97.

Parlament Europejski, Komisja i Rada przyjęły różne podejścia do kwestii powiadamiania o przypadkach naruszenia bezpieczeństwa. Różnice między trzema modelami są widoczne m.in., jeśli chodzi o podmioty objęte obowiązkiem powiadamiania, kryterium, którego spełnienie pociąga za sobą konieczność powiadomienia, osoby, których dane dotyczą, upoważnione do otrzymania powiadomienia itd. PE i Rada muszą dołożyć wszelkich starań, by opracować solidne ramy prawne dotyczące naruszeń bezpieczeństwa. W tym celu PE i Rada powinny: — Zachować definicję naruszenia bezpieczeństwa w tekstach PE, Rady i Komisji, ponieważ jest ona na tyle ogólna, by dotyczyć większości stosownych sytuacji, w których uzasadnione może być powiadomienie o naruszeniu bezpieczeństwa. — Do zakresu podmiotów, które mają być objęte proponowanym wymogiem powiadamiania, należy włączyć dostawców usług społeczeństwa informacyjnego. Istnieje takie samo jeśli nie większe prawdopodobieństwo, że celem działań skutkujących naruszeniem bezpieczeństwa staną się – tak jak firmy telekomunikacyjne – sklepy, banki i apteki internetowe. Obywatele mają prawo oczekiwać, że zostaną powiadomieni nie tylko, gdy ofiarą naruszenia bezpieczeństwa padną dostawcy dostępu do Internetu, lecz w szczególności gdy stanie się tak w przypadku internetowych banków i aptek, z których ci obywatele korzystają. — Jeśli chodzi o kryterium, którego spełnienie pociąga za sobą konieczność powiadomienia, to zaproponowane w zmienionym wniosku istnienie „uzasadnionego prawdopodobieństwa wystąpienia szkody” jest kryterium właściwym, które zapewnia mechanizmowi funkcjonalność. Należy jednak dopilnować, by pojęcie „szkody” było wystarczające szerokie, by objąć wszystkie stosowne przypadki negatywnych skutków dla prywatności lub innych uzasadnionych interesów danych osób. W przeciwnym wypadku korzystniej byłoby stworzyć nowe kryterium, zgodnie z którym powiadomienie byłoby obowiązkowe, „jeśli istnieje uzasadnione prawdopodobieństwo, że naruszenie będzie miało niekorzystne skutki dla danych osób”. Podejście zaproponowane przez Radę, zgodnie z którym naruszenie wiązałoby się z poważnym naruszeniem czyjejś prywatności, nie zapewniałoby właściwej ochrony danych osób, ponieważ zawiera ono wymóg, by skutek dla prywatności miał poważny charakter. Daje również pole do subiektywnej oceny. — Choć włączenie organu w podejmowanie decyzji co do tego, czy dany podmiot musi powiadomić dane osoby, z pewnością ma pozytywne skutki, może okazać się rozwiązaniem niepraktycznym i trudnym w stosowaniu i pochłonąć zasoby przeznaczone na inne ważne priorytety. EIOD obawia się, że jeśli organy nie będą reagować wyjątkowo szybko, to taki system może nawet doprowadzić do osłabienia ochrony osób i wywierać na organy nadmierną presję. A zatem, ogólnie rzecz biorąc, EIOD doradza, by wprowadzić system, w ramach którego to dane podmioty oceniają, czy muszą dokonać powiadomienia. — Aby umożliwić organom sprawowanie nadzoru nad ocenami, które organy objęte obowiązkiem powiadomienia przeprowadzają w celu podjęcia decyzji w tej sprawie, należy wdrożyć następujące zabezpieczenia: — Dopilnować, by takie podmioty miały obowiązek powiadamiania organów o wszelkich naruszeniach, które spełniają wymagane kryterium. — Przydzielić organom rolę nadzorczą, która umożliwi im działania wybiórcze, a przez to skuteczność. Aby osiągnąć ten cel, należy dodać fragment w brzmieniu: „Jeśli dany abonent lub dana osoba nie zostali jeszcze powiadomieni, to po zbadaniu charakteru naruszenia właściwy organ krajowy może wystąpić do dostawcy PPECS lub ISSP o dokonanie powiadomienia”. — Przyjąć nowy przepis, wprowadzający wymóg zachowywania przez podmioty szczegółowych i kompleksowych chronologicznie posegregowanych informacji odnoszących się do kontroli wewnętrznej. Cel ten można osiągnąć, dodając fragment w brzmieniu: „Dostawcy PPECS i dostawcy ISSP prowadzą i zachowują kompleksowe rejestry zawierające szczegółowe informacje na temat wszelkich zaistniałych przypadków naruszenia bezpieczeństwa, stosowne informacje techniczne z tym związane oraz informacje na temat podjętych działań naprawczych. Rejestry te zawierają również informacje o wszelkich powiadomieniach przesłanych abonentom lub danym osobom oraz właściwym organom krajowym, w tym datę przesłania powiadomienia i jego treść. Akta te są przedstawiane na wniosek właściwego organu krajowego”. — Aby zapewnić spójność w realizacji ram dotyczących naruszeń bezpieczeństwa, należy wyposażyć Komisję w możliwość przyjmowania technicznych środków wykonawczych, po uprzedniej konsultacji z EIOD-em, Grupą Roboczą Art. 29 i innymi właściwymi zainteresowanymi stronami. — Jeśli chodzi o osoby, które należy powiadomić, należy stosować terminy zaproponowane przez Komisję lub PE, tj. „dane osoby” lub „użytkownicy, których dotyczyło naruszenie”, ponieważ obejmują one wszystkie osoby, których dane osobowe zostały narażone.