EU Legal News: Breşele de securitate privind pierderea datelor personale vor trebui notificate în 24 de ore Comisia Europeană (CE) a publicat luni, 23 iunie 2013, un proiect de regulament cu privire la măsurile aplicabile notificării asupra incidentelor privind pierderea, furtul sau compromiterea datelor personale, procedură prevăzută în conţinutul Directivei 2002/58/EC cu privire la protecţia datelor personale în sectorul comunicaţiilor electronice. Această directivă a fost transpusă în dreptul român prin Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal şi protecţia vieţii private în sectorul comunicaţiilor electronice[1]. Considerentul 4 al Preambulului proiectului de Regulament explică faptul că aceste norme sunt necesare deoarece „diferite cerinţe naţionale în acest sens pot duce la insecuritate juridică, proceduri mai complexe şi împovărătoare şi la costuri administrative semnificative pentru furnizorii de servicii care operează în mai multe state” (traducere neoficială). Conform proiectului de regulament, printre măsurile de punere în aplicare a normelor privind securitatea datelor se numără obligaţiile furnizorilor de servicii: - să informeze autoritatea națională competentă (în cazul României – Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal) cu privire la incident în termen de 24 de ore de la încălcarea securității datelor cu caracter personal, în scopul de a o izola cât mai bine posibil. Dacă în această perioadă informațiile nu pot fi pot fi divulgate în totalitate, companiile trebuie să ofere un prim set de informații în termen de 24 de ore, urmând să transmită restul informațiilor în termen de trei zile; - să sublinieze care sunt informațiile afectate și care sunt măsurile care au fost sau vor fi aplicate de către companie; atunci când evaluează necesitatea notificării abonaților (de exemplu folosind drept criteriu riscul ca încălcarea să aibă consecințe negative asupra datelor cu caracter personal sau a vieții private), să acorde atenție tipului datelor compromise, în speță, în contextul sectorului telecomunicațiilor, informații financiare, date de localizare, fișiere-jurnal de utilizare a internetului, istorii de navigare pe internet, date de e-mail și liste detaliate de apeluri; - să utilizeze un format standardizat (de exemplu un formular on-line care să fie același în toate statele membre ale UE) pentru notificarea autorității naționale competente. În comunicatul de presă care a însoţit propunerea de regulament, Comisia a precizat şi că îşi dorește, de asemenea, să stimuleze companiile să cripteze datele cu caracter personal, obligaţie de diligenţă pe care şi-o asumă prin art. 4 alin. (3) al proiectului de regulament. Ca atare, în colaborare cu ENISA (European Network and Information Security Agency), Comisia va publica și o listă orientativă cu măsuri tehnice de protecție, precum tehnicile de criptare, care fac ca datele să fie de neînțeles pentru orice persoană neautorizată să le consulte. Aceste măsuri de securitate a datelor au consecinţe importante, întrucât, conform CE, dacă într-o companie care aplică astfel de tehnici s-ar produce o încălcare a securității datelor, respectiva companie ar fi scutită de sarcina de a notifica abonatul, deoarece, în realitate, o astfel de încălcare nu ar divulga datele cu caracter personal ale acestuia. Două proiecte de regulament, aceeaşi obligaţie de notificare Este interesant de observat faptul că, deşi în acest moment proiectul de Regulament privind protecţia datelor personale, care cuprinde de asemenea prevederi în legătură cu notificarea incidentelor cu privire la pierderea de date (a se vedea articolele 31 şi 32 ale acestuia), se află în plin proces de dezbatere şi adoptare, Comisia a ales să propună un proiect separat dedicat acestor proceduri. Acest lucru s-ar putea traduce printr-un semnal de alarmă cu privire la modul în care se desfăşoară dezbaterile asupra proiectului de regulament privind protecţia datelor, care probabil vor duce la întârzierea adoptării şi aplicării lui, în condiţiile în care breşele de securitate care duc la pierderea de date sunt realităţi care pot avea consecinţe serioase şi trebuie confruntate cât mai repede. [1] Legea nr. 506 din 17 noiembrie 2004 privind prelucrarea datelor cu caracter personal şi protecţia vieţii private în sectorul comunicaţiilor electronice, publicată în M. Of., Partea I, nr. 1101 din 25 noiembrie 2004. Sursa: juridice.ro
Posted on: Fri, 28 Jun 2013 08:30:00 +0000
Trending Topics
Recently Viewed Topics
© 2015