26.6.2013   

SL

Uradni list Evropske unije

L 173/2

(1)

Direktiva 2002/58/ES določa uskladitev nacionalnih določb držav članic, ki je potrebna za zagotovitev enakovredne ravni varstva temeljnih pravic in svoboščin ter zlasti pravice do zasebnosti in zaupnosti v zvezi z obdelavo osebnih podatkov na področju elektronskih komunikacij in za zagotovitev prostega pretoka takih podatkov ter elektronske komunikacijske opreme in storitev v Uniji.

(2)

Ponudniki javno razpoložljivih elektronskih komunikacijskih storitev morajo v skladu s členom 4 Direktive 2002/58/ES obvestiti pristojne nacionalne organe ter v nekaterih primerih tudi zadevne naročnike in posameznike o kršitvah varnosti osebnih podatkov. Kršitve varnosti osebnih podatkov so v členu 2(i) Direktive 2002/58/ES opredeljene kot kršitve varnosti, ki povzročijo nenamerno ali nezakonito uničenje, izgubo, spremembo, nepooblaščeno razkritje ali dostop do osebnih podatkov, ki so poslani, shranjeni ali kako drugače obdelani v zvezi z zagotavljanjem javno razpoložljivih elektronskih komunikacijskih storitev v Uniji.

(3)

Komisija je na podlagi člena 4(5) Direktive 2002/58/ES pooblaščena za sprejetje tehničnih izvedbenih ukrepov v zvezi z okoliščinami, predpisano obliko in postopki, ki se uporabljajo za zahteve glede informacij in obvestil iz navedenega člena, da se zagotovi doslednost pri izvajanju ukrepov iz člena 4(2), (3) in (4) navedene direktive.

(4)

Različne zahteve držav članic na tem področju lahko povzročijo pravno negotovost, bolj zapletene in dolgotrajne postopke ter visoke upravne stroške ponudnikov, ki poslujejo v več državah članicah. Zato Komisija meni, da je treba sprejeti take tehnične izvedbene ukrepe.

(5)

Področje uporabe te uredbe je omejeno na obveščanje o kršitvi varnosti osebnih podatkov, zato ne določa tehničnih izvedbenih ukrepov glede člena 4(2) Direktive 2002/58/ES v zvezi z obveščanjem naročnikov v primeru posebnega tveganja za kršitev varnosti omrežja.

(6)

Iz prvega pododstavka člena 4(3) Direktive 2002/58/ES sledi, da bi ponudniki morali pristojni nacionalni organ obvestiti o vseh kršitvah varnosti osebnih podatkov. Zato ponudnik ne bi smel prosto presojati o tem, ali bo pristojnemu nacionalnemu organu poslal obvestilo ali ne. Vendar pa to zadevnemu pristojnemu nacionalnemu organu ne sme preprečiti prednostne obravnave določenih kršitev tako, kot je po njegovem mnenju skladno z zakonodajo, ki se uporablja, in sprejemanja ukrepov, potrebnih za preprečitev preobsežnega ali nezadostnega poročanja o kršitvah varnosti osebnih podatkov.

(7)

Primerno je zagotoviti sistem za obveščanje pristojnega nacionalnega organa o kršitvah varnosti osebnih podatkov, ki bo ob izpolnjevanju določenih pogojev sestavljen iz različnih faz, od katerih bo vsaka imela določene časovne omejitve. Namen tega sistema je zagotoviti karseda hitro in podrobno obveščanje pristojnega nacionalnega organa, pri čemer pa se ne bo oviralo ponudnikovih prizadevanj za preiskavo kršitve in sprejetje ukrepov, potrebnih za omejitev kršitve ter odpravo njenih posledic.

(8)

Samo sum kršitve varnosti osebnih podatkov ali samo odkritje incidenta brez zadostnih razpoložljivih informacij, ne glede na to, ali si je ponudnik za to prizadeval po svojih najboljših močeh, ne zadostujeta, da bi se za namene te uredbe štelo, da je bila odkrita kršitev varnosti osebnih podatkov. V zvezi s tem je treba paziti zlasti na razpoložljivost informacij iz Priloge I.

(9)

Zadevni pristojni nacionalni organi bi v okviru uporabe te uredbe morali med seboj sodelovati, kadar bi šlo za kršitve varnosti osebnih podatkov, ki imajo čezmejne razsežnosti.

(10)

V tej uredbi ni dodatnih specifikacij v zvezi z evidenco kršitev varnosti osebnih podatkov, ki jo morajo voditi ponudniki, saj njeno vsebino že dovolj natančno določa člen 4 Direktive 2002/58/ES. Kljub temu pa se ponudniki za določitev oblike evidence lahko sklicujejo na to uredbo.

(11)

Vsi pristojni nacionalni organi bi morali zagotoviti varno elektronsko sredstvo, prek katerega bi lahko ponudniki pošiljali obvestila o kršitvah varnosti osebnih podatkov v skupni obliki zapisa na podlagi standarda, kot je XML, pri čemer bi taka obvestila vključevala informacije iz Priloge I v ustreznih jezikih, da se vsem ponudnikom v Uniji omogoči uporaba podobnega postopka obveščanja, ne glede na njihovo lokacijo ali kraj kršitve varnosti osebnih podatkov. V zvezi s tem bi Komisija morala olajšati izvajanje varnih elektronskih sredstev tako, da bi po potrebi sklicala sestanke s pristojnimi nacionalnimi organi.

(12)

Pri oceni verjetnosti, da bo kršitev varnosti osebnih podatkov negativno vplivala na osebne podatke ali zasebnost naročnika ali posameznika, bi bilo treba upoštevati zlasti naravo in vsebino zadevnih osebnih podatkov, zlasti kadar ti podatki zadevajo finančne informacije, kot so podatki o kreditnih karticah in podatki o bančnem računu, posebne vrste podatkov iz člena 8(1) Direktive 95/46/ES, ter nekatere podatke, ki so izrecno povezani z zagotavljanjem storitev na področju telefonije ali interneta, tj. podatke z elektronske pošte, podatke o lokaciji, internetne dnevniške datoteke, zgodovino brskanja po spletu in razčlenjene sezname klicev.

(13)

Ponudniku bi bilo treba v posebnih okoliščinah dovoliti, da preloži obvestilo naročniku ali posamezniku, kadar bi lahko obvestilo naročniku ali posamezniku ogrozilo ustrezno preiskavo o kršitvi varnosti osebnih podatkov. Izjemne okoliščine v zvezi s tem so lahko med drugim kriminalne preiskave in druge kršitve varnosti osebnih podatkov, ki ne štejejo za resne zločine, vendar bi bilo primerno preložiti obvestilo o njih. V vsakem primeru bi moral pristojni nacionalni organ za vsak posamezen primer ob upoštevanju okoliščin oceniti, ali se strinja s preložitvijo obvestila ali ga zahteva.

(14)

Ponudniki bi zaradi neposrednega pogodbenega razmerja s svojimi naročniki morali imeti njihove kontaktne podatke, vendar ni nujno, da so te informacije na voljo za druge posameznike, na katere je negativno vplivala kršitev varnosti osebnih podatkov. V takem primeru bi bilo treba ponudniku dovoliti, da te posameznike obvesti najprej prek oglasov v pomembnih nacionalnih ali regionalnih sredstvih javnega obveščanja, kot so časopisi, in jim nato čim prej pošlje ločeno obvestilo, kot je določeno v tej uredbi. Ponudnik torej ni zavezan k obveščanju prek medijev, temveč se mu to dovoli, če tako želi, kadar je še v procesu ugotavljanja, na katere posameznike je kršitev vplivala.

(15)

Informacije o kršitvi bi se morale nanašati na kršitev in ne bi smele biti povezane z informacijami o drugi temi. Navedba informacij o kršitvi varnosti osebnih podatkov na običajnem računu se na primer ne bi smela obravnavati kot ustrezen način obveščanja o kršitvi varnosti osebnih podatkov.

(16)

Ta uredba ne določa posebnih ukrepov za tehnološko zaščito, na podlagi katerih je mogoče odstopanje od obveznega obveščanja naročnikov ali posameznikov o kršitvah varnosti osebnih podatkov, ker se lahko kršitve sčasoma spremenijo zaradi tehnološkega napredka. Vendar bi bilo treba Komisiji v skladu s sedanjo prakso omogočiti objavo okvirnega seznama takih posebnih ukrepov za tehnološko zaščito.

(17)

Samo šifriranje ali zgoščevanje ne bi smelo biti zadostna podlaga za utemeljene trditve ponudnikov, da so na splošno izpolnili obveznost na področju splošne varnosti iz člena 17 Direktive 95/46/ES. Ponudniki bi morali v zvezi s tem izvajati tudi ustrezne organizacijske in tehnične ukrepe za preprečevanje, odkrivanje in blokiranje kršitev varnosti osebnih podatkov. Ponudniki bi morali upoštevati vsa ostala tveganja, ki lahko nastanejo po izvedbi varnostnih ukrepov, da se ugotovijo področja, na katerih bi lahko prišlo do kršitve varnosti osebnih podatkov.

(18)

Kadar ponudnik za opravljanje dela storitve vključi drugega ponudnika, na primer v zvezi s funkcijami obračunavanja ali upravljanja, se od navedenega drugega ponudnika, ki ni v neposrednem pogodbenem razmerju s končnim uporabnikom, ne bi smelo zahtevati izdajanje obvestil v primeru kršitve varnosti osebnih podatkov. Namesto tega bi morala opozoriti in obvestiti ponudnika, s katerim je v neposrednem pogodbenem razmerju. To bi moralo veljati tudi v kontekstu zagotavljanja storitev elektronskih komunikacij na veleprodajni ravni, kadar ponudnik na veleprodajni ravni običajno ni v neposrednem pogodbenem razmerju s končnim uporabnikom.

(19)

Direktiva 95/46/ES določa splošni okvir za varnost osebnih podatkov v Evropski uniji. Komisija je predstavila predlog za uredbo Evropskega parlamenta in Sveta, ki bi nadomestila Direktivo 95/46/ES (uredba o varstvu podatkov). Predlagana uredba o varstvu podatkov bi za upravljavce podatkov uvedla zahtevo obveščanja o kršitvah varnosti osebnih podatkov, in sicer na podlagi člena 4(3) Direktive 2002/58/ES. Trenutna uredba Komisije je v celoti skladna s tem predlaganim ukrepom.

(20)

Predlagana uredba o varstvu podatkov v Direktivo 2002/58/ES vnaša tudi omejeno število tehničnih prilagoditev, ki upoštevajo preoblikovanje Direktive 95/46/ES v uredbo. Komisija bo preučila materialne pravne posledice, ki jih bo nova uredba povzročila v Direktivi 2002/58/ES.

(21)

Uporaba te uredbe bi morala biti pregledana tri leta po začetku veljave, njeno vsebino pa bi bilo treba preučiti v luči takrat veljavnega pravnega okvira, vključno s predlagano uredbo o varstvu podatkov. Pregled te uredbe bi moral biti, kjer bo to mogoče, povezan z vsemi prihodnjimi pregledi Direktive 2002/58/ES.

(22)

Uporabo te uredbe se lahko med drugim oceni na podlagi katerih koli statističnih podatkov pristojnih nacionalnih organov o kršitvah varnosti osebnih podatkov, o katerih so bili ti organi obveščeni. Ti statistični podatki lahko zajemajo na primer informacije o številu kršitev varnosti osebnih podatkov, o katerih je bil obveščen pristojni nacionalni organ, številu kršitev varnosti osebnih podatkov, o katerih je bil obveščen naročnik ali posameznik, času, potrebnem za odpravo kršitve varnosti osebnih podatkov, ter o tem, ali so bili sprejeti ukrepi za tehnološko zaščito. Ti statistični podatki naj bi Komisiji in državam članicam zagotovili dosledne in primerljive podatke, pri čemer pa se ne sme razkriti niti identitete ponudnika, ki obvešča, niti identitete zadevnih naročnikov ali posameznikov. Komisija lahko v ta namen tudi organizira redna srečanja s pristojnimi nacionalnimi organi in drugimi zainteresiranimi stranmi.

(23)

Ukrepi, predvideni s to uredbo, so v skladu z mnenjem Odbora za komunikacije –

(a)

narava in vsebina zadevnih osebnih podatkov, zlasti kadar podatki zadevajo finančne informacije, posebne vrste podatkov iz člena 8(1) Direktive 95/46/ES in podatke o lokaciji, internetne dnevniške datoteke, zgodovino brskanja po spletu, podatke z elektronske pošte in razčlenjene sezname klicev;

(b)

verjetne posledice kršitve osebnih podatkov za zadevnega naročnika ali posameznika, zlasti kadar bi lahko zaradi kršitve prišlo do kraje ali zlorabe identitete, fizičnih poškodb, psihične stiske, poniževanja ali škodovanja ugledu, in

(c)

okoliščine kršitve osebnih podatkov, zlasti kadar so podatki ukradeni ali ponudnik ve, da s podatki razpolaga nepooblaščena tretja oseba.

(a)

so varno šifrirani s standardiziranim algoritmom, če ključ za dešifriranje podatkov ni bil ogrožen zaradi katere koli kršitve varnosti in če je bil ključ za dešifriranje podatkov ustvarjen tako, da ga s tehnološkimi sredstvi, ki so na voljo, ne more ugotoviti nobena oseba, ki nima dovoljenja za dostop do ključa, ali

(b)

so bili nadomeščeni z zgoščeno vrednostjo, izračunano s standardizirano zgoščevalno funkcijo z uporabo šifrirnega ključa, če ključ za zgoščevanje podatkov ni bil ogrožen zaradi katere koli kršitve varnosti in če je bil ključ za zgoščevanje podatkov ustvarjen tako, da ga s tehnološkimi sredstvi, ki so na voljo, ne more ugotoviti nobena oseba, ki nima dovoljenja za dostop do ključa.