26.6.2013   

FR

Journal officiel de l'Union européenne

L 173/2

(1)

La directive 2002/58/CE prévoit l’harmonisation des dispositions nationales nécessaires pour assurer un niveau équivalent de protection des droits et libertés fondamentaux, et en particulier du droit à la vie privée et à la confidentialité, en ce qui concerne le traitement des données à caractère personnel dans le secteur des communications électroniques, ainsi que la libre circulation de ces données et des équipements et services de communications électroniques dans l’Union.

(2)

En vertu de l’article 4 de la directive 2002/58/CE, les fournisseurs de services de communications électroniques accessibles au public sont tenus de notifier les violations de données à caractère personnel aux autorités nationales compétentes et, dans certains cas, aux abonnés et aux particuliers concernés. Les violations de données à caractère personnel sont définies à l’article 2, point i), de la directive 2002/58/CE comme des violations de la sécurité entraînant accidentellement ou de manière illicite la destruction, la perte, l’altération, la divulgation ou l’accès non autorisés de données à caractère personnel transmises, stockées ou traitées d’une autre manière en relation avec la fourniture de services de communications électroniques accessibles au public dans l’Union.

(3)

Afin d’assurer une mise en œuvre cohérente des mesures visées à l’article 4, paragraphes 2, 3 et 4, de la directive 2002/58/CE, l’article 4, paragraphe 5, de celle-ci habilite la Commission à adopter des mesures techniques d’application concernant les circonstances, le format et les procédures relatives aux exigences en matière d’information et de notification visées audit article.

(4)

La diversité des exigences nationales en la matière peut être un facteur d’insécurité juridique, entraîner des procédures plus complexes et plus lourdes ainsi que des frais administratifs importants pour les fournisseurs ayant une activité transnationale. La Commission estime donc qu’il est nécessaire d’adopter de telles mesures techniques d’application.

(5)

Le présent règlement ne concerne que la notification des violations de données à caractère personnel et ne prévoit donc pas de mesures techniques d’application relatives à l’article 4, paragraphe 2, de la directive 2002/58/CE sur l’information des abonnés en cas de risque particulier de violation de la sécurité du réseau.

(6)

Il découle de l’article 4, paragraphe 3, premier alinéa, de la directive 2002/58/CE que les fournisseurs devraient notifier toutes les violations de données à caractère personnel à l’autorité nationale compétente. Aussi un fournisseur ne devrait-il pas avoir le choix d’informer ou pas l’autorité nationale compétente. Toutefois, cela ne devrait pas empêcher l’autorité nationale compétente concernée de hiérarchiser l’instruction de certaines violations de la façon qu’elle juge appropriée conformément à la législation applicable, ni de prendre les mesures nécessaires pour éviter qu’il y ait trop ou trop peu de violations de données à caractère personnel signalées.

(7)

Il convient de prévoir un système de notification des violations de données à caractère personnel à l’autorité nationale compétente, qui comporte, si certaines conditions sont remplies, plusieurs stades auxquels s’appliquent des délais. Ce système est destiné à faire en sorte que l’autorité nationale compétente soit informée aussi rapidement et complètement que possible sans toutefois gêner inutilement le fournisseur dans ses efforts pour enquêter sur la violation et prendre les mesures nécessaires afin d’en limiter les conséquences et d’y remédier.

(8)

Le fait de simplement soupçonner qu’une violation de données à caractère personnel s’est produite ou de simplement constater un incident sans disposer d’informations suffisantes, malgré tous les efforts déployés à cette fin par un fournisseur, ne permet pas de considérer qu’une telle violation a été constatée aux fins du présent règlement. Le fait de disposer des informations visées à l’annexe I devrait, à cet égard, mériter une attention particulière.

(9)

Dans le cadre de l’application du présent règlement, les autorités nationales compétentes concernées devraient coopérer en cas de violation de données à caractère personnel de dimension transnationale.

(10)

Le présent règlement ne prévoit pas de spécification supplémentaire concernant l’inventaire des violations de données à caractère personnel que les fournisseurs doivent tenir à jour, étant donné que l’article 4 de la directive 2002/58/CE en définit le contenu de façon exhaustive. Toutefois, les fournisseurs peuvent se référer au présent règlement pour déterminer le format de l’inventaire.

(11)

Toutes les autorités nationales compétentes devraient mettre un moyen électronique sécurisé à la disposition des fournisseurs pour qu’ils notifient les violations de données à caractère personnel dans un format commun reposant sur une norme telle que XML et reprenant les informations visées à l’annexe I dans les langues correspondantes, de façon à permettre à tous les fournisseurs à l’intérieur de l’Union de suivre une procédure de notification similaire indépendamment de l’endroit où ils se trouvent et où la violation s’est produite. À cet égard, la Commission devrait faciliter la mise en œuvre du moyen électronique sécurisé, en organisant des réunions avec les autorités nationales compétentes si nécessaire.

(12)

Pour déterminer si une violation de données à caractère personnel est susceptible de porter atteinte aux données à caractère personnel ou à la vie privée d’un abonné ou d’une personne, il conviendrait en particulier de prendre en compte la nature et la teneur des données concernées, notamment s’il s’agit de données relatives à des informations financières comme les numéros de carte de crédit et coordonnées bancaires; de catégories de données particulières visées à l’article 8, paragraphe 1, de la directive 95/46/CE; et de certaines données spécifiquement liées à la fourniture de services de téléphonie et internet, c’est-à-dire les données relatives au courrier électronique, les données de localisation, les fichiers journaux, les historiques de sites consultés et les listes d’appels détaillées.

(13)

Dans certains cas exceptionnels, le fournisseur devrait être autorisé à retarder la notification à l’abonné ou au particulier s’il y a un risque que la notification nuise à l’efficacité de l’enquête sur la violation de données à caractère personnel. Dans ce contexte, les cas exceptionnels peuvent recouvrir les enquêtes judiciaires ainsi que d’autres violations de données à caractère personnel qui ne sont pas équivalentes à un délit grave mais peuvent justifier de reporter la notification. En tout état de cause, il devrait incomber à l’autorité nationale compétente de décider, cas par cas et compte tenu des circonstances, d’accepter le report ou d’exiger la notification.

(14)

Les fournisseurs devraient disposer des coordonnées de leurs abonnés, étant donné qu’ils sont directement liés par contrat, mais pas de celles des autres personnes lésées par la violation de données à caractère personnel. Dans ce cas, le fournisseur devrait être autorisé à d’abord informer ces personnes par des avis dans de grands médias nationaux ou régionaux, tels que les journaux, puis à leur faire parvenir dès que possible une notification individuelle comme prévu dans le présent règlement. Le fournisseur n’est donc pas expressément tenu de recourir aux médias, mais il est plutôt habilité à le faire, s’il le souhaite, lorsqu’il en est encore à identifier toutes les personnes atteintes.

(15)

Les informations concernant la violation devraient se limiter à celle-ci et ne pas être associées à des informations concernant autre chose. Par exemple, faire figurer des informations concernant une violation de données à caractère personnel sur une facture courante ne devrait pas être considéré comme un moyen approprié de notifier une telle violation.

(16)

Le présent règlement ne prévoit pas de mesures de protection technologiques spécifiques justifiant de déroger à l’obligation de notifier les violations de données à caractère personnel aux abonnés ou aux particuliers car, avec le temps, de telles mesures peuvent évoluer en fonction des progrès techniques. La Commission devrait toutefois être en mesure de publier une liste indicative de ces mesures de protection technologiques spécifiques, selon les pratiques actuelles.

(17)

Le fait de recourir au cryptage ou au hachage ne devrait pas être considéré comme suffisant en soi pour que les fournisseurs puissent prétendre, plus largement, avoir rempli l’obligation générale de sécurité énoncée à l’article 17 de la directive 95/46/CE. À cet égard, les fournisseurs devraient également mettre en œuvre les mesures techniques et d’organisation appropriées pour prévenir, détecter et empêcher les violations de données à caractère personnel. Les fournisseurs devraient examiner tout risque pouvant subsister après la réalisation de contrôles afin de comprendre où les violations de données à caractère personnel sont susceptibles de se produire.

(18)

Si le fournisseur recourt à un autre fournisseur pour assurer une partie du service, par exemple en ce qui concerne la facturation ou des tâches de gestion, cet autre fournisseur, qui n’est pas directement lié par contrat avec l’utilisateur final, ne devrait pas être tenu de notifier les violations de données à caractère personnel. En revanche, il devrait alerter et informer le fournisseur avec lequel il est directement lié par contrat. Cela devrait également valoir dans le cadre de la fourniture en gros de services de communications électroniques, lorsque le fournisseur en gros n’est en général pas directement lié par contrat avec l’utilisateur final.

(19)

La directive 95/46/CE définit le cadre général de la protection des données à caractère personnel dans l’Union européenne. La Commission a soumis une proposition de règlement du Parlement européen et du Conseil (ci-après dénommé le «règlement sur la protection des données») afin de remplacer la directive 95/46/CE. Le règlement proposé sur la protection des données instaurerait, en se fondant sur l’article 4, paragraphe 3, de la directive 2002/58/CE, l’obligation, pour tous les responsables du traitement des données, de notifier les violations de données à caractère personnel. Le présent règlement de la Commission est parfaitement conforme à cette proposition de mesure.

(20)

Le règlement proposé sur la protection des données apporte aussi un nombre limité de modifications techniques à la directive 2002/58/CE pour prendre en compte la transformation de la directive 95/46/CE en règlement. Les conséquences juridiques de fond du nouveau règlement pour la directive 2002/58/CE feront l’objet d’un examen de la part de la Commission.

(21)

Trois ans après l’entrée en vigueur du présent règlement, son application et ses dispositions devraient faire l’objet d’un réexamen à la lumière du cadre juridique en vigueur à ce moment-là, y compris du règlement proposé sur la protection des données. Un tel réexamen devrait être associé, si possible, à tout réexamen futur de la directive 2002/58/CE.

(22)

L’application du présent règlement peut notamment être évaluée à l’aide des statistiques établies par les autorités nationales compétentes concernant les violations de données à caractère personnel qui leur sont notifiées. Ces statistiques peuvent, par exemple, indiquer le nombre de violations de données à caractère personnel notifiées à l’autorité nationale compétente, à l’abonné ou au particulier, le temps nécessaire pour remédier à la violation, et si des mesures de protection technologiques ont été prises. Ces statistiques devraient fournir à la Commission et aux États membres des données cohérentes et comparables et ne devraient révéler ni l’identité du fournisseur notifiant ni celle des abonnés ou personnes concernés. La Commission peut aussi, à cette fin, organiser régulièrement des réunions avec les autorités nationales compétentes et d’autres parties intéressées.

(23)

Les mesures prévues au présent règlement sont conformes à l’avis du comité des communications,

a)

la nature et la teneur des données concernées, en particulier s’il s’agit de données relatives à des informations financières, de catégories de données particulières visées à l’article 8, paragraphe 1, de la directive 95/46/CE ainsi que de données de localisation, fichiers journaux internet, historiques de sites web consultés, données relatives au courrier électronique et listes d’appels téléphoniques détaillées;

b)

les conséquences vraisemblables de la violation de données à caractère personnel pour l’abonné ou le particulier concerné, notamment les cas où la violation pourrait entraîner un vol ou une usurpation d’identité, une atteinte à l’intégrité physique, une souffrance psychologique, une humiliation ou une atteinte à la réputation; et

c)

les circonstances de la violation de données à caractère personnel, en particulier l’endroit où les données ont été volées ou le moment auquel le fournisseur sait que les données sont en possession d’un tiers non autorisé.

a)

elles ont été cryptées en mode sécurisé à l’aide d’un algorithme normalisé et la clé utilisée pour les décrypter n’a été compromise dans aucune violation de sécurité et a été générée de façon à ne pouvoir être trouvée, par aucun moyen technologique existant, par quelqu’un qui n’est pas autorisé à l’utiliser; ou

b)

elles ont été remplacées par leur valeur hachée, calculée à l’aide d’une fonction de hachage normalisée à clé cryptographique, et la clé utilisée pour les hacher n’a été compromise dans aucune violation de sécurité et a été générée de façon à ne pouvoir être trouvée, par aucun moyen technologique existant, par quelqu’un qui n’est pas autorisé à l’utiliser.