26.6.2013   

FI

Euroopan unionin virallinen lehti

L 173/2

(1)

Direktiivissä 2002/58/EY säädetään sellaisten kansallisten säännösten yhdenmukaistamisesta, joita tarvitaan samantasoisen perusoikeuksien ja -vapauksien, erityisesti yksityisyyttä ja luottamuksellisuutta koskevan oikeuden, suojan varmistamiseksi henkilötietojen käsittelyssä sähköisen viestinnän alalla sekä tällaisten tietojen ja sähköisten viestintälaitteiden ja -palvelujen vapaan liikkuvuuden varmistamiseksi unionissa.

(2)

Direktiivin 2002/58/EY 4 artiklan mukaan yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajien on ilmoitettava henkilötietojen tietoturvaloukkauksista toimivaltaisille kansallisille viranomaisille ja eräissä tapauksissa myös niiden kohteeksi joutuneille tilaajille ja henkilöille. Henkilötietojen tietoturvaloukkaukset määritellään direktiivin 2002/58/EY 2 artiklan i alakohdassa tietoturvaloukkauksiksi, jotka johtavat yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoamisen yhteydessä unionissa siirrettyjen, tallennettujen tai muutoin käsiteltyjen henkilötietojen vahingossa tapahtuvaan tai laittomaan tuhoamiseen, häviämiseen, muuttamiseen, luvattomaan luovuttamiseen tai käyttöön antamiseen.

(3)

Direktiivin 2002/58/EY 4 artiklan 2, 3 ja 4 kohdassa tarkoitettujen toimenpiteiden yhdenmukaisen toteuttamisen varmistamiseksi komissio valtuutetaan sen 4 artiklan 5 kohdassa hyväksymään teknisiä täytäntöönpanotoimenpiteitä, jotka koskevat kyseisessä artiklassa tarkoitettuihin tiedotus- ja ilmoitusvaatimuksiin sovellettavia olosuhteita, muotoa ja menettelyjä.

(4)

Toisistaan poikkeavat kansalliset vaatimukset voivat tässä yhteydessä aiheuttaa oikeudellista epävarmuutta, monimutkaisempia ja raskaampia menettelyjä ja huomattavia hallinnollisia kustannuksia rajojen yli toimiville palveluntarjoajille. Näistä syistä komissio katsoo tarpeelliseksi hyväksyä tällaisia teknisiä täytäntöönpanotoimenpiteitä.

(5)

Tämä asetus rajoittuu henkilötietojen tietoturvaloukkauksista ilmoittamiseen, eikä siinä näin ollen vahvisteta direktiivin 2002/58/EY 4 artiklan 2 kohtaan liittyviä teknisiä täytäntöönpanotoimenpiteitä, jotka koskevat tilaajille ilmoittamista verkon turvallisuuteen kohdistuvista erityisistä riskeistä.

(6)

Direktiivin 2002/58/EY 4 artiklan 3 kohdan ensimmäisestä alakohdasta seuraa, että palveluntarjoajien olisi ilmoitettava toimivaltaiselle kansalliselle viranomaiselle kaikista henkilötietojen tietoturvaloukkauksista. Näin ollen päätöstä siitä, ilmoitetaanko henkilötietojen tietoturvaloukkauksesta toimivaltaiselle kansalliselle viranomaiselle, ei saisi jättää palveluntarjoajan omaan harkintavaltaan. Tämä ei kuitenkaan saisi estää kyseistä toimivaltaista kansallista viranomaista priorisoimasta tiettyjen tietoturvaloukkausten tutkintaa tarpeelliseksi katsomallaan tavalla sovellettavan lainsäädännön mukaisesti ja toteuttamasta tarvittavia toimia henkilötietojen tietoturvaloukkauksien yli- tai aliraportoinnin välttämiseksi.

(7)

Henkilötietojen tietoturvaloukkauksista toimivaltaiselle kansalliselle viranomaiselle tehtäviä ilmoituksia varten on tarkoituksenmukaista säätää järjestelmästä, joka muodostuu tietyin edellytyksin eri vaiheista, joista kullakin on tietty aikaraja. Tämän järjestelmän tarkoituksena on varmistaa, että toimivaltaiselle kansalliselle viranomaiselle ilmoitetaan tietoturvaloukkauksesta mahdollisimman aikaisin ja mahdollisimman tyhjentävästi estämättä kuitenkaan tarpeettomasti palveluntarjoajaa tutkimasta tietoturvaloukkausta ja toteuttamasta tarpeellisia toimenpiteitä tietoturvaloukkauksen rajoittamiseksi ja sen seurausten korjaamiseksi.

(8)

Pelkkä epäily henkilötietojen tietoturvaloukkauksen tapahtumisesta tai pelkkä tietoturvapoikkeaman havaitseminen ilman, että palveluntarjoajan yrityksistä huolimatta käytettävissä on riittäviä tietoja, ei ole riittävä syy katsoa, että tässä asetuksessa tarkoitettu tietoturvaloukkaus on havaittu. Erityistä huomiota olisi tässä yhteydessä kiinnitettävä liitteessä I tarkoitettujen tietojen saatavuuteen.

(9)

Asianomaisten toimivaltaisten kansallisten viranomaisten olisi tämän asetuksen soveltamisen yhteydessä tehtävä yhteistyötä sellaisissa tapauksissa, joissa henkilötietojen tietoturvaloukkauksella on rajat ylittävä ulottuvuus.

(10)

Tässä asetuksessa ei määritellä tarkemmin henkilötietojen tietoturvaloukkauksien luetteloa, jota palveluntarjoajien on pidettävä yllä, koska sen sisältö määritellään tyhjentävästi direktiivin 2002/58/EY 4 artiklassa. Palveluntarjoajat voivat kuitenkin käyttää tätä asetusta määritellessään luettelon muotoa.

(11)

Kaikkien toimivaltaisten kansallisten viranomaisten olisi annettava palveluntarjoajien käyttöön suojattu sähköinen menetelmä henkilötietojen tietoturvaloukkauksista ilmoittamiseen noudattaen yhteistä muotoa, joka perustuu standardiin, kuten XML:ään, ja joka sisältää liitteessä I mainitut tiedot asianomaisilla kielillä, jotta kaikki palveluntarjoajat unionissa voivat noudattaa samanlaista ilmoitusmenettelyä riippumatta siitä, minne ne ovat sijoittautuneet tai missä henkilötietojen tietoturvaloukkaus on tapahtunut. Tähän liittyen komission olisi helpotettava suojatun sähköisen menetelmän käyttöönottoa järjestämällä tarvittaessa kokouksia toimivaltaisten kansallisten viranomaisten kanssa.

(12)

Arvioitaessa, onko henkilötietojen tietoturvaloukkauksella todennäköisesti haittavaikutuksia tilaajan tai henkilön henkilötiedoille tai yksityisyydelle, olisi otettava huomioon erityisesti kyseisten henkilötietojen luonne ja sisältö, varsinkin jos tiedot sisältävät taloudellista informaatiota, kuten luottokortti- ja pankkitilitietoja, direktiivin 95/46/EY 8 artiklan 1 kohdassa tarkoitettuihin erityisiin luokkiin kuuluvia tietoja ja tiettyjä tietoja, jotka liittyvät erityisesti puhelin- tai internetpalvelujen tarjoamiseen, kuten sähköpostitiedot, paikannustiedot, internetin lokitiedostot, www-selaushistoriat ja puheluerittelyt.

(13)

Poikkeuksellisissa olosuhteissa palveluntarjoajan olisi voitava lykätä tilaajalle tai henkilölle annettavaa ilmoitusta, jos tilaajalle tai yksityishenkilölle ilmoittaminen voi vaarantaa henkilötietojen tietoturvaloukkauksen asianmukaisen tutkimisen. Tässä yhteydessä poikkeuksellisiin olosuhteisiin voivat kuulua myös rikostutkinta sekä muut sellaiset henkilötietojen tietoturvaloukkaukset, jotka eivät ole vakavia rikoksia mutta joiden osalta voi olla tarkoituksenmukaista lykätä ilmoittamista. Toimivaltaisen kansallisen viranomaisen olisi joka tapauksessa arvioitava kunkin tapauksen olosuhteet huomioon ottaen, hyväksytäänkö lykkääminen vai vaaditaanko ilmoitusta.

(14)

Palveluntarjoajilla olisi oltava tilaajiensa yhteystiedot suoran sopimussuhteen vuoksi, mutta palveluntarjoajilla ei välttämättä ole näitä tietoja muista henkilöistä, joihin henkilötietojen tietoturvaloukkaus on vaikuttanut haitallisesti. Tällöin palveluntarjoajan olisi voitava aluksi ilmoittaa näille henkilöille suurimmissa kansallisissa tai alueellisissa tiedotusvälineissä, kuten sanomalehdissä, julkaistavilla ilmoituksilla, minkä jälkeen sen olisi annettava mahdollisimman pian henkilökohtainen ilmoitus siten kuin tässä asetuksessa säädetään. Palveluntarjoajalla ei siis ole velvollisuutta julkaista ilmoitusta tiedotusvälineissä, mutta sillä on halutessaan lupa toimia näin, kunnes se on yksilöinyt kaikki henkilöt, joihin tietoturvaloukkaus on vaikuttanut.

(15)

Tietoturvaloukkausta koskevat tiedot olisi liitettävä pelkästään tietoturvaloukkauksen asiayhteyteen eikä muita aiheita koskevien tietojen yhteyteen. Esimerkiksi henkilötietojen tietoturvaloukkausta koskevien tietojen antamista tavanomaisen laskun yhteydessä ei saisi pitää asianmukaisena keinona ilmoittaa henkilötietojen tietoturvaloukkauksesta.

(16)

Tässä asetuksessa ei säädetä erityisistä teknisistä suojatoimenpiteistä, joiden vuoksi voidaan poiketa velvoitteesta ilmoittaa henkilötietojen tietoturvaloukkauksista tilaajille tai henkilöille, sillä nämä suojatoimenpiteet voivat muuttua ajan myötä teknologian kehityksen myötä. Komission olisi kuitenkin voitava julkaista ohjeellinen luettelo nykykäytännön mukaisista tällaisista erityisistä teknisistä suojatoimenpiteistä.

(17)

Salauksen tai tiivistämisen toteuttamista ei saisi pitää itsessään riittävänä, jotta palveluntarjoajat voisivat yleisemmin väittää täyttäneensä direktiivin 95/46/EY 17 artiklassa asetetun yleisen tietoturvavelvoitteen. Palveluntarjoajien olisi tältä osin toteutettava myös riittävät organisatoriset ja tekniset toimenpiteet henkilötietojen tietoturvaloukkausten torjumiseksi, havaitsemiseksi ja estämiseksi. Palveluntarjoajien olisi otettava huomioon mahdollinen suojakeinojen toteuttamisen jälkeinen jäännösriski, jotta voidaan ymmärtää, missä henkilötietojen tietoturvaloukkauksia voi potentiaalisesti esiintyä.

(18)

Jos palveluntarjoaja käyttää toista palveluntarjoajaa suorittamaan osan palvelusta esimerkiksi laskutuksessa tai hallinnossa, tätä toista palveluntarjoajaa, joka ei ole suorassa sopimussuhteessa loppukäyttäjään, ei saisi velvoittaa antamaan ilmoituksia henkilötietojen tietoturvaloukkauksista. Sen sijaan sen olisi varoitettava ja informoitava palveluntarjoajaa, jonka kanssa sillä on suora sopimussuhde. Tämän olisi koskettava myös sähköisten viestintäpalvelujen tukkutarjontaa, jossa tukkupalveluntarjoaja ei yleensä ole suorassa sopimussuhteessa loppukäyttäjään.

(19)

Direktiivissä 95/46/EY määritellään yleiset puitteet henkilötietojen suojalle Euroopan unionissa. Komissio on antanut ehdotuksen direktiivin 95/46/EY korvaavasta Euroopan parlamentin ja neuvoston asetuksesta (tietosuoja-asetus). Ehdotetussa tietosuoja-asetuksessa kaikki rekisterinpitäjät velvoitettaisiin ilmoittamaan henkilötietojen tietoturvaloukkauksista direktiivin 2002/58/EY 4 artiklan 3 kohtaan perustuvalla tavalla. Tämä komission asetus on täysin johdonmukainen kyseisen ehdotetun säädöksen kanssa.

(20)

Ehdotetussa tietosuoja-asetuksessa direktiiviin 2002/58/EY tehdään myös joitain teknisiä mukautuksia, jotta voidaan ottaa huomioon direktiivin 95/46/EY muuttaminen asetukseksi. Komissio tekee arvioinnin uuden asetuksen aineellisoikeudellisista seurauksista direktiivin 2002/58/EY kannalta.

(21)

Tämän asetuksen täytäntöönpanoa olisi tarkasteltava kolme vuotta sen voimaantulon jälkeen, jolloin myös sen sisältöä olisi tarkasteltava uudelleen tuolloin voimassa olevan oikeudellisen kehyksen, muun muassa ehdotetun tietosuoja-asetuksen, perusteella. Tämän asetuksen uudelleentarkastelu olisi mahdollisuuksien mukaan kytkettävä direktiivin 2002/58/EY tuleviin uudelleentarkasteluihin.

(22)

Tämän asetuksen täytäntöönpanoa voidaan arvioida muun muassa toimivaltaisten kansallisten viranomaisten niille ilmoitetuista henkilötietojen tietoturvaloukkauksista mahdollisesti pitämien tilastojen pohjalta. Näitä tilastoja voidaan pitää esimerkiksi toimivaltaiselle kansalliselle viranomaiselle ilmoitettujen henkilötietojen tietoturvaloukkauksien määrästä, tilaajalle tai henkilölle ilmoitettujen henkilötietojen tietoturvaloukkauksien määrästä, henkilötietojen tietoturvaloukkauksen ratkaisemiseen kuluneesta ajasta ja siitä, onko käytössä teknisiä suojatoimenpiteitä. Näiden tilastojen olisi annettava komissiolle ja jäsenvaltioille johdonmukaiset ja vertailukelpoiset tilastotiedot nimeämättä ilmoituksen tekevää palveluntarjoajaa ja kyseisiä tilaajia ja yksityishenkilöitä. Komissio voi tätä tarkoitusta varten myös järjestää säännöllisiä kokouksia toimivaltaisten kansallisten viranomaisten ja muiden asiaankuuluvien sidosryhmien kanssa.

(23)

Tässä asetuksessa säädetyt toimenpiteet ovat viestintäkomitean lausunnon mukaiset,

a)

kyseisten henkilötietojen luonne ja sisältö, erityisesti jos tiedot sisältävät taloudellista informaatiota, kuuluvat direktiivin 95/46/EY 8 artiklan 1 kohdassa tarkoitettuihin erityisiin luokkiin tai ovat paikannustietoja, internetin lokitiedostoja, www-selaushistorioita, sähköpostitietoja ja puheluerittelyjä;

b)

henkilötietojen tietoturvaloukkauksesta sen kohteeksi joutuneelle tilaajalle tai henkilölle todennäköisesti aiheutuvat seuraukset, erityisesti jos tietoturvaloukkaus voi johtaa henkilöllisyysvarkauteen tai -petokseen, ruumiilliseen tai henkiseen kärsimykseen, nöyryytykseen tai maineen vahingoittumiseen; ja

c)

henkilötietojen tietoturvaloukkauksen olosuhteet, erityisesti jos tiedot on varastettu tai jos palveluntarjoaja tietää, että tiedot ovat luvattomasti kolmannen osapuolen hallussa.

a)

ne on salattu turvallisesti käyttäen standardoitua algoritmia, salauksen purkamiseen käytetty avain ei ole vaarantunut missään tietoturvaloukkauksessa ja salauksen purkamiseen käytetty avain on muodostettu siten, etteivät henkilöt, joilla ei ole lupa käyttää avainta, voi saada sitä selville käytettävissä olevan teknologian avulla; tai

b)

ne on korvattu niiden tiivistearvolla, joka on laskettu standardoitua kryptografista avaimellista tiivistefunktiota käyttäen, tietojen tiivistämiseen käytetty avain ei ole vaarantunut missään tietoturvaloukkauksessa ja tietojen tiivistämiseen käytetty avain on muodostettu siten, etteivät henkilöt, joilla ei ole lupa käyttää avainta, voi saada sitä selville käytettävissä olevan teknologian avulla.