NAŘÍZENÍ KOMISE (EU) č. 611/2013
ze dne 24. června 2013
o opatřeních vztahujících se na oznámení o narušení bezpečnosti osobních údajů podle směrnice Evropského parlamentu a Rady 2002/58/ES o soukromí a elektronických komunikacích
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (Směrnice o soukromí a elektronických komunikacích) (1), a zejména na čl. 4 odst. 5 uvedené směrnice,
po konzultaci s Evropskou agenturou pro bezpečnost sítí a informací (ENISA),
po konzultaci s pracovní skupinou pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízenou článkem 29 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (2) (dále jen „pracovní skupina zřízená podle článku 29“),
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
Směrnice 2002/58/ES harmonizuje předpisy členských států požadované pro zajištění rovnocenné úrovně ochrany základních práv a svobod, zejména práva na soukromí a zachování důvěrnosti informací, se zřetelem na zpracování osobních údajů v odvětví elektronických komunikací, a pro zajištění volného pohybu těchto údajů a elektronických komunikačních zařízení a služeb v Unii.
(2)
Podle článku 4 směrnice 2002/58/ES jsou poskytovatelé veřejně dostupných služeb elektronických komunikací povinni oznámit narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům a v některých případech také dotčeným účastníkům a jednotlivcům. Narušení bezpečnosti osobních údajů je definováno v čl. 2 písm. i) směrnice 2002/58/ES jako narušení bezpečnosti, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně či neoprávněnému vyzrazení nebo zpřístupnění osobních údajů přenášených, uchovávaných nebo jinak zpracovávaných v souvislosti s poskytováním veřejně dostupné služby elektronických komunikací v Unii.
(3)
Pro zajištění důsledného provádění opatření uvedených v čl. 4 odst. 2, 3 a 4 směrnice 2002/58/ES se v čl. 4 odst. 5 uvedeného nařízení Komise zmocňuje k přijetí technických prováděcích opatření týkajících se okolností, formátu a postupů, jež se vztahují na požadavky informování a oznamování podle uvedeného článku.
(4)
Rozdílné požadavky členských států v tomto ohledu mohou vést k právní nejistotě, složitějším a zdlouhavějším postupům a značným administrativním nákladům poskytovatelů, kteří působí v přeshraničním styku. Komise proto zastává názor, že je nutné přijmout tato technická prováděcí opatření.
(5)
Toto nařízení se omezuje na oznámení o narušení bezpečnosti osobních údajů, a proto nestanoví technická prováděcí opatření týkající se čl. 4 odst. 2 směrnice 2002/58/ES o informování účastníků v případě zvláštního rizika narušení bezpečnosti sítě.
(6)
Z čl. 4 odst. 3 prvního pododstavce směrnice 2002/58/ES vyplývá, že poskytovatelé by měli oznámit příslušnému vnitrostátnímu orgánu všechny případy narušení bezpečnosti osobních údajů. Rozhodnutí, zda je či není třeba oznámit narušení příslušnému vnitrostátnímu orgánu, by proto nemělo být ponecháno na vůli poskytovatele. To by však nemělo bránit příslušnému vnitrostátnímu orgánu, aby v souladu s platnými právními předpisy nepřistoupil k vyšetřování některých narušení přednostně podle jejich důležitosti a nepodnikl kroky nezbytné k tomu, aby se zabránilo přílišnému nebo nedostatečnému hlášení o narušení bezpečnosti osobních údajů.
(7)
Je třeba stanovit systém pro oznamování narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu, který by za splnění některých podmínek sestával z různých etap, pro něž by platily konkrétní lhůty. Systém by měl zajistit, aby příslušný vnitrostátní orgán byl informován co nejdříve a co nejúplněji, aniž by se tím neodůvodněně bránilo poskytovateli ve snaze narušení vyšetřit a přijmout nezbytná opatření k jeho omezení a nápravě důsledků.
(8)
Pouhé podezření, že došlo k narušení bezpečnosti osobních údajů, ani pouhé zjištění události bez dostatečných informací, které se ani přes největší úsilí nepodařilo poskytovateli získat, nepostačuje pro účely tohoto nařízení k tomu, aby bylo možné konstatovat, že došlo k odhalení narušení bezpečnosti osobních údajů. Zvláštní ohled je v této souvislosti třeba věnovat dostupnosti informací uvedených v příloze I.
(9)
V souvislosti s uplatňováním tohoto nařízení by v případech narušení bezpečnosti osobních údajů s přeshraničním rozměrem měly příslušné vnitrostátní orgány mezi sebou spolupracovat.
(10)
Toto nařízení nestanoví žádné upřesnění přehledu narušení bezpečnosti osobních údajů, které mají provozovatelé vést, protože v článku 4 směrnice 2002/58/ES je jeho obsah stanoven vyčerpávajícím způsobem. Poskytovatelé však při určování formátu přehledu mohou použít odkaz na toto nařízení.
(11)
Všechny příslušné vnitrostátní orgány by měly poskytovatelům zpřístupnit bezpečné elektronické prostředky umožňující oznamovat narušení bezpečnosti osobních údajů ve společném formátu, a to na základě normy, jako je např. XML, který bude obsahovat údaje stanovené v příloze I v příslušných jazycích tak, aby všichni poskytovatelé v rámci Unie mohli používat obdobný postup oznamování bez ohledu na to, kde se nacházejí nebo kde došlo k narušení bezpečnosti osobních údajů. V této souvislosti by Komise podle potřeby měla usnadnit zavádění bezpečných elektronických prostředků pořádáním setkání s příslušnými vnitrostátními orgány.
(12)
Při posuzování, zda by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno vzít v úvahu zejména povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, jako jsou např. údaje o kreditní kartě nebo bankovním účtu, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES a některé údaje, které se konkrétně týkají poskytování telefonních a internetových služeb, tj. údaje o elektronické poště, lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek a podrobné rozpisy uskutečněných volání.
(13)
Za výjimečných okolností, jestliže by oznámení účastníkovi nebo jednotlivci mohlo ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, by poskytovatel měl mít možnost oznámení účastníkovi nebo jednotlivci pozdržet. V tomto ohledu mohou výjimečné okolnosti zahrnovat trestní vyšetřování, jakož i další narušení bezpečnosti osobních údajů, která nelze považovat za závažnou trestnou činnost, kvůli nimž však může být vhodné oznámení odložit. Příslušný vnitrostátní orgán by za všech okolností měl v každém jednotlivém případě a s ohledem na okolnosti posoudit, zda se oznámení odloží, nebo zda bude vyžadováno.
(14)
Zatímco poskytovatelé by díky přímému smluvnímu vztahu měli mít kontaktní údaje svých účastníků, o ostatních jednotlivcích nepříznivě ovlivněných narušením bezpečnosti osobních údajů tyto informace mít nemusí. V takovém případě by poskytovatel měl mít možnost nejprve tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích, např. v novinách, a následně jim tuto skutečnost co nejdříve oznámit jednotlivě, jak je stanoveno v tomto nařízení. Poskytovatel jako takový tedy není povinen zveřejnit informace v médiích, ale je oprávněn postupovat případně tímto způsobem, pokud stále ještě probíhá zjišťování totožnosti ovlivněných jednotlivců.
(15)
Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi. Za přiměřený prostředek oznámení o narušení bezpečnosti osobních údajů by například nemělo být považováno uvedení informace o narušení bezpečnosti osobních údajů v běžné faktuře.
(16)
Toto nařízení nestanoví žádná zvláštní technická ochranná opatření, která odůvodňují odchylku od povinnosti oznamovat narušení bezpečnosti osobních údajů účastníkům nebo jednotlivcům, neboť ta se mohou v důsledku technologického pokroku v průběhu času měnit. Komise by však měla mít možnost zveřejnit orientační seznam těchto zvláštních technických ochranných opatření v souladu s platnými postupy.
(17)
Kódování nebo hašování nelze samo o sobě považovat za dostatečný způsob ochrany, který by poskytovatelům obecně umožňoval tvrdit, že splnili všechny všeobecné bezpečnostní povinnosti stanovené v článku 17 směrnice 95/46/ES. V tomto ohledu by poskytovatelé měli také provádět vhodná organizační a technická opatření na prevenci, odhalování a zamezení narušení bezpečnosti osobních údajů. Poskytovatelé by měli zvážit veškerá rizika, která mohou přetrvávat po provedení kontrol, aby bylo možné rozpoznat, kde může dojít k narušení bezpečnosti osobních údajů.
(18)
Pokud provozovatel k poskytování služeb částečně používá jiného poskytovatele, např. pro účely účtování nebo řízení, tento jiný poskytovatel, který není v přímém smluvním vztahu s koncovým uživatelem, by neměl mít povinnost v případě narušení bezpečnosti osobních údajů podávat oznámení. Místo toho by měl uvědomit a informovat poskytovatele, s nímž má přímý smluvní vztah. To by mělo platit i v souvislosti s velkoobchodním poskytováním služeb elektronických komunikací, kde obvykle velkoobchodní poskytovatel není v přímém smluvním vztahu s koncovým uživatelem.
(19)
Směrnice 95/46/ES vymezuje obecný rámec pro ochranu osobních údajů v Evropské unii. Komise předložila návrh nařízení Evropského parlamentu a Rady (dále jako „nařízení o ochraně údajů“), které by mělo směrnici 95/46/ES nahradit. Navrhované nařízení o ochraně údajů by na základě čl. 4 odst. 3 směrnice 2002/58/ES zavedlo pro všechny správce povinnost oznamovat narušení bezpečnosti osobních údajů. Toto nařízení Komise je s tímto opatřením plně v souladu.
(20)
Navrhované nařízení o ochraně údajů v omezeném rozsahu rovněž provádí technické úpravy ve směrnici 2002/58/ES s ohledem na změnu směrnice 95/46/ES na nařízení. Podstatné právní důsledky nového nařízení pro směrnici 2002/58/ES budou předmětem přezkumu, který provede Komise.
(21)
Uplatňování tohoto nařízení by mělo být přezkoumáno tři roky po jeho vstupu v platnost a jeho obsah by měl být přezkoumán s ohledem na právní rámec, který bude v platnosti v uvedené době, včetně navrhovaného nařízení o ochraně údajů. Přezkum tohoto nařízení by měl v budoucnosti být, bude-li to možné, spojen s každým přezkumem směrnice 2002/58/ES.
(22)
Uplatňování tohoto nařízení může být posuzováno mimo jiné na základě statistických údajů, které příslušné vnitrostátní orgány vedou o narušeních bezpečnosti osobních údajů, o nichž byly informovány. Tyto statistiky mohou zahrnovat např. informace o počtu narušení bezpečnosti osobních údajů oznámených příslušnému vnitrostátnímu orgánu, počtu případů narušení bezpečnosti osobních údajů oznámených účastníkovi nebo jednotlivci, době potřebné na vyřešení narušení bezpečnosti osobních údajů, a informace o tom, zda byla přijata technická ochranná opatření. Tyto statistiky by měly poskytovat Komisi a členským státům konzistentní a srovnatelné statistické údaje a neměly by odhalovat totožnost oznamujícího poskytovatele ani dotčených účastníků nebo jednotlivců. Komise může za tímto účelem rovněž pořádat pravidelná setkání s příslušnými vnitrostátními orgány a jinými zúčastněnými stranami.
(23)
Opatření tohoto nařízení jsou v souladu se stanoviskem Komunikačního výboru,
PŘIJALA TOTO NAŘÍZENÍ:
Článek 1
Oblast působnosti
Toto nařízení se vztahuje na oznámení poskytovatelů veřejně dostupných služeb elektronických komunikací (dále jen „poskytovatel“) o narušení bezpečnosti osobních údajů.
Článek 2
Oznámení příslušnému vnitrostátnímu orgánu
1. Poskytovatel oznámí všechna narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu.
2. Poskytovatel oznámí narušení bezpečnosti osobních údajů příslušnému vnitrostátnímu orgánu nejpozději 24 hodin po zjištění narušení bezpečnosti osobních údajů, pokud je to proveditelné.
Poskytovatel ve svém oznámení příslušnému vnitrostátnímu orgánu uvede informace stanovené v příloze I.
Za zjištění narušení bezpečnosti osobních údajů se považuje situace, kdy poskytovatel získal dostatečné informace o tom, že došlo k bezpečnostní události, která měla za následek narušení osobních údajů, aby podal opodstatněné oznámení podle tohoto nařízení.
3. Jestliže nejsou k dispozici všechny informace stanovené v příloze I a je nutné další vyšetřování narušení bezpečnosti osobních údajů, může poskytovatel podat první oznámení příslušnému vnitrostátnímu orgánu nejpozději do 24 hodin po zjištění narušení bezpečnosti osobních údajů. Toto první oznámení příslušnému vnitrostátnímu orgánu musí obsahovat informace stanovené v příloze I oddíle 1. Poskytovatel je povinen podat příslušnému vnitrostátnímu orgánu co nejdříve, nejpozději do tří dnů po prvním oznámení, druhé oznámení. Toto druhé oznámení obsahuje informace stanovené v příloze I oddíle 2 a v případě potřeby aktualizuje již poskytnuté údaje.
Jestliže poskytovatel ani po vyšetřování nemůže ve lhůtě tří dnů od prvního oznámení poskytnout všechny informace, oznámí všechny informace, které má v této lhůtě k dispozici a předloží příslušnému vnitrostátnímu orgánu odůvodnění, proč musí být zbývající informace oznámeny později. Poskytovatel co možná nejdříve oznámí zbývající informace příslušnému vnitrostátnímu orgánu a v případě potřeby aktualizuje již poskytnuté údaje.
4. Příslušný vnitrostátní orgán poskytne všem poskytovatelům usazeným v dotčeném členském státě bezpečný elektronický prostředek pro oznamování narušení bezpečnosti osobních údajů a informace o postupech přístupu k němu a jeho používání. V zájmu snazšího uplatňování tohoto ustanovení Komise podle potřeby pořádá pravidelná setkání s příslušnými vnitrostátními orgány.
5. V případě, že se narušení bezpečnosti osobních údajů týká účastníků nebo jednotlivců z jiných členských států, než je členský stát příslušného vnitrostátního orgánu, jemuž bylo narušení bezpečnosti osobních údajů oznámeno, příslušný vnitrostátní orgán informuje orgány ostatních dotčených členských států.
Pro usnadnění uplatňování tohoto ustanovení Komise vytvoří a povede seznam příslušných vnitrostátních orgánů a příslušných kontaktních míst.
Článek 3
Oznámení účastníkovi nebo jednotlivci
1. Pokud by narušení bezpečnosti osobních údajů mohlo nepříznivě ovlivnit osobní údaje nebo soukromí účastníka nebo jednotlivce, musí poskytovatel kromě oznámení uvedeného v článku 2 toto porušení oznámit rovněž účastníkovi nebo jednotlivci.
2. Při posuzování, zda narušení bezpečnosti osobních údajů může mít nepříznivý vliv na osobní údaje nebo soukromí účastníka nebo jednotlivce, je nutno brát ohled zejména na tyto okolnosti:
a)
povahu a obsah dotyčných osobních údajů, zejména pokud jde o finanční informace, zvláštní kategorie údajů podle čl. 8 odst. 1 směrnice 95/46/ES, jakož i lokalizační údaje, internetové soubory protokolů, historie navštívených webových stránek, údaje týkající se elektronické pošty a podrobné údaje o uskutečněných voláních;
b)
pravděpodobné důsledky narušení bezpečnosti osobních údajů pro dotčeného účastníka nebo jednotlivce, zejména tehdy, kdy by porušení mohlo vést ke krádeži nebo zneužití, fyzické újmě, psychickému strádání, ponížení nebo poškození pověsti a
c)
okolnosti narušení bezpečnosti osobních údajů, zejména pokud byly údaje odcizeny nebo pokud je poskytovateli známo, že údaje jsou v držení neoprávněné třetí strany.
3. Oznámení účastníkovi nebo jednotlivci musí být učiněno bez zbytečného odkladu po zjištění narušení bezpečnosti osobních údajů v souladu s čl. 2 odst. 2 třetím pododstavcem. Nesmí záviset na oznámení o narušení bezpečnosti osobních údajů příslušným vnitrostátním orgánům podle článku 2.
4. Poskytovatel ve svém oznámení účastníkovi nebo jednotlivci uvede informace stanovené v příloze II. Oznámení účastníkovi nebo jednotlivci musí být jasné a srozumitelné. Poskytovatel nesmí využít oznámení jako příležitost k propagaci nebo nabídce nových či doplňkových služeb.
5. Ve výjimečných případech, kdy oznámení účastníkovi nebo jednotlivci může ohrozit řádné vyšetření narušení bezpečnosti osobních údajů, má poskytovatel možnost po získání souhlasu příslušného vnitrostátního orgánu oznámení účastníkovi nebo jednotlivci pozdržet, dokud příslušný vnitrostátní orgán neusoudí, že je možné oznámit narušení bezpečnosti osobních údajů podle tohoto článku.
6. Poskytovatel oznámí účastníkovi nebo jednotlivci narušení bezpečnosti osobních údajů takovým způsobem, který umožňuje rychlé předání informací a který je podle nejnovějších poznatků náležitě zabezpečen. Informace o narušení by se měla týkat pouze narušení a neměla by být spojena s jinými informacemi.
7. Pokud poskytovatel, který je v přímém smluvním vztahu s koncovým uživatelem, ani přes vynaložené úsilí není schopen ve lhůtě uvedené v odstavci 3 určit všechny jednotlivce, kteří by narušením bezpečnosti osobních údajů mohli být nepříznivě ovlivněni, může v uvedené lhůtě tyto jednotlivce informovat prostřednictvím oznámení zveřejněného v hlavních celostátních nebo regionálních médiích v příslušných členských státech. Uvedená oznámení musí obsahovat informace stanovené v příloze II, v případě potřeby ve stručné formě. V takovém případě poskytovatel pokračuje v úsilí vedoucím k identifikaci těchto jednotlivců a co nejdříve jim oznámí informace uvedené v příloze II.
Článek 4
Technická ochranná opatření
1. Odchylně od čl. 3 odst. 1 se oznámení o narušení bezpečnosti osobních údajů dotčenému účastníkovi nebo jednotlivci nevyžaduje, pokud poskytovatel ke spokojenosti příslušného vnitrostátního orgánu prokázal, že zavedl náležitá technická ochranná opatření a že tato opatření byla na údaje, jichž se narušení bezpečnosti týká, použita. Tato technická ochranná opatření zajistí, aby údaje nebyly srozumitelné pro nikoho, kdo není k přístupu k nim oprávněn.
2. Údaje se považují za nesrozumitelné, jestliže:
a)
byly bezpečně zašifrovány normalizovaným algoritmem, klíč použitý k dešifrování údajů nebyl žádným narušením bezpečnosti ohrožen a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu, nebo
b)
byly nahrazeny svou zahašovanou hodnotou vypočítanou pomocí normalizované kryptografické hašovací funkce s klíčem, klíč použitý k hašování údajů nebyl ohrožen žádným narušením bezpečnosti a byl vytvořen tak, aby nemohl být dostupnými technickými prostředky odhalen nikým, kdo k němu nemá právo přístupu.
3. Komise může po konzultaci s příslušnými vnitrostátními orgány prostřednictvím pracovní skupiny zřízené podle článku 29, Evropskou agenturou pro bezpečnost sítí a informací a evropským inspektorem ochrany údajů zveřejnit orientační seznam vhodných technických ochranných opatření uvedených v odstavci 1 v souladu s platnými postupy.
Článek 5
Použití jiného poskytovatele
Jestliže je jiný poskytovatel smluvně zavázán, aby poskytl část služeb elektronických komunikací, aniž by byl v přímém smluvním vztahu s účastníky, tento další poskytovatel v případě, že došlo k narušení bezpečnosti osobních údajů, okamžitě informuje smluvního poskytovatele.
Článek 6
Podávání zpráv a přezkum
Do tří let od vstupu tohoto nařízení v platnost Komise předloží zprávu o uplatňování tohoto nařízení, jeho účinnosti a dopadu na poskytovatele, účastníky a jednotlivce. Na základě uvedené zprávy Komise toto nařízení přezkoumá.
Článek 7
Vstup v platnost
Toto nařízení vstupuje v platnost dne 25. srpna 2013.
Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.
V Bruselu dne 24. června 2013.
KOMISJONI MÄÄRUS (EL) nr 611/2013,
24. juuni 2013,
meetmete kohta, mida kohaldatakse eraelu puutumatust ja elektroonilist sidet käsitleva Euroopa Parlamendi ja nõukogu direktiivi 2002/58/EÜ kohaselt isikuandmetega seotud rikkumiste teatamise suhtes
EUROOPA KOMISJON,
võttes arvesse Euroopa Liidu toimimise lepingut,
võttes arvesse Euroopa Parlamendi ja nõukogu 12. juuli 2002. aasta direktiivi 2002/58/EÜ, milles käsitletakse isikuandmete töötlemist ja eraelu puutumatuse kaitset elektroonilise side sektoris (eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv), (1) eriti selle artikli 4 lõiget 5,
olles konsulteerinud Euroopa Võrgu- ja Infoturbeametiga (ENISA),
olles konsulteerinud Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ (üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta) (2) artikli 29 alusel asutatud üksikisikute kaitsmist isikuandmete töötlemisel käsitleva töörühmaga (artikli 29 töörühm),
olles konsulteerinud Euroopa Andmekaitseinspektoriga
ning arvestades järgmist:
(1)
Direktiiviga 2002/58/EÜ nähakse ette nende siseriiklike sätete ühtlustamine, mis on vajalikud põhiõiguste ja -vabaduste, eelkõige eraelu puutumatuse ja konfidentsiaalsuse kaitse samaväärse taseme tagamiseks isikuandmete töötlemise puhul elektroonilise side sektoris ja selliste andmete ning elektrooniliste sideseadmete ja -teenuste vaba liikumise tagamiseks ELis.
(2)
Direktiivi 2002/58/EÜ artikli 4 kohaselt on üldkasutatavate elektrooniliste sideteenuste osutajad kohustatud isikuandmetega seotud rikkumisest teavitama pädevaid riigiasutusi ning teatavatel juhtudel ka asjaomaseid abonente ja üksikisikuid. Isikuandmetega seotud rikkumine on direktiivi 2002/58/EÜ artikli 2 punktis i määratletud kui turvanõude rikkumine, mis toob seoses ELis üldkasutatava elektroonilise sideteenuse osutamisega kaasa edastatud, salvestatud või muul viisil töödeldud isikuandmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise, ebaseadusliku avalikustamise või neile juurdepääsu.
(3)
Direktiivi 2002/58/EÜ artikli 4 lõigetes 2, 3 ja 4 osutatud meetmete ühetaolise rakendamise tagamiseks on kõnealuse direktiivi artikli 4 lõikega 5 antud komisjonile õigus võtta vastu tehnilised rakendusmeetmed, milles käsitletakse kõnealuses artiklis osutatud teabe- ja teavitamisnõuetega seotud asjaolusid, vormi ja korda.
(4)
Erinevad riigisisesed nõuded selles valdkonnas võivad põhjustada piiriüleselt tegutsevatele teenuseosutajatele õiguslikku ebakindlust, keerukamaid ja koormavamaid menetlusi ning olulisi halduskulusid. Seepärast peab komisjon vajalikuks võtta vastu sellised tehnilised rakendusmeetmed.
(5)
Käesolev määrus piirdub isikuandmetega seotud rikkumistest teatamisega ning seepärast ei sätestata selles tehnilisi rakendusmeetmeid seoses direktiivi 2002/58/EÜ artikli 4 lõikega 2, milles käsitletakse abonentide teavitamist võrgu turvalisuse rikkumise konkreetsest ohust..
(6)
Direktiivi 2002/58/EÜ artikli 4 lõike 3 esimesest lõigust tuleneb, et teenuseosutajad peaksid teavitama pädevat riigiasutust kõigist isikuandmetega seotud rikkumistest. Seepärast ei tuleks teenuseosutajale jätta kaalutlusõigust otsustamisel, kas pädevat riigiasutust teavitada või mitte. Siiski ei peaks see takistama asjaomast pädevat riigiasutust prioriseerimast teatavate rikkumiste uurimist viisil, mida ta peab sobivaks vastavalt kohaldatavale õigusele, ning võtmast vajaduse korral meetmeid, et vältida ülemäärast või liiga vähest isikuandmetega seotud rikkumistest teatamist.
(7)
On asjakohane näha pädevale riigiasutusele isikuandmetega seotud rikkumistest teatamise jaoks ette süsteem, mis koosneb juhul, kui teatavad tingimused on täidetud, eri etappidest ja iga etapi suhtes on kehtestatud teatav ajaline piirang. Selle süsteemi eesmärk oleks tagada, et pädevat riigiasutust teavitatakse võimalikult vara ja võimalikult põhjalikult, ilma et see siiski põhjendamatult takistaks teenuseosutajal rikkumist uurida ja võtta vajalikud meetmed selle piiramiseks ja tagajärgede kõrvaldamiseks
(8)
Lihtsat kahtlust selle kohta, et isikuandmetega seotud rikkumine on toimunud, ega ka intsidendi tuvastamist ilma piisava teabe olemasoluta ei tohiks teenuseosutaja pingutustest hoolimata lugeda piisavaks, et käsitada isikuandmetega seotud rikkumist tuvastatuks käesoleva määruse kohaldamisel. Erilist tähelepanu tuleks seoses sellega pöörata I lisas osutatud teabe olemasolule.
(9)
Käesoleva määruse kohaldamise raames peaksid asjaomased riigiasutused tegema koostööd isikuandmetega seotud selliste rikkumiste korral, millel on piiriülene mõõde.
(10)
Käesoleva määrusega ei nähta ette täiendavaid üksikasju seoses isikuandmetega seotud rikkumiste registriga, mida teenuseosutajad peavad pidama, kuna direktiivi 2002/58/EÜ artiklis 4 sätestatakse selle registri sisu ammendavalt. Teenuseosutajad võivad siiski osutada käesolevale määrusele, et määrata kindlaks registri vorm.
(11)
Kõik pädevad riigiasutused peaksid tegema teenuseosutajatele kättesaadavaks turvalised elektroonilised vahendid isikuandmetega seotud rikkumistest teatamiseks sellises ühtses vormis, mis põhineb standardil, nagu XML, sisaldades 1. lisas sätestatud teavet asjaomastes keeltes, nii et see võimaldab kõigil teenuseosutajatel ELis järgida sarnast teatise saatmise menetlust, sõltumata sellest, kus nad asuvad või kus toimus isikuandmetega seotud rikkumine. Sellega seoses peaks komisjon hõlbustama turvaliste elektrooniliste vahendite rakendamist, korraldades vajaduse korral koosolekuid pädevate riigiasutustega.
(12)
Selle hindamisel, kas isikuandmetega seotud rikkumine tõenäoliselt kahjustab abonendi või üksikisiku isikuandmeid või eraelu puutumatust, tuleks eelkõige arvesse võtta asjaomaste isikuandmete laadi ja sisu, seda eriti juhul, kui andmed on seotud finantsteabega, näiteks krediitkaardi andmed ja pangakonto andmed; direktiivi 95/46/EÜ artikli 8 lõikes 1 osutatud andmete eriliigid; ja teatavad andmed, mis on konkreetselt seotud telefoni- või internetiteenuste osutamisega, näiteks e-posti andmed, asukohaandmed, interneti logifailid, veebilehitsemise ajalugu ja üksikasjalikud kõnede väljavõtted.
(13)
Erandlike asjaolude korral peaks teenuseosutajal olema lubatud saata abonendile või üksikisikule teatis hiljem, juhul kui teatise saatmine abonendile või üksikisikule võib seada ohtu isikuandmetega seotud rikkumise nõuetekohase uurimise. Seoses sellega võivad erandlikud asjaolud hõlmata kriminaaluurimisi ning ka muid isikuandmetega seotud rikkumisi, mis ei ole raske kuriteoga samaväärsed, kuid mille korral võib olla asjakohane teatise saatmine edasi lükata. Igal juhul peaks pädev riigiasutus hindama iga juhtumi korral eraldi ning asjaolusid arvesse võttes, kas nõustuda edasilükkamisega või nõuda teatise saatmist.
(14)
Kuigi teenuseosutajatel peaks olema oma abonentide kontaktandmed, arvestades nende otsest lepingusuhet, ei tohi selline teave olemas olla teiste üksikisikute kohta, kellele isikuandmetega seotud rikkumisel on kahjulik mõju. Sellisel juhul peaks teenuseosutajal olema lubatud teavitada neid üksikisikuid esmalt teadaannete kaudu peamistes riiklikes või piirkondlikes meediakanalites (nt ajalehed), millele järgneb niipea kui võimalik käesoleva määrusega ette nähtud individuaalse teatise saatmine. Seepärast ei ole teenuseosutaja kohustatud teavitama meediakanalite kaudu, kuid pigem on tal lubatud soovi korral sel viisil tegutseda juhul, kui ta on ikka veel tegemas kindlaks kõiki kahjustatud üksikisikuid.
(15)
Rikkumist käsitlevas teabes peaks keskenduma rikkumisele ning see ei tohiks olla seotud muid teemasid käsitleva teabega. Näiteks isikuandmetega seotud rikkumist käsitleva teabe esitamist korrapärases arves ei tohiks käsitada asjakohase vahendina isikuandmetega seotud rikkumisest teavitamisel.
(16)
Käesolevas määruses ei sätestata konkreetseid tehnoloogilisi kaitsemeetmeid, mis õigustavad erandit kohustusest teavitada isikuandmetega seotud rikkumisest abonente või üksikisikuid, sest aja jooksul tehnoloogia arenedes need muutuvad. Komisjonil peaks siiski olema võimalik avaldada praeguse tava alusel selliste konkreetsete tehnoloogiliste kaitsemeetmete soovituslik loend.
(17)
Krüpteerimist või räsi kasutamist ei tohiks üksinda pidada piisavaks, et teenuseosutajad saaksid väita üldisemalt, et nad on täitnud direktiivi 95/46/EÜ artiklis 17 sätestatud üldise turvalisuse kohustuse. Selleks peaksid teenuseosutajad rakendama ka asjakohaseid korralduslikke ja tehnilisi meetmeid, et vältida, tuvastada ja blokeerida isikuandmetega seotud rikkumisi. Teenuseosutajad peaksid arvesse võtma mis tahes jääkriski, mis võib alles jääda pärast kontrollide rakendamist, et mõista, kus võivad isikuandmetega seotud rikkumised aset leida.
(18)
Kui teenuseosutaja kasutab teise teenuseosutaja teenuseid, et osutada osa teenusest, näiteks seoses arvete esitamise või juhtimisfunktsioonidega, ei peaks kõnealune teine teenuseosutaja, kellel ei ole otsest lepingulist suhet lõppkasutajaga, olema kohustatud isikuandmetega seotud rikkumise korral teatisi esitama. Selle asemel peaks ta hoiatama ja teavitama teenuseosutajat, kellega tal on otsene lepingusuhe. See peaks kehtima ka elektroonilise sideteenuse hulgimüügi raames, kui tavaliselt hulgimüüjal ei ole lõppkasutajaga otsest lepingulist suhet.
(19)
Direktiiviga 95/46/EÜ määratakse kindlaks Euroopa Liidus isikuandmete kaitse üldine raamistik. Komisjon on esitanud Euroopa Parlamendi ja nõukogu määruse ettepaneku, et asendada direktiiv 95/46/EÜ (andmekaitsemäärus). Kavandatud andmekaitsemäärusega kehtestataks kõigile vastutavatele töötlejatele kohustus teavitada isikuandmetega seotud rikkumistest, tuginedes direktiivi 2002/58/EÜ artikli 4 lõikele 3. Käesolev komisjoni määrus on kavandatud meetmega täielikult kooskõlas.
(20)
Kavandatud andmekaitsemäärusega tehakse ka piiratud arv tehnilisi kohandusi direktiivi 2002/58/EÜ, et võtta arvesse direktiivi 95/46/EÜ muutmist määruseks. Uue määrusega kaasnevad sisulised õiguslikud tagajärjed, mis on seotud direktiiviga 2002/58/EÜ, vaatab komisjoni läbi.
(21)
Käesoleva määruse kohaldamine tuleks läbi vaadata kolm aastat pärast selle jõustumist ning selle sisu läbivaatamisel tuleks arvesse võtta sel ajal kehtivat õigusraamistikku, sealhulgas kavandatud andmekaitsemäärust. Käesoleva määruse läbivaatamine tuleks võimaluse korral siduda direktiivi 2002/58/EÜ mis tahes tulevase läbivaatamisega.
(22)
Käesoleva määruse kohaldamise hindamisel võib muu hulgas aluseks võtta mis tahes statistika, mida pädevad riigiasutused omavad isikuandmetega seotud selliste rikkumiste kohta, millest neid teavitatakse. See statistika võib hõlmata näiteks teavet pädevale riigiasutusele teatatud isikuandmetega seotud rikkumiste arvu kohta, abonendile või üksikisikule teatatud isikuandmetega seotud rikkumiste arvu kohta, isikuandmetega seotud rikkumise lahendamiseks kulunud aja kohta ning kas võetud oli tehnoloogilisi kaitsemeetmeid. See statistika peaks andma komisjonile ja liikmesriikidele järjepidevad ja võrreldavad statistilised andmed ega tohiks paljastada teatava teenuseosutaja ega asjaomaste abonentide või üksikisikute andmeid. Komisjon võib sel eesmärgil korraldada ka korrapäraseid koosolekuid pädevate riigiasutuste ja muude huvitatud sidusrühmadega.
(23)
Käesoleva määrusega ettenähtud meetmed on kooskõlas sidekomitee arvamusega,
ON VASTU VÕTNUD KÄESOLEVA MÄÄRUSE:
Artikkel 1
Reguleerimisala
Käesolevat määrust kohaldatakse üldkasutatava elektroonilise sideteenuse osutaja (edaspidi „teenuseosutaja”) poolt isikuandmetega seotud rikkumistest teatamise suhtes.
Artikkel 2
Pädevale riigiasutusele saadetav teatis
1. Teenuseosutaja teavitab pädevat riigiasutust kõigist isikuandmetega seotud rikkumistest.
2. Teenuseosutaja teavitab pädevat riigiasutust isikuandmetega seotud rikkumisest võimaluse korral hiljemalt 24 tundi pärast isikuandmetega seotud rikkumise tuvastamist.
Teenuseosutaja esitab pädevale riigiasutusele saadetavas teatises I lisas sätestatud teabe.
Isikuandmetega seotud rikkumine tuleb lugeda tuvastatuks, kui teenuseosutaja on seoses aset leidnud turvaintsidendiga, mis on seadnud ohtu isikuandmed, saanud piisavalt teavet, et koostada käesoleva määrusega nõutud sisukas teatis.
3. Kui kogu I lisas sätestatud teave ei ole kättesaadav ning nõutav on isikuandmetega seotud rikkumise täiendav uurimine, on teenuseosutajal lubatud esitada pädevale riigiasutusele esialgne teatis hiljemalt 24 tunni jooksul alates isikuandmetega seotud rikkumise tuvastamisest. Pädevale riigiasutusele saadetud esialgne teatis sisaldab I lisa 1. jaos sätestatud teavet. Teenuseosutaja saadab pädevale riigiasutusele teise teatise nii ruttu kui võimalik ning hiljemalt kolme päeva jooksul pärast esialgset teatist. Teine teatis sisaldab I lisa 2. jaos sätestatud teavet ning vajaduse korral juba esitatud teabe ajakohastamist.
Kui teenuseosutaja ei suuda, olenemata oma uurimisest, esitada kogu teavet kolmepäevase ajavahemiku jooksul alates esialgse teatise esitamisest, esitab teenuseosutaja selle ajavahemiku jooksul nii palju teavet, kui ta omab, ning esitab pädevale riigiasutusele põhjenduse, miks ülejäänud teave saadetakse pärast seda ajavahemikku. Teenuseosutaja saadab pädevale riigiasutusele ülejäänud teabe ning vajaduse korral ajakohastab juba esitatud teavet nii ruttu kui võimalik.
4. Pädev riigiasutus teeb kõigile asjaomases liikmesriigis asuvatele teenuseosutajatele kättesaadavaks turvalised elektroonilised vahendid isikuandmetega seotud rikkumistest teatamiseks ning teabe sellele juurdepääsu saamise ja selle kasutamise korra kohta. Vajaduse korral korraldab komisjon käesoleva sätte kohaldamise hõlbustamiseks pädevate riigiasutustega koosolekuid.
5. Kui isikuandmetega seotud rikkumine kahjustab abonente või üksikisikuid, kes asuvad muudes liikmesriikides kui see, kus asub pädev riigiasutus, kellele on teatatud isikuandmetega seotud rikkumisest, teavitab pädev riigiasutus teisi asjaomaseid riigiasutusi.
Käesoleva sätte kohaldamise hõlbustamiseks koostab komisjon pädevate riigiasutuste ja asjakohaste kontaktisikute nimekirja ning haldab seda.
Artikkel 3
Abonendile või üksikisikule saadetav teatis
1. Kui isikuandmetega seotud rikkumine võib tõenäoliselt kahjustada abonendi või üksikisiku isikuandmeid ja eraelu puutumatust, saadab teenuseosutaja lisaks artiklis 2 osutatud teatisele sellise rikkumise teatise ka abonendile või üksikisikule.
2. Selle hindamisel, kas isikuandmetega seotud rikkumine võib tõenäoliselt kahjustada abonendi või üksikisiku isikuandmeid või eraelu puutumatust, võetakse arvesse eelkõige järgmisi asjaolusid:
a)
asjaomaste isikuandmete olemus ja sisu, eelkõige juhul, kui andmed sisaldavad finantsteavet, nende puhul on tegemist direktiivi 95/46/EÜ artikli 8 lõikes 1 osutatud andmete eriliigiga või need on asukohaandmed, interneti logifailid, veebilehitsemise ajalugu, e-posti andmed või üksikasjalikud kõnede väljavõtted;
b)
isikuandmetega seotud rikkumise tõenäolised tagajärjed asjaomase abonendi või üksikisiku jaoks, eelkõige juhul, kui rikkumise tagajärjeks võib olla identiteedivargus või pettus, tervisekahjustus, psühholoogilised kannatused, alandamine või maine kahjustamine; ning
c)
isikuandmetega seotud rikkumise asjaolud eelkõige juhul, kui andmed on varastatud või kui teenuseosutaja teab, et andmed on volitamata kolmanda isiku omanduses.
3. Teatis saadetakse abonendile või üksikisikule põhjendamatu viivituseta pärast isikuandmetega seotud rikkumise tuvastamist, nagu on sätestatud artikli 2 lõike 2 kolmandas lõigus. See ei tohi sõltuda pädevale riigiasutusele artiklis 2 osutatud isikuandmetega seotud rikkumisest teatamisest.
4. Teenuseosutaja esitab abonendile või üksikisikule saadetavas teatises II lisas sätestatud teabe. Abonendile või üksikisikule saadetav teatis koostatakse selges ja kergesti mõistetavas keeles. Teenuseosutaja ei kasuta teatist uute või täiendavate teenuste edendamise või reklaamimise võimalusena.
5. Erandlike asjaolude korral, kui teatise saatmine abonendile või üksikisikule võib ohtu seada isikuandmetega seotud rikkumise nõuetekohase uurimise, on teenuseosutajal lubatud pärast pädevalt riigiasutuselt loa saamist viivitada abonendile või üksikisikule teatise saatmisega ajani, mida pädev riigiasutus peab võimalikuks, et teavitada isikuandmetega seotud rikkumisest vastavalt käesolevale artiklile.
6. Teenuseosutaja teavitab abonenti või üksikisikut isikuandmetega seotud rikkumisest sidevahendi abil, millega tagatakse teabe kiire kättesaamine ja mis on nõuetekohaselt turvatud vastavalt tehnika tasemele. Rikkumist käsitlevas teabes keskendutakse rikkumisele ning see ei ole seotud muud teemat käsitleva teabega.
7. Kui teenusosutaja, kellel on otsene lepinguline suhe lõppkasutajaga, ei suuda, olenemata tehtud mõistlikest püüdlustest, teha lõikes 3 osutatud ajavahemiku jooksul kindlaks kõiki üksikisikuid, keda isikuandmetega seotud rikkumine tõenäoliselt kahjustab, võib teenuseosutaja teavitada selle ajavahemiku jooksul kõnealuseid üksikisikuid teadaannete kaudu asjaomase liikmesriigi peamistes riiklikes või piirkondlikes meediakanalites. Need teadaanded peavad sisaldama II lisas sätestatud teavet, vajaduse korral kokkuvõtlikul kujul. Sel juhul jätkab teenuseosutaja kõigi mõistlike meetmete võtmist, et määrata need üksikisikud kindlaks ja edastada neile II lisas sätestatud teave võimalikult kiiresti.
Artikkel 4
Tehnoloogilised kaitsemeetmed
1. Erandina artikli 3 lõikest 1 ei ole vaja isikuandmetega seotud rikkumisest asjaomasele abonendile või üksikisikule teatada, kui teenuseosutaja on tõendanud pädevale riigiasutusele rahuldaval viisil, et ta on rakendanud kohaseid tehnoloogilisi kaitsemeetmeid ning neid meetmeid rakendati turvanõuete rikkumisega seotud andmete suhtes. Sellised tehnoloogilised kaitsemeetmed muudavad andmed loetamatuks kõigile isikutele, kellel puuduvad volitused andmetele juurdepääsuks.
2. Andmeid käsitatakse loetamatuna juhul, kui:
a)
need on standarditud algoritmi abil turvaliselt krüptitud; andmete dekrüptimiseks kasutatav võti ei ole turvanõuete mis tahes rikkumise tõttu ohtu sattunud ning andmete dekrüptimiseks kasutatav võti on loodud nii, et seda ei saa kasutuses olevate tehnoloogiate abil kindlaks teha ükski isik, kellel ei ole luba võtmele juurdepääsuks; või
b)
need on asendatud andmete räsiväärtusega, mis on arvutatud krüptograafilise võtmega standardse räsifunktsiooni abil; andmete räsimiseks kasutatav võti ei ole turvanõuete mis tahes rikkumise tõttu ohtu sattunud ning andmete räsimiseks kasutatav võti on loodud nii, et seda ei saa kasutuses olevate tehnoloogiate abil kindlaks teha ükski isik, kellel ei ole luba võtmele juurdepääsuks.
3. Olles konsulteerinud artikli 29 töörühma kaudu pädevate riigiasutustega, Euroopa Võrgu- ja Infoturbeameti ning Euroopa andmekaitseinspektoriga, võib komisjon avaldada praeguse tava alusel lõikes 1 osutatud asjakohaste tehnoloogiliste kaitsemeetmete soovitusliku loendi.
Artikkel 5
Teise teenuseosutaja teenuste kasutamine
Kui teine teenuseosutaja osutab allhankena osa elektroonilisest sideteenusest ilma, et ta oleks abonentidega otseses lepingulises suhtes, teavitab kõnealune teine teenuseosutaja isikuandmetega seotud rikkumise korral kohe allhankivat teenuseosutajat.
Artikkel 6
Aruandlus ja läbivaatamine
Komisjon esitab kolme aasta jooksul alates käesoleva määruse jõustumisest aruande määruse kohaldamise, selle tulemuslikkuse ning teenuseosutjatele, abonentidele ja üksikisikutele avalduva mõju kohta. Komisjon vaatab määruse läbi kõnealuse aruande alusel.
Artikkel 7
Jõustumine
Käesolev määrus jõustub 25. augustil 2013.
Käesolev määrus on tervikuna siduv ja vahetult kohaldatav kõikides liikmesriikides.
Brüssel, 24. juuni 2013