1.

2.

3.

4.

5.

6.

7.

8.

77.

—

să se ia în considerare faptul că primul pas în atenuarea riscurilor la adresa protecției datelor și a vieții private asociate noilor tehnologii de îmbunătățire a securității cibernetice, cum ar fi inteligența artificială, este de a aplica cerințele de protecție a datelor începând cu momentul conceperii și în mod implicit, prevăzute la articolul 25 din RGPD, ceea ce va contribui la integrarea garanțiilor corespunzătoare, cum ar fi pseudonimizarea, criptarea, acuratețea datelor, reducerea la minimum a datelor, în proiectarea și utilizarea acestor tehnologii și sisteme;

—

să se țină seama de importanța integrării aspectului legat de protecția datelor și a vieții private în politicile și standardele de securitate cibernetică, precum și în gestionarea tradițională a securității cibernetice, pentru a asigura o abordare holistică și a permite sinergii între organizațiile publice și cele private atunci când gestionează securitatea cibernetică și protejează informațiile pe care le prelucrează, fără o multiplicare inutilă a eforturilor;

—

să se ia în considerare și să se planifice resursele care urmează să fie utilizate de IUE pentru a-și consolida capacitatea în materie de securitate cibernetică, inclusiv într-un mod care să respecte pe deplin valorile UE;

—

să se țină seama de dimensiunile de protecție a datelor și a vieții private ale securității cibernetice prin investiții în politici, practici și instrumente în care aspectul legat de protecția datelor și a vieții private este integrat în gestionarea tradițională a securității cibernetice, iar garanții eficace în materie de protecție a datelor sunt integrate în cadrul activităților de securitate cibernetică, atunci când se prelucrează date cu caracter personal;

—

să se ia în considerare nevoile și rolul IUE, astfel încât IUE să fie integrate în acest cadru general de securitate cibernetică la nivelul UE ca entități care beneficiază de același nivel ridicat de protecție ca și cele din statele membre; și

—

să se includă în mod explicit instituțiile, oficiile, organele și agențiile Uniunii în domeniul de aplicare al propunerii.

—

să se clarifice, la articolul 2 din propunere, faptul că legislația Uniunii privind protecția datelor cu caracter personal, în special RGPD și Directiva asupra confidențialității și comunicațiilor electronice, se aplică oricărei prelucrări de date cu caracter personal care intră în domeniul de aplicare al propunerii (nu doar în anumite contexte); și

—

să se clarifice, de asemenea, într-un considerent relevant, faptul că propunerea nu urmărește să aducă atingere aplicării legislației UE existente care reglementează prelucrarea datelor cu caracter personal, inclusiv sarcinile și competențele autorităților independente de supraveghere competente să monitorizeze respectarea acestor instrumente;

—

să se clarifice utilizarea diferită a termenilor „securitate cibernetică” și „securitatea rețelelor și a sistemelor informatice” și să se utilizeze termenul „securitate cibernetică” în general și termenul „securitatea rețelelor și a sistemelor informatice” numai atunci când contextul (de exemplu, unul pur tehnic, fără a ține seama de impactul asupra utilizatorilor de sisteme și asupra altor persoane) o permite.

—

să se precizeze în mod clar ce anume constituie „informații relevante” în scopul identificării și contactării titularilor numelor de domenii și a punctelor de contact care administrează numele de domenii în cadrul TLD-urilor;

—

să se clarifice mai detaliat ce categorii de date de înregistrare a domeniilor de date (care nu constituie date cu caracter personal) trebuie să facă obiectul publicării;

—

să se precizeze mai clar ce entități (publice sau private) ar putea constitui „solicitanți de acces legitimi”;

—

să se clarifice dacă datele cu caracter personal deținute de registrele TLD și de entitățile care furnizează servicii de înregistrare a numelor de domenii pentru TLD ar trebui să fie accesibile și entităților din afara SEE și, în caz afirmativ, să se stabilească în mod clar condițiile, limitările și procedurile pentru un astfel de acces, ținând seama și de cerințele de la articolul 49 alineatul (2) din RGPD, după caz; și

—

să se introducă clarificări suplimentare cu privire la ce anume constituie o cerere „legală și justificată în mod corespunzător” pe baza căreia se acordă acces și în ce condiții.

—

să se delimiteze în mod clar tipurile de scanări proactive pe care CSIRT-urile ar putea fi solicitate să le efectueze și să se identifice principalele categorii de date cu caracter personal implicate în textul propunerii.

—

să se ia în considerare caracteristicile care permit punerea în aplicare eficace a principiului protecției datelor începând cu momentul conceperii și în mod implicit, atunci când se evaluează lanțurile de aprovizionare pentru tehnologii și sisteme de prelucrare a datelor cu caracter personal;

—

să se țină seama de cerințele specifice din țara de origine care ar putea reprezenta un obstacol în calea respectării legislației UE privind protecția datelor și a vieții private, atunci când se evaluează riscurile legate de lanțul de aprovizionare ale serviciilor, sistemelor sau produselor TIC; și

—

să se includă în textul juridic consultarea obligatorie a CEPD atunci când se definesc caracteristicile menționate anterior și, dacă este necesar, în evaluarea coordonată a riscurilor sectoriale menționată la considerentul 46.

—

să se recomande menționarea într-un considerent a faptului că produsele de securitate cibernetică cu sursă deschisă (software și hardware), inclusiv criptarea cu sursă deschisă, ar putea oferi transparența necesară pentru atenuarea riscurilor specifice legate de lanțul de aprovizionare.

—

să se clarifice în considerentul 54 că nicio dispoziție din propunere nu trebuie interpretată ca aprobare pentru slăbirea criptării de la un capăt la altul prin intermediul „ușilor secrete” sau al unor soluții similare;

—

să se includă atât în considerente, cât și în partea de fond a propunerii conceptul conform căruia integrarea aspectului legat de protecția datelor și a vieții private în gestionarea tradițională a riscurilor în materie de securitate cibernetică va asigura o abordare holistică și va permite crearea de sinergii între organizațiile publice și cele private atunci când gestionează securitatea cibernetică și protecția informațiilor pe care le prelucrează, fără o multiplicare inutilă a eforturilor;

—

să se adauge în textul juridic obligația ENISA de a consulta CEPD atunci când elaborează avizele relevante;

—

să se modifice textul „într-un termen rezonabil” de la articolul 32 alineatul (1) în „fără întârzieri nejustificate”;

—

să se includă în textul juridic participarea CEPD la activitățile grupului de cooperare, ținând seama de legătura dintre sarcina acestui grup și cadrul de protecție a datelor.

—

să se clarifice în textul juridic faptul că propunerea nu afectează competențele autorităților de supraveghere a protecției datelor în temeiul RGPD;

—

să se furnizeze un temei juridic cuprinzător pentru cooperarea și schimbul de informații între autoritățile competente și de supraveghere, fiecare acționând în cadrul domeniilor lor de competență; și

—

să se clarifice faptul că autoritățile competente din cadrul propunerii trebuie să aibă posibilitatea de a furniza, la cererea autorităților de supraveghere competente, în temeiul Regulamentului (UE) 2016/679, sau din proprie inițiativă, orice informații obținute în contextul auditurilor și al investigațiilor care se referă la prelucrarea datelor cu caracter personal și să se includă un temei juridic explicit în acest sens.