NAŘÍZENÍ KOMISE (EU) č. 611/2013
ze dne 24. června 2013
o opatřeních vztahujících se na oznámení o narušení bezpečnosti osobních údajů podle směrnice Evropského parlamentu a Rady 2002/58/ES o soukromí a elektronických komunikacích
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (Směrnice o soukromí a elektronických komunikacích) (1), a zejména na čl. 4 odst. 5 uvedené směrnice,
po konzultaci s Evropskou agenturou pro bezpečnost sítí a informací (ENISA),
po konzultaci s pracovní skupinou pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízenou článkem 29 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (2) (dále jen „pracovní skupina zřízená podle článku 29“),
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
Směrnice 2002/58/ES harmonizuje předpisy členských států požadované pro zajištění rovnocenné úrovně ochrany základních práv a svobod, zejména práva na soukromí a zachování důvěrnosti informací, se zřetelem na zpracování osobních údajů v odvětví elektronických komunikací, a pro zajištění volného pohybu těchto údajů a elektronických komunikačních zařízení a služeb v Unii.
(2)
Podle článku 4 směrnice 2002/58/ES jsou poskytovatelé veřejně dostupných služeb elektronických komunikací povinni oznámit narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům a v některých případech také dotčeným účastníkům a jednotlivcům. Narušení bezpečnosti osobních údajů je definováno v čl. 2 písm. i) směrnice 2002/58/ES jako narušení bezpečnosti, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně či neoprávněnému vyzrazení nebo zpřístupnění osobních údajů přenášených, uchovávaných nebo jinak zpracovávaných v souvislosti s poskytováním veřejně dostupné služby elektronických komunikací v Unii.
(3)
Pro zajištění důsledného provádění opatření uvedených v čl. 4 odst. 2, 3 a 4 směrnice 2002/58/ES se v čl. 4 odst. 5 uvedeného nařízení Komise zmocňuje k přijetí technických prováděcích opatření týkajících se okolností, formátu a postupů, jež se vztahují na požadavky informování a oznamování podle uvedeného článku.
(4)
Rozdílné požadavky členských států v tomto ohledu mohou vést k právní nejistotě, složitějším a zdlouhavějším postupům a značným administrativním nákladům poskytovatelů, kteří působí v přeshraničním styku. Komise proto zastává názor, že je nutné přijmout tato technická prováděcí opatření.
(5)
Toto nařízení se omezuje na oznámení o narušení bezpečnosti osobních údajů, a proto nestanoví technická prováděcí opatření týkající se čl. 4 odst. 2 směrnice 2002/58/ES o informování účastníků v případě zvláštního rizika narušení bezpečnosti sítě.
(6)
Z čl. 4 odst. 3 prvního pododstavce směrnice 2002/58/ES vyplývá, že poskytovatelé by měli oznámit příslušnému vnitrostátnímu orgánu všechny případy narušení bezpečnosti osobních údajů. Rozhodnutí, zda je či není třeba oznámit narušení příslušnému vnitrostátnímu orgánu, by proto nemělo být ponecháno na vůli poskytovatele. To by však nemělo bránit příslušnému vnitrostátnímu orgánu, aby v souladu s platnými právními předpisy nepřistoupil k vyšetřování některých narušení přednostně podle jejich důležitosti a nepodnikl kroky nezbytné k tomu, aby se zabránilo přílišnému nebo nedostatečnému hlášení o narušení bezpečnosti osobních údajů.
(7)
Je třeba stanovit systém pro oznamování narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu, který by za splnění některých podmínek sestával z různých etap, pro něž by platily konkrétní lhůty. Systém by měl zajistit, aby příslušný vnitrostátní orgán byl informován co nejdříve a co nejúplněji, aniž by se tím neodůvodněně bránilo poskytovateli ve snaze narušení vyšetřit a přijmout nezbytná opatření k jeho omezení a nápravě důsledků.
(8)
Pouhé podezření, že došlo k narušení bezpečnosti osobních údajů, ani pouhé zjištění události bez dostatečných informací, které se ani přes největší úsilí nepodařilo poskytovateli získat, nepostačuje pro účely tohoto nařízení k tomu, aby bylo možné konstatovat, že došlo k odhalení narušení bezpečnosti osobních údajů. Zvláštní ohled je v této souvislosti třeba věnovat dostupnosti informací uvedených v příloze I.
(9)
V souvislosti s uplatňováním tohoto nařízení by v případech narušení bezpečnosti osobních údajů s přeshraničním rozměrem měly příslušné vnitrostátní orgány mezi sebou spolupracovat.
(10)
Toto nařízení nestanoví žádné upřesnění přehledu narušení bezpečnosti osobních údajů, které mají provozovatelé vést, protože v článku 4 směrnice 2002/58/ES je jeho obsah stanoven vyčerpávajícím způsobem. Poskytovatelé však při určování formátu přehledu mohou použít odkaz na toto nařízení.
(11)
Všechny příslušné vnitrostátní orgány by měly poskytovatelům zpřístupnit bezpečné elektronické prostředky umožňující oznamovat narušení bezpečnosti osobních údajů ve společném formátu, a to na základě normy, jako je např. XML, který bude obsahovat údaje stanovené v příloze I v příslušných jazycích tak, aby všichni poskytovatelé v rámci Unie mohli používat obdobný postup oznamování bez ohledu na to, kde se nacházejí nebo kde došlo k narušení bezpečnosti osobních údajů. V této souvislosti by Komise podle potřeby měla usnadnit zavádění bezpečných elektronických prostředků pořádáním setkání s příslušnými vnitrostátními orgány.
(12)
Při posuzování, zda by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno vzít v úvahu zejména povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, jako jsou např. údaje o kreditní kartě nebo bankovním účtu, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES a některé údaje, které se konkrétně týkají poskytování telefonních a internetových služeb, tj. údaje o elektronické poště, lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek a podrobné rozpisy uskutečněných volání.
(13)
Za výjimečných okolností, jestliže by oznámení účastníkovi nebo jednotlivci mohlo ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, by poskytovatel měl mít možnost oznámení účastníkovi nebo jednotlivci pozdržet. V tomto ohledu mohou výjimečné okolnosti zahrnovat trestní vyšetřování, jakož i další narušení bezpečnosti osobních údajů, která nelze považovat za závažnou trestnou činnost, kvůli nimž však může být vhodné oznámení odložit. Příslušný vnitrostátní orgán by za všech okolností měl v každém jednotlivém případě a s ohledem na okolnosti posoudit, zda se oznámení odloží, nebo zda bude vyžadováno.
(14)
Zatímco poskytovatelé by díky přímému smluvnímu vztahu měli mít kontaktní údaje svých účastníků, o ostatních jednotlivcích nepříznivě ovlivněných narušením bezpečnosti osobních údajů tyto informace mít nemusí. V takovém případě by poskytovatel měl mít možnost nejprve tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích, např. v novinách, a následně jim tuto skutečnost co nejdříve oznámit jednotlivě, jak je stanoveno v tomto nařízení. Poskytovatel jako takový tedy není povinen zveřejnit informace v médiích, ale je oprávněn postupovat případně tímto způsobem, pokud stále ještě probíhá zjišťování totožnosti ovlivněných jednotlivců.
(15)
Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi. Za přiměřený prostředek oznámení o narušení bezpečnosti osobních údajů by například nemělo být považováno uvedení informace o narušení bezpečnosti osobních údajů v běžné faktuře.
(16)
Toto nařízení nestanoví žádná zvláštní technická ochranná opatření, která odůvodňují odchylku od povinnosti oznamovat narušení bezpečnosti osobních údajů účastníkům nebo jednotlivcům, neboť ta se mohou v důsledku technologického pokroku v průběhu času měnit. Komise by však měla mít možnost zveřejnit orientační seznam těchto zvláštních technických ochranných opatření v souladu s platnými postupy.
(17)
Kódování nebo hašování nelze samo o sobě považovat za dostatečný způsob ochrany, který by poskytovatelům obecně umožňoval tvrdit, že splnili všechny všeobecné bezpečnostní povinnosti stanovené v článku 17 směrnice 95/46/ES. V tomto ohledu by poskytovatelé měli také provádět vhodná organizační a technická opatření na prevenci, odhalování a zamezení narušení bezpečnosti osobních údajů. Poskytovatelé by měli zvážit veškerá rizika, která mohou přetrvávat po provedení kontrol, aby bylo možné rozpoznat, kde může dojít k narušení bezpečnosti osobních údajů.
(18)
Pokud provozovatel k poskytování služeb částečně používá jiného poskytovatele, např. pro účely účtování nebo řízení, tento jiný poskytovatel, který není v přímém smluvním vztahu s koncovým uživatelem, by neměl mít povinnost v případě narušení bezpečnosti osobních údajů podávat oznámení. Místo toho by měl uvědomit a informovat poskytovatele, s nímž má přímý smluvní vztah. To by mělo platit i v souvislosti s velkoobchodním poskytováním služeb elektronických komunikací, kde obvykle velkoobchodní poskytovatel není v přímém smluvním vztahu s koncovým uživatelem.
(19)
Směrnice 95/46/ES vymezuje obecný rámec pro ochranu osobních údajů v Evropské unii. Komise předložila návrh nařízení Evropského parlamentu a Rady (dále jako „nařízení o ochraně údajů“), které by mělo směrnici 95/46/ES nahradit. Navrhované nařízení o ochraně údajů by na základě čl. 4 odst. 3 směrnice 2002/58/ES zavedlo pro všechny správce povinnost oznamovat narušení bezpečnosti osobních údajů. Toto nařízení Komise je s tímto opatřením plně v souladu.
(20)
Navrhované nařízení o ochraně údajů v omezeném rozsahu rovněž provádí technické úpravy ve směrnici 2002/58/ES s ohledem na změnu směrnice 95/46/ES na nařízení. Podstatné právní důsledky nového nařízení pro směrnici 2002/58/ES budou předmětem přezkumu, který provede Komise.
(21)
Uplatňování tohoto nařízení by mělo být přezkoumáno tři roky po jeho vstupu v platnost a jeho obsah by měl být přezkoumán s ohledem na právní rámec, který bude v platnosti v uvedené době, včetně navrhovaného nařízení o ochraně údajů. Přezkum tohoto nařízení by měl v budoucnosti být, bude-li to možné, spojen s každým přezkumem směrnice 2002/58/ES.
(22)
Uplatňování tohoto nařízení může být posuzováno mimo jiné na základě statistických údajů, které příslušné vnitrostátní orgány vedou o narušeních bezpečnosti osobních údajů, o nichž byly informovány. Tyto statistiky mohou zahrnovat např. informace o počtu narušení bezpečnosti osobních údajů oznámených příslušnému vnitrostátnímu orgánu, počtu případů narušení bezpečnosti osobních údajů oznámených účastníkovi nebo jednotlivci, době potřebné na vyřešení narušení bezpečnosti osobních údajů, a informace o tom, zda byla přijata technická ochranná opatření. Tyto statistiky by měly poskytovat Komisi a členským státům konzistentní a srovnatelné statistické údaje a neměly by odhalovat totožnost oznamujícího poskytovatele ani dotčených účastníků nebo jednotlivců. Komise může za tímto účelem rovněž pořádat pravidelná setkání s příslušnými vnitrostátními orgány a jinými zúčastněnými stranami.
(23)
Opatření tohoto nařízení jsou v souladu se stanoviskem Komunikačního výboru,
PŘIJALA TOTO NAŘÍZENÍ:
Článek 1
Oblast působnosti
Toto nařízení se vztahuje na oznámení poskytovatelů veřejně dostupných služeb elektronických komunikací (dále jen „poskytovatel“) o narušení bezpečnosti osobních údajů.
Článek 2
Oznámení příslušnému vnitrostátnímu orgánu
1. Poskytovatel oznámí všechna narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu.
2. Poskytovatel oznámí narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu nejpozději 24 hodin po zjištění narušení bezpečnosti osobních údajů, pokud je to proveditelné.
Poskytovatel ve svém oznámení příslušnému vnitrostátnímu orgánu uvede informace stanovené v příloze I.
Za zjištění narušení bezpečnosti osobních údajů se považuje situace, kdy poskytovatel získal dostatečné informace o tom, že došlo k bezpečnostní události, která měla za následek narušení osobních údajů, aby podal opodstatněné oznámení podle tohoto nařízení.
3. Jestliže nejsou k dispozici všechny informace stanovené v příloze I a je nutné další vyšetřování narušení bezpečnosti osobních údajů, může poskytovatel podat první oznámení příslušnému vnitrostátnímu orgánu nejpozději do 24 hodin po zjištění narušení bezpečnosti osobních údajů. Toto první oznámení příslušnému vnitrostátnímu orgánu musí obsahovat informace stanovené v příloze I oddíle 1. Poskytovatel je povinen podat příslušnému vnitrostátnímu orgánu co nejdříve, nejpozději do tří dnů po prvním oznámení, druhé oznámení. Toto druhé oznámení obsahuje informace stanovené v příloze I oddíle 2 a v případě potřeby aktualizuje již poskytnuté údaje.
Jestliže poskytovatel ani po vyšetřování nemůže ve lhůtě tří dnů od prvního oznámení poskytnout všechny informace, oznámí všechny informace, které má v této lhůtě k dispozici a předloží příslušnému vnitrostátnímu orgánu odůvodnění, proč musí být zbývající informace oznámeny později. Poskytovatel co možná nejdříve oznámí zbývající informace příslušnému vnitrostátnímu orgánu a v případě potřeby aktualizuje již poskytnuté údaje.
4. Příslušný vnitrostátní orgán poskytne všem poskytovatelům usazeným v dotčeném členském státě bezpečný elektronický prostředek pro oznamování narušení bezpečnosti osobních údajů a informace o postupech přístupu k němu a jeho používání. V zájmu snazšího uplatňování tohoto ustanovení Komise podle potřeby pořádá pravidelná setkání s příslušnými vnitrostátními orgány.
5. V případě, že se narušení bezpečnosti osobních údajů týká účastníků nebo jednotlivců z jiných členských států, než je členský stát příslušného vnitrostátního orgánu, jemuž bylo narušení bezpečnosti osobních údajů oznámeno, příslušný vnitrostátní orgán informuje orgány ostatních dotčených členských států.
Pro usnadnění uplatňování tohoto ustanovení Komise vytvoří a povede seznam příslušných vnitrostátních orgánů a příslušných kontaktních míst.
Článek 3
Oznámení účastníkovi nebo jednotlivci
1. Pokud by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, musí poskytovatel kromě oznámení uvedeného v článku 2 toto porušení oznámit rovněž účastníkovi nebo jednotlivci.
2. Při posuzování, zda narušení bezpečnosti osobních údajů může mít nepříznivý vliv na osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno brát ohled zejména na tyto okolnosti:
a)
povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES, jakož i lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek, údaje týkající se elektronické pošty a podrobné údaje o uskutečněných voláních;
b)
pravděpodobné důsledky narušení bezpečnosti osobních údajů pro dotčeného účastníka nebo jednotlivce, zejména tehdy, kdy by porušení mohlo vést ke krádeži nebo zneužití, fyzické újmě, psychickému strádání, ponížení nebo poškození pověsti a
c)
okolnosti narušení bezpečnosti osobních údajů, zejména pokud byly údaje odcizeny nebo pokud je poskytovateli známo, že údaje jsou v držení neoprávněné třetí strany.
3. Oznámení účastníkovi nebo jednotlivci musí být učiněno bez zbytečného odkladu po zjištění narušení bezpečnosti osobních údajů v souladu s čl. 2 odst. 2 třetím pododstavcem. Nesmí záviset na oznámení o narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům podle článku 2.
4. Poskytovatel ve svém oznámení účastníkovi nebo jednotlivci uvede informace stanovené v příloze II. Oznámení účastníkovi nebo jednotlivci musí být jasné a srozumitelné. Poskytovatel nesmí využít oznámení jako příležitost k propagaci nebo nabídce nových či doplňkových služeb.
5. Ve výjimečných případech, kdy oznámení účastníkovi nebo jednotlivci může ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, má poskytovatel možnost po získání souhlasu příslušného vnitrostátního orgánu oznámení účastníkovi nebo jednotlivci pozdržet, dokud příslušný vnitrostátní orgán neusoudí, že je možné oznámit narušení bezpečnosti osobních údajů podle tohoto článku.
6. Poskytovatel oznámí účastníkovi nebo jednotlivci narušení bezpečnosti osobních údajů takovým způsobem, který umožňuje rychlé předání informací a který je podle nejnovějších poznatků náležitě zabezpečen. Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi.
7. Pokud poskytovatel, který je v přímém smluvním vztahu s koncovým uživatelem, ani přes vynaložené úsilí není schopen ve lhůtě uvedené v odstavci 3 určit všechny jednotlivce, kteří by narušením bezpečnosti osobních údajů mohli být nepříznivě ovlivněni, může v uvedené lhůtě tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích v příslušných členských státech. Uvedená oznámení musí obsahovat informace stanovené v příloze II, v případě potřeby ve stručné formě. V takovém případě poskytovatel pokračuje v úsilí vedoucím k identifikaci těchto jednotlivců a co nejdříve jim oznámí informace uvedené v příloze II.
Článek 4
Technická ochranná opatření
1. Odchylně od čl. 3 odst. 1 se oznámení o narušení bezpečnosti osobních údajů dotčenému účastníkovi nebo jednotlivci nevyžaduje, pokud poskytovatel ke spokojenosti příslušného vnitrostátního orgánu prokázal, že zavedl náležitá technická ochranná opatření a že tato opatření byla na údaje, jichž se narušení bezpečnosti týká, použita. Tato technická ochranná opatření zajistí, aby údaje nebyly srozumitelné pro nikoho, kdo není k přístupu k nim oprávněn.
2. Údaje se považují za nesrozumitelné, jestliže:
a)
byly bezpečně zašifrovány normalizovaným algoritmem, klíč použitý k dešifrování údajů nebyl žádným narušením bezpečnosti ohrožen a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu, nebo
b)
byly nahrazeny svou zahašovanou hodnotou vypočítanou pomocí normalizované kryptografické hašovací funkce s klíčem, klíč použitý k hašování údajů nebyl ohrožen žádným narušením bezpečnosti a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu.
3. Komise může po konzultaci s příslušnými vnitrostátními orgány prostřednictvím pracovní skupiny zřízené podle článku 29, Evropskou agenturou pro bezpečnost sítí a informací a evropským inspektorem ochrany údajů zveřejnit orientační seznam vhodných technických ochranných opatření uvedených v odstavci 1 v souladu s platnými postupy.
Článek 5
Použití jiného poskytovatele
Jestliže je jiný poskytovatel smluvně zavázán, aby poskytl část služeb elektronických komunikací, aniž by byl v přímém smluvním vztahu s účastníky, tento další poskytovatel v případě, že došlo k narušení bezpečnosti osobních údajů, okamžitě informuje smluvního poskytovatele.
Článek 6
Podávání zpráv a přezkum
Do tří let od vstupu tohoto nařízení v platnost Komise předloží zprávu o uplatňování tohoto nařízení, jeho účinnosti a dopadu na poskytovatele, účastníky a jednotlivce. Na základě uvedené zprávy Komise toto nařízení přezkoumá.
Článek 7
Vstup v platnost
Toto nařízení vstupuje v platnost dne 25. srpna 2013.
Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.
V Bruselu dne 24. června 2013.
REGOLAMENTO (UE) N. 611/2013 DELLA COMMISSIONE
del 24 giugno 2013
sulle misure applicabili alla notifica delle violazioni di dati personali a norma della direttiva 2002/58/CE del Parlamento europeo e del Consiglio relativa alla vita privata e alle comunicazioni elettroniche
LA COMMISSIONE EUROPEA,
visto il trattato sul funzionamento dell’Unione europea,
vista la direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) (1), in particolare l’articolo 4, paragrafo 5,
previa consultazione dell’Agenzia europea per la sicurezza delle reti e dell’informazione (ENISA),
previa consultazione del gruppo per la tutela delle persone con riguardo al trattamento dei dati personali, istituito dall’articolo 29 della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (2) (il gruppo dell’articolo 29),
previa consultazione del Garante europeo della protezione dei dati (GEPD),
considerando quanto segue:
(1)
La direttiva 2002/58/CE prevede l’armonizzazione delle disposizioni nazionali necessarie per garantire un livello equivalente di tutela dei diritti e delle libertà fondamentali, in particolare del diritto alla vita privata e alla riservatezza, con riguardo al trattamento dei dati personali nel settore delle comunicazioni elettroniche e per assicurare la libera circolazione di tali dati e delle apparecchiature e dei servizi di comunicazione elettronica all’interno dell’Unione.
(2)
A norma dell’articolo 4 della direttiva 2002/58/CE, i fornitori di servizi di comunicazione elettronica accessibili al pubblico sono tenuti a notificare le violazioni di dati personali alle autorità nazionali competenti e, in alcuni casi, anche agli abbonati e alle altre persone interessate. Ai sensi dell’articolo 2, lettera i), della direttiva 2002/58/CE, si intende per «violazione dei dati personali» una violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la rivelazione non autorizzata o l’accesso ai dati personali trasmessi, memorizzati o comunque elaborati nel contesto della fornitura di un servizio di comunicazione accessibile al pubblico nell’Unione.
(3)
Per garantire l’attuazione uniforme delle misure di cui all’articolo 4, paragrafi 2, 3 e 4 della direttiva 2002/58/CE, l’articolo 4, paragrafo 5, della stessa direttiva conferisce alla Commissione la facoltà di adottare misure tecniche di attuazione riguardanti le circostanze, il formato e le procedure applicabili alle prescrizioni in materia di informazioni e comunicazioni di cui allo stesso articolo.
(4)
L’esistenza di requisiti nazionali divergenti in proposito può dar luogo a incertezza giuridica, a procedure più complesse e gravose e a costi amministrativi considerevoli per i fornitori che operano a livello transfrontaliero. La Commissione ritiene pertanto necessario adottare le suddette misure tecniche di attuazione.
(5)
Il presente regolamento riguarda esclusivamente la notifica delle violazioni di dati personali e non fissa pertanto misure tecniche di attuazione con riguardo all’articolo 4, paragrafo 2, della direttiva 2002/58/CE sull’informazione degli abbonati nel caso in cui esista un particolare rischio di violazione della sicurezza della rete.
(6)
Dall’articolo 4, paragrafo 3, primo comma, della direttiva 2002/58/CE consegue che i fornitori sono tenuti a notificare tutte le violazioni di dati personali all’autorità nazionale competente. Al fornitore non dev’essere pertanto lasciata la possibilità di decidere se informare o meno tale autorità. Ciò non deve tuttavia impedire all’autorità nazionale competente interessata di indagare in via prioritaria su determinate violazioni nel modo che ritiene adeguato conformemente alla legislazione applicabile e di adottare le misure necessarie per evitare che vi siano troppe o troppo poche violazioni di dati personali segnalate.
(7)
È opportuno prevedere un sistema di notifica delle violazioni di dati personali all’autorità nazionale competente che comporti, ove sussistano determinate condizioni, fasi distinte a cui si applicano scadenze ben definite. Questo sistema è volto a garantire che l’autorità nazionale competente venga informata con la massima tempestività e precisione, senza tuttavia ostacolare indebitamente gli sforzi compiuti dal fornitore per indagare sulla violazione e prendere le misure necessarie per arginarla e porre rimedio alle sue conseguenze.
(8)
Ai fini del presente regolamento, il semplice sospetto che si sia verificata una violazione di dati personali o la semplice individuazione di un incidente non accompagnati da informazioni sufficienti, malgrado tutti gli sforzi messi in atto da un fornitore per disporne, non possono essere considerati sufficienti per ritenere che è stata individuata una violazione di dati personali. A questo proposito, una particolare attenzione deve essere riservata al possesso delle informazioni di cui all'allegato I.
(9)
Nel quadro dell’applicazione del presente regolamento, è opportuno che le autorità nazionali competenti interessate prestino la loro collaborazione nei casi di violazione di dati personali che presentano una dimensione transnazionale.
(10)
Il presente regolamento non fornisce specifiche supplementari con riguardo all’inventario delle violazioni di dati personali che i fornitori devono compilare, dato che l’articolo 4 della direttiva 2002/58/CE ne definisce il contenuto in maniera esaustiva. I fornitori possono tuttavia far riferimento al presente regolamento per determinare il formato dell’inventario.
(11)
È necessario che tutte le autorità nazionali competenti mettano a disposizione dei fornitori uno strumento elettronico sicuro per la notifica delle violazioni di dati personali in un formato comune, basato su una norma come l’XML e contenente le informazioni di cui all’allegato I nelle lingue pertinenti, in modo da consentire a tutti i fornitori all’interno dell’Unione di seguire una procedura di notifica analoga, a prescindere dal luogo di stabilimento e dal luogo della violazione. A questo proposito, è opportuno che la Commissione faciliti l’introduzione dello strumento elettronico sicuro organizzando, ove necessario, riunioni con le autorità nazionali competenti.
(12)
Nel valutare se una violazione di dati personali rischia di pregiudicare i dati personali o la vita privata di un abbonato o di altra persona occorre tener conto, in particolare, della natura e del contenuto dei dati personali interessati, soprattutto nel caso di dati relativi a informazioni finanziarie quali numeri di carte di credito e coordinate bancarie, di categorie particolari di dati di cui all’articolo 8, paragrafo 1, della direttiva 95/46/CE nonché di alcuni dati specificamente legati alla fornitura di servizi di telefonia o Internet, ossia dati relativi alla posta elettronica, dati relativi all’ubicazione, file di connessione a Internet, cronologie di navigazione in rete ed elenchi dettagliati delle chiamate.
(13)
In circostanze eccezionali è opportuno che il fornitore sia autorizzato a ritardare la notifica all’abbonato o ad altra persona, qualora tale notifica possa mettere a rischio il corretto svolgimento dell’indagine sulla violazione di dati personali. In questo contesto, le circostanze eccezionali possono includere indagini penali e altre violazioni di dati personali non equiparabili a un reato grave, ma per le quali può essere opportuno posticipare la notifica. È comunque opportuno che spetti alle autorità nazionali competenti valutare, caso per caso e alla luce delle circostanze, se accogliere il rinvio o esigere la notifica.
(14)
I fornitori devono disporre delle coordinate dei propri abbonati, dato il loro rapporto contrattuale diretto, ma è possibile che tali informazioni non esistano per altre persone lese dalla violazione di dati personali. In tal caso, è opportuno che al fornitore venga consentito di informare in un primo tempo tali persone mediante annunci pubblicitari sui principali mezzi di comunicazione nazionali o regionali, come i giornali, per poi trasmettere, non appena possibile, una notifica individuale secondo quanto previsto dal presente regolamento. Il fornitore non è dunque espressamente obbligato a ricorrere a tali mezzi di comunicazione, ma ha piuttosto la facoltà di farlo se lo desidera, quando è ancora nella fase di identificazione di tutte le persone lese.
(15)
È opportuno che le informazioni relative alla violazione si limitino esclusivamente alla violazione stessa e non siano associate ad informazioni di altro tipo. Ad esempio, l’inclusione di informazioni riguardanti una violazione di dati personali in una regolare fattura non può essere considerata un mezzo adeguato di notifica di tale violazione.
(16)
Il presente regolamento non definisce misure tecnologiche di protezione specifiche che giustifichino una deroga all’obbligo di notifica delle violazioni di dati personali agli abbonati o ad altre persone interessate, poiché tali misure possono mutare nel tempo in funzione del progresso tecnologico. È tuttavia opportuno che la Commissione abbia la possibilità di pubblicare un elenco indicativo di tali misure tecnologiche di protezione specifiche in base alle prassi attuali.
(17)
Il ricorso a tecniche di crittografia o di hashing non deve essere ritenuto di per sé sufficiente dai fornitori per poter asserire in termini più generali di aver ottemperato all’obbligo generale di sicurezza di cui all’articolo 17 della direttiva 95/46/CE. A tal riguardo, i fornitori devono altresì applicare adeguate misure organizzative e tecniche volte a prevenire, individuare e bloccare le violazioni di dati personali. Essi devono inoltre esaminare ogni rischio residuo ancora presente una volta applicati i controlli al fine di comprendere se sussiste la possibilità che si verifichino violazioni di dati personali.
(18)
Se il fornitore ricorre a un altro fornitore per svolgere una parte del servizio, ad esempio per quanto riguarda la fatturazione o per funzioni di gestione, è opportuno che quest'altro fornitore, che non ha un rapporto contrattuale diretto con l’utilizzatore finale, non sia obbligato a notificare le violazioni di dati personali. Esso deve invece allertare e informare il fornitore con cui ha un rapporto contrattuale diretto. Questo principio deve valere anche nel contesto della fornitura all’ingrosso di servizi di comunicazione elettronica, in cui in genere il fornitore all’ingrosso non ha un rapporto contrattuale diretto con l’utilizzatore finale.
(19)
La direttiva 95/46/CE definisce un quadro generale per la protezione dei dati personali nell’Unione europea. La Commissione ha presentato una proposta di regolamento del Parlamento europeo e del Consiglio (il «regolamento sulla protezione dei dati») volto a sostituire la direttiva 95/46/CE. Il proposto regolamento sulla protezione dei dati intende introdurre l’obbligo per tutti i responsabili del trattamento di dati di notificare le violazioni di dati personali, sulla base dell’articolo 4, paragrafo 3, della direttiva 2002/58/CE. Il presente regolamento della Commissione è pienamente compatibile con la misura proposta.
(20)
Il proposto regolamento sulla protezione dei dati introduce inoltre un numero limitato di adeguamenti tecnici alla direttiva 2002/58/CE per tener conto della conversione in regolamento della direttiva 95/46/CE. Le conseguenze in materia di diritto sostanziale per la direttiva 2002/58/CE prodotte dal nuovo regolamento saranno oggetto di una revisione della Commissione.
(21)
È opportuno che l’applicazione del presente regolamento venga riesaminata a distanza di tre anni dall’entrata in vigore e che il suo contenuto sia riveduto alla luce del contesto giuridico in vigore in quel momento, incluso il proposto regolamento sulla protezione dei dati. Ove possibile, il riesame del presente regolamento deve essere associato a ogni futura revisione della direttiva 2002/58/CE.
(22)
L’applicazione del presente regolamento può essere valutata fra l’altro in base alle statistiche tenute dalle autorità nazionali competenti con riguardo alle violazioni di dati personali che vengono loro notificate. Tali statistiche possono ad esempio includere informazioni sul numero di violazioni di dati personali notificate all’autorità nazionale competente, sul numero di violazioni di dati personali notificate all’abbonato o ad altra persona, sul tempo impiegato per rimediare alla violazione e sull’eventuale adozione di misure tecnologiche di protezione. È opportuno che tali statistiche forniscano alla Commissione e agli Stati membri dati statistici coerenti e comparabili senza rivelare né l’identità del fornitore da cui è partita la notifica né quella degli abbonati o delle altre persone coinvolte. A tal fine la Commissione può anche organizzare riunioni regolari con le autorità nazionali competenti e altre parti interessate.
(23)
Le misure di cui al presente regolamento sono conformi al parere del comitato per le comunicazioni,
HA ADOTTATO IL PRESENTE REGOLAMENTO:
Articolo 1
Campo di applicazione
Il presente regolamento si applica alla notifica delle violazioni di dati personali da parte dei fornitori di servizi di comunicazione elettronica accessibili al pubblico («il fornitore»).
Articolo 2
Notifica all’autorità nazionale competente
1. Il fornitore notifica all’autorità nazionale competente tutte le violazioni di dati personali.
2. Il fornitore notifica all’autorità nazionale competente la violazione di dati personali entro un termine di 24 ore a partire dal rilevamento della violazione, ove possibile.
Il fornitore include nella propria notifica all’autorità nazionale competente le informazioni di cui all’allegato I.
La constatazione di una violazione di dati personali è considerata avvenuta se il fornitore ha acquisito elementi sufficienti, relativi a un incidente di sicurezza che ha compromesso dati personali, a giustificare una notifica a norma del presente regolamento.
3. Qualora le informazioni di cui all’allegato I non siano interamente disponibili e occorrano ulteriori indagini sulla violazione di dati personali, il fornitore è autorizzato a trasmettere all’autorità nazionale competente una notifica iniziale entro 24 ore a partire dal rilevamento della violazione. Questa notifica iniziale all’autorità nazionale competente contiene le informazioni di cui alla sezione 1 dell’allegato I. Non appena possibile, e al massimo entro tre giorni dalla notifica iniziale, il fornitore trasmette all’autorità nazionale competente una seconda notifica. Questa seconda notifica contiene le informazioni di cui alla sezione 2 dello stesso allegato e, se necessario, aggiorna le informazioni già fornite.
Il fornitore che, malgrado le indagini effettuate, non sia in grado di fornire tutte le informazioni entro tre giorni dalla notifica iniziale, notifica tutte le informazioni di cui dispone entro tale termine e presenta all’autorità nazionale competente una giustificazione motivata per la notifica tardiva delle informazioni residue. Non appena possibile, il fornitore notifica all’autorità nazionale competente tali informazioni residue e, se necessario, aggiorna le informazioni già fornite.
4. L’autorità nazionale competente mette a disposizione di tutti i fornitori stabiliti nello Stato membro interessato uno strumento elettronico sicuro per la notifica delle violazioni di dati personali nonché informazioni sulle procedure di accesso e di uso di tale strumento. Se necessario, la Commissione organizza riunioni con le autorità nazionali competenti per facilitare l’applicazione della presente disposizione.
5. Quando la violazione di dati personali riguarda abbonati o altre persone provenienti da uno Stato membro diverso da quello dell’autorità nazionale competente a cui la violazione di dati personali è stata notificata, l’autorità nazionale competente ne informa le altre autorità nazionali interessate.
Per facilitare l’applicazione della presente disposizione, la Commissione redige e mantiene aggiornato un elenco delle autorità nazionali competenti e di punti di contatto adeguati.
Articolo 3
Notifica all’abbonato o ad altra persona
1. Quando la violazione di dati personali rischia di pregiudicare i dati personali o la vita privata di un abbonato o di altra persona, in aggiunta alla notifica di cui all’articolo 2 il fornitore comunica l’avvenuta violazione anche all’abbonato o all’altra persona.
2. L’eventualità che una violazione di dati personali possa pregiudicare i dati personali o la vita privata di un abbonato o di un’altra persona è valutata tenendo conto, in particolare, delle seguenti circostanze:
a)
la natura e il contenuto dei dati personali interessati, in particolare qualora essi riguardino informazioni finanziarie, categorie particolari di dati di cui all’articolo 8, paragrafo 1, della direttiva 95/46/CE, nonché dati relativi all’ubicazione, file di connessione a Internet, cronologie di navigazione in rete, dati relativi alla posta elettronica ed elenchi dettagliati delle chiamate;
b)
le probabili conseguenze della violazione di dati personali per l’abbonato o l’altra persona interessata, in particolare nel caso in cui la violazione possa comportare furto o usurpazione di identità, danni fisici, disagio psicologico, umiliazione o danni alla reputazione; nonché
c)
le circostanze della violazione di dati personali, in particolare nel caso in cui i dati siano stati rubati o se il fornitore è a conoscenza del fatto che i dati sono in possesso di un terzo non autorizzato.
3. La notifica all’abbonato o all’altra persona è effettuata senza indebito ritardo dopo la scoperta della violazione di dati personali, secondo quanto previsto all’articolo 2, paragrafo 2, terzo comma. Tale notifica è indipendente dalla notifica della violazione di dati personali all’autorità nazionale competente, di cui all’articolo 2.
4. Il fornitore include nella propria notifica all’abbonato o altra persona interessata le informazioni di cui all’allegato II. La notifica all’abbonato o all’altra persona è espressa in modo chiaro e facilmente comprensibile. Il fornitore non si serve della notifica come mezzo per promuovere o pubblicizzare servizi nuovi o aggiuntivi.
5. In circostanze eccezionali, qualora la notifica all’abbonato o all’altra persona possa mettere a rischio il corretto svolgimento dell’indagine sulla violazione di dati personali, il fornitore è autorizzato, previo accordo dell’autorità nazionale competente, a ritardare la notifica all’abbonato o all’altra persona fino a quando la suddetta autorità ritenga possibile notificare la violazione di dati personali conformemente al presente articolo.
6. Il fornitore notifica all’abbonato o all’altra persona la violazione di dati personali facendo ricorso a mezzi di comunicazione che consentano un rapido recapito delle informazioni e la cui sicurezza sia garantita con le tecnologie più avanzate. Le informazioni relative alla violazione si limitano alla violazione stessa e non sono associate ad informazioni di altro tipo.
7. Il fornitore legato da un rapporto contrattuale diretto all’utilizzatore finale che, malgrado i ragionevoli sforzi profusi, non sia in grado di individuare entro il termine di cui al paragrafo 3 tutte le persone che potrebbero essere lese dalla violazione di dati personali, può informare tali persone entro lo stesso termine attraverso annunci pubblicitari nei principali mezzi di comunicazione nazionali o regionali negli Stati membri interessati. Tali annunci sono corredati delle informazioni riportate nell’allegato II, se necessario in forma sintetica. In tal caso, il fornitore continua a compiere tutti gli sforzi ragionevoli per identificare tali persone e notificare loro quanto prima le informazioni di cui all’allegato II.
Articolo 4
Misure tecnologiche di protezione
1. In deroga all’articolo 3, paragrafo 1, non è richiesta la notifica di una violazione dei dati personali a un abbonato o ad altra persona interessata se il fornitore ha dimostrato in modo convincente all’autorità nazionale competente di avere utilizzato adeguate misure tecnologiche di protezione e che tali misure erano state applicate ai dati interessati dalla violazione della sicurezza. Tali misure tecnologiche di protezione rendono i dati incomprensibili a chiunque non sia autorizzato ad accedervi.
2. I dati sono considerati incomprensibili se:
a)
sono stati crittografati in modo sicuro mediante un algoritmo standardizzato, la chiave utilizzata per decifrarli non è stata compromessa nell’ambito di una violazione della sicurezza ed è stata generata in modo tale da non poter essere individuata con i mezzi tecnologici disponibili da qualcuno che non sia autorizzato ad accedervi; o
b)
sono stati sostituiti dal loro valore hash calcolato mediante una funzione di hash con chiave crittografica normalizzata, la chiave utilizzata per l’hashing dei dati non è stata compromessa nell’ambito di una violazione della sicurezza ed è stata generata in modo tale da non poter essere individuata con i mezzi tecnologici disponibili da qualcuno che non sia autorizzato ad accedervi.
3. La Commissione, dopo aver consultato le autorità nazionali competenti tramite il gruppo dell’articolo 29, l’Agenzia europea per la sicurezza delle reti e dell’informazione e il Garante europeo della protezione dei dati, può pubblicare un elenco indicativo delle misure tecnologiche di protezione adeguate di cui al paragrafo 1, in base alle prassi attuali.
Articolo 5
Ricorso a un altro fornitore
Qualora per poter fornire una parte dei servizi di comunicazione elettronica si faccia ricorso a un altro fornitore che non ha un legame contrattuale diretto con gli abbonati, questo altro fornitore informa immediatamente il fornitore che lo ha ingaggiato in caso di violazione di dati personali.
Articolo 6
Relazioni e riesame
Entro tre anni dall’entrata in vigore del presente regolamento, la Commissione redige una relazione sull’applicazione del regolamento, la sua efficacia e il suo impatto sui fornitori, sugli abbonati e sulle altre persone. Sulla base di tale relazione la Commissione procede al riesame del presente regolamento.
Articolo 7
Entrata in vigore
Il presente regolamento entra in vigore il 25 agosto 2013.
Il presente regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.
Fatto a Bruxelles, il 24 giugno 2013