РЕГЛАМЕНТ (ЕС) № 611/2013 НА КОМИСИЯТА
от 24 юни 2013 година
относно мерките, приложими за съобщаването на нарушения на сигурността на личните данни съгласно Директива 2002/58/ЕО на Европейския парламент и на Съвета за правото на неприкосновеност на личния живот и електронни комуникации
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (1), и по-специално член 4, параграф 5 от нея,
след като се консултира с Европейската агенция за мрежова и информационна сигурност (ENISA),
след като се консултира с Работната група за защита на лицата по отношение на обработката на лични данни, която е сформирана съгласно член 29 от Директива 95/46/ЕО на Европейския парламент и Съвета от 24 октомври 1995 г. за защита на физическите лица по отношение на обработката на лични данни и за свободното движение на такива данни (2) (Работната група по член 29),
след като се консултира с Европейския надзорен орган по защита на данните (ЕНОЗД),
като има предвид, че:
(1)
В Директива 2002/58/ЕО се предвижда да бъдат хармонизирани националните разпоредби, необходими за осигуряване на еднаква степен на защита на основните права и свободи, и по-специално правото на неприкосновеност на личния живот и правото на поверителност по отношение на обработката на лични данни в сектора на електронните комуникации, както и да бъде осигурено свободно движение на такива данни и оборудване за електронни комуникации и услуги в Съюза.
(2)
Съгласно член 4 от Директива 2002/58/ЕО доставчиците на общественодостъпни електронни съобщителни услуги са задължени да уведомяват компетентните национални органи, а в определени случаи и засегнатите абонати и лица, за нарушенията на сигурността на личните данни. Нарушенията на сигурността на лични данни са дефинирани в член 2, буква и) от Директива 2002/58/ЕО като нарушения на сигурността, които водят до случайно или незаконно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, предавани, съхранявани или обработвани по друг начин във връзка с предоставянето на общественодостъпна електронна съобщителна услуга в Общността.
(3)
С цел да се осигури последователност при изпълнението на мерките, посочени в член 4, параграфи 2, 3 и 4 от Директива 2002/58/ЕО, член 4, параграф 5 от нея оправомощава Комисията да приема технически мерки за изпълнение във връзка с обстоятелствата, формата и процедурите, приложими за изискванията за информация и уведомяване, посочени в споменатия член.
(4)
Различните национални изисквания в това отношение могат да доведат до правна несигурност, по-сложни и тромави процедури и значителни административни разходи за доставчиците на услуги, извършващи трансгранична дейност. Поради това Комисията счита за необходимо да приеме такива технически мерки за изпълнение.
(5)
Настоящият регламент се ограничава със съобщаването на нарушения на сигурността на лични данни и следователно не определя технически мерки за изпълнение във връзка с член 4, параграф 2 от Директива 2002/58/ЕО относно информиране на абонатите, в случай че има конкретна опасност от нарушаване на сигурността на мрежата.
(6)
От член 4, параграф 3, първа алинея от Директива 2002/58/ЕО следва, че доставчиците трябва да уведомяват компетентния национален орган за всички нарушения на сигурността на лични данни. Следователно на доставчика не следва да се оставя свобода за вземане на решение дали да уведоми компетентния национален орган. Това обаче не следва да възпрепятства въпросния компетентен национален орган да приоритизира разследването на някои нарушения по начин, който той счита за подходящ в съответствие с приложимото законодателство, и да предприема необходимите мерки за предотвратяване на докладване на недостатъчно или прекалено много нарушения във връзка с лични данни.
(7)
Целесъобразно е да се предвиди система за уведомяване на компетентния национален орган за нарушенията на сигурността на лични данни, която се състои, в случаите, в които са изпълнени определени условия, от различни етапи, за всеки от които важат определени срокове. Тази система е предназначена да гарантира, че компетентният национален орган бива информиран възможно най-рано и във възможно най-пълна степен, без обаче да бъде възпрепятстван доставчикът в усилията му да разследва нарушението и да взема необходимите мерки за ограничаване и отстраняване на последствията от него.
(8)
За целите на настоящия регламент, за да се счита, че е било открито нарушение на сигурността на лични данни, не са достатъчни нито обикновеното подозрение, че е имало нарушение на сигурността на лични данни, нито простото откриване на инцидент, без да има налице достатъчно информация, въпреки всички възможни усилия на доставчика да осигури такава. В тази връзка особено внимание следва да се обърне на наличието на информацията, посочена в приложение I.
(9)
В контекста на прилагането на настоящия регламент в случай на нарушаване на сигурността на лични данни с трансгранично измерение съответните компетентни национални органи следва да си сътрудничат.
(10)
Настоящият регламент не предвижда допълнителна спецификация за регистъра на нарушенията на сигурността на лични данни, който трябва да се поддържа от доставчиците, като се има предвид, че в член 4 от Директива 2002/58/ЕО неговото съдържание се определя изчерпателно. Доставчиците обаче могат да се позовават на настоящия регламент, за да се определи форматът на регистъра.
(11)
Всички компетентни национални органи следва да осигурят сигурни електронни средства, така че доставчиците да съобщават за нарушения на сигурността на личните данни в общ формат (основан на стандарт като XML), съдържащ информацията, посочена в приложение I, на съответните езици, така че да се даде възможност на всички доставчици в рамките на Съюза да следват сходна процедура за съобщаване, независимо от това къде се намират или къде е било извършено нарушаването на сигурността на личните данни. В тази връзка Комисията следва да улеснява въвеждането на сигурни електронни средства, като свиква заседания с компетентните национални органи, когато това е необходимо.
(12)
При оценяване дали дадено нарушаване на сигурността на личните данни има вероятност да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или лице следва да се вземе предвид по-специално естеството и съдържанието на съответните лични данни, по-специално когато данните касаят финансова информация, като например данни за кредитни карти и подробности за банкови сметки; специалните категории от данни, посочени в член 8, параграф 1 от Директива 95/46/ЕО; както и някои данни, конкретно свързани с предоставянето на телефонни или интернет услуги, т.е. данни за електронната поща, данни за местоположението, файлове със статистика за интернет връзките, история на посетените уебстраници и списъци с повиквания, указани по позиции.
(13)
При изключителни обстоятелства, когато уведомяването на абоната или лицето може да изложи на риск правилното разследване на нарушаването на сигурността на личните данни, на доставчика следва да бъде разрешено да забавя уведомяването на абоната или лицето. В този контекст извънредни обстоятелства могат да включват криминални разследвания, както и други нарушения на сигурността на лични данни, които не са равностойни на сериозно престъпление, но за които може да е целесъобразно уведомяването да бъде отложено. Във всеки случай националният компетентен орган следва да е този, който преценява за всеки отделен случай и в светлината на обстоятелствата дали да даде съгласие за отлагане или да изиска уведомяване.
(14)
Макар че доставчиците следва да имат данни за контакт със своите абонати предвид преките им договорни отношения, за други лица, засегнати от нарушаването на сигурността на личните данни може да няма такава информация. В такъв случай следва да бъде разрешено доставчикът да уведоми въпросните лица първоначално посредством съобщения в основните национални или регионални средства за масова информация, като например вестници, които веднага щом бъде възможно трябва да бъдат последвани от индивидуално уведомяване, както е предвидено в настоящия регламент. Доставчикът следователно не е длъжен като такъв да уведомява чрез средствата за масова информация, а по-скоро е упълномощен да действа по този начин, ако пожелае, когато все още е в процес на определяне на всички лица, които са засегнати.
(15)
Информацията за нарушението следва да бъде съсредоточена върху нарушението, а не да бъде свързана с информация по друга тема. Така например включването на информация за нарушаване на сигурността на лични данни в редовна фактура не следва да се счита за адекватен начин за уведомяване за нарушаване на сигурността на лични данни.
(16)
В настоящия регламент не се определят конкретни технически мерки за защита, които да оправдават дерогация от задължението за уведомяване на абонатите и лицата за нарушаване на сигурността на личните данни, тъй като тези мерки могат да търпят промени с течение на времето и развитието на технологиите. Комисията обаче следва да бъде в състояние да публикува примерен списък на конкретни такива технологични мерки за защита в съответствие с текущите практики.
(17)
Прилагането на криптиране или хеширане не следва да се смята за достатъчно само по себе си, за да позволи доставчиците да претендират в по-широк план, че са изпълнили общото задължение за сигурност, посочено в член 17 от Директива 95/46/ЕО. В тази връзка доставчиците следва също така да прилагат подходящи организационни и технически мерки за предотвратяване, откриване и блокиране на нарушения на сигурността на личните данни. Доставчиците следва да вземат предвид всеки остатъчен риск, който може да съществува, след като са били извършени проверки, с цел да разберат къде потенциално може да има нарушения на сигурността на личните данни.
(18)
Когато доставчикът използва друг доставчик за извършването на част от услугата, например във връзка с фактуриране или управленски функции, в случай на нарушение на сигурността на лични данни този друг доставчик, който няма преки договорни отношения с крайния потребител, не следва да бъде задължен да издава уведомления. Вместо това той следва да предупреди и информира за това доставчика, с който има преки договорни взаимоотношения. Това следва да се прилага и в контекста на предоставянето на едро на електронни съобщителни услуги, когато обикновено доставчикът на едро няма преки договорни отношения с крайния потребител.
(19)
В Директива 95/46/ЕО се определя обща рамка за защита на личните данни в Европейския съюз. Комисията представи предложение за регламент на Европейския парламент и на Съвета, който да замени Директива 95/46/ЕО (Директивата за защитата на данните). Предложеният регламент за защитата на данните ще въведе задължение за всички администратори на лични данни да уведомяват за нарушаване на сигурността на личните данни, основавайки се на член 4, параграф 3 от Директива 2002/58/ЕО. Настоящият регламент на Комисията е напълно съвместим с тази предложена мярка.
(20)
Предложеният регламент за защитата на данните също така прави ограничен брой технически изменения в Директива 2002/58/ЕО, за да се вземе предвид преобразуването на Директива 95/46/ЕО в регламент. Съществените правни последици от новия регламент за Директива 2002/58/ЕО ще бъдат обект на преразглеждане от страна на Комисията.
(21)
Прилагането на настоящия регламент следва да бъде преразгледано три години след влизането му в сила, а неговото съдържание - преразгледано в светлината на действащата нормативна уредба към горепосочения момент, включително в светлината на предложения регламент за защитата на данните. Преразглеждането на настоящия регламент следва да бъдат свързано, когато това е възможно, с евентуално бъдещо преразглеждане на Директива 2002/58/ЕО.
(22)
Прилагането на настоящия регламент може да бъде оценено въз основа, inter alia, на всяка статистика, водена от националните компетентни органи, за съобщените нарушения на сигурността на лични данни. Тези статистически данни могат да включват например информация относно броя на нарушенията на сигурността на лични данни, съобщени на националния компетентен орган, броя на нарушенията на сигурността на лични данни, съобщени на абоната или лицето, времето, необходимо за разрешаването на проблема с нарушението на сигурността на лични данни, както и дали са били взети технически мерки за защита. Тези статистически данни следва да осигурят на Комисията и на държавите членки последователни и сравними статистически данни и не трябва да разкриват нито самоличността на уведомяващия доставчик, нито тази на засегнатите абонати или лица. За тази цел Комисията може също така да провежда редовни срещи с националните компетентни органи и други заинтересовани страни.
(23)
Мерките, предвидени в настоящия регламент, са в съответствие със становището на Комитета за регулиране на съобщенията,
ПРИЕ НАСТОЯЩИЯ РЕГЛАМЕНТ:
Член 1
Обхват
Настоящият регламент се прилага за съобщаването на нарушения на сигурността на лични данни от страна на доставчици на публичнодостъпни електронни съобщителни услуги („доставчикът“).
Член 2
Уведомяване на компетентните национални органи
1. Доставчикът уведомява националния компетентен орган за всички нарушения на сигурността на личните данни.
2. Доставчикът уведомява националния компетентен орган за нарушението на сигурността на лични данни не по-късно от 24 часа след откриване на нарушението на сигурността на лични данни, когато това е възможно.
Доставчикът трябва да включи в своето уведомление до националния компетентен орган информацията, посочена в приложение I.
Счита се, че е открито нарушение на сигурността на лични данни, когато доставчикът е получил достатъчно информация, че е имало произшествие, свързано със сигурността, довело до компрометиране на лични данни, за да направи той съдържателно уведомление, както се изисква съгласно настоящия регламент.
3. Когато не е налице цялата информация, посочена в приложение I, и се изисква допълнително разследване на нарушението на сигурността на лични данни, на доставчика следва да бъде разрешено да изпрати първоначалното уведомление на националния компетентен орган не по-късно от 24 часа след откриване на нарушението на сигурността на лични данни. Това първоначално уведомяване на националния компетентен орган включва информацията, посочена в раздел 1 от приложение I. Доставчикът изпраща второ уведомление на националния компетентен орган възможно най-скоро и най-късно в рамките на три дни след първоначалното уведомяване. Това второ уведомление включва информацията, посочена в раздел 2 от приложение I, и когато е необходимо, актуализира вече предоставената информация.
Когато доставчикът, въпреки разследванията си, не е в състояние да предостави цялата информация в тридневен срок от първоначалното уведомяване, той съобщава толкова информация, с колкото разполага за този срок, и предоставя на националния компетентен орган мотивирана обосновка за закъснялото съобщаване на останалата информация. Доставчикът съобщава останалата информация на националния компетентен орган и когато е необходимо, актуализира вече предоставената информация във възможно най-кратък срок.
4. Националният компетентен орган предоставя на всички доставчици, установени в съответната държава членка, сигурни електронни средства за съобщаване на нарушения на сигурността на лични данни и на информация относно процедурите за достъп до тях и използването им. Когато е необходимо, Комисията свиква заседания с компетентните национални органи, за да улесни прилагането на тази разпоредба.
5. Когато нарушаването на сигурността на личните данни засяга абонати или лица от държави членки, различни от тази на националния компетентен орган, на който е било съобщено нарушаване на сигурността на личните данни, националният компетентен орган информира другите съответни национални органи.
За да улесни прилагането на тази разпоредба, Комисията създава и поддържа списък на националните компетентни органи и съответните звена за контакт.
Член 3
Уведомяване на абоната или лицето
1. Когато има вероятност нарушението на сигурността на личните данни да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или отделно лице, освен уведомяването, посочено в член 2, доставчикът също така уведомява засегнатия абонат или лице.
2. Дали дадено нарушаване на сигурността на личните данни има вероятност да повлияе неблагоприятно на личните данни или неприкосновеността на личния живот на абонат или отделно лице се преценява, като се вземат предвид по-специално следните обстоятелства:
а)
естеството и съдържанието на съответните лични данни, по-специално когато данните се отнасят за финансова информация, специалните категории от данни, посочени в член 8, параграф 1 от Директива 95/46/ЕО, както и данни за местоположението, файлове със статистика за интернет връзките, история на посетените уебстраници, данни за електронната поща и списъци с повиквания, указани по позиции;
б)
вероятните последици от нарушаването на сигурността на личните данни за засегнатия абонат или лице, по специално когато нарушението може да доведе до кражба на самоличност или измама с фалшива самоличност, физическа вреда, психично разстройство, накърняване на достойнството или на репутацията; както и
в)
обстоятелствата на нарушаването на сигурността на личните данни, по-специално когато данните са били откраднати или когато доставчикът знае, че данните са в притежание на неупълномощена трета страна.
3. Уведомяването на абоната или лицето се извършва без ненужно забавяне след откриването на нарушението на сигурността на лични данни, както е определено в член 2, параграф 2, трета алинея. То не зависи от уведомяването на националния компетентен орган за нарушаване на сигурността на лични данни, посочено в член 2.
4. Доставчикът трябва да включи в своето съобщение до абоната или лицето информацията, посочена в приложение II. Уведомяването на абоната или лицето се извършва на ясен и лесноразбираем език. Доставчикът не трябва да използва уведомяването като възможност за популяризиране или реклама на нови или допълнителни услуги.
5. При изключителни обстоятелства, когато уведомяването на абоната или лицето може да изложи на риск правилното разследване на нарушението на сигурността на лични данни, на доставчика се разрешава, след като е получил съгласие от страна на националния компетентен орган, да забави уведомяването на абоната или лицето, докато компетентният национален орган счете, че е възможно да уведоми за нарушаването на сигурността на лични данни в съответствие с настоящия член.
6. Доставчикът уведомява засегнатия абонат или лице за нарушаването на сигурността на личните данни чрез средства за комуникация, гарантиращи незабавното получаване на информация и чиято сигурност е защитена по подходящ начин в съответствие със съвременното техническо ниво. Информацията за нарушението трябва да бъде съсредоточена върху нарушението, а не да бъде свързана с информация по друга тема.
7. Когато доставчикът, който има преки договорни отношения с крайния потребител, независимо от положените целесъобразни усилия не е в състояние в рамките на срока, посочен в параграф 3, да определи всички лица, които има вероятност да са засегнати по неблагоприятен начин от нарушението на сигурността на лични данни, той може да уведоми въпросните лица посредством обявления в основните национални или регионални медии в съответните държави членки в рамките на посочения срок. Тези обявления следва да съдържат информацията, посочена в приложение II, и когато е необходимо - в сбита форма. В такъв случай доставчикът трябва да продължи да полага всички целесъобразни усилия да определи посочените лица и да им съобщи информацията, посочена в приложение II, във възможно най-кратък срок.
Член 4
Технически мерки за защита
1. Чрез дерогация от член 3, параграф 1 не се изисква уведомяване на засегнат абонат или отделно засегнато лице за нарушение на сигурността на лични данни, ако доставчикът е доказал в удовлетворителна степен пред националния компетентен орган, че е взел подходящи технически мерки за защита и че тези мерки са приложени за данните, засегнати от нарушаването на сигурността. Такива технически мерки за защита трябва да правят данните неразбираеми за всяко лице, което не е упълномощено за достъп до тях.
2. Данните се разглеждат като неразбираеми, ако:
а)
са сигурно шифровани със стандартизиран алгоритъм, като ключът, използван за дешифриране на данните, не е бил разкрит при нарушение на сигурността, и ключът, използван за дешифриране на данните, е генериран така, че да не може да бъде открит с наличните технически средства от което и да било лице, което не е упълномощено за достъп до ключа; или
б)
са заменени с тяхната хеширана стойност, изчислена със стандартизирана шифроваща хеш-функция с ключ, като ключът, използван за хеширане на данните, не е бил разкрит при нарушение на сигурността, и ключът, използван за хеширане на данните, е генериран така, че да не може да бъде открит с наличните технически средства от което и да било лице, което не е упълномощено за достъп до ключа.
3. В съответствие с текущите практики, след консултация с компетентните национални органи посредством Работната група по член 29, с Европейската агенция за мрежова и информационна сигурност и с Европейския надзорен орган по защита на данните, Комисията може да публикува ориентировъчен списък с подходящи технически мерки за защита, споменати в параграф 1.
Член 5
Използване на друг доставчик
Когато се използва друг доставчик за доставянето на част от електронната съобщителна услуга без преки договорни отношения с абонатите, в случай на нарушение, свързано с личните данни, този друг доставчик незабавно уведомява доставчика, който го е ангажирал.
Член 6
Докладване и преразглеждане
В рамките на три години от влизането в сила на настоящия регламент Комисията следва да представи доклад за прилагането на настоящия регламент, неговата ефективност и въздействието му върху доставчиците, абонатите и физическите лица. Въз основа на този доклад Комисията преразглежда настоящия регламент.
Член 7
Влизане в сила
Настоящият регламент влиза в сила на 25 август 2013 г.
Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави членки.
Съставено в Брюксел на 24 юни 2013 година.
UREDBA KOMISIJE (EU) št. 611/2013
z dne 24. junija 2013
o ukrepih, ki veljajo za obveščanje o kršitvi varnosti osebnih podatkov v skladu z Direktivo 2002/58/ES Evropskega parlamenta in Sveta o zasebnosti in elektronskih komunikacijah
EVROPSKA KOMISIJA JE -
ob upoštevanju Pogodbe o delovanju Evropske unije,
ob upoštevanju Direktive 2002/58/ES Evropskega parlamenta in Sveta z dne 12. julija 2002 o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (Direktiva o zasebnosti in elektronskih komunikacijah) (1) ter zlasti člena 4(5) Direktive,
po posvetovanju z Evropsko agencijo za varnost omrežij in informacij (ENISA),
po posvetovanju z Delovno skupino za varstvo posameznikov pri obdelavi osebnih podatkov iz člena 29 Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (2) (v nadaljnjem besedilu: delovna skupina iz člena 29),
po posvetovanju z Evropskim nadzornikom za varstvo podatkov (ENVP),
ob upoštevanju naslednjega:
(1)
Direktiva 2002/58/ES določa uskladitev nacionalnih določb držav članic, ki je potrebna za zagotovitev enakovredne ravni varstva temeljnih pravic in svoboščin ter zlasti pravice do zasebnosti in zaupnosti v zvezi z obdelavo osebnih podatkov na področju elektronskih komunikacij in za zagotovitev prostega pretoka takih podatkov ter elektronske komunikacijske opreme in storitev v Uniji.
(2)
Ponudniki javno razpoložljivih elektronskih komunikacijskih storitev morajo v skladu s členom 4 Direktive 2002/58/ES obvestiti pristojne nacionalne organe ter v nekaterih primerih tudi zadevne naročnike in posameznike o kršitvah varnosti osebnih podatkov. Kršitve varnosti osebnih podatkov so v členu 2(i) Direktive 2002/58/ES opredeljene kot kršitve varnosti, ki povzročijo nenamerno ali nezakonito uničenje, izgubo, spremembo, nepooblaščeno razkritje ali dostop do osebnih podatkov, ki so poslani, shranjeni ali kako drugače obdelani v zvezi z zagotavljanjem javno razpoložljivih elektronskih komunikacijskih storitev v Uniji.
(3)
Komisija je na podlagi člena 4(5) Direktive 2002/58/ES pooblaščena za sprejetje tehničnih izvedbenih ukrepov v zvezi z okoliščinami, predpisano obliko in postopki, ki se uporabljajo za zahteve glede informacij in obvestil iz navedenega člena, da se zagotovi doslednost pri izvajanju ukrepov iz člena 4(2), (3) in (4) navedene direktive.
(4)
Različne zahteve držav članic na tem področju lahko povzročijo pravno negotovost, bolj zapletene in dolgotrajne postopke ter visoke upravne stroške ponudnikov, ki poslujejo v več državah članicah. Zato Komisija meni, da je treba sprejeti take tehnične izvedbene ukrepe.
(5)
Področje uporabe te uredbe je omejeno na obveščanje o kršitvi varnosti osebnih podatkov, zato ne določa tehničnih izvedbenih ukrepov glede člena 4(2) Direktive 2002/58/ES v zvezi z obveščanjem naročnikov v primeru posebnega tveganja za kršitev varnosti omrežja.
(6)
Iz prvega pododstavka člena 4(3) Direktive 2002/58/ES sledi, da bi ponudniki morali pristojni nacionalni organ obvestiti o vseh kršitvah varnosti osebnih podatkov. Zato ponudnik ne bi smel prosto presojati o tem, ali bo pristojnemu nacionalnemu organu poslal obvestilo ali ne. Vendar pa to zadevnemu pristojnemu nacionalnemu organu ne sme preprečiti prednostne obravnave določenih kršitev tako, kot je po njegovem mnenju skladno z zakonodajo, ki se uporablja, in sprejemanja ukrepov, potrebnih za preprečitev preobsežnega ali nezadostnega poročanja o kršitvah varnosti osebnih podatkov.
(7)
Primerno je zagotoviti sistem za obveščanje pristojnega nacionalnega organa o kršitvah varnosti osebnih podatkov, ki bo ob izpolnjevanju določenih pogojev sestavljen iz različnih faz, od katerih bo vsaka imela določene časovne omejitve. Namen tega sistema je zagotoviti karseda hitro in podrobno obveščanje pristojnega nacionalnega organa, pri čemer pa se ne bo oviralo ponudnikovih prizadevanj za preiskavo kršitve in sprejetje ukrepov, potrebnih za omejitev kršitve ter odpravo njenih posledic.
(8)
Samo sum kršitve varnosti osebnih podatkov ali samo odkritje incidenta brez zadostnih razpoložljivih informacij, ne glede na to, ali si je ponudnik za to prizadeval po svojih najboljših močeh, ne zadostujeta, da bi se za namene te uredbe štelo, da je bila odkrita kršitev varnosti osebnih podatkov. V zvezi s tem je treba paziti zlasti na razpoložljivost informacij iz Priloge I.
(9)
Zadevni pristojni nacionalni organi bi v okviru uporabe te uredbe morali med seboj sodelovati, kadar bi šlo za kršitve varnosti osebnih podatkov, ki imajo čezmejne razsežnosti.
(10)
V tej uredbi ni dodatnih specifikacij v zvezi z evidenco kršitev varnosti osebnih podatkov, ki jo morajo voditi ponudniki, saj njeno vsebino že dovolj natančno določa člen 4 Direktive 2002/58/ES. Kljub temu pa se ponudniki za določitev oblike evidence lahko sklicujejo na to uredbo.
(11)
Vsi pristojni nacionalni organi bi morali zagotoviti varno elektronsko sredstvo, prek katerega bi lahko ponudniki pošiljali obvestila o kršitvah varnosti osebnih podatkov v skupni obliki zapisa na podlagi standarda, kot je XML, pri čemer bi taka obvestila vključevala informacije iz Priloge I v ustreznih jezikih, da se vsem ponudnikom v Uniji omogoči uporaba podobnega postopka obveščanja, ne glede na njihovo lokacijo ali kraj kršitve varnosti osebnih podatkov. V zvezi s tem bi Komisija morala olajšati izvajanje varnih elektronskih sredstev tako, da bi po potrebi sklicala sestanke s pristojnimi nacionalnimi organi.
(12)
Pri oceni verjetnosti, da bo kršitev varnosti osebnih podatkov negativno vplivala na osebne podatke ali zasebnost naročnika ali posameznika, bi bilo treba upoštevati zlasti naravo in vsebino zadevnih osebnih podatkov, zlasti kadar ti podatki zadevajo finančne informacije, kot so podatki o kreditnih karticah in podatki o bančnem računu, posebne vrste podatkov iz člena 8(1) Direktive 95/46/ES, ter nekatere podatke, ki so izrecno povezani z zagotavljanjem storitev na področju telefonije ali interneta, tj. podatke z elektronske pošte, podatke o lokaciji, internetne dnevniške datoteke, zgodovino brskanja po spletu in razčlenjene sezname klicev.
(13)
Ponudniku bi bilo treba v posebnih okoliščinah dovoliti, da preloži obvestilo naročniku ali posamezniku, kadar bi lahko obvestilo naročniku ali posamezniku ogrozilo ustrezno preiskavo o kršitvi varnosti osebnih podatkov. Izjemne okoliščine v zvezi s tem so lahko med drugim kriminalne preiskave in druge kršitve varnosti osebnih podatkov, ki ne štejejo za resne zločine, vendar bi bilo primerno preložiti obvestilo o njih. V vsakem primeru bi moral pristojni nacionalni organ za vsak posamezen primer ob upoštevanju okoliščin oceniti, ali se strinja s preložitvijo obvestila ali ga zahteva.
(14)
Ponudniki bi zaradi neposrednega pogodbenega razmerja s svojimi naročniki morali imeti njihove kontaktne podatke, vendar ni nujno, da so te informacije na voljo za druge posameznike, na katere je negativno vplivala kršitev varnosti osebnih podatkov. V takem primeru bi bilo treba ponudniku dovoliti, da te posameznike obvesti najprej prek oglasov v pomembnih nacionalnih ali regionalnih sredstvih javnega obveščanja, kot so časopisi, in jim nato čim prej pošlje ločeno obvestilo, kot je določeno v tej uredbi. Ponudnik torej ni zavezan k obveščanju prek medijev, temveč se mu to dovoli, če tako želi, kadar je še v procesu ugotavljanja, na katere posameznike je kršitev vplivala.
(15)
Informacije o kršitvi bi se morale nanašati na kršitev in ne bi smele biti povezane z informacijami o drugi temi. Navedba informacij o kršitvi varnosti osebnih podatkov na običajnem računu se na primer ne bi smela obravnavati kot ustrezen način obveščanja o kršitvi varnosti osebnih podatkov.
(16)
Ta uredba ne določa posebnih ukrepov za tehnološko zaščito, na podlagi katerih je mogoče odstopanje od obveznega obveščanja naročnikov ali posameznikov o kršitvah varnosti osebnih podatkov, ker se lahko kršitve sčasoma spremenijo zaradi tehnološkega napredka. Vendar bi bilo treba Komisiji v skladu s sedanjo prakso omogočiti objavo okvirnega seznama takih posebnih ukrepov za tehnološko zaščito.
(17)
Samo šifriranje ali zgoščevanje ne bi smelo biti zadostna podlaga za utemeljene trditve ponudnikov, da so na splošno izpolnili obveznost na področju splošne varnosti iz člena 17 Direktive 95/46/ES. Ponudniki bi morali v zvezi s tem izvajati tudi ustrezne organizacijske in tehnične ukrepe za preprečevanje, odkrivanje in blokiranje kršitev varnosti osebnih podatkov. Ponudniki bi morali upoštevati vsa ostala tveganja, ki lahko nastanejo po izvedbi varnostnih ukrepov, da se ugotovijo področja, na katerih bi lahko prišlo do kršitve varnosti osebnih podatkov.
(18)
Kadar ponudnik za opravljanje dela storitve vključi drugega ponudnika, na primer v zvezi s funkcijami obračunavanja ali upravljanja, se od navedenega drugega ponudnika, ki ni v neposrednem pogodbenem razmerju s končnim uporabnikom, ne bi smelo zahtevati izdajanje obvestil v primeru kršitve varnosti osebnih podatkov. Namesto tega bi morala opozoriti in obvestiti ponudnika, s katerim je v neposrednem pogodbenem razmerju. To bi moralo veljati tudi v kontekstu zagotavljanja storitev elektronskih komunikacij na veleprodajni ravni, kadar ponudnik na veleprodajni ravni običajno ni v neposrednem pogodbenem razmerju s končnim uporabnikom.
(19)
Direktiva 95/46/ES določa splošni okvir za varnost osebnih podatkov v Evropski uniji. Komisija je predstavila predlog za uredbo Evropskega parlamenta in Sveta, ki bi nadomestila Direktivo 95/46/ES (uredba o varstvu podatkov). Predlagana uredba o varstvu podatkov bi za upravljavce podatkov uvedla zahtevo obveščanja o kršitvah varnosti osebnih podatkov, in sicer na podlagi člena 4(3) Direktive 2002/58/ES. Trenutna uredba Komisije je v celoti skladna s tem predlaganim ukrepom.
(20)
Predlagana uredba o varstvu podatkov v Direktivo 2002/58/ES vnaša tudi omejeno število tehničnih prilagoditev, ki upoštevajo preoblikovanje Direktive 95/46/ES v uredbo. Komisija bo preučila materialne pravne posledice, ki jih bo nova uredba povzročila v Direktivi 2002/58/ES.
(21)
Uporaba te uredbe bi morala biti pregledana tri leta po začetku veljave, njeno vsebino pa bi bilo treba preučiti v luči takrat veljavnega pravnega okvira, vključno s predlagano uredbo o varstvu podatkov. Pregled te uredbe bi moral biti, kjer bo to mogoče, povezan z vsemi prihodnjimi pregledi Direktive 2002/58/ES.
(22)
Uporabo te uredbe se lahko med drugim oceni na podlagi katerih koli statističnih podatkov pristojnih nacionalnih organov o kršitvah varnosti osebnih podatkov, o katerih so bili ti organi obveščeni. Ti statistični podatki lahko zajemajo na primer informacije o številu kršitev varnosti osebnih podatkov, o katerih je bil obveščen pristojni nacionalni organ, številu kršitev varnosti osebnih podatkov, o katerih je bil obveščen naročnik ali posameznik, času, potrebnem za odpravo kršitve varnosti osebnih podatkov, ter o tem, ali so bili sprejeti ukrepi za tehnološko zaščito. Ti statistični podatki naj bi Komisiji in državam članicam zagotovili dosledne in primerljive podatke, pri čemer pa se ne sme razkriti niti identitete ponudnika, ki obvešča, niti identitete zadevnih naročnikov ali posameznikov. Komisija lahko v ta namen tudi organizira redna srečanja s pristojnimi nacionalnimi organi in drugimi zainteresiranimi stranmi.
(23)
Ukrepi, predvideni s to uredbo, so v skladu z mnenjem Odbora za komunikacije -
SPREJELA NASLEDNJO UREDBO:
Člen 1
Področje uporabe
Ta uredba se uporablja za obveščanje ponudnikov javno razpoložljivih elektronskih komunikacijskih storitev (v nadaljnjem besedilu: ponudnik) o kršitvah varnosti osebnih podatkov.
Člen 2
Obvestilo pristojnemu nacionalnemu organu
1. Ponudnik obvesti pristojni nacionalni organ o vseh kršitvah varnosti osebnih podatkov.
2. Kadar je to mogoče, ponudnik obvesti pristojni nacionalni organ o kršitvi najpozneje 24 ur po odkritju kršitve varnosti osebnih podatkov.
Ponudnik v obvestilo pristojnemu nacionalnemu organu vključi informacije iz Priloge I.
Kršitev varnosti osebnih podatkov bi bilo treba obravnavati kot kršitev, kadar je ponudnik zadostno osveščen o varnostnem incidentu, ki je privedel do ogrožanja osebnih podatkov, da lahko o njem smiselno poroča, kot se zahteva v skladu s to uredbo.
3. Ponudniku se dovoli, da pošlje prvo obvestilo pristojnemu nacionalnemu organu najpozneje 24 ur po odkritju kršitve varnosti osebnih podatkov, kadar niso na voljo vse informacije iz Priloge I in se zahteva nadaljnja preiskava kršitve varnosti osebnih podatkov. Ponudnik v to prvo obvestilo pristojnemu nacionalnemu organu vključi informacije iz oddelka 1 Priloge I. Ponudnik pošlje drugo obvestilo pristojnemu organu v najkrajšem možnem času oziroma najpozneje tri dni po prvem obvestilu. Ponudnik v to drugo obvestilo vključi informacije iz oddelka 2 Priloge I in po potrebi posodobi že navedene informacije.
Kadar ponudnik kljub preiskavam ne more zagotoviti vseh informacij v treh dneh po prvem obvestilu, ta ponudnik pristojni organ obvesti o vseh informacijah, ki jih ima na voljo v tem časovnem okviru, in pristojnemu organu predloži utemeljeno obrazložitev o razlogih za pozno obveščanje o preostalih informacijah. Ponudnik pristojni nacionalni organ čim prej obvesti o preostalih informacijah in po potrebi posodobi že navedene informacije.
4. Pristojni nacionalni organ zagotovi vsem ponudnikom s sedežem v zadevni državi članici varno elektronsko sredstvo za obveščanje o kršitvah varnosti osebnih podatkov ter informacije o postopkih za dostop do tega sredstva za obveščanje in njegovo uporabo. Komisija po potrebi skliče srečanja s pristojnimi nacionalnimi organi, da se olajša uporaba te določbe.
5. Kadar kršitev varnosti osebnih podatkov zadeva naročnike ali posameznike iz držav članic, ki niso država pristojnega organa, ki je bil obveščen o kršitvi varnosti osebnih podatkov, pristojni nacionalni organ obvesti druge zadevne nacionalne organe.
Zaradi lažje uporabe te določbe Komisija pripravi in vzdržuje seznam pristojnih nacionalnih organov in ustreznih kontaktnih točk.
Člen 3
Obvestilo naročniku ali posamezniku
1. Kadar je verjetno, da bo kršitev varnosti osebnih podatkov negativno vplivala na osebne podatke ali zasebnost naročnika ali posameznika, ponudnik ne pošlje le obvestila iz člena 2, ampak o kršitvi obvesti tudi naročnika ali posameznika.
2. Verjetnost, da bo kršitev varnosti osebnih podatkov negativno vplivala na osebne podatke ali zasebnost naročnika ali posameznika, se oceni ob upoštevanju zlasti naslednjih okoliščin:
(a)
narava in vsebina zadevnih osebnih podatkov, zlasti kadar podatki zadevajo finančne informacije, posebne vrste podatkov iz člena 8(1) Direktive 95/46/ES in podatke o lokaciji, internetne dnevniške datoteke, zgodovino brskanja po spletu, podatke z elektronske pošte in razčlenjene sezname klicev;
(b)
verjetne posledice kršitve osebnih podatkov za zadevnega naročnika ali posameznika, zlasti kadar bi lahko zaradi kršitve prišlo do kraje ali zlorabe identitete, fizičnih poškodb, psihične stiske, poniževanja ali škodovanja ugledu, in
(c)
okoliščine kršitve osebnih podatkov, zlasti kadar so podatki ukradeni ali ponudnik ve, da s podatki razpolaga nepooblaščena tretja oseba.
3. Naročnik ali posameznik je o odkritju kršitve varnosti osebnih podatkov obveščen brez nepotrebnega odlašanja, kot je določeno v tretjem pododstavku člena 2(2). To ni odvisno od uradnega obvestila pristojnim nacionalnim organom o kršitvi varnosti osebnih podatkov iz člena 2.
4. Ponudnik v obvestilo naročniku ali posamezniku vključi informacije iz Priloge II. Obvestilo naročniku ali posamezniku je napisano v jasnem in razumljivem jeziku. Ponudnik obvestila ne sme izrabiti kot priložnost za promocijo ali oglaševanje novih ali dodatnih storitev.
5. V izjemnih okoliščinah se ponudniku, če bi lahko obvestilo, poslano naročniku ali posamezniku, ogrozilo ustrezno preiskavo o kršitvi varnosti osebnih podatkov, dovoli, da po pridobitvi soglasja pristojnega nacionalnega organa obvestilo naročniku ali posamezniku preloži za toliko časa, dokler pristojni nacionalni organ ne oceni, da je o kršitvi varnosti osebnih podatkov mogoče obvestiti v skladu s tem členom.
6. Ponudnik naročnika ali posameznika o kršitvi varnosti osebnih podatkov obvesti prek komunikacijskih sredstev, ki zagotavljajo takojšen prejem informacij in ustrezno varnost na podlagi najsodobnejše tehnologije. Informacije o kršitvi se nanašajo na kršitev in niso povezane z informacijami o drugi temi.
7. Če ponudnik, ki je v neposrednem pogodbenem razmerju s končnim uporabnikom, v časovnem okviru iz odstavka 3 kljub ustreznim prizadevanjem ne more identificirati vseh posameznikov, na katere bi lahko kršitev varnosti osebnih podatkov negativno vplivala, lahko ponudnik te posameznike v navedenem časovnem okviru obvesti prek oglasov v pomembnejših nacionalnih ali regionalnih sredstvih javnega obveščanja v zadevnih državah članicah. Ti oglasi vključujejo informacije iz Priloge II, ki so po potrebi v zgoščeni obliki. V takem primeru si ponudnik še naprej ustrezno prizadeva za identifikacijo teh posameznikov in čimprejšnje obveščanje teh posameznikov o informacijah iz Priloge II.
Člen 4
Ukrepi za tehnološko zaščito
1. Z odstopanjem od člena 3(1) zadevnega naročnika ali posameznika ni treba obvestiti o kršitvi varnosti osebnih podatkov, če je ponudnik pristojnemu organu zadovoljivo dokazal, da je izvedel ustrezne ukrepe za tehnološko zaščito in da je te ukrepe izvedel v zvezi s podatki, ki jih zadeva kršitev varnosti. Zaradi takih ukrepov za tehnološko zaščito postanejo podatki nerazumljivi za vse osebe, ki nimajo dovoljenja za dostop do njih.
2. Podatki se obravnavajo kot nerazumljivi, če:
(a)
so varno šifrirani s standardiziranim algoritmom, če ključ za dešifriranje podatkov ni bil ogrožen zaradi katere koli kršitve varnosti in če je bil ključ za dešifriranje podatkov ustvarjen tako, da ga s tehnološkimi sredstvi, ki so na voljo, ne more ugotoviti nobena oseba, ki nima dovoljenja za dostop do ključa, ali
(b)
so bili nadomeščeni z zgoščeno vrednostjo, izračunano s standardizirano zgoščevalno funkcijo z uporabo šifrirnega ključa, če ključ za zgoščevanje podatkov ni bil ogrožen zaradi katere koli kršitve varnosti in če je bil ključ za zgoščevanje podatkov ustvarjen tako, da ga s tehnološkimi sredstvi, ki so na voljo, ne more ugotoviti nobena oseba, ki nima dovoljenja za dostop do ključa.
3. Komisija lahko po posvetovanju s pristojnim nacionalnim organom prek delovne skupine iz člena 29, Evropsko agencijo za varnost omrežij in informacij ter Evropskim nadzornikom za varstvo podatkov v skladu s sedanjo prakso objavi okvirni seznam ustreznih ukrepov za tehnološko zaščito iz odstavka 1.
Člen 5
Vključitev drugega ponudnika
Kadar se za opravljanje dela elektronskih komunikacijskih storitev najame drugega ponudnika, ki ni v neposrednem pogodbenem razmerju z naročniki, navedeni drugi ponudnik v primeru kršitve varnosti osebnih podatkov o tem nemudoma obvesti ponudnika, ki ga je najel.
Člen 6
Poročanje in pregled
Komisija v roku treh let po začetku veljavnosti te uredbe pripravi poročilo o uporabi te uredbe, njeni učinkovitosti ter njenem vplivu na ponudnike, naročnike in posameznike. Na podlagi ugotovitev iz navedenega poročila Komisija opravi pregled te uredbe.
Člen 7
Začetek veljavnosti
Ta uredba začne veljati 25. avgusta 2013.
Ta uredba je v celoti zavezujoča in se neposredno uporablja v vseh državah članicah.
V Bruslju, 24. junija 2013