1.

2.

3.

4.

5.

6.

7.

8.

77.

—

tenir compte du fait que la première étape pour atténuer les risques liés à la protection des données et de la vie privée que présentent les nouvelles technologies visant à améliorer la cybersécurité, telles que l’IA, consiste à appliquer les exigences de protection des données dès la conception et par défaut visées à l’article 25 du RGPD, ce qui contribuera à intégrer les garanties appropriées, telles que la pseudonymisation, le chiffrement, l’exactitude des données ou la minimisation des données, dans la conception et l’utilisation de ces technologies et systèmes;

—

tenir compte de l’importance d’intégrer la dimension de la protection de la vie privée et des données dans les politiques et normes liées à la cybersécurité et dans la gestion traditionnelle de la cybersécurité, afin de garantir une approche holistique et de permettre aux organisations publiques et privées de bénéficier de synergies dans la gestion de la cybersécurité et dans la protection des informations qu’elles traitent, sans multiplier inutilement les efforts;

—

envisager et prévoir l’utilisation de ressources par les institutions européennes pour renforcer les capacités de ces dernières en matière de cybersécurité, et ce d’une manière qui respecte pleinement les valeurs de l’UE;

—

prendre en compte les dimensions de la cybersécurité liées à la protection de la vie privée et des données en investissant dans des politiques, des pratiques et des instruments permettant d’intégrer la dimension de protection de la vie privée et des données dans la gestion traditionnelle de la cybersécurité et de mettre en place des garanties efficaces de protection des données dans le traitement de données à caractère personnel effectué dans le cadre d’activités de cybersécurité.

—

tenir compte des besoins et du rôle des institutions européennes afin que celles-ci soient intégrées dans le cadre global de cybersécurité à l’échelle de l’UE, et qu’elles bénéficient du même niveau élevé de protection que les entités des États membres; et

—

inclure explicitement les institutions, organes et organismes de l’Union dans le champ d’application de la proposition.

—

préciser, à l’article 2 de la proposition, que la législation de l’Union en matière de protection des données à caractère personnel, en particulier le RGPD et la directive «vie privée et communications électroniques», s’applique à tout traitement de données à caractère personnel entrant dans le champ d’application de la proposition (et pas seulement dans des contextes spécifiques); et

—

préciser également dans un considérant pertinent que la proposition ne vise pas à affecter l’application de la législation de l’Union en vigueur régissant le traitement des données à caractère personnel, y compris les missions et les pouvoirs des autorités de contrôle compétentes pour contrôler le respect de ces instruments.

—

clarifier l’utilisation différente des termes «cybersécurité» et «sécurité des réseaux et des systèmes d’information», et utiliser le terme «cybersécurité» en général et le terme «sécurité des réseaux et des systèmes d’information» uniquement lorsque le contexte le permet (par exemple, dans un contexte purement technique, sans tenir compte des incidences sur les utilisateurs des systèmes et d’autres personnes).

—

définir clairement ce qui constitue des «informations pertinentes» afin d’identifier et de contacter les titulaires des noms de domaines et les points de contact qui gèrent les noms de domaines dans les registres des noms de domaines de premier niveau;

—

préciser de manière plus détaillée quelles catégories de données d’enregistrement de noms de domaines (qui ne constituent pas des données à caractère personnel) devraient faire l’objet d’une publication;

—

préciser davantage quelles entités (publiques ou privées) pourraient constituer des «demandeurs d’accès légitimes»;

—

préciser si les données à caractère personnel détenues par les registres des noms de domaines de premier niveau et les entités fournissant des services d’enregistrement de noms de domaines pour le registre de noms de domaines de premier niveau devraient également être accessibles aux entités situées en dehors de l’EEE et, si tel est le cas, définir clairement les conditions, les limitations et les procédures applicables à un tel accès, en tenant compte également, le cas échéant, des exigences de l’article 49, paragraphe 2, du RGPD; et

—

introduire des précisions supplémentaires sur ce qui constitue une demande «légitime et dûment justifiée», grâce à laquelle l’accès est accordé, et sous quelles conditions.

—

délimiter clairement les types d’analyse proactive que les CSIRT peuvent être invités à mener, et identifier les principales catégories de données à caractère personnel concernées dans le texte de la proposition.

—

prendre en compte les caractéristiques garantissant la mise en œuvre effective du principe de protection des données dès la conception et par défaut, lors de l’évaluation des chaînes d’approvisionnement en technologies et des systèmes traitant des données à caractère personnel;

—

prendre en compte les exigences spécifiques du pays d’origine qui pourraient représenter un obstacle au respect de la législation européenne en matière de protection de la vie privée et des données, lors de l’évaluation des risques liés à la chaîne d’approvisionnement de services, systèmes ou produits TIC;

—

inclure dans le texte juridique l’obligation de consulter le comité lors de la définition des caractéristiques susmentionnées et, le cas échéant, lors de l’évaluation coordonnée sectorielle des risques mentionnée au considérant 46; et

—

recommander de préciser dans un considérant que les produits de cybersécurité libres (logiciels et matériel), y compris les systèmes de cryptage à source ouverte, pourraient offrir la transparence nécessaire pour atténuer les risques spécifiques aux chaînes d’approvisionnement.

—

préciser, au considérant 54, que rien dans la proposition ne doit être interprété comme un avis favorable à l’affaiblissement du chiffrement de bout en bout par le biais de «portes dérobées» ou de solutions similaires.

—

inclure, dans les considérants et dans la partie consacrée au fond de la proposition, le concept selon lequel l’intégration de la dimension de la protection de la vie privée et des données dans la gestion traditionnelle des risques de cybersécurité garantira une approche holistique et permettra aux organisations publiques et privées de bénéficier de synergies dans la gestion de la cybersécurité et la protection des informations qu’elles traitent, sans multiplier inutilement les efforts;

—

ajouter dans le texte juridique l’obligation pour l’ENISA de consulter le comité lors de l’élaboration des avis pertinents.

—

remplacer le texte «dans un délai raisonnable» de l’article 32, paragraphe 1, par «dans les meilleurs délais».

—

inclure dans le texte juridique la participation du comité au groupe de coopération, en tenant compte du lien entre la mission de ce groupe et le cadre de la protection des données.

—

préciser dans le texte juridique que la proposition n’affecte pas les compétences des autorités de contrôle de la protection des données en vertu du RGPD;

—

fournir une base juridique complète pour la coopération et l’échange d’informations entre les autorités compétentes et les autorités de contrôle, chacune agissant dans ses domaines de compétence respectifs; et

—

préciser que les autorités compétentes en vertu de la proposition devraient être en mesure de fournir aux autorités de contrôle compétentes en vertu du règlement (UE) 2016/679, sur demande ou de leur propre initiative, toute information obtenue dans le cadre d’audits et d’enquêtes ayant trait au traitement de données à caractère personnel et d’inclure une base juridique explicite à cet effet.