—

é particularmente importante dispor de uma definição clara dos termos «resiliência do ciberespaço», «cibercrime» e «ciberdefesa», dado que são utilizados como justificação para a adoção de certas medidas especiais suscetíveis de interferir nos direitos fundamentais, nomeadamente nos direitos à privacidade e à proteção dos dados. Porém, as definições de «cibercrime» dadas na Estratégia e na Convenção sobre o Cibercrime são ainda muito latas. Seria aconselhável adotar uma definição clara e restrita de «cibercrime» ao invés de uma definição geral;

—

a legislação sobre proteção de dados deve aplicar-se a todas as ações da Estratégia sempre que digam respeito a medidas que impliquem o tratamento de dados pessoais. Embora a legislação sobre proteção de dados não seja especificamente mencionada nas secções relacionadas com cibercrime e ciberdefesa, a AEPD sublinha que muitas das ações programadas nestes domínios envolveriam o tratamento de dados pessoais e, como tal, estariam sujeitas à legislação aplicável em matéria de proteção de dados. A AEPD observa ainda que muitas ações consistem na criação de mecanismos de cooperação, que exigirão a implementação de salvaguardas adequadas em matéria de proteção dos dados relativamente às modalidades de intercâmbio de dados pessoais;

—

as autoridades de proteção dos dados (APD) desempenham um importante papel no contexto da cibersegurança. Enquanto guardiãs dos direitos à privacidade e à proteção dos dados das pessoas, as APD promovem ativamente a proteção dos seus dados pessoais, tanto em linha (online) como não em linha (offline). Por conseguinte, na qualidade de entidades supervisoras, devem participar, de forma adequada, na aplicação de medidas que envolvam o tratamento de dados pessoais (tais como o lançamento do projeto-piloto da UE para combater os botnets e o malware). Outros intervenientes no campo da cibersegurança também devem cooperar com as APD no desempenho das suas funções, nomeadamente no intercâmbio de melhores práticas e em ações de sensibilização. A AEPD e as APD nacionais devem igualmente participar, a um nível adequado, na conferência de alto nível que será organizada em 2014, a fim de avaliar os progressos alcançados na implementação da Estratégia.

—

conferir maior clareza e segurança jurídica à definição de operadores de mercado abrangidos pela Proposta, que consta do artigo 3.o, n.o 8, e elaborar uma lista exaustiva de todas as partes interessadas relevantes, com vista a assegurar uma abordagem totalmente harmonizada e integrada à segurança dentro da UE;

—

esclarecer, no artigo 1.o, n.o 2, alínea c), que a proposta de Diretiva é aplicável às instituições e organismos da UE, e incluir uma referência ao Regulamento (CE) n.o 45/2001 no artigo 1.o, n.o 5, da Proposta;

—

reconhecer um papel mais horizontal a esta Proposta em matéria de segurança, estabelecendo expressamente no artigo 1.o que é aplicável sem prejuízo de regras mais detalhadas, atuais ou futuras, em domínios específicos (tais como aquelas a que estarão sujeitos os prestadores de serviços de confiança nos termos da proposta de Regulamento relativo à identificação eletrónica);

—

aditar um considerando que explique a necessidade de incorporar a proteção de dados de raiz e por defeito numa fase precoce da conceção dos mecanismos estabelecidos na Proposta e ao longo de todo o ciclo de vida dos processos, procedimentos, organizações, técnicas e infraestruturas envolvidos, tomando em consideração a proposta de Regulamento relativo à proteção de dados;

—

clarificar as definições de «redes e sistemas informáticos» no artigo 3.o, n.o 1, e de «incidente» no artigo 3.o, n.o 4, e substituir, no artigo 5.o, n.o 2, a obrigação de elaborar um «plano de avaliação dos riscos» pela «criação e manutenção de um quadro de gestão dos riscos»;

—

especificar, no artigo 1.o, n.o 6, que o tratamento de dados pessoais seria justificado ao abrigo do artigo 7.o, alínea e), da Diretiva 95/46/CE, na medida em que fosse necessário para alcançar os objetivos de interesse público prosseguidos pela proposta de Diretiva. Contudo, importa assegurar o respeito pelos princípios da necessidade e da proporcionalidade, a fim de que apenas sejam tratados os dados estritamente necessários para o objetivo a alcançar;

—

definir, no artigo 14.o, os casos em que é necessária uma notificação, bem como o conteúdo e o formato da mesma, incluindo os tipos de dados pessoais que devem ser notificados e se a notificação e os documentos que a acompanham incluirão ou não (e em que medida) informações sobre os dados pessoais afetados por um incidente específico de segurança (tais como endereços IP). Importa ter em conta o facto de que as autoridades competentes em matéria de SRI só devem ser autorizadas a recolher e tratar dados pessoais no contexto de um incidente de segurança quando tal for estritamente necessário. Devem ser igualmente estabelecidas na Proposta salvaguardas apropriadas para garantir uma proteção adequada dos dados tratados pelas autoridades competentes em matéria de SRI;

—

esclarecer, no artigo 14.o, que as notificações de incidentes previstas no n.o 2 são aplicáveis sem prejuízo das obrigações de notificação de violações de dados pessoais previstas na legislação aplicável em matéria de proteção de dados. Devem ser estabelecidos na Proposta os principais aspetos do procedimento de cooperação entre as autoridades competentes em matéria de SRI e as APD nos casos em que o incidente de segurança envolva a violação de dados pessoais;

—

alterar o artigo 14.o, n.o 8, para que a exclusão das microempresas do âmbito da notificação não seja aplicável aos operadores que desempenhem um papel crucial na prestação de serviços da sociedade da informação, nomeadamente face à natureza das informações que tratam (por exemplo, dados biométricos ou dados sensíveis);

—

aditar à Proposta disposições que regulem o posterior intercâmbio de dados pessoais entre as autoridades competentes em matéria de SRI e outros destinatários, a fim de assegurar que i) os dados pessoais serão unicamente divulgados a destinatários que necessitem de proceder ao seu tratamento para o desempenho das suas funções em conformidade com uma base jurídica adequada e ii) tais informações limitar-se-ão ao que for necessário para o desempenho das suas funções. Deve ser igualmente ponderado o modo como as entidades que fornecem dados à rede de partilha de informações asseguram a conformidade com o princípio da limitação da finalidade;

—

especificar o prazo máximo de conservação de dados pessoais para os efeitos estabelecidos na proposta de Diretiva, em especial no que diz respeito à conservação desses dados pelas autoridades competentes em matéria de SRI e dentro da infraestrutura segura da rede de cooperação;

—

relembrar às autoridades competentes em matéria de SRI o seu dever de fornecer às pessoas em causa informações adequadas sobre o tratamento de dados pessoais, publicando, por exemplo, uma política de privacidade no seu sítio Web;

—

aditar uma disposição sobre o nível de segurança que as autoridades competentes em matéria de SRI devem cumprir em relação às informações recolhidas, tratadas e trocadas. Deve ser feita expressamente referência aos requisitos de segurança previstos no artigo 17.o da Diretiva 95/46/CE relativamente à proteção de dados pessoais pelas autoridades competentes em matéria de SRI;

—

esclarecer, no artigo 9.o, n.o 2, que os critérios de participação de um Estado-Membro no sistema seguro de partilha de informações devem assegurar a garantia de um elevado nível de segurança e resiliência por todos os participantes no sistema em todas as etapas do tratamento. Estes critérios devem incluir medidas de confidencialidade e segurança adequadas, em conformidade com os artigos 16.o e 17.o da Diretiva 95/46/CE e dos artigos 21.o e 22.o do Regulamento (CE) n.o 45/2001. A Comissão deve estar expressamente vinculada a esses critérios em relação à sua participação no sistema seguro de partilha de informações na qualidade de responsável pelo tratamento;

—

incluir, no artigo 9.o, uma descrição das funções e responsabilidades da Comissão e dos Estados-Membros na criação, gestão e manutenção do sistema seguro de partilha de informações, e estabelecer que a conceção do sistema deve obedecer aos princípios da proteção de dados, de raiz e por defeito, e aos da segurança, de raiz; e

—

especificar, no artigo 13.o, que as transferências de dados pessoais para destinatários localizados em países fora da UE devem cumprir o disposto nos artigos 25.o e 26.o da Diretiva 95/46/CE e no artigo 9.o do Regulamento (CE) n.o 45/2001.