48.

Având în vedere cele de mai sus, AEPD face următoarele recomandări principale: — AEPD recomandă adăugarea în cadrul unui considerent a faptului că propunerea se bazează pe propunerea NIS 2.0 și explicarea mai în detaliu în considerentele 4 și 5 a legăturii dintre propunere și Directiva NIS, precum și propunerea NIS 2.0. În plus, AEPD recomandă includerea în textul principal a următoarei formulări: „Cerințele minime de securitate ar trebui să fie cel puțin egale sau mai stricte decât cerințele minime de securitate ale entităților din propunerea NIS și NIS 2.0”; — AEPD recomandă insistent ca propunerea să ofere în mod clar un temei juridic pentru prelucrarea datelor cu caracter personal de către CERT-UE și instituțiile UE, inclusiv, în special, scopurile prelucrării și categoriile de date cu caracter personal. În plus, ar trebui prevăzute în mod explicit următoarele elemente: (a) identificarea operatorului (operatorilor), a persoanelor împuternicite de operator sau a operatorilor asociați, după caz; (b) categoriile de persoane vizate; (c) perioadele de păstrare sau cel puțin criteriile de stabilire a acestor perioade. AEPD consideră că aceste elemente ar trebui prevăzute în mod explicit în propunere sau, cel puțin, într-un act delegat care urmează să fie adoptat ulterior de Comisie. Propunerea ar trebui să prevadă o astfel de delegare; — AEPD recomandă insistent includerea „criptării în repaus”, a „criptării în tranzit”, precum și a „criptării de la un capăt la altul” în lista măsurilor minime de securitate cibernetică din anexa II la propunere; — AEPD recomandă insistent ca propunerea să prevadă o obligație specifică pentru responsabilul local cu securitatea cibernetică definit la articolul 4 alineatul (5) de a coopera cu responsabilul cu protecția datelor desemnat în conformitate cu articolul 43 din RPDUE, atunci când tratează activități care se suprapun, cum ar fi aplicarea protecției datelor începând cu momentul conceperii și în mod implicit în cazul măsurilor de securitate cibernetică, selectarea unor măsuri de securitate cibernetică care implică date cu caracter personal, gestionarea integrată a riscurilor și gestionarea integrată a incidentelor de securitate; — AEPD recomandă insistent adăugarea, la articolul 12 „Misiunea și sarcinile CERT-UE” din propunere, a unei dispoziții cu următorul conținut: „CERT-UE acționează în strânsă cooperare cu AEPD în cazul incidentelor care au ca rezultat încălcarea securității datelor cu caracter personal sau încălcarea confidențialității comunicațiilor electronice”; — AEPD recomandă adăugarea unei obligații pentru CERT-UE de a informa AEPD în cazul vulnerabilităților semnificative, al incidentelor semnificative sau al atacurilor majore care ar putea avea ca rezultat încălcarea securității datelor cu caracter personal și/sau încălcarea confidențialității comunicațiilor electronice. — AEPD recomandă introducerea, la articolul 12, a unei dispoziții care să prevadă obligația AEPD de a se implica în activitățile CERT-UE de sensibilizare în materie de securitate cibernetică ale instituțiilor UE, pentru a acoperi interacțiunea dintre încălcarea securității datelor cu caracter personal și incidentele de securitate cibernetică; — AEPD recomandă adăugarea, la articolul 12 „Misiunea și sarcinile CERT-UE” din propunere, a unei dispoziții care să specifice obligația CERT-UE de a informa AEPD, fără întârzieri nejustificate, atunci când are indicii că o încălcare de către instituțiile UE a obligațiilor prevăzute în propunere implică o încălcare a securității datelor cu caracter personal; — AEPD recomandă insistent ca Autoritatea Europeană pentru Protecția Datelor să fie adăugată la articolul 9 alineatul (3) în calitate participant permanent la IICB, cu un reprezentant.