NAŘÍZENÍ KOMISE (EU) č. 611/2013
ze dne 24. června 2013
o opatřeních vztahujících se na oznámení o narušení bezpečnosti osobních údajů podle směrnice Evropského parlamentu a Rady 2002/58/ES o soukromí a elektronických komunikacích
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (Směrnice o soukromí a elektronických komunikacích) (1), a zejména na čl. 4 odst. 5 uvedené směrnice,
po konzultaci s Evropskou agenturou pro bezpečnost sítí a informací (ENISA),
po konzultaci s pracovní skupinou pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízenou článkem 29 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (2) (dále jen „pracovní skupina zřízená podle článku 29“),
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
Směrnice 2002/58/ES harmonizuje předpisy členských států požadované pro zajištění rovnocenné úrovně ochrany základních práv a svobod, zejména práva na soukromí a zachování důvěrnosti informací, se zřetelem na zpracování osobních údajů v odvětví elektronických komunikací, a pro zajištění volného pohybu těchto údajů a elektronických komunikačních zařízení a služeb v Unii.
(2)
Podle článku 4 směrnice 2002/58/ES jsou poskytovatelé veřejně dostupných služeb elektronických komunikací povinni oznámit narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům a v některých případech také dotčeným účastníkům a jednotlivcům. Narušení bezpečnosti osobních údajů je definováno v čl. 2 písm. i) směrnice 2002/58/ES jako narušení bezpečnosti, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně či neoprávněnému vyzrazení nebo zpřístupnění osobních údajů přenášených, uchovávaných nebo jinak zpracovávaných v souvislosti s poskytováním veřejně dostupné služby elektronických komunikací v Unii.
(3)
Pro zajištění důsledného provádění opatření uvedených v čl. 4 odst. 2, 3 a 4 směrnice 2002/58/ES se v čl. 4 odst. 5 uvedeného nařízení Komise zmocňuje k přijetí technických prováděcích opatření týkajících se okolností, formátu a postupů, jež se vztahují na požadavky informování a oznamování podle uvedeného článku.
(4)
Rozdílné požadavky členských států v tomto ohledu mohou vést k právní nejistotě, složitějším a zdlouhavějším postupům a značným administrativním nákladům poskytovatelů, kteří působí v přeshraničním styku. Komise proto zastává názor, že je nutné přijmout tato technická prováděcí opatření.
(5)
Toto nařízení se omezuje na oznámení o narušení bezpečnosti osobních údajů, a proto nestanoví technická prováděcí opatření týkající se čl. 4 odst. 2 směrnice 2002/58/ES o informování účastníků v případě zvláštního rizika narušení bezpečnosti sítě.
(6)
Z čl. 4 odst. 3 prvního pododstavce směrnice 2002/58/ES vyplývá, že poskytovatelé by měli oznámit příslušnému vnitrostátnímu orgánu všechny případy narušení bezpečnosti osobních údajů. Rozhodnutí, zda je či není třeba oznámit narušení příslušnému vnitrostátnímu orgánu, by proto nemělo být ponecháno na vůli poskytovatele. To by však nemělo bránit příslušnému vnitrostátnímu orgánu, aby v souladu s platnými právními předpisy nepřistoupil k vyšetřování některých narušení přednostně podle jejich důležitosti a nepodnikl kroky nezbytné k tomu, aby se zabránilo přílišnému nebo nedostatečnému hlášení o narušení bezpečnosti osobních údajů.
(7)
Je třeba stanovit systém pro oznamování narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu, který by za splnění některých podmínek sestával z různých etap, pro něž by platily konkrétní lhůty. Systém by měl zajistit, aby příslušný vnitrostátní orgán byl informován co nejdříve a co nejúplněji, aniž by se tím neodůvodněně bránilo poskytovateli ve snaze narušení vyšetřit a přijmout nezbytná opatření k jeho omezení a nápravě důsledků.
(8)
Pouhé podezření, že došlo k narušení bezpečnosti osobních údajů, ani pouhé zjištění události bez dostatečných informací, které se ani přes největší úsilí nepodařilo poskytovateli získat, nepostačuje pro účely tohoto nařízení k tomu, aby bylo možné konstatovat, že došlo k odhalení narušení bezpečnosti osobních údajů. Zvláštní ohled je v této souvislosti třeba věnovat dostupnosti informací uvedených v příloze I.
(9)
V souvislosti s uplatňováním tohoto nařízení by v případech narušení bezpečnosti osobních údajů s přeshraničním rozměrem měly příslušné vnitrostátní orgány mezi sebou spolupracovat.
(10)
Toto nařízení nestanoví žádné upřesnění přehledu narušení bezpečnosti osobních údajů, které mají provozovatelé vést, protože v článku 4 směrnice 2002/58/ES je jeho obsah stanoven vyčerpávajícím způsobem. Poskytovatelé však při určování formátu přehledu mohou použít odkaz na toto nařízení.
(11)
Všechny příslušné vnitrostátní orgány by měly poskytovatelům zpřístupnit bezpečné elektronické prostředky umožňující oznamovat narušení bezpečnosti osobních údajů ve společném formátu, a to na základě normy, jako je např. XML, který bude obsahovat údaje stanovené v příloze I v příslušných jazycích tak, aby všichni poskytovatelé v rámci Unie mohli používat obdobný postup oznamování bez ohledu na to, kde se nacházejí nebo kde došlo k narušení bezpečnosti osobních údajů. V této souvislosti by Komise podle potřeby měla usnadnit zavádění bezpečných elektronických prostředků pořádáním setkání s příslušnými vnitrostátními orgány.
(12)
Při posuzování, zda by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno vzít v úvahu zejména povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, jako jsou např. údaje o kreditní kartě nebo bankovním účtu, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES a některé údaje, které se konkrétně týkají poskytování telefonních a internetových služeb, tj. údaje o elektronické poště, lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek a podrobné rozpisy uskutečněných volání.
(13)
Za výjimečných okolností, jestliže by oznámení účastníkovi nebo jednotlivci mohlo ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, by poskytovatel měl mít možnost oznámení účastníkovi nebo jednotlivci pozdržet. V tomto ohledu mohou výjimečné okolnosti zahrnovat trestní vyšetřování, jakož i další narušení bezpečnosti osobních údajů, která nelze považovat za závažnou trestnou činnost, kvůli nimž však může být vhodné oznámení odložit. Příslušný vnitrostátní orgán by za všech okolností měl v každém jednotlivém případě a s ohledem na okolnosti posoudit, zda se oznámení odloží, nebo zda bude vyžadováno.
(14)
Zatímco poskytovatelé by díky přímému smluvnímu vztahu měli mít kontaktní údaje svých účastníků, o ostatních jednotlivcích nepříznivě ovlivněných narušením bezpečnosti osobních údajů tyto informace mít nemusí. V takovém případě by poskytovatel měl mít možnost nejprve tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích, např. v novinách, a následně jim tuto skutečnost co nejdříve oznámit jednotlivě, jak je stanoveno v tomto nařízení. Poskytovatel jako takový tedy není povinen zveřejnit informace v médiích, ale je oprávněn postupovat případně tímto způsobem, pokud stále ještě probíhá zjišťování totožnosti ovlivněných jednotlivců.
(15)
Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi. Za přiměřený prostředek oznámení o narušení bezpečnosti osobních údajů by například nemělo být považováno uvedení informace o narušení bezpečnosti osobních údajů v běžné faktuře.
(16)
Toto nařízení nestanoví žádná zvláštní technická ochranná opatření, která odůvodňují odchylku od povinnosti oznamovat narušení bezpečnosti osobních údajů účastníkům nebo jednotlivcům, neboť ta se mohou v důsledku technologického pokroku v průběhu času měnit. Komise by však měla mít možnost zveřejnit orientační seznam těchto zvláštních technických ochranných opatření v souladu s platnými postupy.
(17)
Kódování nebo hašování nelze samo o sobě považovat za dostatečný způsob ochrany, který by poskytovatelům obecně umožňoval tvrdit, že splnili všechny všeobecné bezpečnostní povinnosti stanovené v článku 17 směrnice 95/46/ES. V tomto ohledu by poskytovatelé měli také provádět vhodná organizační a technická opatření na prevenci, odhalování a zamezení narušení bezpečnosti osobních údajů. Poskytovatelé by měli zvážit veškerá rizika, která mohou přetrvávat po provedení kontrol, aby bylo možné rozpoznat, kde může dojít k narušení bezpečnosti osobních údajů.
(18)
Pokud provozovatel k poskytování služeb částečně používá jiného poskytovatele, např. pro účely účtování nebo řízení, tento jiný poskytovatel, který není v přímém smluvním vztahu s koncovým uživatelem, by neměl mít povinnost v případě narušení bezpečnosti osobních údajů podávat oznámení. Místo toho by měl uvědomit a informovat poskytovatele, s nímž má přímý smluvní vztah. To by mělo platit i v souvislosti s velkoobchodním poskytováním služeb elektronických komunikací, kde obvykle velkoobchodní poskytovatel není v přímém smluvním vztahu s koncovým uživatelem.
(19)
Směrnice 95/46/ES vymezuje obecný rámec pro ochranu osobních údajů v Evropské unii. Komise předložila návrh nařízení Evropského parlamentu a Rady (dále jako „nařízení o ochraně údajů“), které by mělo směrnici 95/46/ES nahradit. Navrhované nařízení o ochraně údajů by na základě čl. 4 odst. 3 směrnice 2002/58/ES zavedlo pro všechny správce povinnost oznamovat narušení bezpečnosti osobních údajů. Toto nařízení Komise je s tímto opatřením plně v souladu.
(20)
Navrhované nařízení o ochraně údajů v omezeném rozsahu rovněž provádí technické úpravy ve směrnici 2002/58/ES s ohledem na změnu směrnice 95/46/ES na nařízení. Podstatné právní důsledky nového nařízení pro směrnici 2002/58/ES budou předmětem přezkumu, který provede Komise.
(21)
Uplatňování tohoto nařízení by mělo být přezkoumáno tři roky po jeho vstupu v platnost a jeho obsah by měl být přezkoumán s ohledem na právní rámec, který bude v platnosti v uvedené době, včetně navrhovaného nařízení o ochraně údajů. Přezkum tohoto nařízení by měl v budoucnosti být, bude-li to možné, spojen s každým přezkumem směrnice 2002/58/ES.
(22)
Uplatňování tohoto nařízení může být posuzováno mimo jiné na základě statistických údajů, které příslušné vnitrostátní orgány vedou o narušeních bezpečnosti osobních údajů, o nichž byly informovány. Tyto statistiky mohou zahrnovat např. informace o počtu narušení bezpečnosti osobních údajů oznámených příslušnému vnitrostátnímu orgánu, počtu případů narušení bezpečnosti osobních údajů oznámených účastníkovi nebo jednotlivci, době potřebné na vyřešení narušení bezpečnosti osobních údajů, a informace o tom, zda byla přijata technická ochranná opatření. Tyto statistiky by měly poskytovat Komisi a členským státům konzistentní a srovnatelné statistické údaje a neměly by odhalovat totožnost oznamujícího poskytovatele ani dotčených účastníků nebo jednotlivců. Komise může za tímto účelem rovněž pořádat pravidelná setkání s příslušnými vnitrostátními orgány a jinými zúčastněnými stranami.
(23)
Opatření tohoto nařízení jsou v souladu se stanoviskem Komunikačního výboru,
PŘIJALA TOTO NAŘÍZENÍ:
Článek 1
Oblast působnosti
Toto nařízení se vztahuje na oznámení poskytovatelů veřejně dostupných služeb elektronických komunikací (dále jen „poskytovatel“) o narušení bezpečnosti osobních údajů.
Článek 2
Oznámení příslušnému vnitrostátnímu orgánu
1. Poskytovatel oznámí všechna narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu.
2. Poskytovatel oznámí narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu nejpozději 24 hodin po zjištění narušení bezpečnosti osobních údajů, pokud je to proveditelné.
Poskytovatel ve svém oznámení příslušnému vnitrostátnímu orgánu uvede informace stanovené v příloze I.
Za zjištění narušení bezpečnosti osobních údajů se považuje situace, kdy poskytovatel získal dostatečné informace o tom, že došlo k bezpečnostní události, která měla za následek narušení osobních údajů, aby podal opodstatněné oznámení podle tohoto nařízení.
3. Jestliže nejsou k dispozici všechny informace stanovené v příloze I a je nutné další vyšetřování narušení bezpečnosti osobních údajů, může poskytovatel podat první oznámení příslušnému vnitrostátnímu orgánu nejpozději do 24 hodin po zjištění narušení bezpečnosti osobních údajů. Toto první oznámení příslušnému vnitrostátnímu orgánu musí obsahovat informace stanovené v příloze I oddíle 1. Poskytovatel je povinen podat příslušnému vnitrostátnímu orgánu co nejdříve, nejpozději do tří dnů po prvním oznámení, druhé oznámení. Toto druhé oznámení obsahuje informace stanovené v příloze I oddíle 2 a v případě potřeby aktualizuje již poskytnuté údaje.
Jestliže poskytovatel ani po vyšetřování nemůže ve lhůtě tří dnů od prvního oznámení poskytnout všechny informace, oznámí všechny informace, které má v této lhůtě k dispozici a předloží příslušnému vnitrostátnímu orgánu odůvodnění, proč musí být zbývající informace oznámeny později. Poskytovatel co možná nejdříve oznámí zbývající informace příslušnému vnitrostátnímu orgánu a v případě potřeby aktualizuje již poskytnuté údaje.
4. Příslušný vnitrostátní orgán poskytne všem poskytovatelům usazeným v dotčeném členském státě bezpečný elektronický prostředek pro oznamování narušení bezpečnosti osobních údajů a informace o postupech přístupu k němu a jeho používání. V zájmu snazšího uplatňování tohoto ustanovení Komise podle potřeby pořádá pravidelná setkání s příslušnými vnitrostátními orgány.
5. V případě, že se narušení bezpečnosti osobních údajů týká účastníků nebo jednotlivců z jiných členských států, než je členský stát příslušného vnitrostátního orgánu, jemuž bylo narušení bezpečnosti osobních údajů oznámeno, příslušný vnitrostátní orgán informuje orgány ostatních dotčených členských států.
Pro usnadnění uplatňování tohoto ustanovení Komise vytvoří a povede seznam příslušných vnitrostátních orgánů a příslušných kontaktních míst.
Článek 3
Oznámení účastníkovi nebo jednotlivci
1. Pokud by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, musí poskytovatel kromě oznámení uvedeného v článku 2 toto porušení oznámit rovněž účastníkovi nebo jednotlivci.
2. Při posuzování, zda narušení bezpečnosti osobních údajů může mít nepříznivý vliv na osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno brát ohled zejména na tyto okolnosti:
a)
povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES, jakož i lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek, údaje týkající se elektronické pošty a podrobné údaje o uskutečněných voláních;
b)
pravděpodobné důsledky narušení bezpečnosti osobních údajů pro dotčeného účastníka nebo jednotlivce, zejména tehdy, kdy by porušení mohlo vést ke krádeži nebo zneužití, fyzické újmě, psychickému strádání, ponížení nebo poškození pověsti a
c)
okolnosti narušení bezpečnosti osobních údajů, zejména pokud byly údaje odcizeny nebo pokud je poskytovateli známo, že údaje jsou v držení neoprávněné třetí strany.
3. Oznámení účastníkovi nebo jednotlivci musí být učiněno bez zbytečného odkladu po zjištění narušení bezpečnosti osobních údajů v souladu s čl. 2 odst. 2 třetím pododstavcem. Nesmí záviset na oznámení o narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům podle článku 2.
4. Poskytovatel ve svém oznámení účastníkovi nebo jednotlivci uvede informace stanovené v příloze II. Oznámení účastníkovi nebo jednotlivci musí být jasné a srozumitelné. Poskytovatel nesmí využít oznámení jako příležitost k propagaci nebo nabídce nových či doplňkových služeb.
5. Ve výjimečných případech, kdy oznámení účastníkovi nebo jednotlivci může ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, má poskytovatel možnost po získání souhlasu příslušného vnitrostátního orgánu oznámení účastníkovi nebo jednotlivci pozdržet, dokud příslušný vnitrostátní orgán neusoudí, že je možné oznámit narušení bezpečnosti osobních údajů podle tohoto článku.
6. Poskytovatel oznámí účastníkovi nebo jednotlivci narušení bezpečnosti osobních údajů takovým způsobem, který umožňuje rychlé předání informací a který je podle nejnovějších poznatků náležitě zabezpečen. Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi.
7. Pokud poskytovatel, který je v přímém smluvním vztahu s koncovým uživatelem, ani přes vynaložené úsilí není schopen ve lhůtě uvedené v odstavci 3 určit všechny jednotlivce, kteří by narušením bezpečnosti osobních údajů mohli být nepříznivě ovlivněni, může v uvedené lhůtě tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích v příslušných členských státech. Uvedená oznámení musí obsahovat informace stanovené v příloze II, v případě potřeby ve stručné formě. V takovém případě poskytovatel pokračuje v úsilí vedoucím k identifikaci těchto jednotlivců a co nejdříve jim oznámí informace uvedené v příloze II.
Článek 4
Technická ochranná opatření
1. Odchylně od čl. 3 odst. 1 se oznámení o narušení bezpečnosti osobních údajů dotčenému účastníkovi nebo jednotlivci nevyžaduje, pokud poskytovatel ke spokojenosti příslušného vnitrostátního orgánu prokázal, že zavedl náležitá technická ochranná opatření a že tato opatření byla na údaje, jichž se narušení bezpečnosti týká, použita. Tato technická ochranná opatření zajistí, aby údaje nebyly srozumitelné pro nikoho, kdo není k přístupu k nim oprávněn.
2. Údaje se považují za nesrozumitelné, jestliže:
a)
byly bezpečně zašifrovány normalizovaným algoritmem, klíč použitý k dešifrování údajů nebyl žádným narušením bezpečnosti ohrožen a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu, nebo
b)
byly nahrazeny svou zahašovanou hodnotou vypočítanou pomocí normalizované kryptografické hašovací funkce s klíčem, klíč použitý k hašování údajů nebyl ohrožen žádným narušením bezpečnosti a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu.
3. Komise může po konzultaci s příslušnými vnitrostátními orgány prostřednictvím pracovní skupiny zřízené podle článku 29, Evropskou agenturou pro bezpečnost sítí a informací a evropským inspektorem ochrany údajů zveřejnit orientační seznam vhodných technických ochranných opatření uvedených v odstavci 1 v souladu s platnými postupy.
Článek 5
Použití jiného poskytovatele
Jestliže je jiný poskytovatel smluvně zavázán, aby poskytl část služeb elektronických komunikací, aniž by byl v přímém smluvním vztahu s účastníky, tento další poskytovatel v případě, že došlo k narušení bezpečnosti osobních údajů, okamžitě informuje smluvního poskytovatele.
Článek 6
Podávání zpráv a přezkum
Do tří let od vstupu tohoto nařízení v platnost Komise předloží zprávu o uplatňování tohoto nařízení, jeho účinnosti a dopadu na poskytovatele, účastníky a jednotlivce. Na základě uvedené zprávy Komise toto nařízení přezkoumá.
Článek 7
Vstup v platnost
Toto nařízení vstupuje v platnost dne 25. srpna 2013.
Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.
V Bruselu dne 24. června 2013.
KOMISIJOS REGLAMENTAS (ES) Nr. 611/2013
2013 m. birželio 24 d.
dėl priemonių, kurios pagal Europos Parlamento ir Tarybos direktyvą 2002/58/EB dėl privatumo ir elektroninių ryšių taikomos pranešimams apie asmens duomenų saugumo pažeidimus
EUROPOS KOMISIJA,
atsižvelgdama į Sutartį dėl Europos Sąjungos veikimo,
atsižvelgdama į 2002 m. liepos 12 d. Europos Parlamento ir Tarybos direktyvą Nr. 2002/58/EB dėl asmens duomenų tvarkymo ir privatumo apsaugos elektroninių ryšių sektoriuje (Direktyva dėl privatumo ir elektroninių ryšių) (1), ypač į jos 4 straipsnio 5 dalį,
pasikonsultavusi su Europos tinklų ir informacijos apsaugos agentūra (ENISA),
pasikonsultavusi su Asmenų apsaugos tvarkant asmens duomenis darbo grupe, įsteigta pagal 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvos 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (2) 29 straipsnį (29 straipsnio darbo grupe),
pasikonsultavusi su Europos duomenų apsaugos priežiūros pareigūnu (EDAPP),
kadangi:
(1)
Direktyvoje 2002/58/EB numatytas valstybių narių nuostatų, užtikrinančių vienodo lygio pagrindinių teisių ir laisvių, ypač teisės į privatumą ir konfidencialumą, apsaugą, susijusių su asmens duomenų tvarkymu elektroninių ryšių sektoriuje, ir užtikrinančių laisvą tokių duomenų judėjimą ir laisvą elektroninių ryšių įrangos ir paslaugų judėjimą Sąjungoje, suderinimas;
(2)
pagal Direktyvos 2002/58/EB 4 straipsnį viešai prieinamų elektroninių ryšių paslaugų teikėjai įpareigoti informuoti kompetentingas nacionalines institucijas (tam tikrais atvejais - ir susijusius abonentus bei fizinius asmenis) apie asmens duomenų saugumo pažeidimus. Kaip apibrėžta Direktyvos 2002/58/EB 2 straipsnio i punkte, asmens duomenų saugumo pažeidimas - saugumo pažeidimas, dėl kurio atsitiktinai arba neteisėtai sunaikinami, prarandami, pakeičiami, be leidimo atskleidžiami asmens duomenys arba atsiranda galimybė naudotis tais duomenimis, kai jie buvo perduodami, saugomi arba kitaip tvarkomi teikiant viešąją elektroninių ryšių paslaugą Sąjungoje;
(3)
siekiant užtikrinti darnų Direktyvos 2002/58/EB 4 straipsnio 2, 3 ir 4 dalyse nurodytų priemonių įgyvendinimą, jos 4 straipsnio 5 dalimi Komisijai suteikti įgaliojimai priimti technines įgyvendinimo priemones, susijusias su tame straipsnyje nurodytiems informavimo ir pranešimo reikalavimams taikomomis aplinkybėmis, forma ir tvarka;
(4)
dėl skirtingų nacionalinių šios srities reikalavimų taikymo teikėjai, vykdantys veiklą tarpvalstybiniu mastu, gali patirti teisinį netikrumą, susidurti su sudėtingesnėmis varžančiomis procedūromis ir turėti didelių administracinių sąnaudų. Todėl Komisija mano, kad būtina priimti tokias technines įgyvendinimo priemones;
(5)
šio reglamento taikymo sritis apima tik pranešimą apie asmens duomenų saugumo pažeidimus, todėl jame nenumatytos techninės įgyvendinimo priemonės, susijusios su Direktyvos 2002/58/EB 4 straipsnio 2 dalimi dėl abonentų informavimo iškilus tam tikrai tinklo saugumo pažeidimo rizikai;
(6)
remiantis Direktyvos 2002/58/EB 4 straipsnio 3 dalies pirma pastraipa, paslaugų teikėjai kompetentingai nacionalinei institucijai turi pranešti apie visus asmens duomenų saugumo pažeidimus. Todėl teikėjui neturėtų būti leista savo nuožiūra spręsti, ar pranešti apie asmens duomenų saugumo pažeidimą kompetentingai nacionalinei institucijai. Tačiau atitinkamai kompetentingai nacionalinei institucijai tai neturėtų trukdyti pagal galiojančius įstatymus tam tikrus pažeidimus savo nuožiūra nagrinėti pirmumo tvarka ir prireikus imtis veiksmų, kad būtų išvengta netikslumų, susijusių su asmens duomenų pažeidimų, apie kuriuos pranešama, skaičiumi;
(7)
reikėtų nustatyti pranešimo kompetentingai nacionalinei institucijai apie asmens duomenų saugumo pažeidimus sistemą, kurioje būtų numatyta, kad tam tikromis sąlygomis tam tikrą ribotą laikotarpį įgyvendinami įvairūs etapai. Taikant šią sistemą turėtų būti užtikrinama, kad kompetentinga nacionalinė institucija būtų informuojama kuo anksčiau, tačiau paslaugų teikėjui nebūtų trukdoma nagrinėti pažeidimą ir imtis reikiamų priemonių apriboti pažeidimo mastą ir pašalinti jo pasekmes;
(8)
vien įtarimo, kad įvyko asmens duomenų saugumo pažeidimas, arba vien saugumo incidento nustatymo, kai neturima pakankamai informacijos, nors teikėjas dėjo visas pastangas jos gauti, nepakanka, kad pagal šį reglamentą būtų laikoma, jog nustatytas asmens duomenų saugumo pažeidimas. Šiuo atžvilgiu turėtų būti ypač svarbu turėti I priede nurodytą informaciją;
(9)
taikant šį reglamentą tarpvalstybinio pobūdžio asmens duomenų saugumo pažeidimus susijusios kompetentingos nacionalinės institucijos nagrinėja bendradarbiaudamos;
(10)
šiame reglamente nenumatyta jokia papildoma pagal Direktyvos 2002/58/EB 4 straipsnį teikėjų tvarkomo asmens duomenų saugumo pažeidimų registro specifikacija. Tačiau teikėjai gali nustatyti tokio registro formą vadovaudamiesi šiuo reglamentu;
(11)
visos kompetentingos nacionalinės institucijos turėtų teikti saugias elektronines priemones, kuriomis naudodamiesi teikėjai galėtų atitinkamomis kalbomis pateikti I priede nurodytą bendros formos (pvz., grindžiamos XML standartu) informaciją, kad visoje Sąjungoje būtų laikomasi panašios pranešimo tvarkos, kad ir kur būtų įsisteigęs teikėjas ar būtų įvykdytas asmens duomenų saugumo pažeidimas. Tuo atžvilgiu Komisija turėtų palengvinti saugių elektroninių priemonių įgyvendinimą ir tuo tikslu prireikus rengti posėdžius su kompetentingomis nacionalinėmis institucijomis;
(12)
vertinant, ar asmens duomenų saugumo pažeidimas gali turėti neigiamą poveikį asmens duomenims arba abonento ar fizinio asmens privatumui, visų pirma turėtų būti atsižvelgta į atitinkamų asmens duomenų pobūdį ir turinį, ypač kai duomenys yra susiję su finansine informacija, pavyzdžiui, kai tai kredito kortelių duomenys ir informacija apie banko sąskaitą; ypatingų kategorijų duomenys, nurodyti Direktyvos 95/46/EB 8 straipsnio 1 dalyje; taip pat tam tikri duomenys, konkrečiai susiję su telefonijos ar interneto paslaugų teikimu, t. y. e. pašto duomenys, vietos nustatymo duomenys, interneto įeičių dienynų failai, interneto naršymo istorija ir detalūs iškvietų sąrašai;
(13)
išskirtinėmis aplinkybėmis teikėjui turėtų būti leidžiama pranešimą abonentui arba fiziniam asmeniui atidėti, jei dėl pranešimo galbūt būtų apsunkintas tinkamas asmens duomenų saugumo pažeidimo tyrimas. Todėl prie išskirtinių aplinkybių gali būti priskiriamas baudžiamųjų veikų tyrimas, taip pat kiti asmens duomenų saugumo pažeidimai, kurie neprilygsta sunkiam nusikaltimui, tačiau kurių atveju gali būti tikslinga atidėti pranešimą. Bet kuriuo atveju kompetentinga nacionalinė institucija turėtų įvertinti kiekvieną konkretų atvejį ir, atsižvelgdama į aplinkybes, nuspręsti, ar sutikti su pranešimo atidėjimu, ar reikalauti pranešimą pateikti nedelsiant;
(14)
nors teikėjai dėl tiesioginių sutartinių santykių su savo abonentais turėtų turėti jų kontaktinius duomenis, tokios informacijos apie kitus fizinius asmenis, kuriems dėl asmens duomenų saugumo pažeidimo padarytas neigiamas poveikis, jie gali neturėti. Tokiu atveju, siekiant apie tai pranešti tiems fiziniams asmenims, teikėjui turėtų būti leidžiama iš pradžių įdėti atitinkamą skelbimą pagrindinėse nacionalinėse arba regioninėse žiniasklaidos priemonėse, pavyzdžiui, laikraščiuose, o po to kuo greičiau pateikti individualų pranešimą, kaip numatyta šiame reglamente. Todėl iš esmės teikėjas ne įpareigojamas pranešti per žiniasklaidos priemones, o tik įgaliojamas tai padaryti savo nuožiūra, kol nustatinėjami visi fiziniai asmenys, kuriems padarytas poveikis;
(15)
informacija apie pažeidimą turėtų būti susijusi tik su tuo pažeidimu ir nesiejama su jokia kita informacija. Pavyzdžiui, informacijos apie asmens duomenų saugumo pažeidimą pateikimas įprastoje sąskaitoje faktūroje neturėtų būti laikomas tinkama priemone pranešti apie asmens duomenų saugumo pažeidimą;
(16)
šiuo reglamentu nenustatoma konkrečių technologinių apsaugos priemonių, kuriomis būtų galima pagrįsti nukrypimą nuo įpareigojimo pranešti abonentams arba fiziniams asmenims apie asmens duomenų saugumo pažeidimus, nes technologijoms tobulėjant tokios priemonės ilgainiui gali keistis. Tačiau Komisija pagal galiojančią tvarką turėtų turėti galimybę skelbti tokių konkrečių technologinės apsaugos priemonių orientacinį sąrašą;
(17)
neturėtų būti laikoma, kad šifravimo arba maišos pakanka, kad teikėjai galėtų plačiau pareikšti, jog yra įvykdę bendrąjį saugumo įpareigojimą pagal Direktyvos 95/46/EB 17 straipsnį. Šiuo atžvilgiu teikėjai taip pat turėtų įgyvendinti tinkamas organizacines ir technines priemones, kad išvengtų asmens duomenų saugumo pažeidimų, juos aptiktų ir užkirstų jiems kelią. Teikėjai turėtų įvertinti riziką, kuri galbūt lieka įgyvendinus kontrolės priemones, kad suprastų, kur gali įvykti asmens duomenų saugumo pažeidimų;
(18)
kai teikėjas paslaugą iš dalies teikia naudodamasis kito teikėjo paslaugomis, pavyzdžiui, susijusiomis su sąskaitų išrašymu ar valdymu, pastarasis teikėjas, kuris su galutiniu naudotoju nėra tiesiogiai susietas sutartiniais santykiais, asmens duomenų saugumo pažeidimo atveju neturėtų būti įpareigojamas pateikti pranešimus. Jis tik turėtų įspėti ir informuoti teikėją, su kuriuo yra tiesiogiai susietas sutartiniais santykiais. Tai turėtų būti taikoma ir teikiant didmenines elektroninių ryšių paslaugas, kai didmeninės paslaugos teikėjas su galutiniu vartotoju paprastai nėra tiesiogiai susietas sutartiniais santykiais;
(19)
Direktyva Nr. 95/46/EB nustatyta bendroji asmens duomenų apsaugos Europos Sąjungoje sistema. Komisija pateikė Europos Parlamento ir Tarybos reglamento, kuriuo būtų pakeista Direktyva 95/46/EB, (Duomenų apsaugos reglamento) pasiūlymą. Pasiūlytu Duomenų apsaugos reglamentu visi duomenų valdytojai, remiantis Direktyvos 2002/58/EB 4 straipsnio 3 dalimi, būtų įpareigojami pranešti apie asmens duomenų saugumo pažeidimus. Šis Komisijos reglamentas visiškai atitinka minėtą pasiūlytą priemonę;
(20)
pasiūlytu Duomenų apsaugos reglamentu padaromas ir tam tikras ribotas skaičius techninių Direktyvos 2002/58/EB pakeitimų, kad būtų atsižvelgta į tai, kad Direktyva 95/46/EB pakeičiama reglamentu. Komisija apsvarstys, kokių svarbių teisinių padarinių naujasis reglamentas turės Direktyvai 2002/58/EB;
(21)
šio reglamento taikymą reikėtų persvarstyti praėjus trejiems metams po jo įsigaliojimo, o jo turinys turėtų būti persvarstomas atsižvelgiant į tuo metu galiojančią teisinę sistemą, įskaitant pasiūlytą Duomenų apsaugos reglamentą. Šio reglamento persvarstymas turėtų būti siejamas, jei įmanoma, su galimu būsimu Direktyvos 2002/58/EB persvarstymu;
(22)
šio reglamento taikymas galėtų būti vertinamas remiantis, inter alia, visais kompetentingų nacionalinių institucijų tvarkomais asmens duomenų saugumo pažeidimų, apie kuriuos joms pranešama, statistiniais duomenimis. Tai, pavyzdžiui, gali būti informacija apie asmens duomenų saugumo pažeidimų, apie kuriuos pranešta kompetentingai nacionalinei institucijai, skaičių, apie asmens duomenų saugumo pažeidimų, apie kuriuos pranešta abonentams arba fiziniams asmenims, skaičių, apie tai, kiek laiko užtruko išspręsti asmens duomenų saugumo pažeidimą ir ar imtasi technologinių apsaugos priemonių. Teikiant šią statistinę informaciją Komisijai ir valstybėms narėms turėtų būti pateikiami nuoseklūs ir palyginami statistiniai duomenys, neatskleidžiant nei pranešančiojo teikėjo, nei susijusių abonentų ar fizinių asmenų tapatybės. Be to, Komisija šiuo tikslu gali reguliariai rengti susitikimus su kompetentingomis nacionalinėmis institucijomis ir kitomis suinteresuotosiomis šalimis;
(23)
šiame reglamente numatytos priemonės atitinka Ryšių komiteto nuomonę,
PRIĖMĖ ŠĮ REGLAMENTĄ:
1 straipsnis
Taikymo sritis
Šis reglamentas taikomas viešai prieinamų elektroninių ryšių paslaugų teikėjo (toliau - teikėjas) pranešimui apie asmens duomenų saugumo pažeidimus.
2 straipsnis
Pranešimas kompetentingai nacionalinei institucijai
1. Apie visus asmens duomenų saugumo pažeidimus teikėjas praneša kompetentingai nacionalinei institucijai.
2. Kai įmanoma, apie asmens duomenų saugumo pažeidimą teikėjas kompetentingai nacionalinei institucijai praneša per 24 valandas nuo asmens duomenų saugumo pažeidimo nustatymo.
Teikėjas pranešime kompetentingai nacionalinei institucijai pateikia I priede nustatytą informaciją.
Laikoma, kad asmens duomenų saugumo pažeidimas padarytas, kai teikėjas sužino apie saugumo incidentą, dėl kurio buvo pažeistas asmens duomenų saugumas, kad pagal šį reglamentą galėtų pateikti tinkamą pranešimą.
3. Kai visos I priede nurodytos informacijos neturima ir būtina atlikti išsamesnį asmens duomenų saugumo pažeidimo tyrimą, teikėjui leidžiama per 24 valandas nuo asmens duomenų saugumo pažeidimo nustatymo kompetentingai nacionalinei institucijai pateikti pirminį pranešimą. Tame pirminiame pranešime kompetentingai nacionalinei institucijai pateikiama I priedo 1 skirsnyje nurodyta informacija. Teikėjas kuo greičiau ir ne vėliau kaip per tris dienas nuo pradinio pranešimo pateikimo kompetentingai nacionalinei institucijai pateikia antrą pranešimą. Antrajame pranešime pateikiama I priedo 2 skirsnyje nurodyta informacija ir prireikus atnaujinama anksčiau pateikta informacija.
Jeigu teikėjas, nepaisant jo atlikto tyrimo, negali pateikti visos informacijos per tris dienas nuo pirminio pranešimo, jis kompetentingai nacionalinei institucijai praneša visą tuo metu turimą informaciją ir pagrįstai nurodo, kodėl bus vėluojama pateikti likusią informaciją. Teikėjas kompetentingai nacionalinei institucijai kuo greičiau pateikia likusią informaciją ir prireikus atnaujina anksčiau pateiktą informaciją.
4. Kompetentinga nacionalinė institucija visiems toje valstybėje narėje įsisteigusiems teikėjams pateikia saugias elektronines pranešimo apie asmens duomenų saugumo pažeidimus priemones ir informaciją apie tų priemonių prieigos ir naudojimo tvarką. Kad palengvintų šios nuostatos taikymą, prireikus Komisija rengia susitikimus su kompetentingomis nacionalinėmis institucijomis.
5. Kai asmens duomenų saugumo pažeidimas turi poveikį kitų valstybių narių abonentams ar fiziniams asmenims, kompetentinga nacionalinė institucija, kuriai pranešta apie asmens duomenų saugumo pažeidimą, informuoja kitas atitinkamas nacionalines institucijas.
Kad palengvintų šios nuostatos taikymą, Komisija sukuria ir tvarko kompetentingų nacionalinių institucijų ir atitinkamų informacinių punktų sąrašą.
3 straipsnis
Pranešimas abonentui arba fiziniam asmeniui
1. Kai tikėtina, kad asmens duomenų saugumo pažeidimas gali turėti neigiamą poveikį asmens duomenims arba abonento ar fizinio asmens privatumui, teikėjas ne tik pateikia 2 straipsnyje nurodytą pranešimą, bet ir apie pažeidimą praneša susijusiam abonentui arba fiziniam asmeniui.
2. Ar asmens duomenų saugumo pažeidimas gali turėti neigiamą poveikį asmens duomenims arba abonento ar fizinio asmens privatumui, vertinama atsižvelgiant, visų pirma, į tokias aplinkybes:
a)
atitinkamų asmens duomenų pobūdį ir turinį, ypač kai tai su finansine informacija susiję duomenys, Direktyvos 95/46/EB 8 straipsnio 1 dalyje nurodyti ypatingų kategorijų duomenys, taip pat vietos nustatymo duomenys, interneto įeičių dienynų failai, interneto naršymo istorija, e. pašto duomenys ir detalūs iškvietų sąrašai;
b)
tikėtinas asmens duomenų saugumo pažeidimo pasekmes atitinkamam abonentui arba fiziniam asmeniui, visų pirma jei dėl pažeidimo galima tapatybės vagystė ar tapatybės klastojimas, fizinė žala, psichologinė įtampa, pažeminimas ar žala reputacijai, ir
c)
asmens duomenų saugumo pažeidimo aplinkybes, ypač kai duomenys buvo pavogti arba kai teikėjas žino, kad duomenimis neteisėtai disponuoja trečioji šalis.
3. Nustačius asmens duomenų saugumo pažeidimą, abonentui arba fiziniam asmeniui turėtų būti pranešama nedelsiant, kaip nustatyta 2 straipsnio 2 dalies trečioje pastraipoje. Šis pranešimas teikiamas nepriklausomai nuo 2 straipsnyje nurodyto kompetentingai nacionalinei institucijai teikiamo pranešimo apie asmens duomenų saugumo pažeidimą.
4. Teikėjas pranešime abonentui arba fiziniam asmeniui pateikia II priede nustatytą informaciją. Pranešimas abonentui arba fiziniam asmeniui pateikiamas aiškiai ir lengvai suprantama kalba. Teikėjas nesinaudoja pranešimu siekdamas skatinti užsisakyti naujas ar papildomas paslaugas ar jas reklamuoti.
5. Kai dėl pranešimo abonentui arba fiziniam asmeniui gali būti apsunkintas tinkamas asmens duomenų saugumo pažeidimo tyrimas, teikėjui, gavusiam kompetentingos nacionalinės institucijos sutikimą, išskirtinėmis aplinkybėmis leidžiama pranešimą abonentui arba fiziniam asmeniui atidėti tol, kol kompetentinga nacionalinė institucija nuspręs, kad jau galima pagal šį straipsnį pranešti apie asmens duomenų saugumo pažeidimą.
6. Teikėjas abonentui arba fiziniam asmeniui praneša apie asmens duomenų saugumo pažeidimą naudodamasis ryšio priemonėmis, kuriomis naudojantis užtikrinama, kad informacija būtų gaunama greitai, ir kurios yra tinkamai apsaugotos atsižvelgiant į naujausius technikos laimėjimus. Informacija apie pažeidimą yra skiriama tik tam pažeidimui ir nesiejama su jokia kita informacija.
7. Jeigu tiesiogiai su galutiniu vartotoju sutartiniais santykiais susietas teikėjas, nepaisant to, kad ėmėsi reikiamų pastangų, per 3 dalyje nurodytą laikotarpį negali nustatyti visų fizinių asmenų, kuriems asmens duomenų saugumo pažeidimas galėjo turėti neigiamą poveikį, jis per tą laikotarpį gali informuoti tuos fizinius asmenis skelbimu pagrindinėse nacionalinėse arba regioninėse žiniasklaidos priemonėse atitinkamose valstybėse narėse. Tuose skelbimuose pateikiama (jei reikia - glausta forma) II priede nurodyta informacija. Tokiu atveju teikėjas ir toliau deda visas pagrįstas pastangas, kad nustatytų tuos fizinius asmenis ir kuo greičiau praneštų jiems II priede nurodytą informaciją.
4 straipsnis
Technologinės apsaugos priemonės
1. Nukrypstant nuo 3 straipsnio 1 dalies, apie asmens duomenų saugumo pažeidimą pranešti susijusiam abonentui arba fiziniam asmeniui nereikalaujama, jeigu teikėjas kompetentingai institucijai tinkamai įrodė, kad jis įgyvendino tinkamas technologines apsaugos priemones ir kad tos priemonės buvo taikomos duomenims, kurių saugumas buvo pažeistas. Tokiomis technologinėmis apsaugos priemonėmis užtikrinama, kad asmeniui, neturinčiam leidimo su duomenimis susipažinti, jie būtų neįskaitomi.
2. Duomenys laikomi neįskaitomais, jeigu:
a)
jie buvo saugiai užšifruoti pagal standartizuotą algoritmą, duomenų iššifravimo rakto saugumas nebuvo pažeistas per jokį saugumo pažeidimą ir duomenų iššifravimo raktas buvo sugeneruotas taip, kad esamomis technologinėmis priemonėmis jo negalėtų nustatyti joks asmuo, neturintis leidimo naudotis raktu; arba
b)
jie buvo pakeisti maišos rezultatu, apskaičiuotu naudojant standartizuotą raktinės maišos funkciją, duomenų maišos rakto saugumas nebuvo pažeistas per jokį saugumo pažeidimą, o duomenų maišos raktas buvo sugeneruotas taip, kad esamomis technologinėmis priemonėmis jo negalėtų nustatyti joks asmuo, neturintis leidimo naudotis raktu.
3. Pasikonsultavusi per 29 straipsnio darbo grupę su kompetentingomis nacionalinėmis institucijomis, Europos tinklų ir informacijos apsaugos agentūra ir Europos duomenų apsaugos priežiūros pareigūnu, Komisija pagal galiojančią tvarką gali paskelbti tinkamų šio straipsnio 1 dalyje nurodytų technologinių apsaugos priemonių orientacinį sąrašą.
5 straipsnis
Naudojimasis kito teikėjo paslaugomis
Kai teikėjas elektroninių ryšių paslaugą iš dalies teikia naudodamasis kito teikėjo, kuris su abonentais nėra tiesiogiai susietas sutartiniais santykiais, paslaugomis, pastarasis teikėjas asmens duomenų saugumo pažeidimo atveju nedelsdamas informuoja teikėją, su kuriuo yra sudaręs paslaugos teikimo sutartį.
6 straipsnis
Persvarstymas ir ataskaitų teikimas
Per trejus metus nuo šio reglamento įsigaliojimo Komisija parengia šio reglamento taikymo, veiksmingumo ir poveikio teikėjams, abonentams ir fiziniams asmenims ataskaitą. Remdamasi ta ataskaita Komisija persvarsto šį reglamentą.
7 straipsnis
Įsigaliojimas
Šis reglamentas įsigalioja 2013 m. rugpjūčio 25 d.
Šis reglamentas privalomas visas ir tiesiogiai taikomas visose valstybėse narėse.
Priimta Briuselyje 2013 m. birželio 24 d.