1.

2.

3.

4.

5.

6.

7.

8.

77.

—

ter em conta que o primeiro passo para atenuar os riscos de proteção de dados e da privacidade associados às novas tecnologias para melhorar a cibersegurança, como a IA, consiste em aplicar os requisitos de proteção de dados desde a conceção e por defeito estabelecidos no artigo 25.o do RGPD, que contribuirão para integrar as salvaguardas adequadas, como a pseudonimização, a cifragem, a exatidão dos dados, a minimização dos dados, na conceção e utilização dessas tecnologias e sistemas;

—

ter em conta a importância de integrar a perspetiva da privacidade e da proteção de dados nas políticas e normas relacionadas com a cibersegurança, bem como na gestão tradicional da cibersegurança, a fim de assegurar uma abordagem holística e possibilitar sinergias às organizações públicas e privadas na gestão da cibersegurança e na proteção das informações que tratam sem uma multiplicação inútil de esforços;

—

considerar e planear a utilização de recursos por parte das IUE para reforçar a sua capacidade de cibersegurança, inclusive de uma forma que respeite plenamente os valores da UE;

—

ter em conta as dimensões da privacidade e da proteção de dados da cibersegurança, investindo em políticas, práticas e ferramentas em que a perspetiva da privacidade e da proteção de dados seja integrada na gestão tradicional da cibersegurança e em que sejam integradas salvaguardas eficazes em matéria de proteção de dados ao tratar dados pessoais em atividades de cibersegurança;

—

ter em conta as necessidades e o papel das IUE, para que estas sejam integradas neste quadro global de cibersegurança a nível da UE enquanto entidades que gozam do mesmo nível elevado de proteção que as entidades dos Estados-Membros; e

—

incluir expressamente no âmbito de aplicação da Proposta as instituições, os organismos, os órgãos e as agências da União.

—

esclarecer no artigo 2.o da Proposta que a legislação da União em matéria de proteção de dados pessoais, em especial o RGPD e a Diretiva Privacidade Eletrónica, se aplica a qualquer tratamento de dados pessoais abrangido pelo âmbito de aplicação da Proposta (e não apenas em contextos específicos); e

—

esclarecer igualmente, num considerando relevante, que a Proposta não pretende afetar a aplicação da legislação da UE em vigor que rege o tratamento de dados pessoais, incluindo as funções e competências das autoridades de controlo independentes competentes para controlar o cumprimento desses instrumentos;

—

esclarecer a diferente utilização dos termos «cibersegurança» e «segurança das redes e da informação»; e utilizar por regra o termo «cibersegurança» e o termo «segurança das redes e da informação» apenas quando o contexto (por exemplo, puramente técnico, sem ter em conta os impactos também sobre os utilizadores dos sistemas e outras pessoas) o permitir.

—

especificar claramente o que constitui «informação relevante» para efeitos de identificação e de contacto com os detentores dos nomes de domínio e dos pontos de contacto que administram os nomes de domínio nos TLD;

—

esclarecer com maior pormenor que categorias de dados de registos de domínio (que não constituam dados pessoais) deverão ser objeto de publicação;

—

esclarecer ainda que entidades (públicas ou privadas) podem constituir «requerentes de acesso legítimos»;

—

esclarecer se os dados pessoais detidos pelos registos do TLD e pelas entidades que prestam serviços de registo de nomes de domínio para o TLD deverão também estar acessíveis a entidades fora do EEE e, se for esse o caso, estabelecer claramente as condições, as limitações e os procedimentos para esse acesso, tendo também em conta os requisitos do artigo 49.o, n.o 2, do RGPD, quando forem aplicáveis; e

—

introduzir uma maior clarificação sobre o que constitui um pedido «lícito e devidamente justificado» com base no qual o acesso será concedido e em que condições.

—

delinear claramente os tipos de exame proativo que os CSIRT podem ser convidados a realizar e identificar as principais categorias de dados pessoais envolvidas no texto da Proposta.

—

ter em conta as características que permitem a aplicação efetiva do princípio da proteção de dados desde a conceção e por defeito, ao avaliar as cadeias de abastecimento de tecnologias e sistemas que tratam dados pessoais;

—

ter em conta requisitos específicos no país de origem que possam constituir um obstáculo ao cumprimento da legislação da UE em matéria de privacidade e proteção de dados, ao avaliar os riscos da cadeia de abastecimento dos serviços, sistemas ou produtos de TIC; e

—

incluir no texto legal a consulta obrigatória da CEPD para a definição dos elementos acima referidos e, se necessário, na avaliação de riscos setorial coordenada referida no considerando 46.

—

recomendar a menção, num considerando, de que os produtos de cibersegurança de código aberto (software e hardware), incluindo a cifragem de código aberto, podem oferecer a transparência necessária para atenuar os riscos específicos da cadeia de abastecimento

—

esclarecer no considerando 54 que nenhuma disposição da Proposta deverá ser interpretada no sentido de apoiar o enfraquecimento da cifragem de ponta a ponta por formas clandestinas ou através de soluções semelhantes;

—

incluir tanto nos considerandos como na parte substantiva da Proposta o conceito de que a integração da perspetiva da privacidade e da proteção de dados na gestão tradicional dos riscos de cibersegurança assegurará uma abordagem holística e possibilitará sinergias às organizações públicas e privadas na gestão da cibersegurança e na proteção das informações que tratam sem uma multiplicação inútil de esforços;

—

aditar no texto legal a obrigação de a ENISA consultar a CEPD aquando da elaboração dos pareceres pertinentes;

—

alterar o texto «num prazo razoável» do artigo 32.o, n.o 1, para «sem demora injustificada»;

—

incluir no texto legal a participação da CEPD no Grupo de Cooperação, tendo em conta a relação entre a missão deste grupo e o quadro de proteção de dados.

—

esclarecer no texto legal que a Proposta não afeta as competências das autoridades de controlo da proteção de dados ao abrigo do RGPD;

—

proporcionar uma base jurídica abrangente para a cooperação e o intercâmbio de informações entre as autoridades competentes e de controlo, cada uma delas atuando no âmbito das respetivas áreas de competência; e

—

esclarecer que as autoridades competentes ao abrigo da Proposta deverão poder fornecer, a pedido das autoridades de controlo competentes ao abrigo do Regulamento (UE) 2016/679 ou por sua própria iniciativa, quaisquer informações obtidas no âmbito de auditorias e investigações relacionadas com o tratamento de dados pessoais, bem como incluir uma base jurídica expressa para este efeito.