97.

Evropski parlament, Komisija in Svet so sprejeli različne pristope glede uradnega obveščanja o kršitvi varnosti. Navedeni trije modeli se med drugim razlikujejo glede subjektov, za katere velja ta obveznost, standarda oziroma povoda za uradno obvestilo, posameznikov, na katere se nanašajo osebni podatki in so upravičeni do obvestila itd. Evropski parlament in Svet morata storiti vse, kar je v njuni moči, in oblikovati zanesljiv pravni okvir v zvezi s kršitvami varnosti. Zato bi morala: — v besedilih Evropskega parlamenta, Sveta in Komisije pustiti nespremenjeno opredelitev kršitve varnosti, saj je ta dovolj široka, da zajame večino situacij, v katerih bi bila potrebno uradno obvestilo o kršitvi varnosti; — kar zadeva subjekte, za katere naj bi veljala predlagana zahteva glede uradnega obvestila, vključiti ponudnike storitev informacijske družbe. Spletni trgovci na drobno, spletne banke in spletne lekarne so ravno tako izpostavljeni kršitvam varnosti kot telekomunikacijska podjetja, če ne še v večji meri. Državljani pričakujejo, da bodo obveščeni ne le o kršitvah varnosti, ki jih utrpijo ponudniki dostopa do interneta, temveč zlasti, kadar se to zgodi spletnim bankam in lekarnam; — kar zadeva povod za uradno obvestilo, je standard iz spremenjenega predloga, tj. da je dokaj verjetno, da bodo [podatki] ogroženi, ustrezno, saj zagotavlja funkcionalnost sistema. Treba pa je zagotoviti, da je „škoda“ dovolj široko opredeljena, da zajema vse vidike negativnih posledic na zasebnost ali druge zakonite interese posameznikov. Sicer bi bilo sicer bolje oblikovati novo opredelitev, v skladu s katero bi bilo obveščanje obvezno, „če je mogoče upravičeno pričakovati, da bo kršitev škodovala posameznikom“. V predlogu Sveta je zahteva, da ima kršitev resne posledice za zasebnost posameznika; glede na zahtevo, da mora kršitev imeti „resne“ posledice, s takšnim pristopom ne bi bila zagotovljena ustrezna zaščita posameznikov, hkrati pa bi vplival na objektivnost presoje. — vključitev ustreznega organa, ki naj bi odločil o tem, ali mora zadevni subjekt obvestiti posameznike, ima zagotovo tudi pozitivne strani, vendar se lahko zgodi, da ta rešitev ne bo praktična in jo bo težko uveljavljati ter da bo povzročila preusmeritev sredstev, ki so sicer namenjena za druge pomembne prioritete. ENVP se boji, da v primeru, če oblasti ne bodo zmožne izredno hitre reakcije, tak sistem lahko celo oslabi varstvo posameznikov in po nepotrebnem obremeni organe oblasti. ENVP zato na splošno svetuje, da se vzpostavi sistem, na podlagi katerega zadevni subjekti sami ocenijo, ali je uradno obvestilo potrebno ali ne; — da bi organom omogočili preverjanje ocen, ki jih zadevni subjekti pripravijo v zvezi s tem, ali je uradno obvestilo potrebno ali ne, uvesti naslednje zaščitne ukrepe: — zagotoviti, da so takšni subjekti zavezani organe oblasti uradno obvestiti o vseh kršitvah, ki izpolnjujejo predpisani standard; — poskrbeti, da imajo organi oblasti vlogo nadzornika, kar jim omogoča selektivnost, s tem pa učinkovitost. Da bi to tudi dosegli, se v besedilo vnese naslednji stavek: „Če naročnik ali posameznik, na katerega se podatki nanašajo, še ni bil obveščen o kršitvi, lahko pristojni nacionalni organ po preučitvi zadeve zahteva od PPECS ali ISSP, da pošlje obvestilo.“ — sprejeti novo določbo, ki bi subjekte zavezovala k beleženju podrobne in celovite revizijske sledi v podjetju. To bi bilo mogoče doseči s sprejetjem naslednje formulacije: „PPECS in ponudniki storitev informacijske družbe vodijo in hranijo celovite evidence, v katerih so podrobno navedene vse kršitve, z njimi povezane tehnične informacije in ukrepi za izboljšanje. V evidencah so zabeležena tudi vsa obvestila naročnikom ali zadevnim posameznikom ter pristojnim nacionalnim organom, vključno z datumom in vsebino. Evidence se na zahtevo predložijo pristojnemu nacionalnemu organu.“ — da se zagotovi doslednost pri izvajanju okvira v zvezi s kršitvami varnosti, poskrbeti, da lahko Komisija po posvetovanju z ENVP, delovno skupino iz člena 29 in drugimi zainteresiranimi stranmi sprejme tehnične izvedbene ukrepe; — kar zadeva posameznike, ki bi jih bilo treba obvestiti o kršitvi, uporabiti terminologijo Komisije ali Evropskega parlamenta, torej „zadevni posamezniki“ oziroma „prizadeti uporabniki“, saj vključuje vse posameznike, katerih osebni podatki so bili ogroženi.