97.

Euroopan parlamentti, komissio ja neuvosto ovat kaikki hyväksyneet erilaiset lähestymistavat turvaloukkauksista ilmoittamiseen. Näiden kolmen mallin välillä on eroja muun muassa niiden tahojen osalta, joita velvoite koskee, ilmoituksen perusteen tai käynnistymisen osalta, rekisteröidyille ilmoittamisen osalta jne. EP:n ja neuvoston on tehtävä parhaansa tietoturvaloukkauksia koskevien kestävien oikeudellisten puitteiden luomiseksi. Tätä varten EP:n ja neuvoston tulisi: — Säilyttää EP:n, neuvoston ja komission tekstien mukainen tietoturvaloukkauksen määritelmä, sillä se on riittävän laaja sisältääkseen useimmat kysymykseen tulevat tilanteet, joissa tietoturvaloukkauksista ilmoittaminen saattaa tulla kysymykseen. — Sisällyttää tietoyhteiskunnan palvelujen tarjoajat niihin tahoihin, joita ehdotettu ilmoitusvelvoite koskee. Verkossa toimivat vähittäiskauppiaat, pankit ja apteekit ovat yhtä mahdollisia tietoturvaloukkausten kohteita kuin televiestintäyritykset. Kansalaiset odottavat saavansa ilmoituksen sekä silloin, kun Internet-yhteyden tarjoajiin kohdistuu tietoturvaloukkauksia, että erityisesti silloin, kun loukkaukset kohdistuvat heidän käyttämiinsä verkkopankkeihin ja -apteekkeihin. — Ilmoituksen antamisen käynnistymisen osalta muutetun ehdotuksen mukainen peruste ”kohtuullisen todennäköisesti aiheuttaisi haittaa” on asianmukainen ja takaa järjestelmän toimivuuden. On kuitenkin tärkeää varmistaa, että ”haitta” määritellään riittävän laajasti, jotta se kattaa kaikki asiaankuuluvat kielteiset vaikutukset henkilöiden yksityisyyden tai muiden oikeutettujen etujen kannalta. Muussa tapauksessa olisi suositeltavaa luoda uusi peruste, jonka mukaan ilmoittaminen olisi pakollista, ”jos loukkaus aiheuttaa kohtuullisen todennäköisesti haittaa henkilöille”. Neuvoston lähestymistapa, joka edellyttää, että loukkaus vaikuttaa vakavasti henkilön yksityisyyteen, antaisi riittämättömän suojan kansalaisille, koska tällainen peruste edellyttää yksityisyyteen kohdistuvan vaikutuksen olevan ”vakavan”. Tämä mahdollistaa myös subjektiivisen arvioinnin. — Vaikka viranomaisen osallistumisella sen päättämiseen, onko tietyn tahon ilmoitettava loukkauksesta yksilöille, on myönteisiä vaikutuksia, tämä saattaa olla epäkäytännöllistä ja vaikeaa soveltaa ja voi myös viedä voimavaroja muilta tärkeiltä painopisteiltä. Mikäli viranomaiset eivät voi toimia hyvin nopeasti, tietosuojavaltuutettu pelkää, että tämä järjestelmä voi jopa vähentää yksilöiden suojaa ja aiheuttaa viranomaisiin kohdistuvaa aiheetonta painetta. Näin ollen Euroopan tietosuojavaltuutettu kehottaa yleisesti perustamaan järjestelmän, jossa kyseisten tahojen asiana on suorittaa ilmoittamista koskeva arviointi. — Jotta viranomaiset voisivat harjoittaa kyseisten tahojen tekemien ilmoittamista koskevien arvioiden valvontaa, on toteutettava seuraavat toimenpiteet: — Varmistetaan, että kyseiset tahot ovat velvoitettuja ilmoittamaan viranomaisille kaikista asianomaisen perusteen mukaisista loukkauksista. — Annetaan viranomaisille valvontatehtävä, joka mahdollistaa valikoivuuden tehokkuuden nimissä. Tämän saavuttamiseksi käytetään seuraavia muotoiluja: ”Jos tilaaja tai kyseinen henkilö ei ole vielä saanut ilmoitusta, toimivaltainen kansallinen viranomainen voi arvioituaan loukkauksen laatua edellyttää, että yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoaja tai tietoyhteiskunnan palvelujen tarjoaja antaa ilmoituksen”. — Hyväksytään uusi säännös, jossa velvoitetaan ylläpitämään yksityiskohtaista ja kattavaa sisäistä kirjausketjua. Tämä voitaisiin saavuttaa seuraavanlaista muotoilua käyttämällä: ”Yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajien ja tietoyhteiskunnan palvelujen tarjoajien on pidettävä ja säilytettävä yllä kattavia rekistereitä, joissa on yksityiskohtaiset tiedot kaikista tapahtuneista tietoturvaloukkauksista, niihin liittyvät merkitykselliset tekniset tiedot sekä tiedot toteutetuista korjaustoimista. Tiedoissa on myös mainittava kaikki tilaajille tai kyseisille henkilöille ja toimivaltaisille kansallisille viranomaisille lähetetyt ilmoitukset, niiden päivämäärät ja sisältö mukaan luettuina. Nämä asiakirjat on pyynnöstä esitettävä toimivaltaiselle viranomaiselle.” — Tietoturvaloukkaussäännöstön yhdenmukaisen toteuttamisen varmistamiseksi komissiolle on annettava valtuudet hyväksyä teknisiä täytäntöönpanotoimia kuultuaan ensin Euroopan tietosuojavaltuutettua, 29 artiklan työryhmää ja asianomaisia sidosryhmiä. — On käytettävä niiden henkilöiden osalta, joille ilmoitus on lähetettävä, komission tai EP:n ilmaisuja ”kohteeksi joutuneet henkilöt” tai ”asianomaiset käyttäjät”, sillä niihin sisältyvät kaikki henkilöt, joiden henkilötiedot ovat vaarantuneet.