26.6.2013   

NL

Publicatieblad van de Europese Unie

L 173/2

(1)

Richtlijn 2002/58/EG voorziet in de harmonisering van de nationale bepalingen die nodig zijn om te zorgen voor een gelijk niveau van bescherming van fundamentele rechten en vrijheden, met name het recht op een persoonlijke levenssfeer en het vertrouwelijke karakter in verband met de verwerking van persoonsgegevens in de elektronischecommunicatiesector en om het vrije verkeer van dergelijke data en van de elektronischecommunicatieapparatuur en -diensten in de Unie te garanderen.

(2)

Overeenkomstig artikel 4 van Richtlijn 2002/58/EG moeten aanbieders van openbare elektronischecommunicatiediensten de nationale bevoegde autoriteiten en in sommige gevallen ook de betrokken abonnees en andere personen in kennis stellen van inbreuken in verband met persoonsgegevens. Inbreuken in verband met persoonsgegevens worden in artikel 2, onder i), van Richtlijn 2002/58/EG omschreven als inbreuken op de beveiliging die resulteren in een accidentele of onwettige vernietiging, wijziging, niet-geautoriseerde vrijgave van of toegang tot persoonsgegevens die zijn verstuurd, opgeslagen of anderszins verwerkt in verband met de levering van een openbare elektronischecommunicatiedienst in de Unie.

(3)

Om een samenhangende tenuitvoerlegging te waarborgen van de in artikel 4, leden 2, 3 en 4, van Richtlijn 2002/58/EG bedoelde maatregelen, kan de Commissie op grond van artikel 4, lid 5, technische uitvoeringsmaatregelen vaststellen in verband met de omstandigheden, het formaat en de procedures die gelden voor de in dit artikel bedoelde informatieverstrekkings- en kennisgevingseisen.

(4)

Wanneer deze eisen per land verschillen, kan dit leiden tot rechtsonzekerheid, meer complexe en omslachtige procedures en aanzienlijke administratieve kosten voor aanbieders die grensoverschrijdend actief zijn. De Commissie vindt het derhalve noodzakelijk dergelijke technische uitvoeringsmaatregelen vast te stellen.

(5)

Deze verordening heeft alleen betrekking op de melding van inbreuken in verband met persoonsgegevens en omvat dan ook geen technische uitvoeringsmaatregelen met betrekking tot de verplichting van artikel 4, lid 2, van Richtlijn 2002/58/EG om, wanneer er een bijzonder risico bestaat van inbreuken op de beveiliging van het netwerk, de abonnees hiervan in kennis te stellen.

(6)

Uit artikel 4, lid 3, eerste alinea, van Richtlijn 2002/58/EG volgt dat aanbieders de bevoegde nationale autoriteit in kennis moeten stellen van alle inbreuken in verband met persoonsgegevens. Aanbieders mogen dan ook niet zelf bepalen of zij een inbreuk in verband met persoonsgegevens al dan niet aan de bevoegde nationale autoriteit melden. Dit mag de bevoegde nationale autoriteit echter niet verhinderen om naar eigen goeddunken voorrang te verlenen aan het onderzoek van bepaalde inbreuken in overeenstemming met het toepasselijk recht en passende maatregelen te nemen om over- of onderrapportering te voorkomen.

(7)

Er moet dan ook een systeem worden vastgesteld voor het aanmelden van inbreuken in verband met persoonsgegevens aan de bevoegde nationale autoriteit dat, indien wordt voldaan aan bepaalde voorwaarden, bestaat uit verschillende fasen, met telkens een bepaalde termijn. Dit systeem moet ervoor zorgen dat de bevoegde nationale autoriteit zo vroeg en zo volledig mogelijk in kennis wordt gesteld zonder dat de aanbieder daarbij onnodig wordt gehinderd bij zijn pogingen om de inbreuk te onderzoeken en de nodige maatregelen te treffen om de inbreuk te beperken en de gevolgen ervan te verhelpen.

(8)

Noch een simpel vermoeden dat een inbreuk in verband met persoonsgegevens heeft plaatsgevonden, noch een simpele opsporing van een incident zonder dat voldoende informatie beschikbaar is, ondanks het feit de aanbieder hiertoe al het mogelijke heeft gedaan, is voldoende om ervan uit te gaan dat een inbreuk in verband met persoonsgegevens is ontdekt in de zin van deze verordening. In dit verband moet met name worden gelet op de beschikbaarheid van de in Bijlage I bedoelde informatie.

(9)

In de context van de toepassing van deze verordening moeten de bevoegde nationale autoriteiten hun medewerking verlenen in gevallen van inbreuken in verband met persoonsgegevens met een grensoverschrijdende dimensie.

(10)

Een aanvullende specificatie van de inventaris van inbreuken op persoonsgegevens die aanbieders moeten bijhouden is op grond van deze verordening niet verplicht omdat de inhoud hiervan al uitvoerig is beschreven in artikel 4 van Richtlijn 2002/58/EG. Om het formaat van de inventaris te bepalen kunnen aanbieders echter gebruikmaken van deze verordening.

(11)

Alle bevoegde nationale autoriteiten moeten beveiligde elektronische middelen ter beschikking stellen zodat aanbieders in een gemeenschappelijk formaat, gebaseerd op een norm als XML, inbreuken in verband met persoonsgegevens kunnen melden, met inbegrip van de in bijlage I vermelde informatie in de desbetreffende talen, zodat alle aanbieders in de Unie een soortgelijke kennisgevingsprocedure kunnen volgen, ongeacht hun vestigingsplaats of de plaats waar de inbreuk in verband met persoonsgegevens plaatsvond. In dit verband moet de Commissie indien noodzakelijk de tenuitvoerlegging van beveiligde elektronische middelen vergemakkelijken door bijeenkomsten te organiseren met de bevoegde nationale autoriteiten.

(12)

Om na te gaan of een inbreuk op persoonsgegevens wellicht negatieve gevolgen kan hebben voor de persoonsgegevens of de privacy van een abonnee of een ander persoon, moet vooral rekening worden gehouden met de aard en inhoud van de betrokken persoonsgegevens, met name wanneer de gegevens betrekking hebben op financiële informatie zoals creditcardgegevens of informatie met betrekking tot een bankrekening; de bijzondere categorieën gegevens van artikel 8, lid 1, van Richtlijn 95/46/EG; en bepaalde gegevens die specifiek betrekking hebben op het verstrekken van telefoon- of internetdiensten, dat wil zeggen, e-mail gegevens, locatiegegevens, internetlogbestanden, webbrowsegeschiedenis en gespecificeerde lijsten van oproepen.

(13)

In uitzonderlijke omstandigheden moet, wanneer kennisgeving aan een abonnee of een andere persoon de doeltreffendheid van het onderzoek naar de inbreuk in verband met persoonsgegevens in gevaar zou brengen, de aanbieder de kennisgeving aan een abonnee of een persoon kunnen uitstellen. Uitzonderlijke omstandigheden zijn in deze context niet alleen strafrechtelijke onderzoeken maar ook andere inbreuken in verband met persoonsgegevens die geen ernstig delict vormen maar uitstel van de termijn voor kennisgeving wel kunnen rechtvaardigen. Het is in ieder geval aan de bevoegde nationale autoriteit om per geval en rekening houdend met de omstandigheden te beoordelen of uitstel gerechtvaardigd is dan wel of kennisgeving noodzakelijk is.

(14)

Aanbieders moeten weliswaar in het bezit zijn van contactgegevens van hun abonnees, gezien hun rechtstreekse contractuele relatie, maar niet van dergelijke gegevens van andere personen voor wie inbreuk op persoonsgegevens ook gevolgen kunnen hebben. In dat geval moet de aanbieder de personen in kwestie zo spoedig mogelijk, in eerste instantie via advertenties in de voornaamste nationale of regionale media, zoals kranten, en vervolgens, overeenkomstig onderhavige verordening, via een individuele kennisgeving, hiervan op de hoogte kunnen brengen. De aanbieder is derhalve niet verplicht kennisgeving te doen via de media, maar kan hiertoe desgewenst wel overgaan wanneer hij nog bezig is met het identificeren van de betrokkenen.

(15)

De informatie over de inbreuk mag alleen betrekking hebben op de inbreuk en mag geen verband houden met informatie over andere onderwerpen. Het bijsluiten van informatie over een inbreuk op persoonsgegevens in een periodieke factuur kan derhalve niet worden beschouwd als een adequate manier om kennisgeving te doen van een inbreuk in verband met persoonsgegevens.

(16)

In deze verordening worden geen specifieke maatregelen inzake technologische bescherming vastgesteld die een afwijking rechtvaardigen van de verplichting om abonnees of andere personen in kennis te stellen van inbreuken op persoonsgegevens omdat dergelijke maatregelen met de technische vooruitgang kunnen evolueren. Wel moet de Commissie, overeenkomstig de huidige praktijken, een indicatieve lijst kunnen publiceren van dergelijke specifieke maatregelen inzake technologische bescherming.

(17)

Aanbieders kunnen zich niet alleen op encryptie of hashing beroepen om te verklaren dat zij voldaan hebben aan de algemene beveiligingsverplichting van artikel 17 van Richtlijn 95/46/EG. Aanbieders moeten in dit verband ook adequate organisatorische en technische maatregelen nemen om inbreuk in verband met persoonsgegevens te voorkomen, op te sporen en te blokkeren. Aanbieders moeten elk risico dat na controles eventueel nog bestaat, onderzoeken om na te gaan waar inbreuken op persoonsgegevens zich eventueel kunnen voordoen.

(18)

Wanneer de aanbieder voor het uitvoeren van een deel van zijn diensten gebruik maakt van een andere aanbieder, bijvoorbeeld voor facturering of managementdiensten, is die andere aanbieder, die geen rechtstreekse contractuele overeenkomst heeft met de eindgebruiker, niet verplicht kennisgeving te doen van inbreuken in verband met persoonsgegevens. Deze derde partij moet de inbreuk echter wel signaleren en de aanbieder, waarmee hij een rechtstreekse contractuele overeenkomst heeft, hiervan in kennis stellen. Dit geldt ook in de context van wholesalelevering van elektronischecommunicatiediensten, waar de wholesaleaanbieder normaliter geen rechtstreekse contractuele overeenkomst met de eindgebruiker heeft.

(19)

In Richtlijn 95/46/EG wordt een definitie gegeven van een algemeen kader voor de bescherming van persoonsgegevens in de Europese Unie. De Commissie heeft een voorstel ingediend voor een verordening van het Europees Parlement en de Raad die de plaats moet innemen van Richtlijn 95/46/EG (de gegevensbeschermingsverordening). De voorgestelde gegevensbeschermingsverordening zou alle voor de verwerking van gegevens verantwoordelijke personen ertoe verplichten om, voortbouwend op artikel 4, lid 3, van Richtlijn 2002/58/EG, kennisgeving te doen van inbreuken in verband met persoonsgegevens. De onderhavige verordening van de Commissie is volledig in overeenstemming met deze voorgestelde maatregel.

(20)

De voorgestelde gegevensbeschermingsverordening houdt ook een beperkt aantal technische aanpassingen in van Richtlijn 2002/58/EG teneinde rekening te houden met de omvorming van Richtlijn 95/46/EG tot een verordening. De inhoudelijke juridische gevolgen van de nieuwe verordening voor Richtlijn 2002/58/EG zullen door de Commissie worden geëvalueerd.

(21)

De toepassing van deze verordening moet drie jaar na de inwerkingtreding ervan worden geëvalueerd en de inhoud moet worden herzien in het licht van het juridisch kader dat op dat moment van toepassing is, met inbegrip van de voorgestelde gegevensbeschermingsverordening. De herziening van deze verordening moet waar mogelijk worden gekoppeld aan een eventuele toekomstige herziening van Richtlijn 2002/58/EG.

(22)

De toepassing van deze verordening kan onder meer worden beoordeeld op basis van eventuele door de bevoegde nationale autoriteiten bijgehouden statistieken over bij hen aangemelde inbreuken op persoonsgegevens. Deze statistieken kunnen bijvoorbeeld informatie bevatten over het aantal bij de bevoegde nationale autoriteit aangemelde inbreuken, het aantal inbreuken in verband met persoonsgegevens waarvan kennisgeving werd gedaan bij de abonnee of een andere persoon, de tijd die nodig was om de inbreuk op persoonsgegevens op te lossen en informatie over genomen maatregelen inzake technologische bescherming. Deze statistieken moeten de Commissie en de lidstaten consistente en vergelijkbare statistische gegevens verstrekken en de identiteit van noch de aanbieder die de inbreuk aanmeldt, noch de abonnee of andere personen voor wie de inbreuk ook gevolgen kunnen hebben, onthullen. De Commissie kan met het oog hierop ook periodiek bijeenkomen met de bevoegde nationale autoriteiten en andere betrokkenen.

(23)

De in deze verordening vervatte maatregelen zijn in overeenstemming met het advies van het Comité voor communicatie,

a)

de aard en de inhoud van de desbetreffende persoonsgegevens, met name wanneer het om financiële gegevens gaat die onder de bijzondere categorieën van artikel 8, lid 1, van Richtlijn 95/46/EG vallen, alsmede locatiegegevens, internetlogbestanden, webbrowsegeschiedenis, e-mailgegevens en gespecificeerde lijsten van oproepen;

b)

de vermoedelijke gevolgen van de inbreuk op persoonsgegevens voor de betrokken abonnee of andere persoon, met name wanneer een inbreuk kan leiden tot bijvoorbeeld identiteitsdiefstal of -fraude, lichamelijke schade, ernstige vernedering of aantasting van de reputatie; alsmede

c)

de omstandigheden van de inbreuk in verband met persoonsgegevens, met name wanneer de gegevens zijn gestolen of wanneer de aanbieder weet dat de gegevens in het bezit zijn van een niet-geautoriseerde derde.

a)

op veilige wijze zijn versleuteld met een standaardalgoritme, de sleutel voor decryptie door geen enkele inbreuk gevaar heeft gelopen en de sleutel voor decryptie zodanig werd gegenereerd dat personen zonder geautoriseerde toegang de sleutel met de beschikbare technologische middelen niet kunnen vinden; of

b)

zijn vervangen door een met een cryptografisch versleutelde hashfunctie berekende hashwaarde, de sleutel die hiervoor werd gebruikt door geen enkele inbreuk gevaar heeft gelopen en deze voor datahashing gebruikte sleutel zodanig is gegenereerd dat personen zonder geautoriseerde toegang de sleutel niet kunnen vinden met de beschikbare technologische middelen.