Informowanie o naruszeniu danych osobowych-konsultacje KE

Zmieniona dyrektywa o prywatności i łączności elektronicznej (2009/136/WE), która weszła w życie dnia 25 maja 2011 r. jako część pakietu nowego unijnego prawa telekomunikacyjnego, zobowiązuje operatorów i dostawców internetu do niezwłocznego informowania krajowych organów i swoich klientów o przypadkach naruszenia danych osobowych, które przechowują.
Komisja zamierza zebrać informacje na temat obowiązujących praktyk i pierwszych doświadczeń z nowymi przepisami telekomunikacyjnymi, a następnie być może zaproponuje dodatkowe praktyczne zasady, aby sprecyzować, kiedy przypadki naruszenia przepisów o ochronie danych osobowych mają być zgłaszane, procedury dokonywania takich zgłoszeń oraz ich wzory. Udział w konsultacjach jest możliwy do dnia 9 września 2011 r.

Zobacz: Prawo do anonimowości w Internecie, czyli czym są dane osobowe i jak je chronić?

Celem konsultacji jest zebranie informacji na temat następujących kwestii: 

• Okoliczności: w jaki sposób firmy wywiązują się lub zamierzają wywiązywać się z nowego obowiązku wynikającego z przepisów telekomunikacyjnych; rodzaje naruszenia przepisów, które wymagałyby powiadomienia abonenta lub osoby fizycznej, a także przykłady środków ochrony, które uczyniłyby dane nieczytelnymi;
• Procedury: termin zgłoszenia, sposoby zgłaszania oraz procedura dla indywidualnego przypadku;
• Wzory: treść zgłoszenia do organu krajowego i do osoby fizycznej, obowiązujące standardowe wzory i możliwość wykorzystania standardowego wzoru unijnego.
Ponadto Komisja chce zebrać więcej informacji na temat przypadków naruszenia przepisów w wymiarze transgranicznym i kwestii przestrzegania innych zobowiązań wynikających z prawa unijnego odnoszących się do naruszenia bezpieczeństwa danych osobowych.

Kontekst 

Operatorzy telekomunikacyjni i dostawcy internetu przechowują szereg danych o swoich klientach, takich jak imię i nazwisko, adres, numer konta bankowego, oprócz informacji na temat przeprowadzanych rozmów telefonicznych i odwiedzanych stron internetowych. Dyrektywa o prywatności i łączności elektronicznej nakłada na operatorów telekomunikacyjnych i dostawców internetu obowiązek traktowania tych danych jako poufnych i bezpiecznego ich przechowywania. Czasami jednak dane zostają skradzione lub zagubione, albo też nieuprawnione osoby uzyskują do nich dostęp. Przypadki te traktowane są jako „naruszenie danych osobowych”.

Zgodnie ze zmienioną dyrektywą o prywatności i łączności elektronicznej, w przypadku naruszenia danych osobowych dostawca musi zgłosić ten fakt do właściwego organu krajowego, zazwyczaj jest to krajowy urząd ochrony danych osobowych lub regulator rynku telekomunikacyjnego. Dostawca musi także bezpośrednio poinformować zainteresowaną osobę.