Rajoittamatta direktiivin 95/46/EY soveltamista 1 kohdassa tarkoitetuilla toimenpiteillä on vähintään

Kansallisilla sääntelyviranomaisilla on valtuudet tarkastaa yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajien toteuttamia toimenpiteitä ja antaa suosituksia parhaista käytännöistä, jotka koskevat turvallisuuden tasoa, joka näillä toimenpiteillä olisi saavutettava.”

Jos tapahtuu henkilötietojen tietoturvaloukkaus, yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajan on ilmoitettava tietoturvaloukkauksesta toimivaltaiselle kansalliselle viranomaiselle ilman aiheetonta viivästystä.

Kun henkilötietojen tietoturvaloukkauksella on todennäköisiä haittavaikutuksia tilaajan tai henkilön henkilötiedoille tai yksityisyydelle, palveluntarjoajan on ilmoitettava tietoturvaloukkauksesta myös tilaajalle tai henkilölle ilman aiheetonta viivästystä.

Ilmoitusta henkilötietojen tietoturvaloukkauksesta sen kohteeksi joutuneelle tilaajalle tai henkilölle ei vaadita, jos palveluntarjoaja on osoittanut toimivaltaista viranomaista tyydyttävällä tavalla, että se on toteuttanut asianmukaisia teknisiä suojatoimenpiteitä ja että kyseisiä toimenpiteitä sovellettiin tietoturvaloukkauksen kohteena olevaan tietoon. Tällaisilla teknisillä suojatoimenpiteillä tiedot on muutettava sellaiseen muotoon, että ne eivät ole ymmärrettävissä henkilöille, joilla ei ole lupaa päästä tietoihin.

Jos palveluntarjoaja ei ole vielä ilmoittanut henkilötietojen tietoturvaloukkauksesta sen kohteeksi joutuneille tilaajille ja henkilöille, toimivaltainen kansallinen viranomainen voi vaatia ilmoituksen tekemistä harkittuaan loukkauksen todennäköisiä haittavaikutuksia, sanotun kuitenkaan rajoittamatta palveluntarjoajan velvollisuutta ilmoittaa asianomaisille tilaajille ja henkilöille.

Tilaajalle tai henkilölle annettavassa ilmoituksessa on vähintään mainittava henkilötietojen tietoturvaloukkauksen luonne ja ilmoitettava yhteyspisteet, joista voi saada lisätietoja, sekä annettava suosituksia toimenpiteistä, joilla voidaan lieventää henkilötietojen tietoturvaloukkauksen mahdollisia haittavaikutuksia. Toimivaltaiselle kansalliselle viranomaiselle annettavassa ilmoituksessa on lisäksi mainittava henkilötietojen tietoturvaloukkauksen seuraukset sekä palveluntarjoajan ehdottamat tai toteuttamat toimenpiteet tietoturvaloukkauksen selvittämiseksi.

Jollei 5 kohdan mukaisesti hyväksytyistä teknisistä täytäntöönpanotoimenpiteistä muuta johdu, toimivaltaiset kansalliset viranomaiset voivat vahvistaa suuntaviivoja ja tarvittaessa antaa ohjeita, jotka koskevat olosuhteita, joissa palveluntarjoajia vaaditaan ilmoittamaan henkilötietojen tietoturvaloukkauksista, tällaisten ilmoitusten muotoa sekä ilmoitusten tekotapaa. Niiden on myös voitava tarkastaa, ovatko palveluntarjoajat toteuttaneet tämän kohdan mukaisen ilmoitusvelvollisuutensa, ja määrättävä asianmukaisia seuraamuksia, jos näin ei ole tehty.

Palveluntarjoajien on ylläpidettävä henkilötietojen tietoturvaloukkauksista luetteloa, jossa esitetään loukkaukseen liittyvät tosiseikat, loukkauksen vaikutukset ja suoritetut korjaustoimet ja jonka on oltava riittävä, jotta toimivaltaiset kansalliset viranomaiset saavat riittävät tiedot sen varmistamiseen, että 3 kohdan säännöksiä noudatetaan. Luettelo saa sisältää ainoastaan tätä tarkoitusta varten välttämättömät tiedot.

Edellä 2, 3 ja 4 kohdassa tarkoitettujen toimenpiteiden yhdenmukaisen toteuttamisen varmistamiseksi komissio voi, kuultuaan ensin Euroopan verkko- ja tietoturvavirastoa (ENISA), direktiivin 95/46/EY 29 artiklalla perustettua tietosuojatyöryhmää ja Euroopan tietosuojavaltuutettua, hyväksyä teknisiä täytäntöönpanotoimenpiteitä, jotka koskevat tässä artiklassa tarkoitettuihin tiedotus- ja ilmoitusvaatimuksiin sovellettavia olosuhteita, muotoa ja menettelyjä. Tällaisia toimenpiteitä hyväksyessään komissio kuulee kaikkia asianosaisia sidosryhmiä erityisesti saadakseen tietoa parhaista saatavilla olevista teknisistä ja taloudellisista keinoista, joilla voidaan parantaa tämän artiklan täytäntöönpanoa.

Nämä toimenpiteet, joiden tarkoituksena on muuttaa tämän direktiivin muita kuin keskeisiä osia täydentämällä sitä, hyväksytään 14 a artiklan 2 kohdassa tarkoitettua valvonnan käsittävää sääntelymenettelyä noudattaen.”