L 173/2 Euroopan unionin virallinen lehti 26.6.2013 ASETUKSET KOMISSION ASETUS (EU) N:o 611/2013, annettu 24 päivänä kesäkuuta 2013, henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla annetun Euroopan parlamentin ja neuvoston direktiivin 2002/58/EY mukaisten henkilötietojen tietoturvaloukkausten ilmoittamiseen sovellettavista toimenpiteistä EUROOPAN KOMISSIO, joka ottaa huomioon Euroopan unionin toiminnasta tehdyn sopi- muksen, ottaa huomioon henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla 12 päivänä heinäkuuta 2002 annetun Euroopan parlamentin ja neuvoston direktiivin 2002/58/EY (') (sähköisen viestinnän tietosuojadirektiivi)ja eri- tyisesti sen 4 artiklan 5 kohdan, on kuullut Euroopan verkko- ja tietoturvavirastoa (ENISA), on kuullut yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (?) 29 artiklalla perustettua tietosuojatyöryhmää (ar- tikla 29 -työryhmä), on kuullut Euroopan tietosuojavaltuutettua, sekä katsoo seuraavaa: (1) — Direktiivissä 2002/58/EY säädetään sellaisten kansallisten säännösten yhdenmukaistamisesta, joita tarvitaan sam- antasoisen perusoikeuksien ja -vapauksien, erityisesti yk- sityisyyttä ja luottamuksellisuutta koskevan oikeuden, suojan varmistamiseksi henkilötietojen käsittelyssä säh- köisen viestinnän alalla sekä tällaisten tietojen ja sähköis- ten viestintälaitteiden ja -palvelujen vapaan liikkuvuuden varmistamiseksi unionissa. (2) — Direktiivin 2002/58/EY 4 artiklan mukaan yleisesti saa- tavilla olevien sähköisten viestintäpalvelujen tarjoajien on ilmoitettava henkilötietojen tietoturvaloukkauksista toimi- valtaisille kansallisille viranomaisille ja eräissä tapauksissa myös niiden kohteeksi joutuneille tilaajille ja henkilöille. Henkilötietojen tietoturvaloukkaukset määritellään direk- tiivin 2002/58/EY 2 artiklan i alakohdassa tietoturvalouk- kauksiksi, jotka johtavat yleisesti saatavilla olevien säh- köisten viestintäpalvelujen tarjoamisen yhteydessä unio- nissa siirrettyjen, tallennettujen tai muutoin käsiteltyjen henkilötietojen vahingossa tapahtuvaan tai laittomaan tu- hoamiseen, häviämiseen, muuttamiseen, luvattomaan luo- vuttamiseen tai käyttöön antamiseen. () EYVL L 201, 31.7.2002, s. 37. (?) EYVL L 281, 23.11.1995, s. 31. (3) Direktiivin 2002/58/EY 4 artiklan 2, 3 ja 4 kohdassa tarkoitettujen toimenpiteiden yhdenmukaisen toteuttami- sen varmistamiseksi komissio valtuutetaan sen 4 artiklan 5 kohdassa hyväksymään teknisiä täytäntöönpanotoi- menpiteitä, jotka koskevat kyseisessä artiklassa tarkoitet- tuihin tiedotus- ja ilmoitusvaatimuksiin sovellettavia olo- suhteita, muotoa ja menettelyjä. Toisistaan poikkeavat kansalliset vaatimukset voivat tässä yhteydessä aiheuttaa oikeudellista epävarmuutta, moni- mutkaisempia ja raskaampia menettelyjä ja huomattavia hallinnollisia kustannuksia rajojen yli toimiville palvelun- tarjoajille. Näistä syistä komissio katsoo tarpeelliseksi hy- väksyä tällaisia teknisiä täytäntöönpanotoimenpiteitä. Tämä asetus rajoittuu henkilötietojen tietoturvaloukkauk- sista ilmoittamiseen, eikä siinä näin ollen vahvisteta di- rektiivin 2002/58/EY 4 artiklan 2 kohtaan liittyviä tek- nisiä täytäntöönpanotoimenpiteitä, jotka koskevat tilaa- jille ilmoittamista verkon turvallisuuteen kohdistuvista erityisistä riskeistä. Direktiivin 2002/58/EY 4 artiklan 3 kohdan ensimmäi- sestä alakohdasta seuraa, että palveluntarjoajien olisi il- moitettava toimivaltaiselle kansalliselle viranomaiselle kai- kista henkilötietojen tietoturvaloukkauksista. Näin ollen päätöstä siitä, ilmoitetaanko henkilötietojen tietoturvalo- ukkauksesta toimivaltaiselle kansalliselle viranomaiselle, ei saisi jättää palveluntarjoajan omaan harkintavaltaan. Tämä ei kuitenkaan saisi estää kyseistä toimivaltaista kan- sallista viranomaista priorisoimasta tiettyjen tietoturvalo- ukkausten tutkintaa tarpeelliseksi katsomallaan tavalla so- vellettavan lainsäädännön mukaisesti ja toteuttamasta tar- vittavia toimia henkilötietojen tietoturvaloukkauksien yli- tai aliraportoinnin välttämiseksi. Henkilötietojen — tietoturvaloukkauksista — toimivaltaiselle kansalliselle viranomaiselle tehtäviä ilmoituksia varten on tarkoituksenmukaista säätää järjestelmästä, joka muo- dostuu tietyin edellytyksin eri vaiheista, joista kullakin on tietty aikaraja. Tämän järjestelmän tarkoituksena on var- mistaa, että toimivaltaiselle kansalliselle viranomaiselle il- moitetaan tietoturvaloukkauksesta mahdollisimman aikai- sin ja mahdollisimman tyhjentävästi estämättä kuitenkaan tarpeettomasti palveluntarjoajaa tutkimasta tietoturvalo- ukkausta ja toteuttamasta tarpeellisia toimenpiteitä tieto- turvaloukkauksen rajoittamiseksi ja sen seurausten korjaa- miseksi.