Les paragraphes ▐ suivants sont ajoutés:

«3. En cas de violation de la sécurité entraînant accidentellement ou de manière illicite la destruction, la perte, l'altération, la divulgation ou l'accès non autorisés de données à caractère personnel transmises, stockées ou traitées d'une autre manière en relation avec la fourniture de services de communications accessibles au public dans la Communauté, le fournisseur de services de communications électroniques accessibles au public et toute entreprise fournissant des services aux consommateurs via l'internet et qui est le responsable du traitement des données et le fournisseur de services de la société de l'information informent sans retard indu ▐ l'autorité réglementaire nationale ou l'autorité compétente en vertu du droit national de l'État membre de cette violation. La notification faite à l'autorité compétente décrit au minimum la nature de la violation et recommande des mesures à prendre pour en atténuer les conséquences négatives possibles. Ladite notification ▐ décrit en outre les conséquences de la violation et les mesures prises par le fournisseur pour y remédier.

Le fournisseur de services de communications électroniques accessibles au public et toute entreprise fournissant des services aux consommateurs via l'internet, qui est le responsable du traitement des données et le fournisseur de services de la société de l'information, informent préalablement leurs utilisateurs pour éviter un danger imminent et direct pour les droits et les intérêts des consommateurs.

La notification d'une violation de sécurité à un abonné ou un particulier n'est pas nécessaire si le fournisseur a prouvé à l'autorité compétente qu'il a mis en œuvre les mesures de protection technologiques appropriées et que ces dernières ont été appliquées aux données concernées par ladite violation. De telles mesures de protection rendent les données incompréhensibles à toute personne qui n'est pas autorisée à y avoir accès.

4. L'autorité compétente examine la violation et en détermine la gravité. Si la violation est jugée grave, l'autorité compétente demande au fournisseur de services de communications électroniques accessibles au public et au fournisseur de services de la société de l'information d'avertir, d'une manière appropriée et sans délai indu, les personnes affectées par la violation. Cette notification contient les informations visées au paragraphe 3.

La notification d'une violation grave peut être retardée lorsqu'elle risque d'entraver l'avancement d'une enquête pénale relative à cette violation.

Les fournisseurs notifient chaque année aux utilisateurs affectés toutes les violations de la sécurité qui ont entraîné accidentellement ou de manière illicite la destruction, la perte ou l'altération, ou la divulgation ou l'accès non autorisés de données à caractère personnel transmises, stockées ou traitées d'une autre manière en relation avec la fourniture de services de communications accessibles au public dans la Communauté.

Les autorités réglementaires nationales vérifient également si les entreprises se sont conformées à leurs obligations de notification au titre du présent article et infligent les sanctions appropriées, y compris la publication, s'il y a lieu, en cas de non-respect de ces obligations .

5. La gravité d'une violation nécessitant sa notification aux abonnés est déterminée en fonction des circonstances de la violation, comme le risque qu'elle représente pour les données à caractère personnel concernées, le type de données concernées, le nombre d'abonnés impliqués et les conséquences immédiates ou potentielles de la violation sur la fourniture des services.

6. Afin d'assurer une mise en œuvre cohérente des mesures visées aux paragraphes 1 à 5, la Commission recommande , après consultation ▐ du contrôleur européen de la protection des données, des parties prenantes concernées et de l'Agence européenne chargée de la sécurité des réseaux et de l'information (ENISA) , des mesures de mise en œuvre techniques concernant notamment les mesures décrites au paragraphe 1 bis et les circonstances, le format et les procédures applicables aux exigences en matière d'information et de notification visées aux paragraphes 4 et 5 .

La Commission associe toutes les parties prenantes concernées, notamment afin de s'informer des meilleures méthodes techniques et économiques disponibles aptes à améliorer la mise en œuvre de la présente directive. Ces mesures, qui visent à modifier des éléments non essentiels de la présente directive en la complétant, sont arrêtées en conformité avec la procédure de réglementation avec contrôle visée à l'article 14 bis, paragraphe 2. Pour des raisons d'urgence impérieuses, la Commission peut avoir recours à la procédure d'urgence visée à l'article 14 bis, paragraphe 3.»