РЕГЛАМЕНТ (ЕС) № 611/2013 НА КОМИСИЯТА
от 24 юни 2013 година
относно мерките, приложими за съобщаването на нарушения на сигурността на личните данни съгласно Директива 2002/58/ЕО на Европейския парламент и на Съвета за правото на неприкосновеност на личния живот и електронни комуникации
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (1), и по-специално член 4, параграф 5 от нея,
след като се консултира с Европейската агенция за мрежова и информационна сигурност (ENISA),
след като се консултира с Работната група за защита на лицата по отношение на обработката на лични данни, която е сформирана съгласно член 29 от Директива 95/46/ЕО на Европейския парламент и Съвета от 24 октомври 1995 г. за защита на физическите лица по отношение на обработката на лични данни и за свободното движение на такива данни (2) (Работната група по член 29),
след като се консултира с Европейския надзорен орган по защита на данните (ЕНОЗД),
като има предвид, че:
(1)
В Директива 2002/58/ЕО се предвижда да бъдат хармонизирани националните разпоредби, необходими за осигуряване на еднаква степен на защита на основните права и свободи, и по-специално правото на неприкосновеност на личния живот и правото на поверителност по отношение на обработката на лични данни в сектора на електронните комуникации, както и да бъде осигурено свободно движение на такива данни и оборудване за електронни комуникации и услуги в Съюза.
(2)
Съгласно член 4 от Директива 2002/58/ЕО доставчиците на общественодостъпни електронни съобщителни услуги са задължени да уведомяват компетентните национални органи, а в определени случаи и засегнатите абонати и лица, за нарушенията на сигурността на личните данни. Нарушенията на сигурността на лични данни са дефинирани в член 2, буква и) от Директива 2002/58/ЕО като нарушения на сигурността, които водят до случайно или незаконно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, предавани, съхранявани или обработвани по друг начин във връзка с предоставянето на общественодостъпна електронна съобщителна услуга в Общността.
(3)
С цел да се осигури последователност при изпълнението на мерките, посочени в член 4, параграфи 2, 3 и 4 от Директива 2002/58/ЕО, член 4, параграф 5 от нея оправомощава Комисията да приема технически мерки за изпълнение във връзка с обстоятелствата, формата и процедурите, приложими за изискванията за информация и уведомяване, посочени в споменатия член.
(4)
Различните национални изисквания в това отношение могат да доведат до правна несигурност, по-сложни и тромави процедури и значителни административни разходи за доставчиците на услуги, извършващи трансгранична дейност. Поради това Комисията счита за необходимо да приеме такива технически мерки за изпълнение.
(5)
Настоящият регламент се ограничава със съобщаването на нарушения на сигурността на лични данни и следователно не определя технически мерки за изпълнение във връзка с член 4, параграф 2 от Директива 2002/58/ЕО относно информиране на абонатите, в случай че има конкретна опасност от нарушаване на сигурността на мрежата.
(6)
От член 4, параграф 3, първа алинея от Директива 2002/58/ЕО следва, че доставчиците трябва да уведомяват компетентния национален орган за всички нарушения на сигурността на лични данни. Следователно на доставчика не следва да се оставя свобода за вземане на решение дали да уведоми компетентния национален орган. Това обаче не следва да възпрепятства въпросния компетентен национален орган да приоритизира разследването на някои нарушения по начин, който той счита за подходящ в съответствие с приложимото законодателство, и да предприема необходимите мерки за предотвратяване на докладване на недостатъчно или прекалено много нарушения във връзка с лични данни.
(7)
Целесъобразно е да се предвиди система за уведомяване на компетентния национален орган за нарушенията на сигурността на лични данни, която се състои, в случаите, в които са изпълнени определени условия, от различни етапи, за всеки от които важат определени срокове. Тази система е предназначена да гарантира, че компетентният национален орган бива информиран възможно най-рано и във възможно най-пълна степен, без обаче да бъде възпрепятстван доставчикът в усилията му да разследва нарушението и да взема необходимите мерки за ограничаване и отстраняване на последствията от него.
(8)
За целите на настоящия регламент, за да се счита, че е било открито нарушение на сигурността на лични данни, не са достатъчни нито обикновеното подозрение, че е имало нарушение на сигурността на лични данни, нито простото откриване на инцидент, без да има налице достатъчно информация, въпреки всички възможни усилия на доставчика да осигури такава. В тази връзка особено внимание следва да се обърне на наличието на информацията, посочена в приложение I.
(9)
В контекста на прилагането на настоящия регламент в случай на нарушаване на сигурността на лични данни с трансгранично измерение съответните компетентни национални органи следва да си сътрудничат.
(10)
Настоящият регламент не предвижда допълнителна спецификация за регистъра на нарушенията на сигурността на лични данни, който трябва да се поддържа от доставчиците, като се има предвид, че в член 4 от Директива 2002/58/ЕО неговото съдържание се определя изчерпателно. Доставчиците обаче могат да се позовават на настоящия регламент, за да се определи форматът на регистъра.
(11)
Всички компетентни национални органи следва да осигурят сигурни електронни средства, така че доставчиците да съобщават за нарушения на сигурността на личните данни в общ формат (основан на стандарт като XML), съдържащ информацията, посочена в приложение I, на съответните езици, така че да се даде възможност на всички доставчици в рамките на Съюза да следват сходна процедура за съобщаване, независимо от това къде се намират или къде е било извършено нарушаването на сигурността на личните данни. В тази връзка Комисията следва да улеснява въвеждането на сигурни електронни средства, като свиква заседания с компетентните национални органи, когато това е необходимо.
(12)
При оценяване дали дадено нарушаване на сигурността на личните данни има вероятност да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или лице следва да се вземе предвид по-специално естеството и съдържанието на съответните лични данни, по-специално когато данните касаят финансова информация, като например данни за кредитни карти и подробности за банкови сметки; специалните категории от данни, посочени в член 8, параграф 1 от Директива 95/46/ЕО; както и някои данни, конкретно свързани с предоставянето на телефонни или интернет услуги, т.е. данни за електронната поща, данни за местоположението, файлове със статистика за интернет връзките, история на посетените уебстраници и списъци с повиквания, указани по позиции.
(13)
При изключителни обстоятелства, когато уведомяването на абоната или лицето може да изложи на риск правилното разследване на нарушаването на сигурността на личните данни, на доставчика следва да бъде разрешено да забавя уведомяването на абоната или лицето. В този контекст извънредни обстоятелства могат да включват криминални разследвания, както и други нарушения на сигурността на лични данни, които не са равностойни на сериозно престъпление, но за които може да е целесъобразно уведомяването да бъде отложено. Във всеки случай националният компетентен орган следва да е този, който преценява за всеки отделен случай и в светлината на обстоятелствата дали да даде съгласие за отлагане или да изиска уведомяване.
(14)
Макар че доставчиците следва да имат данни за контакт със своите абонати предвид преките им договорни отношения, за други лица, засегнати от нарушаването на сигурността на личните данни може да няма такава информация. В такъв случай следва да бъде разрешено доставчикът да уведоми въпросните лица първоначално посредством съобщения в основните национални или регионални средства за масова информация, като например вестници, които веднага щом бъде възможно трябва да бъдат последвани от индивидуално уведомяване, както е предвидено в настоящия регламент. Доставчикът следователно не е длъжен като такъв да уведомява чрез средствата за масова информация, а по-скоро е упълномощен да действа по този начин, ако пожелае, когато все още е в процес на определяне на всички лица, които са засегнати.
(15)
Информацията за нарушението следва да бъде съсредоточена върху нарушението, а не да бъде свързана с информация по друга тема. Така например включването на информация за нарушаване на сигурността на лични данни в редовна фактура не следва да се счита за адекватен начин за уведомяване за нарушаване на сигурността на лични данни.
(16)
В настоящия регламент не се определят конкретни технически мерки за защита, които да оправдават дерогация от задължението за уведомяване на абонатите и лицата за нарушаване на сигурността на личните данни, тъй като тези мерки могат да търпят промени с течение на времето и развитието на технологиите. Комисията обаче следва да бъде в състояние да публикува примерен списък на конкретни такива технологични мерки за защита в съответствие с текущите практики.
(17)
Прилагането на криптиране или хеширане не следва да се смята за достатъчно само по себе си, за да позволи доставчиците да претендират в по-широк план, че са изпълнили общото задължение за сигурност, посочено в член 17 от Директива 95/46/ЕО. В тази връзка доставчиците следва също така да прилагат подходящи организационни и технически мерки за предотвратяване, откриване и блокиране на нарушения на сигурността на личните данни. Доставчиците следва да вземат предвид всеки остатъчен риск, който може да съществува, след като са били извършени проверки, с цел да разберат къде потенциално може да има нарушения на сигурността на личните данни.
(18)
Когато доставчикът използва друг доставчик за извършването на част от услугата, например във връзка с фактуриране или управленски функции, в случай на нарушение на сигурността на лични данни този друг доставчик, който няма преки договорни отношения с крайния потребител, не следва да бъде задължен да издава уведомления. Вместо това той следва да предупреди и информира за това доставчика, с който има преки договорни взаимоотношения. Това следва да се прилага и в контекста на предоставянето на едро на електронни съобщителни услуги, когато обикновено доставчикът на едро няма преки договорни отношения с крайния потребител.
(19)
В Директива 95/46/ЕО се определя обща рамка за защита на личните данни в Европейския съюз. Комисията представи предложение за регламент на Европейския парламент и на Съвета, който да замени Директива 95/46/ЕО (Директивата за защитата на данните). Предложеният регламент за защитата на данните ще въведе задължение за всички администратори на лични данни да уведомяват за нарушаване на сигурността на личните данни, основавайки се на член 4, параграф 3 от Директива 2002/58/ЕО. Настоящият регламент на Комисията е напълно съвместим с тази предложена мярка.
(20)
Предложеният регламент за защитата на данните също така прави ограничен брой технически изменения в Директива 2002/58/ЕО, за да се вземе предвид преобразуването на Директива 95/46/ЕО в регламент. Съществените правни последици от новия регламент за Директива 2002/58/ЕО ще бъдат обект на преразглеждане от страна на Комисията.
(21)
Прилагането на настоящия регламент следва да бъде преразгледано три години след влизането му в сила, а неговото съдържание - преразгледано в светлината на действащата нормативна уредба към горепосочения момент, включително в светлината на предложения регламент за защитата на данните. Преразглеждането на настоящия регламент следва да бъдат свързано, когато това е възможно, с евентуално бъдещо преразглеждане на Директива 2002/58/ЕО.
(22)
Прилагането на настоящия регламент може да бъде оценено въз основа, inter alia, на всяка статистика, водена от националните компетентни органи, за съобщените нарушения на сигурността на лични данни. Тези статистически данни могат да включват например информация относно броя на нарушенията на сигурността на лични данни, съобщени на националния компетентен орган, броя на нарушенията на сигурността на лични данни, съобщени на абоната или лицето, времето, необходимо за разрешаването на проблема с нарушението на сигурността на лични данни, както и дали са били взети технически мерки за защита. Тези статистически данни следва да осигурят на Комисията и на държавите членки последователни и сравними статистически данни и не трябва да разкриват нито самоличността на уведомяващия доставчик, нито тази на засегнатите абонати или лица. За тази цел Комисията може също така да провежда редовни срещи с националните компетентни органи и други заинтересовани страни.
(23)
Мерките, предвидени в настоящия регламент, са в съответствие със становището на Комитета за регулиране на съобщенията,
ПРИЕ НАСТОЯЩИЯ РЕГЛАМЕНТ:
Член 1
Обхват
Настоящият регламент се прилага за съобщаването на нарушения на сигурността на лични данни от страна на доставчици на публичнодостъпни електронни съобщителни услуги („доставчикът“).
Член 2
Уведомяване на компетентните национални органи
1. Доставчикът уведомява националния компетентен орган за всички нарушения на сигурността на личните данни.
2. Доставчикът уведомява националния компетентен орган за нарушението на сигурността на лични данни не по-късно от 24 часа след откриване на нарушението на сигурността на лични данни, когато това е възможно.
Доставчикът трябва да включи в своето уведомление до националния компетентен орган информацията, посочена в приложение I.
Счита се, че е открито нарушение на сигурността на лични данни, когато доставчикът е получил достатъчно информация, че е имало произшествие, свързано със сигурността, довело до компрометиране на лични данни, за да направи той съдържателно уведомление, както се изисква съгласно настоящия регламент.
3. Когато не е налице цялата информация, посочена в приложение I, и се изисква допълнително разследване на нарушението на сигурността на лични данни, на доставчика следва да бъде разрешено да изпрати първоначалното уведомление на националния компетентен орган не по-късно от 24 часа след откриване на нарушението на сигурността на лични данни. Това първоначално уведомяване на националния компетентен орган включва информацията, посочена в раздел 1 от приложение I. Доставчикът изпраща второ уведомление на националния компетентен орган възможно най-скоро и най-късно в рамките на три дни след първоначалното уведомяване. Това второ уведомление включва информацията, посочена в раздел 2 от приложение I, и когато е необходимо, актуализира вече предоставената информация.
Когато доставчикът, въпреки разследванията си, не е в състояние да предостави цялата информация в тридневен срок от първоначалното уведомяване, той съобщава толкова информация, с колкото разполага за този срок, и предоставя на националния компетентен орган мотивирана обосновка за закъснялото съобщаване на останалата информация. Доставчикът съобщава останалата информация на националния компетентен орган и когато е необходимо, актуализира вече предоставената информация във възможно най-кратък срок.
4. Националният компетентен орган предоставя на всички доставчици, установени в съответната държава членка, сигурни електронни средства за съобщаване на нарушения на сигурността на лични данни и на информация относно процедурите за достъп до тях и използването им. Когато е необходимо, Комисията свиква заседания с компетентните национални органи, за да улесни прилагането на тази разпоредба.
5. Когато нарушаването на сигурността на личните данни засяга абонати или лица от държави членки, различни от тази на националния компетентен орган, на който е било съобщено нарушаване на сигурността на личните данни, националният компетентен орган информира другите съответни национални органи.
За да улесни прилагането на тази разпоредба, Комисията създава и поддържа списък на националните компетентни органи и съответните звена за контакт.
Член 3
Уведомяване на абоната или лицето
1. Когато има вероятност нарушението на сигурността на личните данни да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или отделно лице, освен уведомяването, посочено в член 2, доставчикът също така уведомява засегнатия абонат или лице.
2. Дали дадено нарушаване на сигурността на личните данни има вероятност да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или отделно лице се преценява, като се вземат предвид по-специално следните обстоятелства:
а)
естеството и съдържанието на съответните лични данни, по-специално когато данните се отнасят за финансова информация, специалните категории от данни, посочени в член 8, параграф 1 от Директива 95/46/ЕО, както и данни за местоположението, файлове със статистика за интернет връзките, история на посетените уебстраници, данни за електронната поща и списъци с повиквания, указани по позиции;
б)
вероятните последици от нарушаването на сигурността на личните данни за засегнатия абонат или лице, по специално когато нарушението може да доведе до кражба на самоличност или измама с фалшива самоличност, физическа вреда, психично разстройство, накърняване на достойнството или на репутацията; както и
в)
обстоятелствата на нарушаването на сигурността на личните данни, по-специално когато данните са били откраднати или когато доставчикът знае, че данните са в притежание на неупълномощена трета страна.
3. Уведомяването на абоната или лицето се извършва без ненужно забавяне след откриването на нарушението на сигурността на лични данни, както е определено в член 2, параграф 2, трета алинея. То не зависи от уведомяването на националния компетентен орган за нарушаване на сигурността на лични данни, посочено в член 2.
4. Доставчикът трябва да включи в своето съобщение до абоната или лицето информацията, посочена в приложение II. Уведомяването на абоната или лицето се извършва на ясен и лесноразбираем език. Доставчикът не трябва да използва уведомяването като възможност за популяризиране или реклама на нови или допълнителни услуги.
5. При изключителни обстоятелства, когато уведомяването на абоната или лицето може да изложи на риск правилното разследване на нарушението на сигурността на лични данни, на доставчика се разрешава, след като е получил съгласие от страна на националния компетентен орган, да забави уведомяването на абоната или лицето, докато компетентният национален орган счете, че е възможно да уведоми за нарушаването на сигурността на лични данни в съответствие с настоящия член.
6. Доставчикът уведомява засегнатия абонат или лице за нарушаването на сигурността на личните данни чрез средства за комуникация, гарантиращи незабавното получаване на информация и чиято сигурност е защитена по подходящ начин в съответствие със съвременното техническо ниво. Информацията за нарушението трябва да бъде съсредоточена върху нарушението, а не да бъде свързана с информация по друга тема.
7. Когато доставчикът, който има преки договорни отношения с крайния потребител, независимо от положените целесъобразни усилия не е в състояние в рамките на срока, посочен в параграф 3, да определи всички лица, които има вероятност да са засегнати по неблагоприятен начин от нарушението на сигурността на лични данни, той може да уведоми въпросните лица посредством обявления в основните национални или регионални медии в съответните държави членки в рамките на посочения срок. Тези обявления следва да съдържат информацията, посочена в приложение II, и когато е необходимо - в сбита форма. В такъв случай доставчикът трябва да продължи да полага всички целесъобразни усилия да определи посочените лица и да им съобщи информацията, посочена в приложение II, във възможно най-кратък срок.
Член 4
Технически мерки за защита
1. Чрез дерогация от член 3, параграф 1 не се изисква уведомяване на засегнат абонат или отделно засегнато лице за нарушение на сигурността на лични данни, ако доставчикът е доказал в удовлетворителна степен пред националния компетентен орган, че е взел подходящи технически мерки за защита и че тези мерки са приложени за данните, засегнати от нарушаването на сигурността. Такива технически мерки за защита трябва да правят данните неразбираеми за всяко лице, което не е упълномощено за достъп до тях.
2. Данните се разглеждат като неразбираеми, ако:
а)
са сигурно шифровани със стандартизиран алгоритъм, като ключът, използван за дешифриране на данните, не е бил разкрит при нарушение на сигурността, и ключът, използван за дешифриране на данните, е генериран така, че да не може да бъде открит с наличните технически средства от което и да било лице, което не е упълномощено за достъп до ключа; или
б)
са заменени с тяхната хеширана стойност, изчислена със стандартизирана шифроваща хеш-функция с ключ, като ключът, използван за хеширане на данните, не е бил разкрит при нарушение на сигурността, и ключът, използван за хеширане на данните, е генериран така, че да не може да бъде открит с наличните технически средства от което и да било лице, което не е упълномощено за достъп до ключа.
3. В съответствие с текущите практики, след консултация с компетентните национални органи посредством Работната група по член 29, с Европейската агенция за мрежова и информационна сигурност и с Европейския надзорен орган по защита на данните, Комисията може да публикува ориентировъчен списък с подходящи технически мерки за защита, споменати в параграф 1.
Член 5
Използване на друг доставчик
Когато се използва друг доставчик за доставянето на част от електронната съобщителна услуга без преки договорни отношения с абонатите, в случай на нарушение, свързано с личните данни, този друг доставчик незабавно уведомява доставчика, който го е ангажирал.
Член 6
Докладване и преразглеждане
В рамките на три години от влизането в сила на настоящия регламент Комисията следва да представи доклад за прилагането на настоящия регламент, неговата ефективност и въздействието му върху доставчиците, абонатите и физическите лица. Въз основа на този доклад Комисията преразглежда настоящия регламент.
Член 7
Влизане в сила
Настоящият регламент влиза в сила на 25 август 2013 г.
Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави членки.
Съставено в Брюксел на 24 юни 2013 година.
REGOLAMENT TAL-KUMMISSJONI (UE) Nru 611/2013
tal-24 ta’ Ġunju 2013
dwar il-miżuri applikabbli għan-notifika ta’ ksur ta’ dejta personali skont id-Direttiva 2002/58/KE tal-Parlament Ewropew u tal-Kunsill dwar il-privatezza u l-komunikazzjoni elettronika
IL-KUMMISSJONI EWROPEA,
Wara li kkunsidrat it-Trattat dwar il-Funzjonament tal-Unjoni Ewropea,
Wara li kkunsidrat id-Direttiva 2002/58/KE tal-Parlament Ewropew u tal-Kunsill tat-12 ta’ Lulju 2002 dwar l-ipproċessar tad-dejta personali u l-protezzjoni tal-privatezza fis-settur tal-komunikazzjoni elettronika (dwar il-privatezza u l-komunikazzjoni elettronika) (1), u b’mod partikolari l-Artikolu 4(5) tagħha,
Wara li kkonsultat lill-Aġenzija Ewropea dwar is-Sigurtà tan-Netwerks u l-Informazzjoni (ENISA),
Wara li kkonsultat lill-Grupp ta’ Ħidma għall-Protezzjoni ta’ Individwi fir-Rigward tal-Ipproċessar ta’ Dejta Personali stabbilit mill-Artikolu 29 tad-Direttiva 95/46/KE tal-Parlament Ewropew u tal-Kunsill tal-24 ta’ Ottubru 1995 dwar il-protezzjoni ta’ individwi fir-rigward tal-ipproċessar ta’ dejta personali u dwar il-moviment liberu ta’ dik id-dejta (2) (il-Grupp ta’ Ħidma tal-Artikolu 29),
Wara li kkonsultat lill-Kontrollur Ewropew għall-Protezzjoni tad-Data (KEPD),
Billi:
(1)
Id-Direttiva 2002/58/KE tipprovdi għall-armonizzazzjoni tad-dispożizzjonijiet nazzjonali meħtieġa biex ikun żgurat livell ekwivalenti ta’ protezzjoni tad-drittijiet u l-libertajiet fundamentali, u b’mod partikolari d-dritt għall-privatezza u l-kunfidenzjalità, fir-rigward tal-ipproċessar ta’ dejta personali fis-settur tal-komunikazzjoni elettronika u biex ikun żgurat il-moviment liberu ta’ dik id-dejta u ta’ apparat u ta’ servizzi tal-komunikazzjoni elettronika fl-Unjoni.
(2)
Skont l-Artikolu 4 tad-Direttiva 2002/58/KE, il-fornituri ta’ servizzi tal-komunikazzjoni elettronika disponibbli pubblikament huma obbligati jgħarrfu lill-awtoritajiet kompetenti nazzjonali, u f’ċerti każijiet anki lill-abbonati u lill-individwi kkonċernati, dwar ksur ta’ dejta personali. Fl-Artikolu 2(i) tad-Direttiva 2002/58/KE, ksur ta’ dejta personali huwa definit bħala ksur tas-sigurtà li jwassal għal qerda, telf, tibdil inċidentali jew illegali jew divulgazzjoni mhux awtorizzata ta’, jew aċċess għal, dejta personali trasmessa, maħżuna jew ipproċessata bi kwalunkwe mod ieħor b’rabta mal-għoti ta’ servizz tal-komunikazzjoni elettronika disponibbli pubblikament fl-Unjoni.
(3)
Biex jiżgura konsistenza fl-implimentazzjoni tal-miżuri msemmija fl-Artikolu 4(2), (3) u (4) tad-Direttiva 2002/58/KE, l-Artikolu 4(5) tagħha jagħti s-setgħa lill-Kummissjoni li tadotta miżuri tekniċi ta’ implimentazzjoni dwar iċ-ċirkostanzi, il-format u l-proċeduri applikabbli għar-rekwiżiti ta’ informazzjoni u notifika msemmija f’dak l-Artikolu.
(4)
Rekwiżiti nazzjonali differenti f’dan ir-rigward jistgħu jwasslu għal inċertezza legali, proċeduri iktar kumplessi u kkumplikati u spejjeż amministrattivi sinifikanti għall-fornituri li joperaw b’mod transfruntier. Għaldaqstant, il-Kummissjoni tqis li hemm bżonn li jiġu adottati miżuri tekniċi ta’ implimentazzjoni bħal dawn.
(5)
Dan ir-Regolament huwa limitat għan-notifika ta’ ksur ta’ dejta personali u għaldaqstant ma jistabbilixxix miżuri tekniċi ta’ implimentazzjoni li jikkonċernaw l-Artikolu 4(2) tad-Direttiva 2002/58/KE dwar l-għoti ta’ informazzjoni lill-abbonati f’każ ta’ riskju partikolari ta’ ksur tas-sigurtà tan-netwerk.
(6)
Mill-ewwel subparagrafu tal-Artikolu 4(3) tad-Direttiva 2002/58/KE jirriżulta li l-fornituri għandhom jinnotifikaw il-ksur kollu ta’ dejta personali lill-awtorità kompetenti nazzjonali. Għalhekk, ma għandha titħalla ebda diskrezzjoni lill-fornitur dwar jekk jinnotifikax jew le lill-awtorità kompetenti nazzjonali. Madankollu, dan ma għandux jiċħad lill-awtorità kompetenti nazzjonali kkonċernata mill-possibbiltà li tagħti prijorità lill-investigazzjoni ta’ ċertu ksur b’mod li tqis xieraq skont il-liġi applikabbli, u li tieħu l-passi kif meħtieġ sabiex tevita rappurtar żejjed jew nieqes tal-ksur fid-dejta personali.
(7)
Huwa xieraq li tkun prevista sistema għan-notifika tal-ksur ta’ dejta personali lill-awtorità kompetenti nazzjonali, li, fejn jiġu ssodisfati ċerti kundizzjonijiet, tkun tikkonsisti minn stadji varji, b’kull stadju jkun suġġett għal ċerti limiti ta’ żmien. Din is-sistema għandha l-għan li tiżgura li l-awtorità kompetenti nazzjonali tkun infurmata kmieni kemm jista’ jkun u bid-dettalji kollha tal-każ, mingħajr pero’ ma tfixkel lill-fornitur fl-isforzi tiegħu biex jinvestiga l-ksur u jieħu l-miżuri neċessarji biex jiġi limitat dan il-ksur u jirrimedja l-konsegwenzi tiegħu.
(8)
La sempliċi suspett li seħħ ksur ta’ dejta personali, u lanqas sejba sempliċi ta’ inċident mingħajr ma tkun disponibbli biżżejjed informazzjoni, minkejja l-aqwa sforzi tal-fornitur għal dan il-għan, ma huma biżżejjed biex jitqies li nstab ksur ta’ dejta personali għall-finijiet ta’ dan ir-Regolament. F’dan ir-rigward, għandha titqies b’mod partikolari d-disponibbiltà tal-informazzjoni msemmija fl-Anness I.
(9)
Fil-kuntest tal-applikazzjoni ta’ dan ir-Regolament l-awtoritajiet kompetenti nazzjonali kkonċernati għandhom jikkooperaw fil-każijiet ta’ ksur ta’ dejta personali li jkollhom dimensjoni transfruntiera.
(10)
Dan ir-Regolament ma jipprovdix għal speċifikazzjoni addizzjonali tal-inventarju tal-ksur ta’ dejta personali li għandu jinżamm mill-fornituri, peress li l-Artikolu 4 tad-Direttiva 2002/58/KE jispeċifika l-kontenut tiegħu b’mod eżawrjenti. Madankollu, il-fornitur jista’ jirreferi għal dan ir-Regolament biex jiddetermina l-format tal-inventarju.
(11)
L-awtoritajiet kompetenti nazzjonali kollha għandhom iqiegħdu mezzi elettroniċi sikuri għad-dispożizzjoni tal-fornituri biex jinnotifikaw ksur ta’ dejta personali f’format komuni, ibbażat fuq standard bħal XML, li fih l-informazzjoni stipulata fl-Anness I fil-lingwi rilevanti, sabiex il-fornituri kollha fi ħdan l-Unjoni jkunu jistgħu jsegwu proċedura ta’ notifika simili, indipendentement minn fejn jinsabu jew fejn ikun seħħ il-ksur ta’ dejta personali. F’dan ir-rigward, il-Kummissjoni għandha tiffaċilita l-implimentazzjoni ta’ mezzi elettroniċi siguri billi torganizza laqgħat mal-awtoritajiet kompetenti nazzjonali fejn ikun meħtieġ.
(12)
Meta jiġi vvalutat jekk ksur ta’ dejta personali għandux il-probabilità li jaffettwa b’mod ħażin id-dejta personali jew il-privatezza ta’ abbonat jew individwu, għandhom jitqiesu, b’mod partikolari, l-għamla u l-kontenut tad-dejta personali kkonċernata, b’mod partikolari meta d-dejta tkun tikkonċerna informazzjoni finanzjarja, bħal dejta tal-karti ta’ kreditu u dettalji tal-kont tal-bank; kategoriji speċjali ta’ dejta msemmija fl-Artikolu 8(1) tad-Direttiva 95/46/KE; u ċerta dejta speċifikament marbuta mal-forniment ta’ servizzi tat-telefonija jew tal-Internet, jiġifieri dejta dwar il-posta elettronika, dejta ta’ lokalizzazzjoni, fajls ta’ log tal-Internet, il-kronoloġiji tal-ibbrawżjar onlajn u listi tas-sejħiet dettaljati.
(13)
F’ċirkostanzi eċċezzjonali, il-fornitur għandu jitħalla jittardja n-notifika lill-abbonat jew lill-individwu, meta n-notifika lill-abbonat jew lill-individwu tista’ xxekkel l-investigazzjoni proprja tal-ksur ta’ dejta personali. F’dan il-kuntest, ċirkostanzi eċċezzjonali jistgħu jinkludu investigazzjonijiet kriminali, kif ukoll ksur ieħor ta’ dejta personali li ma jwasslux għal reat serju iżda li għalihom jista’ jkun xieraq li tiġi posposta n-notifika. Fi kwalunkwe każ, għandu jkun f’idejn l-awtorità kompetenti nazzjonali li f’kull każ u fid-dawl taċ-ċirkostanzi, tivvaluta jekk taqbilx mal-posponiment jew tkunx teħtieġ in-notifika.
(14)
Filwaqt li l-fornituri għandu jkollhom id-dettalji ta’ kuntatt tal-abbonati tagħhom, b’konsegwenza tar-relazzjoni kuntrattwali diretta tagħhom, dik l-informazzjoni tista’ ma tkunx teżisti għal individwi oħrajn milqutin b’mod ħażin mill-ksur ta’ dejta personali. F’każ bħal dan, il-fornitur għandu jitħalla jinnotifika lil dawk l-individwi inizjalment permezz ta’ reklami f’midja nazzjonali jew reġjonali maġġuri, bħall-gazzetti, segwiti, malajr kemm jista’ jkun, minn notifika individwali kif stipulat f’dan ir-Regolament. Għalhekk il-fornitur effettivament mhuwiex obbligat jinnotifika permezz tal-midja, iżda għandu s-setgħa jaġixxi b’dan il-mod, jekk jixtieq hekk, meta jkun għadu fil-proċess tal-identifikazzjoni tal-individwi kollha affetwati.
(15)
L-informazzjoni dwar il-ksur għandha tkun iddedikata għall-ksur u ma għandux ikollha x’taqsam ma’ informazzjoni dwar suġġett ieħor. Pereżempju, l-inklużjoni ta’ informazzjoni dwar ksur ta’ dejta personali f’fattura regolari ma għandhiex titqies bħala mezz adegwat biex jiġi nnotifikat ksur ta’ dejta personali.
(16)
Dan ir-Regolament ma jistabbilixxix miżuri teknoloġiċi u speċifiċi ta’ protezzjoni li jiġġustifikaw deroga mill-obbligu ta’ notifika tal-ksur ta’ dejta personali lill-abbonati jew lill-individwi, peress li dawn jistgħu jinbidlu maż-żmien hekk kif tavvanza t-teknoloġija. Madankollu, il-Kummissjoni għandha tkun tista’ tippubblika lista indikattiva tat-tali miżuri teknoloġiċi speċifiċi ta’ protezzjoni skont il-prattiki attwali.
(17)
L-implimentazzjoni ta’ kodifikazzjoni jew ‘hashing’ ma għandhiex titqies biżżejjed waħedha biex tippermetti lill-fornituri jiddikjaraw li ssodisfaw l-obbligu dwar is-sigurtà ġenerali stabbilit fl-Artikolu 17 tad-Direttiva 95/46/KE. F’dan ir-rigward, il-fornituri għandhom jimplimentaw ukoll miżuri organizzattivi u tekniċi adegwati biex jipprevjenu, jikxfu u jimblokkaw ksur ta’ dejta personali. Il-fornituri għandhom jikkunsidraw kwalunkwe riskju residwu li jista’ jkun preżenti wara li jkunu ġew implimentati l-kontrolli sabiex jifhmu fejn hemm il-potenzjal li jseħħ ksur ta’ dejta personali.
(18)
Fejn il-fornitur juża fornitur ieħor biex iwettaq parti mis-servizz, pereżempju fir-rigward ta’ funzjonijiet f’relazzjoni mal-kontijiet jew il-ġestjoni, dan il-fornitur l-ieħor, li ma għandu l-ebda relazzjoni kuntrattwali diretta mal-utent aħħari ma għandux ikollu l-obbligu li joħroġ in-notifiki fil-każ ta’ ksur ta’ dejta personali. Minflok, għandha tiġbed l-attenzjoni tal-fornitur li miegħu għandha relazzjoni kuntrattwali diretta u tinfurmah bil-ksur. Dan għandu japplika wkoll fil-kuntest tal-forniment, fil-livell tal-operaturi, ta’ servizzi ta’ komunikazzjoni elettronika, meta tipikament il-fornitur fil-livell tal-operaturi ma jkollux relazzjoni kuntrattwali diretti mal-utent aħħari.
(19)
Id-Direttiva 95/46/KE tiddefinixxi qafas ġenerali għall-protezzjoni ta’ dejta personali fl-Unjoni Ewropea. Il-Kummissjoni ppreżentat proposta għal Regolament tal-Parlament Ewropew u tal-Kunsill biex tissostitwixxi d-Direttiva 95/46/KE (ir-Regolament dwar il-Protezzjoni tad-Dejta). Ir-Regolament dwar il-Protezzjoni tad-Dejta propost għandu jintroduċi obbligu għall-kontrolluri tad-dejta kollha li jinnotifikaw il-ksur ta’ dejta personali, fuq il-bażi tal-Artikolu 4(3) tad-Direttiva 2002/58/KE. Ir-Regolament tal-Kummissjoni preżenti huwa konsistenti bis-sħiħ ma’ din il-miżura proposta.
(20)
Ir-Regolament dwar il-Protezzjoni tad-Dejta propost jagħmel ukoll għadd limitat ta’ aġġustamenti tekniċi għad-Direttiva 2002/58/KE biex iqis it-trasformazzjoni tad-Direttiva 95/46/KE f’Regolament. Il-konsegwenzi sostantivi legali tar-Regolament il-ġdid għad-Direttiva 2002/58/KE se jkunu l-oġġett ta’ analiżi mill-Kummissjoni.
(21)
L-applikazzjoni ta’ dan ir-Regolament għandha tiġi analizzata tliet snin wara d-dħul fis-seħħ tiegħu, u l-kontenut tiegħu għandu jiġi analizzat fid-dawl tal-qafas legali fis-seħħ dak iż-żmien, inkluż ir-Regolament dwar il-Protezzjoni tad-Dejta propost. L-analiżi ta’ dan ir-Regolament għandha tkun marbuta, fejn ikun possibbli, ma kwalunkwe analiżi fil-futur tad-Direttiva 2002/58/KE.
(22)
L-applikazzjoni ta’ dan ir-Regolament għandha tiġi vvalutata, fost oħrajn, abbażi ta’ kwalunkwe statistika li tinżamm mill-awtoritajiet kompetenti nazzjonali dwar il-ksur ta’ dejta personali li jkunu ġew innotifikati bih. Dawn l-istatistiki jistgħu jinkludu, pereżempju, informazzjoni dwar l-għadd ta’ ksur ta’ dejta personali nnotifikati lill-awtorità kompetenti nazzjonali, l-għadd ta’ ksur ta’ dejta personali nnotifikati lill-abbonat jew lill-individwu, iż-żmien li jkun ittieħed biex jiġi solvut il-ksur ta’ dejta personali, u jekk ittiħdux miżuri teknoloġiċi ta’ protezzjoni. Dawn l-istatistiki għandhom jipprovdu dejta statistika li tkun konsistenti u komparabbli lill-Kummissjoni u lill-Istati Membri, u la għandhom jikxfu l-identità tal-fornitur li jkun għamel in-notifika u lanqas l-abbonati jew l-individwi involuti. Il-Kummissjoni tista’ wkoll torganizza laqgħat regolari mal-awtoritajiet kompetenti nazzjonali u ma’ partijiet interessati oħrajn għal dan il-għan.
(23)
Il-miżuri stipulati f’dan ir-Regolament huma konformi mal-opinjoni tal-Kumitat għall-Komunikazzjonijiet,
ADOTTAT DAN IR-REGOLAMENT:
Artikolu 1
Kamp ta’ applikazzjoni
Dan ir-Regolament għandu japplika għan-notifika ta’ ksur ta’ dejta personali minn fornituri ta’ servizzi ta’ komunikazzjoni elettronika disponibbli pubblikament (‘il-fornitur’).
Artikolu 2
Notifika lill-awtoritajiet kompetenti nazzjonali
1. Il-fornitur għandu jinnotifika kull ksur ta’ dejta personali lill-awtorità kompetenti nazzjonali.
2. Il-fornitur għandu jinnotifika l-ksur ta’ dejta personali lill-awtorità kompetenti nazzjonali mhux iktar tard minn 24 siegħa wara li jinkixef il-ksur ta’ dejta personali, fejn fattibbli.
Fin-notifika tiegħu lill-awtorità kompetenti nazzjonali l-fornitur għandu jinkludi dik l-informazzjoni stipulata fl-Anness I.
Il-kxif ta’ ksur ta’ dejta personali għandu jitqies li seħħ meta l-fornitur ikun kiseb għarfien biżżejjed li seħħ inċident relatat mas-sigurtà li wassal biex id-dejta personali tkun kompromessa, biex b’hekk ikun jista’ jagħmel notifika sinifikanti kif meħtieġ skont dan ir-Regolament.
3. Fejn l-informazzjoni kollha stabbilita fl-Anness I ma tkunx disponibbli u jkun hemm bżonn ta’ aktar investigazzjoni dwar il-ksur ta’ dejta personali, il-fornitur għandu jitħalla jagħmel notifika inizjali lill-awtorità kompetenti nazzjonali mhux iktar tard minn 24 siegħa wara l-kxif tal-ksur ta’ dejta personali. Din in-notifika inizjali lill-awtorità kompetenti nazzjonali għandha tinkludi l-informazzjoni stabbilita fit-taqsima 1 tal-Anness I. Il-fornitur għandu jagħmel it-tieni notifika lill-awtorità kompetenti nazzjonali malajr kemm jista’ jkun, u mhux iktar tard minn tlett ijiem wara n-notifika inizjali. Din it-tieni notifika għandha tinkludi l-informazzjoni stabbilita fit-taqsima 2 tal-Anness I u, fejn meħtieġ, għandha taġġorna l-informazzjoni li tkun diġà ingħatat.
Meta, minkejja l-investigazzjonijiet li jagħmel, il-fornitur ma jkunx jista’ jipprovdi l-informazzjoni kollha fi żmien perjodu ta’ tlett ijiem min-notifika inizjali, il-fornitur għandu jinnotifika l-informazzjoni kollha fil-pussess tiegħu fi ħdan dak il-perjodu ta’ żmien u għandu jippreżenta lill-awtorità kompetenti nazzjonali b’ġustifikazzjoni rraġunata għan-notifika ttardjata tal-informazzjoni li jifdal. Il-fornitur għandu jinnotifka l-informazzjoni li jifdal lill-awtorità kompetenti nazzjonali u, fejn ikun meħtieġ, jaġġorna l-informazzjoni li tkun diġà ingħatat, malajr kemm jista’ jkun.
4. L-awtorità kompetenti nazzjonali għandha tipprovdi lill-fornituri kollha stabbiliti fl-Istat Membru kkonċernat mezz elettroniku sigur għan-notifika ta’ ksur ta’ dejta personali u informazzjoni dwar il-proċeduri għall-aċċess u l-użu tiegħu. Fejn meħtieġ, il-Kummissjoni għandha torganizza laqgħat mal-awtoritajiet kompetenti nazzjonali biex tiffaċilita l-applikazzjoni ta’ din id-dispożizzjoni.
5. Meta l-ksur ta’ dejta personali jaffettwa lil abbonati jew lil individwi minn Stati Membri li mhumiex dawk tal-awtorità kompetenti nazzjonali li lilha ġie nnotifikat il-ksur ta’ dejta personali, l-awtorità kompetenti nazzjonali għandha tinforma lill-awtoritajiet nazzjonali kkonċernati l-oħrajn.
Il-Kummissjoni għandha toħloq u żżomm lista tal-awtoritajiet kompetenti nazzjonali flimkiem mal-punti ta’ kuntatt xierqa biex tiffaċilita l-applikazzjoni ta’ din id-dispożizzjoni.
Artikolu 3
Notifika lill-abbonat jew lill-individwu
1. Meta l-ksur ta’ dejta personali jkollu probabilità li jaffettwa b’mod ħażin id-dejta personali jew il-privatezza ta’ abbonat jew individwu, il-fornitur, flimkien man-notifika msemmija fl-Artikolu 2, għandu jinnotifika wkoll lill-abbonat jew lill-individwu bil-ksur.
2. Il-valutazzjoni dwar jekk ksur ta’ dejta personali għandux il-probabilità li jaffettwa b’mod ħażin id-dejta personali jew il-privatezza ta’ abbonat jew individwu għandha titwettaq billi jitqiesu, b’mod partikolari, iċ-ċirkostanzi li ġejjin:
(a)
l-għamla u l-kontenut tad-dejta personali involuta, b’mod partikolari f’każijiet fejn id-dejta tkun tikkonċerna informazzjoni finanzjarja, kategoriji speċjali ta’ dejta msemmija fl-Artikolu 8(1) tad-Direttiva 95/46/KE, kif ukoll dejta ta’ lokalizzazzjoni, fajls ta’ log tal-Internet, il-kronoloġiji tal-ibbrawżjar onlajn, dejta dwar il-posta elettronika u listi dettaljati tat-telefonati;
(b)
il-konsegwenzi probabbli tal-ksur ta’ dejta personali għall-abbonat jew għall-individwu kkonċernat, b’mod partikolari meta l-ksur ikun jista’ jirriżulta f’serq tal-identità jew frodi, danni fiżiċi, stress psikoloġiku, umiljazzjoni jew ħsara għar-reputazzjoni; u
(c)
iċ-ċirkostanzi tal-ksur ta’ dejta personali, b’mod patikolari f’każijiet fejn id-dejta tkun insterqet jew meta l-fornitur ikun jaf li d-dejta tkun fil-pussess ta’ parti terza mhux awtorizzata.
3. In-notifika lill-abbonat jew lill-individwu għandha ssir mingħajr dewmien żejjed wara li jinkixef il-ksur ta’ dejta, kif stabbilit fit-tielet subparagrafu tal-Artikolu 2(2). Dan ma għandux ikun dipendenti fuq in-notifika tal-ksur ta’ dejta personali lill-awtorità kompetenti personali, kif imsemmi fl-Artikolu 2.
4. Fin-notifika tiegħu lill-abbonat jew lill-individwu, il-fornitur għandu jinkludi l-informazzjoni stabbilita fl-Anness II. In-notifika lill-abbonat jew lill-individwu għandha tkun espressa f’lingwaġġ ċar u li jinftiehem faċilment. Il-fornitur ma għandux juża n-notifika bħala opportunità biex jippromwovi jew biex jirreklama servizzi ġodda jew addizzjonali.
5. F’ċirkustanzi eċċezzjonali, fejn in-notifika lill-abbonat jew lill-individwu tista’ tkun ta’ riskju għall-investigazzjoni xierqa tal-ksur ta’ dejta personali, il-fornitur, wara li jikseb il-qbil min-naħa tal-awtorità kompetenti nazzjonali, għandu jkun jista’ jittardja n-notifika lill-abbonat jew lill-individwu sa dak iż-żmien meta l-awtorità kompetenti nazzjonali tqis li jkun possibbli li jiġi nnotifikat il-ksur ta’ dejta personali skont dan l-Artikolu.
6. Il-fornitur għandu jinnotifika lill-abbonat jew lill-individwu dwar il-ksur ta’ dejta personali permezz ta’ mezzi ta’ komunikazzjoni li jiżguraw riċevuta fil-ħin tal-informazzjoni u li huma sikuri bix-xieraq skont l-aktar mezzi moderni. L-informazzjoni dwar il-ksur għandha tkun iddedikata għall-ksur u ma għandhiex tkun assoċjata ma’ informazzjoni dwar suġġett ieħor.
7. Meta l-fornitur ikollu relazzjoni kuntrattwali diretta mal-utent aħħari, minkejja li jkun għamel sforzi raġonevoli u fi ħdan il-perjodu ta’ żmien imsemmi fil-paragrafu 3, ma jirnexxilux jidentifika lill-individwi kollha li aktarx li se jkunu affettwati b’mod ħażin mill-ksur ta’ dejta personali, il-fornitur jista’ jinnotifika lil dawk l-individwi permezz ta’ reklami f’midja nazzjonali jew reġjonali maġġuri, fl-Istati Membri rilevanti, fi ħdan dak il-perjodu ta’ żmien. Dawn ir-reklami għandu jkun fihom l-informazzjoni stabbilita fl-Anness II, u fejn ikun hemm bżonn f’għamla qasira kemm jista’ jkun. F’dak il-każ, il-fornitur għandu jkompli jagħmel l-isforzi raġonevoli kollha biex jidentifika lil dawk l-individwi u jinnotifikalhom l-informazzjoni stipulata fl-Anness II malajr kemm jista’ jkun.
Artikolu 4
Miżuri teknoloġiċi ta’ protezzjoni
1. B’deroga mill-Artikolu 3(1), in-notifika ta’ ksur ta’ dejta personali lil abbonat jew individwu kkonċernat ma għandhiex tkun meħtieġa jekk il-fornitur ikun wera b’mod sodisfaċenti lill-awtorità kompetenti nazzjonali li huwa implimenta miżuri teknoloġiċi ta’ protezzjoni xierqa, u li dawk il-miżuri ġew applikati għad-dejta kkonċernata mill-ksur tas-sigurtà. Dawn il-miżuri teknoloġiċi ta’ protezzjoni għandhom iġibu d-dejta bħala waħda li ma tista’ tinqara minn ħadd ħlief mill-persuni li jkollhom aċċess awtorizzat għaliha.
2. Id-dejta għandha titqies bħala dejta li ma tistax tinqara jekk:
(a)
tkun ġiet ikkodifikata b’mod sigur b’algorittmu standardizzat, il-kodiċi użat biex tiġi ddekodifikata d-dejta ma jkunx f’riskju ta’ xi ksur tas-sigurtà, u l-kodiċi użat biex tiġi ddekodifikata d-dejta jkun ġie ġġenerat sabiex dan ma jkunx jista’ jsir magħruf b’kwalunkwe mezz teknoloġiku disponibbli għal kwalunkwe persuna li mhijiex awtorizzata taċċessal-kodiċi; jew
(b)
ġiet sostitwita mill-valur ‘hashed’ tagħha kkalkolat b’funzjoni kriptografika u standardizzata ta’ ‘hash’ b’kodiċi, il-kodiċi użat għall-‘hash’ tad-dejta ma jkunx kompromess f’xi ksur tas-sigurtà, u l-kodiċi użat għall-‘hash’ tad-dejta jkun ġie ġġenerat b’tali mod li dan ma jkunx jista’ jsir magħruf minn kwalunkwe persuna bi kwalukwe mezzi teknoloġiċi disponibbli li ma jkollhiex aċċess awtorizzat għall-kodiċi.
3. Il-Kummissjoni, wara li tkun ikkonsultat lill-awtoritajiet kompetenti nazzjonali permezz tal-Grupp ta’ Ħidma tal-Artikolu 29, lill-Aġenzija Ewropea dwar is-Sigurtà tan-Networks u l-Informazzjoni u lill-Kontrollur Ewropew għall-Protezzjoni tad-Dejta, tista’ tippubblika lista indikattiva tal-miżuri teknoloġiċi ta’ protezzjoni xierqa, imsemmija fil-paragrafu 1, skont il-prattiki attwali.
Artikolu 5
Użu ta’ fornitur ieħor
Fejn fornitur ieħor jiġi kuntrattat biex jipprovdi parti mis-servizz ta’ komunikazzjoni elettronika mingħajr ma jkollu relazzjoni kuntrattwali diretta mal-abbonati, dan il-fornitur l-ieħor għandu jinforma immedjatament lill-fornitur kontraenti fil-każ ta’ ksur fid-dejta personali.
Artikolu 6
Rappurtar u analiżi
Fi żmien tliet snin mid-dħul fis-seħħ ta’ dan ir-Regolament, il-Kummissjoni għandha tipprovdi rapport dwar l-applikazzjoni ta’ dan ir-Regolament, l-effettività tiegħu u l-impatt tiegħu fuq il-fornituri, l-abbonati u l-individwi. Abbażi ta’ dak ir-rapport, il-Kummissjoni għandha tanalizza dan ir-Regolament.
Artikolu 7
Dħul fis-seħħ
Dan ir-Regolament għandu jidħol fis-seħħ fil-25 ta’ Awwissu 2013.
Dan ir-Regolament għandu jorbot fl-intier tiegħu u japplika direttament fl-Istati Membri kollha.
Magħmul fi Brussell, l-24 ta’ Ġunju 2013.