48.

Tendo em conta as considerações precedentes, a AEPD formula as seguintes recomendações principais: — a AEPD recomenda que se adite num considerando que a proposta se baseia na proposta de Diretiva SRI 2.0 e que se explique melhor a ligação entre a proposta e a Diretiva SRI, bem como a proposta de Diretiva SRI 2.0, nos considerandos 4 e 5. Além disso, a AEPD recomenda a inclusão da seguinte redação no texto principal: «Os requisitos mínimos de segurança devem ser, pelo menos, iguais ou superiores aos requisitos mínimos de segurança das entidades da Diretiva SRI e da proposta de Diretiva SRI 2.0»; — a AEPD recomenda vivamente que a proposta forneça claramente um fundamento jurídico para o tratamento de dados pessoais pelo CERT-UE e pelas instituições da UE, incluindo, em especial, as finalidades do tratamento e as categorias de dados pessoais. Além disso, devem ser explicitamente estabelecidos os seguintes elementos: a) Identificação do ou dos responsáveis pelo tratamento, subcontratantes ou responsáveis conjuntos pelo tratamento, consoante o caso; b) Categorias de titulares de dados; c) Períodos de conservação ou, pelo menos, critérios para determinar tais períodos. A AEPD considera que estes elementos devem ser explicitamente previstos na proposta ou, pelo menos, num ato delegado a adotar posteriormente pela Comissão. A proposta deve prever essa delegação; — a AEPD recomenda vivamente a inclusão de «cifragem em repouso», «cifragem em trânsito» e «cifragem de ponta a ponta» na lista de medidas mínimas de cibersegurança do anexo II da proposta; — a AEPD recomenda vivamente que a proposta preveja a obrigação específica de o responsável local pela cibersegurança, definido no artigo 4.o, n.o 5, cooperar com o encarregado da proteção de dados designado nos termos do artigo 43.o do RPDUE, sempre que se trate de atividades que se sobrepõem, como a aplicação da proteção de dados desde a conceção e por defeito às medidas de cibersegurança, a seleção de medidas de cibersegurança que envolvam dados pessoais, a gestão integrada dos riscos e o tratamento integrado de incidentes de segurança; — a AEPD recomenda vivamente o aditamento de uma disposição no artigo 12.o«Missão e atribuições do CERT-UE» da proposta, segundo a qual «o CERT-UE deve trabalhar em estreita cooperação com a AEPD, quando tratarem de incidentes que tenham dado origem a violações de dados pessoais ou a uma violação da confidencialidade das comunicações eletrónicas»; — a AEPD recomenda o aditamento da obrigação de o CERT-UE informar a AEPD quando trata vulnerabilidades e incidentes de caráter significativo ou dá resposta a ataques de grande envergadura que possam dar origem a violações de dados pessoais e/ou à violação da confidencialidade das comunicações eletrónicas; — a AEPD recomenda que se preveja no artigo 12.o que a AEPD seja envolvida nas atividades de sensibilização para a cibersegurança do CERT-UE dirigidas às instituições da UE, a fim de abranger a interação entre a violação de dados pessoais e os incidentes de cibersegurança; — a AEPD recomenda o aditamento de uma disposição no artigo 12.o«Missão e atribuições do CERT-UE» da proposta que especifique que o CERT-UE deve informar a AEPD, sem demora injustificada, quando tiver indícios de que uma infração das obrigações estabelecidas na proposta por parte das instituições da UE implica uma violação de dados pessoais; — a AEPD recomenda vivamente que a Autoridade Europeia para a Proteção de Dados seja aditada ao artigo 9.o, n.o 3, como participante permanente no IICB com um representante.