NAŘÍZENÍ KOMISE (EU) č. 611/2013
ze dne 24. června 2013
o opatřeních vztahujících se na oznámení o narušení bezpečnosti osobních údajů podle směrnice Evropského parlamentu a Rady 2002/58/ES o soukromí a elektronických komunikacích
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (Směrnice o soukromí a elektronických komunikacích) (1), a zejména na čl. 4 odst. 5 uvedené směrnice,
po konzultaci s Evropskou agenturou pro bezpečnost sítí a informací (ENISA),
po konzultaci s pracovní skupinou pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízenou článkem 29 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (2) (dále jen „pracovní skupina zřízená podle článku 29“),
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
Směrnice 2002/58/ES harmonizuje předpisy členských států požadované pro zajištění rovnocenné úrovně ochrany základních práv a svobod, zejména práva na soukromí a zachování důvěrnosti informací, se zřetelem na zpracování osobních údajů v odvětví elektronických komunikací, a pro zajištění volného pohybu těchto údajů a elektronických komunikačních zařízení a služeb v Unii.
(2)
Podle článku 4 směrnice 2002/58/ES jsou poskytovatelé veřejně dostupných služeb elektronických komunikací povinni oznámit narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům a v některých případech také dotčeným účastníkům a jednotlivcům. Narušení bezpečnosti osobních údajů je definováno v čl. 2 písm. i) směrnice 2002/58/ES jako narušení bezpečnosti, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně či neoprávněnému vyzrazení nebo zpřístupnění osobních údajů přenášených, uchovávaných nebo jinak zpracovávaných v souvislosti s poskytováním veřejně dostupné služby elektronických komunikací v Unii.
(3)
Pro zajištění důsledného provádění opatření uvedených v čl. 4 odst. 2, 3 a 4 směrnice 2002/58/ES se v čl. 4 odst. 5 uvedeného nařízení Komise zmocňuje k přijetí technických prováděcích opatření týkajících se okolností, formátu a postupů, jež se vztahují na požadavky informování a oznamování podle uvedeného článku.
(4)
Rozdílné požadavky členských států v tomto ohledu mohou vést k právní nejistotě, složitějším a zdlouhavějším postupům a značným administrativním nákladům poskytovatelů, kteří působí v přeshraničním styku. Komise proto zastává názor, že je nutné přijmout tato technická prováděcí opatření.
(5)
Toto nařízení se omezuje na oznámení o narušení bezpečnosti osobních údajů, a proto nestanoví technická prováděcí opatření týkající se čl. 4 odst. 2 směrnice 2002/58/ES o informování účastníků v případě zvláštního rizika narušení bezpečnosti sítě.
(6)
Z čl. 4 odst. 3 prvního pododstavce směrnice 2002/58/ES vyplývá, že poskytovatelé by měli oznámit příslušnému vnitrostátnímu orgánu všechny případy narušení bezpečnosti osobních údajů. Rozhodnutí, zda je či není třeba oznámit narušení příslušnému vnitrostátnímu orgánu, by proto nemělo být ponecháno na vůli poskytovatele. To by však nemělo bránit příslušnému vnitrostátnímu orgánu, aby v souladu s platnými právními předpisy nepřistoupil k vyšetřování některých narušení přednostně podle jejich důležitosti a nepodnikl kroky nezbytné k tomu, aby se zabránilo přílišnému nebo nedostatečnému hlášení o narušení bezpečnosti osobních údajů.
(7)
Je třeba stanovit systém pro oznamování narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu, který by za splnění některých podmínek sestával z různých etap, pro něž by platily konkrétní lhůty. Systém by měl zajistit, aby příslušný vnitrostátní orgán byl informován co nejdříve a co nejúplněji, aniž by se tím neodůvodněně bránilo poskytovateli ve snaze narušení vyšetřit a přijmout nezbytná opatření k jeho omezení a nápravě důsledků.
(8)
Pouhé podezření, že došlo k narušení bezpečnosti osobních údajů, ani pouhé zjištění události bez dostatečných informací, které se ani přes největší úsilí nepodařilo poskytovateli získat, nepostačuje pro účely tohoto nařízení k tomu, aby bylo možné konstatovat, že došlo k odhalení narušení bezpečnosti osobních údajů. Zvláštní ohled je v této souvislosti třeba věnovat dostupnosti informací uvedených v příloze I.
(9)
V souvislosti s uplatňováním tohoto nařízení by v případech narušení bezpečnosti osobních údajů s přeshraničním rozměrem měly příslušné vnitrostátní orgány mezi sebou spolupracovat.
(10)
Toto nařízení nestanoví žádné upřesnění přehledu narušení bezpečnosti osobních údajů, které mají provozovatelé vést, protože v článku 4 směrnice 2002/58/ES je jeho obsah stanoven vyčerpávajícím způsobem. Poskytovatelé však při určování formátu přehledu mohou použít odkaz na toto nařízení.
(11)
Všechny příslušné vnitrostátní orgány by měly poskytovatelům zpřístupnit bezpečné elektronické prostředky umožňující oznamovat narušení bezpečnosti osobních údajů ve společném formátu, a to na základě normy, jako je např. XML, který bude obsahovat údaje stanovené v příloze I v příslušných jazycích tak, aby všichni poskytovatelé v rámci Unie mohli používat obdobný postup oznamování bez ohledu na to, kde se nacházejí nebo kde došlo k narušení bezpečnosti osobních údajů. V této souvislosti by Komise podle potřeby měla usnadnit zavádění bezpečných elektronických prostředků pořádáním setkání s příslušnými vnitrostátními orgány.
(12)
Při posuzování, zda by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno vzít v úvahu zejména povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, jako jsou např. údaje o kreditní kartě nebo bankovním účtu, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES a některé údaje, které se konkrétně týkají poskytování telefonních a internetových služeb, tj. údaje o elektronické poště, lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek a podrobné rozpisy uskutečněných volání.
(13)
Za výjimečných okolností, jestliže by oznámení účastníkovi nebo jednotlivci mohlo ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, by poskytovatel měl mít možnost oznámení účastníkovi nebo jednotlivci pozdržet. V tomto ohledu mohou výjimečné okolnosti zahrnovat trestní vyšetřování, jakož i další narušení bezpečnosti osobních údajů, která nelze považovat za závažnou trestnou činnost, kvůli nimž však může být vhodné oznámení odložit. Příslušný vnitrostátní orgán by za všech okolností měl v každém jednotlivém případě a s ohledem na okolnosti posoudit, zda se oznámení odloží, nebo zda bude vyžadováno.
(14)
Zatímco poskytovatelé by díky přímému smluvnímu vztahu měli mít kontaktní údaje svých účastníků, o ostatních jednotlivcích nepříznivě ovlivněných narušením bezpečnosti osobních údajů tyto informace mít nemusí. V takovém případě by poskytovatel měl mít možnost nejprve tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích, např. v novinách, a následně jim tuto skutečnost co nejdříve oznámit jednotlivě, jak je stanoveno v tomto nařízení. Poskytovatel jako takový tedy není povinen zveřejnit informace v médiích, ale je oprávněn postupovat případně tímto způsobem, pokud stále ještě probíhá zjišťování totožnosti ovlivněných jednotlivců.
(15)
Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi. Za přiměřený prostředek oznámení o narušení bezpečnosti osobních údajů by například nemělo být považováno uvedení informace o narušení bezpečnosti osobních údajů v běžné faktuře.
(16)
Toto nařízení nestanoví žádná zvláštní technická ochranná opatření, která odůvodňují odchylku od povinnosti oznamovat narušení bezpečnosti osobních údajů účastníkům nebo jednotlivcům, neboť ta se mohou v důsledku technologického pokroku v průběhu času měnit. Komise by však měla mít možnost zveřejnit orientační seznam těchto zvláštních technických ochranných opatření v souladu s platnými postupy.
(17)
Kódování nebo hašování nelze samo o sobě považovat za dostatečný způsob ochrany, který by poskytovatelům obecně umožňoval tvrdit, že splnili všechny všeobecné bezpečnostní povinnosti stanovené v článku 17 směrnice 95/46/ES. V tomto ohledu by poskytovatelé měli také provádět vhodná organizační a technická opatření na prevenci, odhalování a zamezení narušení bezpečnosti osobních údajů. Poskytovatelé by měli zvážit veškerá rizika, která mohou přetrvávat po provedení kontrol, aby bylo možné rozpoznat, kde může dojít k narušení bezpečnosti osobních údajů.
(18)
Pokud provozovatel k poskytování služeb částečně používá jiného poskytovatele, např. pro účely účtování nebo řízení, tento jiný poskytovatel, který není v přímém smluvním vztahu s koncovým uživatelem, by neměl mít povinnost v případě narušení bezpečnosti osobních údajů podávat oznámení. Místo toho by měl uvědomit a informovat poskytovatele, s nímž má přímý smluvní vztah. To by mělo platit i v souvislosti s velkoobchodním poskytováním služeb elektronických komunikací, kde obvykle velkoobchodní poskytovatel není v přímém smluvním vztahu s koncovým uživatelem.
(19)
Směrnice 95/46/ES vymezuje obecný rámec pro ochranu osobních údajů v Evropské unii. Komise předložila návrh nařízení Evropského parlamentu a Rady (dále jako „nařízení o ochraně údajů“), které by mělo směrnici 95/46/ES nahradit. Navrhované nařízení o ochraně údajů by na základě čl. 4 odst. 3 směrnice 2002/58/ES zavedlo pro všechny správce povinnost oznamovat narušení bezpečnosti osobních údajů. Toto nařízení Komise je s tímto opatřením plně v souladu.
(20)
Navrhované nařízení o ochraně údajů v omezeném rozsahu rovněž provádí technické úpravy ve směrnici 2002/58/ES s ohledem na změnu směrnice 95/46/ES na nařízení. Podstatné právní důsledky nového nařízení pro směrnici 2002/58/ES budou předmětem přezkumu, který provede Komise.
(21)
Uplatňování tohoto nařízení by mělo být přezkoumáno tři roky po jeho vstupu v platnost a jeho obsah by měl být přezkoumán s ohledem na právní rámec, který bude v platnosti v uvedené době, včetně navrhovaného nařízení o ochraně údajů. Přezkum tohoto nařízení by měl v budoucnosti být, bude-li to možné, spojen s každým přezkumem směrnice 2002/58/ES.
(22)
Uplatňování tohoto nařízení může být posuzováno mimo jiné na základě statistických údajů, které příslušné vnitrostátní orgány vedou o narušeních bezpečnosti osobních údajů, o nichž byly informovány. Tyto statistiky mohou zahrnovat např. informace o počtu narušení bezpečnosti osobních údajů oznámených příslušnému vnitrostátnímu orgánu, počtu případů narušení bezpečnosti osobních údajů oznámených účastníkovi nebo jednotlivci, době potřebné na vyřešení narušení bezpečnosti osobních údajů, a informace o tom, zda byla přijata technická ochranná opatření. Tyto statistiky by měly poskytovat Komisi a členským státům konzistentní a srovnatelné statistické údaje a neměly by odhalovat totožnost oznamujícího poskytovatele ani dotčených účastníků nebo jednotlivců. Komise může za tímto účelem rovněž pořádat pravidelná setkání s příslušnými vnitrostátními orgány a jinými zúčastněnými stranami.
(23)
Opatření tohoto nařízení jsou v souladu se stanoviskem Komunikačního výboru,
PŘIJALA TOTO NAŘÍZENÍ:
Článek 1
Oblast působnosti
Toto nařízení se vztahuje na oznámení poskytovatelů veřejně dostupných služeb elektronických komunikací (dále jen „poskytovatel“) o narušení bezpečnosti osobních údajů.
Článek 2
Oznámení příslušnému vnitrostátnímu orgánu
1. Poskytovatel oznámí všechna narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu.
2. Poskytovatel oznámí narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu nejpozději 24 hodin po zjištění narušení bezpečnosti osobních údajů, pokud je to proveditelné.
Poskytovatel ve svém oznámení příslušnému vnitrostátnímu orgánu uvede informace stanovené v příloze I.
Za zjištění narušení bezpečnosti osobních údajů se považuje situace, kdy poskytovatel získal dostatečné informace o tom, že došlo k bezpečnostní události, která měla za následek narušení osobních údajů, aby podal opodstatněné oznámení podle tohoto nařízení.
3. Jestliže nejsou k dispozici všechny informace stanovené v příloze I a je nutné další vyšetřování narušení bezpečnosti osobních údajů, může poskytovatel podat první oznámení příslušnému vnitrostátnímu orgánu nejpozději do 24 hodin po zjištění narušení bezpečnosti osobních údajů. Toto první oznámení příslušnému vnitrostátnímu orgánu musí obsahovat informace stanovené v příloze I oddíle 1. Poskytovatel je povinen podat příslušnému vnitrostátnímu orgánu co nejdříve, nejpozději do tří dnů po prvním oznámení, druhé oznámení. Toto druhé oznámení obsahuje informace stanovené v příloze I oddíle 2 a v případě potřeby aktualizuje již poskytnuté údaje.
Jestliže poskytovatel ani po vyšetřování nemůže ve lhůtě tří dnů od prvního oznámení poskytnout všechny informace, oznámí všechny informace, které má v této lhůtě k dispozici a předloží příslušnému vnitrostátnímu orgánu odůvodnění, proč musí být zbývající informace oznámeny později. Poskytovatel co možná nejdříve oznámí zbývající informace příslušnému vnitrostátnímu orgánu a v případě potřeby aktualizuje již poskytnuté údaje.
4. Příslušný vnitrostátní orgán poskytne všem poskytovatelům usazeným v dotčeném členském státě bezpečný elektronický prostředek pro oznamování narušení bezpečnosti osobních údajů a informace o postupech přístupu k němu a jeho používání. V zájmu snazšího uplatňování tohoto ustanovení Komise podle potřeby pořádá pravidelná setkání s příslušnými vnitrostátními orgány.
5. V případě, že se narušení bezpečnosti osobních údajů týká účastníků nebo jednotlivců z jiných členských států, než je členský stát příslušného vnitrostátního orgánu, jemuž bylo narušení bezpečnosti osobních údajů oznámeno, příslušný vnitrostátní orgán informuje orgány ostatních dotčených členských států.
Pro usnadnění uplatňování tohoto ustanovení Komise vytvoří a povede seznam příslušných vnitrostátních orgánů a příslušných kontaktních míst.
Článek 3
Oznámení účastníkovi nebo jednotlivci
1. Pokud by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, musí poskytovatel kromě oznámení uvedeného v článku 2 toto porušení oznámit rovněž účastníkovi nebo jednotlivci.
2. Při posuzování, zda narušení bezpečnosti osobních údajů může mít nepříznivý vliv na osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno brát ohled zejména na tyto okolnosti:
a)
povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES, jakož i lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek, údaje týkající se elektronické pošty a podrobné údaje o uskutečněných voláních;
b)
pravděpodobné důsledky narušení bezpečnosti osobních údajů pro dotčeného účastníka nebo jednotlivce, zejména tehdy, kdy by porušení mohlo vést ke krádeži nebo zneužití, fyzické újmě, psychickému strádání, ponížení nebo poškození pověsti a
c)
okolnosti narušení bezpečnosti osobních údajů, zejména pokud byly údaje odcizeny nebo pokud je poskytovateli známo, že údaje jsou v držení neoprávněné třetí strany.
3. Oznámení účastníkovi nebo jednotlivci musí být učiněno bez zbytečného odkladu po zjištění narušení bezpečnosti osobních údajů v souladu s čl. 2 odst. 2 třetím pododstavcem. Nesmí záviset na oznámení o narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům podle článku 2.
4. Poskytovatel ve svém oznámení účastníkovi nebo jednotlivci uvede informace stanovené v příloze II. Oznámení účastníkovi nebo jednotlivci musí být jasné a srozumitelné. Poskytovatel nesmí využít oznámení jako příležitost k propagaci nebo nabídce nových či doplňkových služeb.
5. Ve výjimečných případech, kdy oznámení účastníkovi nebo jednotlivci může ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, má poskytovatel možnost po získání souhlasu příslušného vnitrostátního orgánu oznámení účastníkovi nebo jednotlivci pozdržet, dokud příslušný vnitrostátní orgán neusoudí, že je možné oznámit narušení bezpečnosti osobních údajů podle tohoto článku.
6. Poskytovatel oznámí účastníkovi nebo jednotlivci narušení bezpečnosti osobních údajů takovým způsobem, který umožňuje rychlé předání informací a který je podle nejnovějších poznatků náležitě zabezpečen. Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi.
7. Pokud poskytovatel, který je v přímém smluvním vztahu s koncovým uživatelem, ani přes vynaložené úsilí není schopen ve lhůtě uvedené v odstavci 3 určit všechny jednotlivce, kteří by narušením bezpečnosti osobních údajů mohli být nepříznivě ovlivněni, může v uvedené lhůtě tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích v příslušných členských státech. Uvedená oznámení musí obsahovat informace stanovené v příloze II, v případě potřeby ve stručné formě. V takovém případě poskytovatel pokračuje v úsilí vedoucím k identifikaci těchto jednotlivců a co nejdříve jim oznámí informace uvedené v příloze II.
Článek 4
Technická ochranná opatření
1. Odchylně od čl. 3 odst. 1 se oznámení o narušení bezpečnosti osobních údajů dotčenému účastníkovi nebo jednotlivci nevyžaduje, pokud poskytovatel ke spokojenosti příslušného vnitrostátního orgánu prokázal, že zavedl náležitá technická ochranná opatření a že tato opatření byla na údaje, jichž se narušení bezpečnosti týká, použita. Tato technická ochranná opatření zajistí, aby údaje nebyly srozumitelné pro nikoho, kdo není k přístupu k nim oprávněn.
2. Údaje se považují za nesrozumitelné, jestliže:
a)
byly bezpečně zašifrovány normalizovaným algoritmem, klíč použitý k dešifrování údajů nebyl žádným narušením bezpečnosti ohrožen a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu, nebo
b)
byly nahrazeny svou zahašovanou hodnotou vypočítanou pomocí normalizované kryptografické hašovací funkce s klíčem, klíč použitý k hašování údajů nebyl ohrožen žádným narušením bezpečnosti a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu.
3. Komise může po konzultaci s příslušnými vnitrostátními orgány prostřednictvím pracovní skupiny zřízené podle článku 29, Evropskou agenturou pro bezpečnost sítí a informací a evropským inspektorem ochrany údajů zveřejnit orientační seznam vhodných technických ochranných opatření uvedených v odstavci 1 v souladu s platnými postupy.
Článek 5
Použití jiného poskytovatele
Jestliže je jiný poskytovatel smluvně zavázán, aby poskytl část služeb elektronických komunikací, aniž by byl v přímém smluvním vztahu s účastníky, tento další poskytovatel v případě, že došlo k narušení bezpečnosti osobních údajů, okamžitě informuje smluvního poskytovatele.
Článek 6
Podávání zpráv a přezkum
Do tří let od vstupu tohoto nařízení v platnost Komise předloží zprávu o uplatňování tohoto nařízení, jeho účinnosti a dopadu na poskytovatele, účastníky a jednotlivce. Na základě uvedené zprávy Komise toto nařízení přezkoumá.
Článek 7
Vstup v platnost
Toto nařízení vstupuje v platnost dne 25. srpna 2013.
Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.
V Bruselu dne 24. června 2013.
REGLAMENTO (UE) No 611/2013 DE LA COMISIÓN
de 24 de junio de 2013
relativo a las medidas aplicables a la notificación de casos de violación de datos personales en el marco de la Directiva 2002/58/CE del Parlamento Europeo y del Consejo sobre la privacidad y las comunicaciones electrónicas
LA COMISIÓN EUROPEA,
Visto el Tratado de Funcionamiento de la Unión Europea,
Vista la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas) (1), y, en particular, su artículo 4, apartado 5,
Previa consulta a la Agencia Europea de Seguridad de las Redes y de la Información (ENISA),
Previa consulta al Grupo de protección de las personas en lo que respecta al tratamiento de datos personales, creado por el artículo 29 de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (2) (denominado en lo sucesivo «Grupo del artículo 29»),
Previa consulta al Supervisor Europeo de Protección de Datos (SEPD),
Considerando lo siguiente:
(1)
La Directiva 2002/58/CE prevé la armonización de las disposiciones nacionales necesarias para garantizar un nivel equivalente de protección de las libertades y los derechos fundamentales y, en particular, del derecho a la intimidad y a la confidencialidad, en lo que respecta al tratamiento de los datos personales en el sector de las comunicaciones electrónicas, así como la libre circulación de tales datos y de los equipos y servicios de comunicaciones electrónicas en la Unión.
(2)
En virtud del artículo 4 de la Directiva 2002/58/CE, los proveedores de servicios de comunicaciones electrónicas disponibles para el público están obligados a notificar las violaciones de datos personales a las autoridades nacionales competentes y, en algunos casos, también a los abonados y particulares afectados. Según la definición del artículo 2, letra i), de la Directiva 2002/58/CE, se considera violación de los datos personales toda violación de la seguridad que provoque la destrucción, accidental o ilícita, la pérdida, la alteración, la revelación o el acceso no autorizados, de datos personales transmitidos, almacenados o tratados de otro modo en relación con la prestación de un servicio de comunicaciones electrónicas de acceso público en la Unión.
(3)
A fin de garantizar una aplicación coherente de las medidas contempladas en el artículo 4, apartados 2, 3 y 4, de la Directiva 2002/58/CE, el artículo 4, apartado 5, de dicha Directiva confiere a la Comisión competencias para adoptar medidas técnicas de ejecución en relación con las circunstancias, la forma de presentación y los procedimientos aplicables a los requisitos de información y notificación a que se refiere el citado artículo.
(4)
La aplicación de distintos requisitos nacionales en este ámbito puede entrañar inseguridad jurídica, procedimientos más complejos y farragosos, así como considerables gastos administrativos para los proveedores que desarrollan actividades transfronterizas. Por lo tanto, la Comisión considera necesario adoptar dichas medidas técnicas de ejecución.
(5)
El presente Reglamento se limita a la notificación de los casos de violación de datos personales y, por consiguiente, no establece medidas técnicas de ejecución en relación con el artículo 4, apartado 2, de la Directiva 2002/58/CE, relativo a la información que ha de darse a los abonados en caso de que exista un riesgo particular de violación de la seguridad de la red.
(6)
De conformidad con el artículo 4, apartado 3, párrafo primero, de la Directiva 2002/58/CE, los proveedores deben notificar a la autoridad nacional competente todos los casos de violación de datos personales. Por consiguiente, la decisión de efectuar la correspondiente notificación a la autoridad nacional competente o no hacerlo no debe dejarse a discreción del proveedor. No obstante, ello no ha de impedir que la autoridad nacional competente conceda prioridad a la investigación de determinados casos del modo que considere adecuado conforme a la legislación aplicable y adopte las medidas necesarias para evitar la notificación excesiva o insuficiente de violaciones de datos personales.
(7)
Es oportuno establecer un sistema para la notificación de los casos de violación de datos personales a la autoridad nacional competente que consista, cuando se cumplan determinadas condiciones, en varias etapas sujetas a ciertos plazos. Este sistema tiene como objetivo garantizar que la autoridad nacional competente sea informada de la forma más rápida y exhaustiva posible, sin que ello entorpezca indebidamente los esfuerzos del proveedor por investigar el caso y tomar las medidas necesarias para limitarlo y remediar sus consecuencias.
(8)
Para considerar que se ha detectado un caso de violación de datos personales a los efectos del presente Reglamento, no debe bastar meramente con sospechar que se ha producido un caso de este tipo ni con detectar un incidente de seguridad sin disponer de suficiente información al respecto, pese a todos los esfuerzos del proveedor a tal fin. En este contexto, se debe prestar especial atención a la disponibilidad de la información a que se hace referencia en el anexo I.
(9)
En el marco de la aplicación del presente Reglamento, es conveniente que las autoridades nacionales competentes cooperen en los casos de violación de datos personales que tengan una dimensión transfronteriza.
(10)
El presente Reglamento no prevé especificaciones adicionales con respecto al inventario de violaciones de datos personales que los proveedores deben llevar, por cuanto el artículo 4 de la Directiva 2002/58/CE ya detalla su contenido exhaustivamente. Con todo, los proveedores pueden remitirse al presente Reglamento para determinar el formato del inventario.
(11)
Es necesario que todas las autoridades nacionales competentes pongan un soporte electrónico seguro a disposición de los proveedores para que estos notifiquen los casos de violación de datos personales en un formato común, basado en normas tales como la XML, que contenga la información establecida en el anexo I en las lenguas pertinentes, de modo que todos los proveedores de la Unión puedan seguir un procedimiento de notificación similar, independientemente del lugar en que estén ubicados o en que se haya producido la violación de datos personales. A este respecto, la Comisión ha de facilitar la implantación de un soporte electrónico seguro organizando, cuando sea necesario, reuniones con las autoridades nacionales competentes.
(12)
Para evaluar si una violación de datos personales puede tener efectos negativos en los datos personales o la intimidad de un abonado o particular, han de tomarse especialmente en consideración la naturaleza y el contenido de los datos personales en cuestión, en particular cuando se trate de datos financieros como los referentes a tarjetas de crédito y cuentas bancarias; de las categorías especiales de datos contempladas en el artículo 8, apartado 1, de la Directiva 95/46/CE; y de determinados datos específicamente vinculados a la prestación de servicios de telefonía o internet como, por ejemplo, datos de correo electrónico, datos de localización, registros de internet, historiales de navegación en internet y listas de llamadas detalladas.
(13)
En circunstancias excepcionales, es conveniente autorizar al proveedor a demorar la notificación al abonado o al particular cuando dicha notificación pueda comprometer la investigación adecuada del caso de violación de datos personales. En este contexto, pueden considerarse circunstancias excepcionales las investigaciones judiciales, así como otros casos de violación de datos personales que no constituyen un delito grave, pero respecto de los que podría ser conveniente retrasar la notificación. En cualquier caso, ha de corresponder a la autoridad nacional competente evaluar, caso por caso y en función de las circunstancias, si procede autorizar ese retraso o exigir que se efectúe la notificación.
(14)
Los proveedores deberían disponer de los datos de contacto de sus abonados, habida cuenta de su relación contractual directa, pero es posible que no exista esta información en el caso de otros particulares que se hayan visto perjudicados por una violación de datos personales. En tal caso, conviene autorizar a los proveedores a efectuar una notificación inicial a dichos particulares mediante anuncios en los principales medios de comunicación nacionales o regionales, tales como los periódicos, que irá seguida lo antes posible de una notificación individual de conformidad con el presente Reglamento. Por consiguiente, el proveedor no está obligado como tal a efectuar notificaciones en los medios de comunicación, sino que más bien está facultado para hacerlo, si así lo desea, cuando aún está tratando de identificar a todos los particulares afectados.
(15)
La información sobre la violación debe referirse exclusivamente a esta y no adjuntarse a información sobre otros asuntos. Por ejemplo, incluir información sobre una violación de datos personales en una factura corriente no ha de considerarse un medio adecuado para notificar una violación de datos personales.
(16)
El presente Reglamento no establece medidas tecnológicas específicas de protección que justifiquen excepciones a la obligación de notificar los casos de violación de datos personales a abonados o particulares, por cuanto dichas medidas pueden evolucionar con el tiempo en función de los avances tecnológicos. Con todo, la Comisión ha de poder publicar una lista indicativa de esas medidas tecnológicas específicas de protección acordes con las prácticas actuales.
(17)
El recurso al cifrado o a las funciones resumen (hashing) no ha de considerarse suficiente por sí mismo como para que los proveedores puedan aducir, de forma más amplia, que han cumplido la obligación de seguridad general establecida en el artículo 17 de la Directiva 95/46/CE. A este respecto, es importante que los proveedores apliquen también medidas técnicas y de organización para prevenir, detectar y bloquear los casos de violación de datos personales. Los proveedores deben tener en cuenta cualquier riesgo residual que pueda subsistir tras haberse practicado controles, al objeto de comprender en qué circunstancias puede producirse una violación de datos personales.
(18)
Cuando el proveedor recurra a otro proveedor para prestar una parte del servicio, por ejemplo en relación con la facturación o funciones de gestión, ese otro proveedor, que no mantiene relación contractual directa alguna con el usuario final, no ha de estar obligado a efectuar notificaciones en caso de violación de datos personales. En cambio, sí debe avisar e informar al proveedor con el que tiene una relación contractual directa. Ello ha de ser también aplicable en el contexto de la prestación al por mayor de servicios de comunicaciones electrónicas, ámbito en el que el proveedor mayorista no suele tener una relación contractual directa con el usuario final.
(19)
La Directiva 95/46/CE establece un marco general para la protección de los datos personales en la Unión Europea. La Comisión ha presentado una propuesta de Reglamento del Parlamento Europeo y del Consejo para sustituir la Directiva 95/46/CE (Reglamento sobre protección de datos). El Reglamento sobre protección de datos que se propone impone a todos los responsables del tratamiento de datos la obligación de notificar las violaciones de datos personales, sobre la base del artículo 4, apartado 3, de la Directiva 2002/58/CE. El presente Reglamento de la Comisión es plenamente coherente con la medida propuesta.
(20)
El Reglamento sobre protección de datos propuesto también introduce un número limitado de modificaciones de carácter técnico en la Directiva 2002/58/CE, habida cuenta de la transformación de la Directiva 95/46/CE en un Reglamento. Las consecuencias legales sustantivas del nuevo Reglamento para la Directiva 2002/58/CE serán objeto de un examen por parte de la Comisión.
(21)
La aplicación del presente Reglamento debe revisarse a los tres años de su entrada en vigor, y su contenido ha de examinarse a la luz del marco jurídico vigente en ese momento, incluido el Reglamento sobre protección de datos propuesto. La revisión del presente Reglamento ha de vincularse, cuando sea posible, a cualquier futura revisión de la Directiva 2002/58/CE.
(22)
La aplicación del presente Reglamento puede evaluarse sobre la base, entre otros datos, de las estadísticas elaboradas por las autoridades nacionales competentes sobre los casos de violación de datos personales que se les notifiquen. Dichas estadísticas pueden incluir, por ejemplo, información sobre el número de casos de violación de datos personales notificados a la autoridad nacional competente, a los abonados o a los particulares, el tiempo que se haya tardado en resolver el caso, y las medidas tecnológicas de protección que, en su caso, se hayan adoptado. Estas estadísticas deben proporcionar a la Comisión y a los Estados miembros datos estadísticos coherentes y comparables, sin divulgar la identidad del proveedor que haya efectuado la notificación ni la de los abonados o particulares afectados. Asimismo, la Comisión puede celebrar reuniones periódicas a tal fin con las autoridades nacionales competentes y otras partes interesadas.
(23)
Las medidas previstas en el presente Reglamento se ajustan al dictamen del Comité de Comunicaciones.
HA ADOPTADO EL PRESENTE REGLAMENTO:
Artículo 1
Ámbito de aplicación
El presente Reglamento se aplicará a la notificación de los casos de violación de datos personales por parte de los proveedores de servicios de comunicaciones electrónicas disponibles para el público (denominados en lo sucesivo «los proveedores»).
Artículo 2
Notificación a la autoridad nacional competente
1. Los proveedores notificarán todos los casos de violación de datos personales a la autoridad nacional competente.
2. En la medida de lo posible, los proveedores notificarán los casos de violación de datos personales a la autoridad nacional competente dentro de las 24 horas siguientes a la detección del caso.
Los proveedores consignarán en su notificación a la autoridad nacional competente la información recogida en el anexo I.
Se considerará que se ha detectado un caso de violación de datos personales cuando el proveedor tenga conocimiento suficiente de que se ha producido un incidente de seguridad que compromete datos personales para efectuar una notificación válida conforme a lo establecido en el presente Reglamento.
3. Cuando no se disponga de toda la información indicada en el anexo I y sea preciso investigar más exhaustivamente el caso de violación de datos personales, se autorizará al proveedor a enviar una notificación inicial a la autoridad nacional competente dentro de las 24 horas siguientes a la detección del caso. Esta notificación inicial incluirá la información contemplada en el anexo I, sección 1. El proveedor remitirá una segunda notificación a la autoridad nacional competente lo antes posible y, a más tardar, dentro de los tres días siguientes a la notificación inicial. En esta segunda notificación se incluirá la información indicada en el anexo I, sección 2, y, cuando proceda, se actualizará la información ya proporcionada.
Cuando, a pesar de las pesquisas realizadas, el proveedor no pueda proporcionar toda la información en el plazo de los tres días siguientes a la notificación inicial, deberá notificar toda la información de que disponga dentro de ese plazo y presentar a la autoridad nacional competente una justificación motivada de la tardía notificación de la información restante. El proveedor notificará esa información restante a la autoridad nacional competente y, cuando proceda, actualizará la información ya proporcionada, en el plazo más breve posible.
4. La autoridad nacional competente pondrá a disposición de todos los proveedores establecidos en el Estado miembro de que se trate un soporte electrónico seguro para notificar los casos de violación de datos personales, así como información sobre los procedimientos para acceder a dicho soporte y utilizarlo. Cuando sea necesario, la Comisión convocará reuniones con las autoridades nacionales competentes a fin de facilitar la aplicación de esta disposición.
5. Cuando una violación de datos personales afecte a abonados o particulares de Estados miembros distintos de aquel de la autoridad nacional competente a la que se haya notificado el caso de violación de datos personales, la autoridad nacional competente informará a las demás autoridades nacionales afectadas.
A fin de facilitar la aplicación de esta disposición, la Comisión elaborará y mantendrá al día una lista de las autoridades nacionales competentes y los puntos de contacto correspondientes.
Artículo 3
Notificación al abonado o particular
1. Cuando un caso de violación de datos personales pueda afectar negativamente a los datos personales o a la intimidad de un abonado o particular, el proveedor, además de remitir la notificación contemplada en el artículo 2, también notificará el caso al abonado o particular.
2. Se evaluará si un caso de violación de datos personales puede afectar negativamente a los datos personales o a la intimidad de un abonado o particular atendiendo, en particular, a las siguientes circunstancias:
a)
la naturaleza y el contenido de los datos personales en cuestión, en particular si se trata de datos financieros, de categorías especiales de datos contempladas en el artículo 8, apartado 1, de la Directiva 95/46/CE, así como de datos de localización, registros de internet, historiales de navegación en internet, datos de correo electrónico y listas de llamadas detalladas;
b)
las posibles consecuencias de la violación de datos personales para el abonado o particular afectado, en particular cuando la violación pueda entrañar fraude o usurpación de identidad, daños físicos, sufrimiento psicológico, humillación o perjuicio para su reputación;
c)
las circunstancias en que se haya producido la violación de datos personales, teniendo en cuenta, en particular, el lugar en que hayan sido robados los datos o el momento en que el proveedor haya tenido conocimiento de que los datos se hallan en poder de un tercero no autorizado.
3. La notificación al abonado o particular se efectuará sin dilación injustificada tras haberse detectado la violación de datos personales, tal y como se establece en el artículo 2, apartado 2, párrafo tercero. Dicha notificación no dependerá de la notificación de la violación de datos personales a la autoridad nacional competente mencionada en el artículo 2.
4. El proveedor incluirá en su notificación al abonado o particular la información establecida en el anexo II. La notificación al abonado o particular se redactará en un lenguaje claro y fácilmente comprensible. El proveedor no deberá valerse de la notificación para promover o anunciar servicios nuevos o adicionales.
5. En circunstancias excepcionales, cuando la notificación al abonado o particular pueda comprometer la investigación del caso de violación de datos personales, el proveedor podrá, previa autorización de la autoridad nacional competente, demorar la notificación al abonado o particular hasta que la autoridad nacional competente considere que puede notificarse la violación de datos personales de conformidad con el presente artículo.
6. El proveedor notificará la violación de datos personales al abonado o particular por vías de comunicación que garanticen una pronta recepción de la información y sean seguras con arreglo al estado actual de la técnica. La información sobre el caso se referirá exclusivamente a este y no se adjuntará a información sobre otros asuntos.
7. Cuando, pese a haber hecho todo lo posible, el proveedor que tenga una relación contractual directa con el usuario final no pueda identificar en el plazo a que hace referencia el apartado 3 a todos los particulares que puedan verse perjudicados por la violación de datos personales, podrá notificarles esa información insertando anuncios en los principales medios de comunicación nacionales o regionales de los Estados miembros en cuestión dentro del citado plazo. Tales anuncios contendrán la información indicada en el anexo II, si procede de forma resumida. En este caso, el proveedor seguirá haciendo todo lo posible para identificar a dichos particulares y notificarles la información contemplada en el anexo II lo antes posible.
Artículo 4
Medidas tecnológicas de protección
1. No obstante lo dispuesto en el artículo 3, apartado 1, la notificación de una violación de los datos personales a un abonado o particular afectado no será necesaria si el proveedor ha probado a satisfacción de la autoridad nacional competente que ha aplicado las medidas tecnológicas de protección convenientes y que estas se han aplicado a los datos afectados por la violación de seguridad. Las medidas de protección de estas características convertirán los datos en incomprensibles para toda persona que no esté autorizada a acceder a ellos.
2. Los datos se considerarán incomprensibles cuando:
a)
se hayan cifrado de forma segura con un algoritmo normalizado, y la clave usada para descifrar los datos no haya quedado comprometida por ningún fallo de seguridad y haya sido generada de modo que no pueda ser determinada por los medios tecnológicos disponibles por ninguna persona que no esté autorizada a acceder a ella, o
b)
se hayan sustituido por su valor resumen (hash value), calculado mediante una función resumen con clave criptográfica normalizada, y la clave usada para resumir los datos no haya quedado comprometida por ningún fallo de seguridad y haya sido generada de modo que no pueda ser determinada por los medios tecnológicos disponibles por ninguna persona que no esté autorizada a acceder a ella.
3. Previa consulta a las autoridades nacionales competentes a través del Grupo del artículo 29, la Agencia Europea de Seguridad de las Redes y de la Información y al Supervisor Europeo de Protección de Datos, la Comisión podrá publicar una lista indicativa de las medidas tecnológicas de protección convenientes, contempladas en el apartado 1, acordes con las prácticas actuales.
Artículo 5
Recurso a otro proveedor
Cuando se contrate a otro proveedor para que preste una parte de un servicio de comunicaciones electrónicas sin tener una relación contractual directa con los abonados, ese otro proveedor informará inmediatamente al proveedor contratante en caso de violación de datos personales.
Artículo 6
Presentación de informes y revisión
En el plazo de los tres años siguientes a la entrada en vigor del presente Reglamento, la Comisión presentará un informe sobre su aplicación, eficacia y repercusión en proveedores, abonados y particulares. La Comisión revisará el presente Reglamento sobre la base de dicho informe.
Artículo 7
Entrada en vigor
El presente Reglamento entrará en vigor el 25 de agosto de 2013.
El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.
Hecho en Bruselas, el 24 de junio de 2013.