80.

A hálózat- és információbiztonságra vonatkozó irányelvjavaslattal kapcsolatban az európai adatvédelmi biztos a következő javaslatokat teszi a jogalkotóknak: — a 3. cikk (8) bekezdésében egyértelműbben és minden kétséget kizáróan meg kell határozni a javaslat hatálya alá tartozó piaci szereplők fogalmát, és a biztonságra vonatkozóan az Unión belüli harmonizált és integrált megközelítés biztosítása céljából teljes körű listát kell készíteni, amelyen az összes érintett érdekelt fél szerepel, — az 1. cikk (2) bekezdésének c) pontjában pontosítani kell, hogy az irányelvjavaslat az uniós intézményekre és szervekre alkalmazandó, és a javaslat 1. cikkének (5) bekezdését ki kell egészíteni a 45/2001/EK rendeletre való utalással, — e javaslat tekintetében el kell ismerni a biztonság horizontálisabb szerepét azzal, hogy az 1. cikkben kifejezetten rendelkeznek arról, hogy a javaslat – az egyes konkrét területeken érvényes jelenlegi vagy jövőbeni részletesebb szabályok (pl. a bizalmi szolgáltatások nyújtóira vonatkozóan az elektronikus azonosításra vonatkozó rendeletjavaslatban meghatározandó szabályok) sérelme nélkül – általánosan alkalmazandó, — ki kell egészíteni a szöveget egy preambulumbekezdéssel, amely kifejti annak szükségességét, hogy a beépített és az alapértelmezett adatvédelmet már a javaslatban meghatározott mechanizmusok tervezésének korai szakaszától kezdődően, az érintett folyamatok, eljárások, szervezetek, technikák és infrastruktúrák teljes élettartama alatt – figyelemmel az adatvédelmi rendelet tervezetére – be kell építeni, — pontosítani kell a 3. cikk (1) bekezdésében a „hálózati és információs rendszer”, valamint a 3. cikk (4) bekezdésében a „biztonsági esemény” fogalmát, továbbá az 5. cikk (2) bekezdésében a „kockázatértékelési terv” létrehozására irányuló kötelezettség helyébe a „kockázatkezelési keret létrehozása és fenntartása” szöveget kell illeszteni, — az 1. cikk (6) bekezdésében szerepeltetni kell, hogy a személyes adatok feldolgozása a 95/46/EK irányelv 7. cikkének e) pontja értelmében indokolt, amennyiben az irányelvjavaslat közérdekű céljainak eléréséhez szükséges. A szükségesség és az arányosság elvének kellő tiszteletben tartását azonban biztosítani kell, hogy csak a cél eléréséhez feltétlenül szükséges adatokat dolgozzák fel, — meg kell határozni a 14. cikkben azokat a körülményeket, amikor kötelező a bejelentés, továbbá a bejelentés tartalmát és formáját – a bejelentendő személyes adatok típusát és azt is beleértve, hogy a bejelentés és az ahhoz csatolt igazoló dokumentumok tartalmaznak-e – és ha igen, milyen mértékben – a konkrét biztonsági esemény által érintett személyes adatokat (pl. IP-címeket). Figyelmet kell fordítani arra, hogy a hálózat- és információbiztonság területén illetékes hatóságok számára csak a feltétlenül szükséges mértékig tegyék lehetővé személyes adatok biztonsági esemény keretében történő gyűjtését és feldolgozását. A hálózat- és információbiztonság területén illetékes hatóságok által feldolgozott adatok megfelelő védelmének biztosítása céljából megfelelő biztosítékokat kell beépíteni a javaslatba, — pontosítani kell a 14. cikkben, hogy az események 14. cikk (2) bekezdése szerinti bejelentését a személyes adatok megsértésének az alkalmazandó adatvédelmi jogszabályok szerinti bejelentésére vonatkozó kötelezettségek sérelme nélkül kell megtenni. Olyan esetekre vonatkozóan, amikor a biztonsági esemény személyes adatok megsértésével jár, a hálózat- és információbiztonság területén illetékes hatóságok és az adatvédelmi hatóságok közötti együttműködésre vonatkozó eljárás főbb szempontjait rögzíteni kell a javaslatban, — módosítani kell a 14. cikk (8) bekezdését olyan módon, hogy a mikrovállalkozásoknak a bejelentésre kötelezettek köréből való kizárása ne vonatkozzon azon piaci szereplőkre, amelyek fontos szerepet töltenek be az információs társadalmi szolgáltatások nyújtásában – tekintettel például az általuk feldolgozott információk jellegére (pl. biometrikus adatok vagy érzékeny adatok), — a javaslatot ki kell egészíteni olyan rendelkezésekkel, amelyek személyes adatoknak a hálózat- és információbiztonság területén illetékes hatóságok és más címzettek közötti további cseréjét szabályozzák – annak biztosítása érdekében, hogy i. személyes adatok csak olyan címzettekhez jutnak el, akik számára azok – megfelelő jogalappal történő – feldolgozása feladataik teljesítéséhez szükséges, és ii. a szóban forgó információk köre nem haladja meg a feladataik teljesítéséhez szükséges mértéket. Azt is figyelembe kell venni, hogy az információmegosztási hálózatnak adatokat szolgáltató jogalanyok hogyan biztosítják a célhoz kötöttség elvének betartását, — meg kell határozni a személyes adatoknak az irányelvjavaslatban foglalt célokra való megőrzésének határidejét, különösen a hálózat- és információbiztonság területén illetékes hatóságok általi, valamint az együttműködési hálózat biztonságos infrastruktúráján belüli megőrzést illetően, — emlékeztetni kell a hálózat- és információbiztonság területén illetékes hatóságokat arra a kötelezettségükre, hogy nyújtsanak megfelelő tájékoztatást a személyes adatok feldolgozásáról az érintetteknek – például úgy, hogy adatvédelmi politikát tesznek közzé a honlapjukon, — ki kell egészíteni a szöveget a biztonsági szintre vonatkozó rendelkezéssel, amelyet a hálózat- és információbiztonság területén illetékes hatóságoknak a gyűjtött, feldolgozott, illetve cserélt információk tekintetében be kell tartaniuk. A személyes adatoknak a hálózat- és információbiztonság területén illetékes hatóságok általi védelmével kapcsolatban kifejezetten utalni kell a 95/46/EK irányelv 17. cikkének biztonsági követelményeire, — pontosítani kell a 9. cikk (2) bekezdésében, hogy a biztonságos információmegosztási rendszerben való tagállami részvétel kritériumainak biztosítaniuk kell, hogy az e rendszerben részt vevő valamennyi szereplő a feldolgozás minden szakaszában magas szintű biztonságot és ellenálló képességet garantáljon. E kritériumok között – a 95/46/EK irányelv 16. és 17. cikkével, valamint a 45/2001/EK rendelet 21. és 22. cikkével összhangban – megfelelő titoktartási és biztonsági intézkedéseknek is szerepelniük kell. A Bizottságra nézve – a biztonságos információmegosztási rendszerben adatkezelőként való részvétele esetén – e kritériumoknak kifejezetten kötelezőnek kell lenniük, — a 9. cikket ki kell egészíteni a Bizottság és a tagállamok által a biztonságos információmegosztási rendszer létrehozása, üzemeltetése és fenntartása terén betöltendő szerep, illetve feladatok leírásával, és rendelkezni kell arról, hogy a rendszer tervezését a beépített és az alapértelmezett adatvédelem, valamint a beépített biztonság elveivel összhangban kell végezni, és — a 13. cikket ki kell egészíteni azzal, hogy az Unión kívüli országokban letelepedett címzetteknek történő személyesadat-továbbítást a 95/46/EK irányelv 25. és 26. cikkével, valamint a 45/2001/EK rendelet 9. cikkével összhangban kell végezni.