NAŘÍZENÍ KOMISE (EU) č. 611/2013
ze dne 24. června 2013
o opatřeních vztahujících se na oznámení o narušení bezpečnosti osobních údajů podle směrnice Evropského parlamentu a Rady 2002/58/ES o soukromí a elektronických komunikacích
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (Směrnice o soukromí a elektronických komunikacích) (1), a zejména na čl. 4 odst. 5 uvedené směrnice,
po konzultaci s Evropskou agenturou pro bezpečnost sítí a informací (ENISA),
po konzultaci s pracovní skupinou pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízenou článkem 29 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (2) (dále jen „pracovní skupina zřízená podle článku 29“),
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
Směrnice 2002/58/ES harmonizuje předpisy členských států požadované pro zajištění rovnocenné úrovně ochrany základních práv a svobod, zejména práva na soukromí a zachování důvěrnosti informací, se zřetelem na zpracování osobních údajů v odvětví elektronických komunikací, a pro zajištění volného pohybu těchto údajů a elektronických komunikačních zařízení a služeb v Unii.
(2)
Podle článku 4 směrnice 2002/58/ES jsou poskytovatelé veřejně dostupných služeb elektronických komunikací povinni oznámit narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům a v některých případech také dotčeným účastníkům a jednotlivcům. Narušení bezpečnosti osobních údajů je definováno v čl. 2 písm. i) směrnice 2002/58/ES jako narušení bezpečnosti, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně či neoprávněnému vyzrazení nebo zpřístupnění osobních údajů přenášených, uchovávaných nebo jinak zpracovávaných v souvislosti s poskytováním veřejně dostupné služby elektronických komunikací v Unii.
(3)
Pro zajištění důsledného provádění opatření uvedených v čl. 4 odst. 2, 3 a 4 směrnice 2002/58/ES se v čl. 4 odst. 5 uvedeného nařízení Komise zmocňuje k přijetí technických prováděcích opatření týkajících se okolností, formátu a postupů, jež se vztahují na požadavky informování a oznamování podle uvedeného článku.
(4)
Rozdílné požadavky členských států v tomto ohledu mohou vést k právní nejistotě, složitějším a zdlouhavějším postupům a značným administrativním nákladům poskytovatelů, kteří působí v přeshraničním styku. Komise proto zastává názor, že je nutné přijmout tato technická prováděcí opatření.
(5)
Toto nařízení se omezuje na oznámení o narušení bezpečnosti osobních údajů, a proto nestanoví technická prováděcí opatření týkající se čl. 4 odst. 2 směrnice 2002/58/ES o informování účastníků v případě zvláštního rizika narušení bezpečnosti sítě.
(6)
Z čl. 4 odst. 3 prvního pododstavce směrnice 2002/58/ES vyplývá, že poskytovatelé by měli oznámit příslušnému vnitrostátnímu orgánu všechny případy narušení bezpečnosti osobních údajů. Rozhodnutí, zda je či není třeba oznámit narušení příslušnému vnitrostátnímu orgánu, by proto nemělo být ponecháno na vůli poskytovatele. To by však nemělo bránit příslušnému vnitrostátnímu orgánu, aby v souladu s platnými právními předpisy nepřistoupil k vyšetřování některých narušení přednostně podle jejich důležitosti a nepodnikl kroky nezbytné k tomu, aby se zabránilo přílišnému nebo nedostatečnému hlášení o narušení bezpečnosti osobních údajů.
(7)
Je třeba stanovit systém pro oznamování narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu, který by za splnění některých podmínek sestával z různých etap, pro něž by platily konkrétní lhůty. Systém by měl zajistit, aby příslušný vnitrostátní orgán byl informován co nejdříve a co nejúplněji, aniž by se tím neodůvodněně bránilo poskytovateli ve snaze narušení vyšetřit a přijmout nezbytná opatření k jeho omezení a nápravě důsledků.
(8)
Pouhé podezření, že došlo k narušení bezpečnosti osobních údajů, ani pouhé zjištění události bez dostatečných informací, které se ani přes největší úsilí nepodařilo poskytovateli získat, nepostačuje pro účely tohoto nařízení k tomu, aby bylo možné konstatovat, že došlo k odhalení narušení bezpečnosti osobních údajů. Zvláštní ohled je v této souvislosti třeba věnovat dostupnosti informací uvedených v příloze I.
(9)
V souvislosti s uplatňováním tohoto nařízení by v případech narušení bezpečnosti osobních údajů s přeshraničním rozměrem měly příslušné vnitrostátní orgány mezi sebou spolupracovat.
(10)
Toto nařízení nestanoví žádné upřesnění přehledu narušení bezpečnosti osobních údajů, které mají provozovatelé vést, protože v článku 4 směrnice 2002/58/ES je jeho obsah stanoven vyčerpávajícím způsobem. Poskytovatelé však při určování formátu přehledu mohou použít odkaz na toto nařízení.
(11)
Všechny příslušné vnitrostátní orgány by měly poskytovatelům zpřístupnit bezpečné elektronické prostředky umožňující oznamovat narušení bezpečnosti osobních údajů ve společném formátu, a to na základě normy, jako je např. XML, který bude obsahovat údaje stanovené v příloze I v příslušných jazycích tak, aby všichni poskytovatelé v rámci Unie mohli používat obdobný postup oznamování bez ohledu na to, kde se nacházejí nebo kde došlo k narušení bezpečnosti osobních údajů. V této souvislosti by Komise podle potřeby měla usnadnit zavádění bezpečných elektronických prostředků pořádáním setkání s příslušnými vnitrostátními orgány.
(12)
Při posuzování, zda by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno vzít v úvahu zejména povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, jako jsou např. údaje o kreditní kartě nebo bankovním účtu, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES a některé údaje, které se konkrétně týkají poskytování telefonních a internetových služeb, tj. údaje o elektronické poště, lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek a podrobné rozpisy uskutečněných volání.
(13)
Za výjimečných okolností, jestliže by oznámení účastníkovi nebo jednotlivci mohlo ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, by poskytovatel měl mít možnost oznámení účastníkovi nebo jednotlivci pozdržet. V tomto ohledu mohou výjimečné okolnosti zahrnovat trestní vyšetřování, jakož i další narušení bezpečnosti osobních údajů, která nelze považovat za závažnou trestnou činnost, kvůli nimž však může být vhodné oznámení odložit. Příslušný vnitrostátní orgán by za všech okolností měl v každém jednotlivém případě a s ohledem na okolnosti posoudit, zda se oznámení odloží, nebo zda bude vyžadováno.
(14)
Zatímco poskytovatelé by díky přímému smluvnímu vztahu měli mít kontaktní údaje svých účastníků, o ostatních jednotlivcích nepříznivě ovlivněných narušením bezpečnosti osobních údajů tyto informace mít nemusí. V takovém případě by poskytovatel měl mít možnost nejprve tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích, např. v novinách, a následně jim tuto skutečnost co nejdříve oznámit jednotlivě, jak je stanoveno v tomto nařízení. Poskytovatel jako takový tedy není povinen zveřejnit informace v médiích, ale je oprávněn postupovat případně tímto způsobem, pokud stále ještě probíhá zjišťování totožnosti ovlivněných jednotlivců.
(15)
Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi. Za přiměřený prostředek oznámení o narušení bezpečnosti osobních údajů by například nemělo být považováno uvedení informace o narušení bezpečnosti osobních údajů v běžné faktuře.
(16)
Toto nařízení nestanoví žádná zvláštní technická ochranná opatření, která odůvodňují odchylku od povinnosti oznamovat narušení bezpečnosti osobních údajů účastníkům nebo jednotlivcům, neboť ta se mohou v důsledku technologického pokroku v průběhu času měnit. Komise by však měla mít možnost zveřejnit orientační seznam těchto zvláštních technických ochranných opatření v souladu s platnými postupy.
(17)
Kódování nebo hašování nelze samo o sobě považovat za dostatečný způsob ochrany, který by poskytovatelům obecně umožňoval tvrdit, že splnili všechny všeobecné bezpečnostní povinnosti stanovené v článku 17 směrnice 95/46/ES. V tomto ohledu by poskytovatelé měli také provádět vhodná organizační a technická opatření na prevenci, odhalování a zamezení narušení bezpečnosti osobních údajů. Poskytovatelé by měli zvážit veškerá rizika, která mohou přetrvávat po provedení kontrol, aby bylo možné rozpoznat, kde může dojít k narušení bezpečnosti osobních údajů.
(18)
Pokud provozovatel k poskytování služeb částečně používá jiného poskytovatele, např. pro účely účtování nebo řízení, tento jiný poskytovatel, který není v přímém smluvním vztahu s koncovým uživatelem, by neměl mít povinnost v případě narušení bezpečnosti osobních údajů podávat oznámení. Místo toho by měl uvědomit a informovat poskytovatele, s nímž má přímý smluvní vztah. To by mělo platit i v souvislosti s velkoobchodním poskytováním služeb elektronických komunikací, kde obvykle velkoobchodní poskytovatel není v přímém smluvním vztahu s koncovým uživatelem.
(19)
Směrnice 95/46/ES vymezuje obecný rámec pro ochranu osobních údajů v Evropské unii. Komise předložila návrh nařízení Evropského parlamentu a Rady (dále jako „nařízení o ochraně údajů“), které by mělo směrnici 95/46/ES nahradit. Navrhované nařízení o ochraně údajů by na základě čl. 4 odst. 3 směrnice 2002/58/ES zavedlo pro všechny správce povinnost oznamovat narušení bezpečnosti osobních údajů. Toto nařízení Komise je s tímto opatřením plně v souladu.
(20)
Navrhované nařízení o ochraně údajů v omezeném rozsahu rovněž provádí technické úpravy ve směrnici 2002/58/ES s ohledem na změnu směrnice 95/46/ES na nařízení. Podstatné právní důsledky nového nařízení pro směrnici 2002/58/ES budou předmětem přezkumu, který provede Komise.
(21)
Uplatňování tohoto nařízení by mělo být přezkoumáno tři roky po jeho vstupu v platnost a jeho obsah by měl být přezkoumán s ohledem na právní rámec, který bude v platnosti v uvedené době, včetně navrhovaného nařízení o ochraně údajů. Přezkum tohoto nařízení by měl v budoucnosti být, bude-li to možné, spojen s každým přezkumem směrnice 2002/58/ES.
(22)
Uplatňování tohoto nařízení může být posuzováno mimo jiné na základě statistických údajů, které příslušné vnitrostátní orgány vedou o narušeních bezpečnosti osobních údajů, o nichž byly informovány. Tyto statistiky mohou zahrnovat např. informace o počtu narušení bezpečnosti osobních údajů oznámených příslušnému vnitrostátnímu orgánu, počtu případů narušení bezpečnosti osobních údajů oznámených účastníkovi nebo jednotlivci, době potřebné na vyřešení narušení bezpečnosti osobních údajů, a informace o tom, zda byla přijata technická ochranná opatření. Tyto statistiky by měly poskytovat Komisi a členským státům konzistentní a srovnatelné statistické údaje a neměly by odhalovat totožnost oznamujícího poskytovatele ani dotčených účastníků nebo jednotlivců. Komise může za tímto účelem rovněž pořádat pravidelná setkání s příslušnými vnitrostátními orgány a jinými zúčastněnými stranami.
(23)
Opatření tohoto nařízení jsou v souladu se stanoviskem Komunikačního výboru,
PŘIJALA TOTO NAŘÍZENÍ:
Článek 1
Oblast působnosti
Toto nařízení se vztahuje na oznámení poskytovatelů veřejně dostupných služeb elektronických komunikací (dále jen „poskytovatel“) o narušení bezpečnosti osobních údajů.
Článek 2
Oznámení příslušnému vnitrostátnímu orgánu
1. Poskytovatel oznámí všechna narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu.
2. Poskytovatel oznámí narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu nejpozději 24 hodin po zjištění narušení bezpečnosti osobních údajů, pokud je to proveditelné.
Poskytovatel ve svém oznámení příslušnému vnitrostátnímu orgánu uvede informace stanovené v příloze I.
Za zjištění narušení bezpečnosti osobních údajů se považuje situace, kdy poskytovatel získal dostatečné informace o tom, že došlo k bezpečnostní události, která měla za následek narušení osobních údajů, aby podal opodstatněné oznámení podle tohoto nařízení.
3. Jestliže nejsou k dispozici všechny informace stanovené v příloze I a je nutné další vyšetřování narušení bezpečnosti osobních údajů, může poskytovatel podat první oznámení příslušnému vnitrostátnímu orgánu nejpozději do 24 hodin po zjištění narušení bezpečnosti osobních údajů. Toto první oznámení příslušnému vnitrostátnímu orgánu musí obsahovat informace stanovené v příloze I oddíle 1. Poskytovatel je povinen podat příslušnému vnitrostátnímu orgánu co nejdříve, nejpozději do tří dnů po prvním oznámení, druhé oznámení. Toto druhé oznámení obsahuje informace stanovené v příloze I oddíle 2 a v případě potřeby aktualizuje již poskytnuté údaje.
Jestliže poskytovatel ani po vyšetřování nemůže ve lhůtě tří dnů od prvního oznámení poskytnout všechny informace, oznámí všechny informace, které má v této lhůtě k dispozici a předloží příslušnému vnitrostátnímu orgánu odůvodnění, proč musí být zbývající informace oznámeny později. Poskytovatel co možná nejdříve oznámí zbývající informace příslušnému vnitrostátnímu orgánu a v případě potřeby aktualizuje již poskytnuté údaje.
4. Příslušný vnitrostátní orgán poskytne všem poskytovatelům usazeným v dotčeném členském státě bezpečný elektronický prostředek pro oznamování narušení bezpečnosti osobních údajů a informace o postupech přístupu k němu a jeho používání. V zájmu snazšího uplatňování tohoto ustanovení Komise podle potřeby pořádá pravidelná setkání s příslušnými vnitrostátními orgány.
5. V případě, že se narušení bezpečnosti osobních údajů týká účastníků nebo jednotlivců z jiných členských států, než je členský stát příslušného vnitrostátního orgánu, jemuž bylo narušení bezpečnosti osobních údajů oznámeno, příslušný vnitrostátní orgán informuje orgány ostatních dotčených členských států.
Pro usnadnění uplatňování tohoto ustanovení Komise vytvoří a povede seznam příslušných vnitrostátních orgánů a příslušných kontaktních míst.
Článek 3
Oznámení účastníkovi nebo jednotlivci
1. Pokud by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, musí poskytovatel kromě oznámení uvedeného v článku 2 toto porušení oznámit rovněž účastníkovi nebo jednotlivci.
2. Při posuzování, zda narušení bezpečnosti osobních údajů může mít nepříznivý vliv na osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno brát ohled zejména na tyto okolnosti:
a)
povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES, jakož i lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek, údaje týkající se elektronické pošty a podrobné údaje o uskutečněných voláních;
b)
pravděpodobné důsledky narušení bezpečnosti osobních údajů pro dotčeného účastníka nebo jednotlivce, zejména tehdy, kdy by porušení mohlo vést ke krádeži nebo zneužití, fyzické újmě, psychickému strádání, ponížení nebo poškození pověsti a
c)
okolnosti narušení bezpečnosti osobních údajů, zejména pokud byly údaje odcizeny nebo pokud je poskytovateli známo, že údaje jsou v držení neoprávněné třetí strany.
3. Oznámení účastníkovi nebo jednotlivci musí být učiněno bez zbytečného odkladu po zjištění narušení bezpečnosti osobních údajů v souladu s čl. 2 odst. 2 třetím pododstavcem. Nesmí záviset na oznámení o narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům podle článku 2.
4. Poskytovatel ve svém oznámení účastníkovi nebo jednotlivci uvede informace stanovené v příloze II. Oznámení účastníkovi nebo jednotlivci musí být jasné a srozumitelné. Poskytovatel nesmí využít oznámení jako příležitost k propagaci nebo nabídce nových či doplňkových služeb.
5. Ve výjimečných případech, kdy oznámení účastníkovi nebo jednotlivci může ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, má poskytovatel možnost po získání souhlasu příslušného vnitrostátního orgánu oznámení účastníkovi nebo jednotlivci pozdržet, dokud příslušný vnitrostátní orgán neusoudí, že je možné oznámit narušení bezpečnosti osobních údajů podle tohoto článku.
6. Poskytovatel oznámí účastníkovi nebo jednotlivci narušení bezpečnosti osobních údajů takovým způsobem, který umožňuje rychlé předání informací a který je podle nejnovějších poznatků náležitě zabezpečen. Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi.
7. Pokud poskytovatel, který je v přímém smluvním vztahu s koncovým uživatelem, ani přes vynaložené úsilí není schopen ve lhůtě uvedené v odstavci 3 určit všechny jednotlivce, kteří by narušením bezpečnosti osobních údajů mohli být nepříznivě ovlivněni, může v uvedené lhůtě tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích v příslušných členských státech. Uvedená oznámení musí obsahovat informace stanovené v příloze II, v případě potřeby ve stručné formě. V takovém případě poskytovatel pokračuje v úsilí vedoucím k identifikaci těchto jednotlivců a co nejdříve jim oznámí informace uvedené v příloze II.
Článek 4
Technická ochranná opatření
1. Odchylně od čl. 3 odst. 1 se oznámení o narušení bezpečnosti osobních údajů dotčenému účastníkovi nebo jednotlivci nevyžaduje, pokud poskytovatel ke spokojenosti příslušného vnitrostátního orgánu prokázal, že zavedl náležitá technická ochranná opatření a že tato opatření byla na údaje, jichž se narušení bezpečnosti týká, použita. Tato technická ochranná opatření zajistí, aby údaje nebyly srozumitelné pro nikoho, kdo není k přístupu k nim oprávněn.
2. Údaje se považují za nesrozumitelné, jestliže:
a)
byly bezpečně zašifrovány normalizovaným algoritmem, klíč použitý k dešifrování údajů nebyl žádným narušením bezpečnosti ohrožen a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu, nebo
b)
byly nahrazeny svou zahašovanou hodnotou vypočítanou pomocí normalizované kryptografické hašovací funkce s klíčem, klíč použitý k hašování údajů nebyl ohrožen žádným narušením bezpečnosti a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu.
3. Komise může po konzultaci s příslušnými vnitrostátními orgány prostřednictvím pracovní skupiny zřízené podle článku 29, Evropskou agenturou pro bezpečnost sítí a informací a evropským inspektorem ochrany údajů zveřejnit orientační seznam vhodných technických ochranných opatření uvedených v odstavci 1 v souladu s platnými postupy.
Článek 5
Použití jiného poskytovatele
Jestliže je jiný poskytovatel smluvně zavázán, aby poskytl část služeb elektronických komunikací, aniž by byl v přímém smluvním vztahu s účastníky, tento další poskytovatel v případě, že došlo k narušení bezpečnosti osobních údajů, okamžitě informuje smluvního poskytovatele.
Článek 6
Podávání zpráv a přezkum
Do tří let od vstupu tohoto nařízení v platnost Komise předloží zprávu o uplatňování tohoto nařízení, jeho účinnosti a dopadu na poskytovatele, účastníky a jednotlivce. Na základě uvedené zprávy Komise toto nařízení přezkoumá.
Článek 7
Vstup v platnost
Toto nařízení vstupuje v platnost dne 25. srpna 2013.
Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.
V Bruselu dne 24. června 2013.
ΚΑΝΟΝΙΣΜΌΣ (ΕΕ) αριθ. 611/2013 ΤΗΣ ΕΠΙΤΡΟΠΉΣ
της 24ης Ιουνίου 2013
σχετικά με τα εφαρμοστέα μέτρα για την κοινοποίηση παραβιάσεων προσωπικών δεδομένων βάσει της οδηγίας 2002/58/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες
Η ΕΥΡΩΠΑΪΚΗ ΕΠΙΤΡΟΠΗ,
Έχοντας υπόψη τη Συνθήκη για τη λειτουργία της Ευρωπαϊκής Ένωσης,
Έχοντας υπόψη την οδηγία 2002/58/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 12ης Ιουλίου 2002, σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα και την προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών (οδηγία για την προστασία ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες) (1), και ιδίως το άρθρο 4 παράγραφος 5,
Έπειτα από διαβούλευση με τον ευρωπαϊκό οργανισμό για την ασφάλεια δικτύων και πληροφοριών (ENISA),
Έπειτα από διαβούλευση με την ομάδα εργασίας σχετικά με την προστασία των προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, η οποία έχει συσταθεί δυνάμει του άρθρου 29 της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (2) (ομάδα εργασίας του άρθρου 29),
Έπειτα από διαβούλευση με τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων ((EDPS),
Εκτιμώντας τα ακόλουθα:
(1)
Η οδηγία 2002/58/ΕΚ προβλέπει την εναρμόνιση των εθνικών διατάξεων οι οποίες απαιτούνται προκειμένου να διασφαλίζεται ισοδύναμο επίπεδο προστασίας των θεμελιωδών δικαιωμάτων και ελευθεριών, και ιδίως του δικαιώματος στην ιδιωτική ζωή και την εμπιστευτικότητα, όσον αφορά την επεξεργασία προσωπικών δεδομένων στον τομέα των ηλεκτρονικών επικοινωνιών, καθώς και να διασφαλίζεται η ελεύθερη κυκλοφορία των δεδομένων αυτών, καθώς και του εξοπλισμού και των υπηρεσιών ηλεκτρονικών επικοινωνιών στην Ένωση.
(2)
Βάσει του άρθρου 4 της οδηγίας 2002/58/ΕΚ, οι φορείς παροχής διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών υποχρεούται να κοινοποιούν στις αρμόδιες εθνικές αρχές, καθώς και -σε ορισμένες περιπτώσεις- στους ενδιαφερόμενους συνδρομητές και άτομα, τις παραβιάσεις προσωπικών δεδομένων. Η παραβίαση προσωπικών δεδομένων ορίζεται στο άρθρο 2 στοιχείο θ) της οδηγίας 2002/58/ΕΚ ως παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή πρόσβαση σε προσωπικά δεδομένα που έχουν διαβιβαστεί, αποθηκευτεί ή κατ’ άλλο τρόπο υποβληθεί σε επεξεργασία, σε συνδυασμό με την παροχή διαθέσιμων στο κοινό ηλεκτρονικών υπηρεσιών επικοινωνιών στην Ένωση.
(3)
Προκειμένου να διασφαλιστεί η συνοχή κατά την εφαρμογή των μέτρων που αναφέρονται στις παραγράφους 2, 3 και 4 του άρθρου 4 της οδηγίας 2002/58/ΕΚ, με το άρθρο 4 παράγραφος 5 εξουσιοδοτείται η Επιτροπή να λαμβάνει τεχνικά εκτελεστικά μέτρα όσον αφορά τις συνθήκες, το μορφότυπο και τις διαδικασίες που εφαρμόζονται στις απαιτήσεις πληροφόρησης και κοινοποίησης που αναφέρονται στο εν λόγω άρθρο.
(4)
Ή Η ύπαρξη διαφορετικών εθνικών απαιτήσεων ενδέχεται εν προκειμένω να οδηγήσει σε νομική αβεβαιότητα, συνθετότερες και επαχθέστερες διαδικασίες, καθώς και να συνεπάγεται σημαντικό διοικητικό κόστος για παρόχους που λειτουργούν διασυνοριακά. Κατά συνέπεια, η Επιτροπή κρίνει απαραίτητη τη θέσπιση σχετικών τεχνικών εκτελεστικών μέτρων.
(5)
Ο παρών κανονισμός περιορίζεται στην κοινοποίηση περιπτώσεων παραβίασης προσωπικών δεδομένων και επομένως δεν ορίζει τεχνικά εκτελεστικά μέτρα όσον αφορά το άρθρο 4 παράγραφος 2 της οδηγίας 2002/58/ΕΚ για ενημέρωση των συνδρομητών σε περίπτωση συγκεκριμένου κινδύνου παραβίασης της ασφάλειας του δικτύου.
(6)
Από το πρώτο εδάφιο του άρθρου 4 παράγραφος 3 της οδηγίας 2002/58/ΕΚ συνάγεται ότι οι πάροχοι οφείλουν να κοινοποιούν στην αρμόδια εθνική αρχή κάθε παραβίαση προσωπικών δεδομένων. Επομένως, ο πάροχος δεν πρέπει να διαθέτει την ευχέρεια να αποφασίζει αν θα κοινοποιεί ή όχι στην αρμόδια εθνική αρχή. Ωστόσο, αυτό δεν πρέπει να εμποδίζει την αρμόδια εθνική αρχή να παραχωρεί προτεραιότητα στη διερεύνηση ορισμένων παραβάσεων κατά τον τρόπο που αυτή κρίνει αναγκαίο, σύμφωνα με την ισχύουσα νομοθεσία, ούτε και να λάβει τα αναγκαία μέτρα για να αποφύγει την υπερβολική ή την ελλιπή αναφορά παραβιάσεων προσωπικών δεδομένων.
(7)
Είναι σκόπιμο να προβλεφθεί ένα σύστημα για την κοινοποίηση στην αρμόδια εθνική αρχή παραβιάσεων προσωπικών δεδομένων, που θα αποτελείται, εφόσον πληρούνται ορισμένες προϋποθέσεις, από διάφορες φάσεις, καθεμία από τις οποίες υπάγεται σε ορισμένα χρονικά όρια. Το σύστημα αυτό έχει ως στόχο να εξασφαλίσει ότι η αρμόδια εθνική αρχή ενημερώνεται το συντομότερο και όσο το δυνατόν πληρέστερα, χωρίς όμως αδικαιολόγητη παρακώλυση του παρόχου στις προσπάθειές του να διερευνήσει την παραβίαση και να λάβει τα αναγκαία μέτρα για περιορισμό και αντιμετώπιση των συνεπειών της.
(8)
Ούτε απλή υποψία ότι έχει συμβεί παραβίαση προσωπικών δεδομένων, ούτε απλή ανίχνευση ενός συμβάντος χωρίς να είναι διαθέσιμες επαρκείς πληροφορίες, παρά τις φιλότιμες προσπάθειες του παρόχου προς τούτο, αρκούν για να θεωρηθεί ότι έχει διαπιστωθεί παραβίαση προσωπικών δεδομένων κατά τους σκοπούς του παρόντος κανονισμού. Ιδιαίτερη προσοχή πρέπει να δοθεί εν προκειμένω στη διαθεσιμότητα των πληροφοριών που αναφέρονται στο παράρτημα Ι.
(9)
Στο πλαίσιο της εφαρμογής του παρόντος κανονισμού, οι αρμόδιες εθνικές αρχές πρέπει να συνεργάζονται σε περιπτώσεις παραβιάσεων προσωπικών δεδομένων με διασυνοριακή διάσταση.
(10)
Ο παρών κανονισμός δεν προβλέπει πρόσθετες προδιαγραφές για την απογραφή των παραβιάσεων προσωπικών δεδομένων που οφείλουν να διατηρούν οι πάροχοι, δεδομένου ότι στο άρθρο 4 της οδηγίας 2002/58/ΕΚ ορίζεται εξαντλητικά το περιεχόμενό της. Ωστόσο, οι πάροχοι μπορούν να παραπέμπουν στον παρόντα κανονισμό για τον καθορισμό της μορφής της απογραφής.
(11)
Όλες οι αρμόδιες εθνικές αρχές οφείλουν να διαθέτουν ένα ασφαλές ηλεκτρονικό μέσο ώστε οι πάροχοι να κοινοποιούν παραβιάσεις προσωπικών δεδομένων σε κοινό μορφότυπο, με βάση ένα πρότυπο όπως το XML, το οποίο περιέχει τις πληροφορίες που καθορίζονται στο παράρτημα Ι στις αντίστοιχες γλώσσες, έτσι ώστε να μπορούν όλοι οι πάροχοι εντός της Ένωσης να ακολουθούν παρόμοια διαδικασία κοινοποίησης, ανεξάρτητα από το πού βρίσκονται ή πού συνέβη η παραβίαση προσωπικών δεδομένων. Στο πλαίσιο αυτό, η Επιτροπή πρέπει να διευκολύνει την εφαρμογή των ασφαλών ηλεκτρονικών μέσων οργανώνοντας συναντήσεις με τις αρμόδιες εθνικές αρχές, όπου είναι αναγκαίο.
(12)
Κατά την εκτίμηση αν μια παραβίαση προσωπικών δεδομένων είναι πιθανό να επηρεάσει αρνητικά τα προσωπικά δεδομένα ή την ιδιωτική ζωή ενός συνδρομητή ή ατόμου, πρέπει να λαμβάνονται ιδίως υπόψη ο χαρακτήρας και το περιεχόμενο των εν λόγω δεδομένων προσωπικού χαρακτήρα, ιδίως όταν τα δεδομένα αφορούν οικονομικές πληροφορίες, όπως στοιχεία πιστωτικών καρτών και στοιχεία τραπεζικών λογαριασμών· ειδικές κατηγορίες δεδομένων που αναφέρονται στο άρθρο 8 παράγραφος 1 της οδηγίας 95/46/ΕΚ· και ορισμένα στοιχεία που σχετίζονται ειδικότερα με την παροχή υπηρεσιών τηλεφωνίας ή διαδικτύου, δηλαδή δεδομένα ηλε-ταχυδρομείου, γεωγραφικής θέσης, διαδικτυακά αρχεία καταγραφής, ιστορικά ιστοπεριήγησης και αναλυτικούς καταλόγους κλήσεων.
(13)
Σε εξαιρετικές περιπτώσεις, πρέπει να επιτρέπεται στον πάροχο να καθυστερήσει για εύλογο χρονικό διάστημα την κοινοποίηση στον συνδρομητή ή άτομο, εφόσον η γνωστοποίηση στον συνδρομητή ή άτομο ενδέχεται να θέσει σε κίνδυνο την ορθή διερεύνηση της παραβίασης προσωπικών δεδομένων. Στο πλαίσιο αυτό, στις εξαιρετικές περιστάσεις μπορεί να περιλαμβάνεται διερεύνηση ποινικών υποθέσεων, καθώς και άλλες παραβιάσεις προσωπικών δεδομένων που δεν ισοδυναμούν με σοβαρό έγκλημα, αλλά για τις οποίες μπορεί να είναι σκόπιμη η αναβολή της κοινοποίησης Σε κάθε περίπτωση, πρέπει να εναπόκειται στην αρμόδια εθνική αρχή να αξιολογήσει, κατά περίπτωση και υπό το φως των περιστάσεων, εάν συμφωνήσει στην αναβολή ή αν απαιτήσει κοινοποίηση.
(14)
Μολονότι οι πάροχοι πρέπει να διαθέτουν τα στοιχεία επικοινωνίας των συνδρομητών τους, δεδομένης της άμεσης συμβατικής σχέσης τους, οι πληροφορίες αυτές ενδέχεται να μην υπάρχουν για άλλα άτομα που θίγονται από την παραβίαση προσωπικών δεδομένων. Σε τέτοια περίπτωση, πρέπει να επιτρέπεται στον πάροχο να ενημερώσει αρχικά τα άτομα αυτά μέσω διαφημίσεων σε μεγάλα εθνικά ή περιφερειακά μέσα επικοινωνίας, όπως είναι οι εφημερίδες, και το συντομότερο δυνατό να ακολουθεί ατομική κοινοποίηση, όπως προβλέπεται στον παρόντα κανονισμό. Επομένως, ο πάροχος δεν υποχρεούται αφεαυτού να ενημερώσει μέσω των μέσων επικοινωνίας, αλλά έχει εντολή να ενεργεί κατ’ αυτόν τον τρόπο, εφόσον επιθυμεί, όταν πρόκειται ακόμα για τη διαδικασία εντοπισμού όλων των ατόμων που επηρεάζονται.
(15)
Οι πληροφορίες σχετικά με την παράβαση πρέπει να χρησιμοποιούνται αποκλειστικά για την παράβαση και να μην σχετίζονται με πληροφορίες σχετικά με άλλο θέμα. Για παράδειγμα, η συμπερίληψη πληροφοριών σχετικά με παραβίαση προσωπικών δεδομένων σε ένα κανονικό τιμολόγιο δεν πρέπει να θεωρείται επαρκές μέσο για να γνωστοποιηθεί μια παραβίαση προσωπικών δεδομένων.
(16)
Ο παρών κανονισμός δεν καθορίζει συγκεκριμένα τεχνολογικά μέτρα προστασίας που να δικαιολογούν παρέκκλιση από την υποχρέωση κοινοποίησης παραβιάσεων προσωπικών δεδομένων σε συνδρομητές ή άτομα, καθώς τα μέτρα αυτά ενδέχεται να αλλάξουν με την πάροδο του χρόνου, ανάλογα με τις τεχνολογικές εξελίξεις. Η Επιτροπή πρέπει, ωστόσο, να είναι σε θέση να δημοσιεύσει ενδεικτικό κατάλογο τέτοιων συγκεκριμένων τεχνολογικών μέτρων προστασίας σύμφωνα με τρέχουσες πρακτικές.
(17)
Η εφαρμογή κρυπτοθέτησης ή κατακερματισμού δεν πρέπει να θεωρείται αφεαυτής επαρκής ώστε να επιτρέψει στους παρόχους να υποστηρίζουν γενικά ότι έχουν εκπληρώσει τη γενική υποχρέωση ασφάλειας που καθορίζεται στο άρθρο 17 της οδηγίας 95/46/ΕΚ. Σε αυτό το πλαίσιο, οι πάροχοι οφείλουν επίσης να εφαρμόζουν επαρκή οργανωτικά και τεχνικά μέτρα για την πρόληψη, τον εντοπισμό και τον αποκλεισμό των παραβιάσεων προσωπικών δεδομένων. Οι πάροχοι πρέπει να εξετάζουν κάθε υπολειπόμενο κίνδυνο που ενδεχομένως υπάρχει μετά την εκτέλεση των ελέγχων ώστε να αντιληφθούν πού είναι πιθανό να παρουσιαστούν παραβιάσεις προσωπικών δεδομένων.
(18)
Σε περίπτωση που ο πάροχος χρησιμοποιεί άλλο πάροχο για την εκτέλεση μέρους της υπηρεσίας, για παράδειγμα σε σχέση με την τιμολόγηση ή τη διαχείριση λειτουργιών, ο εν λόγω άλλος πάροχος που δεν έχει άμεση συμβατική σχέση με τον τελικό χρήστη δεν υποχρεούται να εκδίδει κοινοποιήσεις σε περίπτωση παραβίασης προσωπικών δεδομένων. Αντ’ αυτού, πρέπει να ειδοποιήσουν και να ενημερώσουν τον πάροχο με τον οποίο έχουν άμεση συμβατική σχέση. Αυτό πρέπει να ισχύει και στο πλαίσιο της χονδρικής παροχής υπηρεσιών ηλεκτρονικών επικοινωνιών, όταν τυπικά ο πάροχος χονδρικής δεν έχει άμεση συμβατική σχέση με τον τελικό χρήστη.
(19)
Η οδηγία 95/46/ΕΚ καθορίζει το γενικό πλαίσιο για την προστασία των προσωπικών δεδομένων στην Ευρωπαϊκή Ένωση. Η Επιτροπή υπέβαλε πρόταση κανονισμού του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου για την αντικατάσταση της οδηγίας 95/46/ΕΚ (κανονισμός για την προστασία των δεδομένων). Ο προτεινόμενος κανονισμός για την προστασία των δεδομένων θα εισήγαγε υποχρέωση για όλους τους υπευθύνους επεξεργασίας δεδομένων να κοινοποιούν παραβιάσεις προσωπικών δεδομένων, με βάση το άρθρο 4 παράγραφος 3 της οδηγίας 2002/58/ΕΚ. Ο παρών κανονισμός της Επιτροπής είναι απόλυτα συνεπής με αυτό το προτεινόμενο μέτρο.
(20)
Ο προτεινόμενος κανονισμός για την προστασία των δεδομένων προχωρεί επίσης σε περιορισμένο αριθμό τεχνικών προσαρμογών στην οδηγία 2002/58/ΕΚ, ώστε να ληφθεί υπόψη η μετατροπή της οδηγίας 95/46/ΕΚ σε κανονισμό. Οι ουσιαστικές έννομες συνέπειες του νέου κανονισμού για την οδηγία 2002/58/ΕΚ, θα αποτελέσουν αντικείμενο επανεξέτασης από την Επιτροπή.
(21)
Η εφαρμογή του παρόντος κανονισμού πρέπει να αναθεωρηθεί τρία έτη μετά την έναρξη ισχύος του, ενώ το περιεχόμενο του πρέπει να επανεξεταστεί υπό το πρίσμα του νομικού πλαισίου που θα ισχύει την εποχή εκείνη, συμπεριλαμβανομένου του προτεινόμενου κανονισμού για την προστασία των δεδομένων. Η αναθεώρηση του παρόντος κανονισμού πρέπει να συνδέεται, όπου είναι δυνατόν σε οποιαδήποτε μελλοντική αναθεώρηση της οδηγίας 2002/58/ΕΚ.
(22)
Η εφαρμογή του παρόντος κανονισμού μπορεί να αξιολογηθεί με βάση, μεταξύ άλλων, τυχόν στατιστικές που τηρούν οι αρμόδιες εθνικές αρχές σχετικά με παραβιάσεις προσωπικών δεδομένων οι οποίες τους έχουν κοινοποιηθεί. Αυτά τα στατιστικά στοιχεία μπορεί να περιλαμβάνουν, για παράδειγμα, πληροφορίες σχετικά με τον αριθμό των παραβιάσεων προσωπικών δεδομένων που έχουν κοινοποιηθεί στην αρμόδια εθνική αρχή, τον αριθμό των παραβιάσεων προσωπικών δεδομένων που έχουν κοινοποιηθεί στον συνδρομητή ή άτομο, το χρόνο που απαιτήθηκε για την επίλυση της παραβίασης προσωπικών δεδομένων, καθώς και αν ελήφθησαν τεχνολογικά μέτρα προστασίας. Οι στατιστικές αυτές πρέπει να παρέχουν στην Επιτροπή και τα κράτη μέλη συνεπή και συγκρίσιμα στατιστικά στοιχεία, ενώ δεν πρέπει να αποκαλύπτονται ούτε η ταυτότητα του κοινοποιούντος παρόχου, ούτε των εμπλεκόμενων συνδρομητών ή ατόμων. Προς τούτο, η Επιτροπή μπορεί επίσης να πραγματοποιεί τακτικές συναντήσεις με τις αρμόδιες εθνικές αρχές και άλλα ενδιαφερόμενα μέρη.
(23)
Τα μέτρα που προβλέπονται στον παρόντα κανονισμό είναι σύμφωνα με τη γνώμη της επιτροπής επικοινωνιών,
ΕΞΕΔΩΣΕ ΤΟΝ ΠΑΡΟΝΤΑ ΚΑΝΟΝΙΣΜΟ:
Άρθρο 1
Πεδίο εφαρμογής
Ο παρών κανονισμός εφαρμόζεται στην κοινοποίηση των παραβιάσεων προσωπικών δεδομένων από τους παρόχους διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών (εφεξής «ο πάροχος»).
Άρθρο 2
Κοινοποίηση στην αρμόδια εθνική αρχή
1. Ο πάροχος κοινοποιεί στην αρμόδια εθνική αρχή όλες τις παραβιάσεις προσωπικών δεδομένων.
2. Ο πάροχος κοινοποιεί στην αρμόδια εθνική αρχή την παραβίαση προσωπικών δεδομένων το αργότερο 24 ώρες έπειτα από την ανίχνευση της παραβίασης προσωπικών δεδομένων, εφόσον αυτό είναι εφικτό.
Στην κοινοποίησή του προς την αρμόδια εθνική αρχή ο πάροχος περιλαμβάνει τις πληροφορίες που καθορίζονται στο παράρτημα Ι.
Η ανίχνευση παραβίασης προσωπικών δεδομένων θεωρείται ότι έχει πραγματοποιηθεί όταν ο πάροχος έχει αποκτήσει επαρκή επίγνωση ότι έχει συμβεί περιστατικό ασφάλειας με αποτέλεσμα διακύβευση δεδομένων προσωπικού χαρακτήρα, προκειμένου να συντάξει ουσιαστική ανακοίνωση, όπως απαιτείται βάσει του παρόντος κανονισμού.
3. Εφόσον δεν είναι διαθέσιμο το σύνολο των πληροφοριών που αναφέρονται στο παράρτημα Ι και απαιτείται περαιτέρω διερεύνηση της παραβίασης προσωπικών δεδομένων, επιτρέπεται στον πάροχο να προχωρήσει σε αρχική κοινοποίηση προς την αρμόδια εθνική αρχή το αργότερο 24 ώρες έπειτα από την ανίχνευση της παραβίασης προσωπικών δεδομένων. Η αρχική αυτή κοινοποίηση προς την αρμόδια εθνική αρχή περιλαμβάνει τις πληροφορίες που προβλέπονται στο τμήμα 1 του παραρτήματος Ι. Ο πάροχος προχωρεί σε δεύτερη κοινοποίηση προς την αρμόδια εθνική αρχή, το συντομότερο δυνατό, και το αργότερο εντός τριών ημερών από την αρχική κοινοποίηση. Η δεύτερη αυτή κοινοποίηση περιλαμβάνει τις πληροφορίες που προβλέπονται στο τμήμα 2 του παραρτήματος Ι και, κατά περίπτωση, τις ήδη παρασχεθείσες πληροφορίες.
Εφόσον ο πάροχος, παρά τις έρευνές του, δεν είναι σε θέση να παράσχει το σύνολο των πληροφοριών εντός της τριήμερης προθεσμίας από την αρχική κοινοποίηση, κοινοποιεί εντός του προβλεπόμενου χρονοδιαγράμματος τις πληροφορίες που διαθέτει και υποβάλλει στην αρμόδια εθνική αρχή τεκμηριωμένη αιτιολόγηση για την καθυστερημένη κοινοποίηση των υπόλοιπων πληροφοριών. Ο πάροχος κοινοποιεί στην αρμόδια εθνική αρχή τις υπόλοιπες πληροφορίες και, κατά περίπτωση, επικαιροποιεί τις ήδη παρασχεθείσες πληροφορίες, το συντομότερο δυνατό.
4. Η αρμόδια εθνική αρχή παρέχει σε όλους τους παρόχους που είναι εγκατεστημένοι στο συγκεκριμένο κράτος μέλος ασφαλές ηλεκτρονικό μέσο για την κοινοποίηση των παραβιάσεων προσωπικών δεδομένων, καθώς και πληροφορίες σχετικά με τις διαδικασίες για την πρόσβαση σε αυτό, καθώς και για τη χρήση του. Κατά περίπτωση, η Επιτροπή συγκαλεί συναντήσεις με τις αρμόδιες εθνικές αρχές προς διευκόλυνση της εφαρμογής της εν λόγω διάταξης.
5. Εφόσον η παραβίαση προσωπικών δεδομένων επηρεάζει συνδρομητές ή άτομα από κράτη μέλη εκτός αυτού της αρμόδιας εθνικής αρχής στην οποία έχει κοινοποιηθεί η παραβίαση προσωπικών δεδομένων, η αρμόδια εθνική αρχή ενημερώνει τις άλλες εθνικές αρχές.
Για να διευκολυνθεί η εφαρμογή της εν λόγω διάταξης, η Επιτροπή δημιουργεί και διατηρεί κατάλογο με τις αρμόδιες εθνικές αρχές και τα κατάλληλα σημεία επικοινωνίας.
Άρθρο 3
Κοινοποίηση στον συνδρομητή ή άτομο
1. Εφόσον η παραβίαση προσωπικών δεδομένων είναι πιθανό να επηρεάσει αρνητικά τα προσωπικά δεδομένα ή την ιδιωτική ζωή ενός συνδρομητή ή ατόμου, ο πάροχος, εκτός από την κοινοποίηση που αναφέρεται στο άρθρο 2, κοινοποιεί επίσης στον συνδρομητή ή το άτομο την παραβίαση.
2. Το κατά πόσο μια παραβίαση προσωπικών δεδομένων είναι πιθανό να επηρεάσει αρνητικά τα προσωπικά δεδομένα ή την ιδιωτική ζωή ενός συνδρομητή ή ατόμου, αξιολογείται λαμβάνοντας ιδίως υπόψη τις ακόλουθες περιστάσεις:
α)
τον χαρακτήρα και το περιεχόμενο των εν λόγω δεδομένων προσωπικού χαρακτήρα, ιδίως εφόσον τα δεδομένα αφορούν οικονομικές πληροφορίες, ειδικές κατηγορίες δεδομένων που αναφέρονται στο άρθρο 8 παράγραφος 1 της οδηγίας 95/46/ΕΚ, καθώς και δεδομένα γεωγραφικής θέσης, διαδικτυακά αρχεία διαδικτυακής καταγραφής, ιστορικά ιστοπεριήγησης, στοιχεία ηλε-ταχυδρομείου, και αναλυτικούς καταλόγους κλήσεων·
β)
τις πιθανές συνέπειες από την παραβίαση προσωπικών δεδομένων για τον ενδιαφερόμενο συνδρομητή ή άτομο, ιδίως εφόσον η παράβαση θα μπορούσε να συνεπάγεται κλοπή ταυτότητας ή απάτη, σωματική βλάβη, ψυχολογική πίεση, ταπείνωση ή προσβολή της υπολήψεως· και
γ)
τις συνθήκες της παραβίασης προσωπικών δεδομένων, ιδίως εφόσον τα δεδομένα έχουν κλαπεί ή όταν ο πάροχος γνωρίζει ότι τα δεδομένα βρίσκονται στην κατοχή μη εξουσιοδοτημένου τρίτου.
3. Η κοινοποίηση στον συνδρομητή ή το άτομο γίνεται χωρίς αδικαιολόγητη καθυστέρηση ύστερα από την ανίχνευση της παραβίασης προσωπικών δεδομένων, όπως ορίζεται στο τρίτο εδάφιο του άρθρου 2 παράγραφος 2. Τούτο δεν εξαρτάται από την κοινοποίηση της παραβίασης προσωπικών δεδομένων στην αρμόδια εθνική αρχή, που αναφέρεται στο άρθρο 2.
4. Στην κοινοποίησή του προς τον συνδρομητή ή το άτομο, ο πάροχος περιλαμβάνει τις πληροφορίες που καθορίζονται στο παράρτημα ΙΙ. Η κοινοποίηση στον συνδρομητή ή το άτομο διατυπώνεται με σαφή και εύληπτο τρόπο. Ο πάροχος δεν χρησιμοποιεί την κοινοποίηση ως ευκαιρία για προώθηση ή διαφήμιση νέων ή συμπληρωματικών υπηρεσιών.
5. Σε εξαιρετικές περιπτώσεις, εφόσον η κοινοποίηση στο συνδρομητή ή άτομο μπορεί να θέσει σε κίνδυνο την ορθή διερεύνηση της παραβίασης προσωπικών δεδομένων, επιτρέπεται στον πάροχο, αφού λάβει τη σύμφωνη γνώμη της αρμόδιας εθνικής αρχής, να καθυστερήσει την κοινοποίηση προς τον συνδρομητή ή άτομο έως ότου η αρμόδια εθνική αρχή θεωρήσει ότι είναι δυνατόν να κοινοποιήσει την παραβίαση προσωπικών δεδομένων, σύμφωνα με το εν λόγω άρθρο.
6. Ο πάροχος ενημερώνει τον συνδρομητή ή άτομο σχετικά με την παραβίαση προσωπικών δεδομένων με επικοινωνία που διασφαλίζει άμεση και ασφαλή παραλαβή των πληροφοριών, σύμφωνα με την εξέλιξη της τεχνολογίας. Οι πληροφορίες σχετικά με την παράβαση αφορούν αποκλειστικά την παράβαση και δεν σχετίζονται με πληροφορίες σχετικά με άλλο θέμα.
7. Εφόσον ο πάροχος που έχει άμεση συμβατική σχέση με τον τελικό χρήστη, παρά τις εύλογες προσπάθειές του, δεν είναι σε θέση να εντοπίσει εντός του χρονικού πλαισίου που αναφέρεται στην παράγραφο 3 όλα τα άτομα που είναι πιθανό να έχουν επηρεαστεί αρνητικά από την παραβίαση προσωπικών δεδομένων, μπορεί (ο πάροχος) να ειδοποιήσει τα άτομα αυτά με καταχώριση σε σημαντικά εθνικά ή περιφερειακά μέσα επικοινωνίας, στο αντίστοιχο κράτος μέλος, σε αυτό το χρονικό πλαίσιο. Αυτές οι καταχωρίσεις περιέχουν τις πληροφορίες που παρατίθενται στο παράρτημα ΙΙ, όπου είναι απαραίτητο σε συνοπτική μορφή. Στην περίπτωση αυτή, ο πάροχος συνεχίζει να καταβάλλει κάθε εύλογη προσπάθεια για να εντοπίσει το συντομότερο τα άτομα αυτά και να τους κοινοποιήσει τις πληροφορίες που αναφέρονται στο παράρτημα ΙΙ.
Άρθρο 4
Τεχνολογικά μέτρα προστασίας
1. Κατά παρέκκλιση από το άρθρο 3 παράγραφος 1, η κοινοποίηση παραβίασης προσωπικών δεδομένων σε ενδιαφερόμενο συνδρομητή ή άτομο δεν απαιτείται εάν ο πάροχος έχει αποδείξει κατά ικανοποιητικό τρόπο για την αρμόδια αρχή ότι έχει εφαρμόσει κατάλληλα τεχνολογικά μέτρα προστασίας και ότι τα μέτρα αυτά εφαρμόστηκαν ως προς τα δεδομένα που αφορούσε η παραβίαση της ασφάλειας. Τα εν λόγω τεχνολογικά μέτρα προστασίας πρέπει να καθιστούν τα δεδομένα ακατανόητα σε οποιοδήποτε πρόσωπο δεν διαθέτει δικαίωμα πρόσβασης σε αυτά.
2. Τα δεδομένα θεωρούνται ακατάληπτα, εάν:
α)
έχουν κρυπτοθετηθεί με τυποποιημένο αλγόριθμο, το κλειδί που χρησιμοποιείται για την αποκρυπτοθέτηση των δεδομένων δεν έχει παραβιαστεί σε οποιαδήποτε παραβίαση της ασφάλειας, και το κλειδί που χρησιμοποιείται για την αποκρυπτοθέτηση των δεδομένων έχει δημιουργηθεί κατά τρόπο που να μην μπορεί να εξακριβωθεί με τα διαθέσιμα τεχνολογικά μέσα από οποιοδήποτε πρόσωπο που δεν έχει εξουσιοδοτημένη πρόσβαση στο κλειδί· ή
β)
έχουν αντικατασταθεί από την τιμή κατακερματισμού τους, που έχει υπολογιστεί με τυποποιημένη κρυπτοθετημένη συνάρτηση κατακερματισμού, το κλειδί που χρησιμοποιείται για την αποκρυπτοθέτηση των δεδομένων δεν έχει παραβιαστεί σε οποιαδήποτε παραβίαση της ασφάλειας, και το κλειδί που χρησιμοποιείται για την αποκρυπτοθέτηση των δεδομένων έχει δημιουργηθεί κατά τρόπο που να μην μπορεί να εξακριβωθεί με τα διαθέσιμα τεχνολογικά μέσα από οποιοδήποτε πρόσωπο που δεν έχει εξουσιοδοτημένη πρόσβαση στο κλειδί.
3. Η Επιτροπή, έπειτα από διαβούλευση με τις αρμόδιες εθνικές αρχές μέσω της ομάδας εργασίας του άρθρου 29, τον Ευρωπαϊκό Οργανισμό για την Ασφάλεια δικτύων και Πληροφοριών και τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων, μπορεί να δημοσιεύσει ενδεικτικό κατάλογο κατάλληλων τεχνολογικών μέτρων προστασίας που αναφέρονται στην παράγραφο 1, σύμφωνα με τρέχουσες πρακτικές.
Άρθρο 5
Χρησιμοποίηση άλλου παρόχου
Στις περιπτώσεις που συνάπτεται σύμβαση με άλλο πάροχο για την παροχή μέρους των υπηρεσιών ηλεκτρονικών επικοινωνιών χωρίς ο άλλος πάροχος να έχει άμεση συμβατική σχέση με τους συνδρομητές, ο εν λόγω άλλος πάροχος ενημερώνει αμέσως τον συμβατικό πάροχο σε περίπτωση παραβίασης προσωπικών δεδομένων.
Άρθρο 6
Υποβολή εκθέσεων και επανεξέταση
Εντός τριών ετών από την έναρξη ισχύος του παρόντος κανονισμού, η Επιτροπή υποβάλλει έκθεση σχετικά με την εφαρμογή του παρόντος κανονισμού, την αποτελεσματικότητά του και τον αντίκτυπό του σε παρόχους, συνδρομητές και ιδιώτες. Βάσει της εν λόγω έκθεσης, η Επιτροπή αναθεωρεί τον παρόντα κανονισμό.
Άρθρο 7
Έναρξη ισχύος
Ο παρών κανονισμός αρχίζει να ισχύει στις 25 Αυγούστου 2013.
Ο παρών κανονισμός είναι δεσμευτικός ως προς όλα τα μέρη του και ισχύει άμεσα σε κάθε κράτος μέλος.
Βρυξέλλες, 24 Ιουνίου 2013.