97.

Evropský parlament, Komise i Rada přijaly různé přístupy k oznamování narušení bezpečnosti. Mezi těmito třemi modely jsou rozdíly mimo jiné pokud jde o subjekty, na něž se vztahuje povinnost, kritérium nebo podnět pro oznámení, subjekty údajů oprávněné k tomu, aby jim bylo podáno oznámení, atd. Je třeba, aby Evropský parlament a Rada učinily vše pro vypracování pevného právního rámce pro případy narušení bezpečnosti. Za tímto účelem by Evropský parlament a Rada měly: — zachovat definici narušení bezpečnosti ve zněních Evropského parlamentu, Rady a Komise, protože je dostatečně široká k tomu, aby zahrnula většinu situací, v nichž by mělo být oznámení narušení bezpečnosti zaručeno; — zahrnout poskytovatele služeb informační společnosti, s ohledem na oblast působnosti subjektů, na něž se vztahuje navržený požadavek na oznamování. Pravděpodobnost, že u internetových maloobchodníků, internetových bank a on-line lékáren dojde k narušení bezpečnosti, je stejná, ne-li vyšší, jako v případě telekomunikačních společností. Občané budou očekávat, že jim bude podáno oznámení nejen v případě, že se poskytovatelé přístupu k internetu stanou předmětem narušení bezpečnosti, ale zejména tehdy, stane-li se to jejich internetovým bankám a on-line lékárnám. — Pokud jde o podnět k oznámení, kritérium „přiměřená pravděpodobnost poškození“ uvedené v pozměněném návrhu je vhodným kritériem, které zajistí funkčnost režimu. Nicméně je důležité zajistit, aby pojem „poškození“ byl dostatečně široký k pokrytí všech příslušných případů negativních dopadů na soukromí nebo jiné oprávněné zájmy jednotlivců. V opačném případě by bylo vhodnější stanovit nové kritérium, na jehož základě by oznamování bylo povinné „pokud by narušení s přiměřenou pravděpodobností mohlo poškodit jednotlivce“. Přístup Rady, který vyžaduje, aby narušení závažně narušilo něčí soukromí, by poskytl jednotlivcům nedostatečnou ochranu, protože takové kritérium vyžaduje, aby byl dopad na soukromí „závažný“. Navíc vzniká prostor pro subjektivní posouzení. — I když má účast orgánu na stanovení, zda musí dotčený subjekt podat oznámení jednotlivcům, zcela jistě pozitivní účinky, v praxi může být obtížné účast orgánu zajistit a rovněž by to mohlo odebírat zdroje z jiných důležitých priorit. Nemohou-li orgány reagovat velmi rychle, EIOÚ se obává, že takový systém může dokonce oslabit ochranu jednotlivců a vyvinout nepřiměřený tlak na orgány. EIOÚ proto doporučuje vytvořit systém, v němž je na dotčených subjektech, aby posoudily, zda musí provést oznámení. — Provést níže uvedená ochranná opatření s cílem umožnit orgánům výkon dozoru nad posouzením učiněným zahrnutými subjekty ohledně toho, zda učinit oznámení: — zajistit, aby takové subjekty byly povinny podat oznámení orgánům o všech narušeních, které odpovídají požadovanému kritériu; — pověřit orgány dozorčí úlohou, která jim umožní postupovat selektivně, a být tak efektivní. Za účelem dosažení výše uvedeného je třeba vložit toto znění: „Nebylo-li dotčenému účastníkovi nebo jednotlivci již učiněno oznámení, může příslušný vnitrostátní orgán, po zvážení povahy narušení, požadovat po poskytovatelích veřejně dostupných služeb elektronických komunikací nebo poskytovatelích služeb informační společnosti, aby tak učinili.“ — přijmout nové ustanovení požadující po subjektech, aby vedly podrobné a komplexní záznamy vnitřního auditu. Toho by mohlo být dosaženo přijetím tohoto znění: „Poskytovatelé veřejně dostupných služeb elektronických komunikací a poskytovatelé služeb informační společnosti vedou a uchovávají komplexní záznamy podrobně uvádějící všechna narušení bezpečnosti, k nimž došlo, příslušné technické informace s nimi související a přijatá nápravná opatření. Záznamy rovněž obsahují odkaz ke všem oznámením vydaným dotčeným účastníkům nebo jednotlivcům a příslušným vnitrostátním orgánům, včetně jejich data a obsahu. Záznamy budou na požádání poskytnuty příslušnému vnitrostátnímu orgánu.“ — Umožnit Komisi přijmout technická prováděcí opatření, a to po předchozí konzultaci s EIOÚ, Pracovní skupinou zřízenou podle článku 29 a dalšími příslušnými zúčastněnými stranami, aby se zajistila soudržnost při provádění rámce týkajícího se narušení bezpečnosti. — Pokud jde o jednotlivce, kterým má být podáno oznámení, použít terminologii Komise nebo Evropského parlamentu „dotčení jednotlivci“ nebo „poškození uživatelé“, protože zahrnuje všechny jednotlivce, jejichž osobní údaje byly ohroženy.