80.

W odniesieniu do proponowanej dyrektywy w sprawie bezpieczeństwa sieci i informacji EIOD zaleca, aby prawodawca: — zapewnił większą jasność i pewność dotyczącą zawartej w art. 3 pkt 8 definicji podmiotów gospodarczych, które wchodzą w zakres wniosku, oraz stworzył wyczerpujący wykaz obejmujący wszystkie stosowne zainteresowane strony w celu zapewnienia w pełni zharmonizowanego i zintegrowanego podejścia do bezpieczeństwa w obrębie UE, — wyjaśnił w art. 1 ust. 2 lit. c), że proponowana dyrektywa ma zastosowanie do instytucji i organów UE, oraz zawarł w art. 1 ust. 5 wniosku odniesienie do rozporządzenia (WE) nr 45/2001, — uznał bardziej horyzontalną rolę przedmiotowego wniosku w zakresie bezpieczeństwa poprzez wyraźne wskazanie w art. 1, że powinien on mieć zastosowanie bez uszczerbku dla istniejących lub przyszłych bardziej szczegółowych przepisów w poszczególnych obszarach (takich jak te, które mają obowiązywać dostawców usług zaufania w proponowanym rozporządzeniu w sprawie identyfikacji elektronicznej), — dodał motyw wyjaśniający potrzebę uwzględnienia ochrony danych w sposób domyślny już we wczesnej fazie projektowania mechanizmów ustanawianych we wniosku oraz przez cały okres funkcjonowania stosownych procesów, procedur, organizacji, technik i infrastruktury, przy uwzględnieniu proponowanego rozporządzenia o ochronie danych, — wyjaśnił definicje „sieci i systemów informatycznych” w art. 3 pkt 1 oraz „incydentu” w art. 3 pkt 4 i zastąpił w art. 5 ust. 2 zobowiązanie do „opracowania planu oceny zagrożeń” zobowiązaniem do „opracowania i utrzymania ram zarządzania ryzykiem”, — wskazał w art. 1 ust. 6, że przetwarzanie danych osobowych jest uzasadnione na podstawie art. 7 lit. e) dyrektywy 95/46/WE w zakresie, w jakim jest to konieczne do osiągnięcia celów interesu publicznego realizowanych przez proponowaną dyrektywę. Trzeba wszakże zapewnić należyte poszanowanie zasad konieczności i proporcjonalności, aby przetwarzane były tylko dane ściśle niezbędne do celów, które mają zostać osiągnięte, — określił w art. 14 okoliczności, w których wymagane jest zgłoszenie, jak również treść i formę zgłoszenia, w tym rodzaje danych osobowych, które powinny podlegać zgłoszeniu, oraz to, czy i w jakim stopniu zgłoszenie oraz towarzyszące mu dokumenty będą zawierać szczegóły dotyczące danych osobowych, których dotyczy konkretny incydent zagrażający ich bezpieczeństwu (np. adresów IP). Należy wziąć pod uwagę fakt, że właściwe organy ds. bezpieczeństwa sieci i informacji powinny mieć prawo do gromadzenia oraz przetwarzania danych osobowych w związku z incydentami zagrażającymi ich bezpieczeństwu wyłącznie, gdy jest to bezwzględnie konieczne. We wniosku należy też określić odpowiednie zabezpieczenia, aby zapewnić adekwatną ochronę danych przetwarzanych przez właściwe organy ds. bezpieczeństwa sieci i informacji, — wyjaśnił w art. 14, że zgłoszenia incydentów na mocy art. 14 ust. 2 powinny mieć zastosowanie bez uszczerbku dla obowiązków w zakresie zgłaszania naruszeń dotyczących danych osobowych na mocy obowiązującego prawa o ochronie danych. We wniosku należy określić najważniejsze aspekty procedury współpracy właściwych organów ds. bezpieczeństwa sieci i informacji z organami ochrony danych w przypadkach, gdy incydent w zakresie bezpieczeństwa wiąże się z naruszeniem dotyczącym danych osobowych, — zmienił art. 14 ust. 8 tak, aby wyłączenie mikroprzedsiębiorstw z obowiązku zgłoszeń nie miało zastosowania do tych podmiotów, które odgrywają zasadniczą rolę w świadczeniu usług społeczeństwa informacyjnego, na przykład ze względu na charakter przetwarzanych informacji (np. danych biometrycznych lub danych szczególnie chronionych), — uzupełnił wniosek o przepisy dotyczące dalszej wymiany danych osobowych przez właściwe organy ds. bezpieczeństwa sieci i informacji z innymi odbiorcami w celu dopilnowania, aby: (i) dane osobowe były ujawniane jedynie tym odbiorcom, którzy muszą je przetwarzać w celu wykonywania swoich zadań zgodnie z właściwą podstawą prawną; oraz (ii) informacje te były ograniczone do zakresu niezbędnego do wykonywania zadań. Należy również zwrócić uwagę na to, w jaki sposób podmioty dostarczające dane do sieci służącej ich wymianie zapewniają zgodność z zasadą celowości, — określił maksymalny okres zatrzymywania danych osobowych do celów określonych w proponowanej dyrektywie, w szczególności w kontekście ich zatrzymywania przez właściwe organy ds. bezpieczeństwa sieci i informacji oraz w obrębie bezpiecznej infrastruktury sieci współpracy, — przypomniał właściwym organom ds. bezpieczeństwa sieci i informacji o obowiązku dostarczenia odpowiednich informacji o przetwarzaniu danych osobowych osobom, których dane dotyczą, na przykład poprzez zamieszczenie polityki prywatności na stronie internetowej, — dodał przepis dotyczący poziomu bezpieczeństwa, który mają zapewnić właściwe organy ds. bezpieczeństwa sieci i informacji w odniesieniu do gromadzonych, przetwarzanych oraz wymienianych informacji. W kontekście ochrony danych osobowych przez właściwe organy ds. bezpieczeństwa sieci i informacji należy zamieścić odniesienie do wymogów bezpieczeństwa określonych w art. 17 dyrektywy 95/46/WE, — wyjaśnił w art. 9 ust. 2, że kryteria udziału państw członkowskich w bezpiecznym systemie wymiany informacji powinny zapewniać zagwarantowanie wysokiego poziomu bezpieczeństwa i odporności przez wszystkich uczestników systemów wymiany informacji na wszystkich etapach ich przetwarzania. Kryteria te powinny obejmować odpowiednie środki służące zapewnieniu poufności i bezpieczeństwa zgodnie z art. 16 i 17 dyrektywy 95/46/WE oraz art. 21 i 22 rozporządzenia (WE) nr 45/2001. Komisja powinna zostać w wyraźny sposób związana tymi kryteriami w związku ze swoim udziałem jako administratora w bezpiecznym systemie wymiany informacji, — dodał w art. 9 opis ról i obowiązków Komisji oraz państw członkowskich związanych z ustanowieniem, eksploatacją i utrzymaniem bezpiecznego systemu wymiany informacji, jak też wskazał, że system ten należy zaprojektować zgodnie z zasadami uwzględnienia ochrony danych już w fazie projektowania i w sposób domyślny oraz uwzględnienia bezpieczeństwa już w fazie projektowania, oraz — dodał w art. 13, że dane osobowe powinny w każdym przypadku być przekazywane odbiorcom znajdującym się w krajach poza UE zgodnie z art. 25 i 26 dyrektywy 95/46/WE oraz art. 9 rozporządzenia (WE) nr 45/2001.