97.

Het Europees Parlement, de Commissie en de Raad hebben de kennisgeving van inbreuken op de beveiliging op verschillende manieren benaderd. De drie voorgestelde regelingen verschillen van elkaar onder meer wat betreft de entiteiten waarvoor de verplichting geldt, het criterium of de drempel voor kennisgeving, de betrokkenen die recht hebben op kennisgeving enz. Het EP en de Raad moeten alles in het werk stellen om tot een solide wetgevingskader te komen, en daarom wordt het volgende aanbevolen: — de definitie van een inbreuk op de beveiliging in de teksten van het EP, de Raad en de Commissie moet behouden blijven: zij is ruim genoeg om de meeste situaties te bestrijken waarin kennisgeving van een inbreuk op de beveiliging gerechtvaardigd zou zijn — wat betreft de entiteiten die onder de voorgestelde meldingsplicht zouden moeten vallen: aanbieders van diensten van de informatiemaatschappijen dienen in het toepassingsgebied te worden opgenomen. Onlinekleinhandels, onlinebanken, onlineapotheken kunnen evenzeer, of zelfs meer dan telecommunicatiebedrijven, het slachtoffer van dergelijke inbreuken zijn. Burgers zullen een melding verwachten, niet alleen wanneer een aanbieder van internettoegang het slachtoffer is van een inbreuk op de beveiliging, maar vooral wanneer dit hun onlinebank of onlineapotheek overkomt. — Wat de drempel voor kennisgeving betreft is het criterium van het gewijzigde voorstel (meer dan „een zeer geringe kans op schade”) geschikt voor een werkbare regeling. Wel is het zaak het woord „schade” zo ruim te definiëren dat alle vormen van negatieve impact op de persoonlijke levenssfeer of andere rechtmatige belangen van natuurlijke personen eronder vallen. Anders is een nieuw criterium te verkiezen, waarbij kennisgeving verplicht zou zijn wanneer „redelijkerwijs mag worden aangenomen dat de inbreuk negatieve gevolgen zal hebben voor natuurlijke personen”. Het door de Raad voorgestelde criterium, dat de inbreuk de persoonlijke levenssfeer ernstig moet schenden, zou natuurlijke personen onvoldoende bescherming bieden, omdat volgens dit criterium de gevolgen voor de persoonlijke levenssfeer „ernstig” moeten zijn. Dit laat bovendien ruimte voor subjectieve evaluatie. — Wat betreft de afweging of een betrokken entiteit personen van een inbreuk in kennis moet stellen, kan het ontegenzeglijk positief zijn hierbij een bevoegde instantie te betrekken, maar het is niet denkbeeldig dat dit onpraktisch en moeilijk zal blijken te zijn, en dat hieraan middelen voor andere belangrijke prioriteiten zullen worden opgeofferd. Indien de bevoegde instanties niet in staat zijn bijzonder snel te reageren, vreest de EDPS dat deze regeling natuurlijke personen zelfs minder bescherming zal bieden dan voorheen, en dat zij voor de instanties zelf te belastend zal zijn. Alles bij elkaar genomen adviseert de EDPS dan ook een regeling in te voeren waarbij de afweging of tot een melding moet worden overgegaan, door de betrokken entiteit zelf wordt gemaakt. — Om autoriteiten in staat te stellen toezicht te houden op de door de betrokken entiteiten gemaakte afwegingen met betrekking tot de meldingsplicht, moeten de volgende garanties worden ingebouwd: — de entiteiten moeten verplicht worden alle inbreuken die aan het vastgestelde criterium voldoen, aan de autoriteiten te melden. — aan de autoriteiten moet een toezichtsrol worden toegekend zodat zij selectief en dus efficiënt kunnen optreden. Met het oog hierop de volgende bepaling invoegen: „Indien de betrokken abonnee of persoon nog niet van de inbreuk in kennis is gesteld, kan de bevoegde nationale instantie, na beoordeling van de aard van de inbreuk, de aanbieders van openbare elektronische-communicatiediensten en de aanbieders van diensten van de informatiemaatschappij verzoeken dit alsnog te doen.” — er moet een nieuwe bepaling worden aangenomen waarbij entiteiten verplicht worden een volledig en gedetailleerd intern evaluatieverslag bij te houden. Die bepaling zou als volgt kunnen luiden: „Aanbieders van openbare elektronische-communicatiediensten en aanbieders van diensten van de informatiemaatschappij maken en bewaren een uitvoerig verslag over alle inbreuken op de beveiliging die zich hebben voorgedaan, de nuttige technische informatie in dit verband en de corrigerende maatregelen die zij hebben genomen. In dit verslag wordt ook verwezen naar alle meldingen die aan de betrokken abonnees of personen, alsook aan de bevoegde nationale instanties zijn gedaan, met vermelding van de datum en inhoud ervan. Het verslag wordt desgevraagd aan de bevoegde nationale instantie voorgelegd.” — Met het oog op een coherente toepassing van het kader voor inbreuken op de beveiliging moet de Commissie worden gemachtigd om, na overleg met de EDPS, de Groep artikel 29 en andere betrokkenen, technische uitvoeringsmaatregelen aan te nemen. — Wat betreft de natuurlijke personen aan wie de inbreuk moet worden gemeld, moet de terminologie van de Commissie of het EP („betrokken personen” of „getroffen gebruikers”) worden gebruikt, omdat deze alle natuurlijke personen bestrijkt van wie de persoonsgegevens zijn gecompromitteerd.