L 173/2 Jornal Oficial da União Europeia 26.6.2013 REGULAMENTOS REGULAMENTO (UF) N.º 611/2013 DA COMISSÃO de 24 de junho de 2013 relativo às medidas aplicáveis à notificação da violação de dados pessoais em conformidade com a Diretiva 2002/58/CE do Parlamento Europeu e do Conselho relativa à privacidade e às comunicações eletrónicas A COMISSÃO EUROPEIA, Tendo em conta o Tratado sobre o Funcionamento da União Europeia, Tendo em conta a Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Directiva relativa à privacidade e às comunicações electrónicas) (!), nomeadamente o artigo 4.º, nº o, Tendo consultado a Agência Europeia para a Segurança das Redes e da Informação (ENISA), Tendo consultado o grupo de trabalho para a proteção das pessoas no que diz respeito ao tratamento de dados pessoais, instituído pelo artigo 29.º da Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao trata- mento de dados pessoais e à livre circulação desses dados (?) (grupo de trabalho do artigo 29.º). Tendo consultado a Autoridade Europeia para a Proteção de Dados (AEPD), Considerando o seguinte: (1) A Diretiva 2002/58/CE prevê a harmonização das dispo- sições nacionais necessárias para garantir um nível equi- valente de proteção dos direitos e liberdades fundamen- tais, nomeadamente o direito à privacidade e à confiden- cialidade, no que respeita ao tratamento de dados pes- soais no setor das comunicações eletrónicas, e para ga- rantir a livre circulação desses dados e dos equipamentos e serviços de comunicações eletrónicas na União. (2) — Nos termos do artigo 4.º da Diretiva 2002/58/CE, os operadores de serviços de comunicações eletrónicas pu- blicamente disponíveis são obrigados a comunicar às au- toridades nacionais competentes e, em determinados ca- sos, também aos assinantes e às outras pessoas em causa, a violação de dados pessoais. A violação de dados pes- soais é definida no artigo 2.º, alínea i), da Diretiva 2002/58/CE como uma violação da segurança que pro- voca, de modo acidental ou ilegal, a destruição, a perda, a alteração, a divulgação ou acesso não autorizados a da- dos pessoais transmitidos, armazenados ou de outro () JO L 201 de 31.7.2002, p. 37. () JO L 281 de 23.11.1995, p. 31. | M modo tratados no contexto da prestação de serviços de comunicações eletrónicas publicamente disponíveis na União. Para assegurar coerência na aplicação das medidas a que se refere o artigo 4.º, n.º 2, 3 e 4, da Diretiva 2002/58/CE, o n.º 5 do mesmo artigo confere à Comis- são o poder de adotar medidas técnicas de execução respeitantes às circunstâncias, ao formato e aos procedi- mentos aplicáveis aos requisitos de informação e notifi- cação a que se refere aquele artigo. A existência de requisitos nacionais diferentes nesta ma- téria pode originar insegurança jurídica, procedimentos mais complexos e morosos e custos administrativos sig- nificativos para os operadores com atividades transfron- teiras. Por conseguinte, a Comissão considera ser neces- sário adotar tais medidas técnicas de execução. O presente regulamento abrange apenas a notificação dos casos de violação de dados pessoais, pelo que não esta- belece medidas técnicas de execução do artigo 4.º, n.º 2, da Diretiva 2002/58/CE, respeitantes à informação a transmitir aos assinantes no caso de um determinado risco de violação da segurança da rede. O artigo 4.º, n.º 3, primeiro parágrafo, da Diretiva 2002/58/CE determina que os operadores devem comu- nicar à autoridade nacional competente todos os casos de violação de dados pessoais. Por conseguinte, não deve ser dada ao operador a possibilidade de optar por não co- municar essas Violações. No entanto, isso não deve im- pedir a autoridade nacional competente de atribuir prio- ridade à investigação de determinados casos de violação, como melhor entender, em conformidade com a legisla- ção aplicável, e de tomar as medidas necessárias para evitar que a comunicação de violações de dados pessoais seja excessiva ou insuficiente. Convém prever um sistema de notificação dos casos de violação de dados pessoais à autoridade nacional compe- tente, que compreenda, caso estejam preenchidas deter- minadas condições, várias fases, cada uma delas subme- tida a um determinado prazo. Este sistema visa garantir que a autoridade nacional competente é informada assim que possível e de forma tão circunstanciada quanto pos- sível, sem, no entanto, dificultar indevidamente os esfor- ços do operador para investigar a violação e tomar as medidas necessárias para a confinar e para obviar às suas consequências.