80.

Pokiaľ ide o navrhovanú smernicu o bezpečnosti sietí a informácií, európsky dozorný úradník pre ochranu údajov zákonodarcom odporúča: — V článku 3 ods. 8 zvýšiť zrozumiteľnosť a istotu v súvislosti s vymedzením pojmu účastníkov trhu, ktorí patria do rozsahu pôsobnosti návrhu, a vypracovať úplný zoznam obsahujúci všetky príslušné zainteresované strany s cieľom zaistiť v EÚ plne harmonizovaný a integrovaný prístup k bezpečnosti. — V článku 1 ods. 2 písm. c) objasniť, že navrhovaná smernica sa vzťahuje na inštitúcie a orgány EÚ, a do článku 1 ods. 5 návrhu zahrnúť odkaz na nariadenie (ES) č. 45/2001. — V článku 1 výslovne uviesť, že by sa mal uplatňovať bez toho, aby boli dotknuté súčasné alebo budúce podrobnejšie pravidlá v konkrétnych oblastiach (ako sú napríklad tie, ktoré sa majú v navrhovanom nariadení o elektronickej identifikácii stanoviť pre poskytovateľov dôveryhodných služieb), a uznať tak horizontálnejšiu úlohu tohto návrhu v súvislosti s bezpečnosťou. — Doplniť odôvodnenie na vysvetlenie potreby začlenenia ochrany údajov už v štádiu návrhu a ako štandard (predvolenú možnosť) od skorého štádia návrhu mechanizmov ustanovených v návrhu a počas celého životného cyklu príslušných procesov, postupov, organizácií, techník a infraštruktúr s ohľadom na navrhované nariadenie o ochrane údajov. — Objasniť vymedzenie pojmu „siete a informačné systémy“, ktorý sa uvádza v článku 3 ods. 1, pojmu „incident“, ktorý sa uvádza v článku 3 ods. 4, a v článku 5 ods. 2 nahradiť povinnosť ustanoviť „plán na hodnotenie rizika“ vetou „vytvoriť a udržiavať rámec na riadenie rizík“. — V článku 1 ods. 6 uviesť, že spracovanie osobných údajov by bolo odôvodnené v zmysle článku 7 písm. e) smernice 95/46/ES, pokiaľ je nevyhnutné v záujme plnenia cieľov verejného záujmu sledovaných navrhovanou smernicou. Musí sa však zabezpečiť náležité dodržiavanie zásad nevyhnutnosti a primeranosti, aby sa spracovali len tie údaje, ktoré sú nevyhnutné na dosiahnutie daného účelu. — V článku 14 uviesť okolnosti, kedy sa požaduje oznámenie, ako aj obsah a formát oznámenia vrátane druhov osobných údajov, ktoré by sa mali oznámiť, a či by sa mali oznámiť, alebo nie, a v akom rozsahu, oznámenie a podporné dokumenty budú obsahovať podrobnosti o osobných údajoch ovplyvnených konkrétnym bezpečnostným incidentom (napríklad adresy IP). Musí sa zohľadniť skutočnosť, že príslušným orgánom pre oblasť bezpečnosti sietí a informácií by sa malo umožniť zhromažďovať a spracúvať osobné údaje v rámci bezpečnostného incidentu len v prípade, ak je to skutočne nevyhnutné. V návrhu by sa mali stanoviť aj vhodné záruky na zaistenie primeranej ochrany údajov spracovaných príslušnými orgánmi pre oblasť bezpečnosti sietí a informácií. — V článku 14 objasniť, že oznamovanie incidentov podľa článku 14 ods. 2 by sa malo uplatňovať bez toho, aby bola dotknutá povinnosť oznamovania narušenia osobných údajov podľa príslušných právnych predpisov o ochrane údajov. V návrhu by sa mali vysvetliť hlavné aspekty spolupráce príslušných orgánov pre oblasť bezpečnosti sietí a informácií s orgánmi na ochranu údajov v prípadoch, keď sa bezpečnostný incident týka porušenia ochrany osobných údajov. — Zmeniť článok 14 ods. 8 tak, aby sa vylúčenie mikropodnikov z rozsahu pôsobnosti oznámenia nevzťahovalo na tých prevádzkovateľov, ktorí zohrávajú rozhodujúcu úlohu pri poskytovaní služieb informačnej spoločnosti, napríklad z hľadiska charakteru informácií, ktoré spracúvajú (napríklad biometrické údaje alebo citlivé údaje). — Doplniť do návrhu ustanovenia upravujúce ďalšiu výmenu osobných údajov príslušnými orgánmi pre oblasť bezpečnosti sietí a informácií s ďalšími príjemcami, aby sa i) príjemcom sprístupnili len tie osobné údaje, ktorých spracovanie je nevyhnutné na vykonávanie ich úloh v súlade s príslušným právnym základom. a ii) aby sa tieto informácie obmedzili na to, čo je nevyhnutné na plnenie ich úloh. Zvážiť by sa malo aj to, ako subjekty poskytujúce údaje do siete na výmenu informácií zabezpečujú súlad so zásadou obmedzenia účelu. — Špecifikovať časové obmedzenie uchovávania osobných údajov na účely stanovené v navrhovanej smernici, najmä čo sa týka uchovávania údajov príslušnými orgánmi pre oblasť bezpečnosti sietí a informácií a v rámci bezpečnej infraštruktúry siete spolupráce. — Pripomenúť príslušným orgánom pre oblasť bezpečnosti sietí a informácií ich povinnosť poskytovať dotknutým osobám príslušné informácie o spracovaní osobných údajov, napríklad zverejnením politiky v oblasti ochrany súkromia na ich webovej stránke. — Doplniť ustanovenie o úrovni bezpečnosti, ktorú majú príslušné orgány pre oblasť bezpečnosti sietí a informácií spĺňať v súvislosti so zhromažďovanými, spracovanými a vymieňanými informáciami. Pokiaľ ide o ochranu osobných údajov príslušnými orgánmi pre oblasť bezpečnosti sietí a informácií, osobitne by sa mal zahrnúť odkaz na bezpečnostné požiadavky uvedené v článku 17 smernice 95/46/ES. — V článku 9 ods. 2 objasniť, že kritériá pre účasť členských štátov v bezpečnom systéme výmeny informácií by mali zabezpečiť, aby všetci účastníci systému výmeny informácií zaručovali vo všetkých krokoch spracovania vysokú úroveň bezpečnosti a odolnosti. Tieto kritériá by mali zahŕňať príslušné opatrenia na zabezpečenie dôvernosti a bezpečnosti v súlade s článkami 16 a 17 smernice 95/46/ES a článkami 21 a 22 nariadenia (ES) č. 45/2001. Komisii by mali tieto kritériá ukladať výslovnú povinnosť, aby sa podieľala na bezpečnom systéme výmeny informácií vo funkcii kontrolóra. — V článku 9 doplniť opis úloh a zodpovedností Komisie a členských štátov pri vytvorení, prevádzkovaní a údržbe bezpečného systému výmeny informácií a stanoviť, že tento systém by sa mal navrhovať v súlade so zásadami ochrany údajov už v štádiu návrhu, ako štandard (predvolená možnosť), a zásadou bezpečnosti už v štádiu návrhu. — V článku 13 doplniť, že akýkoľvek prenos osobných údajov príjemcom so sídlom mimo územia EÚ by sa mal uskutočniť v súlade s článkami 25 a 26 smernice 95/46/ES a článkom 9 nariadenia (ES) č. 45/2001.