26.6.2013   

LV

Eiropas Savienības Oficiālais Vēstnesis

L 173/2

(1)

Direktīva 2002/58/EK paredz dalībvalstu to noteikumu saskaņošanu, ar kuriem jānodrošina pamattiesību un pamatbrīvību līdzvērtīgs aizsardzības līmenis, un jo īpaši tiesības uz privāto dzīvi un konfidencialitāti saistībā ar personas datu apstrādi elektronisko komunikāciju nozarē, kā arī jānodrošina šo datu un elektronisko komunikāciju iekārtu un pakalpojumu brīva aprite Savienībā.

(2)

Saskaņā ar Direktīvas 2002/58/EK 4. pantu publiski pieejamu elektronisko komunikāciju pakalpojumu sniedzējiem par personas datu aizsardzības pārkāpumu ir jāpaziņo kompetentajām valsts iestādēm un noteiktos gadījumos arī abonentiem un individuālajiem lietotājiem. Personas datu aizsardzības pārkāpums ir definēts Direktīvas 2002/58/EK 2. panta i) punktā kā drošības pārkāpums, kura rezultātā notiek nejauša vai nelikumīga nosūtīto, uzglabāto vai citādi apstrādāto personas datu iznīcināšana vai nejauša zaudēšana, pārveidošana, neatļauta vai nelikumīga izpaušana vai piekļuve, un jebkurš cits nelikumīgs apstrādes veids, kas saistīts ar noteikumu par publiski pieejamiem komunikāciju pakalpojumiem Savienībā.

(3)

Lai nodrošinātu Direktīvas 2002/58/EK 4. panta 2., 3. un 4. punktā minēto pasākumu īstenošanas konsekvenci, ar minētās direktīvas 4. panta 5. punktu Komisija ir pilnvarota pieņemt tehniskus īstenošanas pasākumus attiecībā uz attiecīgajā pantā minēto informēšanas un paziņošanas prasību piemērošanas apstākļiem, veidu un kārtību.

(4)

Šajā ziņā dažādas valstu prasības var novest pie tiesiskas nenoteiktības, sarežģītākām un apgrūtinošām procedūrām un ievērojamām administratīvām izmaksām tiem pakalpojumu sniedzējiem, kas darbojas pārrobežu režīmā. Tāpēc Komisija uzskata, ka ir nepieciešams pieņemt šādus tehniskus īstenošanas pasākumus.

(5)

Šī regula attiecas tikai uz paziņošanu par personas datu aizsardzības pārkāpumiem, tātad tajā nav izklāstīti tehniski īstenošanas pasākumi saistībā ar Direktīvas 2002/58/EK 4. panta 2. punktu par abonentu informēšanu tīkla drošības pārkāpuma īpaša riska gadījumā.

(6)

No Direktīvas 2002/58/EK 4. panta 3. punkta pirmās daļas izriet, ka pakalpojumu sniedzējiem būtu jāpaziņo kompetentajai valsts iestādei par visiem personas datu aizsardzības pārkāpumiem. Tas, vai paziņot kompetentajai valsts iestādei par personas datu aizsardzības pārkāpumu, nebūtu atstājams pakalpojumu sniedzēja ziņā. Tomēr minētais noteikums neliedz attiecīgajai kompetentajai valsts iestādei pēc saviem ieskatiem un saskaņā ar spēkā esošajiem tiesību aktiem noteikt, kuru konkrētu pārkāpumu izmeklēšana būtu uzskatāma par prioritāti, un veikt nepieciešamos pasākumus, lai ziņošana par personas datu aizsardzības pārkāpumiem nebūtu nepietiekama vai pārmērīga.

(7)

Būtu lietderīgi izstrādāt sistēmu, saskaņā ar kuru personas datu aizsardzības pārkāpumus paziņo kompetentajai valsts iestādei un kurai pie zināmiem nosacījumiem ir atšķirīgi līmeņi, uz katru no kuriem attiecas noteikti termiņi. Šādas sistēmas uzdevums būtu nodrošināt, ka kompetentā iestāde tiek informēta pēc iespējas agrāk un pilnīgāk, tomēr nevajadzīgi nekavējot pakalpojumu sniedzēja centienus izmeklēt pārkāpumu un veikt vajadzīgos pasākumus, lai to apturētu un likvidētu pārkāpuma sekas.

(8)

Vienkāršas aizdomas, ka ir noticis personas datu aizsardzības pārkāpums, vai vienkāršs konstatējums, ka ir noticis drošības incidents, bet par to nav pieejams pietiekami daudz informācijas par spīti pakalpojumu sniedzēja centieniem šajā sakarībā, nav pietiekams iemesls, lai uzskatītu, ka ir noticis personas datu aizsardzības pārkāpums šīs regulas izpratnē. Īpaša vērība saistībā ar minēto būtu jāpievērš tam, vai ir pieejama I pielikumā minētā informācija.

(9)

Piemērojot šo regulu, attiecīgajām kompetentajām valsts iestādēm būtu jāsadarbojas personas datu aizsardzības pārkāpumu lietās, kam ir pārrobežu raksturs.

(10)

Šī regula neparedz papildu specifikācijas attiecībā uz personas datu aizsardzības pārkāpumu reģistru, kas jāuztur pakalpojumu sniedzējam, jo tā saturs izsmeļoši precizēts Direktīvas 2002/58/EK 4. pantā. Tomēr pakalpojumu sniedzēji var atsaukties uz šo regulu, lai noteiktu reģistra formātu.

(11)

Visām kompetentajām valsts iestādēm būtu pakalpojumu lietotājiem jādara pieejami droši elektroniski līdzekļi, kā par personas datu aizsardzības pārkāpumiem sniegt paziņojumu vienotā formātā, kura pamatā ir noteikts standarts, piemēram, XML, un kurš satur I pielikumā norādīto informāciju attiecīgajās valodās, lai visi pakalpojumu sniedzēji Savienībā varētu ievērot līdzīgu informēšanas kārtību neatkarīgi no atrašanās vietas vai personas datu aizsardzības pārkāpuma norises vietas. Komisijai šajā sakarībā būtu jāveicina drošu elektronisko līdzekļu ieviešana, vajadzības gadījumā sasaucot sanāksmes ar kompetento valsts iestāžu piedalīšanos.

(12)

Izvērtējot, vai personas datu aizsardzības pārkāpums varētu negatīvi ietekmēt abonenta vai individuāla lietotāja personas datus vai privātumu, jo īpaši jāņem vērā attiecīgo personas datu būtība un saturs, proti, vai tie ir ar finanšu informāciju saistīti dati, piemēram, kredītkaršu vai bankas konta dati, Direktīvas 95/46/EK 8. panta 1. punktā minētās īpašās datu kategorijas un noteikti dati, kas specifiski saistīti ar telefonijas vai interneta pakalpojumu sniegšanu, t. i., e-pasta dati, atrašanās vietas dati, interneta žurnālfaili, tīmekļa pārlūkošanas vēsture un detalizēta zvanu informācija.

(13)

Ārkārtas apstākļos vajadzētu būt pieļaujamam, ka pakalpojumu sniedzējs abonentu vai individuālo lietotāju var informēt ar aizkavēšanos, ja abonenta vai individuālā lietotāja informēšana var apdraudēt personas datu aizsardzības pārkāpuma pienācīgu izmeklēšanu. Šajā kontekstā ārkārtas apstākļi var būt kriminālizmeklēšana, kā arī citi personas datu aizsardzības pārkāpumi, kas gan nav uzskatāmi par nopietnu noziegumu, bet kuru dēļ varētu būt lietderīgi paziņošanu atlikt. Jebkurā gadījumā kompetentajai valsts iestādei katrā gadījumā atsevišķi un ievērojot apstākļus būtu jāizvērtē, vai piekrist atlikšanai vai noteikt, ka par pārkāpumu ir jāpaziņo.

(14)

Ņemot vērā tiešās līgumattiecības, pakalpojumu sniedzēju rīcībā vajadzētu būt abonentu kontaktinformācijai, taču šāda informācija var arī nebūt pieejama par citiem individuāliem lietotājiem, kurus negatīvi ietekmējis personas datu aizsardzības pārkāpums. Tādā gadījumā vajadzētu atļaut pakalpojumu sniedzējam šos individuālos lietotājus informēt, sākumā publicējot sludinājumus lielākajos valsts un reģionālajos plašsaziņas līdzekļos, piemēram, laikrakstos, un pēc tam pēc iespējas drīzāk tiem paziņot individuāli, kā paredzēts šajā regulā. Tādējādi informēt individuālos lietotājus ar plašsaziņas līdzekļu starpniecību nav pakalpojumu sniedzēja obligāts pienākums, bet, kamēr norit pārkāpuma skarto individuālo lietotāju identificēšana, būtu ieteicams rīkoties šādā veidā, ja pakalpojumu sniedzējs tā vēlas.

(15)

Informācijai par pārkāpumu vajadzētu attiekties tikai uz pārkāpumu, nevis uz kādu citu tematu. Piemēram, ja informāciju par personas datu aizsardzības pārkāpumu iekļauj kārtējā rēķinā, tas nebūtu uzskatāms par pienācīgu paņēmienu, kā paziņot par personas datu aizsardzības pārkāpumu.

(16)

Šajā regulā nav noteikti specifiski tehniski aizsardzības pasākumi, ar kuriem varētu pamatot atkāpes no pienākuma paziņot abonentiem vai individuāliem lietotājiem par personas datu aizsardzības pārkāpumiem, jo tehnikas attīstības gaitā šādi pasākumi var mainīties. Tomēr Komisijai vajadzētu būt iespējai publicēt šādu specifisku tehnisku aizsardzības pasākumu orientējošu sarakstu saskaņā ar pašreizējo praksi.

(17)

Šifrēšanas vai jaukšanas izmantošanu pašu par sevi nevarētu uzskatīt par pietiekamu, lai pakalpojumu sniedzēji varētu apgalvot, ka ir izpildījuši Direktīvas 95/46/EK 17. pantā noteikto vispārējo drošības pienākumu. Šajā sakarībā pakalpojumu sniedzējiem vajadzētu īstenot arī pienācīgus organizatoriskos un tehniskos pasākumus, lai nepieļautu, konstatētu un bloķētu personas datu aizsardzības pārkāpumus. Pakalpojumu sniedzējiem vajadzētu ņemt vērā visus neapzinātos apdraudējumus, kas var pastāvēt arī pēc tam, kad īstenoti kontroles pasākumi, lai izprastu, kur varētu notikt iespējamie personas datu aizsardzības pārkāpumi.

(18)

Ja pakalpojumu sniedzējs daļu no pakalpojuma, piemēram, rēķinu izrakstīšanu vai pārvaldības funkcijas, nodrošina ar cita pakalpojumu sniedzēja starpniecību, šim citam pakalpojumu sniedzējam, kam nav tiešu līgumattiecību ar galalietotāju, nav pienākuma sniegt paziņojumus personas datu aizsardzības pārkāpumu gadījumā. Tā vietā tam ir jābrīdina un jāinformē pakalpojumu sniedzējs, ar kuru tam ir tiešas līgumattiecības. Šis noteikums ir spēkā arī elektronisko komunikāciju pakalpojumu vairumtirdzniecības piegādes kontekstā, kad vairumtirdzniecības pakalpojumu sniedzējam parasti nav tiešu līgumattiecību ar galalietotāju.

(19)

Direktīvā 95/46/EK noteikta vispārēja personas datu aizsardzības kārtība Eiropas Savienībā. Komisija ir iesniegusi priekšlikumu Eiropas Parlamenta un Padomes regulai, ar kuru aizstātu Direktīvu 95/46/EK (Datu aizsardzības regula). Ar ierosināto datu aizsardzības regulu tiktu noteikts, ka visiem datu kontrolētājiem ir pienākums paziņot par personas datu aizsardzības pārkāpumiem, pamatojoties uz Direktīvas 2002/58/EK 4. panta 3. punktu. Līdzšinējā Komisijas regula ir pilnībā saderīga ar ierosināto pasākumu.

(20)

Ar ierosināto Datu aizsardzības regulu tiks veikti arī daži tehniski pielāgojumi Direktīvā 2002/58/EK, ņemot vērā Direktīvas 95/46/EK pārveidošanu par regulu. Komisija veiks pārskatīšanu par to, kādas būtiskas juridiskās sekas uz Direktīvu 2002/58/EK atstās jaunā regula.

(21)

Šīs regulas piemērošana būtu jāpārskata trīs gadus pēc tās stāšanās spēkā, un tās saturs būtu jāpārskata, ņemot vērā tajā laikā spēkā esošo tiesisko regulējumu, tostarp ierosināto Datu aizsardzības regulu. Šīs regulas pārskatīšana, ja iespējams, būtu jāveic saistībā ar jebkādu Direktīvas 2002/58/EK pārskatīšanu nākotnē.

(22)

Šīs regulas piemērošanu var novērtēt, inter alia balstoties uz statistiku, ko savākušas kompetentās valsts iestādes par tām paziņotajiem personas datu aizsardzības pārkāpumiem. Šāda statistika var būt, piemēram, informācija par kompetentajai valsts iestādei paziņoto personas datu aizsardzības pārkāpumu skaitu, informācija par abonentiem vai individuāliem lietotājiem paziņoto personas datu aizsardzības pārkāpumu skaitu, personas datu aizsardzības pārkāpuma atrisināšanai patērētais laiks un tas, vai tika izmantoti tehniski aizsardzības pasākumi. Šādai statistikai būtu jānodrošina Komisija un dalībvalstis ar konsekventiem un salīdzināmiem statistikas datiem, un tai nevajadzētu atklāt ne ziņotāja pakalpojumu sniedzēja, ne iesaistīto abonentu vai individuālo lietotāju identitāti. Komisija šajā nolūkā var rīkot regulāras sanāksmes ar kompetento valsts iestāžu un citu ieinteresēto personu piedalīšanos.

(23)

Šajā regulā paredzētie pasākumi ir saskaņā ar Komunikāciju komitejas atzinumu,

a)

attiecīgo personas datu būtība un saturs, proti, vai tie ir ar finanšu informāciju saistīti dati, Direktīvas 95/46/E 8. panta 1. punktā minētās īpašās datu kategorijas, kā arī atrašanās vietas dati, interneta žurnālfaili, tīmekļa pārlūkošanas vēsture, e-pasta dati un detalizēta zvanu informācija;

b)

personas datu aizsardzības pārkāpuma iespējamās sekas attiecīgajam abonentam vai individuālajam lietotājam, jo īpaši – ja pārkāpums var būt par iemeslu identitātes zādzībai vai krāpšanai, fiziskam kaitējumam, psiholoģiskam diskomfortam, pazemojumam vai reputācijas graušanai; kā arī

c)

personas datu aizsardzības pārkāpuma apstākļi, konkrētāk, kur dati nozagti vai kad pakalpojumu sniedzējam kļuvis zināms, ka dati ir nepilnvarotas trešās personas rīcībā.

a)

tie ir droši šifrēti ar standartizētu algoritmu, datu atšifrēšanas atslēgu nav skāris nekāds drošības pārkāpums un datu atšifrēšanas atslēga ir ģenerēta tā, ka to ar pieejamiem tehniskajiem līdzekļiem nevar noskaidrot neviens, kam nav pilnvaru piekļūt atslēgai; vai

b)

dati ir aizstāti ar to jaucējvērtību (hešvērtību), kas aprēķināta ar standartizētu kriptogrāfisku jaucējfunkciju ar atslēgu, datu jaukšanas atslēgu nav skāris nekāds drošības pārkāpums un datu jaukšanas atslēga ir ģenerēta tā, ka to ar pieejamiem tehniskajiem līdzekļiem nevar noskaidrot neviens, kam nav pilnvaru piekļūt atslēgai.