Povzetek mnenja evropskega nadzornika za varstvo podatkov o predlogu Uredbe o informacijski varnosti v institucijah, organih, uradih in agencijah Unije

(Celotno besedilo tega mnenja je na voljo v angleščini, francoščini in nemščini na spletišču ENVP www.edps.europa.eu)

(2022/C 258/06)

Evropska komisija je 22. marca 2022 sprejela predlog Uredbe Evropskega parlamenta in Sveta o informacijski varnosti v institucijah, organih, uradih in agencijah Unije (v nadaljnjem besedilu: predlog).

ENVP pozdravlja namen predloga, da z vzpostavitvijo skupnih pravil o informacijski varnosti in spodbujanjem usklajene kulture informacijske varnosti v posebnem pravnem instrumentu izboljša varnost podatkov, ki jih obravnavajo institucije, organi, uradi in agencije EU.

ENVP ugotavlja, da se področje uporabe varnosti osebnih podatkov, predpisano z uredbo EU o varstvu podatkov, le delno prekriva s področjem uporabe informacijske varnosti iz predloga. Ta se osredotoča na zaupnost podatkov, uredba EU o varstvu podatkov pa zagotavlja tudi celovitost in razpoložljivost. Poleg tega določbe uredbe glede varnosti osebnih podatkov posebej obravnavajo tveganja za pravice in svoboščine posameznikov.

Po predlogu morajo institucije, organi, uradi in agencije EU sprejeti ukrepe za informacijsko varnost, ki bodo neizogibno vključevali obdelavo osebnih podatkov in podatke o elektronskih sporočilih, vključno s podatki o prometu. ENVP meni, da je treba jasno navesti, da bi morali biti vsi ukrepi za informacijsko varnost, ki vključujejo obdelavo osebnih podatkov, skladni s sedanjim pravnim okvirom za varstvo podatkov in zasebnost ter da bi institucije, organi, uradi in agencije EU morali sprejeti ustrezne tehnične in organizacijske zaščitne ukrepe za odgovorno zagotovitev te skladnosti.

Za doseganje pravne varnosti in predvidljivosti ter zagotovitev skladnosti z uredbo EU o varstvu podatkov ENVP še posebej priporoča, da predlog ali vsaj delegirani akt, ki ga pozneje sprejme Komisija, jasno opredeli dejavnosti obdelave osebnih podatkov, ki so dovoljene za namene te uredbe. Poleg tega želi ENVP opozoriti na potrebo po zagotovitvi skladnosti s pravili uredbe EU o varstvu podatkov o prenosih osebnih podatkov v tretje države in mednarodne organizacije. ENVP prav tako priporoča, da se v uvodni izjavi pojasni, da se bodo uporabljale vse določbe uredbe EU o varstvu podatkov, vključno s pravili o mednarodnih prenosih.

ENVP poudarja pomembnost vključitve vidika varstva zasebnosti in podatkov v upravljanje informacijske varnosti, da se doseže pozitivna sinergija med predlogom ter zakonodajo o varstvu zasebnosti in podatkov, ter podaja posebna priporočila o mogočem načinu doseganja take sinergije, vključno s: posebno obveznostjo uradnikov EU, odgovornih za informacijsko varnost, da tesno sodelujejo s pooblaščeno osebo za varstvo podatkov, imenovano v skladu s členom 43 uredbe EU o varstvu podatkov; vključitvijo šifriranja od konca do konca na seznam minimalnih varnostnih ukrepov predloga, kadar je ustrezno, zlasti pa pri izmenjavi občutljivih netajnih podatkov; ter spodbujanjem integriranega obvladovanja tveganja za informacijsko varnost ter integriranega postopka obravnave incidentov, ki pomagata pri izpolnjevanju obveznosti glede informacijske varnosti in varstva podatkov pri obveščanju o kršitvah varnosti podatkov.

1. UVOD IN OZADJE

1. Evropska komisija je 22. marca 2022 sprejela predlog Uredbe Evropskega parlamenta in Sveta o informacijski varnosti v institucijah, organih, uradih in agencijah Unije (1) (v nadaljnjem besedilu: predlog).

2. Evropska komisija je istega dne sprejela tudi predlog Uredbe o določitvi ukrepov za visoko skupno raven kibernetske varnosti v institucijah, organih, uradih in agencijah Unije (2) (v nadaljnjem besedilu: predlog o kibernetski varnosti).

3. Oba predloga sta predvidena v strategiji EU za kibernetsko varnost v digitalnem desetletju, predstavljeni 16. decembra 2020 (3) (v nadaljnjem besedilu: strategija). Splošni namen strategije je bil okrepiti strateško avtonomijo Unije na področjih kibernetske varnosti, izboljšati njeno odpornost in kolektivni odziv ter vzpostaviti globalni in odprt internet z močnimi varovali za obravnavanje tveganj za varnost ter temeljne pravice in svoboščine prebivalcev Evrope (4).

4. Predlog je ena od regulativnih pobud strategije, zlasti na področju kibernetske varnosti institucij, organov, uradov in agencij EU. Predlog ima v skladu s strategijo dvojni namen: — olajšati interoperabilnost sistemov tajnih podatkov, da se omogoči nemoten prenos podatkov med različnimi subjekti; in — omogočiti medinstitucionalni pristop k obravnavanju tajnih podatkov in občutljivih netajnih podatkov EU, ki bi se lahko uporabljal tudi kot vzorec za interoperabilnost med državami članicami, z navedbo, da bi EU morala tudi nadalje razvijati svojo sposobnost varnega komuniciranja z ustreznimi partnerji, pri čemer bi morala čim bolj upoštevati obstoječe ureditve in postopke.

5. ENVP ugotavlja, da je predmet obravnavanega predloga tudi neposredno povezan s predlogom Direktive Evropskega parlamenta in Sveta o ukrepih za visoko skupno raven kibernetske varnosti v Uniji in razveljavitvi Direktive (EU) 2016/1148 (v nadaljnjem besedilu: predlog revidirane direktive o varnosti omrežij in informacij). ENVP poudarja, da je izdal Mnenje 5/2021 o strategiji za kibernetsko varnost (5) in revidirani direktivi o varnosti omrežij in informacij (v nadaljnjem besedilu: mnenje o revidirani direktivi o varnosti omrežij in informacij) (6). Zato se bo to mnenje nanašalo na mnenje o revidirani direktivi o varnosti omrežij in informacij.

6. V skladu z obrazložitvenim memorandumom predloga je evropska uprava zaradi vse večjih količin občutljivih netajnih podatkov in tajnih podatkov EU, ki jih morajo institucije, organi, uradi in agencije EU izmenjevati med seboj, in ob upoštevanju dramatičnega razvoja groženj izpostavljena napadom na vseh področjih svojega delovanja. Podatki, ki jih obravnavajo institucije, organi, uradi in agencije EU, so zelo privlačni za akterje groženj, zato jih je treba ustrezno zavarovati.

7. Predlog bi v skladu z obrazložitvenim memorandumom: — vzpostavil usklajene in celovite kategorije podatkov ter skupna pravila za obravnavanje za vse institucije, organe, urade in agencije EU, — vzpostavil program preudarnega sodelovanja na področju informacijske varnosti med institucijami, organi, uradi in agencijami EU, ki bi lahko spodbujal usklajeno kulturo informacijske varnosti v celotni evropski upravi, — posodobil politike informacijske varnosti na vseh stopnjah tajnosti/kategorizacije za vse institucije, organe, urade in agencije EU ob upoštevanju digitalne preobrazbe in razvoja dela na daljavo kot strukturne prakse.

8. Komisija se je 22. marca 2022 v skladu s členom 42(1) Uredbe Evropského parlamentu a Rady (EU) 2018/1725 (v nadaljnjem besedilu: uredba EU o varstvu podatkov) posvetovala z evropskim nadzornikom za varstvo podatkov (7). Pripombe in priporočila v tem mnenju so omejeni na določbe predloga, ki so najpomembnejše z vidika varstva podatkov in zasebnosti.

4. SKLEPNE UGOTOVITVE

31. Glede na navedeno ENVP podaja naslednja glavna priporočila: — ENVP še zlasti priporoča, da predlog jasno opredeli dejavnosti obdelave osebnih podatkov, ki so dovoljene za namene te uredbe, vključno z: nameni obdelave; vrstami osebnih podatkov; kategorijami posameznikov, na katere se nanašajo osebni podatki; opredelitvijo upoštevnih vlog (upravljavec, obdelovalec, skupni upravljavci), obdobji hrambe, prejemniki ob prenosu subjektom, za katere uredba EU o varstvu podatkov ne velja. ENVP meni, da bi bilo treba te elemente izrecno določiti v predlogu ali vsaj v delegiranem aktu, ki ga pozneje sprejme Komisija. Predlog bi moral določiti tako pooblastilo; — ENVP priporoča, da se v uvodni izjavi pojasni, da se bodo uporabljale vse določbe uredbe EU o varstvu podatkov, vključno s pravili o mednarodnih prenosih. Uvodna izjava 6 se lahko uporabi tudi za vključitev morebitnih drugih splošnih priporočil o varstvu podatkov, ki so podana v tem mnenju in niso namenjena spremembi materialnih določb; — ENVP še zlasti priporoča vključitev šifriranja od konca do konca na seznam minimalnih ukrepov predloga, kadar je ustrezno, zlasti pa pri izmenjavi občutljivih netajnih podatkov; — ENVP priporoča, da se v členu 5(3) doda, da se pri dejavnikih, ki se upoštevajo v okviru postopka za obvladovanje tveganja za informacijsko varnost, upoštevajo tudi grožnje, ki izhajajo iz dostopa na podlagi pristojnosti tretjih držav (npr. njihovih javnih organov); — ENVP še posebej priporoča, da se v ustrezni uvodni izjavi pojasnijo koristi vzpostavljenega integriranega obvladovanja tveganja za informacijsko varnost in integriranega postopka obravnave incidentov, ki pomagata pri izpolnjevanju obveznosti glede informacijske varnosti in varstva podatkov pri obveščanju o kršitvah varnosti podatkov; — ENVP še posebej priporoča, da predlog določi posebno obveznost za uradnike EU, odgovorne za informacijsko varnost, da tesno sodelujejo s pooblaščeno osebo za varstvo podatkov, imenovano v skladu s členom 43 uredbe EU o varstvu podatkov, pri obravnavi dejavnosti, kot so uporaba vgrajenega in privzetega varstva podatkov pri ukrepih za informacijsko varnost, izbira varnostnih ukrepov, ki zajemajo osebne podatke, integrirano obvladovanje tveganj, integrirana obravnava varnostnih incidentov.

Bruselj, 17. maja 2022. Wojciech Rafał WIEWIÓROWSKI

(1) COM(2022) 119 final.

(2) COM(2022) 122 final.

(3) Strategija EU za kibernetsko varnost v digitalnem desetletju | Oblikovanje digitalne prihodnosti (europa.eu), vključno s skupnim sporočilom z visokim predstavnikom Unije za zunanje zadeve in varnostno politiko (JOIN(2020)18).

(4) Glej poglavje I. UVOD, stran 4 strategije.

(5) Skupno sporočilo Evropske komisije ter visokega predstavnika Unije za zunanje zadeve in varnostno politiko Evropskemu parlamentu in Svetu z naslovom Strategija EU za kibernetsko varnost v digitalnem desetletju.

(6) Mnenje ENVP 5/2021 o strategiji za kibernetsko varnost in revidirani direktivi o varnosti omrežij in informacij.

(7) Uredba (EU) 2018/1725 Evropskega parlamenta in Sveta z dne 23. oktobra 2018 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov ter o razveljavitvi Uredbe (ES) št. 45/2001 in Sklepa št. 1247/2002/ES (UL L 295, 21.11.2018, str. 39).