97.

Európsky parlament, Komisia a Rada zaujali k oznamovaniu narušenia bezpečnosti odlišné postoje. Rozdiely medzi týmito troma modelmi sa týkajú okrem iného povinných subjektov, noriem alebo podmienok vzniku oznamovacej povinnosti, dotknutých osôb s právom byť informovaný atď. EP a Rada musia vyvinúť čo najväčšie úsilie o to, aby vypracovali solídny právny rámec pre inštitúciu narušenia bezpečnosti. Preto by mali: — Zachovať vymedzenie narušenia bezpečnosti uvedené v zneniach EP, Rady a Komisie, pretože je dostatočne široké na to, aby obsiahlo väčšinu relevantných situácií, v ktorých by mohlo byť potrebné oznamovať prípady narušenia bezpečnosti. — Pokiaľ ide o subjekty, na ktoré sa má vzťahovať navrhovaná oznamovacia povinnosť, začleniť poskytovateľov služieb informačnej spoločnosti. Pravdepodobnosť, že sa on-line maloobchodní predajcovia, on-line banky, alebo on-line lekárne stanú terčom pokusov o narušenie bezpečnosti, je rovnaká ako v prípade telekomunikačných spoločností, ak nie väčšia. Občania budú očakávať nielen to, že im narušenia bezpečnosti budú oznamovať poskytovatelia pripojenia na internet, ale najmä, že im ich budú oznamovať ich on-line banky a on-line lekárne. — Pokiaľ ide o podmienku vzniku oznamovacej povinnosti, spojenie „dostatočná pravdepodobnosť poškodenia“ uvedené v zmenenom a doplnenom návrhu je vhodnou normou, ktorá zabezpečuje funkčnosť mechanizmu. Je však potrebné zabezpečiť, aby „poškodenie“ bol vymedzené dostatočne široko a vzťahovalo sa na všetky relevantné prípady negatívneho vplyvu na súkromie alebo iné legitímne záujmy jednotlivcov. Inak by bolo vhodnejšie vytvoriť novú normu, podľa ktorej by oznamovacia povinnosť vznikla „ak je dostatočne pravdepodobné, že narušenie bude mať na jednotlivcov negatívny vplyv“. Prístupom Rady, v rámci ktorého sa vyžaduje, aby narušenie vážne ovplyvnilo niekoho súkromie, by sa nezabezpečila dostatočná ochrana jednotlivcov, pretože takáto norma si vyžaduje, aby bol vplyv na súkromie „vážny“ Tým sa tiež otvára priestor pre subjektívne posudzovanie. — I keď má zaangažovanie orgánov do rozhodovania o tom, či má povinný podnik daným jednotlivcom oznámenie poslať, pozitívne dôsledky, môže byť jeho uplatňovanie nepraktické a zložité a môže odlákať zdroje od ostatných dôležitých priorít. Ak by orgány neboli schopné reagovať extrémne rýchlo, EDSP sa obáva, že takýto systém by dokonca mohol ochranu jednotlivcov zmenšiť a dostať orgány pod neprimeraný tlak. EDPS teda z celkového hľadiska odporúča zriadenie systému, v rámci ktorého by skutočnosť, či je potrebné poslať oznámenie, posudzovali povinné subjekty. — S cieľom umožniť orgánom vykonávať dozor na posudkami povinných subjektov týkajúcich sa skutočnosti, či je potrebné poslať oznámenie, zaviesť tieto záruky: — zabezpečiť, aby takéto subjekty povinne oznamovali orgánom všetky prípady narušenia bezpečnosti, ktoré napĺňajú príslušnú normu. — ustanoviť dozornú úlohu orgánov, ktorá im umožní konať v záujme efektívnosti selektívne. Použiť s týmto cieľom tento text: „Ak dotknutému účastníkovi alebo jednotlivcovi zatiaľ nebol oznam poslaný, príslušný národný orgán môže po zvážení povahy narušenia prikázať PVSEK alebo PSIS, aby oznam poslal.“ — prijať nové ustanovenie, ktorým sa od subjektov bude vyžadovať, aby udržiavali podrobné a komplexné záznamy na účely auditu. Dalo by sa to dosiahnuť prijatím napríklad takéhoto textu: „PVSEK a PSIS vedú a uchovávajú komplexné záznamy o všetkých narušeniach bezpečnosti, ktoré sa vyskytli, relevantné technické informácie, ktoré s nimi súvisia, ako aj záznamy o prijatých nápravných opatreniach. Záznamy musia obsahovať aj odkaz na všetky oznámenia vydané pre dotknutých účastníkov alebo jednotlivcov a príslušné národné orgány vrátane ich dátumu a obsahu. Záznamy sa na základe žiadosti predkladajú príslušnému orgánu.“ — Aby sa zabezpečila jednotnosť pri vykonávaní rámca pre narušenia bezpečnosti, umožniť Komisii prijímať, po porade s EDPS, pracovnou skupinou článku 29 a inými relevantnými zainteresovanými stranami, technické vykonávacie opatrenia. — Pokiaľ ide o jednotlivcov, ktorým sa majú poslať oznámenia, použiť termíny Komisie alebo EP, teda „príslušní jednotlivci“ alebo „postihnutí užívatelia“, pretože zahŕňajú všetkých jednotlivcov, ktorých osobné údaje boli ohrozené.