Директива 2009/136/ЄК Європейського Парламенту та Ради (стр. 5 )

(56) Технологічний прогрес дає можливість розвитку нових застосувань, що базуються на пристроях для збору та ідентифікації даних, які можуть бути безконтактними пристроями, що використовують радіочастоти. Наприклад, Пристрої радіочастотної ідентифікації (RFIDs) використовують радіочастоти, щоб отримати дані від унікально ідентифікованих ярликів, які потім можуть бути передані по існуючим комунікаційним мережам. Широке використання таких технологій може принести значний економічний ефект та соціальну користь і таким чином зробити великий внесок до внутрішнього ринку, якщо їх використання являється прийнятним для громадян. Щоб досягнути цієї мети, необхідно гарантувати, що всі основні права фізичних осіб, включаючи право на секретність та захист даних, захищаються. Коли такі пристрої з’єднані з загальнодоступними електронними комунікаційними мережами чи використовують електронні комунікаційні служби як основну інфраструктуру, повинні застосовуватись відповідні положення Директиви 2002/58/ЄС (Директива про секретність та електронні комунікації), включаючи ті, що стосуються безпеки, даних про трафік та розташування і конфіденційності.

(57) Провайдер загальнодоступних електронних комунікаційних послуг повинен прийняти відповідні технічні та організаційні міри, щоб гарантувати безпеку своїх послуг. Без шкоди Директиві 95/46/ЄС, такі міри повинні гарантувати, що до персональних даних отримати доступ може лише авторизований персонал для законно авторизованих цілей, і, що накопичені чи передані персональні дані, так як і мережа чи послуги, захищені. Крім того, повинна бути встановлена політика безпеки щодо обробки персональних даних, щоб визначати слабкі місця в системі, регулярно повинні проводитись контрольні та профілактичні, корегувальні та пом’якшуючі дії.

(58) Компетентні національні органи повинні відстоювати інтереси громадян, між іншим, сприяючи забезпеченню високого рівня захисту персональних даних та секретності. З цією метою, компетентні національні органи повинні мати необхідні засоби для виконання своїх обов’язків, включаючи повні та надійні дані про інциденти порушення безпеки по відношенню до персональних даних фізичних осіб. Вони повинні контролювати прийняті міри та розповсюджувати найкращу практику серед провайдерів загальнодоступних електронних комунікаційних послуг. Провайдери повинні підтримувати список порушень персональних даних для подальшого аналізу та оцінки компетентними національними органами.

(59) Законодавство Спільноти накладає обов’язки на контролерів даних стосовно обробки персональних даних, включаючи зобов’язання приймати відповідні технічні та організаційні дії захисту проти, наприклад, втрати даних. Вимоги щодо повідомлення про витік даних, які містяться в Директиві 2002/58/ЄС (Директива про секретність та електронні комунікації), забезпечують структуру для повідомлення компетентним органам та зацікавленим фізичним особам в разі, якщо до персональних даних було отримано несанкціонований доступ. Такі вимоги щодо повідомлень обмежуються порушеннями правил безпеки, які виникають в секторі електронних комунікацій. Однак, повідомлення про порушення правил безпеки відображає загальний інтерес громадян в тому, щоб бути проінформованими про порушення безпеки, що може привести до втрати їх персональних даних чи, навіть поставити їх під загрозу, а також про доступні чи рекомендовані застережні заходи, які вони можуть прийняти, щоб мінімізувати можливі економічні втрати чи соціальну шкоду, що можуть бути наслідками таких порушень. Інтерес користувачів в тому, щоб бути поінформованими, очевидно не обмежується сектором електронних комунікацій, і тому явні, обов’язкові вимоги до повідомлення, що застосовуються до всіх секторів, повинні бути запроваджені на рівні Спільноти, як пріоритетне питання. До проведення Комісією огляду всього відповідного законодавства Спільноти у цій сфері, Комісія, разом з Європейським адміністратором захисту даних, повинна без затримки виконати певні дії, щоб сприяти застосуванню в Спільноті принципів визначених правилами повідомлення про витік даних, які містяться в Директиві 2002/58/ЄС (Директива про секретність та електронні комунікації), незалежно від сектору чи типу зачеплених даних.

(60) Компетентні національні органи повинні контролювати прийняті міри та розповсюдити найкращу практику серед провайдерів загальнодоступних електронних комунікаційних послуг.

(61) Порушення персональних даних, якщо на нього не реагувати вчасно відповідними заходами, може привести до суттєвої економічної втрати та соціальної шкоди абоненту або фізичній особі, включаючи викрадення особистих даних. Тому, як тільки провайдеру загальнодоступних електронних комунікаційних послуг стане відомо про таке порушення, він повинен повідомити про порушення компетентні національні органи. Абонентів чи фізичних осіб, на дані чи секретність яких було здійснено негативний вплив, потрібно негайно повідомити, щоб дозволити їм прийняти необхідні запобіжні дії. Порушення повинно розглядатись, як таке, що здійснює негативний вплив на дані чи секретність абонента чи фізичної особи, якщо це може привести, наприклад, до викрадення особистих даних чи шахрайства, фізичної шкоди, значного приниження чи порушення репутації в зв’язку з наданням загальнодоступних комунікаційних послуг в Спільноті. Повідомлення повинно містити інформацію про дії прийняті провайдером проти порушення, а також рекомендації зачепленому абоненту чи фізичній особі.

(62) Застосовуючи дії, що транспонують Директиву 2002/58/ЄС (Директива про секретність та електронні комунікації), органи та суди Держав-членів повинні не тільки трактувати своє національне законодавство в манері сумісній з цією Директивою, але й також повинні гарантувати, що вони не залежать від його трактування, яке може суперечити основним правам чи загальним принципам законодавства Спільноти, таким, як принцип пропорційності.

(63) Повинні бути розроблені положення для прийняття технічних мір по застосуванню стосовно умов, формату та процедур, прийнятних для інформаційних вимог та вимог повідомлення, щоб досягнути відповідного рівня захисту секретності та безпеки персональних даних, що передаються чи обробляються з використанням електронних комунікаційних мереж на внутрішньому ринку.

(64) При встановленні детальних правил стосовно формату та процедур, які застосовуватимуться для повідомлення про порушення персональних даних, певна увага повинна приділятись обставинам порушення, враховуючи те, чи були персональні данні захищені чи ні відповідними технічними мірами захисту, ефективно обмежуючи ймовірність викрадення особистих даних або інші форми неправильного використання. Крім того, такі правила та процедури повинні приймати до уваги законні інтереси правоохоронних органів у випадках, де раннє розкриття може перешкоджати розслідуванню обставин порушення.

(65) Програмне забезпечення, яке таємно контролює дії користувача чи перешкоджає роботі термінального обладнання користувачів для вигоди третьої сторони (програма-шпгун), ставить під загрозу секретність користувачів, так, як і віруси. Повинен бути забезпечений високий та ідентичний рівень захисту приватної сфери користувачів, незалежно від того, чи завантажені шпигунські програми або віруси випадково через електронні комунікаційні мережі чи отримані та встановлені в програмне забезпечення за допомогою зовнішніх носіїв, таких, як компакт-диски, CD-ROM чи USB флеш-карти. Держави-члени повинні сприяти наданню інформації кінцевим користувачам про доступні запобіжні дії, та повинні сприяти прийняттю ними необхідних мір щодо захисту їх термінального обладнання проти вірусів та програм-шпигунів.

(66) Треті сторони можуть виявити бажання зберігати інформацію на обладнанні користувача, або отримати доступ до вже збереженої інформації, для багатьох цілей, починаючи з законних (таких як деякі типи «cookies») закінчуючи тими, що приводять до небажаного втручання в приватну сферу (такі як програми-шпигуни та віруси). Тому, це являється дуже важливим, щоб користувачам надавали чітку і повну інформацію, залучаючи до будь-якої діяльності, яка може привести до такого зберігання чи отримання доступу. Методи надання інформації та надання права на відмову повинні бути настільки зручними, наскільки це можливо. Винятки до зобов’язань надавати інформацію та право на відмову повинні бути обмежені тими ситуаціями, коли технічне зберігання чи доступ чітко необхідний для законних цілей, які дають право на використання спеціальної послуги заявленої абонентом чи користувачем. Де це технічно можливо та ефективно, згідно з відповідними положеннями Директиви 95/46/ЄС, згода користувача на обробку може бути виражена використанням відповідних налаштувань браузера чи інших додатків. Слідування таким вимогам повинно бути більш ефективним завдяки посиленим повноваженням наданим відповідним національним органам.

(67) Запобіжні заходи, передбачені для абонентів для захисту проти вторгнення до їх секретності, шляхом непередбачуваних повідомлень, з метою прямої розсилки, зокрема, шляхом електронної пошти, повинні застосовуватись для повідомлень SMS, MMS та інших видів схожих застосувань.

(68) Провайдери електронних комунікаційних послуг роблять значні інвестиції для боротьби з непроханими комерційними повідомленнями (спамом). Вони також знаходяться в кращій позиції ніж кінцеві користувачі, так як володіють знаннями і ресурсами необхідними для визначення та ідентифікації спамерів. Провайдери послуг електронної пошти та провайдери інших послуг повинні мати можливість ініціювати юридичні дії проти спамерів, та, таким чином, захищати інтереси своїх споживачів, як частину своїх законних ділових інтересів.

(69) Необхідність гарантування відповідного рівня захисту секретності та персональних даних, переданих та оброблених з використанням електронних комунікаційних мереж в Спільноті, вимагає ефективного виконання та примусових повноважень для забезпечення необхідних стимулів для відповідності. Компетентні національні органи та, де можливо, інші відповідні національні органи повинні мати достатні повноваження та ресурси для ефективного розслідування випадків невідповідності, включаючи повноваження отримувати будь-яку відповідну інформацію, яка необхідна їм для прийняття рішення по скаргам та накладання санкцій у випадку невідповідності.