L 173/2 Journal officiel de l’Union européenne 26.6.2013 RÈGLEMENTS RÈGLEMENT (UE) N° 611/2013 DE LA COMMISSION du 24 juin 2013 concernant les mesures relatives à la notification des violations de données à caractère personnel en vertu de la directive 2002/58/CE du Parlement européen et du Conseil sur la vie privée et les communications électroniques LA COMMISSION EUROPÉENNE, vu le traité sur le fonctionnement de l'Union européenne, vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) (!), et notamment son article 4, paragraphe 5, après consultation de l'Agence européenne chargée de la sécu- rité des réseaux et de l'information (ENISA), après consultation du groupe de protection des personnes à l'égard du traitement des données à caractère personnel, institué par l’article 29 de la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (?) (ci-après dénommé le «groupe de travail Article 29»), après consultation du Contrôleur européen de la protection des données (CEPD), considérant ce qui suit: (1) — La directive 2002/58/CE prévoit l’harmonisation des dispositions nationales nécessaires pour assurer un niveau équivalent de protection des droits et libertés fondamentaux, et en particulier du droit à la vie privée et à la confidentialité, en ce qui concerne le traitement des données à caractère personnel dans le secteur des communications électroniques, ainsi que la libre circula- tion de ces données et des équipements et services de communications électroniques dans l’'Union. (2) — En vertu de l'article 4 de la directive 2002/58/CE, les fournisseurs de services de communications électroniques accessibles au public sont tenus de notifier les violations de données à caractère personnel aux autorités nationales compétentes et, dans certains cas, aux abonnés et aux particuliers concernés. Les violations de données à carac- tère personnel sont définies à l'article 2, point i), de la directive 2002/58/CE comme des violations de la sécurité entraînant accidentellement ou de manière illicite la destruction, la perte, l'altération, la divulgation ou l’accès non autorisés de données à caractère personnel () JO L 201 du 31.7.2002, p. 37. JO L 281 du 23.11.1995, p. 31. transmises, stockées ou traitées d’une autre manière en relation avec la fourniture de services de communications électroniques accessibles au public dans l’Union. Afin d'assurer une mise en œuvre cohérente des mesures visées à l’article 4, paragraphes 2, 3 et 4, de la directive 2002/58/CE, l’article 4, paragraphe 5, de celle-ci habilite la Commission à adopter des mesures techniques d’ap- plication concernant les circonstances, le format et les procédures relatives aux exigences en matière d’informa- tion et de notification visées audit article. La diversité des exigences nationales en la matière peut être un facteur d'insécurité juridique, entraîner des procé- dures plus complexes et plus lourdes ainsi que des frais administratifs importants pour les fournisseurs ayant une activité transnationale. La Commission estime donc qu’il est nécessaire d'adopter de telles mesures techniques d’ap- plication. Le présent règlement ne concerne que la notification des violations de données à caractère personnel et ne prévoit donc pas de mesures techniques d’application relatives à l’article 4, paragraphe 2, de la directive 2002/58/CE sur l’information des abonnés en cas de risque particulier de violation de la sécurité du réseau. Il découle de l'article 4, paragraphe 3, premier alinéa, de la directive 2002/58/CE que les fournisseurs devraient notifier toutes les violations de données à caractère personnel à l'autorité nationale compétente. Aussi un fournisseur ne devrait-il pas avoir le choix d'informer ou pas l’autorité nationale compétente. Toutefois, cela ne devrait pas empêcher l’autorité nationale compétente concernée de hiérarchiser l’instruction de certaines viola- tions de la façon qu'elle juge appropriée conformément à la législation applicable, ni de prendre les mesures néces- saires pour éviter qu’il y ait trop ou trop peu de viola- tions de données à caractère personnel signalées. Il convient de prévoir un système de notification des violations de données à caractère personnel à l’autorité nationale compétente, qui comporte, si certaines condi- tions sont remplies, plusieurs stades auxquels s’appliquent des délais. Ce système est destiné à faire en sorte que l’autorité nationale compétente soit informée aussi rapi- dement et complètement que possible sans toutefois gêner inutilement le fournisseur dans ses efforts pour enquêter sur la violation et prendre les mesures néces- saires afin d’en limiter les conséquences et d'y remédier.