97.

EP, Kommissionen og Rådet har hver især vedtaget en tilgang til underretning om sikkerhedsbrud. Der er forskelle mellem de tre modeller, bl.a. med hensyn til de enheder, der er omfattet af forpligtelsen, kriteriet eller den udløsende faktor for underretningen, de registrerede, der har ret til at blive underrettet osv. EP og Rådet skal gøre deres yderste for at udforme en solid retlig ramme for sikkerhedsbrud. Med henblik herpå henstilles følgende til EP og Rådet: — definitionen af sikkerhedsbrud i EP's, Rådets og Kommissionens tekster bør fastholdes, da den er bred nok til at omfatte de fleste af de situationer, hvor der vil være behov for underretning om sikkerhedsbrud. — Udbydere af informationssamfundstjenester bør være omfattet af de foreslåede underretningskrav. Online-forhandlere, online-banker og online-apoteker er i lige så stor fare for sikkerhedsbrud som telekommunikationsselskaber, om ikke større. Borgere vil forvente at blive underrettet, ikke kun når udbydere af internetadgang udsættes for sikkerhedsbrud, men navnlig, når dette sker for deres online-banker og online-apoteker. — med hensyn til den udløsende faktor for underretning er kriteriet i det ændrede forslag »med rimelig sandsynlighed vil skade« et hensigtsmæssigt kriterium, der betyder, at ordningen fungerer. Dog er det vigtigt at sikre, at »skade« er tilstrækkelig bredt til at dække alle relevante tilfælde af negative følger for enkeltpersoners privatliv eller andre legitime interesser. Ellers vil det være at foretrække, at der fastsættes et nyt kriterium, der gør underretning obligatorisk, »hvis bruddet med rimelig sandsynlighed vil have negative følger for enkeltpersoner«. Rådets tilgang, der kræver, at bruddet har en alvorlig indvirkning på privatlivets fred, vil yde utilstrækkelig beskyttelse for enkeltpersoner, idet et sådant kriterium kræver, at indvirkningen på privatlivets fred skal være »alvorlig«. Dette giver også mulighed for en subjektiv vurdering. — Selv om det bestemt har positive virkninger, at en myndighed inddrages i at fastslå, om en berørt enhed skal underrette enkeltpersoner, kan det være upraktisk og vanskeligt at gennemføre og kan også tage ressourcer fra andre vigtige prioriterede områder. Hvis myndighederne ikke kan reagere ekstremt hurtigt, er EDPS bange for, at et sådant system oven i købet kan mindske beskyttelsen af enkeltpersoner og lægge unødigt pres på myndighederne. Således anbefaler EDPS generelt, at der indføres et system, hvor det er op til de berørte enheder at foretage vurderingen af, om de skal underrette. — for at gøre det muligt for myndighederne at få overblik over de vurderinger, som de omfattede enheder foretager med hensyn til, om der skal underrettes, bør der fastsættes følgende sikkerhedsbestemmelser — det bør sikres, at sådanne enheder er forpligtet til at underrette myndighederne om alle sikkerhedsbrud, der opfylder kriteriet — myndighederne bør tildeles en tilsynsrolle, der gør det muligt for dem at være selektive for at være effektive. For at opnå dette indsættes følgende tekst: »Hvis abonnenten eller den berørte person ikke allerede er blevet underrettet, kan den kompetente nationale myndighed efter at have overvejet sikkerhedsbruddets karakter pålægge udbyderne af offentligt tilgængelige elektroniske kommunikationstjenester eller udbyderne af informationssamfundstjenester at foretage underretningen«. — der bør vedtages en ny bestemmelse om, at enheder skal opretholde et detaljeret og omfattende internt revisionsspor. Dette kan opnås ved at vedtage følgende tekst: »Udbyderne af elektroniske kommunikationstjenester i offentlige net og udbyderne af informationssamfundstjenester skal føre og opretholde omfattende fortegnelser over alle sikkerhedsbrud, relevante tekniske oplysninger i den forbindelse og trufne afhjælpende foranstaltninger. Fortegnelserne skal også indeholde en henvisning til alle underretninger til abonnenter eller berørte enkeltpersoner og til de kompetente nationale myndigheder, herunder dato og indhold. Fortegnelserne skal efter anmodning forelægges den kompetente nationale myndighed.« — for at sikre sammenhæng i gennemførelsen af bestemmelserne om sikkerhedsbrud bør der gives Kommissionen mulighed for at vedtage tekniske gennemførelsesforanstaltninger efter forudgående høring af EDPS, Artikel 29-Gruppen og andre relevante interesseparter. — med hensyn til de enkeltpersoner, der skal underrettes, bør Kommissionens eller EP's terminologi »berørte personer« eller »berørte brugere«anvendes, eftersom de omfatter alle enkeltpersoner, hvis personoplysninger er blevet lækket.