Zhrnutie stanoviska európskeho dozorného úradníka pre ochranu údajov k návrhu nariadenia o informačnej bezpečnosti v inštitúciách, orgánoch, úradoch a agentúrach Únie

(Úplné znenie tohto stanoviska je k dispozícii v anglickom, francúzskom a nemeckom jazyku na webovom sídle európskeho dozorného úradníka pre ochranu údajov (EDPS) na adrese www.edps.europa.eu)

(2022/C 258/06)

Európska komisia prijala 22. marca 2022 návrh nariadenia Európskeho parlamentu a Rady o informačnej bezpečnosti v inštitúciách, orgánoch, úradoch a agentúrach Únie (ďalej len „návrh“).

EDPS víta cieľ návrhu zlepšiť bezpečnosť informácií, s ktorými zaobchádzajú inštitúcie, orgány, úrady a agentúry Únie, stanovením spoločných pravidiel informačnej bezpečnosti, ako aj podporovaním súdržnej kultúry informačnej bezpečnosti v konkrétnom právnom nástroji.

EDPS poznamenáva, že bezpečnosť osobných údajov stanovená nariadením EÚ o ochrane osobných údajov má rozsah pôsobnosti, ktorý sa len čiastočne prekrýva s rozsahom bezpečnosti informácií podľa návrhu. Tento návrh sa zameriava na dôvernosť informácií, kým nariadenie EÚ o ochrane osobných údajov zabezpečuje aj integritu a dostupnosť. Ustanovenia nariadenia EÚ o ochrane osobných údajov o bezpečnosti osobných údajov okrem toho konkrétne riešia riziká pre práva a slobody fyzických osôb.

Návrh vyžaduje, aby inštitúcie, orgány, úrady a agentúry Únie prijali opatrenia na bezpečnosť informácií, ktoré budú nevyhnutne zahŕňať spracovanie osobných údajov a údajov z elektronickej komunikácie vrátane prevádzkových údajov. EDPS sa domnieva, že musí byť zrejmé, že všetky opatrenia na bezpečnosť informácií zahŕňajúce spracovanie osobných údajov by mali byť v súlade so súčasným právnym rámcom ochrany údajov a súkromia a že inštitúcie, orgány, úrady a agentúry Únie by mali prijať príslušné technické a organizačné záruky, aby zodpovedným spôsobom zabezpečili tento súlad.

Na dosiahnutie právnej istoty a predvídateľnosti a na zabezpečenie súladu s nariadením EÚ o ochrane osobných údajov EDPS dôrazne odporúča, aby návrh alebo prinajmenšom delegovaný akt, ktorý má následne prijať Komisia, jasne definovali činnosti spracovania osobných údajov, ktoré sú dovolené na účely tohto nariadenia. EDPS tiež upozorňuje na potrebu zabezpečiť súlad s pravidlami nariadenia EÚ o ochrane osobných údajov, pokiaľ ide o prenosy osobných údajov do tretích krajín a medzinárodných organizácií. EDPS okrem toho odporúča v odôvodnení vysvetliť, že sa budú uplatňovať všetky ustanovenia nariadenia EÚ o ochrane osobných údajov, vrátane pravidiel o medzinárodných prenosoch.

EDPS zdôrazňuje význam začlenenia hľadiska ochrany súkromia a údajov do riadenia informačnej bezpečnosti s cieľom dosiahnuť pozitívne synergie medzi návrhom a právnymi predpismi na ochranu súkromia a údajov a poskytuje konkrétne odporúčania, ako možno tieto synergie dosiahnuť, vrátane: osobitnej povinnosti úradníkov EÚ zodpovedných za informačnú bezpečnosť úzko spolupracovať so zodpovednou osobou určenou v súlade s článkom 43 nariadenia EÚ o ochrane osobných údajov; zaradenia end-to-end šifrovania do zoznamu minimálnych bezpečnostných opatrení návrhu, ak je to vhodné, a najmä pri výmene citlivých neutajovaných skutočností; a podporovania integrovaného riadenia rizík v oblasti bezpečnosti informácií a integrovaného procesu riešenia incidentov, ktoré rešpektujú povinnosti v oblasti bezpečnosti informácií a ochrany údajov pri oznámeniach o porušení ochrany údajov.

1. ÚVOD A OKOLNOSTI

1. Európska komisia prijala 22. marca 2022 návrh nariadenia Európskeho parlamentu a Rady o informačnej bezpečnosti v inštitúciách, orgánoch, úradoch a agentúrach Únie (1) (ďalej len „návrh“).

2. V ten istý deň Európska komisia prijala ďalší návrh nariadenia, ktorým sa stanovujú opatrenia na zaistenie vysokej spoločnej úrovne kybernetickej bezpečnosti v inštitúciách, orgánoch, úradoch a agentúrach Únie (2) (ďalej len „návrh o kybernetickej bezpečnosti“).

3. Oba návrhy boli naplánované v Stratégii kybernetickej bezpečnosti EÚ v digitálnej dekáde predloženej 16. decembra 2020 (ďalej len „stratégia“) (3). Celkovým cieľom stratégie bolo posilniť strategickú autonómiu Únie v oblasti kybernetickej bezpečnosti a zlepšiť jej odolnosť a spoločnú reakciu, ako aj vybudovať globálny a otvorený internet so silnými prvkami ochrany pred rizikami z hľadiska bezpečnosti a základných práv a slobôd Európanov (4).

4. Návrh predstavuje jednu z regulačných iniciatív stratégie, a to najmä v oblasti kybernetickej bezpečnosti inštitúcií, orgánov, úradov a agentúr EÚ. Podľa stratégie je cieľ návrhu dvojaký: — uľahčiť interoperabilitu systémov utajovaných skutočností a umožniť tým bezproblémový prenos informácií medzi jednotlivými subjektmi, a — umožniť medziinštitucionálny prístup k nakladaniu s utajovanými skutočnosťami EÚ a citlivými neutajovanými skutočnosťami, ktorý by mohol slúžiť aj ako model interoperability medzi členskými štátmi s tým, že aj EÚ by mala ďalej rozvíjať svoju schopnosť komunikovať bezpečným spôsobom s príslušnými partnermi, vychádzajúc v maximálnej možnej miere z existujúcich dojednaní a postupov.

5. EDPS poznamenáva, že predmet tohto návrhu priamo súvisí aj s návrhom smernice Európskeho parlamentu a Rady o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii a o zrušení smernice (EÚ) 2016/1148 (ďalej len „návrh NIS 2.0“). EDPS pripomína, že vydal stanovisko 5/2021 k stratégii kybernetickej bezpečnosti (5) a smernici NIS 2.0 (ďalej len „stanovisko k NIS 2.0“) (6). Z tohto dôvodu bude toto stanovisko odkazovať na stanovisko NIS 2.0.

6. Podľa dôvodovej správy k návrhu vzhľadom na neustále rastúce množstvo citlivých neutajovaných skutočností (ďalej len „SNC“) a utajovaných skutočností Európskej únie (ďalej len „EUCI“), ktoré musia inštitúcie, orgány, úrady a agentúry Únie medzi sebou zdieľať, a na dramatický vývoj v oblasti hrozieb je európska administratíva vystavená útokom vo všetkých oblastiach svojej činnosti. Informácie, s ktorými pracujú inštitúcie, orgány, úrady a agentúry Únie, sú pre nositeľov hrozieb veľmi atraktívne a je potrebné ich primerane chrániť.

7. Podľa dôvodovej správy návrh: — vytvára harmonizované a komplexné kategórie informácií, ako aj spoločné pravidlá zaobchádzania pre všetky inštitúcie, orgány, úrady a agentúry Únie, — zriaďuje schému úzkej spolupráce v oblasti informačnej bezpečnosti medzi inštitúciami, orgánmi, úradmi a agentúrami Únie, ktorá bude schopná podporiť súdržnú kultúru informačnej bezpečnosti v celej európskej administratíve, — modernizuje politiky informačnej bezpečnosti na všetkých úrovniach klasifikácie/kategorizácie pre všetky inštitúcie, orgány, úrady a agentúry Únie, berúc do úvahy digitálnu transformáciu a rozvoj práce na diaľku ako štrukturálnej praxe.

8. Dňa 22. marca 2022 sa Komisia poradila s európskym dozorným úradníkom pre ochranu údajov podľa článku 42 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 (7). Pripomienky a odporúčania v tomto stanovisku sa týkajú iba ustanovení návrhu, ktoré sú najviac relevantné z hľadiska ochrany údajov a súkromia.

4. ZÁVERY

31. Vzhľadom na vyššie uvedené skutočnosti vydáva EDPS tieto hlavné odporúčania: — EDPS dôrazne odporúča, aby sa v návrhu jasne vymedzili činnosti spracovania osobných údajov, ktoré sú na účely tohto nariadenia dovolené, vrátane: účelu(-ov) spracovania; kategórií osobných údajov; kategórií dotknutých osôb; prípadného vymedzenia úloh (prevádzkovateľ, sprostredkovateľ, spoloční prevádzkovatelia), dôb uchovávania, príjemcov v prípade prenosu subjektom, na ktoré sa nevzťahuje nariadenie EÚ o ochrane osobných údajov. EDPS sa domnieva, že tieto skutočnosti by mali byť výslovne uvedené v návrhu alebo prinajmenšom v delegovanom akte, ktorý následne prijme Komisia. Návrh by mal stanoviť takéto delegovanie. — EDPS odporúča v odôvodnení vysvetliť, že sa budú uplatňovať všetky ustanovenia nariadenia EÚ o ochrane osobných údajov vrátane pravidiel o medzinárodných prenosoch. Odôvodnenie 6 možno použiť aj na zahrnutie akýchkoľvek iných všeobecných odporúčaní na ochranu údajov uvedených v tomto stanovisku, ktorých cieľom nie je zmena podstatných ustanovení. — EDPS dôrazne odporúča zahrnúť prípadne end-to-end šifrovanie do zoznamu minimálnych bezpečnostných opatrení návrhu a najmä pri výmene citlivých neutajovaných skutočností — EDPS odporúča do článku 5 ods. 3 doplniť, že v rámci faktorov posudzovaných v procese riadenia rizík v oblasti bezpečnosti informácií sa zohľadnia aj hrozby vyplývajúce z prístupu na základe jurisdikcie tretích krajín (napr. zo strany ich verejných orgánov). — EDPS dôrazne odporúča, aby sa v príslušnom odôvodnení vysvetlili výhody integrovaného riadenia rizík v oblasti bezpečnosti informácií a integrovaného procesu riešenia incidentov, ktoré rešpektujú povinnosti v oblasti bezpečnosti informácií a ochrany údajov pri oznámeniach o porušení ochrany údajov. — EDPS dôrazne odporúča, aby sa v návrhu stanovila osobitná povinnosť pre úradníkov EÚ zodpovedných za bezpečnosť informácií úzko spolupracovať so zodpovednou osobou určenou v súlade s článkom 43 nariadenia EÚ o ochrane osobných údajov pri činnostiach, akými je uplatňovanie špecificky navrhnutej a štandardnej ochrany údajov na opatrenia informačnej bezpečnosti, výber bezpečnostných opatrení zahŕňajúcich osobné údaje, integrované riadenie rizík, integrované riešenie bezpečnostných incidentov.

V Bruseli 17. máj 2022 Wojciech Rafał WIEWIÓROWSKI

(1) COM(2022) 119 final.

(2) COM(2022) 122 final.

(3) Stratégia kybernetickej bezpečnosti EÚ v digitálnej dekáde | Formovanie digitálnej budúcnosti Európy (europa.eu) vrátane spoločného oznámenia s vysokou predstaviteľkou Únie pre zahraničné veci a bezpečnostnú politiku (JOIN(2020)18)

(4) Pozri kapitolu I. ÚVOD, strana 4 stratégie.

(5) Spoločné oznámenie Európskej komisie s vysokou predstaviteľkou Únie pre zahraničné veci a bezpečnostnú politiku Európskemu parlamentu a Rade s názvom „Stratégia kybernetickej bezpečnosti EÚ v digitálnej dekáde“

(6) stanovisko EDPS 5/2021 k stratégii kybernetickej bezpečnosti a smernici NIS 2.0

(7) Nariadenie Európskeho parlamentu a Rady (EÚ) 2018/1725 z 23. októbra 2018 o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktorým sa zrušuje nariadenie (ES) č. 45/2001 a rozhodnutie č. 1247/2002/ES (Ú. v. EÚ L 295, 21. 11. 2018, s. 39).