L 173/2 Dziennik Urzędowy Unii Europejskiej 26.6.2013 ROZPORZĄDZENIA ROZPORZĄDZENIE KOMISJI (UE) NR 611/2013 z dnia 24 czerwca 2013 r. w sprawie środków mających zastosowanie przy powiadamianiu o przypadkach naruszenia danych osobowych, na mocy dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady o prywatności i łączności elektronicznej KOMISJA EUROPEJSKA, uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, uwzględniając dyrektywę 2002/58/WE Parlamentu Europej- skiego i Rady z dnia 12 lipca 2002 r. dotyczącą przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicz- nej) (!), w szczególności jej art. 4 ust. 5, po konsultacji z Furopejską Agencją ds. Bezpieczeństwa Sieci i Informacji (ENISA), po konsultacji z Grupą Roboczą ds. Ochrony Osób Fizycznych w zakresie Przetwarzania Danych Osobowych powołaną w art. 29 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycz- nych w zakresie przetwarzania danych osobowych i swobod- nego przepływu tych danych (?) (Grupa Robocza Art. 29), po konsultacji z Europejskim Inspektorem Ochrony Danych (EIOD), a także mając na uwadze, co następuje: (1) W dyrektywie 2002/58/WE przewiduje się harmonizację przepisów krajowych wymaganych do zapewnienia równoważnego poziomu ochrony podstawowych praw i wolności, w szczególności prawa do prywatności i pouf- ności, w odniesieniu do przetwarzania danych osobo- wych w sektorze łączności elektronicznej oraz w celu zapewnienia swobodnego przepływu w Unii tego typu danych oraz urządzeń i usług łączności elektronicznej. (2) Na mocy art. 4 dyrektywy 2002/58/WE dostawcy publicznie dostępnych usług łączności elektronicznej zobowiązani są powiadamiać o przypadkach naruszenia danych osobowych właściwe organy krajowe, a w niektó- rych okolicznościach również abonentów lub osoby fizyczne, których to dotyczy. Naruszenie danych osobo- wych zdefiniowano w art. 2 lit. i) dyrektywy 2002/58/WE jako naruszenie bezpieczeństwa prowa- dzące do przypadkowego lub bezprawnego zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia lub dostępu do danych osobowych przekazywanych, przechowywa- (! Dz.U. L 201 z 31.7.2002, s. 37. () Dz.U. L 281 z 23.11.1995, s. 31. nych lub w inny sposób przetwarzanych w związku ze świadczeniem publicznie dostępnych usług łączności elektronicznej w Unii. W celu zapewnienia spójności we wdrażaniu środków, o których mowa w art. 4 ust. 2, 3 i 4 dyrektywy 2002/58/WE, w art. 4 ust. 5 tej dyrektywy uprawniono Komisję do przyjęcia technicznych środków wykonaw- czych dotyczących okoliczności, formy i trybu mających zastosowanie do wymogów dotyczących informowania i powiadamiania, o których mowa w tym artykule. Rozbieżne wymogi krajowe w tym zakresie mogą prowa- dzić do braku pewności prawa, bardziej skomplikowa- nych i uciążliwych procedur oraz znacznych kosztów administracyjnych dla dostawców transgranicznych. Komisja uznaje zatem, że przyjęcie takich technicznych środków wykonawczych jest niezbędne. Niniejsze rozporządzenie ogranicza się do powiada- miania o przypadkach naruszenia danych osobowych i nie określa technicznych środków wykonawczych zwią- zanych z art. 4 ust. 2 dyrektywy 2002/58/WE, w którym mowa jest o informowaniu abonentów w przypadku szczególnego ryzyka naruszenia bezpieczeństwa sieci. Z art. 4 ust. 3 akapit pierwszy dyrektywy 2002/58/WE wynika, że dostawca powinien powiadomić właściwy organ krajowy o każdym przypadku naruszenia danych osobowych. Decyzja, czy powiadomić właściwy organ krajowy, nie powinna zatem w żadnym zakresie leżeć w gestii dostawcy. Właściwy organ krajowy powinien mieć jednak możliwość priorytetowego traktowania niektórych badanych przypadków naruszenia według swojego uznania i zgodnie z obowiązującym prawem; powinien on również móc podejmować odpowiednie kroki, aby nie zgłaszano naruszenia, gdy nie ma takiej potrzeby, oraz by nie pomijano żadnych rzeczywistych przypadków naruszenia. Należy ustanowić system powiadamiania właściwego organu krajowego o przypadkach naruszenia danych osobowych, który to system składa się, jeśli spełnione są określone warunki, z różnych etapów podlegających określonym terminom. System ten ma zapewnić, by właściwy organ krajowy był powiadamiany w najwcześ- niejszym możliwym terminie i w najbardziej wyczerpu- jący sposób; system ten nie powinien jednak niepo- trzebnie utrudniać dostawcy badania przypadku naru- szenia oraz stosowania środków niezbędnych dla jego ograniczenia i zaradzenia jego skutkom.