97.

Euroopa Parlament, komisjon ja nõukogu kasutavad turvarikkumistest teatamise suhtes igaüks erinevat lähenemisviisi. Kolme mudeli erinevused seisnevad muu hulgas selles, milliseid üksusi turvarikkumisest teatamise kohustus hõlmab, millise standardi alusel teatamine toimub, millistele andmesubjektidele tuleb rikkumisest teatada jne. EP ja nõukogu peavad tegema kõik neist oleneva turvarikkumiste käsitlemise kindla õigusliku raamistiku koostamiseks. Selleks peaksid EP ja nõukogu: — säilitama EP, nõukogu ja komisjoni tekstides turvarikkumise määratluse, kuna see on piisavalt lai hõlmamaks enamikku olukordadest, mille puhul võiks eeldada turvarikkumisest teatamist; — kavandatud teatamisnõudega hõlmatud üksuste osas lisada infoühiskonna teenuste osutajad. Turvarikkumisi võib internetikaupluste, internetipankade ja internetiapteekide puhul esineda sama tõenäoliselt kui telekommunikatsiooniettevõtete puhul, võib-olla isegi tõenäolisemalt. Kodanikud eeldavad teatamist mitte üksnes internetiühenduse pakkujaid tabanud turvarikkumiste puhul, vaid eelkõige nende internetipanka või internetiapteeki tabanud turvarikkumiste puhul; — teatamise põhjuste osas on asjakohaseks komisjoni muudetud ettepanekus sisalduv standard „suhteliselt tõenäoliselt ohustamise” kohta, mis tagab süsteemi toimimise. Siiski on oluline tagada, et mõiste „ohustamine” oleks piisavalt lai hõlmamaks kõiki asjakohaseid juhtumeid negatiivse mõju kohta üksikisikute eraelu puutumatusele või muudele seaduslikele huvidele. Vastasel juhul tuleks eelistada uue standardi loomist, mille kohaselt teatamine oleks kohustuslik, „kui turvarikkumine avaldab suhteliselt tõenäoliselt üksikisikutele kahjulikku mõju”. Nõukogu lähenemisviis, mille kohaselt peaks turvarikkumine kellegi eraelu puutumatust tõsiselt kahjustama, pakuks üksikisikutele puudulikku kaitset, sest sellise standardi alusel peaks eraelu puutumatusele tehtud kahju olema „tõsine”. Samuti võimaldaks see subjektiivset hindamist; — kuigi ametiasutuse kaasamisel selle otsustamisse, kas asjaomane üksus peab üksikisikuid teavitama, on positiivne mõju, võib see osutuda ebapraktiliseks ja raskesti teostatavaks ning samuti võib see võtta ära ressursse muudelt olulistelt prioriteetidelt. Euroopa andmekaitseinspektor kardab, et kui ametiasutustel ei ole võimalik äärmiselt kiiresti reageerida, siis võib selline süsteem isegi vähendada üksikisikute kaitset ja seada ametiasutused tarbetu surve alla. Seetõttu soovitab Euroopa andmekaitseinspektor üldiselt luua süsteem, mille kohaselt jääks teatamise vajalikkuse hindamine asjaomase üksuse otsustada; — võimaldamaks ametiasutustel teostada järelevalvet hõlmatud üksuste poolt teatamise vajalikkuse hindamise üle, rakendada järgmisi kaitsemeetmeid: — tagada, et kõnealustel üksustel on kohustus teavitada ametiasutusi kõigist kehtestatud standardile vastavatest rikkumistest; — anda ametiasutustele järelevalveülesanne, mis võimaldaks neil teha valikuid tõhusa tegevuse tagamiseks. Eespool nimetatu saavutamiseks, lisada järgmine tekst: „Kui abonenti või asjaomast isikut ei ole veel teavitatud, võib riigi pädev asutus pärast turvarikkumise laadi analüüsimist nõuda, et üldkasutatavate elektroonilise side teenuste osutaja või infoühiskonna teenuste osutaja teavitaks abonenti või asjaomast isikut rikkumisest.”; — võtta vastu uus säte, millega nõutakse üksustelt üksikasjalike ja terviklike siseauditiandmete säilitamist. Seda oleks võimalik saavutada järgmiselt sõnastatud teksti lisamisega: „Üldkasutatavate elektroonilise side teenuste osutajad ja infoühiskonna teenuste osutajad registreerivad ja säilitavad põhjalikud andmed kõigi esinenud turvarikkumiste üksikasjade, rikkumistega seotud asjakohaste tehniliste andmete ja võetud parandusmeetmete kohta. Andmed peavad sisaldama ka viidet kõigi abonentidele või asjaomastele üksikisikutele ning riigi pädevatele asutustele saadetut teadete kohta, sealhulgas teadete saatmise kuupäeva ja sisu. Andmed edastatakse nõudmisel riigi pädevale asutusele.”; — turvarikkumisi käsitleva raamistiku rakendamise järjepidevuse kindlustamiseks anda komisjonile võimalus võtta vastu tehnilisi rakendusmeetmeid pärast konsulteerimist Euroopa andmekaitseinspektoriga, artikli 29 töörühmaga ja muude asjakohaste sidusrühmadega; — isikute puhul, kellele turvarikkumisest teatatakse, kasutada komisjoni või EP mõisteid „asjaomased isikud” või „mõjutatud kasutajad”, sest see hõlmab kõiki isikuid, kelle isikuandmete puutumatust on rikutud.