Artikel 4 ►M2Sikkerhed i forbindelse med behandlingen◄

Artikel 4

►M2  Sikkerhed i forbindelse med behandlingen ◄

1.  Udbyderen af en offentligt tilgængelig kommunikationstjeneste skal træffe passende tekniske og organisatoriske foranstaltninger for at beskytte sine tjenester, for netsikkerhedens vedkommende om nødvendigt sammen med udbyderen af det offentlige kommunikationsnet. Under hensyn til teknologiens stade og omkostningerne i forbindelse med gennemførelsen skal disse foranstaltninger garantere et sikkerhedsniveau, der står i forhold til risikoen.

▼M2

1a.  Uden at det berører direktiv 95/46/EF, skal de i stk. 1 omhandlede foranstaltninger som minimum:

De relevante nationale myndigheder skal kunne kontrollere foranstaltninger truffet af udbydere af offentligt tilgængelige elektroniske kommunikationstjenester og udstede henstillinger om bedste praksis vedrørende det sikkerhedsniveau, som disse foranstaltninger bør føre til.

▼B

2.  Hvor der er særlig risiko for brud på netsikkerheden, skal udbyderen af en offentligt tilgængelig kommunikationstjeneste informere abonnenterne herom samt, hvis risikoen ligger uden for de foranstaltninger, der skal træffes af udbyderen, om, hvorledes sådanne brud i givet fald kan forebygges, herunder angive de omkostninger, der sandsynligvis vil være forbundet hermed.

▼M2

3.  Sker der et brud på persondatasikkerheden, skal udbyderen af offentligt tilgængelige kommunikationstjenester uden unødig forsinkelse underrette den kompetente nationale myndighed om bruddet.

Når bruddet på persondatasikkerheden kan forventes at krænke personoplysninger eller privatlivets fred for en abonnent eller en fysisk person, underretter udbyderen også abonnenten eller den fysiske person om bruddet uden unødig forsinkelse.

Det er ikke nødvendigt at underrette den pågældende abonnent eller fysiske person om et brud på persondatasikkerheden, hvis den kompetente myndighed finder det godtgjort fra udbyderens side, at denne har gennemført passende teknologiske beskyttelsesforanstaltninger, og at disse foranstaltninger er blevet anvendt på de data, som sikkerhedsbruddet vedrørte. Sådanne teknologiske beskyttelsesforanstaltninger skal gøre dataene uforståelige for alle, der ikke har lovlig adgang hertil.

Uden at det berører udbyderens forpligtelse til at underrette den pågældende abonnent eller fysiske person, kan den kompetente nationale myndighed i tilfælde, hvor udbyderen ikke allerede har underrettet abonnenten eller den fysiske person om bruddet på persondatasikkerheden, og efter at have vurderet bruddets sandsynlige negative virkninger kræve, at udbyderen gør dette.

Underretningen af abonnenten eller den fysiske person skal mindst indeholde en beskrivelse af karakteren af bruddet på persondatasikkerheden og omhandle de kontaktpunkter, hvor der kan indhentes flere oplysninger, og den skal indeholde anbefalinger af, hvordan de mulige negative virkninger af bruddet på persondatasikkerheden kan afbødes. Underretningen til den kompetente nationale myndighed skal derudover beskrive følgerne af bruddet, og hvilke modforholdsregler udbyderen har foreslået eller truffet for at håndtere bruddet på persondatasikkerheden.

4.  Med forbehold af eventuelle tekniske gennemførelsesforanstaltninger vedtaget i medfør af stk. 5 kan de kompetente nationale myndigheder vedtage retningslinjer og om nødvendigt udstede instrukser om de omstændigheder, hvorunder udbydere skal give underretning om brud på persondatasikkerheden, samt hvilket format og hvilken procedure der skal anvendes ved underretningen. De skal desuden være i stand til at kontrollere, om udbyderne har opfyldt deres underretningspligt efter dette stykke, og pålægge dem passende sanktioner i tilfælde af manglende opfyldelse.

Udbydere skal føre optegnelser over brud på persondatasikkerheden indeholdende oplysninger om omstændighederne omkring bruddene, deres virkninger og de afhjælpende foranstaltninger, der er truffet, og disse optegnelser skal være tilstrækkeligt detaljerede til at sætte de kompetente nationale myndigheder i stand til at kontrollere, om bestemmelserne i stk. 3 er overholdt. Optegnelserne skal kun indeholde de oplysninger, der er nødvendige til dette formål.

5.  For at sikre en ensartet gennemførelse af de foranstaltninger, der er anført i stk. 2, 3 og 4, kan Kommissionen efter at have hørt Det Europæiske Agentur for Net- og Informationssikkerhed (ENISA), Gruppen vedrørende Beskyttelse af Personer i forbindelse med Behandling af Personoplysninger, der er nedsat ved artikel 29 i direktiv 95/46/EF, og Den Europæiske Tilsynsførende for Databeskyttelse vedtage tekniske gennemførelsesforanstaltninger om, under hvilke omstændigheder informations- og underretningskravene i denne artikel gælder, samt hvilke former og procedurer der skal anvendes. Når Kommissionen vedtager sådanne foranstaltninger inddrager den alle relevante aktører, særlig med henblik på at blive informeret om de bedste tilgængelige tekniske og økonomiske midler til gennemførelse af denne artikel.

Disse foranstaltninger, der har til formål at ændre ikke-væsentlige bestemmelser i dette direktiv ved at supplere det, vedtages efter forskriftsproceduren med kontrol i artikel 14a, stk. 2.

▼B