KOMMISSIONENS FORORDNING (EU) Nr. 611/2013
af 24. juni 2013
om de foranstaltninger, der skal anvendes ved underretningen om brud på persondatasikkerheden, jf. Europa-Parlamentets og Rådets direktiv 2002/58/EF vedrørende databeskyttelse inden for elektronisk kommunikation
EUROPA-KOMMISSIONEN HAR -
under henvisning til traktaten om Den Europæiske Unions funktionsmåde,
under henvisning til Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (Direktiv om databeskyttelse inden for elektronisk kommunikation) (1), særlig artikel 4, stk. 5,
efter at have hørt Det Europæiske Agentur for Net- og Informationssikkerhed (ENISA),
efter at have hørt Gruppen vedrørende Beskyttelse af Personer i forbindelse med Behandling af Personoplysninger, der er nedsat ved artikel 29 i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (2) (Artikel 29-Gruppen),
efter høring af Den Europæiske Tilsynsførende for Databeskyttelse (EDPS) og
ud fra følgende betragtninger:
(1)
Direktiv 2002/58/EF tager sigte på en harmonisering af nationale bestemmelser, der er nødvendig for at sikre et ensartet niveau i beskyttelsen af de grundlæggende rettigheder og frihedsrettigheder og navnlig retten til privatlivets fred og fortrolighed i forbindelse med behandling af personoplysninger inden for den elektroniske kommunikationssektor og for at sikre fri omsætning af sådanne oplysninger og af elektronisk kommunikationsudstyr og elektroniske kommunikationstjenester i Unionen.
(2)
I henhold til artikel 4 i direktiv 2002/58/EF har udbydere af offentligt tilgængelige kommunikationstjenester pligt til at underrette de kompetente nationale myndigheder og i visse tilfælde også berørte abonnenter og fysiske personer om brud på persondatasikkerheden. Brud på persondatasikkerheden er i artikel 2, litra i), i direktiv 2002/58/EF defineret som et sikkerhedsbrud, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, ubeføjet videregivelse af eller adgang til persondata, der sendes, lagres eller på anden måde behandles i forbindelse med udbuddet af offentligt tilgængelige kommunikationstjenester i Unionen.
(3)
For at sikre en ensartet gennemførelse af de foranstaltninger, der er anført i artikel 4, stk. 2, 3 og 4, i direktiv 2002/58/EF, giver samme direktivs artikel 4, stk. 5, Kommissionen beføjelse til at vedtage tekniske gennemførelsesforanstaltninger om, under hvilke omstændigheder informations- og underretningskravene i denne artikel gælder, samt hvilke former og procedurer der skal anvendes.
(4)
Forskelle i nationale krav i denne henseende kan medføre retlig usikkerhed, mere komplicerede og omstændelige procedurer og betydelige administrative omkostninger for udbydere, der opererer på tværs af landegrænserne. Kommissionen finder det derfor nødvendigt at vedtage sådanne tekniske gennemførelsesforanstaltninger.
(5)
Denne forordning er afgrænset til at omhandle underretningen om brud på persondatasikkerheden, og der er derfor ikke fastsat tekniske gennemførelsesforanstaltninger for artikel 4, stk. 2, i direktiv 2002/58/EF om underretning af abonnenter i tilfælde af en særlig risiko for brud på netsikkerheden.
(6)
Det følger af første afsnit i artikel 4, stk. 3, i direktiv 2002/58/EF, at udbyderne skal underrette den kompetente nationale myndighed om alle brud på persondatasikkerheden. Der bør derfor ikke overlades skønsbeføjelser til udbyderen om, hvorvidt den kompetente myndighed bør underrettes. Dette bør dog ikke hindre den berørte kompetente nationale myndighed i at prioritere undersøgelsen af visse brud på den måde, som den finder passende i overensstemmelse med den gældende lovgivning, og om fornødent at træffe foranstaltninger for at undgå over- eller underrapportering om brud på persondatasikkerheden.
(7)
Der bør tilvejebringes en ordning for underretning om brud på persondatabeskyttelsen til den kompetente nationale myndighed, og når visse betingelser er opfyldt, bør ordningen bestå af forskellige faser, som hver især er omfattet af visse frister. Hensigten med ordningen er at sikre, at den kompetente nationale myndighed underrettes så hurtigt og så fyldestgørende som muligt uden dog på en urimelig måde at hindre udbyderen i sine bestræbelser på at undersøge bruddet og træffe de nødvendige foranstaltninger for at begrænse det og afbøde konsekvenserne heraf.
(8)
Hverken en simpel formodning om, at et brud på persondatasikkerheden har fundet sted, eller en simpel påvisning af en hændelse, hvis de disponible oplysninger er utilstrækkelige trods det, at en udbyder gør sit bedste for at skabe afklaring, er tilstrækkeligt til at anse et brud på persondatasikkerheden for at være påvist i denne forordnings forstand. Der bør i den forbindelse tages særligt hensyn til, om de oplysninger, der er nævnt i bilag I, står til rådighed.
(9)
De berørte kompetente nationale myndigheder bør samarbejde om anvendelsen af denne forordning i tilfælde, hvor et brud på persondatasikkerheden har en tværnational dimension.
(10)
I denne forordning foretages der ingen yderligere specifikation af de optegnelser over brud på persondatasikkerheden, som udbydere fører, fordi indholdet specificeres udtømmende i artikel 4 i direktiv 2002/58/EF. Udbydere kan dog benytte nærværende forordning med henblik på at fastlægge optegnelsernes format.
(11)
Alle kompetente nationale myndigheder bør stille sikre elektroniske midler til rådighed for udbyderne, således at de kan underrette om brud på persondatasikkerheden i et fælles format baseret på en standard som f.eks. XML, med de oplysninger, der er anført i bilag I, på de relevante sprog, så alle udbydere i Unionen kan følge en ensartet underretningsprocedure, uanset hvor de befinder sig, eller hvor bruddet på persondatasikkerheden fandt sted. Kommissionen bør i den forbindelse lette gennemførelsen af de sikre elektroniske midler ved om fornødent at indkalde de kompetente nationale myndigheder til møder.
(12)
Ved vurderingen af, om et brud på persondatasikkerheden kan forventes at krænke personoplysninger eller privatlivets fred for en abonnent eller en fysisk person, bør der tages hensyn til bl.a. karakteren og indholdet af de pågældende personoplysninger, navnlig hvis oplysningerne vedrører finansielle oplysninger og herunder kreditkortoplysninger og bankoplysninger; særlige kategorier af oplysninger, jf. artikel 8, stk. 1, i direktiv 95/46/EF; og visse data, der specifikt vedrører udbuddet af telefoni- eller internettjenester, dvs. e-maildata, lokaliseringsdata, internetlogfiler, browserhistorik og udspecificerede opkaldslister.
(13)
I undtagelsestilfælde bør udbyderen have mulighed for at udskyde underretningen af abonnenten eller den fysiske person, hvis underretningen af abonnenten eller den fysiske person kan bringe en behørig undersøgelse af bruddet på persondatasikkerheden i fare. I denne sammenhæng kan undtagelsestilfælde omfatte strafferetlig efterforskning samt andre brud på persondatasikkerheden, hvor der ikke er tale om en grov forbrydelse, men for hvilke det kan være hensigtsmæssigt at udskyde underretningen. Under alle omstændigheder bør det være op til den kompetente nationale myndighed ud fra det enkelte tilfælde og på baggrund af omstændighederne at tage stilling til, hvorvidt den samtykker i at udskyde underretningen, eller om underretningen skal kræves foretaget.
(14)
Udbydere må forventes at have rådighed over deres abonnenters kontaktoplysninger i lyset af deres direkte kontraktforhold, men sådanne oplysninger findes muligvis ikke for andre fysiske personer, der berøres af bruddet på persondatasikkerheden. I det tilfælde bør der gives tilladelse til, at udbyderen i første omgang underretter disse fysiske personer via annoncer i større nationale eller regionale medier, f.eks. aviser, og at disse hurtigst muligt efterfølges af en individuel underretning som fastsat ved denne forordning. Udbyderen forpligtes derfor ikke til at underrette gennem medierne, men får snarere beføjelse til at handle på denne måde, hvis udbyderen ønsker det, når vedkommende stadig er i færd med at identificere alle fysiske personer.
(15)
Oplysningerne om bruddet bør stå alene og ikke gives sammen med oplysninger om andre emner. Det betragtes eksempelvis ikke som et velegnet middel til at underrette om et brud på persondatasikkerheden, hvis en normal faktura benyttes til at underrette om et brud på persondatasikkerheden.
(16)
Ved denne forordning fastsættes der ikke specifikke tekniske beskyttelsesforanstaltninger, som kan begrunde en fravigelse af pligten til at underrette abonnenter eller fysiske personer om et brud på persondatasikkerheden, fordi disse kan ændre sig med tiden i takt med teknologiske fremskridt. Kommissionen forventer dog at kunne offentliggøre en vejledende liste over sådanne specifikke tekniske beskyttelsesforanstaltninger i henhold til den aktuelle praksis.
(17)
Gennemførelse af kryptering eller hashing bør ikke i sig selv betragtes som tilstrækkeligt til, at udbydere generelt kan gøre gældende, at de har opfyldt den generelle sikkerhedsforpligtelse, der er fastsat ved artikel 17 i direktiv 95/46/EF. I den henseende bør udbydere også gennemføre passende organisatoriske og tekniske foranstaltninger, der skal forebygge, påvise og blokere brud på datasikkerheden. Efter at have gennemført kontrolforanstaltninger bør udbydere tage højde for eventuelle tilbageværende risici for at erkende, hvor brud på persondatasikkerheden potentielt kan forekomme.
(18)
Benytter udbyderen en anden udbyder til at udføre en del af tjenesteydelsen, f.eks. i forbindelse med fakturering og ledelsesfunktioner, bør denne anden udbyder, som ikke har et direkte kontraktforhold til slutbrugeren, ikke være forpligtet til at udstede underretninger i tilfælde af brud på persondatasikkerheden. Den anden udbyder bør i stedet advare og oplyse udbyderen, med hvilken vedkommende har indgået et direkte kontraktforhold. Dette bør også gælde i forbindelse med engrosudbud af elektroniske kommunikationstjenester, hvor engrosudbyderen normalt ikke har et direkte kontraktforhold til slutbrugeren.
(19)
I direktiv 95/46/EF defineres en generel ramme for beskyttelse af persondata i Den Europæiske Union. Kommissionen har forelagt et forslag til en forordning udstedt af Europa-Parlamentet og Rådet med henblik på at erstatte direktiv 95/46/EF (databeskyttelsesforordningen). Med den foreslåede databeskyttelsesforordning pålægges alle dataansvarlige at underrette om brud på persondatasikkerheden med udgangspunkt i artikel 4, stk. 3, i direktiv 2002/58/EF. Den aktuelle kommissionsforordning er i fuld overensstemmelse med denne foreslåede foranstaltning.
(20)
I den foreslåede databeskyttelsesforordning foretages endvidere et begrænset antal tekniske tilpasninger af direktiv 2002/58/EF for at tage højde for, at direktiv 95/46/EF omdannes til en forordning. Kommissionen vil gøre den nye forordnings materielle retlige konsekvenser for direktiv 2002/58/EF til genstand for en ny gennemgang.
(21)
Anvendelsen af denne forordning bør tages op til fornyet overvejelse tre år efter ikrafttrædelsen, og dens indhold tages op til fornyet overvejelse i lyset af den gældende lovramme til sin tid og herunder den foreslåede databeskyttelsesforordning. Den fornyede gennemgang af nærværende forordning bør derfor så vidt muligt knyttes sammen med gennemgangen af direktiv 2002/58/EF.
(22)
Forordningens anvendelse kan bl.a. vurderes på grundlag af de kompetente nationale medlemsstaters eventuelle statistikker over brud på persondatasikkerheden, som de får underretning om. Disse statistikker kan f.eks. omfatte oplysninger om antallet af brud på persondatasikkerheden, som den kompetente nationale myndighed har modtaget underretning om, antal brud på persondatasikkerheden, som abonnenten eller den fysiske person har modtaget underretning om, den tid, det tager at afhjælpe bruddet på persondatasikkerheden, og hvorvidt der er truffet tekniske beskyttelsesforanstaltninger. Disse statistikker bør give Kommissionen og medlemsstaterne sammenhængende og sammenlignelige statistiske data, og de bør ikke afsløre identiteten af hverken de udbydere, som foretager underretningen, eller abonnenter og fysiske personer. Kommissionen kan også holde jævnlige møder med de kompetente nationale myndigheder og andre interesseparter herom.
(23)
Foranstaltningerne i denne forordning er i overensstemmelse med udtalelse fra Kommunikationsudvalget -
VEDTAGET DENNE FORORDNING:
Artikel 1
Genstand
Denne forordning gælder for underretningen om brud på persondatasikkerheden, der foretages af udbydere af offentligt tilgængelige kommunikationstjenester (»udbyderen«).
Artikel 2
Underretning af den kompetente nationale myndighed
1. Udbyderen skal underrette den kompetente nationale myndighed om samtlige brud på persondatasikkerheden.
2. Udbyderen skal underrette den kompetente nationale myndighed om bruddet på persondatabeskyttelsen senest 24 timer efter, at bruddet er påvist, når dette er praktisk muligt.
Udbyderen skal i sin underretning af den kompetente nationale myndighed vedlægge de oplysninger, der er angivet i bilag I.
Et brud på persondatasikkerheden skal anses for at være påvist, hvis en udbyder har opnået tilstrækkelig kendskab til, at en sikkerhedshændelse er indtruffet, og at den har kompromitteret persondatasikkerheden, således at der kan afgives en hensigtsmæssig underretning som krævet ifølge denne forordning.
3. Udbyderen må foretage en indledende underretning af den kompetente nationale myndighed senest 24 timer efter påvisning af bruddet på persondatabeskyttelsen, hvis alle de i bilag I angivne oplysninger ikke foreligger, og der er behov for yderligere efterforskning af bruddet på persondatasikkerheden. Denne indledende underretning af den kompetente nationale myndighed skal indeholde de oplysninger, der er anført i bilag I, afdeling 1. Udbyderen skal foretage en anden underretning af den kompetente nationale myndighed så hurtigt som muligt og senest tre dage efter den indledende underretning. Denne anden underretning skal indeholde de oplysninger, der er anført i bilag I, afdeling 2, og om nødvendigt ajourføre de oplysninger, der allerede er afgivet.
Hvis udbyderen på trods af sin efterforskning ikke er i stand til at forelægge alle oplysninger senest tre dage efter den indledende underretning, skal udbyderen afgive alle disponible oplysninger inden for denne tidsfrist og forelægge den kompetente nationale myndighed en begrundelse for den forsinkede underretning om de resterende oplysninger. Udbyderen forelægger hurtigst muligt de resterende oplysninger for den kompetente nationale myndighed og ajourfører om nødvendigt de oplysninger, der allerede er afgivet.
4. Den kompetente nationale myndighed stiller sikre elektroniske midler til rådighed, således at alle udbydere, der er etableret i den pågældende medlemsstat, kan underrette om brud på persondatasikkerheden, tillige med oplysninger om procedurerne for adgang og brug af denne. Ved behov indkalder Kommissionen til møder mellem de kompetente nationale myndigheder med henblik på at lette anvendelsen af denne bestemmelse.
5. Når bruddet på persondatasikkerheden krænker abonnenter eller fysiske personer fra andre medlemsstater end den kompetente nationale myndigheds medlemsstat, hvori der er underrettet om bruddet på persondatasikkerheden, informerer den kompetente nationale myndighed de øvrige berørte nationale myndigheder.
For at lette anvendelsen af denne bestemmelse opretter og ajourfører Kommissionen en liste over de kompetente nationale myndigheder og de relevante kontaktpunkter.
Artikel 3
Underretning af en abonnent eller en fysisk person
1. Hvis bruddet på persondatasikkerheden kan forventes at krænke personoplysninger eller privatlivets fred for en abonnent eller en fysisk person, skal udbyderen foruden den underretning, der er nævnt i artikel 2, også underrette abonnenten eller den fysiske person om bruddet.
2. Ved vurderingen af, hvorvidt et brud på persondatasikkerheden kan forventes at krænke personoplysninger eller privatlivets fred for en abonnent eller en fysisk person, skal der tages hensyn til bl.a. følgende forhold:
a)
karakteren og indholdet af de pågældende personoplysninger, navnlig hvor oplysningerne vedrører finansielle oplysninger, særlige kategorier af oplysninger, jf. artikel 8, stk. 1, i direktiv 95/46/EF, samt lokaliseringsdata, internetlogfiler, browserhistorik, e-maildata og udspecificerede opkaldslister
b)
de sandsynlige følger af bruddet på persondatasikkerheden for den berørte abonnent eller fysiske person, navnlig hvis bruddet kan medføre identitetstyveri eller svig, fysisk skade, psykologisk forstyrrelse, tort eller skade af omdømme og
c)
omstændighederne ved bruddet på persondatasikkerheden, navnlig når oplysningerne er blevet stjålet, eller når udbyderen er bekendt med, at de nødvendige data er i en uautoriseret tredjemands besiddelse.
3. Abonnenten eller den fysiske person skal underrettes uden unødig forsinkelse, efter at bruddet på persondatasikkerheden er påvist, jf. artikel 2, stk. 2, tredje afsnit. Dette må ikke afhænge af underretningen om bruddet på persondatabeskyttelsen til den kompetente nationale myndighed, der er omhandlet i artikel 2.
4. I udbyderens underretning til abonnenten eller den fysiske person vedlægges de oplysninger, der er fastsat i bilag II. Underretningen af abonnenten eller den fysiske person skal være udtrykt i et klart og letforståeligt sprog. Udbyderen må ikke bruge underretningen som en lejlighed til at fremme eller reklamere for nye eller supplerende tjenester.
5. I undtagelsestilfælde, hvor underretningen af abonnenten eller den fysiske person kan bringe en behørig efterforskning af bruddet på persondatasikkerheden i fare, skal udbyderen efter at have opnået samtykke fra den kompetente nationale myndighed gives tilladelse til at udskyde underretningen af abonnenten eller den fysiske person, indtil den kompetente nationale myndighed skønner det muligt at underrette om bruddet på persondatasikkerheden i overensstemmelse med denne artikel.
6. Udbyderen skal underrette abonnenten eller den fysiske person om bruddet på persondatasikkerheden med kommunikationsmidler, som sikrer en hurtig modtagelse af oplysningerne, og som er sikret i overensstemmelse med aktuelle teknikker. Oplysningerne om bruddet skal stå alene og må ikke gives sammen med oplysninger om andre emner.
7. Hvis udbyderen, som har et direkte kontraktforhold til slutbrugeren, på trods af rimelige bestræbelser er ude af stand til inden for den tidsfrist, der er angivet i stk. 3, at identificere alle fysiske personer, som må forventes at blive krænket af bruddet på persondatasikkerheden, kan udbyderen underrette disse personer gennem annoncer i større nationale eller regionale medier i de relevante medlemsstater inden for tidsfristen. Disse annoncer skal indeholde de oplysninger, der er angivet i bilag II, om nødvendigt i sammenfattet form. I dette tilfælde skal udbyderen videreføre rimelige bestræbelser på at identificere disse fysiske personer og underrette dem om de i bilag II angivne oplysninger hurtigst muligt.
Artikel 4
Tekniske beskyttelsesforanstaltninger
1. Uanset artikel 3, stk. 1, er det ikke nødvendigt at underrette den pågældende abonnent eller fysiske person om et brud på persondatasikkerheden, hvis den kompetente nationale myndighed finder det godtgjort fra udbyderens side, at denne har gennemført passende teknologiske beskyttelsesforanstaltninger, og at disse foranstaltninger er blevet anvendt på de data, som sikkerhedsbruddet vedrørte. Sådanne teknologiske beskyttelsesforanstaltninger skal gøre dataene uforståelige for alle, der ikke har lovlig adgang hertil.
2. Data anses for uforståelige, hvis:
a)
de er blevet krypteret på sikker vis med en standardiseret algoritme, dekrypteringsnøglen ikke er kompromitteret af et brud på sikkerheden, og dekrypteringsnøglen er genereret på en sådan måde, at den ikke kan afsløres med de tilgængelige tekniske midler af en person, der ikke har lovlig adgang til nøglen eller
b)
de er blevet erstattet af deres hashværdi, der beregnes med en standardiseret kryptografisk hashfunktion med en nøgle, den nøgle, der er anvendt til at hashe dataene, ikke er kompromitteret af et brud på sikkerheden, og den nøgle, der er anvendt til at hashe dataene, er genereret på en sådan måde, at den ikke kan afsløres med de tilgængelige tekniske midler af en person, der ikke har lovlig adgang til nøglen.
3. Kommissionen kan efter at have hørt de kompetente nationale myndigheder via Artikel 29-Gruppen, Det Europæiske Agentur for Net- og Informationssikkerhed og Den Europæiske Tilsynsførende for Databeskyttelse offentliggøre en vejledende liste over egnede tekniske beskyttelsesforanstaltninger som nævnt i stk. 1 i overensstemmelse med den gældende praksis.
Artikel 5
Anvendelse af en anden udbyder
Indgår en udbyder en kontrakt med en anden udbyder om at levere en del af de elektroniske kommunikationstjenester uden at have et direkte kontraktforhold til abonnenter, skal denne anden udbyder øjeblikkeligt oplyse den kontraherende udbyder om brud på persondatasikkerheden.
Artikel 6
Rapportering og fornyet gennemgang
Inden for tre år efter denne forordnings ikrafttræden skal Kommissionen forelægge en rapport om forordningens anvendelse, dens effektivitet og konsekvenser for udbydere, abonnenter og fysiske personer. På grundlag af denne rapport foretager Kommissionen en fornyet gennemgang af denne forordning.
Artikel 7
Ikrafttræden
Denne forordning træder i kraft den 25. august 2013.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.
Udfærdiget i Bruxelles, den 24. juni 2013.
32013R0611
L 173/2
SLUŽBENI LIST EUROPSKE UNIJE
UREDBA KOMISIJE (EU) br. 611/2013
od 24. lipnja 2013.
o mjerama koje se primjenjuju na obavješćivanje o povredama osobnih podataka u skladu s Direktivom 2002/58/EZ Europskog parlamenta i Vijeća o privatnosti i elektroničkim komunikacijama
EUROPSKA KOMISIJA,
uzimajući o obzir Ugovor o funkcioniranju Europske unije,
uzimajući u obzir Direktivu 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama) (1), a posebno njezin članak 4. stavak 5.,
nakon savjetovanja s Europskom agencijom za mrežnu i informacijsku sigurnost (ENISA),
nakon savjetovanja s Radnom skupinom za zaštitu pojedinaca u vezi s obradom osobnih podataka osnovanom člankom 29. Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom prijenosu takvih podataka (2) (Radna skupina iz članka 29.),
nakon savjetovanja s Europskim nadzornikom za zaštitu podataka (EDPS),
budući da:
(1)
Direktivom 2002/58/EZ predviđeno je usklađivanje nacionalnih odredaba potrebnih za osiguravanje jednake razine zaštite temeljnih prava i sloboda, a posebno prava na privatnost i povjerljivost, u vezi s obradom osobnih podataka u području elektroničkih komunikacija i za osiguravanje slobodnog kretanja takvih podataka te elektroničke komunikacijske opreme i usluga u Uniji.
(2)
Na temelju članka 4. Direktive 2002/58/EZ, pružatelji javno dostupnih elektroničkih komunikacijskih usluga obvezni su obavijestiti nadležna nacionalna tijela, a u određenim slučajevima i predmetne pretplatnike i pojedince, o povredama osobnih podataka. Povrede osobnih podataka definirane su u članku 2. točki (i) Direktive 2002/58/EZ kao proboji zaštitnih mjera koji dovode do slučajnog ili nezakonitog uništavanja, gubitka, izmjene, neovlaštenog otkrivanja ili pristupa u pogledu osobnih podataka koji se prenose, čuvaju ili na neki drugi način obrađuju u vezi s pružanjem javno dostupnih elektroničkih komunikacijskih usluga u Uniji.
(3)
Kako bi se osigurala dosljedna provedba mjera iz članka 4. stavaka 2., 3. i 4. Direktive 2002/58/EZ, njezinim je člankom 4. stavkom 5. Komisija ovlaštena donositi tehničke provedbene mjere koje se odnose na okolnosti, oblik i postupke primjenljive na zahtjeve u vezi s obavješćivanjem i prijavljivanjem iz tog članka.
(4)
Različiti nacionalni zahtjevi u tom pogledu mogu dovesti do pravne nesigurnosti, složenijih i težih postupaka i značajnih administrativnih troškova za pružatelje usluga koji posluju prekogranično. Komisija stoga smatra potrebnim donijeti takve tehničke provedbene mjere.
(5)
Ova je Uredba ograničena na obavješćivanje o povredama osobnih podataka i stoga se njome ne utvrđuju tehničke provedbene mjere koje se odnose na članak 4. stavak 2. Direktive 2002/58/EZ o obavješćivanju pretplatnika u slučaju posebnog rizika od kršenja sigurnosti mreže.
(6)
Iz prvog podstavka članka 4. stavka 3. Direktive 2002/58/EZ proizlazi da bi pružatelji usluga trebali obavijestiti nadležno nacionalno tijelo o svim povredama osobnih podataka. Stoga se pružatelju usluga ne bi trebalo dati nikakvo diskrecijsko pravo u pogledu toga hoće li ili neće obavijestiti nadležno nacionalno tijelo. Međutim, time se ne bi trebalo spriječiti predmetno nadležno nacionalno tijelo da odredi prioritete u vezi s istraživanjem određenih povreda na način koji smatra prikladnim u skladu s primjenljivim pravom te da poduzme potrebne korake s ciljem izbjegavanja prekomjernog ili nedovoljnog izvješćivanja o povredama osobnih podataka.
(7)
Prikladno je osigurati sustav za obavješćivanje nadležnog nacionalnog tijela o povredama osobnih podataka koji se sastoji, u slučaju da su ispunjeni određeni uvjeti, od različitih faza, od kojih svaka podliježe određenim vremenskim ograničenjima. Tim se sustavom namjerava osigurati što ranije i potpunije moguće obavješćivanje nadležnog nacionalnog tijela, pri čemu se, međutim, ne bi trebalo nepotrebno sprečavati pružatelja usluga u njegovim nastojanjima da istraži povredu i poduzme potrebne mjere za njezino ograničavanje i za otklanjanje posljedica takve povrede.
(8)
Sama sumnja da je došlo do povrede osobnih podataka ili samo otkrivanje nezgode bez raspolaganja dostatnim informacijama nisu dovoljni, usprkos najvećim naporima koje je pružatelj napravio u tu svrhu, da bi se u smislu ove Uredbe smatralo da je otkrivena povreda osobnih podataka. S tim u vezi, posebno bi trebalo uzeti u obzir raspoloživost informacija iz Priloga I.
(9)
U kontekstu primjene ove Uredbe predmetna nadležna nacionalna tijela trebala bi surađivati na slučajevima povreda osobnih podataka s prekograničnim elementima.
(10)
Ovom se Uredbom ne predviđa dodatna specifikacija popisa povreda osobnih podataka koji trebaju voditi pružatelji usluga budući da je u članku 4. Direktive 2002/58/EZ temeljito utvrđen njegov sadržaj. Međutim, pružatelji usluga mogu se pozvati na ovu Uredbu u vezi s određivanjem oblika popisa.
(11)
Sva bi nadležna nacionalna tijela trebala staviti na raspolaganje sigurna elektronička sredstva putem kojih će pružatelji usluga obavješćivati o povredama osobnih podataka na zajedničkom obrascu, koji se temelji na standardu kao što je XML, koji sadrži informacije utvrđene u Prilogu I. i koji je na relevantnim jezicima kako bi se svim pružateljima usluga u Uniji omogućilo postupanje u skladu sa sličnim postupkom obavješćivanja bez obzira na to gdje se nalaze ili gdje se dogodila povreda osobnih podataka. S tim u vezi, Komisija bi trebala olakšati uvođenje sigurnih elektroničkih sredstava sazivanjem sastanaka s nadležnim nacionalnim tijelima ako je to potrebno.
(12)
Prilikom procjene vjerojatnosti da će povreda osobnih podataka imati štetan učinak na osobne podatke ili privatnost pretplatnika ili pojedinca trebali bi se ponajprije uzeti u obzir vrsta i sadržaj predmetnih osobnih podataka, posebno ako se podaci odnose na financijske informacije, kao što su podaci o kreditnoj kartici i pojedinosti o bankovnom računu, posebne kategorije podataka iz članka 8. stavka 1. Direktive 95/46/EZ i određene podatke koji su izričito povezani s pružanjem telefonskih ili internetskih usluga, odnosno podatke o e-pošti, podatke o lokaciji, datoteke s podacima o prijavama na internet, povijest pretraživanja interneta i detaljne ispise poziva.
(13)
U izvanrednim okolnostima pružatelju usluga trebalo bi se dopustiti da odgodi obavješćivanje pretplatnika ili pojedinca ako bi se obavješćivanjem pretplatnika ili pojedinca mogla ugroziti pravilna istraga povrede osobnih podataka. U tom kontekstu izvanredne okolnosti mogu uključivati kaznene istrage, kao i druge povrede osobnih podataka koje nisu ekvivalent teškog kaznenog djela, ali u slučaju kojih može biti prikladno odgoditi obavijest. U svakom slučaju, nadležno nacionalno tijelo trebalo bi za svaki slučaj pojedinačno i s obzirom na okolnosti procijeniti je li suglasno s odgodom obavijesti ili zahtijeva obavijest.
(14)
Pružatelji usluga trebali bi zbog svog izravnog ugovornog odnosa s pretplatnicima imati njihove kontaktne podatke, međutim takve informacije možda ne postoje za druge pojedince na koje štetno utječe povreda osobnih podataka. U tom bi slučaju pružatelju usluga trebalo biti dopušteno da te pojedince obavijesti prvo putem oglasa u glavnim nacionalnim ili regionalnim medijima, kao što su novine, a nakon toga što je prije moguće slanjem pojedinačne obavijesti kako je predviđeno ovom Uredbom. Stoga pružatelj usluga kao takav nije obvezan obavješćivati putem medija, već mu se to dopušta, ako to želi, kada je još uvijek u procesu utvrđivanja svih zahvaćenih pojedinaca.
(15)
Informacije o povredi trebale bi se odnositi na povredu i ne bi se trebale povezivati s informacijama o drugoj temi. Na primjer, uključivanje informacija o povredi osobnih podataka u redovan račun ne bi se trebalo smatrati primjerenim načinom obavješćivanja o povredi osobnih podataka.
(16)
Ovom se Uredbom ne utvrđuju posebne tehničke mjere zaštite kojima se opravdava odstupanje od obveze obavješćivanja pretplatnika ili pojedinaca o povredama osobnih podataka budući da se te mjere mogu promijeniti s razvojem tehnologije. Međutim, Komisija bi trebala imati mogućnost objavljivanja indikativnog popisa takvih posebnih tehničkih mjera zaštite u skladu s postojećim praksama.
(17)
Uvođenje kodiranja ili raspršenog adresiranja (hashing) ne bi se samo po sebi trebalo smatrati dostatnom osnovom na temelju koje pružatelji usluga mogu u širem smislu tvrditi da su ispunili opću sigurnosnu obvezu predviđenu člankom 17. Direktive 95/46/EZ. U tom bi smislu pružatelji usluga trebali također uvesti odgovarajuće organizacijske i tehničke mjere za sprečavanje, otkrivanje i blokiranje povreda osobnih podataka. Pružatelji bi usluga trebali razmotriti sve preostale rizike koji su možda prisutni nakon provedbe kontrola kako bi razumjeli gdje se mogu pojaviti povrede osobnih podataka.
(18)
Ako pružatelj usluga koristi drugog pružatelja usluga za obavljanje dijela usluge, na primjer u vezi s funkcijama izdavanja računa ili upravljanja, taj drugi pružatelj usluga, koji nije u izravnom ugovornom odnosu s krajnjim korisnikom, ne bi trebao imati obvezu davanja obavijesti u slučaju povrede osobnih podataka. Umjesto toga, on bi trebao upozoriti i obavijestiti pružatelja usluga s kojim je u izravnom ugovornom odnosu. Navedeno bi se trebalo također primjenjivati u kontekstu pružanja elektroničkih komunikacijskih usluga na veleprodajnoj razini, kada pružatelj usluga na veleprodajnoj razini obično nije u izravnom ugovornom odnosu s krajnjim korisnikom.
(19)
Direktivom 95/46/EZ utvrđen je opći okvir za zaštitu osobnih podataka u Europskoj uniji. Komisija je iznijela prijedlog Uredbe Europskog parlamenta i Vijeća kojom se treba zamijeniti Direktiva 95/46/EZ (Uredba o zaštiti podataka). Predloženom Uredbom o zaštiti podataka uvela bi se obveza obavješćivanja o povredama osobnih podataka za sve nadzornike podataka na temelju članka 4. stavka 3. Direktive 2002/58/EZ. Sadašnja Uredba Komisije potpuno je u skladu s predloženom mjerom.
(20)
Predloženom Uredbom o zaštiti podataka također se uvodi ograničeni broj tehničkih prilagodbi Direktive 2002/58/EZ kako bi se uzelo u obzir preoblikovanje Direktive 95/46/EZ u Uredbu. Materijalne pravne posljedice nove Uredbe za Direktivu 2002/58/EZ bit će predmetom preispitivanja koje provodi Komisija.
(21)
Primjena ove Uredbe trebala bi se preispitati tri godine nakon njezina stupanja na snagu, a njezin bi se sadržaj trebao preispitati s obzirom na pravni okvir koji je na snazi u tom trenutku, uključujući predloženu Uredbu o zaštiti podataka. Preispitivanje ove Uredbe trebalo bi, ako je to moguće, biti povezano sa svim budućim preispitivanjima Direktive 2002/58/EZ.
(22)
Primjena ove Uredbe može se ocijeniti na temelju, između ostalog, bilo kojih statističkih podataka koje nadležna nacionalna tijela vode o povredama osobnih podataka o kojima su obaviještena. Ti statistički podaci mogu uključivati, na primjer, informacije o broju povreda osobnih podataka o kojima je obaviješteno nadležno nacionalno tijelo, broju povreda osobnih podataka o kojima je obaviješten pretplatnik ili pojedinac, vrijeme koje je bilo potrebno za rješavanje povrede osobnih podataka i jesu li poduzete tehničke mjere zaštite. Tim bi se statističkim podacima Komisiji i državama članicama trebali osigurati dosljedni i usporedivi statistički podaci, pri čemu oni ne bi trebali otkriti identitet pružatelja usluga koji dostavlja obavijest, kao ni identitet uključenih pretplatnika ili pojedinaca. Komisija može u tu svrhu također održavati redovne sastanke s nadležnim nacionalnim tijelima i drugim interesnim skupinama.
(23)
Mjere predviđene u ovoj Uredbi u skladu su s mišljenjem Odbora za komunikacije,
DONIJELA JE OVU UREDBU:
Članak 1.
Područje primjene
Ova se Uredba primjenjuje na obavješćivanje o povredama osobnih podataka od strane pružatelja javno dostupnih elektroničkih komunikacijskih usluga („pružatelj usluga”).
Članak 2.
Obavješćivanje nadležnog nacionalnog tijela
1. Pružatelj usluga obavješćuje nadležno nacionalno tijelo o svim povredama osobnih podataka.
2. Pružatelj usluga obavješćuje nadležno nacionalno tijelo o povredi osobnih podataka najkasnije 24 sata nakon otkrivanja povrede osobnih podataka ako je to izvedivo.
U svoju obavijest nadležnom nacionalnom tijelu pružatelj usluga uključuje informacije predviđene u Prilogu I.
Povreda osobnih podataka smatra se otkrivenom kada je pružatelj usluga u dovoljnoj mjeri upoznat s time da je došlo do nezgode u vezi sa sigurnosnom zaštitom zbog koje su ugroženi osobni podaci, s ciljem dostavljanja smislene obavijesti kako je propisano ovom Uredbom.
3. Ako na raspolaganju nisu sve informacije predviđene u Prilogu I. i ako je potrebna daljnja istraga povrede osobnih podataka, pružatelju usluga dopušteno je da početnu obavijest dostavi nadležnom nacionalnom tijelu najkasnije 24 sata nakon otkrivanja povrede osobnih podataka. Početna obavijest nadležnom nacionalnom tijelu uključuje informacije predviđene u odjeljku 1. Priloga I. Pružatelj usluga dostavlja drugu obavijest nadležnom nacionalnom tijelu što je prije moguće, a najkasnije u roku od tri dana od početne obavijesti. Druga obavijest uključuje informacije predviđene u odjeljku 2. Priloga I. i u njoj su, prema potrebi, ažurirane već dostavljene informacije.
Ako pružatelj usluga usprkos svojoj istrazi ne može osigurati sve informacije u roku od tri dana od početne obavijesti, pružatelj usluga dostavlja sve informacije kojima raspolaže u tom vremenskom roku i nadležnom nacionalnom tijelu šalje utemeljeno obrazloženje za kasnu dostavu preostalih informacija. Pružatelj usluga dostavlja preostale informacije nadležnom nacionalnom tijelu i prema potrebi ažurira već dostavljene informacije što je prije moguće.
4. Nadležno nacionalno tijelo svim pružateljima usluga s poslovnim nastanom u predmetnoj državi članici osigurava sigurno elektroničko sredstvo za obavješćivanje o povredama osobnih podataka i informacije o postupcima za pristup tom sredstvu i njegovu uporabu. Komisija prema potrebi saziva sastanke s nadležnim nacionalnim tijelima kako bi olakšala primjenu ove odredbe.
5. Ako povreda osobnih podataka utječe na pretplatnike ili pojedince iz država članica koje nisu država članica nadležnog nacionalnog tijela koje je obaviješteno o povredi osobnih podataka, nadležno nacionalno tijelo obavješćuje druga zainteresirana nadležna tijela.
Kako bi olakšala primjenu ove odredbe, Komisija uspostavlja i vodi popis nadležnih nacionalnih tijela i odgovarajućih kontaktnih točaka.
Članak 3.
Obavješćivanje pretplatnika ili pojedinca
1. Ako bi povreda osobnih podataka mogla imati štetan učinak na osobne podatke ili privatnost pretplatnika ili pojedinca, pružatelj usluga dužan je, pored obavijesti iz članka 2., o povredi obavijestiti i pretplatnika ili pojedinca.
2. Vjerojatnost da će povreda osobnih podataka imati štetan učinak na osobne podatke ili privatnost pretplatnika ili pojedinca procjenjuje se uzimajući posebno u obzir sljedeće okolnosti:
(a)
vrstu i sadržaj predmetnih osobnih podataka, posebno ako se podaci odnose na financijske informacije, posebne kategorije podataka iz članka 8. stavka 1. Direktive 95/46/EZ, podatke o lokaciji, datoteke s podacima o prijavama na internet, povijest pretraživanja interneta, podatke o e-pošti i detaljne ispise poziva;
(b)
moguće posljedice povrede osobnih podataka za predmetnog pretplatnika ili pojedinca, posebno ako bi povreda mogla rezultirati krađom identiteta ili prijevarom, fizičkom ozljedom, psihološkim poteškoćama, poniženjem ili narušavanjem ugleda; i
(c)
okolnosti povrede osobnih podataka, posebno ako su podaci ukradeni ili ako pružatelj usluga zna da su podaci u posjedu neovlaštene treće strane.
3. Pretplatnika ili pojedinca obavješćuje se bez nepotrebnog odlaganja o povredi osobnih podataka nakon što je otkrivena, u skladu s trećim podstavkom članka 2. stavka 2. To ne ovisi o obavješćivanju nadležnog nacionalnog tijela o povredi osobnih podataka iz članka 2.
4. U svoju obavijest pretplatniku ili pojedincu pružatelj usluga uključuje informacije predviđene u Prilogu II. Obavijest pretplatniku ili pojedincu mora biti iskazana jasnim i lako razumljivim jezikom. Pružatelj usluga ne smije koristiti obavijest kao priliku za promidžbu ili oglašavanje novih ili dodatnih usluga.
5. U izvanrednim okolnostima, ako bi se obavješćivanjem pretplatnika ili pojedinca mogla ugroziti pravilna istraga povrede osobnih podataka, pružatelju usluga dopušteno je, nakon pribavljanja suglasnosti nadležnog nacionalnog tijela, da odgodi obavješćivanje pretplatnika ili pojedinca sve dok nadležno nacionalno tijelo ne bude smatralo da je moguće poslati obavijest o povredi osobnih podataka u skladu s ovim člankom.
6. Pružatelj usluga obavješćuje pretplatnika ili pojedinca o povredi osobnih podataka sredstvima komunikacije kojima se osigurava pravodobno primanje informacija i koja su na odgovarajući način zaštićena u skladu s najnovijim tehničkim dostignućima. Informacije o povredi odnose se na povredu i ne povezuju se s informacijama o drugoj temi.
7. Ako pružatelj usluga koji je u izravnom ugovornom odnosu s krajnjim korisnikom usprkos svojim razumnim naporima ne može u roku iz stavka 3. utvrditi sve pojedince na koje će vjerojatno štetno utjecati povreda osobnih podataka, pružatelj usluga može obavijestiti te pojedince putem oglasa u glavnim nacionalnim ili regionalnim medijima u relevantnim državama članicama u navedenom roku. Takvi oglasi sadrže informacije predviđene u Prilogu II., prema potrebi u sažetom obliku. U tom slučaju pružatelj usluga i dalje čini sve razumne napore kako bi identificirao te pojedince i obavijestio ih u što kraćem roku o informacijama predviđenim u Prilogu II.
Članak 4.
Tehničke mjere zaštite
1. Odstupajući od članka 3. stavka 1., obavješćivanje predmetnog pretplatnika ili pojedinca o povredi osobnih podataka nije potrebno ako je pružatelj usluga nadležnom nacionalnom tijelu pružio zadovoljavajuće dokaze da je uveo odgovarajuće tehničke mjere zaštite i da su te mjere primijenjene na podatke na koje se odnosi proboj zaštitnih mjera. Takvim tehničkim mjerama zašite podaci postaju nerazumljivi svim osobama koje nisu ovlaštene pristupati tim podacima.
2. Podaci se smatraju nerazumljivima:
(a)
ako su sigurno kodirani standardnim algoritmom, ako ključ korišten za dekodiranje podataka nije ugrožen probojem zaštitnih mjera i ako je ključ korišten za dekodiranje podataka izrađen na takav način da ga pomoću dostupnih tehnoloških sredstava ne može utvrditi nijedna osoba koja nije ovlaštena pristupiti ključu; ili
(b)
ako su zamijenjeni svojom raspršenom vrijednošću koja se izračunava standardiziranom funkcijom raspršivanja pomoću kriptografskog ključa, ako ključ korišten za raspršivanje podataka nije ugrožen probojem zaštitnih mjera i ako je ključ korišten za raspršivanje podataka izrađen na takav način da ga pomoću dostupnih tehnoloških sredstava ne može utvrditi nijedna osoba koja nije ovlaštena pristupiti ključu.
3. Komisija može, nakon savjetovanja s nadležnim nacionalnim tijelima putem radne skupine iz članka 29., Europskom agencijom za mrežnu i informacijsku sigurnosti i Europskim nadzornikom za zaštitu podataka, objaviti indikativni popis odgovarajućih tehničkih mjera zaštite iz stavka 1. u skladu s postojećim praksama.
Članak 5.
Korištenje drugog pružatelja usluga
Ako se sklopi ugovor za pružanje dijela elektroničkih komunikacijskih usluga s drugim pružateljem usluga koji nije u izravnom ugovornom odnosu s pretplatnicima, taj drugi pružatelj usluga treba u slučaju povrede osobnih podataka bez odlaganja obavijestiti pružatelja usluga naručitelja.
Članak 6.
Izvješćivanje i preispitivanje
U roku od tri godina od stupanja na snagu ove Uredbe Komisija dostavlja izvješće o primjeni ove Uredbe, njezinoj učinkovitosti i njezinim učincima na pružatelje usluga, pretplatnike i pojedince. Komisija na temelju tog izvješća preispituje ovu Uredbu.
Članak 7.
Stupanje na snagu
Ova Uredba stupa na snagu 25. kolovoza 2013.
Ova je Uredba u cijelosti obvezujuća i izravno se primjenjuje u svim državama članicama.
Sastavljeno u Bruxellesu 24. lipnja 2013.