Articolul 4 ►M2Securitatea prelucrării datelor◄

Articolul 4

►M2  Securitatea prelucrării datelor ◄

(1)  Prestatorul unui serviciu public de comunicații electronice trebuie să ia măsurile tehnice și organizaționale corespunzătoare pentru protejarea securității serviciilor sale, dacă este necesar împreună cu furnizorul rețelei de comunicații electronice, în privința securității rețelei. Având în vedere noutatea și costurile punerii lor în aplicare, aceste măsuri trebuie să asigure un nivel de securitate corespunzător riscurilor.

▼M2

(1a)  Fără a aduce atingere Directivei 95/46/CE, măsurile menționate la alineatul (1) realizează cel puțin următoarele:

Autoritățile naționale competente pot să auditeze măsurile adoptate de furnizorii de servicii de comunicații electronice accesibile publicului și să emită recomandări cu privire la cele mai bune practici privind nivelul de securitate care trebuie atins de aceste măsuri.

▼B

(2)  În cazul riscului de încălcare a securității rețelei, prestatorul de servicii de comunicații electronice trebuie să informeze abonații despre acest risc și, dacă riscul este în afara sferei măsurilor pe care le poate lua prestatorul de servicii, despre remediile posibile, inclusiv prin indicarea costurilor implicate.

▼M2

(3)  În cazul unei încălcări a securității datelor cu caracter personal, furnizorul serviciilor de comunicații electronice destinate publicului notifică, fără întârzieri nejustificate, autoritatea națională competentă cu privire la respectiva încălcare.

Atunci când încălcarea securității datelor cu caracter personal ar putea aduce atingere datelor cu caracter personal și vieții private ale unui abonat sau ale unei persoane, furnizorul notifică respectiva încălcare, fără întârzieri nejustificate, abonatului sau persoanei.

Notificarea având ca obiect o încălcare a datelor cu caracter personal către abonatul sau persoana în cauză nu este necesară dacă furnizorul a demonstrat autorității competente, într-un mod pe care aceasta îl consideră satisfăcător, că a aplicat măsuri tehnologice adecvate de protecție și că respectivele măsuri au fost aplicate datelor afectate de încălcarea securității. Astfel de măsuri tehnologice de protecție trebuie să asigure că datele devin neinteligibile persoanelor care nu sunt autorizate să le acceseze.

Fără a aduce atingere obligației furnizorului de a notifica abonații și persoanele în cauză, în cazul în care furnizorul nu a notificat deja abonatul sau persoana cu privire la încălcarea securității datelor cu caracter personal, autoritatea națională competentă poate, după analizarea posibilelor efecte negative ale încălcării, să îi solicite să facă acest lucru.

Notificarea adresată abonatului sau persoanei în cauză cuprinde cel puțin natura încălcării securității datelor cu caracter personal și punctele de contact unde pot fi obținute mai multe informații și recomandă măsuri de atenuare a posibilelor efecte negative ale încălcării securității datelor cu caracter personal. Notificarea adresată autorității naționale competente descrie, de asemenea, consecințele încălcării securității datelor cu caracter personal și măsurile propuse sau adoptate de furnizor în vederea remedierii acesteia.

(4)  Sub rezerva oricăror măsuri tehnice de punere în aplicare adoptate în temeiul alineatului (5), autoritățile naționale competente pot să adopte orientări și, atunci când este necesar, să emită instrucțiuni privind circumstanțele în care furnizorii sunt obligați să notifice încălcări ale securității datelor cu caracter personal, privind formatul unei astfel de notificări și privind maniera în care se va face notificarea. Acestea verifică, de asemenea, dacă furnizorii și-au respectat obligațiile de notificare în temeiul prezentului alineat și aplică sancțiunile corespunzătoare în cazul nerespectării obligațiilor respective.

Furnizorii păstrează o evidență a încălcărilor securității datelor cu caracter personal, care cuprinde o descriere a situației în care a avut loc încălcarea, a efectelor acesteia și a măsurilor de soluționare întreprinse, astfel încât autoritatea națională competentă să poată verifica dacă au fost respectate dispozițiile de la alineatul (3). Evidența respectivă include numai informațiile necesare în acest scop.

(5)  Pentru a asigura coerența în punerea în aplicare a măsurilor la care se face referire la alineatele (2), (3) și (4), Comisia, după consultarea Agenției Europene pentru Securitatea Rețelelor Informatice și a Datelor (ENISA), a Grupului de lucru pentru protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal instituit în temeiul articolului 29 din Directiva 95/46/CE și a Autorității Europene pentru Protecția Datelor, poate să adopte măsuri tehnice de punere în aplicare privind circumstanțele, formatul și procedurile aplicabile cerințelor de informare și de notificare la care se face referire în prezentul articol. La adoptarea unor astfel de măsuri, Comisia implică toate părțile interesate relevante, în special pentru ca acestea să o informeze cu privire la cele mai bune mijloace disponibile, atât pe plan tehnic, cât și economic, pentru punerea în aplicare a prezentului articol.

Măsurile respective, destinate să modifice elementele neesențiale ale prezentei directive prin completarea acesteia, se adoptă în conformitate cu procedura de reglementare cu control menționată la articolul 14a alineatul (2).

▼B