80.

Wat de voorgestelde NIB-richtlijn betreft, adviseert de EDPS de wetgevers om: — in artikel 3, lid 8, meer duidelijkheid en zekerheid te verschaffen over de omschrijving van de marktdeelnemers die vallen binnen de reikwijdte van het voorstel, en om een uitgebreide lijst op te stellen die alle relevante belanghebbenden omvat, teneinde te zorgen voor een volledig geharmoniseerde en geïntegreerde aanpak van beveiliging binnen de EU; — in artikel 1, lid 2, onder c) te verduidelijken dat de voorgestelde richtlijn van toepassing is op EU-instellingen en organen, en in artikel 1, lid 5, van het voorstel een verwijzing op te nemen naar Verordening (EG) nr. 45/2001; — een meer horizontale rol voor dit voorstel ten aanzien van beveiliging toe te kennen, door in artikel 1 expliciet te bepalen dat het onverminderd van toepassing is op bestaande of toekomstige, meer uitgebreide regels op specifieke gebieden (zoals uit te vaardigen regels ten aanzien van aanbieders van vertrouwensdiensten in de voorgestelde verordening betreffende elektronische identificatie); — een overweging toe te voegen waarin de noodzaak wordt uitgelegd om specifiek ingebouwde en standaard-gegevensbescherming in te bedden, en zulks reeds in een vroeg ontwerpstadium van de in het voorstel vastgestelde mechanismen en gedurende de gehele levenscyclus van betrokken processen, procedures, organisaties, technieken en infrastructuren, met inachtneming van de voorgestelde verordening gegevensbescherming; — de omschrijvingen „netwerk- en informatiesysteem” in artikel 3, lid 1, en van „incident” in artikel 3, lid 4 te verduidelijken en in artikel 5, lid 2 de verplichting om een „risicobeoordelingsplan” vast te stellen te vervangen door „het opzetten en in stand houden van een risicobeheerskader”; — in artikel 1, lid 6, te specificeren dat de verwerking van persoonsgegevens gerechtvaardigd is uit hoofde van artikel 7, onder e), van Richtlijn 95/46/EG voor zover het nodig is om de in de voorgestelde richtlijn nagestreefde doelstellingen van algemeen belang te verwezenlijken. De eerbiediging van de beginselen van noodzakelijkheid en evenredigheid dient echter te worden gewaarborgd, zodat alleen de gegevens die strikt noodzakelijk zijn om de doelstelling te verwezenlijken worden verwerkt; — in artikel 14 de voorwaarden waaronder een melding vereist is vast te leggen, alsmede de inhoud en het formaat van de melding, waaronder de soorten persoonsgegevens die moeten worden gemeld en of de melding en haar ondersteunende documenten al dan niet en zo ja in welke mate bijzonderheden bevat van persoonsgegevens waarop een specifiek beveiligingsincident betrekking heeft (zoals IP-adressen). Er moet rekenschap worden gegeven van het feit dat bevoegde NIB-autoriteiten alleen persoonsgegevens in het kader van een beveiligingsincident mogen verzamelen en verwerken wanneer dit strikt noodzakelijk is. Er moeten passende waarborgen in het voorstel worden opgenomen om te zorgen voor adequate bescherming van de gegevens die door de bevoegde NIB-autoriteiten worden verwerkt; — in artikel 14 te verduidelijken dat incidentmeldingen zoals bedoeld in artikel 14, lid 2, onverminderd vallen onder de meldingsplicht van inbreuken in verband met persoonsgegevens, ingevolge toepasselijke gegevensbeschermingswetgeving. In het voorstel moeten de voornaamste aspecten worden opgenomen van de procedure voor samenwerking van bevoegde NIB-autoriteiten met gegevensbeschermingsautoriteiten in gevallen waarbij het beveiligingsincident betrekking heeft op een inbreuk in verband met persoonsgegevens; — artikel 14, lid 8, zodanig te wijzigen dat de uitsluiting van micro-ondernemingen van de werkingssfeer van de melding niet geldt voor deelnemers die een cruciale rol spelen in de levering van informatiemaatschappijdiensten, bijvoorbeeld gezien de aard van de informatie die zij verwerken (bijvoorbeeld biometrische of gevoelige gegevens); — bepalingen aan het voorstel toe te voegen ter regulering van verdere uitwisselingen van persoonsgegevens door bevoegde NIB-autoriteiten met andere ontvangers, om ervoor te zorgen dat i) persoonsgegevens alleen worden vrijgegeven aan ontvangers indien verwerking nodig is voor de uitvoering van hun taken volgens een deugdelijke rechtsgrondslag en ii) dergelijke samenwerking beperkt blijft tot wat nodig is voor de uitvoering van hun taken. Er moet ook worden gelet op de wijze waarop organisaties die gegevens leveren aan het netwerk voor informatie-uitwisseling zorgen voor naleving van het beginsel van doelafbakening; — een tijdlimiet aan te geven voor het bewaren van persoonsgegevens voor de in de voorgestelde richtlijn vermelde doelen, in het bijzonder als het gaat om het bewaren van dergelijke gegevens door bevoegde NIB-autoriteiten en binnen de beveiligingsinfrastructuur van het samenwerkingsnetwerk; — de bevoegde NIB-autoriteiten te herinneren aan hun plicht om betrokkenen deugdelijke informatie te verschaffen over de verwerking van persoonsgegevens, bijvoorbeeld door een privacybeleid op hun website te publiceren; — een bepaling toe te voegen ten aanzien van het beveiligingsniveau waaraan bevoegde NIB-autoriteiten dienen te voldoen met betrekking tot verzamelde, verwerkte en uitgewisselde informatie. Er moet een specifieke verwijzing naar de beveiligingsvereisten van artikel 17 van Richtlijn 95/46/EG worden opgenomen met betrekking tot de bescherming van persoonsgegevens door bevoegde NIB-autoriteiten; — in artikel 9, lid 2, te verduidelijken dat de criteria voor de deelname van lidstaten aan het beveiligde informatie-uitwisselingsnetwerk ervoor moeten zorgen dat het niveau van beveiliging en veerkracht door alle deelnemers aan informatie-uitwisselingssystemen in alle verwerkingsstadia worden gewaarborgd. Deze criteria moeten passende maatregelen op het gebied van vertrouwelijkheid en beveiliging omvatten, overeenkomstig artikelen 16 en 17 van Richtlijn 95/46/EG en artikelen 21 en 22 van Verordening (EG) nr. 45/2001. De Commissie dient uitdrukkelijk gebonden te zijn aan deze criteria voor wat betreft haar deelname als voor de gegevensverwerking verantwoordelijke in het beveiligde informatie-uitwisselingssysteem; — in artikel 9 een beschrijving toe te voegen van de taken en verantwoordelijkheden van de Commissie en de lidstaten bij het opzetten, gebruiken en in stand houden van het informatie-uitwisselingssysteem en te bepalen dat het systeem moet worden ontworpen volgens de beginselen van ingebouwde en standaard-gegevensbescherming en van ingebouwde beveiliging; en — in artikel 13 toe te voegen dat elke overdracht van persoonsgegevens aan ontvangers in landen buiten de EU dient te geschieden in overeenstemming met de artikelen 25 en 26 van Richtlijn 95/46/EG en artikel 9 van Verordening (EG) Nr. 45/2001.