NAŘÍZENÍ KOMISE (EU) č. 611/2013
ze dne 24. června 2013
o opatřeních vztahujících se na oznámení o narušení bezpečnosti osobních údajů podle směrnice Evropského parlamentu a Rady 2002/58/ES o soukromí a elektronických komunikacích
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (Směrnice o soukromí a elektronických komunikacích) (1), a zejména na čl. 4 odst. 5 uvedené směrnice,
po konzultaci s Evropskou agenturou pro bezpečnost sítí a informací (ENISA),
po konzultaci s pracovní skupinou pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízenou článkem 29 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (2) (dále jen „pracovní skupina zřízená podle článku 29“),
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
Směrnice 2002/58/ES harmonizuje předpisy členských států požadované pro zajištění rovnocenné úrovně ochrany základních práv a svobod, zejména práva na soukromí a zachování důvěrnosti informací, se zřetelem na zpracování osobních údajů v odvětví elektronických komunikací, a pro zajištění volného pohybu těchto údajů a elektronických komunikačních zařízení a služeb v Unii.
(2)
Podle článku 4 směrnice 2002/58/ES jsou poskytovatelé veřejně dostupných služeb elektronických komunikací povinni oznámit narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům a v některých případech také dotčeným účastníkům a jednotlivcům. Narušení bezpečnosti osobních údajů je definováno v čl. 2 písm. i) směrnice 2002/58/ES jako narušení bezpečnosti, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně či neoprávněnému vyzrazení nebo zpřístupnění osobních údajů přenášených, uchovávaných nebo jinak zpracovávaných v souvislosti s poskytováním veřejně dostupné služby elektronických komunikací v Unii.
(3)
Pro zajištění důsledného provádění opatření uvedených v čl. 4 odst. 2, 3 a 4 směrnice 2002/58/ES se v čl. 4 odst. 5 uvedeného nařízení Komise zmocňuje k přijetí technických prováděcích opatření týkajících se okolností, formátu a postupů, jež se vztahují na požadavky informování a oznamování podle uvedeného článku.
(4)
Rozdílné požadavky členských států v tomto ohledu mohou vést k právní nejistotě, složitějším a zdlouhavějším postupům a značným administrativním nákladům poskytovatelů, kteří působí v přeshraničním styku. Komise proto zastává názor, že je nutné přijmout tato technická prováděcí opatření.
(5)
Toto nařízení se omezuje na oznámení o narušení bezpečnosti osobních údajů, a proto nestanoví technická prováděcí opatření týkající se čl. 4 odst. 2 směrnice 2002/58/ES o informování účastníků v případě zvláštního rizika narušení bezpečnosti sítě.
(6)
Z čl. 4 odst. 3 prvního pododstavce směrnice 2002/58/ES vyplývá, že poskytovatelé by měli oznámit příslušnému vnitrostátnímu orgánu všechny případy narušení bezpečnosti osobních údajů. Rozhodnutí, zda je či není třeba oznámit narušení příslušnému vnitrostátnímu orgánu, by proto nemělo být ponecháno na vůli poskytovatele. To by však nemělo bránit příslušnému vnitrostátnímu orgánu, aby v souladu s platnými právními předpisy nepřistoupil k vyšetřování některých narušení přednostně podle jejich důležitosti a nepodnikl kroky nezbytné k tomu, aby se zabránilo přílišnému nebo nedostatečnému hlášení o narušení bezpečnosti osobních údajů.
(7)
Je třeba stanovit systém pro oznamování narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu, který by za splnění některých podmínek sestával z různých etap, pro něž by platily konkrétní lhůty. Systém by měl zajistit, aby příslušný vnitrostátní orgán byl informován co nejdříve a co nejúplněji, aniž by se tím neodůvodněně bránilo poskytovateli ve snaze narušení vyšetřit a přijmout nezbytná opatření k jeho omezení a nápravě důsledků.
(8)
Pouhé podezření, že došlo k narušení bezpečnosti osobních údajů, ani pouhé zjištění události bez dostatečných informací, které se ani přes největší úsilí nepodařilo poskytovateli získat, nepostačuje pro účely tohoto nařízení k tomu, aby bylo možné konstatovat, že došlo k odhalení narušení bezpečnosti osobních údajů. Zvláštní ohled je v této souvislosti třeba věnovat dostupnosti informací uvedených v příloze I.
(9)
V souvislosti s uplatňováním tohoto nařízení by v případech narušení bezpečnosti osobních údajů s přeshraničním rozměrem měly příslušné vnitrostátní orgány mezi sebou spolupracovat.
(10)
Toto nařízení nestanoví žádné upřesnění přehledu narušení bezpečnosti osobních údajů, které mají provozovatelé vést, protože v článku 4 směrnice 2002/58/ES je jeho obsah stanoven vyčerpávajícím způsobem. Poskytovatelé však při určování formátu přehledu mohou použít odkaz na toto nařízení.
(11)
Všechny příslušné vnitrostátní orgány by měly poskytovatelům zpřístupnit bezpečné elektronické prostředky umožňující oznamovat narušení bezpečnosti osobních údajů ve společném formátu, a to na základě normy, jako je např. XML, který bude obsahovat údaje stanovené v příloze I v příslušných jazycích tak, aby všichni poskytovatelé v rámci Unie mohli používat obdobný postup oznamování bez ohledu na to, kde se nacházejí nebo kde došlo k narušení bezpečnosti osobních údajů. V této souvislosti by Komise podle potřeby měla usnadnit zavádění bezpečných elektronických prostředků pořádáním setkání s příslušnými vnitrostátními orgány.
(12)
Při posuzování, zda by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno vzít v úvahu zejména povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, jako jsou např. údaje o kreditní kartě nebo bankovním účtu, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES a některé údaje, které se konkrétně týkají poskytování telefonních a internetových služeb, tj. údaje o elektronické poště, lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek a podrobné rozpisy uskutečněných volání.
(13)
Za výjimečných okolností, jestliže by oznámení účastníkovi nebo jednotlivci mohlo ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, by poskytovatel měl mít možnost oznámení účastníkovi nebo jednotlivci pozdržet. V tomto ohledu mohou výjimečné okolnosti zahrnovat trestní vyšetřování, jakož i další narušení bezpečnosti osobních údajů, která nelze považovat za závažnou trestnou činnost, kvůli nimž však může být vhodné oznámení odložit. Příslušný vnitrostátní orgán by za všech okolností měl v každém jednotlivém případě a s ohledem na okolnosti posoudit, zda se oznámení odloží, nebo zda bude vyžadováno.
(14)
Zatímco poskytovatelé by díky přímému smluvnímu vztahu měli mít kontaktní údaje svých účastníků, o ostatních jednotlivcích nepříznivě ovlivněných narušením bezpečnosti osobních údajů tyto informace mít nemusí. V takovém případě by poskytovatel měl mít možnost nejprve tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích, např. v novinách, a následně jim tuto skutečnost co nejdříve oznámit jednotlivě, jak je stanoveno v tomto nařízení. Poskytovatel jako takový tedy není povinen zveřejnit informace v médiích, ale je oprávněn postupovat případně tímto způsobem, pokud stále ještě probíhá zjišťování totožnosti ovlivněných jednotlivců.
(15)
Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi. Za přiměřený prostředek oznámení o narušení bezpečnosti osobních údajů by například nemělo být považováno uvedení informace o narušení bezpečnosti osobních údajů v běžné faktuře.
(16)
Toto nařízení nestanoví žádná zvláštní technická ochranná opatření, která odůvodňují odchylku od povinnosti oznamovat narušení bezpečnosti osobních údajů účastníkům nebo jednotlivcům, neboť ta se mohou v důsledku technologického pokroku v průběhu času měnit. Komise by však měla mít možnost zveřejnit orientační seznam těchto zvláštních technických ochranných opatření v souladu s platnými postupy.
(17)
Kódování nebo hašování nelze samo o sobě považovat za dostatečný způsob ochrany, který by poskytovatelům obecně umožňoval tvrdit, že splnili všechny všeobecné bezpečnostní povinnosti stanovené v článku 17 směrnice 95/46/ES. V tomto ohledu by poskytovatelé měli také provádět vhodná organizační a technická opatření na prevenci, odhalování a zamezení narušení bezpečnosti osobních údajů. Poskytovatelé by měli zvážit veškerá rizika, která mohou přetrvávat po provedení kontrol, aby bylo možné rozpoznat, kde může dojít k narušení bezpečnosti osobních údajů.
(18)
Pokud provozovatel k poskytování služeb částečně používá jiného poskytovatele, např. pro účely účtování nebo řízení, tento jiný poskytovatel, který není v přímém smluvním vztahu s koncovým uživatelem, by neměl mít povinnost v případě narušení bezpečnosti osobních údajů podávat oznámení. Místo toho by měl uvědomit a informovat poskytovatele, s nímž má přímý smluvní vztah. To by mělo platit i v souvislosti s velkoobchodním poskytováním služeb elektronických komunikací, kde obvykle velkoobchodní poskytovatel není v přímém smluvním vztahu s koncovým uživatelem.
(19)
Směrnice 95/46/ES vymezuje obecný rámec pro ochranu osobních údajů v Evropské unii. Komise předložila návrh nařízení Evropského parlamentu a Rady (dále jako „nařízení o ochraně údajů“), které by mělo směrnici 95/46/ES nahradit. Navrhované nařízení o ochraně údajů by na základě čl. 4 odst. 3 směrnice 2002/58/ES zavedlo pro všechny správce povinnost oznamovat narušení bezpečnosti osobních údajů. Toto nařízení Komise je s tímto opatřením plně v souladu.
(20)
Navrhované nařízení o ochraně údajů v omezeném rozsahu rovněž provádí technické úpravy ve směrnici 2002/58/ES s ohledem na změnu směrnice 95/46/ES na nařízení. Podstatné právní důsledky nového nařízení pro směrnici 2002/58/ES budou předmětem přezkumu, který provede Komise.
(21)
Uplatňování tohoto nařízení by mělo být přezkoumáno tři roky po jeho vstupu v platnost a jeho obsah by měl být přezkoumán s ohledem na právní rámec, který bude v platnosti v uvedené době, včetně navrhovaného nařízení o ochraně údajů. Přezkum tohoto nařízení by měl v budoucnosti být, bude-li to možné, spojen s každým přezkumem směrnice 2002/58/ES.
(22)
Uplatňování tohoto nařízení může být posuzováno mimo jiné na základě statistických údajů, které příslušné vnitrostátní orgány vedou o narušeních bezpečnosti osobních údajů, o nichž byly informovány. Tyto statistiky mohou zahrnovat např. informace o počtu narušení bezpečnosti osobních údajů oznámených příslušnému vnitrostátnímu orgánu, počtu případů narušení bezpečnosti osobních údajů oznámených účastníkovi nebo jednotlivci, době potřebné na vyřešení narušení bezpečnosti osobních údajů, a informace o tom, zda byla přijata technická ochranná opatření. Tyto statistiky by měly poskytovat Komisi a členským státům konzistentní a srovnatelné statistické údaje a neměly by odhalovat totožnost oznamujícího poskytovatele ani dotčených účastníků nebo jednotlivců. Komise může za tímto účelem rovněž pořádat pravidelná setkání s příslušnými vnitrostátními orgány a jinými zúčastněnými stranami.
(23)
Opatření tohoto nařízení jsou v souladu se stanoviskem Komunikačního výboru,
PŘIJALA TOTO NAŘÍZENÍ:
Článek 1
Oblast působnosti
Toto nařízení se vztahuje na oznámení poskytovatelů veřejně dostupných služeb elektronických komunikací (dále jen „poskytovatel“) o narušení bezpečnosti osobních údajů.
Článek 2
Oznámení příslušnému vnitrostátnímu orgánu
1. Poskytovatel oznámí všechna narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu.
2. Poskytovatel oznámí narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu nejpozději 24 hodin po zjištění narušení bezpečnosti osobních údajů, pokud je to proveditelné.
Poskytovatel ve svém oznámení příslušnému vnitrostátnímu orgánu uvede informace stanovené v příloze I.
Za zjištění narušení bezpečnosti osobních údajů se považuje situace, kdy poskytovatel získal dostatečné informace o tom, že došlo k bezpečnostní události, která měla za následek narušení osobních údajů, aby podal opodstatněné oznámení podle tohoto nařízení.
3. Jestliže nejsou k dispozici všechny informace stanovené v příloze I a je nutné další vyšetřování narušení bezpečnosti osobních údajů, může poskytovatel podat první oznámení příslušnému vnitrostátnímu orgánu nejpozději do 24 hodin po zjištění narušení bezpečnosti osobních údajů. Toto první oznámení příslušnému vnitrostátnímu orgánu musí obsahovat informace stanovené v příloze I oddíle 1. Poskytovatel je povinen podat příslušnému vnitrostátnímu orgánu co nejdříve, nejpozději do tří dnů po prvním oznámení, druhé oznámení. Toto druhé oznámení obsahuje informace stanovené v příloze I oddíle 2 a v případě potřeby aktualizuje již poskytnuté údaje.
Jestliže poskytovatel ani po vyšetřování nemůže ve lhůtě tří dnů od prvního oznámení poskytnout všechny informace, oznámí všechny informace, které má v této lhůtě k dispozici a předloží příslušnému vnitrostátnímu orgánu odůvodnění, proč musí být zbývající informace oznámeny později. Poskytovatel co možná nejdříve oznámí zbývající informace příslušnému vnitrostátnímu orgánu a v případě potřeby aktualizuje již poskytnuté údaje.
4. Příslušný vnitrostátní orgán poskytne všem poskytovatelům usazeným v dotčeném členském státě bezpečný elektronický prostředek pro oznamování narušení bezpečnosti osobních údajů a informace o postupech přístupu k němu a jeho používání. V zájmu snazšího uplatňování tohoto ustanovení Komise podle potřeby pořádá pravidelná setkání s příslušnými vnitrostátními orgány.
5. V případě, že se narušení bezpečnosti osobních údajů týká účastníků nebo jednotlivců z jiných členských států, než je členský stát příslušného vnitrostátního orgánu, jemuž bylo narušení bezpečnosti osobních údajů oznámeno, příslušný vnitrostátní orgán informuje orgány ostatních dotčených členských států.
Pro usnadnění uplatňování tohoto ustanovení Komise vytvoří a povede seznam příslušných vnitrostátních orgánů a příslušných kontaktních míst.
Článek 3
Oznámení účastníkovi nebo jednotlivci
1. Pokud by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, musí poskytovatel kromě oznámení uvedeného v článku 2 toto porušení oznámit rovněž účastníkovi nebo jednotlivci.
2. Při posuzování, zda narušení bezpečnosti osobních údajů může mít nepříznivý vliv na osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno brát ohled zejména na tyto okolnosti:
a)
povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES, jakož i lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek, údaje týkající se elektronické pošty a podrobné údaje o uskutečněných voláních;
b)
pravděpodobné důsledky narušení bezpečnosti osobních údajů pro dotčeného účastníka nebo jednotlivce, zejména tehdy, kdy by porušení mohlo vést ke krádeži nebo zneužití, fyzické újmě, psychickému strádání, ponížení nebo poškození pověsti a
c)
okolnosti narušení bezpečnosti osobních údajů, zejména pokud byly údaje odcizeny nebo pokud je poskytovateli známo, že údaje jsou v držení neoprávněné třetí strany.
3. Oznámení účastníkovi nebo jednotlivci musí být učiněno bez zbytečného odkladu po zjištění narušení bezpečnosti osobních údajů v souladu s čl. 2 odst. 2 třetím pododstavcem. Nesmí záviset na oznámení o narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům podle článku 2.
4. Poskytovatel ve svém oznámení účastníkovi nebo jednotlivci uvede informace stanovené v příloze II. Oznámení účastníkovi nebo jednotlivci musí být jasné a srozumitelné. Poskytovatel nesmí využít oznámení jako příležitost k propagaci nebo nabídce nových či doplňkových služeb.
5. Ve výjimečných případech, kdy oznámení účastníkovi nebo jednotlivci může ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, má poskytovatel možnost po získání souhlasu příslušného vnitrostátního orgánu oznámení účastníkovi nebo jednotlivci pozdržet, dokud příslušný vnitrostátní orgán neusoudí, že je možné oznámit narušení bezpečnosti osobních údajů podle tohoto článku.
6. Poskytovatel oznámí účastníkovi nebo jednotlivci narušení bezpečnosti osobních údajů takovým způsobem, který umožňuje rychlé předání informací a který je podle nejnovějších poznatků náležitě zabezpečen. Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi.
7. Pokud poskytovatel, který je v přímém smluvním vztahu s koncovým uživatelem, ani přes vynaložené úsilí není schopen ve lhůtě uvedené v odstavci 3 určit všechny jednotlivce, kteří by narušením bezpečnosti osobních údajů mohli být nepříznivě ovlivněni, může v uvedené lhůtě tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích v příslušných členských státech. Uvedená oznámení musí obsahovat informace stanovené v příloze II, v případě potřeby ve stručné formě. V takovém případě poskytovatel pokračuje v úsilí vedoucím k identifikaci těchto jednotlivců a co nejdříve jim oznámí informace uvedené v příloze II.
Článek 4
Technická ochranná opatření
1. Odchylně od čl. 3 odst. 1 se oznámení o narušení bezpečnosti osobních údajů dotčenému účastníkovi nebo jednotlivci nevyžaduje, pokud poskytovatel ke spokojenosti příslušného vnitrostátního orgánu prokázal, že zavedl náležitá technická ochranná opatření a že tato opatření byla na údaje, jichž se narušení bezpečnosti týká, použita. Tato technická ochranná opatření zajistí, aby údaje nebyly srozumitelné pro nikoho, kdo není k přístupu k nim oprávněn.
2. Údaje se považují za nesrozumitelné, jestliže:
a)
byly bezpečně zašifrovány normalizovaným algoritmem, klíč použitý k dešifrování údajů nebyl žádným narušením bezpečnosti ohrožen a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu, nebo
b)
byly nahrazeny svou zahašovanou hodnotou vypočítanou pomocí normalizované kryptografické hašovací funkce s klíčem, klíč použitý k hašování údajů nebyl ohrožen žádným narušením bezpečnosti a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu.
3. Komise může po konzultaci s příslušnými vnitrostátními orgány prostřednictvím pracovní skupiny zřízené podle článku 29, Evropskou agenturou pro bezpečnost sítí a informací a evropským inspektorem ochrany údajů zveřejnit orientační seznam vhodných technických ochranných opatření uvedených v odstavci 1 v souladu s platnými postupy.
Článek 5
Použití jiného poskytovatele
Jestliže je jiný poskytovatel smluvně zavázán, aby poskytl část služeb elektronických komunikací, aniž by byl v přímém smluvním vztahu s účastníky, tento další poskytovatel v případě, že došlo k narušení bezpečnosti osobních údajů, okamžitě informuje smluvního poskytovatele.
Článek 6
Podávání zpráv a přezkum
Do tří let od vstupu tohoto nařízení v platnost Komise předloží zprávu o uplatňování tohoto nařízení, jeho účinnosti a dopadu na poskytovatele, účastníky a jednotlivce. Na základě uvedené zprávy Komise toto nařízení přezkoumá.
Článek 7
Vstup v platnost
Toto nařízení vstupuje v platnost dne 25. srpna 2013.
Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.
V Bruselu dne 24. června 2013.
A BIZOTTSÁG 611/2013/EU RENDELETE
(2013. június 24.)
a 2002/58/EK európai parlamenti és tanácsi irányelv (elektronikus hírközlési adatvédelmi irányelv) szerinti személyes adatok megsértésére vonatkozó bejelentésre alkalmazandó intézkedésekről
AZ EURÓPAI BIZOTTSÁG,
tekintettel az Európai Unió működéséről szóló szerződésre,
tekintettel az elektronikus hírközlési ágazatban a személyes adatok feldolgozásáról és a magánélet védelméről szóló, 2002. július 12-i 2002/58/EK európai parlamenti és tanácsi irányelvre (elektronikus hírközlési adatvédelmi irányelv) (1) és különösen annak 4. cikke (5) bekezdésére,
az Európai Hálózat- és Információbiztonsági Ügynökséggel (ENISA) folytatott konzultációt követően,
a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24-i 95/46/EK európai parlamenti és tanácsi irányelv (2) 29. cikke alapján létrehozott, az egyéneknek a személyes adatok feldolgozása tekintetében való védelmével foglalkozó munkacsoporttal (a 29. cikk szerinti munkacsoport) folytatott konzultációt követően,
az európai adatvédelmi biztossal folytatott konzultációt követően,
mivel:
(1)
A 2002/58/EK irányelv előírja azon nemzeti rendelkezések összehangolását, amelyekre azért van szükség, hogy biztosítsák az elektronikus hírközlési ágazatban a személyes adatok kezelése vonatkozásában az alapvető jogok és szabadságok védelmének egyenértékű szintjét - különös tekintettel a magánélethez és a bizalmas adatkezeléshez való jogra -, valamint biztosítsák az ilyen adatoknak, az elektronikus hírközlő berendezéseknek és az elektronikus hírközlési szolgáltatásoknak az Unión belüli szabad mozgását.
(2)
A 2002/58/EK irányelv 4. cikke értelmében a nyilvánosan elérhető elektronikus hírközlési szolgáltatást nyújtó szolgáltatók a személyes adatok megsértését kötelesek bejelenteni az illetékes nemzeti hatóságnak, és arról bizonyos esetekben az érintett előfizetőket és magánszemélyeket is kötelesek értesíteni. A személyes adatok megsértését a 2002/58/EK irányelv 2. cikkének i) pontja a biztonság olyan megsértéseként határozza meg, amely az Unióban nyilvánosan elérhető hírközlési szolgáltatások nyújtásával összefüggésben továbbított, tárolt vagy más módon feldolgozott személyes adatok véletlen vagy jogellenes megsemmisítését, elveszítését, módosítását, jogosulatlan felfedését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.
(3)
A 2002/58/EK irányelv 4. cikkének (2), (3) és (4) bekezdésében említett intézkedések következetes végrehajtásának biztosítása érdekében az említett irányelv 4. cikkének (5) bekezdése felhatalmazza a Bizottságot, hogy műszaki végrehajtási intézkedéseket fogadjon el az említett cikkben foglalt tájékoztatási és értesítési követelményekre alkalmazandó körülményekre, formátumra és eljárásokra vonatkozóan.
(4)
Az e tekintetben fennálló különféle nemzeti követelmények jogbizonytalansághoz, bonyolultabb és nehézkesebb eljárásokhoz, valamint a több tagállamban is tevékenykedő szolgáltatók számára jelentős adminisztratív költségekhez vezethetnek. A Bizottság ezért szükségesnek tartja a vonatkozó műszaki végrehajtási intézkedések elfogadását.
(5)
E rendelet hatálya a személyes adatok megsértésének bejelentésére korlátozódik, ezért nem határoz meg műszaki végrehajtási intézkedéseket a 2002/58/EK irányelv 4. cikkének (2) bekezdésében foglalt - az előfizetőknek a hálózati biztonság megsértésének konkrét kockázata esetén történő értesítésével kapcsolatos - rendelkezések vonatkozásában.
(6)
A 2002/58/EK irányelv 4. cikke (3) bekezdésének első albekezdéséből az következik, hogy a szolgáltató a személyes adatok megsértését minden esetben köteles az illetékes nemzeti hatóságnak bejelenteni. Ezért a szolgáltatónak nem lehet mérlegelési jogköre abban a tekintetben, hogy az illetékes nemzeti hatóságnál bejelentést tesz-e vagy sem. Ez azonban nem lehet akadálya annak, hogy az érintett illetékes nemzeti hatóság a személyes adatok megsértésének egyes eseteit belátása szerint kiemelten kezelje a hatályos joggal összhangban, valamint hogy megtegye a szükséges lépéseket annak érdekében, hogy a személyes adatok megsértésének túlzó vagy elégtelen jelentését elkerülje.
(7)
Indokolt rendelkezni olyan rendszerről, amely a személyes adatok megsértésének a nemzeti hatóságoknál történő bejelentésére szolgál, és - bizonyos feltételek teljesülése esetén - különböző szakaszokból áll, melyek mindegyike határidőhöz van kötve. Ez a rendszer azt hivatott biztosítani, hogy az illetékes nemzeti hatóság mihamarabb minél teljesebb tájékoztatást kapjon, anélkül azonban, hogy ez akadályozná a szolgáltatót abban, hogy a jogsértést kivizsgálja, és megtegye a szükséges intézkedéseket annak érdekében, hogy gátat vessen neki és a következményeit orvosolja.
(8)
Sem a személyes adatok megsértésének puszta gyanúja, sem annak puszta ténye, hogy váratlan eseményt észleltek, amiről a szolgáltató minden erőfeszítése ellenére sem áll rendelkezésre elegendő információ, nem elegendő ahhoz, hogy e rendelet alkalmazásában úgy lehessen tekinteni, hogy személyes adat megsértésére derült fény. Ebben az összefüggésben különös figyelmet kell fordítani az I. mellékletben említett információk rendelkezésre állására.
(9)
E rendelet alkalmazása kapcsán az érintett illetékes nemzeti hatóságoknak indokolt együttműködniük a személyes adatok megsértésének azon eseteiben, amelyeknek van határokon átnyúló vetülete.
(10)
Ez a rendelet nem részletezi tovább a személyes adatok sérelmeinek a szolgáltatók általi kötelező nyilvántartására vonatkozó előírásokat, mivel a 2002/58/EK irányelv 4. cikke kimerítően rendelkezik a szóban forgó nyilvántartás tartalmáról. A szolgáltatók mindazonáltal támaszkodhatnak e rendeletre a nyilvántartás formátumának meghatározásakor.
(11)
Valamennyi nemzeti hatóságnak biztonságos elektronikus eszközt kell a szolgáltatók rendelkezésére bocsátania ahhoz, hogy azok közös, szabványos formátumban (pl. XML) tehessenek bejelentést a személyes adatok megsértéséről, az I. mellékletben meghatározott adatokat minden érintett nyelven feltüntetve, s ezáltal lehetővé téve, hogy az Unióban valamennyi szolgáltató - függetlenül székhelyétől vagy attól, hogy a személyes adat megsértésére hol került sor - hasonló bejelentési eljárást alkalmazzon. Ezzel összefüggésben a Bizottságnak elő kell segítenie a biztonságos elektronikus eszközök alkalmazását azzal, hogy szükség esetén találkozókra hívja az illetékes nemzeti hatóságokat.
(12)
Annak mérlegelésekor, hogy a személyes adatok megsértése várhatóan hátrányosan érinti-e az előfizető vagy a magánszemély személyes adatainak vagy magánéletének védelmét, figyelembe kell venni a vonatkozó személyes adatok jellegét és tartalmát, különös tekintettel arra, ha az adat pénzügyi információt, például hitelkártya- és bankszámlaadatokat, a 95/46/EK irányelv 8. cikkének (1) bekezdésében szereplő különleges adatkategóriákat, valamint bizonyos, kifejezetten a távközlési vagy internetszolgáltatáshoz kapcsolódó adatokat (például elektronikus levelezési adatok, helymeghatározó adatok, internetes naplófájlok, internetes böngészési előzmények és tételes híváslisták) érint.
(13)
Kivételes körülmények között lehetővé kell tenni, hogy a szolgáltató elhalassza az előfizető vagy magánszemély értesítését, ha az előfizető vagy magánszemély értesítése veszélyeztetné a személyes adatok megsértésének megfelelő kivizsgálását. Ebben az összefüggésben a kivételes körülmények bűnügyi nyomozást vagy a személyes adatok megsértésének egyéb olyan eseteit is felölelhetik, amelyek ugyan nem tekinthetők súlyos bűncselekménynek, de amelyek esetében indokolt lehet az értesítés elhalasztása. Mindenesetre az illetékes nemzeti hatóság feladata annak mérlegelése, hogy az adott esetben és a körülmények ismeretében hozzájárul-e az értesítés elhalasztásához vagy ellenkezőleg, megköveteli az értesítést.
(14)
A szolgáltatóknak rendelkezniük kell előfizetőik elérhetőségével, tekintettel a köztük fennálló közvetlen szerződéses jogviszonyra, azonban a személyes adatok megsértése által hátrányosan érintett egyéb magánszemélyekről nincs szükségképpen ilyen információjuk. Ilyen esetben lehetővé kell tenni, hogy a szolgáltató az érintett magánszemélyeket először a főbb országos vagy regionális tömegtájékoztatási eszközök útján, például napilapokban közzétett hirdetményeken keresztül értesítse, amit a lehető leghamarabb az e rendeletben előírt egyedi értesítésnek kell követnie. A szolgáltatónak tehát nem kötelessége a tömegtájékoztatás útján történő értesítés, hanem felhatalmazást kap arra, hogy belátása szerint így járjon el addig is, amíg még folyamatban van az érintettek teljes körének azonosítása.
(15)
A személyes adatok megsértéséről szóló tájékoztatásnak csakis a személyes adatok megsértéséről kell szólnia, és nem kapcsolható össze más témákról szóló információkkal. A személyes adatok megsértésére vonatkozó tájékoztatásnak a szokásos számlába való belefoglalása például nem tekinthető a személyes adatok megsértésére vonatkozó tájékoztatás megfelelő módjának.
(16)
Ez a rendelet nem határoz meg olyan különleges technológiai védelmi intézkedéseket, amelyek eltérést tennének indokolttá az előfizetőknek vagy magánszemélyeknek a személyes adatok megsértéséről való értesítésétől, mivel a szóban forgó intézkedések a technológia fejlődése következtében időközben változhatnak. A Bizottság azonban közzéteheti a jelenlegi gyakorlatnak megfelelő, ilyen jellegű technológiai védelmi intézkedések tájékoztató jellegű jegyzékét.
(17)
A titkosítás vagy kivonatolás (hashing) alkalmazása önmagában nem tekintendő elégségesnek ahhoz, hogy a szolgáltatók általánosságban azt állíthassák, hogy eleget tettek a 95/46/EK irányelv 17. cikkében meghatározott, a biztonságra vonatkozó általános kötelezettségüknek. E tekintetben a szolgáltatóknak megfelelő szervezeti és műszaki intézkedéseket is végre kell hajtaniuk a személyes adatok megsértésének megelőzése, felderítése és megszüntetése érdekében. Indokolt, hogy a szolgáltatók az ellenőrzések végrehajtása után esetlegesen fennmaradó kockázatot figyelembe vegyék annak felméréséhez, hogy potenciálisan hol fordulhat elő személyes adatok megsértése.
(18)
Ha a szolgáltató a szolgáltatások egy részét - például a számlázási vagy az igazgatási teendőket - egy másik szolgáltató igénybevételével teljesíti, a személyes adatok megsértésével kapcsolatos értesítés kötelezettsége nem hárítható át a végfelhasználóval közvetlen szerződéses jogviszonyban nem álló másik szolgáltatóra. A másik szolgáltatónak azt a szolgáltatót indokolt tájékoztatnia, akivel közvetlen szerződéses jogviszonyban áll. Ez alkalmazandó az elektronikus hírközlési szolgáltatások nagykereskedelmi értékesítése kapcsán is, ahol általános, hogy a nagykereskedelmi szolgáltató nem áll közvetlen szerződéses kapcsolatban a végfelhasználóval.
(19)
A 95/46/EK irányelv meghatározza a személyes adatok védelmének az Európai Unióban irányadó általános keretét. A Bizottság javaslatot terjesztett elő a 95/46/EK irányelvnek egy új európai parlamenti és tanácsi rendelettel (az adatvédelmi rendelettel) való felváltására. A javaslat értelmében az adatvédelmi rendelet - a 2002/58/EK irányelv 4. cikkének (3) bekezdése szellemében - minden adatkezelőt arra kötelezne, hogy a személyes adatok megsértéséről értesítést küldjön. Ez a bizottsági rendelet teljes összhangban van a javasolt intézkedéssel.
(20)
Az adatvédelmi rendeletre vonatkozó javaslat korlátozott számban olyan technikai kiigazításokat is tartalmaz, amelyeket a 2002/58/EK irányelven azért kell elvégezni, mert figyelembe kell venni, hogy a 95/46/EK irányelv rendeletté alakul át. Az új rendeletnek a 2002/58/EK irányelvet érintő érdemi jogi következményeit a Bizottság felülvizsgálatnak fogja alávetni.
(21)
E rendelet alkalmazását a hatálybalépése után három évvel indokolt felülvizsgálni, csakúgy, mint a tartalmát az akkor hatályos - a javasolt adatvédelmi rendeletet is magában foglaló - jogi keretre való figyelemmel. E rendelet felülvizsgálatára lehetőség szerint a 2002/58/EK irányelvnek egy majdani felülvizsgálatával együtt kell sort keríteni.
(22)
E rendelet alkalmazása többek között az illetékes nemzeti hatóságok által a személyes adatok megsértésének hozzájuk bejelentett eseteit feldolgozó statisztikák alapulvételével is értékelhető. E statisztikák kiterjedhetnek például a személyes adatok megsértésének az illetékes nemzeti hatósághoz bejelentett eseteinek számára, azon személyes adatok megsértésének eseteinek számára, amelyekről az előfizetőket vagy a magánszemélyeket tájékoztatták, a személyes adatok megsértésének orvoslására fordított időre, és arra, hogy hoztak-e technikai védelmi intézkedéseket. E statisztikáknak lehetővé kell tenniük, hogy a Bizottság és a tagállamok egységes és összehasonlítható statisztikai adatokhoz jussanak, és nem fedhetik fel sem az értesítést tevő szolgáltató, sem az érintett előfizetők vagy magánszemélyek kilétét. A Bizottság ebből a célból rendszeres találkozókat is szervezhet az illetékes nemzeti hatóságokkal és más érdekelt felekkel.
(23)
Az e rendeletben előírt intézkedések összhangban vannak a hírközlési bizottság véleményével,
ELFOGADTA EZT A RENDELETET:
1. cikk
Hatály
Ez a rendelet a személyes adatok megsértésének a nyilvánosan elérhető elektronikus hírközlési szolgáltatást nyújtó szolgáltatók („szolgáltatók”) általi bejelentésére vonatkozik.
2. cikk
Az illetékes nemzeti hatósághoz intézett bejelentés
(1) A szolgáltató a személyes adatok megsértésének valamennyi esetét köteles jelenteni az illetékes nemzeti hatóságnak.
(2) A szolgáltató a személyes adatok megsértésének észlelésétől számított lehetőleg 24 órán belül bejelenti az esetet az illetékes nemzeti hatóságnak.
A szolgáltatónak az illetékes nemzeti hatósághoz intézett bejelentésében fel kell tüntetnie az I. mellékletben meghatározott adatokat.
Úgy kell tekinteni, hogy személyes adatok megsértésének észlelésére került sor, ha egy, a személyes adatok megsértését eredményező biztonsági esemény bekövetkeztéről a szolgáltató kellő tudomást szerzett ahhoz, hogy e rendeletnek megfelelően érdemi értesítést tegyen.
(3) Amennyiben nem áll rendelkezésre az I. mellékletben előírt valamennyi adat, és a személyes adatok megsértésének esete további vizsgálatot igényel, megengedhető, hogy a szolgáltató a személyes adatok megsértésétől számított 24 órán belül első bejelentést intézzen az illetékes nemzeti hatósághoz. Az illetékes nemzeti hatósághoz intézett első bejelentésnek az I. melléklet 1. szakaszában előírt információkat kell tartalmaznia. A szolgáltatónak a lehető leghamarabb - legkésőbb az első bejelentést követő három napon belül - második bejelentést kell intéznie az illetékes nemzeti hatósághoz. A második bejelentésnek tartalmaznia kell az I. melléklet 2. szakaszában foglalt információkat, és szükség esetén aktualizálnia kell a már benyújtott információkat.
Amennyiben a szolgáltató az általa folytatott vizsgálat ellenére sem tudja valamennyi információt az első bejelentéstől számított háromnapos határidőn belül benyújtani, a szolgáltatónak a rendelkezésére álló lehető legtöbb információt be kell jelentenie ezen határidőn belül, és az illetékes nemzeti hatósághoz részletes indoklást kell benyújtania a fennmaradó információ késedelmes bejelentéséről. A szolgáltatónak a lehető leghamarabb sort kell kerítenie a fennmaradó információknak az illetékes hatósághoz való eljuttatására és - szükség esetén - a már benyújtott információk aktualizálására.
(4) Az illetékes nemzeti hatóságnak valamennyi, az érintett tagállamban letelepedett szolgáltatót el kell látnia egy, a személyes adatok megsértésének bejelentésére, valamint az eljárásokról szóló információkhoz való hozzáférésre és azok felhasználására szolgáló biztonságos elektronikus eszközzel. E rendelkezés alkalmazásának megkönnyítése céljából a Bizottság szükség esetén találkozókat szervez az illetékes nemzeti hatóságokkal.
(5) Ha a személyes adatok megsértése a személyes adatok megsértésének bejelentése szerinti illetékes nemzeti hatóság tagállamától eltérő tagállambeli előfizetőket vagy magánszemélyeket érint, az illetékes nemzeti hatóság értesíti a többi érintett nemzeti hatóságot.
E rendelkezés alkalmazásának megkönnyítésére a Bizottság összeállítja és naprakészen tartja az illetékes nemzeti hatóságok és a megfelelő kapcsolattartási pontok jegyzékét.
3. cikk
Az előfizető vagy a magánszemély értesítése
(1) Amennyiben a személyes adatok megsértése várhatóan hátrányosan érinti egy előfizető vagy magánszemély személyes adatainak vagy magánéletének védelmét, a szolgáltató a 2. cikkben említett bejelentésen felül az előfizetőt vagy a magánszemélyt is értesíti az eseményről.
(2) Azt, hogy a személyes adatok megsértése várhatóan hátrányosan érinti-e az előfizető vagy a magánszemély személyes adatainak vagy magánéletének védelmét, különösen a következő körülményekre való tekintettel kell mérlegelni:
a)
az érintett személyes adatok jellege és tartalma, különösen akkor, ha azok pénzügyi információkat, a 95/46/EK irányelv 8. cikkének (1) bekezdésében szereplő különleges adatkategóriákat, illetőleg helymeghatározó adatokat, internetes naplófájlokat, internetes böngészési előzményeket, elektronikus levelezési adatokat és tételes híváslistákat érintenek;
b)
a személyes adatok megsértésének várható következményei az érintett előfizetőre vagy magánszemélyre nézve, különösen akkor, ha a személyes adatok megsértése személyazonosság-lopáshoz, személyazonossággal való visszaéléshez, testi sérelemhez, lelki gyötrelemhez, a becsület csorbításához vagy hírnévrontáshoz vezethet; valamint
c)
a személyes adatok megsértésének körülményei, különösen akkor, ha az adatok eltulajdonítására került sor, vagy a szolgáltató tud róla, hogy az adatok jogosulatlan harmadik fél tulajdonában vannak.
(3) Az előfizető, illetőleg a magánszemély értesítésére a személyes adatok megsértésének - a 2. cikk (2) bekezdése harmadik albekezdésének megfelelő - észlelése után indokolatlan késedelem nélkül sort kell keríteni. Ez nem függ a személyes adat megsértéséről az illetékes nemzeti hatósághoz a 2. cikk értelmében intézendő bejelentéstől.
(4) A szolgáltató az előfizetőhöz vagy magánszemélyhez intézett értesítésében feltünteti a II. mellékletben meghatározott adatokat. Az előfizetőhöz vagy magánszemélyhez intézett értesítést világosan és közérthetően kell megfogalmazni. A szolgáltató nem használhatja fel az értesítést új vagy kiegészítő szolgáltatások népszerűsítésére vagy reklámozására.
(5) Kivételes körülmények között, ha az előfizető, illetőleg a magánszemély értesítése veszélyeztetheti a személyes adat megsértésének megfelelő kivizsgálását, a szolgáltató - az illetékes nemzeti hatóság előzetes jóváhagyásával - olyan időpontra halaszthatja az előfizető, illetőleg a magánszemély értesítését, amelyet az illetékes nemzeti hatóság már alkalmasnak tart a személyes adat megsértéséről szóló, e cikk szerinti értesítés megtételére.
(6) A szolgáltató az előfizetőt, illetőleg a magánszemélyt olyan kommunikációs eszközzel értesíti a személyes adatok megsértéséről, amely biztosítja az információ gyors célba érését, és amely a tudomány és a technika mindenkori állása szerint megfelelően biztonságos. A személyes adatok megsértéséről szóló tájékoztatás csakis a személyes adatok megsértéséről szólhat, és más tárgyú tájékoztatással nem kapcsolható össze.
(7) Amennyiben a végfelhasználóval közvetlen szerződéses jogviszonyban álló szolgáltató - annak ellenére, hogy megfelelő erőfeszítéseket tett - nem tudja azonosítani a (3) bekezdésben említett határidőn belül azokat a magánszemélyeket, akiket a személyes adatok megsértése várhatóan hátrányosan érint, a szolgáltató ezeket a magánszemélyeket a megadott határidőn belül a megfelelő tagállam főbb országos vagy regionális tömegtájékoztatási eszközei útján közzétett hirdetmények révén is értesítheti. E hirdetményeknek tartalmazniuk kell a II. mellékletben meghatározott információkat, szükség esetén tömörített formában. Ez esetben a szolgáltatónak továbbra is minden ésszerű erőfeszítést meg kell tennie az érintett magánszemélyek azonosítására és a II. mellékletben meghatározott információkról való mihamarabbi értesítésére.
4. cikk
Technológiai védelmi intézkedések
(1) A 3. cikk (1) bekezdésétől eltérve az érintett előfizetőt vagy magánszemélyt nem kötelező értesíteni a személyes adatainak megsértéséről, ha a szolgáltató az illetékes nemzeti hatóság számára kielégítően igazolta, hogy megfelelő technológiai védelmi intézkedéseket vezetett be, és hogy a szóban forgó intézkedések alkalmazásra kerültek a biztonság sérelmével érintett adatok esetében. E technológiai védelmi intézkedéseknek értelmezhetetlenné kell tenniük az adatokat a hozzáférési joggal nem rendelkező személyek számára.
(2) Az adatok értelmezhetetlennek tekinthetők, ha:
a)
szabványos algoritmussal biztonságosan titkosítva vannak, az adatok dekódolásához használt kulcsot nem veszélyeztette a biztonságnak semmilyen megsértése, és az adatok dekódolásához használt kulcs úgy került generálásra, hogy az elérhető technológiai eszközökkel azt senki olyan nem derítheti ki, aki a kulcshoz nem jogosult hozzáférni; vagy
b)
kriptográfiai kulcsos szabványos hash függvénnyel kiszámolt hash értékkel helyettesítésre kerültek, az adatok hasítására használt kulcsot nem veszélyeztette a biztonságnak semmilyen megsértése, és az adatok hasításához használt kulcs úgy került generálásra, hogy az elérhető technológiai eszközökkel azt senki olyan nem derítheti ki, aki a kulcshoz nem jogosult hozzáférni.
(3) A Bizottság, miután a 29. cikk szerinti munkacsoporton keresztül egyeztetett az illetékes hatóságokkal, valamint egyeztetett az Európai Hálózat- és Információbiztonsági Ügynökséggel és az európai adatvédelmi biztossal, közzéteheti a jelenlegi gyakorlat szerint megfelelő, az (1) bekezdésben említett technológiai védelmi intézkedések tájékoztató jellegű jegyzékét.
5. cikk
Másik szolgáltató igénybevétele
Amennyiben az elektronikus hírközlési szolgáltatás egy részének nyújtásával másik szolgáltatót bíztak meg, amely nem áll közvetlen szerződéses jogviszonyban az előfizetőkkel, a személyes adatok megsértése esetén ez a másik szolgáltató az őt megbízó szolgáltatót köteles haladéktalanul értesíteni.
6. cikk
Jelentéstétel és felülvizsgálat
A Bizottság e rendelet hatálybalépésétől számított három éven belül jelentést készít e rendelet alkalmazásáról, továbbá annak eredményességéről és a szolgáltatókat, az előfizetőket, illetve a magánszemélyeket érintő hatásairól. A Bizottság a szóban forgó jelentés alapján felülvizsgálja a rendeletet.
7. cikk
Hatálybalépés
Ez a rendelet 2013. augusztus 25-én lép hatályba.
Ez a rendelet teljes egészében kötelező és közvetlenül alkalmazandó valamennyi tagállamban.
Kelt Brüsszelben, 2013. június 24-én.