Pierderea datelor personale in sectorul comunicatiilor electronice, vor trebui notificate în 24 de ore

Comisia Europeana (CE) a publicat luni,  23 iunie 2013, un proiect de regulament cu privire la masurile aplicabile notificarii asupra incidentelor privind pierderea, furtul sau compromiterea datelor personale, procedura prevazuta în continutul Directivei 2002/58/EC cu privire la protectia datelor personale în sectorul comunicatiilor electronice. Aceasta directiva a fost transpusa în dreptul român prin Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal si protectia vietii private în sectorul comunicatiilor electronice[1].

Considerentul 4 al Preambulului proiectului de Regulament explica faptul ca aceste norme sunt necesare deoarece „diferite cerinte nationale în acest sens pot duce la insecuritate juridica, proceduri mai complexe si împovaratoare si la costuri administrative semnificative pentru furnizorii de servicii care opereaza în mai multe state” (traducere neoficiala).

Conform proiectului de regulament, printre masurile de punere în aplicare a normelor privind securitatea datelor se numara obligatiile furnizorilor de servicii:

• sa informeze autoritatea nationala competenta (în cazul României – Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal) cu privire la incident în termen de 24 de ore de la încalcarea securitatii datelor cu caracter personal, în scopul de a o izola cât mai bine posibil. Daca în aceasta perioada informatiile nu pot fi pot fi divulgate în totalitate, companiile trebuie sa ofere un prim set de informatii în termen de 24 de ore, urmând sa transmita restul informatiilor în termen de trei zile;
• sa sublinieze care sunt informatiile afectate si care sunt masurile care au fost sau vor fi aplicate de catre companie;
• atunci când evalueaza necesitatea notificarii abonatilor (de exemplu folosind drept criteriu riscul ca încalcarea sa aiba consecinte negative asupra datelor cu caracter personal sau a vietii private), sa acorde atentie tipului datelor compromise, în speta, în contextul sectorului telecomunicatiilor, informatii financiare, date de localizare, fisiere-jurnal de utilizare a internetului, istorii de navigare pe internet, date de e-mail si liste detaliate de apeluri;
• sa utilizeze un format standardizat (de exemplu un formular on-line care sa fie acelasi în toate statele membre ale UE) pentru notificarea autoritatii nationale competente.

În comunicatul de presa care a însotit propunerea de regulament, Comisia a precizat si ca îsi doreste, de asemenea, sa stimuleze companiile sa cripteze datele cu caracter personal, obligatie de diligenta pe care si-o asuma prin art. 4 alin. (3) al proiectului de regulament. Ca atare, în colaborare cu ENISA (European Network and Information Security Agency), Comisia va publica si o lista orientativa cu masuri tehnice de protectie, precum tehnicile de criptare, care fac ca datele sa fie de neînteles pentru orice persoana neautorizata sa le consulte. Aceste masuri de securitate a datelor au consecinte importante, întrucât, conform CE, daca într-o companie care aplica astfel de tehnici s-ar produce o încalcare a securitatii datelor, respectiva companie ar fi scutita de sarcina de a notifica abonatul, deoarece, în realitate, o astfel de încalcare nu ar divulga datele cu caracter personal ale acestuia.

Doua proiecte de regulament, aceeasi obligatie de notificare

Este interesant de observat faptul ca, desi în acest moment proiectul de Regulament privind protectia datelor personale, care cuprinde de asemenea prevederi în legatura cu notificarea incidentelor cu privire la pierderea de date (a se vedea articolele 31 si 32 ale acestuia), se afla în plin proces de dezbatere si adoptare, Comisia a ales sa propuna un proiect separat dedicat acestor proceduri.

Acest lucru s-ar putea traduce printr-un semnal de alarma cu privire la modul în care se desfasoara dezbaterile asupra proiectului de regulament privind protectia datelor, care probabil vor duce la întârzierea adoptarii si aplicarii lui, în conditiile în care bresele de securitate care duc la pierderea de date sunt realitati care pot avea consecinte serioase si trebuie confruntate cât mai repede. Gabriela Zanfir, juridice.ro

Cuvinte cheie: 24 de ore, CE, Comisia Europeana, comunicatii electronice, date personale, Legea nr. 506/2004, notificate, pierdere, sector

Stiri juridice & administrative pe 8:41 felicia.taunean