NAŘÍZENÍ KOMISE (EU) č. 611/2013
ze dne 24. června 2013
o opatřeních vztahujících se na oznámení o narušení bezpečnosti osobních údajů podle směrnice Evropského parlamentu a Rady 2002/58/ES o soukromí a elektronických komunikacích
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (Směrnice o soukromí a elektronických komunikacích) (1), a zejména na čl. 4 odst. 5 uvedené směrnice,
po konzultaci s Evropskou agenturou pro bezpečnost sítí a informací (ENISA),
po konzultaci s pracovní skupinou pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízenou článkem 29 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (2) (dále jen „pracovní skupina zřízená podle článku 29“),
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
Směrnice 2002/58/ES harmonizuje předpisy členských států požadované pro zajištění rovnocenné úrovně ochrany základních práv a svobod, zejména práva na soukromí a zachování důvěrnosti informací, se zřetelem na zpracování osobních údajů v odvětví elektronických komunikací, a pro zajištění volného pohybu těchto údajů a elektronických komunikačních zařízení a služeb v Unii.
(2)
Podle článku 4 směrnice 2002/58/ES jsou poskytovatelé veřejně dostupných služeb elektronických komunikací povinni oznámit narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům a v některých případech také dotčeným účastníkům a jednotlivcům. Narušení bezpečnosti osobních údajů je definováno v čl. 2 písm. i) směrnice 2002/58/ES jako narušení bezpečnosti, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně či neoprávněnému vyzrazení nebo zpřístupnění osobních údajů přenášených, uchovávaných nebo jinak zpracovávaných v souvislosti s poskytováním veřejně dostupné služby elektronických komunikací v Unii.
(3)
Pro zajištění důsledného provádění opatření uvedených v čl. 4 odst. 2, 3 a 4 směrnice 2002/58/ES se v čl. 4 odst. 5 uvedeného nařízení Komise zmocňuje k přijetí technických prováděcích opatření týkajících se okolností, formátu a postupů, jež se vztahují na požadavky informování a oznamování podle uvedeného článku.
(4)
Rozdílné požadavky členských států v tomto ohledu mohou vést k právní nejistotě, složitějším a zdlouhavějším postupům a značným administrativním nákladům poskytovatelů, kteří působí v přeshraničním styku. Komise proto zastává názor, že je nutné přijmout tato technická prováděcí opatření.
(5)
Toto nařízení se omezuje na oznámení o narušení bezpečnosti osobních údajů, a proto nestanoví technická prováděcí opatření týkající se čl. 4 odst. 2 směrnice 2002/58/ES o informování účastníků v případě zvláštního rizika narušení bezpečnosti sítě.
(6)
Z čl. 4 odst. 3 prvního pododstavce směrnice 2002/58/ES vyplývá, že poskytovatelé by měli oznámit příslušnému vnitrostátnímu orgánu všechny případy narušení bezpečnosti osobních údajů. Rozhodnutí, zda je či není třeba oznámit narušení příslušnému vnitrostátnímu orgánu, by proto nemělo být ponecháno na vůli poskytovatele. To by však nemělo bránit příslušnému vnitrostátnímu orgánu, aby v souladu s platnými právními předpisy nepřistoupil k vyšetřování některých narušení přednostně podle jejich důležitosti a nepodnikl kroky nezbytné k tomu, aby se zabránilo přílišnému nebo nedostatečnému hlášení o narušení bezpečnosti osobních údajů.
(7)
Je třeba stanovit systém pro oznamování narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu, který by za splnění některých podmínek sestával z různých etap, pro něž by platily konkrétní lhůty. Systém by měl zajistit, aby příslušný vnitrostátní orgán byl informován co nejdříve a co nejúplněji, aniž by se tím neodůvodněně bránilo poskytovateli ve snaze narušení vyšetřit a přijmout nezbytná opatření k jeho omezení a nápravě důsledků.
(8)
Pouhé podezření, že došlo k narušení bezpečnosti osobních údajů, ani pouhé zjištění události bez dostatečných informací, které se ani přes největší úsilí nepodařilo poskytovateli získat, nepostačuje pro účely tohoto nařízení k tomu, aby bylo možné konstatovat, že došlo k odhalení narušení bezpečnosti osobních údajů. Zvláštní ohled je v této souvislosti třeba věnovat dostupnosti informací uvedených v příloze I.
(9)
V souvislosti s uplatňováním tohoto nařízení by v případech narušení bezpečnosti osobních údajů s přeshraničním rozměrem měly příslušné vnitrostátní orgány mezi sebou spolupracovat.
(10)
Toto nařízení nestanoví žádné upřesnění přehledu narušení bezpečnosti osobních údajů, které mají provozovatelé vést, protože v článku 4 směrnice 2002/58/ES je jeho obsah stanoven vyčerpávajícím způsobem. Poskytovatelé však při určování formátu přehledu mohou použít odkaz na toto nařízení.
(11)
Všechny příslušné vnitrostátní orgány by měly poskytovatelům zpřístupnit bezpečné elektronické prostředky umožňující oznamovat narušení bezpečnosti osobních údajů ve společném formátu, a to na základě normy, jako je např. XML, který bude obsahovat údaje stanovené v příloze I v příslušných jazycích tak, aby všichni poskytovatelé v rámci Unie mohli používat obdobný postup oznamování bez ohledu na to, kde se nacházejí nebo kde došlo k narušení bezpečnosti osobních údajů. V této souvislosti by Komise podle potřeby měla usnadnit zavádění bezpečných elektronických prostředků pořádáním setkání s příslušnými vnitrostátními orgány.
(12)
Při posuzování, zda by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno vzít v úvahu zejména povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, jako jsou např. údaje o kreditní kartě nebo bankovním účtu, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES a některé údaje, které se konkrétně týkají poskytování telefonních a internetových služeb, tj. údaje o elektronické poště, lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek a podrobné rozpisy uskutečněných volání.
(13)
Za výjimečných okolností, jestliže by oznámení účastníkovi nebo jednotlivci mohlo ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, by poskytovatel měl mít možnost oznámení účastníkovi nebo jednotlivci pozdržet. V tomto ohledu mohou výjimečné okolnosti zahrnovat trestní vyšetřování, jakož i další narušení bezpečnosti osobních údajů, která nelze považovat za závažnou trestnou činnost, kvůli nimž však může být vhodné oznámení odložit. Příslušný vnitrostátní orgán by za všech okolností měl v každém jednotlivém případě a s ohledem na okolnosti posoudit, zda se oznámení odloží, nebo zda bude vyžadováno.
(14)
Zatímco poskytovatelé by díky přímému smluvnímu vztahu měli mít kontaktní údaje svých účastníků, o ostatních jednotlivcích nepříznivě ovlivněných narušením bezpečnosti osobních údajů tyto informace mít nemusí. V takovém případě by poskytovatel měl mít možnost nejprve tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích, např. v novinách, a následně jim tuto skutečnost co nejdříve oznámit jednotlivě, jak je stanoveno v tomto nařízení. Poskytovatel jako takový tedy není povinen zveřejnit informace v médiích, ale je oprávněn postupovat případně tímto způsobem, pokud stále ještě probíhá zjišťování totožnosti ovlivněných jednotlivců.
(15)
Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi. Za přiměřený prostředek oznámení o narušení bezpečnosti osobních údajů by například nemělo být považováno uvedení informace o narušení bezpečnosti osobních údajů v běžné faktuře.
(16)
Toto nařízení nestanoví žádná zvláštní technická ochranná opatření, která odůvodňují odchylku od povinnosti oznamovat narušení bezpečnosti osobních údajů účastníkům nebo jednotlivcům, neboť ta se mohou v důsledku technologického pokroku v průběhu času měnit. Komise by však měla mít možnost zveřejnit orientační seznam těchto zvláštních technických ochranných opatření v souladu s platnými postupy.
(17)
Kódování nebo hašování nelze samo o sobě považovat za dostatečný způsob ochrany, který by poskytovatelům obecně umožňoval tvrdit, že splnili všechny všeobecné bezpečnostní povinnosti stanovené v článku 17 směrnice 95/46/ES. V tomto ohledu by poskytovatelé měli také provádět vhodná organizační a technická opatření na prevenci, odhalování a zamezení narušení bezpečnosti osobních údajů. Poskytovatelé by měli zvážit veškerá rizika, která mohou přetrvávat po provedení kontrol, aby bylo možné rozpoznat, kde může dojít k narušení bezpečnosti osobních údajů.
(18)
Pokud provozovatel k poskytování služeb částečně používá jiného poskytovatele, např. pro účely účtování nebo řízení, tento jiný poskytovatel, který není v přímém smluvním vztahu s koncovým uživatelem, by neměl mít povinnost v případě narušení bezpečnosti osobních údajů podávat oznámení. Místo toho by měl uvědomit a informovat poskytovatele, s nímž má přímý smluvní vztah. To by mělo platit i v souvislosti s velkoobchodním poskytováním služeb elektronických komunikací, kde obvykle velkoobchodní poskytovatel není v přímém smluvním vztahu s koncovým uživatelem.
(19)
Směrnice 95/46/ES vymezuje obecný rámec pro ochranu osobních údajů v Evropské unii. Komise předložila návrh nařízení Evropského parlamentu a Rady (dále jako „nařízení o ochraně údajů“), které by mělo směrnici 95/46/ES nahradit. Navrhované nařízení o ochraně údajů by na základě čl. 4 odst. 3 směrnice 2002/58/ES zavedlo pro všechny správce povinnost oznamovat narušení bezpečnosti osobních údajů. Toto nařízení Komise je s tímto opatřením plně v souladu.
(20)
Navrhované nařízení o ochraně údajů v omezeném rozsahu rovněž provádí technické úpravy ve směrnici 2002/58/ES s ohledem na změnu směrnice 95/46/ES na nařízení. Podstatné právní důsledky nového nařízení pro směrnici 2002/58/ES budou předmětem přezkumu, který provede Komise.
(21)
Uplatňování tohoto nařízení by mělo být přezkoumáno tři roky po jeho vstupu v platnost a jeho obsah by měl být přezkoumán s ohledem na právní rámec, který bude v platnosti v uvedené době, včetně navrhovaného nařízení o ochraně údajů. Přezkum tohoto nařízení by měl v budoucnosti být, bude-li to možné, spojen s každým přezkumem směrnice 2002/58/ES.
(22)
Uplatňování tohoto nařízení může být posuzováno mimo jiné na základě statistických údajů, které příslušné vnitrostátní orgány vedou o narušeních bezpečnosti osobních údajů, o nichž byly informovány. Tyto statistiky mohou zahrnovat např. informace o počtu narušení bezpečnosti osobních údajů oznámených příslušnému vnitrostátnímu orgánu, počtu případů narušení bezpečnosti osobních údajů oznámených účastníkovi nebo jednotlivci, době potřebné na vyřešení narušení bezpečnosti osobních údajů, a informace o tom, zda byla přijata technická ochranná opatření. Tyto statistiky by měly poskytovat Komisi a členským státům konzistentní a srovnatelné statistické údaje a neměly by odhalovat totožnost oznamujícího poskytovatele ani dotčených účastníků nebo jednotlivců. Komise může za tímto účelem rovněž pořádat pravidelná setkání s příslušnými vnitrostátními orgány a jinými zúčastněnými stranami.
(23)
Opatření tohoto nařízení jsou v souladu se stanoviskem Komunikačního výboru,
PŘIJALA TOTO NAŘÍZENÍ:
Článek 1
Oblast působnosti
Toto nařízení se vztahuje na oznámení poskytovatelů veřejně dostupných služeb elektronických komunikací (dále jen „poskytovatel“) o narušení bezpečnosti osobních údajů.
Článek 2
Oznámení příslušnému vnitrostátnímu orgánu
1. Poskytovatel oznámí všechna narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu.
2. Poskytovatel oznámí narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu nejpozději 24 hodin po zjištění narušení bezpečnosti osobních údajů, pokud je to proveditelné.
Poskytovatel ve svém oznámení příslušnému vnitrostátnímu orgánu uvede informace stanovené v příloze I.
Za zjištění narušení bezpečnosti osobních údajů se považuje situace, kdy poskytovatel získal dostatečné informace o tom, že došlo k bezpečnostní události, která měla za následek narušení osobních údajů, aby podal opodstatněné oznámení podle tohoto nařízení.
3. Jestliže nejsou k dispozici všechny informace stanovené v příloze I a je nutné další vyšetřování narušení bezpečnosti osobních údajů, může poskytovatel podat první oznámení příslušnému vnitrostátnímu orgánu nejpozději do 24 hodin po zjištění narušení bezpečnosti osobních údajů. Toto první oznámení příslušnému vnitrostátnímu orgánu musí obsahovat informace stanovené v příloze I oddíle 1. Poskytovatel je povinen podat příslušnému vnitrostátnímu orgánu co nejdříve, nejpozději do tří dnů po prvním oznámení, druhé oznámení. Toto druhé oznámení obsahuje informace stanovené v příloze I oddíle 2 a v případě potřeby aktualizuje již poskytnuté údaje.
Jestliže poskytovatel ani po vyšetřování nemůže ve lhůtě tří dnů od prvního oznámení poskytnout všechny informace, oznámí všechny informace, které má v této lhůtě k dispozici a předloží příslušnému vnitrostátnímu orgánu odůvodnění, proč musí být zbývající informace oznámeny později. Poskytovatel co možná nejdříve oznámí zbývající informace příslušnému vnitrostátnímu orgánu a v případě potřeby aktualizuje již poskytnuté údaje.
4. Příslušný vnitrostátní orgán poskytne všem poskytovatelům usazeným v dotčeném členském státě bezpečný elektronický prostředek pro oznamování narušení bezpečnosti osobních údajů a informace o postupech přístupu k němu a jeho používání. V zájmu snazšího uplatňování tohoto ustanovení Komise podle potřeby pořádá pravidelná setkání s příslušnými vnitrostátními orgány.
5. V případě, že se narušení bezpečnosti osobních údajů týká účastníků nebo jednotlivců z jiných členských států, než je členský stát příslušného vnitrostátního orgánu, jemuž bylo narušení bezpečnosti osobních údajů oznámeno, příslušný vnitrostátní orgán informuje orgány ostatních dotčených členských států.
Pro usnadnění uplatňování tohoto ustanovení Komise vytvoří a povede seznam příslušných vnitrostátních orgánů a příslušných kontaktních míst.
Článek 3
Oznámení účastníkovi nebo jednotlivci
1. Pokud by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, musí poskytovatel kromě oznámení uvedeného v článku 2 toto porušení oznámit rovněž účastníkovi nebo jednotlivci.
2. Při posuzování, zda narušení bezpečnosti osobních údajů může mít nepříznivý vliv na osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno brát ohled zejména na tyto okolnosti:
a)
povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES, jakož i lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek, údaje týkající se elektronické pošty a podrobné údaje o uskutečněných voláních;
b)
pravděpodobné důsledky narušení bezpečnosti osobních údajů pro dotčeného účastníka nebo jednotlivce, zejména tehdy, kdy by porušení mohlo vést ke krádeži nebo zneužití, fyzické újmě, psychickému strádání, ponížení nebo poškození pověsti a
c)
okolnosti narušení bezpečnosti osobních údajů, zejména pokud byly údaje odcizeny nebo pokud je poskytovateli známo, že údaje jsou v držení neoprávněné třetí strany.
3. Oznámení účastníkovi nebo jednotlivci musí být učiněno bez zbytečného odkladu po zjištění narušení bezpečnosti osobních údajů v souladu s čl. 2 odst. 2 třetím pododstavcem. Nesmí záviset na oznámení o narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům podle článku 2.
4. Poskytovatel ve svém oznámení účastníkovi nebo jednotlivci uvede informace stanovené v příloze II. Oznámení účastníkovi nebo jednotlivci musí být jasné a srozumitelné. Poskytovatel nesmí využít oznámení jako příležitost k propagaci nebo nabídce nových či doplňkových služeb.
5. Ve výjimečných případech, kdy oznámení účastníkovi nebo jednotlivci může ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, má poskytovatel možnost po získání souhlasu příslušného vnitrostátního orgánu oznámení účastníkovi nebo jednotlivci pozdržet, dokud příslušný vnitrostátní orgán neusoudí, že je možné oznámit narušení bezpečnosti osobních údajů podle tohoto článku.
6. Poskytovatel oznámí účastníkovi nebo jednotlivci narušení bezpečnosti osobních údajů takovým způsobem, který umožňuje rychlé předání informací a který je podle nejnovějších poznatků náležitě zabezpečen. Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi.
7. Pokud poskytovatel, který je v přímém smluvním vztahu s koncovým uživatelem, ani přes vynaložené úsilí není schopen ve lhůtě uvedené v odstavci 3 určit všechny jednotlivce, kteří by narušením bezpečnosti osobních údajů mohli být nepříznivě ovlivněni, může v uvedené lhůtě tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích v příslušných členských státech. Uvedená oznámení musí obsahovat informace stanovené v příloze II, v případě potřeby ve stručné formě. V takovém případě poskytovatel pokračuje v úsilí vedoucím k identifikaci těchto jednotlivců a co nejdříve jim oznámí informace uvedené v příloze II.
Článek 4
Technická ochranná opatření
1. Odchylně od čl. 3 odst. 1 se oznámení o narušení bezpečnosti osobních údajů dotčenému účastníkovi nebo jednotlivci nevyžaduje, pokud poskytovatel ke spokojenosti příslušného vnitrostátního orgánu prokázal, že zavedl náležitá technická ochranná opatření a že tato opatření byla na údaje, jichž se narušení bezpečnosti týká, použita. Tato technická ochranná opatření zajistí, aby údaje nebyly srozumitelné pro nikoho, kdo není k přístupu k nim oprávněn.
2. Údaje se považují za nesrozumitelné, jestliže:
a)
byly bezpečně zašifrovány normalizovaným algoritmem, klíč použitý k dešifrování údajů nebyl žádným narušením bezpečnosti ohrožen a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu, nebo
b)
byly nahrazeny svou zahašovanou hodnotou vypočítanou pomocí normalizované kryptografické hašovací funkce s klíčem, klíč použitý k hašování údajů nebyl ohrožen žádným narušením bezpečnosti a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu.
3. Komise může po konzultaci s příslušnými vnitrostátními orgány prostřednictvím pracovní skupiny zřízené podle článku 29, Evropskou agenturou pro bezpečnost sítí a informací a evropským inspektorem ochrany údajů zveřejnit orientační seznam vhodných technických ochranných opatření uvedených v odstavci 1 v souladu s platnými postupy.
Článek 5
Použití jiného poskytovatele
Jestliže je jiný poskytovatel smluvně zavázán, aby poskytl část služeb elektronických komunikací, aniž by byl v přímém smluvním vztahu s účastníky, tento další poskytovatel v případě, že došlo k narušení bezpečnosti osobních údajů, okamžitě informuje smluvního poskytovatele.
Článek 6
Podávání zpráv a přezkum
Do tří let od vstupu tohoto nařízení v platnost Komise předloží zprávu o uplatňování tohoto nařízení, jeho účinnosti a dopadu na poskytovatele, účastníky a jednotlivce. Na základě uvedené zprávy Komise toto nařízení přezkoumá.
Článek 7
Vstup v platnost
Toto nařízení vstupuje v platnost dne 25. srpna 2013.
Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.
V Bruselu dne 24. června 2013.
32013R0611
L 173/2
SLUŽBENI LIST EUROPSKE UNIJE
UREDBA KOMISIJE (EU) br. 611/2013
od 24. lipnja 2013.
o mjerama koje se primjenjuju na obavješćivanje o povredama osobnih podataka u skladu s Direktivom 2002/58/EZ Europskog parlamenta i Vijeća o privatnosti i elektroničkim komunikacijama
EUROPSKA KOMISIJA,
uzimajući o obzir Ugovor o funkcioniranju Europske unije,
uzimajući u obzir Direktivu 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama) (1), a posebno njezin članak 4. stavak 5.,
nakon savjetovanja s Europskom agencijom za mrežnu i informacijsku sigurnost (ENISA),
nakon savjetovanja s Radnom skupinom za zaštitu pojedinaca u vezi s obradom osobnih podataka osnovanom člankom 29. Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom prijenosu takvih podataka (2) (Radna skupina iz članka 29.),
nakon savjetovanja s Europskim nadzornikom za zaštitu podataka (EDPS),
budući da:
(1)
Direktivom 2002/58/EZ predviđeno je usklađivanje nacionalnih odredaba potrebnih za osiguravanje jednake razine zaštite temeljnih prava i sloboda, a posebno prava na privatnost i povjerljivost, u vezi s obradom osobnih podataka u području elektroničkih komunikacija i za osiguravanje slobodnog kretanja takvih podataka te elektroničke komunikacijske opreme i usluga u Uniji.
(2)
Na temelju članka 4. Direktive 2002/58/EZ, pružatelji javno dostupnih elektroničkih komunikacijskih usluga obvezni su obavijestiti nadležna nacionalna tijela, a u određenim slučajevima i predmetne pretplatnike i pojedince, o povredama osobnih podataka. Povrede osobnih podataka definirane su u članku 2. točki (i) Direktive 2002/58/EZ kao proboji zaštitnih mjera koji dovode do slučajnog ili nezakonitog uništavanja, gubitka, izmjene, neovlaštenog otkrivanja ili pristupa u pogledu osobnih podataka koji se prenose, čuvaju ili na neki drugi način obrađuju u vezi s pružanjem javno dostupnih elektroničkih komunikacijskih usluga u Uniji.
(3)
Kako bi se osigurala dosljedna provedba mjera iz članka 4. stavaka 2., 3. i 4. Direktive 2002/58/EZ, njezinim je člankom 4. stavkom 5. Komisija ovlaštena donositi tehničke provedbene mjere koje se odnose na okolnosti, oblik i postupke primjenljive na zahtjeve u vezi s obavješćivanjem i prijavljivanjem iz tog članka.
(4)
Različiti nacionalni zahtjevi u tom pogledu mogu dovesti do pravne nesigurnosti, složenijih i težih postupaka i značajnih administrativnih troškova za pružatelje usluga koji posluju prekogranično. Komisija stoga smatra potrebnim donijeti takve tehničke provedbene mjere.
(5)
Ova je Uredba ograničena na obavješćivanje o povredama osobnih podataka i stoga se njome ne utvrđuju tehničke provedbene mjere koje se odnose na članak 4. stavak 2. Direktive 2002/58/EZ o obavješćivanju pretplatnika u slučaju posebnog rizika od kršenja sigurnosti mreže.
(6)
Iz prvog podstavka članka 4. stavka 3. Direktive 2002/58/EZ proizlazi da bi pružatelji usluga trebali obavijestiti nadležno nacionalno tijelo o svim povredama osobnih podataka. Stoga se pružatelju usluga ne bi trebalo dati nikakvo diskrecijsko pravo u pogledu toga hoće li ili neće obavijestiti nadležno nacionalno tijelo. Međutim, time se ne bi trebalo spriječiti predmetno nadležno nacionalno tijelo da odredi prioritete u vezi s istraživanjem određenih povreda na način koji smatra prikladnim u skladu s primjenljivim pravom te da poduzme potrebne korake s ciljem izbjegavanja prekomjernog ili nedovoljnog izvješćivanja o povredama osobnih podataka.
(7)
Prikladno je osigurati sustav za obavješćivanje nadležnog nacionalnog tijela o povredama osobnih podataka koji se sastoji, u slučaju da su ispunjeni određeni uvjeti, od različitih faza, od kojih svaka podliježe određenim vremenskim ograničenjima. Tim se sustavom namjerava osigurati što ranije i potpunije moguće obavješćivanje nadležnog nacionalnog tijela, pri čemu se, međutim, ne bi trebalo nepotrebno sprečavati pružatelja usluga u njegovim nastojanjima da istraži povredu i poduzme potrebne mjere za njezino ograničavanje i za otklanjanje posljedica takve povrede.
(8)
Sama sumnja da je došlo do povrede osobnih podataka ili samo otkrivanje nezgode bez raspolaganja dostatnim informacijama nisu dovoljni, usprkos najvećim naporima koje je pružatelj napravio u tu svrhu, da bi se u smislu ove Uredbe smatralo da je otkrivena povreda osobnih podataka. S tim u vezi, posebno bi trebalo uzeti u obzir raspoloživost informacija iz Priloga I.
(9)
U kontekstu primjene ove Uredbe predmetna nadležna nacionalna tijela trebala bi surađivati na slučajevima povreda osobnih podataka s prekograničnim elementima.
(10)
Ovom se Uredbom ne predviđa dodatna specifikacija popisa povreda osobnih podataka koji trebaju voditi pružatelji usluga budući da je u članku 4. Direktive 2002/58/EZ temeljito utvrđen njegov sadržaj. Međutim, pružatelji usluga mogu se pozvati na ovu Uredbu u vezi s određivanjem oblika popisa.
(11)
Sva bi nadležna nacionalna tijela trebala staviti na raspolaganje sigurna elektronička sredstva putem kojih će pružatelji usluga obavješćivati o povredama osobnih podataka na zajedničkom obrascu, koji se temelji na standardu kao što je XML, koji sadrži informacije utvrđene u Prilogu I. i koji je na relevantnim jezicima kako bi se svim pružateljima usluga u Uniji omogućilo postupanje u skladu sa sličnim postupkom obavješćivanja bez obzira na to gdje se nalaze ili gdje se dogodila povreda osobnih podataka. S tim u vezi, Komisija bi trebala olakšati uvođenje sigurnih elektroničkih sredstava sazivanjem sastanaka s nadležnim nacionalnim tijelima ako je to potrebno.
(12)
Prilikom procjene vjerojatnosti da će povreda osobnih podataka imati štetan učinak na osobne podatke ili privatnost pretplatnika ili pojedinca trebali bi se ponajprije uzeti u obzir vrsta i sadržaj predmetnih osobnih podataka, posebno ako se podaci odnose na financijske informacije, kao što su podaci o kreditnoj kartici i pojedinosti o bankovnom računu, posebne kategorije podataka iz članka 8. stavka 1. Direktive 95/46/EZ i određene podatke koji su izričito povezani s pružanjem telefonskih ili internetskih usluga, odnosno podatke o e-pošti, podatke o lokaciji, datoteke s podacima o prijavama na internet, povijest pretraživanja interneta i detaljne ispise poziva.
(13)
U izvanrednim okolnostima pružatelju usluga trebalo bi se dopustiti da odgodi obavješćivanje pretplatnika ili pojedinca ako bi se obavješćivanjem pretplatnika ili pojedinca mogla ugroziti pravilna istraga povrede osobnih podataka. U tom kontekstu izvanredne okolnosti mogu uključivati kaznene istrage, kao i druge povrede osobnih podataka koje nisu ekvivalent teškog kaznenog djela, ali u slučaju kojih može biti prikladno odgoditi obavijest. U svakom slučaju, nadležno nacionalno tijelo trebalo bi za svaki slučaj pojedinačno i s obzirom na okolnosti procijeniti je li suglasno s odgodom obavijesti ili zahtijeva obavijest.
(14)
Pružatelji usluga trebali bi zbog svog izravnog ugovornog odnosa s pretplatnicima imati njihove kontaktne podatke, međutim takve informacije možda ne postoje za druge pojedince na koje štetno utječe povreda osobnih podataka. U tom bi slučaju pružatelju usluga trebalo biti dopušteno da te pojedince obavijesti prvo putem oglasa u glavnim nacionalnim ili regionalnim medijima, kao što su novine, a nakon toga što je prije moguće slanjem pojedinačne obavijesti kako je predviđeno ovom Uredbom. Stoga pružatelj usluga kao takav nije obvezan obavješćivati putem medija, već mu se to dopušta, ako to želi, kada je još uvijek u procesu utvrđivanja svih zahvaćenih pojedinaca.
(15)
Informacije o povredi trebale bi se odnositi na povredu i ne bi se trebale povezivati s informacijama o drugoj temi. Na primjer, uključivanje informacija o povredi osobnih podataka u redovan račun ne bi se trebalo smatrati primjerenim načinom obavješćivanja o povredi osobnih podataka.
(16)
Ovom se Uredbom ne utvrđuju posebne tehničke mjere zaštite kojima se opravdava odstupanje od obveze obavješćivanja pretplatnika ili pojedinaca o povredama osobnih podataka budući da se te mjere mogu promijeniti s razvojem tehnologije. Međutim, Komisija bi trebala imati mogućnost objavljivanja indikativnog popisa takvih posebnih tehničkih mjera zaštite u skladu s postojećim praksama.
(17)
Uvođenje kodiranja ili raspršenog adresiranja (hashing) ne bi se samo po sebi trebalo smatrati dostatnom osnovom na temelju koje pružatelji usluga mogu u širem smislu tvrditi da su ispunili opću sigurnosnu obvezu predviđenu člankom 17. Direktive 95/46/EZ. U tom bi smislu pružatelji usluga trebali također uvesti odgovarajuće organizacijske i tehničke mjere za sprečavanje, otkrivanje i blokiranje povreda osobnih podataka. Pružatelji bi usluga trebali razmotriti sve preostale rizike koji su možda prisutni nakon provedbe kontrola kako bi razumjeli gdje se mogu pojaviti povrede osobnih podataka.
(18)
Ako pružatelj usluga koristi drugog pružatelja usluga za obavljanje dijela usluge, na primjer u vezi s funkcijama izdavanja računa ili upravljanja, taj drugi pružatelj usluga, koji nije u izravnom ugovornom odnosu s krajnjim korisnikom, ne bi trebao imati obvezu davanja obavijesti u slučaju povrede osobnih podataka. Umjesto toga, on bi trebao upozoriti i obavijestiti pružatelja usluga s kojim je u izravnom ugovornom odnosu. Navedeno bi se trebalo također primjenjivati u kontekstu pružanja elektroničkih komunikacijskih usluga na veleprodajnoj razini, kada pružatelj usluga na veleprodajnoj razini obično nije u izravnom ugovornom odnosu s krajnjim korisnikom.
(19)
Direktivom 95/46/EZ utvrđen je opći okvir za zaštitu osobnih podataka u Europskoj uniji. Komisija je iznijela prijedlog Uredbe Europskog parlamenta i Vijeća kojom se treba zamijeniti Direktiva 95/46/EZ (Uredba o zaštiti podataka). Predloženom Uredbom o zaštiti podataka uvela bi se obveza obavješćivanja o povredama osobnih podataka za sve nadzornike podataka na temelju članka 4. stavka 3. Direktive 2002/58/EZ. Sadašnja Uredba Komisije potpuno je u skladu s predloženom mjerom.
(20)
Predloženom Uredbom o zaštiti podataka također se uvodi ograničeni broj tehničkih prilagodbi Direktive 2002/58/EZ kako bi se uzelo u obzir preoblikovanje Direktive 95/46/EZ u Uredbu. Materijalne pravne posljedice nove Uredbe za Direktivu 2002/58/EZ bit će predmetom preispitivanja koje provodi Komisija.
(21)
Primjena ove Uredbe trebala bi se preispitati tri godine nakon njezina stupanja na snagu, a njezin bi se sadržaj trebao preispitati s obzirom na pravni okvir koji je na snazi u tom trenutku, uključujući predloženu Uredbu o zaštiti podataka. Preispitivanje ove Uredbe trebalo bi, ako je to moguće, biti povezano sa svim budućim preispitivanjima Direktive 2002/58/EZ.
(22)
Primjena ove Uredbe može se ocijeniti na temelju, između ostalog, bilo kojih statističkih podataka koje nadležna nacionalna tijela vode o povredama osobnih podataka o kojima su obaviještena. Ti statistički podaci mogu uključivati, na primjer, informacije o broju povreda osobnih podataka o kojima je obaviješteno nadležno nacionalno tijelo, broju povreda osobnih podataka o kojima je obaviješten pretplatnik ili pojedinac, vrijeme koje je bilo potrebno za rješavanje povrede osobnih podataka i jesu li poduzete tehničke mjere zaštite. Tim bi se statističkim podacima Komisiji i državama članicama trebali osigurati dosljedni i usporedivi statistički podaci, pri čemu oni ne bi trebali otkriti identitet pružatelja usluga koji dostavlja obavijest, kao ni identitet uključenih pretplatnika ili pojedinaca. Komisija može u tu svrhu također održavati redovne sastanke s nadležnim nacionalnim tijelima i drugim interesnim skupinama.
(23)
Mjere predviđene u ovoj Uredbi u skladu su s mišljenjem Odbora za komunikacije,
DONIJELA JE OVU UREDBU:
Članak 1.
Područje primjene
Ova se Uredba primjenjuje na obavješćivanje o povredama osobnih podataka od strane pružatelja javno dostupnih elektroničkih komunikacijskih usluga („pružatelj usluga”).
Članak 2.
Obavješćivanje nadležnog nacionalnog tijela
1. Pružatelj usluga obavješćuje nadležno nacionalno tijelo o svim povredama osobnih podataka.
2. Pružatelj usluga obavješćuje nadležno nacionalno tijelo o povredi osobnih podataka najkasnije 24 sata nakon otkrivanja povrede osobnih podataka ako je to izvedivo.
U svoju obavijest nadležnom nacionalnom tijelu pružatelj usluga uključuje informacije predviđene u Prilogu I.
Povreda osobnih podataka smatra se otkrivenom kada je pružatelj usluga u dovoljnoj mjeri upoznat s time da je došlo do nezgode u vezi sa sigurnosnom zaštitom zbog koje su ugroženi osobni podaci, s ciljem dostavljanja smislene obavijesti kako je propisano ovom Uredbom.
3. Ako na raspolaganju nisu sve informacije predviđene u Prilogu I. i ako je potrebna daljnja istraga povrede osobnih podataka, pružatelju usluga dopušteno je da početnu obavijest dostavi nadležnom nacionalnom tijelu najkasnije 24 sata nakon otkrivanja povrede osobnih podataka. Početna obavijest nadležnom nacionalnom tijelu uključuje informacije predviđene u odjeljku 1. Priloga I. Pružatelj usluga dostavlja drugu obavijest nadležnom nacionalnom tijelu što je prije moguće, a najkasnije u roku od tri dana od početne obavijesti. Druga obavijest uključuje informacije predviđene u odjeljku 2. Priloga I. i u njoj su, prema potrebi, ažurirane već dostavljene informacije.
Ako pružatelj usluga usprkos svojoj istrazi ne može osigurati sve informacije u roku od tri dana od početne obavijesti, pružatelj usluga dostavlja sve informacije kojima raspolaže u tom vremenskom roku i nadležnom nacionalnom tijelu šalje utemeljeno obrazloženje za kasnu dostavu preostalih informacija. Pružatelj usluga dostavlja preostale informacije nadležnom nacionalnom tijelu i prema potrebi ažurira već dostavljene informacije što je prije moguće.
4. Nadležno nacionalno tijelo svim pružateljima usluga s poslovnim nastanom u predmetnoj državi članici osigurava sigurno elektroničko sredstvo za obavješćivanje o povredama osobnih podataka i informacije o postupcima za pristup tom sredstvu i njegovu uporabu. Komisija prema potrebi saziva sastanke s nadležnim nacionalnim tijelima kako bi olakšala primjenu ove odredbe.
5. Ako povreda osobnih podataka utječe na pretplatnike ili pojedince iz država članica koje nisu država članica nadležnog nacionalnog tijela koje je obaviješteno o povredi osobnih podataka, nadležno nacionalno tijelo obavješćuje druga zainteresirana nadležna tijela.
Kako bi olakšala primjenu ove odredbe, Komisija uspostavlja i vodi popis nadležnih nacionalnih tijela i odgovarajućih kontaktnih točaka.
Članak 3.
Obavješćivanje pretplatnika ili pojedinca
1. Ako bi povreda osobnih podataka mogla imati štetan učinak na osobne podatke ili privatnost pretplatnika ili pojedinca, pružatelj usluga dužan je, pored obavijesti iz članka 2., o povredi obavijestiti i pretplatnika ili pojedinca.
2. Vjerojatnost da će povreda osobnih podataka imati štetan učinak na osobne podatke ili privatnost pretplatnika ili pojedinca procjenjuje se uzimajući posebno u obzir sljedeće okolnosti:
(a)
vrstu i sadržaj predmetnih osobnih podataka, posebno ako se podaci odnose na financijske informacije, posebne kategorije podataka iz članka 8. stavka 1. Direktive 95/46/EZ, podatke o lokaciji, datoteke s podacima o prijavama na internet, povijest pretraživanja interneta, podatke o e-pošti i detaljne ispise poziva;
(b)
moguće posljedice povrede osobnih podataka za predmetnog pretplatnika ili pojedinca, posebno ako bi povreda mogla rezultirati krađom identiteta ili prijevarom, fizičkom ozljedom, psihološkim poteškoćama, poniženjem ili narušavanjem ugleda; i
(c)
okolnosti povrede osobnih podataka, posebno ako su podaci ukradeni ili ako pružatelj usluga zna da su podaci u posjedu neovlaštene treće strane.
3. Pretplatnika ili pojedinca obavješćuje se bez nepotrebnog odlaganja o povredi osobnih podataka nakon što je otkrivena, u skladu s trećim podstavkom članka 2. stavka 2. To ne ovisi o obavješćivanju nadležnog nacionalnog tijela o povredi osobnih podataka iz članka 2.
4. U svoju obavijest pretplatniku ili pojedincu pružatelj usluga uključuje informacije predviđene u Prilogu II. Obavijest pretplatniku ili pojedincu mora biti iskazana jasnim i lako razumljivim jezikom. Pružatelj usluga ne smije koristiti obavijest kao priliku za promidžbu ili oglašavanje novih ili dodatnih usluga.
5. U izvanrednim okolnostima, ako bi se obavješćivanjem pretplatnika ili pojedinca mogla ugroziti pravilna istraga povrede osobnih podataka, pružatelju usluga dopušteno je, nakon pribavljanja suglasnosti nadležnog nacionalnog tijela, da odgodi obavješćivanje pretplatnika ili pojedinca sve dok nadležno nacionalno tijelo ne bude smatralo da je moguće poslati obavijest o povredi osobnih podataka u skladu s ovim člankom.
6. Pružatelj usluga obavješćuje pretplatnika ili pojedinca o povredi osobnih podataka sredstvima komunikacije kojima se osigurava pravodobno primanje informacija i koja su na odgovarajući način zaštićena u skladu s najnovijim tehničkim dostignućima. Informacije o povredi odnose se na povredu i ne povezuju se s informacijama o drugoj temi.
7. Ako pružatelj usluga koji je u izravnom ugovornom odnosu s krajnjim korisnikom usprkos svojim razumnim naporima ne može u roku iz stavka 3. utvrditi sve pojedince na koje će vjerojatno štetno utjecati povreda osobnih podataka, pružatelj usluga može obavijestiti te pojedince putem oglasa u glavnim nacionalnim ili regionalnim medijima u relevantnim državama članicama u navedenom roku. Takvi oglasi sadrže informacije predviđene u Prilogu II., prema potrebi u sažetom obliku. U tom slučaju pružatelj usluga i dalje čini sve razumne napore kako bi identificirao te pojedince i obavijestio ih u što kraćem roku o informacijama predviđenim u Prilogu II.
Članak 4.
Tehničke mjere zaštite
1. Odstupajući od članka 3. stavka 1., obavješćivanje predmetnog pretplatnika ili pojedinca o povredi osobnih podataka nije potrebno ako je pružatelj usluga nadležnom nacionalnom tijelu pružio zadovoljavajuće dokaze da je uveo odgovarajuće tehničke mjere zaštite i da su te mjere primijenjene na podatke na koje se odnosi proboj zaštitnih mjera. Takvim tehničkim mjerama zašite podaci postaju nerazumljivi svim osobama koje nisu ovlaštene pristupati tim podacima.
2. Podaci se smatraju nerazumljivima:
(a)
ako su sigurno kodirani standardnim algoritmom, ako ključ korišten za dekodiranje podataka nije ugrožen probojem zaštitnih mjera i ako je ključ korišten za dekodiranje podataka izrađen na takav način da ga pomoću dostupnih tehnoloških sredstava ne može utvrditi nijedna osoba koja nije ovlaštena pristupiti ključu; ili
(b)
ako su zamijenjeni svojom raspršenom vrijednošću koja se izračunava standardiziranom funkcijom raspršivanja pomoću kriptografskog ključa, ako ključ korišten za raspršivanje podataka nije ugrožen probojem zaštitnih mjera i ako je ključ korišten za raspršivanje podataka izrađen na takav način da ga pomoću dostupnih tehnoloških sredstava ne može utvrditi nijedna osoba koja nije ovlaštena pristupiti ključu.
3. Komisija može, nakon savjetovanja s nadležnim nacionalnim tijelima putem radne skupine iz članka 29., Europskom agencijom za mrežnu i informacijsku sigurnosti i Europskim nadzornikom za zaštitu podataka, objaviti indikativni popis odgovarajućih tehničkih mjera zaštite iz stavka 1. u skladu s postojećim praksama.
Članak 5.
Korištenje drugog pružatelja usluga
Ako se sklopi ugovor za pružanje dijela elektroničkih komunikacijskih usluga s drugim pružateljem usluga koji nije u izravnom ugovornom odnosu s pretplatnicima, taj drugi pružatelj usluga treba u slučaju povrede osobnih podataka bez odlaganja obavijestiti pružatelja usluga naručitelja.
Članak 6.
Izvješćivanje i preispitivanje
U roku od tri godina od stupanja na snagu ove Uredbe Komisija dostavlja izvješće o primjeni ove Uredbe, njezinoj učinkovitosti i njezinim učincima na pružatelje usluga, pretplatnike i pojedince. Komisija na temelju tog izvješća preispituje ovu Uredbu.
Članak 7.
Stupanje na snagu
Ova Uredba stupa na snagu 25. kolovoza 2013.
Ova je Uredba u cijelosti obvezujuća i izravno se primjenjuje u svim državama članicama.
Sastavljeno u Bruxellesu 24. lipnja 2013.