26.6.2013   

MT

Il-Ġurnal Uffiċjali tal-Unjoni Ewropea

L 173/2

(1)

Id-Direttiva 2002/58/KE tipprovdi għall-armonizzazzjoni tad-dispożizzjonijiet nazzjonali meħtieġa biex ikun żgurat livell ekwivalenti ta’ protezzjoni tad-drittijiet u l-libertajiet fundamentali, u b’mod partikolari d-dritt għall-privatezza u l-kunfidenzjalità, fir-rigward tal-ipproċessar ta’ dejta personali fis-settur tal-komunikazzjoni elettronika u biex ikun żgurat il-moviment liberu ta’ dik id-dejta u ta’ apparat u ta’ servizzi tal-komunikazzjoni elettronika fl-Unjoni.

(2)

Skont l-Artikolu 4 tad-Direttiva 2002/58/KE, il-fornituri ta’ servizzi tal-komunikazzjoni elettronika disponibbli pubblikament huma obbligati jgħarrfu lill-awtoritajiet kompetenti nazzjonali, u f’ċerti każijiet anki lill-abbonati u lill-individwi kkonċernati, dwar ksur ta’ dejta personali. Fl-Artikolu 2(i) tad-Direttiva 2002/58/KE, ksur ta’ dejta personali huwa definit bħala ksur tas-sigurtà li jwassal għal qerda, telf, tibdil inċidentali jew illegali jew divulgazzjoni mhux awtorizzata ta’, jew aċċess għal, dejta personali trasmessa, maħżuna jew ipproċessata bi kwalunkwe mod ieħor b’rabta mal-għoti ta’ servizz tal-komunikazzjoni elettronika disponibbli pubblikament fl-Unjoni.

(3)

Biex jiżgura konsistenza fl-implimentazzjoni tal-miżuri msemmija fl-Artikolu 4(2), (3) u (4) tad-Direttiva 2002/58/KE, l-Artikolu 4(5) tagħha jagħti s-setgħa lill-Kummissjoni li tadotta miżuri tekniċi ta’ implimentazzjoni dwar iċ-ċirkostanzi, il-format u l-proċeduri applikabbli għar-rekwiżiti ta’ informazzjoni u notifika msemmija f’dak l-Artikolu.

(4)

Rekwiżiti nazzjonali differenti f’dan ir-rigward jistgħu jwasslu għal inċertezza legali, proċeduri iktar kumplessi u kkumplikati u spejjeż amministrattivi sinifikanti għall-fornituri li joperaw b’mod transfruntier. Għaldaqstant, il-Kummissjoni tqis li hemm bżonn li jiġu adottati miżuri tekniċi ta’ implimentazzjoni bħal dawn.

(5)

Dan ir-Regolament huwa limitat għan-notifika ta’ ksur ta’ dejta personali u għaldaqstant ma jistabbilixxix miżuri tekniċi ta’ implimentazzjoni li jikkonċernaw l-Artikolu 4(2) tad-Direttiva 2002/58/KE dwar l-għoti ta’ informazzjoni lill-abbonati f’każ ta’ riskju partikolari ta’ ksur tas-sigurtà tan-netwerk.

(6)

Mill-ewwel subparagrafu tal-Artikolu 4(3) tad-Direttiva 2002/58/KE jirriżulta li l-fornituri għandhom jinnotifikaw il-ksur kollu ta’ dejta personali lill-awtorità kompetenti nazzjonali. Għalhekk, ma għandha titħalla ebda diskrezzjoni lill-fornitur dwar jekk jinnotifikax jew le lill-awtorità kompetenti nazzjonali. Madankollu, dan ma għandux jiċħad lill-awtorità kompetenti nazzjonali kkonċernata mill-possibbiltà li tagħti prijorità lill-investigazzjoni ta’ ċertu ksur b’mod li tqis xieraq skont il-liġi applikabbli, u li tieħu l-passi kif meħtieġ sabiex tevita rappurtar żejjed jew nieqes tal-ksur fid-dejta personali.

(7)

Huwa xieraq li tkun prevista sistema għan-notifika tal-ksur ta’ dejta personali lill-awtorità kompetenti nazzjonali, li, fejn jiġu ssodisfati ċerti kundizzjonijiet, tkun tikkonsisti minn stadji varji, b’kull stadju jkun suġġett għal ċerti limiti ta’ żmien. Din is-sistema għandha l-għan li tiżgura li l-awtorità kompetenti nazzjonali tkun infurmata kmieni kemm jista’ jkun u bid-dettalji kollha tal-każ, mingħajr pero’ ma tfixkel lill-fornitur fl-isforzi tiegħu biex jinvestiga l-ksur u jieħu l-miżuri neċessarji biex jiġi limitat dan il-ksur u jirrimedja l-konsegwenzi tiegħu.

(8)

La sempliċi suspett li seħħ ksur ta’ dejta personali, u lanqas sejba sempliċi ta’ inċident mingħajr ma tkun disponibbli biżżejjed informazzjoni, minkejja l-aqwa sforzi tal-fornitur għal dan il-għan, ma huma biżżejjed biex jitqies li nstab ksur ta’ dejta personali għall-finijiet ta’ dan ir-Regolament. F’dan ir-rigward, għandha titqies b’mod partikolari d-disponibbiltà tal-informazzjoni msemmija fl-Anness I.

(9)

Fil-kuntest tal-applikazzjoni ta’ dan ir-Regolament l-awtoritajiet kompetenti nazzjonali kkonċernati għandhom jikkooperaw fil-każijiet ta’ ksur ta’ dejta personali li jkollhom dimensjoni transfruntiera.

(10)

Dan ir-Regolament ma jipprovdix għal speċifikazzjoni addizzjonali tal-inventarju tal-ksur ta’ dejta personali li għandu jinżamm mill-fornituri, peress li l-Artikolu 4 tad-Direttiva 2002/58/KE jispeċifika l-kontenut tiegħu b’mod eżawrjenti. Madankollu, il-fornitur jista’ jirreferi għal dan ir-Regolament biex jiddetermina l-format tal-inventarju.

(11)

L-awtoritajiet kompetenti nazzjonali kollha għandhom iqiegħdu mezzi elettroniċi sikuri għad-dispożizzjoni tal-fornituri biex jinnotifikaw ksur ta’ dejta personali f’format komuni, ibbażat fuq standard bħal XML, li fih l-informazzjoni stipulata fl-Anness I fil-lingwi rilevanti, sabiex il-fornituri kollha fi ħdan l-Unjoni jkunu jistgħu jsegwu proċedura ta’ notifika simili, indipendentement minn fejn jinsabu jew fejn ikun seħħ il-ksur ta’ dejta personali. F’dan ir-rigward, il-Kummissjoni għandha tiffaċilita l-implimentazzjoni ta’ mezzi elettroniċi siguri billi torganizza laqgħat mal-awtoritajiet kompetenti nazzjonali fejn ikun meħtieġ.

(12)

Meta jiġi vvalutat jekk ksur ta’ dejta personali għandux il-probabilità li jaffettwa b’mod ħażin id-dejta personali jew il-privatezza ta’ abbonat jew individwu, għandhom jitqiesu, b’mod partikolari, l-għamla u l-kontenut tad-dejta personali kkonċernata, b’mod partikolari meta d-dejta tkun tikkonċerna informazzjoni finanzjarja, bħal dejta tal-karti ta’ kreditu u dettalji tal-kont tal-bank; kategoriji speċjali ta’ dejta msemmija fl-Artikolu 8(1) tad-Direttiva 95/46/KE; u ċerta dejta speċifikament marbuta mal-forniment ta’ servizzi tat-telefonija jew tal-Internet, jiġifieri dejta dwar il-posta elettronika, dejta ta’ lokalizzazzjoni, fajls ta’ log tal-Internet, il-kronoloġiji tal-ibbrawżjar onlajn u listi tas-sejħiet dettaljati.

(13)

F’ċirkostanzi eċċezzjonali, il-fornitur għandu jitħalla jittardja n-notifika lill-abbonat jew lill-individwu, meta n-notifika lill-abbonat jew lill-individwu tista’ xxekkel l-investigazzjoni proprja tal-ksur ta’ dejta personali. F’dan il-kuntest, ċirkostanzi eċċezzjonali jistgħu jinkludu investigazzjonijiet kriminali, kif ukoll ksur ieħor ta’ dejta personali li ma jwasslux għal reat serju iżda li għalihom jista’ jkun xieraq li tiġi posposta n-notifika. Fi kwalunkwe każ, għandu jkun f’idejn l-awtorità kompetenti nazzjonali li f’kull każ u fid-dawl taċ-ċirkostanzi, tivvaluta jekk taqbilx mal-posponiment jew tkunx teħtieġ in-notifika.

(14)

Filwaqt li l-fornituri għandu jkollhom id-dettalji ta’ kuntatt tal-abbonati tagħhom, b’konsegwenza tar-relazzjoni kuntrattwali diretta tagħhom, dik l-informazzjoni tista’ ma tkunx teżisti għal individwi oħrajn milqutin b’mod ħażin mill-ksur ta’ dejta personali. F’każ bħal dan, il-fornitur għandu jitħalla jinnotifika lil dawk l-individwi inizjalment permezz ta’ reklami f’midja nazzjonali jew reġjonali maġġuri, bħall-gazzetti, segwiti, malajr kemm jista’ jkun, minn notifika individwali kif stipulat f’dan ir-Regolament. Għalhekk il-fornitur effettivament mhuwiex obbligat jinnotifika permezz tal-midja, iżda għandu s-setgħa jaġixxi b’dan il-mod, jekk jixtieq hekk, meta jkun għadu fil-proċess tal-identifikazzjoni tal-individwi kollha affetwati.

(15)

L-informazzjoni dwar il-ksur għandha tkun iddedikata għall-ksur u ma għandux ikollha x’taqsam ma’ informazzjoni dwar suġġett ieħor. Pereżempju, l-inklużjoni ta’ informazzjoni dwar ksur ta’ dejta personali f’fattura regolari ma għandhiex titqies bħala mezz adegwat biex jiġi nnotifikat ksur ta’ dejta personali.

(16)

Dan ir-Regolament ma jistabbilixxix miżuri teknoloġiċi u speċifiċi ta’ protezzjoni li jiġġustifikaw deroga mill-obbligu ta’ notifika tal-ksur ta’ dejta personali lill-abbonati jew lill-individwi, peress li dawn jistgħu jinbidlu maż-żmien hekk kif tavvanza t-teknoloġija. Madankollu, il-Kummissjoni għandha tkun tista’ tippubblika lista indikattiva tat-tali miżuri teknoloġiċi speċifiċi ta’ protezzjoni skont il-prattiki attwali.

(17)

L-implimentazzjoni ta’ kodifikazzjoni jew ‘hashing’ ma għandhiex titqies biżżejjed waħedha biex tippermetti lill-fornituri jiddikjaraw li ssodisfaw l-obbligu dwar is-sigurtà ġenerali stabbilit fl-Artikolu 17 tad-Direttiva 95/46/KE. F’dan ir-rigward, il-fornituri għandhom jimplimentaw ukoll miżuri organizzattivi u tekniċi adegwati biex jipprevjenu, jikxfu u jimblokkaw ksur ta’ dejta personali. Il-fornituri għandhom jikkunsidraw kwalunkwe riskju residwu li jista’ jkun preżenti wara li jkunu ġew implimentati l-kontrolli sabiex jifhmu fejn hemm il-potenzjal li jseħħ ksur ta’ dejta personali.

(18)

Fejn il-fornitur juża fornitur ieħor biex iwettaq parti mis-servizz, pereżempju fir-rigward ta’ funzjonijiet f’relazzjoni mal-kontijiet jew il-ġestjoni, dan il-fornitur l-ieħor, li ma għandu l-ebda relazzjoni kuntrattwali diretta mal-utent aħħari ma għandux ikollu l-obbligu li joħroġ in-notifiki fil-każ ta’ ksur ta’ dejta personali. Minflok, għandha tiġbed l-attenzjoni tal-fornitur li miegħu għandha relazzjoni kuntrattwali diretta u tinfurmah bil-ksur. Dan għandu japplika wkoll fil-kuntest tal-forniment, fil-livell tal-operaturi, ta’ servizzi ta’ komunikazzjoni elettronika, meta tipikament il-fornitur fil-livell tal-operaturi ma jkollux relazzjoni kuntrattwali diretti mal-utent aħħari.

(19)

Id-Direttiva 95/46/KE tiddefinixxi qafas ġenerali għall-protezzjoni ta’ dejta personali fl-Unjoni Ewropea. Il-Kummissjoni ppreżentat proposta għal Regolament tal-Parlament Ewropew u tal-Kunsill biex tissostitwixxi d-Direttiva 95/46/KE (ir-Regolament dwar il-Protezzjoni tad-Dejta). Ir-Regolament dwar il-Protezzjoni tad-Dejta propost għandu jintroduċi obbligu għall-kontrolluri tad-dejta kollha li jinnotifikaw il-ksur ta’ dejta personali, fuq il-bażi tal-Artikolu 4(3) tad-Direttiva 2002/58/KE. Ir-Regolament tal-Kummissjoni preżenti huwa konsistenti bis-sħiħ ma’ din il-miżura proposta.

(20)

Ir-Regolament dwar il-Protezzjoni tad-Dejta propost jagħmel ukoll għadd limitat ta’ aġġustamenti tekniċi għad-Direttiva 2002/58/KE biex iqis it-trasformazzjoni tad-Direttiva 95/46/KE f’Regolament. Il-konsegwenzi sostantivi legali tar-Regolament il-ġdid għad-Direttiva 2002/58/KE se jkunu l-oġġett ta’ analiżi mill-Kummissjoni.

(21)

L-applikazzjoni ta’ dan ir-Regolament għandha tiġi analizzata tliet snin wara d-dħul fis-seħħ tiegħu, u l-kontenut tiegħu għandu jiġi analizzat fid-dawl tal-qafas legali fis-seħħ dak iż-żmien, inkluż ir-Regolament dwar il-Protezzjoni tad-Dejta propost. L-analiżi ta’ dan ir-Regolament għandha tkun marbuta, fejn ikun possibbli, ma kwalunkwe analiżi fil-futur tad-Direttiva 2002/58/KE.

(22)

L-applikazzjoni ta’ dan ir-Regolament għandha tiġi vvalutata, fost oħrajn, abbażi ta’ kwalunkwe statistika li tinżamm mill-awtoritajiet kompetenti nazzjonali dwar il-ksur ta’ dejta personali li jkunu ġew innotifikati bih. Dawn l-istatistiki jistgħu jinkludu, pereżempju, informazzjoni dwar l-għadd ta’ ksur ta’ dejta personali nnotifikati lill-awtorità kompetenti nazzjonali, l-għadd ta’ ksur ta’ dejta personali nnotifikati lill-abbonat jew lill-individwu, iż-żmien li jkun ittieħed biex jiġi solvut il-ksur ta’ dejta personali, u jekk ittiħdux miżuri teknoloġiċi ta’ protezzjoni. Dawn l-istatistiki għandhom jipprovdu dejta statistika li tkun konsistenti u komparabbli lill-Kummissjoni u lill-Istati Membri, u la għandhom jikxfu l-identità tal-fornitur li jkun għamel in-notifika u lanqas l-abbonati jew l-individwi involuti. Il-Kummissjoni tista’ wkoll torganizza laqgħat regolari mal-awtoritajiet kompetenti nazzjonali u ma’ partijiet interessati oħrajn għal dan il-għan.

(23)

Il-miżuri stipulati f’dan ir-Regolament huma konformi mal-opinjoni tal-Kumitat għall-Komunikazzjonijiet,

(a)

l-għamla u l-kontenut tad-dejta personali involuta, b’mod partikolari f’każijiet fejn id-dejta tkun tikkonċerna informazzjoni finanzjarja, kategoriji speċjali ta’ dejta msemmija fl-Artikolu 8(1) tad-Direttiva 95/46/KE, kif ukoll dejta ta’ lokalizzazzjoni, fajls ta’ log tal-Internet, il-kronoloġiji tal-ibbrawżjar onlajn, dejta dwar il-posta elettronika u listi dettaljati tat-telefonati;

(b)

il-konsegwenzi probabbli tal-ksur ta’ dejta personali għall-abbonat jew għall-individwu kkonċernat, b’mod partikolari meta l-ksur ikun jista’ jirriżulta f’serq tal-identità jew frodi, danni fiżiċi, stress psikoloġiku, umiljazzjoni jew ħsara għar-reputazzjoni; u

(c)

iċ-ċirkostanzi tal-ksur ta’ dejta personali, b’mod patikolari f’każijiet fejn id-dejta tkun insterqet jew meta l-fornitur ikun jaf li d-dejta tkun fil-pussess ta’ parti terza mhux awtorizzata.

(a)

tkun ġiet ikkodifikata b’mod sigur b’algorittmu standardizzat, il-kodiċi użat biex tiġi ddekodifikata d-dejta ma jkunx f’riskju ta’ xi ksur tas-sigurtà, u l-kodiċi użat biex tiġi ddekodifikata d-dejta jkun ġie ġġenerat sabiex dan ma jkunx jista’ jsir magħruf b’kwalunkwe mezz teknoloġiku disponibbli għal kwalunkwe persuna li mhijiex awtorizzata taċċessal-kodiċi; jew

(b)

ġiet sostitwita mill-valur ‘hashed’ tagħha kkalkolat b’funzjoni kriptografika u standardizzata ta’ ‘hash’ b’kodiċi, il-kodiċi użat għall-‘hash’ tad-dejta ma jkunx kompromess f’xi ksur tas-sigurtà, u l-kodiċi użat għall-‘hash’ tad-dejta jkun ġie ġġenerat b’tali mod li dan ma jkunx jista’ jsir magħruf minn kwalunkwe persuna bi kwalukwe mezzi teknoloġiċi disponibbli li ma jkollhiex aċċess awtorizzat għall-kodiċi.