РЕГЛАМЕНТ (ЕС) № 611/2013 НА КОМИСИЯТА
от 24 юни 2013 година
относно мерките, приложими за съобщаването на нарушения на сигурността на личните данни съгласно Директива 2002/58/ЕО на Европейския парламент и на Съвета за правото на неприкосновеност на личния живот и електронни комуникации
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (1), и по-специално член 4, параграф 5 от нея,
след като се консултира с Европейската агенция за мрежова и информационна сигурност (ENISA),
след като се консултира с Работната група за защита на лицата по отношение на обработката на лични данни, която е сформирана съгласно член 29 от Директива 95/46/ЕО на Европейския парламент и Съвета от 24 октомври 1995 г. за защита на физическите лица по отношение на обработката на лични данни и за свободното движение на такива данни (2) (Работната група по член 29),
след като се консултира с Европейския надзорен орган по защита на данните (ЕНОЗД),
като има предвид, че:
(1)
В Директива 2002/58/ЕО се предвижда да бъдат хармонизирани националните разпоредби, необходими за осигуряване на еднаква степен на защита на основните права и свободи, и по-специално правото на неприкосновеност на личния живот и правото на поверителност по отношение на обработката на лични данни в сектора на електронните комуникации, както и да бъде осигурено свободно движение на такива данни и оборудване за електронни комуникации и услуги в Съюза.
(2)
Съгласно член 4 от Директива 2002/58/ЕО доставчиците на общественодостъпни електронни съобщителни услуги са задължени да уведомяват компетентните национални органи, а в определени случаи и засегнатите абонати и лица, за нарушенията на сигурността на личните данни. Нарушенията на сигурността на лични данни са дефинирани в член 2, буква и) от Директива 2002/58/ЕО като нарушения на сигурността, които водят до случайно или незаконно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, предавани, съхранявани или обработвани по друг начин във връзка с предоставянето на общественодостъпна електронна съобщителна услуга в Общността.
(3)
С цел да се осигури последователност при изпълнението на мерките, посочени в член 4, параграфи 2, 3 и 4 от Директива 2002/58/ЕО, член 4, параграф 5 от нея оправомощава Комисията да приема технически мерки за изпълнение във връзка с обстоятелствата, формата и процедурите, приложими за изискванията за информация и уведомяване, посочени в споменатия член.
(4)
Различните национални изисквания в това отношение могат да доведат до правна несигурност, по-сложни и тромави процедури и значителни административни разходи за доставчиците на услуги, извършващи трансгранична дейност. Поради това Комисията счита за необходимо да приеме такива технически мерки за изпълнение.
(5)
Настоящият регламент се ограничава със съобщаването на нарушения на сигурността на лични данни и следователно не определя технически мерки за изпълнение във връзка с член 4, параграф 2 от Директива 2002/58/ЕО относно информиране на абонатите, в случай че има конкретна опасност от нарушаване на сигурността на мрежата.
(6)
От член 4, параграф 3, първа алинея от Директива 2002/58/ЕО следва, че доставчиците трябва да уведомяват компетентния национален орган за всички нарушения на сигурността на лични данни. Следователно на доставчика не следва да се оставя свобода за вземане на решение дали да уведоми компетентния национален орган. Това обаче не следва да възпрепятства въпросния компетентен национален орган да приоритизира разследването на някои нарушения по начин, който той счита за подходящ в съответствие с приложимото законодателство, и да предприема необходимите мерки за предотвратяване на докладване на недостатъчно или прекалено много нарушения във връзка с лични данни.
(7)
Целесъобразно е да се предвиди система за уведомяване на компетентния национален орган за нарушенията на сигурността на лични данни, която се състои, в случаите, в които са изпълнени определени условия, от различни етапи, за всеки от които важат определени срокове. Тази система е предназначена да гарантира, че компетентният национален орган бива информиран възможно най-рано и във възможно най-пълна степен, без обаче да бъде възпрепятстван доставчикът в усилията му да разследва нарушението и да взема необходимите мерки за ограничаване и отстраняване на последствията от него.
(8)
За целите на настоящия регламент, за да се счита, че е било открито нарушение на сигурността на лични данни, не са достатъчни нито обикновеното подозрение, че е имало нарушение на сигурността на лични данни, нито простото откриване на инцидент, без да има налице достатъчно информация, въпреки всички възможни усилия на доставчика да осигури такава. В тази връзка особено внимание следва да се обърне на наличието на информацията, посочена в приложение I.
(9)
В контекста на прилагането на настоящия регламент в случай на нарушаване на сигурността на лични данни с трансгранично измерение съответните компетентни национални органи следва да си сътрудничат.
(10)
Настоящият регламент не предвижда допълнителна спецификация за регистъра на нарушенията на сигурността на лични данни, който трябва да се поддържа от доставчиците, като се има предвид, че в член 4 от Директива 2002/58/ЕО неговото съдържание се определя изчерпателно. Доставчиците обаче могат да се позовават на настоящия регламент, за да се определи форматът на регистъра.
(11)
Всички компетентни национални органи следва да осигурят сигурни електронни средства, така че доставчиците да съобщават за нарушения на сигурността на личните данни в общ формат (основан на стандарт като XML), съдържащ информацията, посочена в приложение I, на съответните езици, така че да се даде възможност на всички доставчици в рамките на Съюза да следват сходна процедура за съобщаване, независимо от това къде се намират или къде е било извършено нарушаването на сигурността на личните данни. В тази връзка Комисията следва да улеснява въвеждането на сигурни електронни средства, като свиква заседания с компетентните национални органи, когато това е необходимо.
(12)
При оценяване дали дадено нарушаване на сигурността на личните данни има вероятност да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или лице следва да се вземе предвид по-специално естеството и съдържанието на съответните лични данни, по-специално когато данните касаят финансова информация, като например данни за кредитни карти и подробности за банкови сметки; специалните категории от данни, посочени в член 8, параграф 1 от Директива 95/46/ЕО; както и някои данни, конкретно свързани с предоставянето на телефонни или интернет услуги, т.е. данни за електронната поща, данни за местоположението, файлове със статистика за интернет връзките, история на посетените уебстраници и списъци с повиквания, указани по позиции.
(13)
При изключителни обстоятелства, когато уведомяването на абоната или лицето може да изложи на риск правилното разследване на нарушаването на сигурността на личните данни, на доставчика следва да бъде разрешено да забавя уведомяването на абоната или лицето. В този контекст извънредни обстоятелства могат да включват криминални разследвания, както и други нарушения на сигурността на лични данни, които не са равностойни на сериозно престъпление, но за които може да е целесъобразно уведомяването да бъде отложено. Във всеки случай националният компетентен орган следва да е този, който преценява за всеки отделен случай и в светлината на обстоятелствата дали да даде съгласие за отлагане или да изиска уведомяване.
(14)
Макар че доставчиците следва да имат данни за контакт със своите абонати предвид преките им договорни отношения, за други лица, засегнати от нарушаването на сигурността на личните данни може да няма такава информация. В такъв случай следва да бъде разрешено доставчикът да уведоми въпросните лица първоначално посредством съобщения в основните национални или регионални средства за масова информация, като например вестници, които веднага щом бъде възможно трябва да бъдат последвани от индивидуално уведомяване, както е предвидено в настоящия регламент. Доставчикът следователно не е длъжен като такъв да уведомява чрез средствата за масова информация, а по-скоро е упълномощен да действа по този начин, ако пожелае, когато все още е в процес на определяне на всички лица, които са засегнати.
(15)
Информацията за нарушението следва да бъде съсредоточена върху нарушението, а не да бъде свързана с информация по друга тема. Така например включването на информация за нарушаване на сигурността на лични данни в редовна фактура не следва да се счита за адекватен начин за уведомяване за нарушаване на сигурността на лични данни.
(16)
В настоящия регламент не се определят конкретни технически мерки за защита, които да оправдават дерогация от задължението за уведомяване на абонатите и лицата за нарушаване на сигурността на личните данни, тъй като тези мерки могат да търпят промени с течение на времето и развитието на технологиите. Комисията обаче следва да бъде в състояние да публикува примерен списък на конкретни такива технологични мерки за защита в съответствие с текущите практики.
(17)
Прилагането на криптиране или хеширане не следва да се смята за достатъчно само по себе си, за да позволи доставчиците да претендират в по-широк план, че са изпълнили общото задължение за сигурност, посочено в член 17 от Директива 95/46/ЕО. В тази връзка доставчиците следва също така да прилагат подходящи организационни и технически мерки за предотвратяване, откриване и блокиране на нарушения на сигурността на личните данни. Доставчиците следва да вземат предвид всеки остатъчен риск, който може да съществува, след като са били извършени проверки, с цел да разберат къде потенциално може да има нарушения на сигурността на личните данни.
(18)
Когато доставчикът използва друг доставчик за извършването на част от услугата, например във връзка с фактуриране или управленски функции, в случай на нарушение на сигурността на лични данни този друг доставчик, който няма преки договорни отношения с крайния потребител, не следва да бъде задължен да издава уведомления. Вместо това той следва да предупреди и информира за това доставчика, с който има преки договорни взаимоотношения. Това следва да се прилага и в контекста на предоставянето на едро на електронни съобщителни услуги, когато обикновено доставчикът на едро няма преки договорни отношения с крайния потребител.
(19)
В Директива 95/46/ЕО се определя обща рамка за защита на личните данни в Европейския съюз. Комисията представи предложение за регламент на Европейския парламент и на Съвета, който да замени Директива 95/46/ЕО (Директивата за защитата на данните). Предложеният регламент за защитата на данните ще въведе задължение за всички администратори на лични данни да уведомяват за нарушаване на сигурността на личните данни, основавайки се на член 4, параграф 3 от Директива 2002/58/ЕО. Настоящият регламент на Комисията е напълно съвместим с тази предложена мярка.
(20)
Предложеният регламент за защитата на данните също така прави ограничен брой технически изменения в Директива 2002/58/ЕО, за да се вземе предвид преобразуването на Директива 95/46/ЕО в регламент. Съществените правни последици от новия регламент за Директива 2002/58/ЕО ще бъдат обект на преразглеждане от страна на Комисията.
(21)
Прилагането на настоящия регламент следва да бъде преразгледано три години след влизането му в сила, а неговото съдържание - преразгледано в светлината на действащата нормативна уредба към горепосочения момент, включително в светлината на предложения регламент за защитата на данните. Преразглеждането на настоящия регламент следва да бъдат свързано, когато това е възможно, с евентуално бъдещо преразглеждане на Директива 2002/58/ЕО.
(22)
Прилагането на настоящия регламент може да бъде оценено въз основа, inter alia, на всяка статистика, водена от националните компетентни органи, за съобщените нарушения на сигурността на лични данни. Тези статистически данни могат да включват например информация относно броя на нарушенията на сигурността на лични данни, съобщени на националния компетентен орган, броя на нарушенията на сигурността на лични данни, съобщени на абоната или лицето, времето, необходимо за разрешаването на проблема с нарушението на сигурността на лични данни, както и дали са били взети технически мерки за защита. Тези статистически данни следва да осигурят на Комисията и на държавите членки последователни и сравними статистически данни и не трябва да разкриват нито самоличността на уведомяващия доставчик, нито тази на засегнатите абонати или лица. За тази цел Комисията може също така да провежда редовни срещи с националните компетентни органи и други заинтересовани страни.
(23)
Мерките, предвидени в настоящия регламент, са в съответствие със становището на Комитета за регулиране на съобщенията,
ПРИЕ НАСТОЯЩИЯ РЕГЛАМЕНТ:
Член 1
Обхват
Настоящият регламент се прилага за съобщаването на нарушения на сигурността на лични данни от страна на доставчици на публичнодостъпни електронни съобщителни услуги („доставчикът“).
Член 2
Уведомяване на компетентните национални органи
1. Доставчикът уведомява националния компетентен орган за всички нарушения на сигурността на личните данни.
2. Доставчикът уведомява националния компетентен орган за нарушението на сигурността на лични данни не по-късно от 24 часа след откриване на нарушението на сигурността на лични данни, когато това е възможно.
Доставчикът трябва да включи в своето уведомление до националния компетентен орган информацията, посочена в приложение I.
Счита се, че е открито нарушение на сигурността на лични данни, когато доставчикът е получил достатъчно информация, че е имало произшествие, свързано със сигурността, довело до компрометиране на лични данни, за да направи той съдържателно уведомление, както се изисква съгласно настоящия регламент.
3. Когато не е налице цялата информация, посочена в приложение I, и се изисква допълнително разследване на нарушението на сигурността на лични данни, на доставчика следва да бъде разрешено да изпрати първоначалното уведомление на националния компетентен орган не по-късно от 24 часа след откриване на нарушението на сигурността на лични данни. Това първоначално уведомяване на националния компетентен орган включва информацията, посочена в раздел 1 от приложение I. Доставчикът изпраща второ уведомление на националния компетентен орган възможно най-скоро и най-късно в рамките на три дни след първоначалното уведомяване. Това второ уведомление включва информацията, посочена в раздел 2 от приложение I, и когато е необходимо, актуализира вече предоставената информация.
Когато доставчикът, въпреки разследванията си, не е в състояние да предостави цялата информация в тридневен срок от първоначалното уведомяване, той съобщава толкова информация, с колкото разполага за този срок, и предоставя на националния компетентен орган мотивирана обосновка за закъснялото съобщаване на останалата информация. Доставчикът съобщава останалата информация на националния компетентен орган и когато е необходимо, актуализира вече предоставената информация във възможно най-кратък срок.
4. Националният компетентен орган предоставя на всички доставчици, установени в съответната държава членка, сигурни електронни средства за съобщаване на нарушения на сигурността на лични данни и на информация относно процедурите за достъп до тях и използването им. Когато е необходимо, Комисията свиква заседания с компетентните национални органи, за да улесни прилагането на тази разпоредба.
5. Когато нарушаването на сигурността на личните данни засяга абонати или лица от държави членки, различни от тази на националния компетентен орган, на който е било съобщено нарушаване на сигурността на личните данни, националният компетентен орган информира другите съответни национални органи.
За да улесни прилагането на тази разпоредба, Комисията създава и поддържа списък на националните компетентни органи и съответните звена за контакт.
Член 3
Уведомяване на абоната или лицето
1. Когато има вероятност нарушението на сигурността на личните данни да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или отделно лице, освен уведомяването, посочено в член 2, доставчикът също така уведомява засегнатия абонат или лице.
2. Дали дадено нарушаване на сигурността на личните данни има вероятност да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или отделно лице се преценява, като се вземат предвид по-специално следните обстоятелства:
а)
естеството и съдържанието на съответните лични данни, по-специално когато данните се отнасят за финансова информация, специалните категории от данни, посочени в член 8, параграф 1 от Директива 95/46/ЕО, както и данни за местоположението, файлове със статистика за интернет връзките, история на посетените уебстраници, данни за електронната поща и списъци с повиквания, указани по позиции;
б)
вероятните последици от нарушаването на сигурността на личните данни за засегнатия абонат или лице, по специално когато нарушението може да доведе до кражба на самоличност или измама с фалшива самоличност, физическа вреда, психично разстройство, накърняване на достойнството или на репутацията; както и
в)
обстоятелствата на нарушаването на сигурността на личните данни, по-специално когато данните са били откраднати или когато доставчикът знае, че данните са в притежание на неупълномощена трета страна.
3. Уведомяването на абоната или лицето се извършва без ненужно забавяне след откриването на нарушението на сигурността на лични данни, както е определено в член 2, параграф 2, трета алинея. То не зависи от уведомяването на националния компетентен орган за нарушаване на сигурността на лични данни, посочено в член 2.
4. Доставчикът трябва да включи в своето съобщение до абоната или лицето информацията, посочена в приложение II. Уведомяването на абоната или лицето се извършва на ясен и лесноразбираем език. Доставчикът не трябва да използва уведомяването като възможност за популяризиране или реклама на нови или допълнителни услуги.
5. При изключителни обстоятелства, когато уведомяването на абоната или лицето може да изложи на риск правилното разследване на нарушението на сигурността на лични данни, на доставчика се разрешава, след като е получил съгласие от страна на националния компетентен орган, да забави уведомяването на абоната или лицето, докато компетентният национален орган счете, че е възможно да уведоми за нарушаването на сигурността на лични данни в съответствие с настоящия член.
6. Доставчикът уведомява засегнатия абонат или лице за нарушаването на сигурността на личните данни чрез средства за комуникация, гарантиращи незабавното получаване на информация и чиято сигурност е защитена по подходящ начин в съответствие със съвременното техническо ниво. Информацията за нарушението трябва да бъде съсредоточена върху нарушението, а не да бъде свързана с информация по друга тема.
7. Когато доставчикът, който има преки договорни отношения с крайния потребител, независимо от положените целесъобразни усилия не е в състояние в рамките на срока, посочен в параграф 3, да определи всички лица, които има вероятност да са засегнати по неблагоприятен начин от нарушението на сигурността на лични данни, той може да уведоми въпросните лица посредством обявления в основните национални или регионални медии в съответните държави членки в рамките на посочения срок. Тези обявления следва да съдържат информацията, посочена в приложение II, и когато е необходимо - в сбита форма. В такъв случай доставчикът трябва да продължи да полага всички целесъобразни усилия да определи посочените лица и да им съобщи информацията, посочена в приложение II, във възможно най-кратък срок.
Член 4
Технически мерки за защита
1. Чрез дерогация от член 3, параграф 1 не се изисква уведомяване на засегнат абонат или отделно засегнато лице за нарушение на сигурността на лични данни, ако доставчикът е доказал в удовлетворителна степен пред националния компетентен орган, че е взел подходящи технически мерки за защита и че тези мерки са приложени за данните, засегнати от нарушаването на сигурността. Такива технически мерки за защита трябва да правят данните неразбираеми за всяко лице, което не е упълномощено за достъп до тях.
2. Данните се разглеждат като неразбираеми, ако:
а)
са сигурно шифровани със стандартизиран алгоритъм, като ключът, използван за дешифриране на данните, не е бил разкрит при нарушение на сигурността, и ключът, използван за дешифриране на данните, е генериран така, че да не може да бъде открит с наличните технически средства от което и да било лице, което не е упълномощено за достъп до ключа; или
б)
са заменени с тяхната хеширана стойност, изчислена със стандартизирана шифроваща хеш-функция с ключ, като ключът, използван за хеширане на данните, не е бил разкрит при нарушение на сигурността, и ключът, използван за хеширане на данните, е генериран така, че да не може да бъде открит с наличните технически средства от което и да било лице, което не е упълномощено за достъп до ключа.
3. В съответствие с текущите практики, след консултация с компетентните национални органи посредством Работната група по член 29, с Европейската агенция за мрежова и информационна сигурност и с Европейския надзорен орган по защита на данните, Комисията може да публикува ориентировъчен списък с подходящи технически мерки за защита, споменати в параграф 1.
Член 5
Използване на друг доставчик
Когато се използва друг доставчик за доставянето на част от електронната съобщителна услуга без преки договорни отношения с абонатите, в случай на нарушение, свързано с личните данни, този друг доставчик незабавно уведомява доставчика, който го е ангажирал.
Член 6
Докладване и преразглеждане
В рамките на три години от влизането в сила на настоящия регламент Комисията следва да представи доклад за прилагането на настоящия регламент, неговата ефективност и въздействието му върху доставчиците, абонатите и физическите лица. Въз основа на този доклад Комисията преразглежда настоящия регламент.
Член 7
Влизане в сила
Настоящият регламент влиза в сила на 25 август 2013 г.
Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави членки.
Съставено в Брюксел на 24 юни 2013 година.
REGULAMENTUL (UE) NR. 611/2013 AL COMISIEI
din 24 iunie 2013
privind măsurile aplicabile notificării încălcărilor securității datelor cu caracter personal în temeiul Directivei 2002/58/CE a Parlamentului European și a Consiliului privind confidențialitatea și comunicațiile electronice
COMISIA EUROPEANĂ,
având în vedere Tratatul privind funcționarea Uniunii Europene,
având în vedere Directiva 2002/58/CE a Parlamentului European și a Consiliului din 12 iulie 2002 privind prelucrarea datelor personale și protejarea confidențialității în sectorul comunicațiilor publice (Directiva asupra confidențialității și comunicațiilor electronice) (1), în special articolul 4 alineatul (5),
după consultarea Agenției Europene pentru Securitatea Rețelelor Informatice și a Datelor (ENISA),
după consultarea Grupului de lucru pentru protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal, instituit prin articolul 29 din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (2) (Grupul de lucru instituit prin articolul 29),
după consultarea Autorității Europene pentru Protecția Datelor (AEPD),
întrucât:
(1)
Directiva 2002/58/CE prevede armonizarea dispozițiilor naționale, lucru necesar în vederea asigurării unui nivel echivalent de protecție a drepturilor și libertăților fundamentale, în special a dreptului la confidențialitate și la respectarea vieții private, în domeniul prelucrării de date cu caracter personal în sectorul comunicațiilor electronice, precum și în vederea asigurării liberei circulații a acestor date și a serviciilor și echipamentelor de comunicații electronice în interiorul Uniunii.
(2)
În temeiul articolului 4 din Directiva 2002/58/CE, prestatorii de servicii publice de comunicații electronice trebuie să informeze autoritățile naționale competente și, în anumite cazuri, de asemenea, abonații și persoanele în cauză cu privire la încălcarea securității datelor cu caracter personal. Încălcările privind securitatea datelor cu caracter personal sunt definite la articolul 2 litera (i) din Directiva 2002/58/CE ca încălcări ale securității având ca rezultat distrugerea accidentală sau ilegală, pierderea, alterarea, divulgarea neautorizată sau accesul neautorizat la datele cu caracter personal transmise, stocate sau prelucrate în alt mod în legătură cu furnizarea de servicii de comunicații electronice destinate publicului în cadrul Uniunii.
(3)
Pentru a asigura consecvența în punerea în aplicare a măsurilor la care se face referire la articolul 4 alineatele (2), (3) și (4) din Directiva 2002/58/CE, articolul 4 alineatul (5) din regulamentul respectiv permite Comisiei să adopte măsuri tehnice de punere în aplicare privind circumstanțele, formatul și procedurile aplicabile cerințelor de informare și notificare la care se face referire în articolul respectiv.
(4)
Cerințe naționale diferite în aceste privințe ar putea genera incertitudine juridică, proceduri mai complexe și greoaie și costuri administrative semnificative pentru prestatorii care desfășoară activități transfrontaliere. Prin urmare, Comisia consideră că este necesar să se adopte astfel de măsuri tehnice de punere în aplicare.
(5)
Prezentul regulament se limitează la notificarea încălcărilor securității datelor cu caracter personal și, prin urmare, nu prevede măsuri tehnice de punere în aplicare cu privire la articolul 4 alineatul (2) din Directiva 2002/58/CE în ceea ce privește informarea abonaților în cazul unui anumit risc de încălcare a securității rețelei.
(6)
Din articolul 4 alineatul (3) primul paragraf din Directiva 2002/58/CE rezultă că prestatorii trebuie să notifice autorității naționale competente toate cazurile de încălcare a securității datelor cu caracter personal. Prin urmare, nu ar trebui lăsată la latitudinea prestatorului decizia de a notifica sau nu autoritatea națională competentă. Totuși, acest lucru nu ar trebui să împiedice autoritatea națională competentă în cauză să investigheze cu prioritate anumite încălcări ale securității în modul pe care îl consideră adecvat, în conformitate cu legislația aplicabilă, și să ia măsurile necesare pentru a evita supraraportarea sau subraportarea încălcărilor securității datelor cu caracter personal.
(7)
Este necesar să se prevadă un sistem de notificare către autoritatea națională competentă a încălcărilor securității datelor cu caracter personal, un sistem alcătuit, în cazul în care sunt îndeplinite anumite condiții, din diferitele etape, fiecare etapă făcând obiectul unui anumit termen limită. Acest sistem este menit a garanta că autoritatea națională competentă este informată cât mai repede și cât mai complet posibil, fără însă a îngreuna în mod nejustificat eforturile prestatorului de a investiga încălcarea securității și de a lua măsurile necesare pentru a limita încălcarea și a remedia consecințele acesteia.
(8)
Nici o simplă suspiciune că a avut loc o încălcare a securității datelor cu caracter personal, nici o simplă depistare a unui incident, în lipsa unor informații suficiente, în pofida tuturor eforturilor depuse de un prestator în acest sens, nu trebuie apreciate ca suficiente pentru a se considera că a fost depistată o încălcare a datelor cu caracter personal în scopul prezentului regulament. În acest sens, trebuie să se țină seama în special de disponibilitatea informațiilor menționate în anexa I.
(9)
În contextul aplicării prezentului regulament, autoritățile naționale competente în cauză trebuie să coopereze atunci când încălcările securității datelor cu caracter personal au o dimensiune transfrontalieră.
(10)
Prezentul regulament nu prevede detalii suplimentare referitoare la inventarul cazurilor de încălcare a securității datelor cu caracter personal pe care trebuie să îl țină prestatorii, deoarece articolul 4 din Directiva 2002/58/CE precizează în mod exhaustiv conținutul inventarului. Totuși, prestatorii pot face trimitere la prezentul regulament pentru a stabili formatul inventarului.
(11)
Toate autoritățile naționale competente trebuie să pună la dispoziția prestatorilor un mijloc electronic sigur prin care să notifice încălcările securității datelor cu caracter personal într-un format comun, bazat pe un standard precum XML, care să conțină informațiile prevăzute în anexa I, în limbile relevante, astfel încât să toți prestatorii din Uniune să poată urma o procedură de notificare similară, indiferent de locul în care se află sau în care a avut loc încălcarea securității datelor cu caracter personal. În acest sens, Comisia trebuie să faciliteze implementarea mijloacelor electronice sigure, convocând reuniuni cu autoritățile naționale competente dacă este necesar.
(12)
Atunci când se evaluează dacă o încălcare a securității datelor cu caracter personal ar putea afecta negativ datele cu caracter personal sau viața privată a unui abonat sau a unei persoane, ar trebui să se țină seama în special de natura și conținutul datelor cu caracter personal în cauză, în special în cazul în care este vorba despre informații financiare, cum ar fi datele privind cartea de credit și detaliile privind contul bancar, despre categoriile speciale de date menționate la articolul 8 alineatul (1) din Directiva 95/46/CE, precum și despre anumite date legate în mod specific de furnizarea de servicii de telefonie sau de internet, mai exact date legate de e-mail, date de localizare, fișiere jurnal, istorii de navigare pe internet și liste detaliate de apeluri.
(13)
În circumstanțe excepționale, prestatorului trebuie să i se permită să întârzie notificarea abonatului sau persoanei, dacă notificarea abonatului sau a persoanei ar putea periclita investigarea adecvată a încălcării securității datelor cu caracter personal. În acest context, circumstanțele excepționale pot include cercetări penale, precum și alte încălcări ale securității datelor cu caracter personal care nu constituie o infracțiune gravă, dar pentru care poate fi adecvat să se amâne notificarea. În orice caz, autorității naționale competente trebuie să îi revină sarcina de a decide, în fiecare caz și în funcție de circumstanțe, dacă își dă acordul pentru amânare sau solicită notificarea.
(14)
Prestatorii trebuie să dețină datele de contact ale abonaților lor, având în vedere relația contractuală directă dintre prestatori și abonați, însă este posibil ca astfel de informații să nu existe pentru alte persoane afectate negativ de încălcarea securității datelor cu caracter personal. Într-un astfel de caz, prestatorului trebuie să i se permită să notifice aceste persoane inițial prin anunțuri în mass-media națională sau regională de mare anvergură, de exemplu în ziare, acțiune urmată cât mai curând posibil de o notificare individuală, astfel cum se prevede în prezentul regulament. Prin urmare, prestatorul nu este obligat în mod specific să efectueze notificarea prin mass-media, ci mai degrabă este mandatat să acționeze în acest mod, dacă dorește, atunci când se află încă în procesul de identificare a tuturor persoanelor afectate.
(15)
Informarea cu privire la încălcarea securității trebuie să fie limitată la încălcare și să nu fie asociată cu informații despre un alt subiect. De exemplu, includerea într-o factură obișnuită a unor informații despre o încălcare a securității datelor cu caracter personal nu trebuie considerată un mijloc adecvat de notificare a unei încălcări a securității datelor cu caracter personal.
(16)
Prezentul regulament nu stabilește măsuri tehnologice de protecție specifice care să justifice o derogare de la obligația de notificare a abonaților sau a persoanelor cu privire la încălcările securității datelor cu caracter personal, deoarece aceste măsuri se pot modifica pe parcursul timpului, pe măsură ce progresează tehnologia. Totuși, Comisia ar trebui să fie în măsură să publice o listă orientativă a unor astfel de măsuri tehnologice de protecție specifice conforme cu practicile actuale.
(17)
Aplicarea criptării sau a hashing-ului nu trebuie considerată suficientă în sine pentru a le permite prestatorilor să pretindă, în termeni mai generali, că s-au conformat obligației generale de securitate stabilite la articolul 17 din Directiva 95/46/CE. În această privință, prestatorii trebuie, de asemenea, să pună în aplicare măsuri organizaționale și tehnice adecvate pentru a preveni, a depista și a bloca încălcarea securității datelor cu caracter personal. Prestatorii trebuie să ia în considerare orice risc rezidual care ar putea exista după implementarea controalelor, pentru a înțelege unde ar putea apărea încălcări ale securității datelor cu caracter personal.
(18)
Dacă prestatorul utilizează un alt prestator pentru a furniza o parte din serviciu, de exemplu în ceea ce privește facturarea sau funcțiile de gestionare, respectivul alt prestator, care nu are relații contractuale directe cu utilizatorul final, nu trebuie să fie obligat să emită notificări în cazul unei încălcări a securității datelor cu caracter personal. În schimb, partea terță trebuie să alerteze și să informeze prestatorul cu care are o relație contractuală directă. Această dispoziție trebuie aplicată, de asemenea, în contextul furnizării angro de servicii de comunicații electronice, context în care, în mod normal, prestatorul angro nu are o relație contractuală directă cu utilizatorul final.
(19)
Directiva 95/46/CE definește un cadru general pentru protecția datelor cu caracter personal în Uniunea Europeană. Comisia a prezentat o propunere de regulament al Parlamentului European și al Consiliului care să înlocuiască Directiva 95/46/CE (Regulamentul privind protecția datelor). Având la bază articolul 4 alineatul (3) din Directiva 2002/58/CE, propunerea de regulament privind protecția datelor ar introduce obligația de notificare a încălcărilor securității datelor cu caracter personal pentru toți controlorii de date. Prezentul regulament al Comisiei este pe deplin coerent cu această măsură propusă.
(20)
Propunerea de regulament privind protecția datelor cuprinde, de asemenea, un număr limitat de modificări tehnice ale Directivei 2002/58/CE, pentru a se ține cont de transformarea în regulament a Directivei 95/46/CE. Consecințele juridice semnificative ale noului regulament în ceea ce privește Directiva 2002/58/CE vor face obiectul unei analize a Comisiei.
(21)
Aplicarea prezentului regulament trebuie analizată la trei ani de la intrarea în vigoare, iar conținutul prezentului regulament trebuie revizuit prin prisma cadrului juridic aflat în vigoare la momentul respectiv, aceleași acțiuni fiind prevăzute în ceea ce privește propunerea de regulament privind protecția datelor. Revizuirea prezentului regulament trebuie să fie legată, atât cât este posibil, de orice viitoare revizuire a Directivei 2002/58/CE.
(22)
Aplicarea prezentului regulament poate fi evaluată, printre altele, pe baza oricărui tip de statistici realizate de autoritățile naționale competente privind încălcările securității datelor cu caracter personal care le sunt notificate. Aceste statistici pot include, de exemplu, informații privind numărul cazurilor de încălcare a securității datelor personale notificate autorității naționale competente, numărul cazurilor de încălcare a securității datelor cu caracter personal notificate abonatului sau persoanei, durata necesară pentru a soluționa încălcarea securității datelor cu caracter personal și eventualele măsuri tehnologice de protecție luate. Aceste statistici trebuie să furnizeze Comisiei și statelor membre informații statistice coerente și comparabile și nu trebuie să dezvăluie nici identitatea prestatorului care a efectuat notificarea, nici identitatea abonaților sau a persoanelor în cauză. De asemenea, Comisia poate organiza, în acest scop, întruniri periodice cu autoritățile naționale competente și cu alte părți interesate.
(23)
Măsurile prevăzute de prezentul regulament sunt conforme cu avizul Comitetului pentru comunicații,
ADOPTĂ PREZENTUL REGULAMENT:
Articolul 1
Domeniu de aplicare
Prezentul regulament se aplică notificării de către prestatorii de servicii de comunicații electronice disponibile publicului („prestatorul”) a încălcării securității datelor cu caracter personal.
Articolul 2
Notificarea autorității naționale competente
(1) Prestatorul notifică autorității naționale competente toate încălcările securității datelor cu caracter personal.
(2) Prestatorul notifică autorității naționale competente încălcarea datelor cu caracter personal nu mai târziu de 24 de ore după detectarea încălcării securității datelor cu caracter personal, atunci când acest lucru este fezabil.
În notificarea adresată autorității naționale competente, prestatorul trebuie să includă informațiile prevăzute în anexa I.
Se consideră că a fost depistată o încălcare a securității datelor cu caracter personal atunci când prestatorul de suficiente elemente care să arate că a avut loc un incident de securitate care a dus la compromiterea datelor cu caracter personal, pentru a efectua o notificare clară, în conformitate cu prezentul regulament.
(3) În cazul în care nu sunt disponibile toate informațiile prevăzute în anexa I și este necesară investigarea mai amănunțită a încălcării securității datelor cu caracter personal, prestatorului i se permite să efectueze o notificare inițială către autoritatea națională competentă nu mai târziu de 24 de ore după detectarea încălcării securității datelor cu caracter personal. Această notificare inițială a autorității naționale competente trebuie să cuprindă informațiile prevăzute în secțiunea 1 din anexa I. Prestatorul efectuează o a doua notificare către autoritatea națională competentă cât mai curând posibil și cel mai târziu în termen de trei zile de la notificarea inițială. Această a doua notificare include informațiile prevăzute în secțiunea 2 din anexa I și, dacă este necesar, actualizează informațiile deja furnizate.
În cazul în care, în ciuda investigațiilor sale, nu poate furniza toate informațiile în termen de trei zile de la notificarea inițială, prestatorul notifică toate informațiile de care dispune în acest interval de timp și prezintă autorității naționale competente o justificare argumentată pentru notificarea tardivă a informațiilor rămase. Cât mai curând posibil, prestatorul notifică autorității naționale competente informațiile rămase și, dacă este necesar, actualizează informațiile deja furnizate.
(4) Autoritatea națională competentă pune la dispoziția tuturor prestatorilor stabiliți în statul membru în cauză un mijloc electronic sigur de notificare a încălcării securității datelor cu caracter personal și informații privind procedurile de acces și de utilizare. Atunci când este necesar, Comisia convoacă reuniuni cu autoritățile naționale competente pentru a facilita aplicarea acestei dispoziții.
(5) Dacă încălcarea securității datelor cu caracter personal afectează abonați sau persoane din alte state membre decât cel al autorității naționale competente căreia i-a fost notificată încălcarea securității datelor cu caracter personal, autoritatea națională competentă informează celelalte autorități naționale în cauză.
Pentru a facilita aplicarea acestei dispoziții, Comisia creează și menține o listă cu autoritățile naționale competente și punctele de contact corespunzătoare.
Articolul 3
Notificarea abonatului sau a persoanei
(1) Atunci când încălcarea securității datelor cu caracter personal ar putea afecta negativ datele cu caracter personal sau viața privată a unui abonat sau a unei persoane, prestatorul trebuie să emită notificarea menționată la articolul 2 și, în plus, să notifice respectiva încălcare abonatului sau persoanei în cauză.
(2) Riscul ca o încălcare a securității datelor cu caracter personal să afecteze negativ datele cu caracter personal sau viața privată a unui abonat sau a unei persoane trebuie evaluat luând în considerare, în special, următoarele circumstanțe:
(a)
natura și conținutul datelor cu caracter personal în cauză, în special în cazul în care este vorba despre informații financiare, despre categoriile speciale de date menționate la articolul 8 alineatul (1) din Directiva 95/46/CE, precum și despre date de localizare, fișiere jurnal, istorii de navigare pe internet, date legate de e-mail și liste detaliate de apeluri;
(b)
consecințele probabile ale încălcării securității datelor cu caracter personal pentru abonatul sau persoana în cauză, în special în cazul în care încălcarea ar putea duce la furtul sau fraudarea identității, vătămare corporală, stres psihologic, umilire sau compromiterea reputației; precum și
(c)
circumstanțele încălcării securității datelor cu caracter personal, în special dacă datele au fost furate sau dacă prestatorul știe că datele sunt în posesia unei părți terțe neautorizate.
(3) Notificarea abonatului sau a persoanei în cauză se face cât mai repede posibil după detectarea încălcării securității datelor cu caracter personal, în conformitate cu articolul 2 alineatul (2) al treilea paragraf. Acest lucru nu depinde de notificarea încălcării securității datelor cu caracter personal către autoritatea națională competentă, menționată la articolul 2.
(4) În notificarea adresată abonatului sau persoanei, prestatorul trebuie să includă informațiile prevăzute în anexa II. Notificarea adresată abonatului sau persoanei trebuie formulată într-un limbaj clar și ușor de înțeles. Prestatorul nu utilizează notificarea ca pe o oportunitate de a promova servicii noi sau suplimentare sau pentru a le face reclamă acestora.
(5) În cazuri excepționale, dacă notificarea abonatului sau a persoanei ar putea periclita investigarea adecvată a încălcării securității datelor cu caracter personal, prestatorului i se permite, după obținerea acordului autorității naționale competente, să amâne notificarea abonatului sau a persoanei până când autoritatea națională competentă consideră că este posibilă notificarea încălcării securității datelor cu caracter personal în conformitate cu prezentul articol.
(6) Notificarea de către prestator a abonatului sau a persoanei privind încălcarea securității datelor cu caracter personal se face printr-un mijloc de comunicare care asigură primirea rapidă a informațiilor și care este securizat în mod corespunzător, conform celor mai recente standarde tehnologice. Informarea cu privire la încălcarea securității trebuie să fie limitată la încălcare și să nu fie asociată cu informații despre un alt subiect.
(7) Dacă, în ciuda faptului că a depus eforturi rezonabile, prestatorul care are o relație contractuală directă cu utilizatorul final nu poate identifica, în intervalul de timp menționat la alineatul (3), toate persoanele care riscă să fie afectate negativ de încălcarea securității datelor cu caracter personal, prestatorul poate notifica persoanele respective, în acest interval de timp, prin anunțuri în mass-media regională sau națională de mare anvergură din statul membru în cauză. Aceste anunțuri trebuie să conțină informațiile prevăzute în anexa II, în mod succint dacă este necesar. În acest caz, prestatorul continuă să depună toate eforturile rezonabile pentru a identifica persoanele respective și pentru a le notifica, în cel mai scurt timp posibil, informațiile prevăzute în anexa II.
Articolul 4
Măsuri tehnologice de protecție
(1) Prin derogare de la articolul 3 alineatul (1), notificarea încălcării securității datelor cu caracter personal către abonatul sau persoana în cauză nu este necesară dacă prestatorul a demonstrat autorității naționale competente, într-un mod pe care aceasta îl consideră satisfăcător, că a aplicat măsuri tehnologice de protecție adecvate și că respectivele măsuri au fost aplicate datelor afectate de încălcarea securității. Astfel de măsuri tehnologice de protecție asigură faptul că datele devin neinteligibile pentru persoanele care nu sunt autorizate să le acceseze.
(2) Datele sunt considerate neinteligibile dacă:
(a)
au fost criptate în mod sigur cu un algoritm standardizat, iar cheia folosită pentru decriptarea datelor nu a fost compromisă prin nicio încălcare a securității și a fost generată în așa fel încât să nu poată fi identificată prin mijloacele tehnologice disponibile de nicio persoană care nu este autorizată să o acceseze; sau
(b)
au fost înlocuite cu valoarea algoritmului de criptare (hash) calculată cu o funcție hash standardizată cu cheie criptografică, cheia folosită pentru criptarea (hashing-ul) datelor nu a fost compromisă prin nicio încălcare a securității și a fost generată în așa fel încât să nu poată fi identificată prin mijloacele tehnologice disponibile de nicio persoană care nu este autorizată să o acceseze.
(3) După consultarea autorităților naționale competente prin intermediul Grupului de lucru instituit prin articolul 29, a Agenției Europene pentru Securitatea Rețelelor Informatice și a Datelor și a Autorității Europene pentru Protecția Datelor, Comisia poate publica o listă orientativă a măsurilor tehnologice de protecție adecvate menționate la alineatul (1), în conformitate cu practicile actuale.
Articolul 5
Utilizarea unui alt prestator
Dacă un alt prestator este contractat pentru a furniza o parte a serviciului de comunicații electronice fără a avea o relație contractuală directă cu abonații, acest alt prestator informează imediat prestatorul care l-a contractat în cazul în care are loc o încălcare a securității datelor cu caracter personal.
Articolul 6
Raportare și revizuire
În termen de trei ani de la intrarea în vigoare a prezentului regulament, Comisia prezintă un raport privind punerea în aplicare a prezentului regulament, precum și privind eficacitatea și impactul acestuia asupra prestatorilor, a abonaților și a persoanelor fizice. Pe baza acestui raport, Comisia revizuiește prezentul regulament.
Articolul 7
Intrare în vigoare
Prezentul regulament intră în vigoare la 25 august 2013.
Prezentul regulament este obligatoriu în toate elementele sale și se aplică direct în toate statele membre.
Adoptat la Bruxelles, 24 iunie 2013.