NAŘÍZENÍ KOMISE (EU) č. 611/2013
ze dne 24. června 2013
o opatřeních vztahujících se na oznámení o narušení bezpečnosti osobních údajů podle směrnice Evropského parlamentu a Rady 2002/58/ES o soukromí a elektronických komunikacích
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (Směrnice o soukromí a elektronických komunikacích) (1), a zejména na čl. 4 odst. 5 uvedené směrnice,
po konzultaci s Evropskou agenturou pro bezpečnost sítí a informací (ENISA),
po konzultaci s pracovní skupinou pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízenou článkem 29 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (2) (dále jen „pracovní skupina zřízená podle článku 29“),
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
Směrnice 2002/58/ES harmonizuje předpisy členských států požadované pro zajištění rovnocenné úrovně ochrany základních práv a svobod, zejména práva na soukromí a zachování důvěrnosti informací, se zřetelem na zpracování osobních údajů v odvětví elektronických komunikací, a pro zajištění volného pohybu těchto údajů a elektronických komunikačních zařízení a služeb v Unii.
(2)
Podle článku 4 směrnice 2002/58/ES jsou poskytovatelé veřejně dostupných služeb elektronických komunikací povinni oznámit narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům a v některých případech také dotčeným účastníkům a jednotlivcům. Narušení bezpečnosti osobních údajů je definováno v čl. 2 písm. i) směrnice 2002/58/ES jako narušení bezpečnosti, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně či neoprávněnému vyzrazení nebo zpřístupnění osobních údajů přenášených, uchovávaných nebo jinak zpracovávaných v souvislosti s poskytováním veřejně dostupné služby elektronických komunikací v Unii.
(3)
Pro zajištění důsledného provádění opatření uvedených v čl. 4 odst. 2, 3 a 4 směrnice 2002/58/ES se v čl. 4 odst. 5 uvedeného nařízení Komise zmocňuje k přijetí technických prováděcích opatření týkajících se okolností, formátu a postupů, jež se vztahují na požadavky informování a oznamování podle uvedeného článku.
(4)
Rozdílné požadavky členských států v tomto ohledu mohou vést k právní nejistotě, složitějším a zdlouhavějším postupům a značným administrativním nákladům poskytovatelů, kteří působí v přeshraničním styku. Komise proto zastává názor, že je nutné přijmout tato technická prováděcí opatření.
(5)
Toto nařízení se omezuje na oznámení o narušení bezpečnosti osobních údajů, a proto nestanoví technická prováděcí opatření týkající se čl. 4 odst. 2 směrnice 2002/58/ES o informování účastníků v případě zvláštního rizika narušení bezpečnosti sítě.
(6)
Z čl. 4 odst. 3 prvního pododstavce směrnice 2002/58/ES vyplývá, že poskytovatelé by měli oznámit příslušnému vnitrostátnímu orgánu všechny případy narušení bezpečnosti osobních údajů. Rozhodnutí, zda je či není třeba oznámit narušení příslušnému vnitrostátnímu orgánu, by proto nemělo být ponecháno na vůli poskytovatele. To by však nemělo bránit příslušnému vnitrostátnímu orgánu, aby v souladu s platnými právními předpisy nepřistoupil k vyšetřování některých narušení přednostně podle jejich důležitosti a nepodnikl kroky nezbytné k tomu, aby se zabránilo přílišnému nebo nedostatečnému hlášení o narušení bezpečnosti osobních údajů.
(7)
Je třeba stanovit systém pro oznamování narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu, který by za splnění některých podmínek sestával z různých etap, pro něž by platily konkrétní lhůty. Systém by měl zajistit, aby příslušný vnitrostátní orgán byl informován co nejdříve a co nejúplněji, aniž by se tím neodůvodněně bránilo poskytovateli ve snaze narušení vyšetřit a přijmout nezbytná opatření k jeho omezení a nápravě důsledků.
(8)
Pouhé podezření, že došlo k narušení bezpečnosti osobních údajů, ani pouhé zjištění události bez dostatečných informací, které se ani přes největší úsilí nepodařilo poskytovateli získat, nepostačuje pro účely tohoto nařízení k tomu, aby bylo možné konstatovat, že došlo k odhalení narušení bezpečnosti osobních údajů. Zvláštní ohled je v této souvislosti třeba věnovat dostupnosti informací uvedených v příloze I.
(9)
V souvislosti s uplatňováním tohoto nařízení by v případech narušení bezpečnosti osobních údajů s přeshraničním rozměrem měly příslušné vnitrostátní orgány mezi sebou spolupracovat.
(10)
Toto nařízení nestanoví žádné upřesnění přehledu narušení bezpečnosti osobních údajů, které mají provozovatelé vést, protože v článku 4 směrnice 2002/58/ES je jeho obsah stanoven vyčerpávajícím způsobem. Poskytovatelé však při určování formátu přehledu mohou použít odkaz na toto nařízení.
(11)
Všechny příslušné vnitrostátní orgány by měly poskytovatelům zpřístupnit bezpečné elektronické prostředky umožňující oznamovat narušení bezpečnosti osobních údajů ve společném formátu, a to na základě normy, jako je např. XML, který bude obsahovat údaje stanovené v příloze I v příslušných jazycích tak, aby všichni poskytovatelé v rámci Unie mohli používat obdobný postup oznamování bez ohledu na to, kde se nacházejí nebo kde došlo k narušení bezpečnosti osobních údajů. V této souvislosti by Komise podle potřeby měla usnadnit zavádění bezpečných elektronických prostředků pořádáním setkání s příslušnými vnitrostátními orgány.
(12)
Při posuzování, zda by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno vzít v úvahu zejména povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, jako jsou např. údaje o kreditní kartě nebo bankovním účtu, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES a některé údaje, které se konkrétně týkají poskytování telefonních a internetových služeb, tj. údaje o elektronické poště, lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek a podrobné rozpisy uskutečněných volání.
(13)
Za výjimečných okolností, jestliže by oznámení účastníkovi nebo jednotlivci mohlo ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, by poskytovatel měl mít možnost oznámení účastníkovi nebo jednotlivci pozdržet. V tomto ohledu mohou výjimečné okolnosti zahrnovat trestní vyšetřování, jakož i další narušení bezpečnosti osobních údajů, která nelze považovat za závažnou trestnou činnost, kvůli nimž však může být vhodné oznámení odložit. Příslušný vnitrostátní orgán by za všech okolností měl v každém jednotlivém případě a s ohledem na okolnosti posoudit, zda se oznámení odloží, nebo zda bude vyžadováno.
(14)
Zatímco poskytovatelé by díky přímému smluvnímu vztahu měli mít kontaktní údaje svých účastníků, o ostatních jednotlivcích nepříznivě ovlivněných narušením bezpečnosti osobních údajů tyto informace mít nemusí. V takovém případě by poskytovatel měl mít možnost nejprve tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích, např. v novinách, a následně jim tuto skutečnost co nejdříve oznámit jednotlivě, jak je stanoveno v tomto nařízení. Poskytovatel jako takový tedy není povinen zveřejnit informace v médiích, ale je oprávněn postupovat případně tímto způsobem, pokud stále ještě probíhá zjišťování totožnosti ovlivněných jednotlivců.
(15)
Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi. Za přiměřený prostředek oznámení o narušení bezpečnosti osobních údajů by například nemělo být považováno uvedení informace o narušení bezpečnosti osobních údajů v běžné faktuře.
(16)
Toto nařízení nestanoví žádná zvláštní technická ochranná opatření, která odůvodňují odchylku od povinnosti oznamovat narušení bezpečnosti osobních údajů účastníkům nebo jednotlivcům, neboť ta se mohou v důsledku technologického pokroku v průběhu času měnit. Komise by však měla mít možnost zveřejnit orientační seznam těchto zvláštních technických ochranných opatření v souladu s platnými postupy.
(17)
Kódování nebo hašování nelze samo o sobě považovat za dostatečný způsob ochrany, který by poskytovatelům obecně umožňoval tvrdit, že splnili všechny všeobecné bezpečnostní povinnosti stanovené v článku 17 směrnice 95/46/ES. V tomto ohledu by poskytovatelé měli také provádět vhodná organizační a technická opatření na prevenci, odhalování a zamezení narušení bezpečnosti osobních údajů. Poskytovatelé by měli zvážit veškerá rizika, která mohou přetrvávat po provedení kontrol, aby bylo možné rozpoznat, kde může dojít k narušení bezpečnosti osobních údajů.
(18)
Pokud provozovatel k poskytování služeb částečně používá jiného poskytovatele, např. pro účely účtování nebo řízení, tento jiný poskytovatel, který není v přímém smluvním vztahu s koncovým uživatelem, by neměl mít povinnost v případě narušení bezpečnosti osobních údajů podávat oznámení. Místo toho by měl uvědomit a informovat poskytovatele, s nímž má přímý smluvní vztah. To by mělo platit i v souvislosti s velkoobchodním poskytováním služeb elektronických komunikací, kde obvykle velkoobchodní poskytovatel není v přímém smluvním vztahu s koncovým uživatelem.
(19)
Směrnice 95/46/ES vymezuje obecný rámec pro ochranu osobních údajů v Evropské unii. Komise předložila návrh nařízení Evropského parlamentu a Rady (dále jako „nařízení o ochraně údajů“), které by mělo směrnici 95/46/ES nahradit. Navrhované nařízení o ochraně údajů by na základě čl. 4 odst. 3 směrnice 2002/58/ES zavedlo pro všechny správce povinnost oznamovat narušení bezpečnosti osobních údajů. Toto nařízení Komise je s tímto opatřením plně v souladu.
(20)
Navrhované nařízení o ochraně údajů v omezeném rozsahu rovněž provádí technické úpravy ve směrnici 2002/58/ES s ohledem na změnu směrnice 95/46/ES na nařízení. Podstatné právní důsledky nového nařízení pro směrnici 2002/58/ES budou předmětem přezkumu, který provede Komise.
(21)
Uplatňování tohoto nařízení by mělo být přezkoumáno tři roky po jeho vstupu v platnost a jeho obsah by měl být přezkoumán s ohledem na právní rámec, který bude v platnosti v uvedené době, včetně navrhovaného nařízení o ochraně údajů. Přezkum tohoto nařízení by měl v budoucnosti být, bude-li to možné, spojen s každým přezkumem směrnice 2002/58/ES.
(22)
Uplatňování tohoto nařízení může být posuzováno mimo jiné na základě statistických údajů, které příslušné vnitrostátní orgány vedou o narušeních bezpečnosti osobních údajů, o nichž byly informovány. Tyto statistiky mohou zahrnovat např. informace o počtu narušení bezpečnosti osobních údajů oznámených příslušnému vnitrostátnímu orgánu, počtu případů narušení bezpečnosti osobních údajů oznámených účastníkovi nebo jednotlivci, době potřebné na vyřešení narušení bezpečnosti osobních údajů, a informace o tom, zda byla přijata technická ochranná opatření. Tyto statistiky by měly poskytovat Komisi a členským státům konzistentní a srovnatelné statistické údaje a neměly by odhalovat totožnost oznamujícího poskytovatele ani dotčených účastníků nebo jednotlivců. Komise může za tímto účelem rovněž pořádat pravidelná setkání s příslušnými vnitrostátními orgány a jinými zúčastněnými stranami.
(23)
Opatření tohoto nařízení jsou v souladu se stanoviskem Komunikačního výboru,
PŘIJALA TOTO NAŘÍZENÍ:
Článek 1
Oblast působnosti
Toto nařízení se vztahuje na oznámení poskytovatelů veřejně dostupných služeb elektronických komunikací (dále jen „poskytovatel“) o narušení bezpečnosti osobních údajů.
Článek 2
Oznámení příslušnému vnitrostátnímu orgánu
1. Poskytovatel oznámí všechna narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu.
2. Poskytovatel oznámí narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu nejpozději 24 hodin po zjištění narušení bezpečnosti osobních údajů, pokud je to proveditelné.
Poskytovatel ve svém oznámení příslušnému vnitrostátnímu orgánu uvede informace stanovené v příloze I.
Za zjištění narušení bezpečnosti osobních údajů se považuje situace, kdy poskytovatel získal dostatečné informace o tom, že došlo k bezpečnostní události, která měla za následek narušení osobních údajů, aby podal opodstatněné oznámení podle tohoto nařízení.
3. Jestliže nejsou k dispozici všechny informace stanovené v příloze I a je nutné další vyšetřování narušení bezpečnosti osobních údajů, může poskytovatel podat první oznámení příslušnému vnitrostátnímu orgánu nejpozději do 24 hodin po zjištění narušení bezpečnosti osobních údajů. Toto první oznámení příslušnému vnitrostátnímu orgánu musí obsahovat informace stanovené v příloze I oddíle 1. Poskytovatel je povinen podat příslušnému vnitrostátnímu orgánu co nejdříve, nejpozději do tří dnů po prvním oznámení, druhé oznámení. Toto druhé oznámení obsahuje informace stanovené v příloze I oddíle 2 a v případě potřeby aktualizuje již poskytnuté údaje.
Jestliže poskytovatel ani po vyšetřování nemůže ve lhůtě tří dnů od prvního oznámení poskytnout všechny informace, oznámí všechny informace, které má v této lhůtě k dispozici a předloží příslušnému vnitrostátnímu orgánu odůvodnění, proč musí být zbývající informace oznámeny později. Poskytovatel co možná nejdříve oznámí zbývající informace příslušnému vnitrostátnímu orgánu a v případě potřeby aktualizuje již poskytnuté údaje.
4. Příslušný vnitrostátní orgán poskytne všem poskytovatelům usazeným v dotčeném členském státě bezpečný elektronický prostředek pro oznamování narušení bezpečnosti osobních údajů a informace o postupech přístupu k němu a jeho používání. V zájmu snazšího uplatňování tohoto ustanovení Komise podle potřeby pořádá pravidelná setkání s příslušnými vnitrostátními orgány.
5. V případě, že se narušení bezpečnosti osobních údajů týká účastníků nebo jednotlivců z jiných členských států, než je členský stát příslušného vnitrostátního orgánu, jemuž bylo narušení bezpečnosti osobních údajů oznámeno, příslušný vnitrostátní orgán informuje orgány ostatních dotčených členských států.
Pro usnadnění uplatňování tohoto ustanovení Komise vytvoří a povede seznam příslušných vnitrostátních orgánů a příslušných kontaktních míst.
Článek 3
Oznámení účastníkovi nebo jednotlivci
1. Pokud by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, musí poskytovatel kromě oznámení uvedeného v článku 2 toto porušení oznámit rovněž účastníkovi nebo jednotlivci.
2. Při posuzování, zda narušení bezpečnosti osobních údajů může mít nepříznivý vliv na osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno brát ohled zejména na tyto okolnosti:
a)
povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES, jakož i lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek, údaje týkající se elektronické pošty a podrobné údaje o uskutečněných voláních;
b)
pravděpodobné důsledky narušení bezpečnosti osobních údajů pro dotčeného účastníka nebo jednotlivce, zejména tehdy, kdy by porušení mohlo vést ke krádeži nebo zneužití, fyzické újmě, psychickému strádání, ponížení nebo poškození pověsti a
c)
okolnosti narušení bezpečnosti osobních údajů, zejména pokud byly údaje odcizeny nebo pokud je poskytovateli známo, že údaje jsou v držení neoprávněné třetí strany.
3. Oznámení účastníkovi nebo jednotlivci musí být učiněno bez zbytečného odkladu po zjištění narušení bezpečnosti osobních údajů v souladu s čl. 2 odst. 2 třetím pododstavcem. Nesmí záviset na oznámení o narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům podle článku 2.
4. Poskytovatel ve svém oznámení účastníkovi nebo jednotlivci uvede informace stanovené v příloze II. Oznámení účastníkovi nebo jednotlivci musí být jasné a srozumitelné. Poskytovatel nesmí využít oznámení jako příležitost k propagaci nebo nabídce nových či doplňkových služeb.
5. Ve výjimečných případech, kdy oznámení účastníkovi nebo jednotlivci může ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, má poskytovatel možnost po získání souhlasu příslušného vnitrostátního orgánu oznámení účastníkovi nebo jednotlivci pozdržet, dokud příslušný vnitrostátní orgán neusoudí, že je možné oznámit narušení bezpečnosti osobních údajů podle tohoto článku.
6. Poskytovatel oznámí účastníkovi nebo jednotlivci narušení bezpečnosti osobních údajů takovým způsobem, který umožňuje rychlé předání informací a který je podle nejnovějších poznatků náležitě zabezpečen. Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi.
7. Pokud poskytovatel, který je v přímém smluvním vztahu s koncovým uživatelem, ani přes vynaložené úsilí není schopen ve lhůtě uvedené v odstavci 3 určit všechny jednotlivce, kteří by narušením bezpečnosti osobních údajů mohli být nepříznivě ovlivněni, může v uvedené lhůtě tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích v příslušných členských státech. Uvedená oznámení musí obsahovat informace stanovené v příloze II, v případě potřeby ve stručné formě. V takovém případě poskytovatel pokračuje v úsilí vedoucím k identifikaci těchto jednotlivců a co nejdříve jim oznámí informace uvedené v příloze II.
Článek 4
Technická ochranná opatření
1. Odchylně od čl. 3 odst. 1 se oznámení o narušení bezpečnosti osobních údajů dotčenému účastníkovi nebo jednotlivci nevyžaduje, pokud poskytovatel ke spokojenosti příslušného vnitrostátního orgánu prokázal, že zavedl náležitá technická ochranná opatření a že tato opatření byla na údaje, jichž se narušení bezpečnosti týká, použita. Tato technická ochranná opatření zajistí, aby údaje nebyly srozumitelné pro nikoho, kdo není k přístupu k nim oprávněn.
2. Údaje se považují za nesrozumitelné, jestliže:
a)
byly bezpečně zašifrovány normalizovaným algoritmem, klíč použitý k dešifrování údajů nebyl žádným narušením bezpečnosti ohrožen a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu, nebo
b)
byly nahrazeny svou zahašovanou hodnotou vypočítanou pomocí normalizované kryptografické hašovací funkce s klíčem, klíč použitý k hašování údajů nebyl ohrožen žádným narušením bezpečnosti a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu.
3. Komise může po konzultaci s příslušnými vnitrostátními orgány prostřednictvím pracovní skupiny zřízené podle článku 29, Evropskou agenturou pro bezpečnost sítí a informací a evropským inspektorem ochrany údajů zveřejnit orientační seznam vhodných technických ochranných opatření uvedených v odstavci 1 v souladu s platnými postupy.
Článek 5
Použití jiného poskytovatele
Jestliže je jiný poskytovatel smluvně zavázán, aby poskytl část služeb elektronických komunikací, aniž by byl v přímém smluvním vztahu s účastníky, tento další poskytovatel v případě, že došlo k narušení bezpečnosti osobních údajů, okamžitě informuje smluvního poskytovatele.
Článek 6
Podávání zpráv a přezkum
Do tří let od vstupu tohoto nařízení v platnost Komise předloží zprávu o uplatňování tohoto nařízení, jeho účinnosti a dopadu na poskytovatele, účastníky a jednotlivce. Na základě uvedené zprávy Komise toto nařízení přezkoumá.
Článek 7
Vstup v platnost
Toto nařízení vstupuje v platnost dne 25. srpna 2013.
Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.
V Bruselu dne 24. června 2013.
NARIADENIE KOMISIE (EÚ) č. 611/2013
z 24. júna 2013
o opatreniach uplatniteľných na oznamovanie prípadov porušenia ochrany osobných údajov na základe smernice Európskeho parlamentu a Rady 2002/58/ES o súkromí a elektronických komunikáciách
EURÓPSKA KOMISIA,
so zreteľom na Zmluvu o fungovaní Európskej únie,
so zreteľom na smernicu Európskeho parlamentu a Rady 2002/58/ES z 12. júla 2002 týkajúcu sa spracovávania osobných údajov a ochrany súkromia v sektore elektronických komunikácií (smernica o súkromí a elektronických komunikáciách) (1), a najmä na jej článok 4 ods. 5,
po porade s Európskou agentúrou pre bezpečnosť sietí a informácií (ENISA),
po porade s pracovnou skupinou pre ochranu jednotlivcov so zreteľom na spracovanie osobných údajov zriadenou podľa článku 29 smernice Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe takýchto údajov (2) (článok 29 Pracovná skupina),
po porade s európskym dozorným úradníkom pre ochranu údajov (EDPS),
keďže:
(1)
Smernicou 2002/58/ES sa ustanovuje harmonizácia vnútroštátnych ustanovení požadovaných na zabezpečenie primeranej úrovne ochrany základných práv a slobôd, a najmä práva na súkromie a dôvernosť, z hľadiska spracúvania osobných údajov v elektronickom komunikačnom sektore a na zabezpečenie voľného pohybu takých údajov a elektronických komunikačných zariadení a služieb v Únii.
(2)
Podľa článku 4 smernice 2002/58/ES poskytovateľ verejne dostupnej elektronickej komunikačnej služby musí porušenie ochrany osobných údajov oznámiť príslušným vnútroštátnym orgánom a v určitých prípadoch aj účastníkom a dotknutým jednotlivcom. Pojem porušenie osobných údajov je vymedzený v článku 2 písm. i) smernice 2002/58/ES ako porušenie bezpečnosti, ktoré má za následok náhodné alebo nezákonné zničenie, stratu, zmenu nedovolené zverejnenie alebo sprístupnenie osobných údajov, ktoré sa prenášajú, ukladajú alebo inak spracúvajú v súvislosti s poskytovaním verejne dostupnej elektronickej komunikačnej služby v Únii.
(3)
S cieľom zabezpečiť konzistentné vykonávanie opatrení uvedených v článku 4 ods. 2, 3 a 4 smernice 2002/58/ES sa článkom 4 ods. 5 danej smernice Komisia splnomocňuje na prijímanie technických vykonávacích opatrení týkajúcich sa okolností, formy a postupov, ktoré sa vzťahujú na požiadavky súvisiace s informáciami a oznámeniami podľa daného článku.
(4)
Rozličné požiadavky jednotlivých členských štátov v danom ohľade môžu viesť k právnej neistote, zložitejším a zdĺhavejším postupom a značným administratívnym nákladom pre cezhranične pôsobiacich poskytovateľov. Komisia preto považuje za potrebné prijať uvedené technické vykonávacie opatrenia.
(5)
Toto nariadenie sa obmedzuje na oznamovanie prípadov porušenia ochrany osobných údajov, preto sa ním nestanovujú technické vykonávacie opatrenia týkajúce sa článku 4 ods. 2 smernice 2002/58/ES o informovaní príslušných účastníkov v prípade osobitného rizika narušenia bezpečnosti siete.
(6)
Z prvého pododseku odseku 3 článku 4 smernice 2002/58/ES vyplýva, že poskytovatelia by mali oznamovať príslušnému vnútroštátnemu orgánu všetky prípady porušenia ochrany osobných údajov. Poskytovateľ by preto nemal mať diskrečnú právomoc rozhodnúť, či príslušnému vnútroštátnemu orgánu porušenie oznámi alebo nie. Dotknutému príslušnému vnútroštátnemu orgánu by to však nemalo brániť prednostne vyšetrovať určité porušenia ochrany spôsobom, ktorý považuje za vhodný v súlade s uplatniteľnými právnymi predpismi, a prijímať opatrenia potrebné na predchádzanie nedostatočnému alebo nadmernému nahlasovaniu porušení ochrany osobných údajov.
(7)
Na oznamovanie porušení ochrany osobných údajov príslušnému vnútroštátnemu orgánu je vhodné stanoviť systém, ktorý v prípade splnenia určitých podmienok pozostáva z rôznych etáp, pričom na každú z nich sa vzťahujú určité lehoty. Cieľom systému je zabezpečiť, že príslušný vnútroštátny orgán dostane informácie čo možno najskôr a čo možno najúplnejšie, avšak bez toho, aby to poskytovateľovi nadmieru prekážalo v jeho úsilí o vyšetrenie daného porušenia a v prijatí potrebných opatrení na jeho obmedzenie a nápravu vzniknutých dôsledkov.
(8)
Ani samotné podozrenie, že došlo k porušeniu ochrany osobných údajov, ani samotné zistenie narušenia bezpečnosti bez dostatočných informácií, ktoré sa poskytovateľovi ani napriek najväčšej snahe vynaloženej v tomto smere nepodarilo získať, nepostačuje na účely tohto nariadenia na skonštatovanie, že sa zistilo porušenie ochrany osobných údajov. V tejto súvislosti by sa mal brať osobitný ohľad na dostupnosť informácií uvedených v prílohe I.
(9)
Pri uplatňovaní tohto nariadenia by príslušné vnútroštátne orgány mali spolupracovať v prípadoch, keď porušenia ochrany osobných údajov sú cezhraničnej povahy.
(10)
V tomto nariadení sa nestanovuje ďalšie bližšie určenie zoznamu prípadov porušení ochrany osobných údajov, ktorý majú poskytovatelia viesť, keďže v článku 4 smernice 2002/58/ES sa jeho obsah uvádza vyčerpávajúco. Poskytovatelia však môžu na určenie formátu uvedeného zoznamu použiť toto nariadenie.
(11)
Všetky príslušné vnútroštátne orgány by mali dať poskytovateľom k dispozícii bezpečné elektronické prostriedky na oznamovanie porušení ochrany osobných údajov v spoločnom formáte, založenom na norme ako napríklad XML, obsahujúcom informácie uvedené v prílohe I v príslušných jazykoch, aby všetci poskytovatelia v Únii mohli podávať oznámenia obdobným postupom bez ohľadu na to, kde sa nachádzajú alebo kde došlo k porušeniu ochrany osobných údajov. V tejto súvislosti by Komisia prípadne mala uľahčiť zavádzanie bezpečných elektronických prostriedkov prostredníctvom zvolávania zasadnutí s príslušnými vnútroštátnymi orgánmi.
(12)
Pri posudzovaní, či sa porušenie ochrany osobných údajov pravdepodobne nepriaznivo dotkne osobných údajov alebo súkromia účastníka alebo jednotlivca, by sa mala zohľadniť predovšetkým povaha a obsah dotknutých osobných údajov, predovšetkým ak ide o finančné informácie, akými sú údaje o kreditnej karte alebo údaje o bankovom účte; osobitné kategórie údajov uvedené v článku 8 ods. 1 smernice 95/46/ES; a určité údaje konkrétne súvisiace s poskytovaním telefónnych alebo internetových služieb, t. j. údaje o elektronickej pošte, lokalizačné dáta, internetové logovacie súbory, záznamy o prezeraných webových stránkach a zoznamy jednotlivých hovorov.
(13)
Za výnimočných okolností by sa poskytovateľovi malo povoliť odložiť oznámenie účastníkovi alebo jednotlivcovi, ak oznámenie účastníkovi alebo jednotlivcovi môže ohroziť riadne vyšetrenie daného porušenia ochrany osobných údajov. K výnimočným okolnostiam v tejto súvislosti môžu patriť trestnoprávne vyšetrovania, ako aj iné porušenia ochrany osobných údajov, ktoré nezodpovedajú závažnej trestnej činnosti, ale pri ktorých môže byť vhodné oznámenie odložiť. Posúdenie v každom jednotlivom prípade a so zreteľom na okolnosti, či pristúpiť na odloženie oznámenia, alebo ho vyžadovať, by každopádne malo byť na príslušnom vnútroštátnom orgáne.
(14)
Poskytovatelia by síce vzhľadom na ich priamy zmluvný vzťah mali mať kontaktné údaje svojich účastníkov, no takéto informácie nemusia existovať v prípade iných jednotlivcov nepriaznivo dotknutých daným porušením ochrany osobných údajov. V takom prípade by sa poskytovateľovi malo povoliť informovať týchto jednotlivcov najprv prostredníctvom inzercie v hlavných celoštátnych alebo regionálnych médiách, napríklad novinách, po ktorej bude čo najskôr nasledovať individuálne oznámenie podľa ustanovení v tomto nariadení. Poskytovateľ teda nie je povinný oznamovať prostredníctvom médií, ale ak si to želá, má skôr poverenie postupovať tak, kým ešte stále prebieha zisťovanie totožnosti všetkých dotknutých jednotlivcov.
(15)
Informácie o porušení ochrany by sa mali venovať porušeniu a nemali by sa spájať s informáciami na inú tému. Za adekvátny spôsob informovania o porušení ochrany osobných údajov by sa nemalo považovať napríklad začlenenie informácie o porušení ochrany osobných údajov do pravidelnej faktúry.
(16)
V tomto nariadení sa nestanovujú konkrétne technologické ochranné opatrenia, ktoré odôvodňujú odchýlku od povinnosti oznamovať účastníkom alebo jednotlivcom porušenia ochrany osobných údajov, keďže tieto opatrenia sa môžu časom meniť v dôsledku technologického pokroku. Komisia by však mala byť schopná uverejniť orientačný zoznam takýchto konkrétnych technologických ochranných opatrení v súlade s platnými postupmi.
(17)
Implementácia kódovania ani hašovania by sa nemala sama o sebe považovať za dostatočnú na to, aby oprávňovala poskytovateľov na širšie tvrdenie, že spĺňajú všeobecné bezpečnostné povinnosti uvedené v článku 17 smernice 95/46/ES. V tomto ohľade by poskytovatelia mali takisto zaviesť primerané organizačné a technické opatrenia na zabránenie porušeniam ochrany osobných údajov a na ich zisťovanie a izolovanie. Poskytovatelia by mali zvážiť všetky riziká, ktoré by mohli pretrvávať po zavedení kontrol, aby porozumeli tomu, kde môže prípadne dôjsť k porušeniam ochrany osobných údajov.
(18)
Keď poskytovateľ využíva iného poskytovateľa na vykonanie časti služby, pokiaľ ide napríklad o účtovné alebo riadiace úlohy, tento iný poskytovateľ, ktorý nemá žiadny priamy zmluvný vzťah s koncovým užívateľom, by nemal mať povinnosť podávať oznámenia v prípade, že dôjde k porušeniu ochrany osobných údajov. Namiesto toho by mal upozorniť a informovať poskytovateľa, s ktorým má priamy zmluvný vzťah. Malo by to platiť aj v rámci veľkoobchodného poskytovania elektronických komunikačných služieb, keď veľkoobchodný poskytovateľ v zásade nemá priamy zmluvný vzťah s koncovým užívateľom.
(19)
Smernicou 95/46/ES sa vymedzuje všeobecný rámec pre ochranu osobných údajov v Európskej únii. Komisia predložila návrh nariadenia Európskeho parlamentu a Rady s cieľom nahradiť smernicu 95/46/ES (ďalej len nariadenie o ochrane údajov). Navrhovaným nariadením o ochrane údajov by sa na základe článku 4 ods. 3 smernice 2002/58/ES zaviedla povinnosť pre všetkých prevádzkovateľov oznamovať porušenia ochrany osobných údajov. Toto nariadenie Komisie je plne v súlade s navrhovaným opatrením.
(20)
V navrhovanom nariadení o ochrane údajov sa zároveň vykonal obmedzený rozsah technických úprav v smernici 2002/58/ES, aby sa zohľadnila premena smernice 95/46/ES na nariadenie. Podstatné právne dôsledky nového nariadenia pre smernicu 2002/58/ES budú predmetom preskúmania Komisie.
(21)
Uplatňovanie tohto nariadenia by sa malo preskúmať po troch rokoch od nadobudnutia jeho účinnosti a jeho obsah by sa mal preskúmať z pohľadu právneho rámca platného v danom čase, vrátane navrhovaného nariadenia o ochrane údajov. Preskúmanie tohto nariadenia by malo byť podľa možnosti spojené s každým budúcim preskúmaním smernice 2002/58/ES.
(22)
Uplatňovanie tohto nariadenia sa môže posúdiť okrem iného na základe akýchkoľvek štatistických údajov, ktoré uchovávajú príslušné vnútroštátne orgány o porušeniach ochrany osobných údajov, ktoré im boli oznámené. Tieto štatistické údaje môžu zahŕňať napríklad informácie o počte porušení ochrany osobných údajov oznámených danému príslušnému vnútroštátnemu orgánu, počte porušení ochrany osobných údajov oznámených účastníkovi alebo jednotlivcovi, čase potrebnom na vyriešenie porušenia ochrany osobných údajov a o tom, či boli prijaté technické ochranné opatrenia. Uvedené štatistiky by mali Komisii a členským štátom poskytovať konzistentné a porovnateľné štatistické údaje a nemali by odhaľovať totožnosť oznamujúceho poskytovateľa ani dotknutých účastníkov či jednotlivcov. Komisia môže na tieto účely zároveň organizovať pravidelné stretnutia s príslušnými vnútroštátnymi orgánmi a inými zainteresovanými stranami.
(23)
Opatrenia stanovené v tomto nariadení sú v súlade so stanoviskom komunikačného výboru,
PRIJALA TOTO NARIADENIE:
Článok 1
Rozsah pôsobnosti
Toto nariadenie sa uplatňuje na oznámenia poskytovateľov verejne dostupnej elektronickej komunikačnej služby (ďalej len „poskytovateľ“) o porušení ochrany osobných údajov.
Článok 2
Oznamovanie príslušnému vnútroštátnemu orgánu
1. Poskytovateľ oznámi každé porušenie ochrany osobných údajov príslušnému vnútroštátnemu orgánu.
2. Poskytovateľ oznámi porušenie ochrany osobných údajov príslušnému vnútroštátnemu orgánu najneskôr do 24 hodín po zistení porušenia ochrany osobných údajov, ak je to uskutočniteľné.
Do oznámenia určeného príslušnému vnútroštátnemu orgánu poskytovateľ zahrnie informácie stanovené v prílohe I.
Za zistenie porušenia ochrany osobných údajov sa pokladá situácia, keď poskytovateľ nadobudol vedomosť o tom, že došlo k narušeniu bezpečnosti, ktoré viedlo k zneužitiu osobných údajov, dostačujúcu na to, aby mohol podať zmysluplné oznámenie podľa požiadaviek v tomto nariadení.
3. Ak nie sú dostupné všetky informácie stanovené v prílohe 1 a je nevyhnutné ďalšie vyšetrovanie porušenia ochrany osobných údajov, poskytovateľovi sa povoľuje poskytnúť prvotné oznámenie príslušnému vnútroštátnemu orgánu najneskôr 24 hodín po zistení porušenia ochrany osobných údajov. Toto prvotné oznámenie príslušnému vnútroštátnemu orgánu obsahuje informácie stanovené v oddiele 1 prílohy I. Čo najskôr, najneskôr však do troch dní po prvotnom oznámení, podá poskytovateľ príslušnému vnútroštátnemu orgánu druhé oznámenie Toto druhé oznámenie obsahuje informácie stanovené v oddiele 2 prílohy I a v prípade potreby sa v ňom aktualizujú predtým poskytnuté informácie.
Keď poskytovateľ ani napriek vyšetrovaniam nie je schopný poskytnúť v trojdňovej lehote od zaslania prvotného oznámenia všetky informácie, oznámi tie informácie, ktoré má v danej lehote k dispozícii, a predloží príslušnému vnútroštátnemu orgánu podložené odôvodnenie, prečo zvyšné informácie oznámi neskôr. Poskytovateľ čo najskôr oznámi zvyšné informácie príslušnému vnútroštátnemu orgánu a v prípade potreby aktualizuje predtým poskytnuté informácie.
4. Príslušný vnútroštátny orgán poskytne všetkým poskytovateľom usadeným v dotknutom členskom štáte bezpečný elektronický prostriedok na oznamovanie porušení ochrany osobných údajov a informácie o postupoch prístupu k nemu a jeho používania. Komisia v prípade potreby zorganizuje stretnutia s príslušnými vnútroštátnymi orgánmi s cieľom uľahčiť uplatňovanie tohto ustanovenia.
5. Keď sa porušenie ochrany osobných údajov dotkne účastníkov alebo jednotlivcov z iných členských štátov než z členského štátu príslušného vnútroštátneho orgánu, ktorému sa porušenie ochrany osobných údajov oznámilo, daný príslušný vnútroštátny orgán informuje vnútroštátne orgány ostatných dotknutých členských štátov.
Na ľahšie uplatňovanie tohto ustanovenia Komisia vypracuje a udržiava zoznam príslušných vnútroštátnych orgánov a zodpovedajúcich kontaktných miest.
Článok 3
Oznámenie účastníkovi alebo jednotlivcovi
1. Ak je pravdepodobné, že porušenie ochrany osobných údajov nepriaznivo ovplyvní osobné údaje alebo súkromie účastníka alebo jednotlivca, poskytovateľ okrem oznámenia uvedeného v článku 2 oznámi takéto porušenie aj účastníkovi alebo jednotlivcovi.
2. To, či porušenie ochrany osobných údajov pravdepodobne nepriaznivo ovplyvní osobné údaje alebo súkromie účastníka alebo jednotlivca, sa posúdi so zohľadnením najmä týchto okolností:
1.
povaha a obsah dotknutých osobných údajov, predovšetkým ak ide o finančné informácie, osobitné kategórie údajov uvedené v článku 8 ods. 1 smernice 95/46/ES, ako aj lokalizačné údaje, internetové logovacie súbory, záznamy o prezeraných webových stránkach, údaje o elektronickej pošte a zoznamy jednotlivých hovorov;
2.
pravdepodobné dôsledky porušenia ochrany osobných údajov pre dotknutého účastníka alebo jednotlivca, najmä ak by porušenie mohlo viesť ku krádeži alebo zneužitiu identity, fyzickej ujme, psychickému utrpeniu, poníženiu alebo poškodeniu povesti, ako aj
3.
okolnosti porušenia ochrany osobných údajov, najmä ak boli údaje odcudzené alebo ak poskytovateľ vie, že údaje má v držbe neoprávnená tretia strana.
3. Oznámenie účastníkovi alebo jednotlivcovi sa vykoná bez zbytočného odkladu po zistení porušenia ochrany osobných údajov, ako sa uvádza v článku 2 ods. 2 treťom pododseku. Nemalo by to závisieť od oznámenia porušenia ochrany osobných údajov príslušnému vnútroštátnemu orgánu uvedeného v článku 2.
4. Do oznámenia určeného účastníkovi alebo jednotlivcovi poskytovateľ zahrnie informácie stanovené v prílohe II. Jazyk oznámenia určeného účastníkovi alebo jednotlivcovi musí byť jasný a ľahko zrozumiteľný. Poskytovateľ nesmie využiť oznámenie ako príležitosť na propagáciu alebo reklamu nových ani doplnkových služieb.
5. Za výnimočných okolností, keď oznámenie účastníkovi alebo jednotlivcovi môže ohroziť riadne vyšetrenie porušenia ochrany osobných údajov, poskytovateľovi sa po získaní súhlasu od príslušného vnútroštátneho orgánu povoľuje odložiť zaslanie oznámenia účastníkovi alebo jednotlivcovi dovtedy, kým príslušný vnútroštátny orgán nepovažuje za možné oznámiť porušenie ochrany osobných údajov v súlade s týmto článkom.
6. Poskytovateľ oznámi účastníkovi alebo jednotlivcovi porušenie ochrany osobných údajov takými komunikačnými prostriedkami, ktorými sa zabezpečí rýchle doručenie informácií a ktoré sú podľa najnovších poznatkov v danej oblasti náležite zabezpečené. Informácie o porušení sú venované len danému porušeniu a nespájajú sa s informáciami na iné témy.
7. Keď poskytovateľ, ktorý má priamy zmluvný vzťah s koncovým užívateľom, ani napriek vynaloženému primeranému úsiliu nie je schopný v lehote uvedenej v odseku 3 identifikovať všetkých jednotlivcov, ktorých by sa pravdepodobne mohlo nepriaznivo dotknúť dané porušenie ochrany osobných údajov, môže v uvedenej lehote informovať týchto jednotlivcov prostredníctvom inzercie uverejnenej v hlavných celoštátnych alebo regionálnych médiách v príslušných členských štátoch. Takáto inzercia obsahuje informácie uvedené v prílohe II, v prípade potreby v stručnej forme. Poskytovateľ v takom prípade pokračuje v primeranom úsilí identifikovať daných jednotlivcov a oznámiť im informácie uvedené v prílohe II čo najskôr.
Článok 4
Technické ochranné opatrenia
1. Odchylne od článku 3 ods. 1 oznámenie o porušení ochrany osobných údajov dotknutému účastníkovi alebo jednotlivcovi sa nevyžaduje, ak poskytovateľ preukázal k spokojnosti príslušného vnútroštátneho orgánu, že vykonal primerané technologické ochranné opatrenia a že tieto opatrenia sa uplatnili na údaje dotknuté porušením bezpečnosti. Takými opatreniami technologickej ochrany sa zabezpečí, aby sa údaje stali nečitateľné pre všetky osoby bez oprávneného prístupu k nim.
2. Údaje sa považujú za nečitateľné, ak:
1.
boli bezpečne zakódované normalizovaným algoritmom, kľúč používaný na odkódovanie údajov nebol poškodený žiadnym porušením bezpečnosti a tento kľúč bol vytvorený tak, aby ho nikto, kto k nemu nemá prístupové právo, nemohol dostupnými technickými prostriedkami zistiť, alebo
2.
boli nahradené ich hašovanou hodnotou vypočítanou pomocou normalizovanej kryptografickej hašovacej funkcie s kľúčom, pričom kľúč použitý na hašovanie údajov nebol poškodený žiadnym porušením bezpečnosti a tento kľúč bol vytvorený tak, aby ho nikto, kto k nemu nemá prístupové právo, nemohol dostupnými technickými prostriedkami zistiť.
3. Komisia môže po porade s príslušnými vnútroštátnymi orgánmi prostredníctvom pracovnej skupiny zriadenej článkom 29, Európskou agentúrou pre bezpečnosť sietí a informácií a európskym dozorným úradníkom pre ochranu údajov uverejniť orientačný zoznam primeraných technologických ochranných opatrení uvedených v odseku 1 v súlade s platnými postupmi.
Článok 5
Využívanie iného poskytovateľa
Ak sa časť elektronickej komunikačnej služby poskytuje na základe zmluvy s iným poskytovateľom, pričom tento nemá priamy zmluvný vzťah s účastníkmi, tento iný poskytovateľ bezodkladne informuje zadávajúceho poskytovateľa v prípade porušenia ochrany osobných údajov.
Článok 6
Podávanie správ a preskúmanie
Do troch rokov od nadobudnutia účinnosti tohto nariadenia Komisia predloží správu o uplatňovaní tohto nariadenia, jeho účinnosti a vplyve na poskytovateľov, účastníkov a jednotlivcov. Komisia na základe uvedenej správy preskúma toto nariadenie.
Článok 7
Nadobudnutie účinnosti
Toto nariadenie nadobúda účinnosť 25. augusta 2013.
Toto nariadenie je záväzné v celom rozsahu a priamo uplatniteľné vo všetkých členských štátoch.
V Bruseli 24. júna 2013