26.6.2013   

PT

Jornal Oficial da União Europeia

L 173/2

(1)

A Diretiva 2002/58/CE prevê a harmonização das disposições nacionais necessárias para garantir um nível equivalente de proteção dos direitos e liberdades fundamentais, nomeadamente o direito à privacidade e à confidencialidade, no que respeita ao tratamento de dados pessoais no setor das comunicações eletrónicas, e para garantir a livre circulação desses dados e dos equipamentos e serviços de comunicações eletrónicas na União.

(2)

Nos termos do artigo 4.o da Diretiva 2002/58/CE, os operadores de serviços de comunicações eletrónicas publicamente disponíveis são obrigados a comunicar às autoridades nacionais competentes e, em determinados casos, também aos assinantes e às outras pessoas em causa, a violação de dados pessoais. A violação de dados pessoais é definida no artigo 2.o, alínea i), da Diretiva 2002/58/CE como uma violação da segurança que provoca, de modo acidental ou ilegal, a destruição, a perda, a alteração, a divulgação ou acesso não autorizados a dados pessoais transmitidos, armazenados ou de outro modo tratados no contexto da prestação de serviços de comunicações eletrónicas publicamente disponíveis na União.

(3)

Para assegurar coerência na aplicação das medidas a que se refere o artigo 4.o, n.os 2, 3 e 4, da Diretiva 2002/58/CE, o n.o 5 do mesmo artigo confere à Comissão o poder de adotar medidas técnicas de execução respeitantes às circunstâncias, ao formato e aos procedimentos aplicáveis aos requisitos de informação e notificação a que se refere aquele artigo.

(4)

A existência de requisitos nacionais diferentes nesta matéria pode originar insegurança jurídica, procedimentos mais complexos e morosos e custos administrativos significativos para os operadores com atividades transfronteiras. Por conseguinte, a Comissão considera ser necessário adotar tais medidas técnicas de execução.

(5)

O presente regulamento abrange apenas a notificação dos casos de violação de dados pessoais, pelo que não estabelece medidas técnicas de execução do artigo 4.o, n.o 2, da Diretiva 2002/58/CE, respeitantes à informação a transmitir aos assinantes no caso de um determinado risco de violação da segurança da rede.

(6)

O artigo 4.o, n.o 3, primeiro parágrafo, da Diretiva 2002/58/CE determina que os operadores devem comunicar à autoridade nacional competente todos os casos de violação de dados pessoais. Por conseguinte, não deve ser dada ao operador a possibilidade de optar por não comunicar essas violações. No entanto, isso não deve impedir a autoridade nacional competente de atribuir prioridade à investigação de determinados casos de violação, como melhor entender, em conformidade com a legislação aplicável, e de tomar as medidas necessárias para evitar que a comunicação de violações de dados pessoais seja excessiva ou insuficiente.

(7)

Convém prever um sistema de notificação dos casos de violação de dados pessoais à autoridade nacional competente, que compreenda, caso estejam preenchidas determinadas condições, várias fases, cada uma delas submetida a um determinado prazo. Este sistema visa garantir que a autoridade nacional competente é informada assim que possível e de forma tão circunstanciada quanto possível, sem, no entanto, dificultar indevidamente os esforços do operador para investigar a violação e tomar as medidas necessárias para a confinar e para obviar às suas consequências.

(8)

A simples suspeita de que ocorreu uma violação de dados pessoais ou a simples deteção de um incidente sobre o qual não há informações suficientes, apesar de todos os esforços do operador no sentido de as obter, não é suficiente, para efeitos do presente regulamento, para se considerar que foi detetada uma violação de dados pessoais. A este respeito, deve ser dada especial atenção à disponibilidade das informações a que se refere o anexo I.

(9)

No contexto da aplicação do presente regulamento, as autoridades nacionais competentes em causa devem cooperar nos casos de violação de dados pessoais de dimensão transfronteiras.

(10)

O presente regulamento não prevê especificações suplementares do inventário dos casos de violação de dados pessoais que os operadores devem manter, dado que o artigo 4.o da Diretiva 2002/58/CE especifica o seu conteúdo de modo exaustivo. No entanto, os operadores podem tomar como referência o presente regulamento para determinarem o formato do inventário.

(11)

Todas as autoridades nacionais competentes devem disponibilizar aos operadores meios eletrónicos seguros para estes notificarem os casos de violação de dados pessoais segundo um formato comum, baseado numa norma, por exemplo, a XML, que inclua as informações enumeradas no anexo I nas línguas pertinentes, de modo a que todos os operadores na União possam seguir procedimentos de notificação similares, independentemente do local onde se encontrem estabelecidos ou do local onde tenha ocorrido a violação de dados pessoais. A este respeito, a Comissão deve facilitar a aplicação de meios eletrónicos seguros, organizando para tal, quando necessário, reuniões com as autoridades nacionais competentes.

(12)

Para se determinar se um caso de violação de dados pessoais é suscetível de afetar negativamente os dados pessoais ou a privacidade do assinante ou de outra pessoa em causa, deve ter-se em conta, em especial, a natureza e o teor dos dados pessoais em causa, nomeadamente quando se trata de informações financeiras, como os dados relativos a cartões de crédito ou a contas bancárias, de dados das categorias especiais a que se refere o artigo 8.o, n.o 1, da Diretiva 95/46/CE ou de determinados dados especificamente relacionados com o fornecimento de serviços de telefonia ou de Internet, ou seja, dados de correio eletrónico, dados de localização, dados de acesso à Internet, histórico da navegação na Internet e listas discriminadas de chamadas.

(13)

Em circunstâncias excecionais, o operador deve ter a possibilidade de adiar a notificação ao assinante ou a outra pessoa em causa, caso essa notificação possa pôr em risco a eficácia da investigação da violação de dados pessoais. Neste contexto, poderão ser consideradas circunstâncias excecionais as investigações criminais, bem como outras violações de dados pessoais que, embora não constituam crimes graves, justificam o adiamento da notificação. De qualquer modo, deve incumbir à autoridade nacional competente determinar, em cada caso e à luz das circunstâncias, se o adiamento é ou não aceitável.

(14)

Os operadores, embora devam ter dados de contacto dos seus assinantes, dada a sua relação contratual direta, podem não ter dados de contacto de outras pessoas afetadas pela violação de dados pessoais. Nesses casos, o operador deve poder notificar essas pessoas inicialmente através de anúncios nos mais importantes meios de comunicação social nacionais ou regionais, nomeadamente jornais, seguindo-se, assim que possível, a notificação individual em conformidade com o presente regulamento. Consequentemente, o operador não é estritamente obrigado a proceder à notificação através dos meios de comunicação social, mas pode decidir fazê-lo durante o processo de identificação de todas as pessoas afetadas.

(15)

A informação sobre a violação de dados deve incidir nessa violação e não estar associada a informações sobre outras matérias. Por exemplo, a inclusão de informações sobre um caso de violação de dados pessoais numa fatura normal não deve ser considerada um meio adequado de notificação dessa violação.

(16)

O presente regulamento não estabelece medidas tecnológicas específicas de proteção que justifiquem uma derrogação da obrigação de notificar os casos de violação de dados pessoais aos assinantes ou às outras pessoas em causa, pois tais medidas podem, com o tempo, mudar, em função do progresso tecnológico. A Comissão deve, contudo, poder publicar uma lista indicativa dessas medidas tecnológicas específicas de proteção em consonância com as práticas correntes.

(17)

A aplicação de métodos de cifragem ou hashing não deve ser considerada, por si só, suficiente para os operadores poderem alegar, de um modo mais geral, que cumpriram o dever de segurança geral estabelecido no artigo 17.o da Diretiva 95/46/CE. A este respeito, os operadores devem igualmente pôr em prática medidas organizativas e técnicas adequadas para prevenir, detetar e bloquear a violação de dados pessoais. Os operadores devem avaliar os riscos residuais que possam existir após a realização das operações de controlo, para melhor entenderem como e onde poderá ocorrer a violação de dados pessoais.

(18)

Caso o operador recorra a outro operador para realizar parte do serviço, designadamente no que respeita às funções de faturação ou gestão, esse outro operador, que não tem qualquer relação contratual direta com o utilizador final, não deve ser obrigado a emitir notificações em caso de violação de dados pessoais; deve, antes, alertar e informar o operador com o qual tem uma relação contratual direta. Esta regra deve aplicar-se igualmente no contexto da oferta grossista de serviços de comunicações eletrónicas, em que, normalmente, o operador grossista não tem uma relação contratual direta com o utilizador final.

(19)

A Diretiva 95/46/CE define um quadro geral para a proteção de dados pessoais na União Europeia. A Comissão apresentou uma proposta de regulamento do Parlamento Europeu e do Conselho que substitui a Diretiva 95/46/CE (Regulamento Proteção de Dados). Esse regulamento proposto estabelece a obrigação, para todos os responsáveis pelo tratamento de dados, de notificação dos casos de violação de dados pessoais, com base no artigo 4.o, n.o 3, da Diretiva 2002/58/CE. O presente regulamento da Comissão é plenamente coerente com essa medida proposta.

(20)

O Regulamento Proteção de Dados proposto prevê também um pequeno número de adaptações técnicas da Diretiva 2002/58/CE, decorrentes da transformação da Diretiva 95/46/CE num regulamento. Os efeitos jurídicos substantivos do novo regulamento na Diretiva 2002/58/CE serão objeto de análise pela Comissão.

(21)

A aplicação do presente regulamento deve ser avaliada três anos após a sua entrada em vigor e o seu conteúdo deve ser revisto à luz do quadro jurídico em vigor nessa altura, inclusive do Regulamento Proteção de Dados proposto. A revisão do presente regulamento deve ser associada, se possível, às futuras revisões da Diretiva 2002/58/CE.

(22)

A aplicação do presente regulamento pode ser avaliada tomando como base, nomeadamente, as estatísticas, mantidas pelas autoridades nacionais competentes, dos casos de violação de dados pessoais que lhes tenham sido notificados. Essas estatísticas poderão incluir, por exemplo, informações sobre o número de casos de violação de dados pessoais notificados à autoridade nacional competente, o número de casos de violação de dados pessoais notificados aos assinantes ou às outras pessoas em causa, o tempo que foi necessário para solucionar cada caso de violação de dados pessoais e as medidas tecnológicas de proteção eventualmente adotadas. Tais estatísticas devem fornecer à Comissão e aos Estados-Membros dados coerentes e comparáveis, mas não devem revelar a identidade dos operadores notificantes nem a dos assinantes ou outras pessoas afetadas. A Comissão pode ainda organizar, para esse efeito, reuniões periódicas com as autoridades nacionais competentes e com outras partes interessadas.

(23)

As medidas previstas no presente regulamento estão conformes com o parecer do Comité das Comunicações,

a)

a natureza e o teor dos dados pessoais em causa, nomeadamente quando se trata de informações financeiras, de dados das categorias especiais a que se refere o artigo 8.o, n.o 1, da Diretiva 95/46/CE, ou ainda de dados de localização, dados de acesso à Internet, histórico da navegação na Internet, dados de correio eletrónico e listas discriminadas de chamadas;

b)

as prováveis consequências da violação de dados pessoais para o assinante ou outra pessoa em causa, nomeadamente quando essa violação pode conduzir ao roubo ou à usurpação de identidade, a danos físicos ou psicológicos, a humilhações ou a prejuízos para a reputação; e ainda

c)

as circunstâncias da violação de dados pessoais, em especial quando esses dados foram roubados ou o operador tem conhecimento de que os dados se encontram na posse de terceiros não autorizados.

a)

tiverem sido cifrados de forma segura, com um algoritmo normalizado e a chave utilizada para decifrar os dados não tiver sido afetada por qualquer falha de segurança e tiver sido gerada de tal modo que não possa ser determinada por meios tecnológicos disponíveis para qualquer pessoa que não esteja autorizada a aceder a essa chave; ou

b)

tiverem sido substituídos pelos seus valores calculados por meio de uma função hash criptográfica normalizada com chave, a chave utilizada para a transformação dos dados pela função hash não tiver sido afetada por qualquer falha de segurança e essa chave tiver sido gerada de tal modo que não possa ser determinada por meios tecnológicos disponíveis para qualquer pessoa que não esteja autorizada a aceder a essa chave.