NAŘÍZENÍ KOMISE (EU) č. 611/2013
ze dne 24. června 2013
o opatřeních vztahujících se na oznámení o narušení bezpečnosti osobních údajů podle směrnice Evropského parlamentu a Rady 2002/58/ES o soukromí a elektronických komunikacích
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (Směrnice o soukromí a elektronických komunikacích) (1), a zejména na čl. 4 odst. 5 uvedené směrnice,
po konzultaci s Evropskou agenturou pro bezpečnost sítí a informací (ENISA),
po konzultaci s pracovní skupinou pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízenou článkem 29 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (2) (dále jen „pracovní skupina zřízená podle článku 29“),
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
Směrnice 2002/58/ES harmonizuje předpisy členských států požadované pro zajištění rovnocenné úrovně ochrany základních práv a svobod, zejména práva na soukromí a zachování důvěrnosti informací, se zřetelem na zpracování osobních údajů v odvětví elektronických komunikací, a pro zajištění volného pohybu těchto údajů a elektronických komunikačních zařízení a služeb v Unii.
(2)
Podle článku 4 směrnice 2002/58/ES jsou poskytovatelé veřejně dostupných služeb elektronických komunikací povinni oznámit narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům a v některých případech také dotčeným účastníkům a jednotlivcům. Narušení bezpečnosti osobních údajů je definováno v čl. 2 písm. i) směrnice 2002/58/ES jako narušení bezpečnosti, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně či neoprávněnému vyzrazení nebo zpřístupnění osobních údajů přenášených, uchovávaných nebo jinak zpracovávaných v souvislosti s poskytováním veřejně dostupné služby elektronických komunikací v Unii.
(3)
Pro zajištění důsledného provádění opatření uvedených v čl. 4 odst. 2, 3 a 4 směrnice 2002/58/ES se v čl. 4 odst. 5 uvedeného nařízení Komise zmocňuje k přijetí technických prováděcích opatření týkajících se okolností, formátu a postupů, jež se vztahují na požadavky informování a oznamování podle uvedeného článku.
(4)
Rozdílné požadavky členských států v tomto ohledu mohou vést k právní nejistotě, složitějším a zdlouhavějším postupům a značným administrativním nákladům poskytovatelů, kteří působí v přeshraničním styku. Komise proto zastává názor, že je nutné přijmout tato technická prováděcí opatření.
(5)
Toto nařízení se omezuje na oznámení o narušení bezpečnosti osobních údajů, a proto nestanoví technická prováděcí opatření týkající se čl. 4 odst. 2 směrnice 2002/58/ES o informování účastníků v případě zvláštního rizika narušení bezpečnosti sítě.
(6)
Z čl. 4 odst. 3 prvního pododstavce směrnice 2002/58/ES vyplývá, že poskytovatelé by měli oznámit příslušnému vnitrostátnímu orgánu všechny případy narušení bezpečnosti osobních údajů. Rozhodnutí, zda je či není třeba oznámit narušení příslušnému vnitrostátnímu orgánu, by proto nemělo být ponecháno na vůli poskytovatele. To by však nemělo bránit příslušnému vnitrostátnímu orgánu, aby v souladu s platnými právními předpisy nepřistoupil k vyšetřování některých narušení přednostně podle jejich důležitosti a nepodnikl kroky nezbytné k tomu, aby se zabránilo přílišnému nebo nedostatečnému hlášení o narušení bezpečnosti osobních údajů.
(7)
Je třeba stanovit systém pro oznamování narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu, který by za splnění některých podmínek sestával z různých etap, pro něž by platily konkrétní lhůty. Systém by měl zajistit, aby příslušný vnitrostátní orgán byl informován co nejdříve a co nejúplněji, aniž by se tím neodůvodněně bránilo poskytovateli ve snaze narušení vyšetřit a přijmout nezbytná opatření k jeho omezení a nápravě důsledků.
(8)
Pouhé podezření, že došlo k narušení bezpečnosti osobních údajů, ani pouhé zjištění události bez dostatečných informací, které se ani přes největší úsilí nepodařilo poskytovateli získat, nepostačuje pro účely tohoto nařízení k tomu, aby bylo možné konstatovat, že došlo k odhalení narušení bezpečnosti osobních údajů. Zvláštní ohled je v této souvislosti třeba věnovat dostupnosti informací uvedených v příloze I.
(9)
V souvislosti s uplatňováním tohoto nařízení by v případech narušení bezpečnosti osobních údajů s přeshraničním rozměrem měly příslušné vnitrostátní orgány mezi sebou spolupracovat.
(10)
Toto nařízení nestanoví žádné upřesnění přehledu narušení bezpečnosti osobních údajů, které mají provozovatelé vést, protože v článku 4 směrnice 2002/58/ES je jeho obsah stanoven vyčerpávajícím způsobem. Poskytovatelé však při určování formátu přehledu mohou použít odkaz na toto nařízení.
(11)
Všechny příslušné vnitrostátní orgány by měly poskytovatelům zpřístupnit bezpečné elektronické prostředky umožňující oznamovat narušení bezpečnosti osobních údajů ve společném formátu, a to na základě normy, jako je např. XML, který bude obsahovat údaje stanovené v příloze I v příslušných jazycích tak, aby všichni poskytovatelé v rámci Unie mohli používat obdobný postup oznamování bez ohledu na to, kde se nacházejí nebo kde došlo k narušení bezpečnosti osobních údajů. V této souvislosti by Komise podle potřeby měla usnadnit zavádění bezpečných elektronických prostředků pořádáním setkání s příslušnými vnitrostátními orgány.
(12)
Při posuzování, zda by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno vzít v úvahu zejména povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, jako jsou např. údaje o kreditní kartě nebo bankovním účtu, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES a některé údaje, které se konkrétně týkají poskytování telefonních a internetových služeb, tj. údaje o elektronické poště, lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek a podrobné rozpisy uskutečněných volání.
(13)
Za výjimečných okolností, jestliže by oznámení účastníkovi nebo jednotlivci mohlo ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, by poskytovatel měl mít možnost oznámení účastníkovi nebo jednotlivci pozdržet. V tomto ohledu mohou výjimečné okolnosti zahrnovat trestní vyšetřování, jakož i další narušení bezpečnosti osobních údajů, která nelze považovat za závažnou trestnou činnost, kvůli nimž však může být vhodné oznámení odložit. Příslušný vnitrostátní orgán by za všech okolností měl v každém jednotlivém případě a s ohledem na okolnosti posoudit, zda se oznámení odloží, nebo zda bude vyžadováno.
(14)
Zatímco poskytovatelé by díky přímému smluvnímu vztahu měli mít kontaktní údaje svých účastníků, o ostatních jednotlivcích nepříznivě ovlivněných narušením bezpečnosti osobních údajů tyto informace mít nemusí. V takovém případě by poskytovatel měl mít možnost nejprve tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích, např. v novinách, a následně jim tuto skutečnost co nejdříve oznámit jednotlivě, jak je stanoveno v tomto nařízení. Poskytovatel jako takový tedy není povinen zveřejnit informace v médiích, ale je oprávněn postupovat případně tímto způsobem, pokud stále ještě probíhá zjišťování totožnosti ovlivněných jednotlivců.
(15)
Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi. Za přiměřený prostředek oznámení o narušení bezpečnosti osobních údajů by například nemělo být považováno uvedení informace o narušení bezpečnosti osobních údajů v běžné faktuře.
(16)
Toto nařízení nestanoví žádná zvláštní technická ochranná opatření, která odůvodňují odchylku od povinnosti oznamovat narušení bezpečnosti osobních údajů účastníkům nebo jednotlivcům, neboť ta se mohou v důsledku technologického pokroku v průběhu času měnit. Komise by však měla mít možnost zveřejnit orientační seznam těchto zvláštních technických ochranných opatření v souladu s platnými postupy.
(17)
Kódování nebo hašování nelze samo o sobě považovat za dostatečný způsob ochrany, který by poskytovatelům obecně umožňoval tvrdit, že splnili všechny všeobecné bezpečnostní povinnosti stanovené v článku 17 směrnice 95/46/ES. V tomto ohledu by poskytovatelé měli také provádět vhodná organizační a technická opatření na prevenci, odhalování a zamezení narušení bezpečnosti osobních údajů. Poskytovatelé by měli zvážit veškerá rizika, která mohou přetrvávat po provedení kontrol, aby bylo možné rozpoznat, kde může dojít k narušení bezpečnosti osobních údajů.
(18)
Pokud provozovatel k poskytování služeb částečně používá jiného poskytovatele, např. pro účely účtování nebo řízení, tento jiný poskytovatel, který není v přímém smluvním vztahu s koncovým uživatelem, by neměl mít povinnost v případě narušení bezpečnosti osobních údajů podávat oznámení. Místo toho by měl uvědomit a informovat poskytovatele, s nímž má přímý smluvní vztah. To by mělo platit i v souvislosti s velkoobchodním poskytováním služeb elektronických komunikací, kde obvykle velkoobchodní poskytovatel není v přímém smluvním vztahu s koncovým uživatelem.
(19)
Směrnice 95/46/ES vymezuje obecný rámec pro ochranu osobních údajů v Evropské unii. Komise předložila návrh nařízení Evropského parlamentu a Rady (dále jako „nařízení o ochraně údajů“), které by mělo směrnici 95/46/ES nahradit. Navrhované nařízení o ochraně údajů by na základě čl. 4 odst. 3 směrnice 2002/58/ES zavedlo pro všechny správce povinnost oznamovat narušení bezpečnosti osobních údajů. Toto nařízení Komise je s tímto opatřením plně v souladu.
(20)
Navrhované nařízení o ochraně údajů v omezeném rozsahu rovněž provádí technické úpravy ve směrnici 2002/58/ES s ohledem na změnu směrnice 95/46/ES na nařízení. Podstatné právní důsledky nového nařízení pro směrnici 2002/58/ES budou předmětem přezkumu, který provede Komise.
(21)
Uplatňování tohoto nařízení by mělo být přezkoumáno tři roky po jeho vstupu v platnost a jeho obsah by měl být přezkoumán s ohledem na právní rámec, který bude v platnosti v uvedené době, včetně navrhovaného nařízení o ochraně údajů. Přezkum tohoto nařízení by měl v budoucnosti být, bude-li to možné, spojen s každým přezkumem směrnice 2002/58/ES.
(22)
Uplatňování tohoto nařízení může být posuzováno mimo jiné na základě statistických údajů, které příslušné vnitrostátní orgány vedou o narušeních bezpečnosti osobních údajů, o nichž byly informovány. Tyto statistiky mohou zahrnovat např. informace o počtu narušení bezpečnosti osobních údajů oznámených příslušnému vnitrostátnímu orgánu, počtu případů narušení bezpečnosti osobních údajů oznámených účastníkovi nebo jednotlivci, době potřebné na vyřešení narušení bezpečnosti osobních údajů, a informace o tom, zda byla přijata technická ochranná opatření. Tyto statistiky by měly poskytovat Komisi a členským státům konzistentní a srovnatelné statistické údaje a neměly by odhalovat totožnost oznamujícího poskytovatele ani dotčených účastníků nebo jednotlivců. Komise může za tímto účelem rovněž pořádat pravidelná setkání s příslušnými vnitrostátními orgány a jinými zúčastněnými stranami.
(23)
Opatření tohoto nařízení jsou v souladu se stanoviskem Komunikačního výboru,
PŘIJALA TOTO NAŘÍZENÍ:
Článek 1
Oblast působnosti
Toto nařízení se vztahuje na oznámení poskytovatelů veřejně dostupných služeb elektronických komunikací (dále jen „poskytovatel“) o narušení bezpečnosti osobních údajů.
Článek 2
Oznámení příslušnému vnitrostátnímu orgánu
1. Poskytovatel oznámí všechna narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu.
2. Poskytovatel oznámí narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu nejpozději 24 hodin po zjištění narušení bezpečnosti osobních údajů, pokud je to proveditelné.
Poskytovatel ve svém oznámení příslušnému vnitrostátnímu orgánu uvede informace stanovené v příloze I.
Za zjištění narušení bezpečnosti osobních údajů se považuje situace, kdy poskytovatel získal dostatečné informace o tom, že došlo k bezpečnostní události, která měla za následek narušení osobních údajů, aby podal opodstatněné oznámení podle tohoto nařízení.
3. Jestliže nejsou k dispozici všechny informace stanovené v příloze I a je nutné další vyšetřování narušení bezpečnosti osobních údajů, může poskytovatel podat první oznámení příslušnému vnitrostátnímu orgánu nejpozději do 24 hodin po zjištění narušení bezpečnosti osobních údajů. Toto první oznámení příslušnému vnitrostátnímu orgánu musí obsahovat informace stanovené v příloze I oddíle 1. Poskytovatel je povinen podat příslušnému vnitrostátnímu orgánu co nejdříve, nejpozději do tří dnů po prvním oznámení, druhé oznámení. Toto druhé oznámení obsahuje informace stanovené v příloze I oddíle 2 a v případě potřeby aktualizuje již poskytnuté údaje.
Jestliže poskytovatel ani po vyšetřování nemůže ve lhůtě tří dnů od prvního oznámení poskytnout všechny informace, oznámí všechny informace, které má v této lhůtě k dispozici a předloží příslušnému vnitrostátnímu orgánu odůvodnění, proč musí být zbývající informace oznámeny později. Poskytovatel co možná nejdříve oznámí zbývající informace příslušnému vnitrostátnímu orgánu a v případě potřeby aktualizuje již poskytnuté údaje.
4. Příslušný vnitrostátní orgán poskytne všem poskytovatelům usazeným v dotčeném členském státě bezpečný elektronický prostředek pro oznamování narušení bezpečnosti osobních údajů a informace o postupech přístupu k němu a jeho používání. V zájmu snazšího uplatňování tohoto ustanovení Komise podle potřeby pořádá pravidelná setkání s příslušnými vnitrostátními orgány.
5. V případě, že se narušení bezpečnosti osobních údajů týká účastníků nebo jednotlivců z jiných členských států, než je členský stát příslušného vnitrostátního orgánu, jemuž bylo narušení bezpečnosti osobních údajů oznámeno, příslušný vnitrostátní orgán informuje orgány ostatních dotčených členských států.
Pro usnadnění uplatňování tohoto ustanovení Komise vytvoří a povede seznam příslušných vnitrostátních orgánů a příslušných kontaktních míst.
Článek 3
Oznámení účastníkovi nebo jednotlivci
1. Pokud by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, musí poskytovatel kromě oznámení uvedeného v článku 2 toto porušení oznámit rovněž účastníkovi nebo jednotlivci.
2. Při posuzování, zda narušení bezpečnosti osobních údajů může mít nepříznivý vliv na osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno brát ohled zejména na tyto okolnosti:
a)
povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES, jakož i lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek, údaje týkající se elektronické pošty a podrobné údaje o uskutečněných voláních;
b)
pravděpodobné důsledky narušení bezpečnosti osobních údajů pro dotčeného účastníka nebo jednotlivce, zejména tehdy, kdy by porušení mohlo vést ke krádeži nebo zneužití, fyzické újmě, psychickému strádání, ponížení nebo poškození pověsti a
c)
okolnosti narušení bezpečnosti osobních údajů, zejména pokud byly údaje odcizeny nebo pokud je poskytovateli známo, že údaje jsou v držení neoprávněné třetí strany.
3. Oznámení účastníkovi nebo jednotlivci musí být učiněno bez zbytečného odkladu po zjištění narušení bezpečnosti osobních údajů v souladu s čl. 2 odst. 2 třetím pododstavcem. Nesmí záviset na oznámení o narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům podle článku 2.
4. Poskytovatel ve svém oznámení účastníkovi nebo jednotlivci uvede informace stanovené v příloze II. Oznámení účastníkovi nebo jednotlivci musí být jasné a srozumitelné. Poskytovatel nesmí využít oznámení jako příležitost k propagaci nebo nabídce nových či doplňkových služeb.
5. Ve výjimečných případech, kdy oznámení účastníkovi nebo jednotlivci může ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, má poskytovatel možnost po získání souhlasu příslušného vnitrostátního orgánu oznámení účastníkovi nebo jednotlivci pozdržet, dokud příslušný vnitrostátní orgán neusoudí, že je možné oznámit narušení bezpečnosti osobních údajů podle tohoto článku.
6. Poskytovatel oznámí účastníkovi nebo jednotlivci narušení bezpečnosti osobních údajů takovým způsobem, který umožňuje rychlé předání informací a který je podle nejnovějších poznatků náležitě zabezpečen. Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi.
7. Pokud poskytovatel, který je v přímém smluvním vztahu s koncovým uživatelem, ani přes vynaložené úsilí není schopen ve lhůtě uvedené v odstavci 3 určit všechny jednotlivce, kteří by narušením bezpečnosti osobních údajů mohli být nepříznivě ovlivněni, může v uvedené lhůtě tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích v příslušných členských státech. Uvedená oznámení musí obsahovat informace stanovené v příloze II, v případě potřeby ve stručné formě. V takovém případě poskytovatel pokračuje v úsilí vedoucím k identifikaci těchto jednotlivců a co nejdříve jim oznámí informace uvedené v příloze II.
Článek 4
Technická ochranná opatření
1. Odchylně od čl. 3 odst. 1 se oznámení o narušení bezpečnosti osobních údajů dotčenému účastníkovi nebo jednotlivci nevyžaduje, pokud poskytovatel ke spokojenosti příslušného vnitrostátního orgánu prokázal, že zavedl náležitá technická ochranná opatření a že tato opatření byla na údaje, jichž se narušení bezpečnosti týká, použita. Tato technická ochranná opatření zajistí, aby údaje nebyly srozumitelné pro nikoho, kdo není k přístupu k nim oprávněn.
2. Údaje se považují za nesrozumitelné, jestliže:
a)
byly bezpečně zašifrovány normalizovaným algoritmem, klíč použitý k dešifrování údajů nebyl žádným narušením bezpečnosti ohrožen a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu, nebo
b)
byly nahrazeny svou zahašovanou hodnotou vypočítanou pomocí normalizované kryptografické hašovací funkce s klíčem, klíč použitý k hašování údajů nebyl ohrožen žádným narušením bezpečnosti a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu.
3. Komise může po konzultaci s příslušnými vnitrostátními orgány prostřednictvím pracovní skupiny zřízené podle článku 29, Evropskou agenturou pro bezpečnost sítí a informací a evropským inspektorem ochrany údajů zveřejnit orientační seznam vhodných technických ochranných opatření uvedených v odstavci 1 v souladu s platnými postupy.
Článek 5
Použití jiného poskytovatele
Jestliže je jiný poskytovatel smluvně zavázán, aby poskytl část služeb elektronických komunikací, aniž by byl v přímém smluvním vztahu s účastníky, tento další poskytovatel v případě, že došlo k narušení bezpečnosti osobních údajů, okamžitě informuje smluvního poskytovatele.
Článek 6
Podávání zpráv a přezkum
Do tří let od vstupu tohoto nařízení v platnost Komise předloží zprávu o uplatňování tohoto nařízení, jeho účinnosti a dopadu na poskytovatele, účastníky a jednotlivce. Na základě uvedené zprávy Komise toto nařízení přezkoumá.
Článek 7
Vstup v platnost
Toto nařízení vstupuje v platnost dne 25. srpna 2013.
Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.
V Bruselu dne 24. června 2013.
REGULAMENTO (UE) N.o 611/2013 DA COMISSÃO
de 24 de junho de 2013
relativo às medidas aplicáveis à notificação da violação de dados pessoais em conformidade com a Diretiva 2002/58/CE do Parlamento Europeu e do Conselho relativa à privacidade e às comunicações eletrónicas
A COMISSÃO EUROPEIA,
Tendo em conta o Tratado sobre o Funcionamento da União Europeia,
Tendo em conta a Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Directiva relativa à privacidade e às comunicações electrónicas) (1), nomeadamente o artigo 4.o, n.o 5,
Tendo consultado a Agência Europeia para a Segurança das Redes e da Informação (ENISA),
Tendo consultado o grupo de trabalho para a proteção das pessoas no que diz respeito ao tratamento de dados pessoais, instituído pelo artigo 29.o da Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (2) (grupo de trabalho do artigo 29.o).
Tendo consultado a Autoridade Europeia para a Proteção de Dados (AEPD),
Considerando o seguinte:
(1)
A Diretiva 2002/58/CE prevê a harmonização das disposições nacionais necessárias para garantir um nível equivalente de proteção dos direitos e liberdades fundamentais, nomeadamente o direito à privacidade e à confidencialidade, no que respeita ao tratamento de dados pessoais no setor das comunicações eletrónicas, e para garantir a livre circulação desses dados e dos equipamentos e serviços de comunicações eletrónicas na União.
(2)
Nos termos do artigo 4.o da Diretiva 2002/58/CE, os operadores de serviços de comunicações eletrónicas publicamente disponíveis são obrigados a comunicar às autoridades nacionais competentes e, em determinados casos, também aos assinantes e às outras pessoas em causa, a violação de dados pessoais. A violação de dados pessoais é definida no artigo 2.o, alínea i), da Diretiva 2002/58/CE como uma violação da segurança que provoca, de modo acidental ou ilegal, a destruição, a perda, a alteração, a divulgação ou acesso não autorizados a dados pessoais transmitidos, armazenados ou de outro modo tratados no contexto da prestação de serviços de comunicações eletrónicas publicamente disponíveis na União.
(3)
Para assegurar coerência na aplicação das medidas a que se refere o artigo 4.o, n.os 2, 3 e 4, da Diretiva 2002/58/CE, o n.o 5 do mesmo artigo confere à Comissão o poder de adotar medidas técnicas de execução respeitantes às circunstâncias, ao formato e aos procedimentos aplicáveis aos requisitos de informação e notificação a que se refere aquele artigo.
(4)
A existência de requisitos nacionais diferentes nesta matéria pode originar insegurança jurídica, procedimentos mais complexos e morosos e custos administrativos significativos para os operadores com atividades transfronteiras. Por conseguinte, a Comissão considera ser necessário adotar tais medidas técnicas de execução.
(5)
O presente regulamento abrange apenas a notificação dos casos de violação de dados pessoais, pelo que não estabelece medidas técnicas de execução do artigo 4.o, n.o 2, da Diretiva 2002/58/CE, respeitantes à informação a transmitir aos assinantes no caso de um determinado risco de violação da segurança da rede.
(6)
O artigo 4.o, n.o 3, primeiro parágrafo, da Diretiva 2002/58/CE determina que os operadores devem comunicar à autoridade nacional competente todos os casos de violação de dados pessoais. Por conseguinte, não deve ser dada ao operador a possibilidade de optar por não comunicar essas violações. No entanto, isso não deve impedir a autoridade nacional competente de atribuir prioridade à investigação de determinados casos de violação, como melhor entender, em conformidade com a legislação aplicável, e de tomar as medidas necessárias para evitar que a comunicação de violações de dados pessoais seja excessiva ou insuficiente.
(7)
Convém prever um sistema de notificação dos casos de violação de dados pessoais à autoridade nacional competente, que compreenda, caso estejam preenchidas determinadas condições, várias fases, cada uma delas submetida a um determinado prazo. Este sistema visa garantir que a autoridade nacional competente é informada assim que possível e de forma tão circunstanciada quanto possível, sem, no entanto, dificultar indevidamente os esforços do operador para investigar a violação e tomar as medidas necessárias para a confinar e para obviar às suas consequências.
(8)
A simples suspeita de que ocorreu uma violação de dados pessoais ou a simples deteção de um incidente sobre o qual não há informações suficientes, apesar de todos os esforços do operador no sentido de as obter, não é suficiente, para efeitos do presente regulamento, para se considerar que foi detetada uma violação de dados pessoais. A este respeito, deve ser dada especial atenção à disponibilidade das informações a que se refere o anexo I.
(9)
No contexto da aplicação do presente regulamento, as autoridades nacionais competentes em causa devem cooperar nos casos de violação de dados pessoais de dimensão transfronteiras.
(10)
O presente regulamento não prevê especificações suplementares do inventário dos casos de violação de dados pessoais que os operadores devem manter, dado que o artigo 4.o da Diretiva 2002/58/CE especifica o seu conteúdo de modo exaustivo. No entanto, os operadores podem tomar como referência o presente regulamento para determinarem o formato do inventário.
(11)
Todas as autoridades nacionais competentes devem disponibilizar aos operadores meios eletrónicos seguros para estes notificarem os casos de violação de dados pessoais segundo um formato comum, baseado numa norma, por exemplo, a XML, que inclua as informações enumeradas no anexo I nas línguas pertinentes, de modo a que todos os operadores na União possam seguir procedimentos de notificação similares, independentemente do local onde se encontrem estabelecidos ou do local onde tenha ocorrido a violação de dados pessoais. A este respeito, a Comissão deve facilitar a aplicação de meios eletrónicos seguros, organizando para tal, quando necessário, reuniões com as autoridades nacionais competentes.
(12)
Para se determinar se um caso de violação de dados pessoais é suscetível de afetar negativamente os dados pessoais ou a privacidade do assinante ou de outra pessoa em causa, deve ter-se em conta, em especial, a natureza e o teor dos dados pessoais em causa, nomeadamente quando se trata de informações financeiras, como os dados relativos a cartões de crédito ou a contas bancárias, de dados das categorias especiais a que se refere o artigo 8.o, n.o 1, da Diretiva 95/46/CE ou de determinados dados especificamente relacionados com o fornecimento de serviços de telefonia ou de Internet, ou seja, dados de correio eletrónico, dados de localização, dados de acesso à Internet, histórico da navegação na Internet e listas discriminadas de chamadas.
(13)
Em circunstâncias excecionais, o operador deve ter a possibilidade de adiar a notificação ao assinante ou a outra pessoa em causa, caso essa notificação possa pôr em risco a eficácia da investigação da violação de dados pessoais. Neste contexto, poderão ser consideradas circunstâncias excecionais as investigações criminais, bem como outras violações de dados pessoais que, embora não constituam crimes graves, justificam o adiamento da notificação. De qualquer modo, deve incumbir à autoridade nacional competente determinar, em cada caso e à luz das circunstâncias, se o adiamento é ou não aceitável.
(14)
Os operadores, embora devam ter dados de contacto dos seus assinantes, dada a sua relação contratual direta, podem não ter dados de contacto de outras pessoas afetadas pela violação de dados pessoais. Nesses casos, o operador deve poder notificar essas pessoas inicialmente através de anúncios nos mais importantes meios de comunicação social nacionais ou regionais, nomeadamente jornais, seguindo-se, assim que possível, a notificação individual em conformidade com o presente regulamento. Consequentemente, o operador não é estritamente obrigado a proceder à notificação através dos meios de comunicação social, mas pode decidir fazê-lo durante o processo de identificação de todas as pessoas afetadas.
(15)
A informação sobre a violação de dados deve incidir nessa violação e não estar associada a informações sobre outras matérias. Por exemplo, a inclusão de informações sobre um caso de violação de dados pessoais numa fatura normal não deve ser considerada um meio adequado de notificação dessa violação.
(16)
O presente regulamento não estabelece medidas tecnológicas específicas de proteção que justifiquem uma derrogação da obrigação de notificar os casos de violação de dados pessoais aos assinantes ou às outras pessoas em causa, pois tais medidas podem, com o tempo, mudar, em função do progresso tecnológico. A Comissão deve, contudo, poder publicar uma lista indicativa dessas medidas tecnológicas específicas de proteção em consonância com as práticas correntes.
(17)
A aplicação de métodos de cifragem ou hashing não deve ser considerada, por si só, suficiente para os operadores poderem alegar, de um modo mais geral, que cumpriram o dever de segurança geral estabelecido no artigo 17.o da Diretiva 95/46/CE. A este respeito, os operadores devem igualmente pôr em prática medidas organizativas e técnicas adequadas para prevenir, detetar e bloquear a violação de dados pessoais. Os operadores devem avaliar os riscos residuais que possam existir após a realização das operações de controlo, para melhor entenderem como e onde poderá ocorrer a violação de dados pessoais.
(18)
Caso o operador recorra a outro operador para realizar parte do serviço, designadamente no que respeita às funções de faturação ou gestão, esse outro operador, que não tem qualquer relação contratual direta com o utilizador final, não deve ser obrigado a emitir notificações em caso de violação de dados pessoais; deve, antes, alertar e informar o operador com o qual tem uma relação contratual direta. Esta regra deve aplicar-se igualmente no contexto da oferta grossista de serviços de comunicações eletrónicas, em que, normalmente, o operador grossista não tem uma relação contratual direta com o utilizador final.
(19)
A Diretiva 95/46/CE define um quadro geral para a proteção de dados pessoais na União Europeia. A Comissão apresentou uma proposta de regulamento do Parlamento Europeu e do Conselho que substitui a Diretiva 95/46/CE (Regulamento Proteção de Dados). Esse regulamento proposto estabelece a obrigação, para todos os responsáveis pelo tratamento de dados, de notificação dos casos de violação de dados pessoais, com base no artigo 4.o, n.o 3, da Diretiva 2002/58/CE. O presente regulamento da Comissão é plenamente coerente com essa medida proposta.
(20)
O Regulamento Proteção de Dados proposto prevê também um pequeno número de adaptações técnicas da Diretiva 2002/58/CE, decorrentes da transformação da Diretiva 95/46/CE num regulamento. Os efeitos jurídicos substantivos do novo regulamento na Diretiva 2002/58/CE serão objeto de análise pela Comissão.
(21)
A aplicação do presente regulamento deve ser avaliada três anos após a sua entrada em vigor e o seu conteúdo deve ser revisto à luz do quadro jurídico em vigor nessa altura, inclusive do Regulamento Proteção de Dados proposto. A revisão do presente regulamento deve ser associada, se possível, às futuras revisões da Diretiva 2002/58/CE.
(22)
A aplicação do presente regulamento pode ser avaliada tomando como base, nomeadamente, as estatísticas, mantidas pelas autoridades nacionais competentes, dos casos de violação de dados pessoais que lhes tenham sido notificados. Essas estatísticas poderão incluir, por exemplo, informações sobre o número de casos de violação de dados pessoais notificados à autoridade nacional competente, o número de casos de violação de dados pessoais notificados aos assinantes ou às outras pessoas em causa, o tempo que foi necessário para solucionar cada caso de violação de dados pessoais e as medidas tecnológicas de proteção eventualmente adotadas. Tais estatísticas devem fornecer à Comissão e aos Estados-Membros dados coerentes e comparáveis, mas não devem revelar a identidade dos operadores notificantes nem a dos assinantes ou outras pessoas afetadas. A Comissão pode ainda organizar, para esse efeito, reuniões periódicas com as autoridades nacionais competentes e com outras partes interessadas.
(23)
As medidas previstas no presente regulamento estão conformes com o parecer do Comité das Comunicações,
ADOTOU O PRESENTE REGULAMENTO:
Artigo 1.o
Âmbito de aplicação
O presente regulamento é aplicável à notificação, pelos operadores de serviços de comunicações eletrónicas publicamente disponíveis («os operadores»), dos casos de violação de dados pessoais.
Artigo 2.o
Notificação à autoridade nacional competente
1. O operador deve notificar todos os casos de violação de dados pessoais à autoridade nacional competente.
2. O operador deve notificar a violação de dados pessoais à autoridade nacional competente no prazo de 24 horas após a deteção dessa violação, se possível.
O operador deve incluir na sua notificação à autoridade nacional competente as informações enumeradas no anexo I.
Considera-se que a deteção de uma violação de dados pessoais teve lugar quando o operador obteve conhecimento suficiente de que ocorreu um incidente de segurança que afetou dados pessoais para efetuar uma notificação pertinente, como previsto no presente regulamento.
3. Caso não estejam disponíveis todas as informações enumeradas no anexo I e seja necessária uma investigação suplementar da violação de dados pessoais, o operador deve poder proceder a uma primeira notificação à autoridade nacional competente no prazo de 24 horas após a deteção dessa violação. Essa primeira notificação deve incluir as informações enumeradas na secção 1 do anexo I. O operador deve proceder a uma segunda notificação à autoridade nacional competente assim que possível, o mais tardar três dias após a primeira notificação. Essa segunda notificação deve incluir as informações enumeradas na secção 2 do anexo I e, se necessário, atualizar as informações já fornecidas.
Se, apesar da investigação efetuada, não estiver em condições de comunicar todas as informações no prazo de três dias a contar da primeira notificação, o operador deve comunicar, dentro desse prazo, todas as informações de que disponha e apresentar à autoridade nacional competente uma justificação fundamentada para o atraso da notificação das informações restantes. O operador deve, assim que possível, comunicar essas informações restantes à autoridade nacional competente e, se necessário, atualizar as informações já fornecidas.
4. A autoridade nacional competente deve fornecer a todos os operadores estabelecidos no Estado-Membro em causa meios eletrónicos seguros para a notificação das violações de dados pessoais e informações sobre os procedimentos de acesso e utilização dos mesmos. Se necessário, a Comissão convoca reuniões com as autoridades nacionais competentes, para facilitar a aplicação da presente disposição.
5. Caso a violação de dados pessoais afete assinantes ou outras pessoas de outros Estados-Membros, a autoridade nacional competente deve informar as restantes autoridades nacionais em causa.
Para facilitar a aplicação da presente disposição, a Comissão cria e mantém uma lista das autoridades nacionais competentes e dos pontos de contacto adequados.
Artigo 3.o
Notificação ao assinante ou a outra pessoa em causa
1. Caso a violação de dados pessoais seja suscetível de afetar negativamente os dados pessoais ou a privacidade de um assinante ou de outra pessoa, o operador deve notificar essa violação não só à autoridade nacional competente, como prevê o artigo 2.o, mas também ao assinante ou à outra pessoa em causa.
2. Para se determinar se uma violação de dados pessoais é suscetível de afetar negativamente os dados pessoais ou a privacidade de um assinante ou de outra pessoa em causa, devem ter-se em conta, em especial, as seguintes circunstâncias:
a)
a natureza e o teor dos dados pessoais em causa, nomeadamente quando se trata de informações financeiras, de dados das categorias especiais a que se refere o artigo 8.o, n.o 1, da Diretiva 95/46/CE, ou ainda de dados de localização, dados de acesso à Internet, histórico da navegação na Internet, dados de correio eletrónico e listas discriminadas de chamadas;
b)
as prováveis consequências da violação de dados pessoais para o assinante ou outra pessoa em causa, nomeadamente quando essa violação pode conduzir ao roubo ou à usurpação de identidade, a danos físicos ou psicológicos, a humilhações ou a prejuízos para a reputação; e ainda
c)
as circunstâncias da violação de dados pessoais, em especial quando esses dados foram roubados ou o operador tem conhecimento de que os dados se encontram na posse de terceiros não autorizados.
3. A notificação ao assinante ou a outra pessoa em causa deve ser efetuada sem demora indevida após a deteção da violação de dados pessoais, como previsto no artigo 2.o, n.o 2, terceiro parágrafo. Tal notificação é independente da notificação da violação de dados pessoais à autoridade nacional competente, a que se refere o artigo 2.o.
4. O operador deve incluir na sua notificação ao assinante ou a outra pessoa em causa as informações enumeradas no anexo II. A notificação ao assinante ou a outra pessoa em causa deve ser feita numa linguagem clara e facilmente compreensível. O operador não deve aproveitar a notificação para promover ou publicitar serviços novos ou suplementares.
5. Em circunstâncias excecionais, caso a notificação ao assinante ou a outra pessoa em causa possa pôr em risco a eficácia da investigação da violação de dados pessoais, o operador pode, com o acordo da autoridade nacional competente, adiar a notificação ao assinante ou a outra pessoa em causa até ao momento em que a autoridade nacional competente considere ser possível notificar a violação de dados pessoais em conformidade com o presente artigo.
6. O operador deve notificar a violação de dados pessoais ao assinante ou a outra pessoa em causa mediante uma comunicação que assegure a rápida receção das informações e que seja convenientemente protegida, segundo as práticas mais avançadas. A comunicação deve dizer respeito unicamente à violação, não devendo incluir informações sobre outras matérias.
7. Se, apesar dos esforços significativos realizados, não estiver em condições de identificar, no prazo previsto no n.o 3, todas as pessoas que possam ter sido negativamente afetadas pela violação de dados pessoais, o operador que tem uma relação contratual direta com o utilizador final pode notificar, dentro daquele prazo, essas pessoas, através de anúncios nos mais importantes meios de comunicação social, nacionais ou regionais, dos Estados-Membros em causa. Esses anúncios devem incluir as informações enumeradas no anexo II, se necessário de forma condensada. Nesse caso, o operador deve continuar a envidar todos os esforços para identificar aquelas pessoas e lhes transmitir as informações enumeradas no anexo II assim que possível.
Artigo 4.o
Medidas tecnológicas de proteção
1. Em derrogação ao disposto no artigo 3.o, n.o 1, a notificação de uma violação de dados pessoais a um assinante ou a outra pessoa em causa não é necessária se o operador provar cabalmente à autoridade nacional competente que adotou as medidas tecnológicas de proteção adequadas e que essas medidas foram aplicadas aos dados eventualmente afetados pela violação. Essas medidas tecnológicas de proteção devem tornar os dados ininteligíveis para qualquer pessoa que não esteja autorizada a aceder aos mesmos.
2. Considera-se que os dados são ininteligíveis se:
a)
tiverem sido cifrados de forma segura, com um algoritmo normalizado e a chave utilizada para decifrar os dados não tiver sido afetada por qualquer falha de segurança e tiver sido gerada de tal modo que não possa ser determinada por meios tecnológicos disponíveis para qualquer pessoa que não esteja autorizada a aceder a essa chave; ou
b)
tiverem sido substituídos pelos seus valores calculados por meio de uma função hash criptográfica normalizada com chave, a chave utilizada para a transformação dos dados pela função hash não tiver sido afetada por qualquer falha de segurança e essa chave tiver sido gerada de tal modo que não possa ser determinada por meios tecnológicos disponíveis para qualquer pessoa que não esteja autorizada a aceder a essa chave.
3. A Comissão, tendo consultado as autoridades nacionais competentes através do grupo de trabalho do artigo 29.o, a Agência Europeia para a Segurança das Redes e da Informação e a Autoridade Europeia para a Proteção de Dados, pode publicar uma lista indicativa das medidas tecnológicas de proteção adequadas a que se refere o n.o 1, em consonância com as práticas correntes.
Artigo 5.o
Recurso a outro operador
Caso outro operador que não tenha uma relação contratual direta com os assinantes seja contratado para fornecer parte do serviço de comunicações eletrónicas, esse outro operador deve informar imediatamente o operador contratante de qualquer violação de dados pessoais.
Artigo 6.o
Relatório e revisão
No prazo de três anos a contar da entrada em vigor do presente regulamento, a Comissão apresenta um relatório sobre a aplicação do presente regulamento, a sua eficácia e o seu impacto nos operadores, nos assinantes e nas outras pessoas em causa. Com base nesse relatório, a Comissão procede à revisão do presente regulamento.
Artigo 7.o
Entrada em vigor
O presente regulamento entra em vigor em 25 de agosto de 2013.
O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros.
Feito em Bruxelas, em 24 de junho de 2013.