeidimus teikėjas praneša kompetentingai nacionalinei institucijai.
2. Kai įmanoma, apie asmens duomenų saugumo pažeidimą teikėjas kompetentingai nacionalinei institucijai praneša per 24 valandas nuo asmens duomenų saugumo pažeidimo nustatymo.
Teikėjas pranešime kompetentingai nacionalinei institucijai pateikia I priede nustatytą informaciją.
Laikoma, kad asmens duomenų saugumo pažeidimas padarytas, kai teikėjas sužino apie saugumo incidentą, dėl kurio buvo pažeistas asmens duomenų saugumas, kad pagal šį reglamentą galėtų pateikti tinkamą pranešimą.
3. Kai visos I priede nurodytos informacijos neturima ir būtina atlikti išsamesnį asmens duomenų saugumo pažeidimo tyrimą, teikėjui leidžiama per 24 valandas nuo asmens duomenų saugumo pažeidimo nustatymo kompetentingai nacionalinei institucijai pateikti pirminį pranešimą. Tame pirminiame pranešime kompetentingai nacionalinei institucijai pateikiama I priedo 1 skirsnyje nurodyta informacija. Teikėjas kuo greičiau ir ne vėliau kaip per tris dienas nuo pradinio pranešimo pateikimo kompetentingai nacionalinei institucijai pateikia antrą pranešimą. Antrajame pranešime pateikiama I priedo 2 skirsnyje nurodyta informacija ir prireikus atnaujinama anksčiau pateikta informacija.
Jeigu teikėjas, nepaisant jo atlikto tyrimo, negali pateikti visos informacijos per tris dienas nuo pirminio pranešimo, jis kompetentingai nacionalinei institucijai praneša visą tuo metu turimą informaciją ir pagrįstai nurodo, kodėl bus vėluojama pateikti likusią informaciją. Teikėjas kompetentingai nacionalinei institucijai kuo greičiau pateikia likusią informaciją ir prireikus atnaujina anksčiau pateiktą informaciją.
4. Kompetentinga nacionalinė institucija visiems toje valstybėje narėje įsisteigusiems teikėjams pateikia saugias elektronines pranešimo apie asmens duomenų saugumo pažeidimus priemones ir informaciją apie tų priemonių prieigos ir naudojimo tvarką. Kad palengvintų šios nuostatos taikymą, prireikus Komisija rengia susitikimus su kompetentingomis nacionalinėmis institucijomis.
5. Kai asmens duomenų saugumo pažeidimas turi poveikį kitų valstybių narių abonentams ar fiziniams asmenims, kompetentinga nacionalinė institucija, kuriai pranešta apie asmens duomenų saugumo pažeidimą, informuoja kitas atitinkamas nacionalines institucijas.
Kad palengvintų šios nuostatos taikymą, Komisija sukuria ir tvarko kompetentingų nacionalinių institucijų ir atitinkamų informacinių punktų sąrašą.
3 straipsnis
Pranešimas abonentui arba fiziniam asmeniui
1. Kai tikėtina, kad asmens duomenų saugumo pažeidimas gali turėti neigiamą poveikį asmens duomenims arba abonento ar fizinio asmens privatumui, teikėjas ne tik pateikia 2 straipsnyje nurodytą pranešimą, bet ir apie pažeidimą praneša susijusiam abonentui arba fiziniam asmeniui.
2. Ar asmens duomenų saugumo pažeidimas gali turėti neigiamą poveikį asmens duomenims arba abonento ar fizinio asmens privatumui, vertinama atsižvelgiant, visų pirma, į tokias aplinkybes:
a)
atitinkamų asmens duomenų pobūdį ir turinį, ypač kai tai su finansine informacija susiję duomenys, Direktyvos 95/46/EB 8 straipsnio 1 dalyje nurodyti ypatingų kategorijų duomenys, taip pat vietos nustatymo duomenys, interneto įeičių dienynų failai, interneto naršymo istorija, e. pašto duomenys ir detalūs iškvietų sąrašai;
b)
tikėtinas asmens duomenų saugumo pažeidimo pasekmes atitinkamam abonentui arba fiziniam asmeniui, visų pirma jei dėl pažeidimo galima tapatybės vagystė ar tapatybės klastojimas, fizinė žala, psichologinė įtampa, pažeminimas ar žala reputacijai, ir
c)
asmens duomenų saugumo pažeidimo aplinkybes, ypač kai duomenys buvo pavogti arba kai teikėjas žino, kad duomenimis neteisėtai disponuoja trečioji šalis.
3. Nustačius asmens duomenų saugumo pažeidimą, abonentui arba fiziniam asmeniui turėtų būti pranešama nedelsiant, kaip nustatyta 2 straipsnio 2 dalies trečioje pastraipoje. Šis pranešimas teikiamas nepriklausomai nuo 2 straipsnyje nurodyto kompetentingai nacionalinei institucijai teikiamo pranešimo apie asmens duomenų saugumo pažeidimą.
4. Teikėjas pranešime abonentui arba fiziniam asmeniui pateikia II priede nustatytą informaciją. Pranešimas abonentui arba fiziniam asmeniui pateikiamas aiškiai ir lengvai suprantama kalba. Teikėjas nesinaudoja pranešimu siekdamas skatinti užsisakyti naujas ar papildomas paslaugas ar jas reklamuoti.
5. Kai dėl pranešimo abonentui arba fiziniam asmeniui gali būti apsunkintas tinkamas asmens duomenų saugumo pažeidimo tyrimas, teikėjui, gavusiam kompetentingos nacionalinės institucijos sutikimą, išskirtinėmis aplinkybėmis leidžiama pranešimą abonentui arba fiziniam asmeniui atidėti tol, kol kompetentinga nacionalinė institucija nuspręs, kad jau galima pagal šį straipsnį pranešti apie asmens duomenų saugumo pažeidimą.
6. Teikėjas abonentui arba fiziniam asmeniui praneša apie asmens duomenų saugumo pažeidimą naudodamasis ryšio priemonėmis, kuriomis naudojantis užtikrinama, kad informacija būtų gaunama greitai, ir kurios yra tinkamai apsaugotos atsižvelgiant į naujausius technikos laimėjimus. Informacija apie pažeidimą yra skiriama tik tam pažeidimui ir nesiejama su jokia kita informacija.
7. Jeigu tiesiogiai su galutiniu vartotoju sutartiniais santykiais susietas teikėjas, nepaisant to, kad ėmėsi reikiamų pastangų, per 3 dalyje nurodytą laikotarpį negali nustatyti visų fizinių asmenų, kuriems asmens duomenų saugumo pažeidimas galėjo turėti neigiamą poveikį, jis per tą laikotarpį gali informuoti tuos fizinius asmenis skelbimu pagrindinėse nacionalinėse arba regioninėse žiniasklaidos priemonėse atitinkamose valstybėse narėse. Tuose skelbimuose pateikiama (jei reikia - glausta forma) II priede nurodyta informacija. Tokiu atveju teikėjas ir toliau deda visas pagrįstas pastangas, kad nustatytų tuos fizinius asmenis ir kuo greičiau praneštų jiems II priede nurodytą informaciją.
4 straipsnis
Technologinės apsaugos priemonės
1. Nukrypstant nuo 3 straipsnio 1 dalies, apie asmens duomenų saugumo pažeidimą pranešti susijusiam abonentui arba fiziniam asmeniui nereikalaujama, jeigu teikėjas kompetentingai institucijai tinkamai įrodė, kad jis įgyvendino tinkamas technologines apsaugos priemones ir kad tos priemonės buvo taikomos duomenims, kurių saugumas buvo pažeistas. Tokiomis technologinėmis apsaugos priemonėmis užtikrinama, kad asmeniui, neturinčiam leidimo su duomenimis susipažinti, jie būtų neįskaitomi.
2. Duomenys laikomi neįskaitomais, jeigu:
a)
jie buvo saugiai užšifruoti pagal standartizuotą algoritmą, duomenų iššifravimo rakto saugumas nebuvo pažeistas per jokį saugumo pažeidimą ir duomenų iššifravimo raktas buvo sugeneruotas taip, kad esamomis technologinėmis priemonėmis jo negalėtų nustatyti joks asmuo, neturintis leidimo naudotis raktu; arba
b)
jie buvo pakeisti maišos rezultatu, apskaičiuotu naudojant standartizuotą raktinės maišos funkciją, duomenų maišos rakto saugumas nebuvo pažeistas per jokį saugumo pažeidimą, o duomenų maišos raktas buvo sugeneruotas taip, kad esamomis technologinėmis priemonėmis jo negalėtų nustatyti joks asmuo, neturintis leidimo naudotis raktu.
3. Pasikonsultavusi per 29 straipsnio darbo grupę su kompetentingomis nacionalinėmis institucijomis, Europos tinklų ir informacijos apsaugos agentūra ir Europos duomenų apsaugos priežiūros pareigūnu, Komisija pagal galiojančią tvarką gali paskelbti tinkamų šio straipsnio 1 dalyje nurodytų technologinių apsaugos priemonių orientacinį sąrašą.
5 straipsnis
Naudojimasis kito teikėjo paslaugomis
Kai teikėjas elektroninių ryšių paslaugą iš dalies teikia naudodamasis kito teikėjo, kuris su abonentais nėra tiesiogiai susietas sutartiniais santykiais, paslaugomis, pastarasis teikėjas asmens duomenų saugumo pažeidimo atveju nedelsdamas informuoja teikėją, su kuriuo yra sudaręs paslaugos teikimo sutartį.
6 straipsnis
Persvarstymas ir ataskaitų teikimas
Per trejus metus nuo šio reglamento įsigaliojimo Komisija parengia šio reglamento taikymo, veiksmingumo ir poveikio teikėjams, abonentams ir fiziniams asmenims ataskaitą. Remdamasi ta ataskaita Komisija persvarsto šį reglamentą.
7 straipsnis
Įsigaliojimas
Šis reglamentas įsigalioja 2013 m. rugpjūčio 25 d.
Šis reglamentas privalomas visas ir tiesiogiai taikomas visose valstybėse narėse.
Priimta Briuselyje 2013 m. birželio 24 d.