26.6.2013   

HU

Az Európai Unió Hivatalos Lapja

L 173/2

(1)

A 2002/58/EK irányelv előírja azon nemzeti rendelkezések összehangolását, amelyekre azért van szükség, hogy biztosítsák az elektronikus hírközlési ágazatban a személyes adatok kezelése vonatkozásában az alapvető jogok és szabadságok védelmének egyenértékű szintjét – különös tekintettel a magánélethez és a bizalmas adatkezeléshez való jogra –, valamint biztosítsák az ilyen adatoknak, az elektronikus hírközlő berendezéseknek és az elektronikus hírközlési szolgáltatásoknak az Unión belüli szabad mozgását.

(2)

A 2002/58/EK irányelv 4. cikke értelmében a nyilvánosan elérhető elektronikus hírközlési szolgáltatást nyújtó szolgáltatók a személyes adatok megsértését kötelesek bejelenteni az illetékes nemzeti hatóságnak, és arról bizonyos esetekben az érintett előfizetőket és magánszemélyeket is kötelesek értesíteni. A személyes adatok megsértését a 2002/58/EK irányelv 2. cikkének i) pontja a biztonság olyan megsértéseként határozza meg, amely az Unióban nyilvánosan elérhető hírközlési szolgáltatások nyújtásával összefüggésben továbbított, tárolt vagy más módon feldolgozott személyes adatok véletlen vagy jogellenes megsemmisítését, elveszítését, módosítását, jogosulatlan felfedését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.

(3)

A 2002/58/EK irányelv 4. cikkének (2), (3) és (4) bekezdésében említett intézkedések következetes végrehajtásának biztosítása érdekében az említett irányelv 4. cikkének (5) bekezdése felhatalmazza a Bizottságot, hogy műszaki végrehajtási intézkedéseket fogadjon el az említett cikkben foglalt tájékoztatási és értesítési követelményekre alkalmazandó körülményekre, formátumra és eljárásokra vonatkozóan.

(4)

Az e tekintetben fennálló különféle nemzeti követelmények jogbizonytalansághoz, bonyolultabb és nehézkesebb eljárásokhoz, valamint a több tagállamban is tevékenykedő szolgáltatók számára jelentős adminisztratív költségekhez vezethetnek. A Bizottság ezért szükségesnek tartja a vonatkozó műszaki végrehajtási intézkedések elfogadását.

(5)

E rendelet hatálya a személyes adatok megsértésének bejelentésére korlátozódik, ezért nem határoz meg műszaki végrehajtási intézkedéseket a 2002/58/EK irányelv 4. cikkének (2) bekezdésében foglalt – az előfizetőknek a hálózati biztonság megsértésének konkrét kockázata esetén történő értesítésével kapcsolatos – rendelkezések vonatkozásában.

(6)

A 2002/58/EK irányelv 4. cikke (3) bekezdésének első albekezdéséből az következik, hogy a szolgáltató a személyes adatok megsértését minden esetben köteles az illetékes nemzeti hatóságnak bejelenteni. Ezért a szolgáltatónak nem lehet mérlegelési jogköre abban a tekintetben, hogy az illetékes nemzeti hatóságnál bejelentést tesz-e vagy sem. Ez azonban nem lehet akadálya annak, hogy az érintett illetékes nemzeti hatóság a személyes adatok megsértésének egyes eseteit belátása szerint kiemelten kezelje a hatályos joggal összhangban, valamint hogy megtegye a szükséges lépéseket annak érdekében, hogy a személyes adatok megsértésének túlzó vagy elégtelen jelentését elkerülje.

(7)

Indokolt rendelkezni olyan rendszerről, amely a személyes adatok megsértésének a nemzeti hatóságoknál történő bejelentésére szolgál, és – bizonyos feltételek teljesülése esetén – különböző szakaszokból áll, melyek mindegyike határidőhöz van kötve. Ez a rendszer azt hivatott biztosítani, hogy az illetékes nemzeti hatóság mihamarabb minél teljesebb tájékoztatást kapjon, anélkül azonban, hogy ez akadályozná a szolgáltatót abban, hogy a jogsértést kivizsgálja, és megtegye a szükséges intézkedéseket annak érdekében, hogy gátat vessen neki és a következményeit orvosolja.

(8)

Sem a személyes adatok megsértésének puszta gyanúja, sem annak puszta ténye, hogy váratlan eseményt észleltek, amiről a szolgáltató minden erőfeszítése ellenére sem áll rendelkezésre elegendő információ, nem elegendő ahhoz, hogy e rendelet alkalmazásában úgy lehessen tekinteni, hogy személyes adat megsértésére derült fény. Ebben az összefüggésben különös figyelmet kell fordítani az I. mellékletben említett információk rendelkezésre állására.

(9)

E rendelet alkalmazása kapcsán az érintett illetékes nemzeti hatóságoknak indokolt együttműködniük a személyes adatok megsértésének azon eseteiben, amelyeknek van határokon átnyúló vetülete.

(10)

Ez a rendelet nem részletezi tovább a személyes adatok sérelmeinek a szolgáltatók általi kötelező nyilvántartására vonatkozó előírásokat, mivel a 2002/58/EK irányelv 4. cikke kimerítően rendelkezik a szóban forgó nyilvántartás tartalmáról. A szolgáltatók mindazonáltal támaszkodhatnak e rendeletre a nyilvántartás formátumának meghatározásakor.

(11)

Valamennyi nemzeti hatóságnak biztonságos elektronikus eszközt kell a szolgáltatók rendelkezésére bocsátania ahhoz, hogy azok közös, szabványos formátumban (pl. XML) tehessenek bejelentést a személyes adatok megsértéséről, az I. mellékletben meghatározott adatokat minden érintett nyelven feltüntetve, s ezáltal lehetővé téve, hogy az Unióban valamennyi szolgáltató – függetlenül székhelyétől vagy attól, hogy a személyes adat megsértésére hol került sor – hasonló bejelentési eljárást alkalmazzon. Ezzel összefüggésben a Bizottságnak elő kell segítenie a biztonságos elektronikus eszközök alkalmazását azzal, hogy szükség esetén találkozókra hívja az illetékes nemzeti hatóságokat.

(12)

Annak mérlegelésekor, hogy a személyes adatok megsértése várhatóan hátrányosan érinti-e az előfizető vagy a magánszemély személyes adatainak vagy magánéletének védelmét, figyelembe kell venni a vonatkozó személyes adatok jellegét és tartalmát, különös tekintettel arra, ha az adat pénzügyi információt, például hitelkártya- és bankszámlaadatokat, a 95/46/EK irányelv 8. cikkének (1) bekezdésében szereplő különleges adatkategóriákat, valamint bizonyos, kifejezetten a távközlési vagy internetszolgáltatáshoz kapcsolódó adatokat (például elektronikus levelezési adatok, helymeghatározó adatok, internetes naplófájlok, internetes böngészési előzmények és tételes híváslisták) érint.

(13)

Kivételes körülmények között lehetővé kell tenni, hogy a szolgáltató elhalassza az előfizető vagy magánszemély értesítését, ha az előfizető vagy magánszemély értesítése veszélyeztetné a személyes adatok megsértésének megfelelő kivizsgálását. Ebben az összefüggésben a kivételes körülmények bűnügyi nyomozást vagy a személyes adatok megsértésének egyéb olyan eseteit is felölelhetik, amelyek ugyan nem tekinthetők súlyos bűncselekménynek, de amelyek esetében indokolt lehet az értesítés elhalasztása. Mindenesetre az illetékes nemzeti hatóság feladata annak mérlegelése, hogy az adott esetben és a körülmények ismeretében hozzájárul-e az értesítés elhalasztásához vagy ellenkezőleg, megköveteli az értesítést.

(14)

A szolgáltatóknak rendelkezniük kell előfizetőik elérhetőségével, tekintettel a köztük fennálló közvetlen szerződéses jogviszonyra, azonban a személyes adatok megsértése által hátrányosan érintett egyéb magánszemélyekről nincs szükségképpen ilyen információjuk. Ilyen esetben lehetővé kell tenni, hogy a szolgáltató az érintett magánszemélyeket először a főbb országos vagy regionális tömegtájékoztatási eszközök útján, például napilapokban közzétett hirdetményeken keresztül értesítse, amit a lehető leghamarabb az e rendeletben előírt egyedi értesítésnek kell követnie. A szolgáltatónak tehát nem kötelessége a tömegtájékoztatás útján történő értesítés, hanem felhatalmazást kap arra, hogy belátása szerint így járjon el addig is, amíg még folyamatban van az érintettek teljes körének azonosítása.

(15)

A személyes adatok megsértéséről szóló tájékoztatásnak csakis a személyes adatok megsértéséről kell szólnia, és nem kapcsolható össze más témákról szóló információkkal. A személyes adatok megsértésére vonatkozó tájékoztatásnak a szokásos számlába való belefoglalása például nem tekinthető a személyes adatok megsértésére vonatkozó tájékoztatás megfelelő módjának.

(16)

Ez a rendelet nem határoz meg olyan különleges technológiai védelmi intézkedéseket, amelyek eltérést tennének indokolttá az előfizetőknek vagy magánszemélyeknek a személyes adatok megsértéséről való értesítésétől, mivel a szóban forgó intézkedések a technológia fejlődése következtében időközben változhatnak. A Bizottság azonban közzéteheti a jelenlegi gyakorlatnak megfelelő, ilyen jellegű technológiai védelmi intézkedések tájékoztató jellegű jegyzékét.

(17)

A titkosítás vagy kivonatolás (hashing) alkalmazása önmagában nem tekintendő elégségesnek ahhoz, hogy a szolgáltatók általánosságban azt állíthassák, hogy eleget tettek a 95/46/EK irányelv 17. cikkében meghatározott, a biztonságra vonatkozó általános kötelezettségüknek. E tekintetben a szolgáltatóknak megfelelő szervezeti és műszaki intézkedéseket is végre kell hajtaniuk a személyes adatok megsértésének megelőzése, felderítése és megszüntetése érdekében. Indokolt, hogy a szolgáltatók az ellenőrzések végrehajtása után esetlegesen fennmaradó kockázatot figyelembe vegyék annak felméréséhez, hogy potenciálisan hol fordulhat elő személyes adatok megsértése.

(18)

Ha a szolgáltató a szolgáltatások egy részét – például a számlázási vagy az igazgatási teendőket – egy másik szolgáltató igénybevételével teljesíti, a személyes adatok megsértésével kapcsolatos értesítés kötelezettsége nem hárítható át a végfelhasználóval közvetlen szerződéses jogviszonyban nem álló másik szolgáltatóra. A másik szolgáltatónak azt a szolgáltatót indokolt tájékoztatnia, akivel közvetlen szerződéses jogviszonyban áll. Ez alkalmazandó az elektronikus hírközlési szolgáltatások nagykereskedelmi értékesítése kapcsán is, ahol általános, hogy a nagykereskedelmi szolgáltató nem áll közvetlen szerződéses kapcsolatban a végfelhasználóval.

(19)

A 95/46/EK irányelv meghatározza a személyes adatok védelmének az Európai Unióban irányadó általános keretét. A Bizottság javaslatot terjesztett elő a 95/46/EK irányelvnek egy új európai parlamenti és tanácsi rendelettel (az adatvédelmi rendelettel) való felváltására. A javaslat értelmében az adatvédelmi rendelet – a 2002/58/EK irányelv 4. cikkének (3) bekezdése szellemében – minden adatkezelőt arra kötelezne, hogy a személyes adatok megsértéséről értesítést küldjön. Ez a bizottsági rendelet teljes összhangban van a javasolt intézkedéssel.

(20)

Az adatvédelmi rendeletre vonatkozó javaslat korlátozott számban olyan technikai kiigazításokat is tartalmaz, amelyeket a 2002/58/EK irányelven azért kell elvégezni, mert figyelembe kell venni, hogy a 95/46/EK irányelv rendeletté alakul át. Az új rendeletnek a 2002/58/EK irányelvet érintő érdemi jogi következményeit a Bizottság felülvizsgálatnak fogja alávetni.

(21)

E rendelet alkalmazását a hatálybalépése után három évvel indokolt felülvizsgálni, csakúgy, mint a tartalmát az akkor hatályos – a javasolt adatvédelmi rendeletet is magában foglaló – jogi keretre való figyelemmel. E rendelet felülvizsgálatára lehetőség szerint a 2002/58/EK irányelvnek egy majdani felülvizsgálatával együtt kell sort keríteni.

(22)

E rendelet alkalmazása többek között az illetékes nemzeti hatóságok által a személyes adatok megsértésének hozzájuk bejelentett eseteit feldolgozó statisztikák alapulvételével is értékelhető. E statisztikák kiterjedhetnek például a személyes adatok megsértésének az illetékes nemzeti hatósághoz bejelentett eseteinek számára, azon személyes adatok megsértésének eseteinek számára, amelyekről az előfizetőket vagy a magánszemélyeket tájékoztatták, a személyes adatok megsértésének orvoslására fordított időre, és arra, hogy hoztak-e technikai védelmi intézkedéseket. E statisztikáknak lehetővé kell tenniük, hogy a Bizottság és a tagállamok egységes és összehasonlítható statisztikai adatokhoz jussanak, és nem fedhetik fel sem az értesítést tevő szolgáltató, sem az érintett előfizetők vagy magánszemélyek kilétét. A Bizottság ebből a célból rendszeres találkozókat is szervezhet az illetékes nemzeti hatóságokkal és más érdekelt felekkel.

(23)

Az e rendeletben előírt intézkedések összhangban vannak a hírközlési bizottság véleményével,

a)

az érintett személyes adatok jellege és tartalma, különösen akkor, ha azok pénzügyi információkat, a 95/46/EK irányelv 8. cikkének (1) bekezdésében szereplő különleges adatkategóriákat, illetőleg helymeghatározó adatokat, internetes naplófájlokat, internetes böngészési előzményeket, elektronikus levelezési adatokat és tételes híváslistákat érintenek;

b)

a személyes adatok megsértésének várható következményei az érintett előfizetőre vagy magánszemélyre nézve, különösen akkor, ha a személyes adatok megsértése személyazonosság-lopáshoz, személyazonossággal való visszaéléshez, testi sérelemhez, lelki gyötrelemhez, a becsület csorbításához vagy hírnévrontáshoz vezethet; valamint

c)

a személyes adatok megsértésének körülményei, különösen akkor, ha az adatok eltulajdonítására került sor, vagy a szolgáltató tud róla, hogy az adatok jogosulatlan harmadik fél tulajdonában vannak.

a)

szabványos algoritmussal biztonságosan titkosítva vannak, az adatok dekódolásához használt kulcsot nem veszélyeztette a biztonságnak semmilyen megsértése, és az adatok dekódolásához használt kulcs úgy került generálásra, hogy az elérhető technológiai eszközökkel azt senki olyan nem derítheti ki, aki a kulcshoz nem jogosult hozzáférni; vagy

b)

kriptográfiai kulcsos szabványos hash függvénnyel kiszámolt hash értékkel helyettesítésre kerültek, az adatok hasítására használt kulcsot nem veszélyeztette a biztonságnak semmilyen megsértése, és az adatok hasításához használt kulcs úgy került generálásra, hogy az elérhető technológiai eszközökkel azt senki olyan nem derítheti ki, aki a kulcshoz nem jogosult hozzáférni.