—

Zvláště důležitá je jasná definice pojmů „kybernetická odolnost“, „kyberkriminalita“ a „kybernetická obrana“, protože tyto termíny se používají pro zdůvodnění určitých zvláštních opatření, která by mohla způsobit zásah do základních práv včetně práva na soukromí a ochranu údajů. Avšak definice pojmu „kyberkriminalita“ uvedená ve strategii a v Úmluvě o kyberkriminalitě je stále velmi široká. Bylo by vhodné, aby definice pojmu „kyberkriminalita“ byla jasná a restriktivní, a nikoli příliš široká.

—

Právní předpisy na ochranu údajů by se měly vztahovat na všechna opatření strategie, která se týkají zpracování osobních údajů. Přestože právní předpisy na ochranu údajů nejsou v oddílech týkajících se kyberkriminality a kybernetické obrany výslovně uvedeny, evropský inspektor ochrany údajů zdůrazňuje, že mnohé z činností plánovaných v těchto oblastech by zahrnovaly zpracovávání osobních údajů, a spadaly by proto do oblasti působnosti platných právních předpisů na ochranu údajů. EIOÚ také poznamenává, že řada opatření spočívá ve vytvoření koordinačních mechanismů, což bude vyžadovat uplatnění odpovídajících záruk na ochranu údajů, pokud jde o postupy pro výměnu osobních údajů.

—

Orgány pro ochranu údajů hrají v kontextu kybernetické bezpečnosti důležitou roli. Jako ochránci práv jednotlivců na ochranu soukromí a osobních údajů jsou orgány pro ochranu údajů aktivně zapojeny do ochrany jejich osobních údajů jak v režimu offline, tak i online. Měly by proto v rámci své pravomoci orgánu dohledu být odpovídajícím způsobem zapojeny do provádění opatření, která se týkají zpracování osobních údajů (např. zahájení pilotního projektu EU týkajícího se boje proti botnetům a malwaru). Ostatní subjekty v oblasti kybernetické bezpečnosti by s nimi měly rovněž spolupracovat při plnění svých úkolů, například při výměně osvědčených postupů a zvyšování povědomí. Evropský inspektor ochrany údajů a vnitrostátní orgány pro ochranu údajů by se měli odpovídajícím způsobem zúčastnit konference na vysoké úrovni, která bude svolána v roce 2014 za účelem posouzení pokroku při provádění strategie.

—

Zajistit v čl. 3 odst. 8 větší jasnost a právní jistotu definice hospodářských subjektů, které spadají do oblasti působnosti návrhu, a sestavit vyčerpávající seznam, který by zahrnoval všechny příslušné zúčastněné strany s cílem zajistit plně harmonizovaný a integrovaný přístup k bezpečnosti v rámci EU.

—

Ujasnit v čl. 1 odst. 2 písm. c), že se navrhovaná směrnice vztahuje na instituce a orgány EU, a zahrnout do čl. 1 odst. 5 návrhu odkaz na nařízení (ES) č. 45/2001.

—

Uznat horizontální úlohu tohoto návrhu, pokud jde o bezpečnost, tím, že se v článku 1 výslovně stanoví, že by se měl použít, aniž by byla dotčena stávající nebo budoucí podrobnější pravidla v konkrétních oblastech (jako jsou např. pravidla, která se mají vztahovat na poskytovatele důvěryhodných služeb v navrhovaném nařízení o elektronické identifikaci).

—

Doplnit bod odůvodnění vysvětlující nutnost zakotvit zásady ochrany údajů již od návrhu a standardního nastavení ochrany údajů již v počáteční fázi návrhu mechanismů stanovených v navrhované směrnici a v průběhu celého životního cyklu všech dotčených procesů, postupů, organizací, technik a infrastruktur a zohlednit přitom navrhované nařízení o ochraně údajů.

—

Objasnit definici „sítě a informačních systémů“ v čl. 3 odst. 1 a definici „incidentu“ v čl. 3 odst. 4 a nahradit v čl. 5 odst. 2 povinnost vypracovat „plán posouzení rizik“ povinností „zřídit a udržovat rámec pro řízení rizik“.

—

Upřesnit v čl. 1 odst. 6, že zpracování osobních údajů podle článku čl. 7 písm. e) směrnice 95/46/ES by bylo odůvodněné, pouze pokud by bylo nezbytné pro dosažení cílů veřejného zájmu, které sleduje navrhovaná směrnice. Je však třeba zajistit řádné dodržování zásady nezbytnosti a proporcionality tak, aby byly zpracovávány pouze údaje nezbytně nutné pro účely, kterých má být dosaženo.

—

Stanovit v článku 14 okolnosti, za jakých je oznámení vyžadováno, jakož i obsah a formu oznámení včetně druhu osobních údajů, které by měly být oznámeny, a zda a do jaké míry budou oznámení a související podklady obsahovat informace o osobních údajích, které se týkají konkrétního bezpečnostního incidentu (např. IP adresy). Je třeba zohlednit skutečnost, že příslušným orgánům pro bezpečnost sítí a informací by mělo být umožněno shromažďovat a zpracovávat osobní údaje v rámci bezpečnostního incidentu, pouze pokud je to nezbytně nutné. V návrhu by měla být rovněž uvedena vhodná ochranná opatření pro zajištění odpovídající ochrany osobních údajů zpracovávaných příslušnými orgány pro bezpečnost sítí a informací.

—

Ujasnit v článku 14, že oznamování incidentů podle čl. 14 odst. 2 by se mělo použít, aniž jsou dotčeny oznamovací povinnosti týkající se porušení ochrany osobních údajů podle platných právních předpisů na ochranu údajů. V návrhu by měly být uvedeny hlavní aspekty postupu pro spolupráci příslušných orgánů pro bezpečnost sítí a informací s orgány pro ochranu údajů v případech, kdy bezpečnostní incident zahrnuje porušení ochrany osobních údajů.

—

Upravit čl. 14 odst. 8 tak, aby se vynětí mikropodniků z působnosti oznámení nevztahovalo na subjekty, které hrají klíčovou roli v poskytování služeb informační společnosti, například s ohledem na povahu informací, které zpracovávají (např. biometrické údaje nebo citlivé údaje).

—

Přidat do návrhu ustanovení upravující další výměnu osobních údajů mezi příslušnými orgány pro bezpečnost sítí a informací a jinými příjemci s cílem zajistit, že i) osobní údaje jsou zpřístupněny pouze v případě, že je jejich zpracování pro plnění úkolů příjemce nezbytné, a to v souladu s příslušným právním základem a ii) zpřístupněné informace jsou omezeny na to, co je pro plnění jejich úkolů nezbytné. Pozornost by měla být věnována tomu, jak subjekty, které poskytují údaje do sítě pro sdílení informací, zajišťují soulad se zásadou omezení účelu.

—

Určit časový limit pro uchovávání osobních údajů pro účely stanovené v navrhované směrnici, zejména pokud jde o uchovávání údajů příslušnými orgány pro bezpečnost sítí a informací a také v rámci bezpečné infrastruktury sítě pro spolupráci.

—

Připomenout příslušným orgánům pro bezpečnost sítí a informací jejich povinnost poskytovat subjektům údajů příslušné informace o zpracování osobních údajů, například zveřejněním zásad ochrany osobních údajů na jejich internetových stránkách.

—

Přidat ustanovení týkající se úrovně bezpečnosti, kterou musí příslušné orgány pro bezpečnost sítí a informací splnit, pokud jde o shromažďované, zpracovávané a vyměňované informace. V souvislosti s ochranou osobních údajů ze strany orgánů pro bezpečnost sítí a informací by měl být výslovně uveden odkaz na bezpečnostní požadavky stanovené v článku 17 směrnice 95/46/ES.

—

Vyjasnit v čl. 9 odst. 2, že kritéria pro účast členských států v bezpečném systému pro sdílení informací by měla zajistit, že všichni účastníci systému pro sdílení informací na všech stupních zpracování údajů zaručí vysokou úroveň bezpečnosti a odolnosti. Tato kritéria by měla zahrnovat odpovídající opatření týkající se důvěrnosti a bezpečnosti v souladu s články 16 a 17 směrnice 95/46/ES a články 21 a 22 nařízení (ES) č. 45/2001. Komise by těmito kritérii měla být výslovně vázána vzhledem k tomu, že je do bezpečného systému pro sdílení informací zapojena jako správce.

—

Doplnit do článku 9 popis rolí a odpovědností Komise a členských států, pokud jde o nastavení, provoz a údržbu bezpečného systému pro sdílení informací, a stanovit, že návrh systému by měl být proveden v souladu se zásadou ochrany údajů již od návrhu, zásadou standardního nastavení ochrany údajů a zásadou bezpečnosti již od návrhu.

—

Doplnit do článku 13, že veškeré předávání osobních údajů příjemcům se sídlem v zemích mimo EU by se mělo uskutečňovat v souladu s články 25 a 26 směrnice 95/46/ES a článkem 9 nařízení (ES) č. 45/2001.