Schutz der gespeicherten personenbezogenen Daten
Digitale Agenda: Kommission leitet Konsultation zu praktischen Regeln für Meldung von Datenschutzverstößen ein
Die Pflicht, Verstöße gegen die Datenschutzvorschriften zu melden, ist ein wichtiger Bestandteil der neuen EU-Telekommunikationsvorschriften
(21.07.11) - Die Europäische Kommission holt die Meinung von Telekommunikationsbetreibern, Anbietern von Internetdiensten, Mitgliedstaaten, nationalen Datenschutzbehörden, Verbraucherorganisationen und anderen interessierten Kreisen zu dem Thema ein, ob zusätzliche praktische Regeln für eine einheitliche Meldung von Verletzungen des Schutzes personenbezogener Daten in der EU erforderlich sind. Durch die überarbeitete Datenschutzrichtlinie für elektronische Kommunikation (2009/136/EG), die am 25. Mai 2011 als Teil eines Pakets neuer EU-Telekommunikationsvorschriften in Kraft getreten ist, sind Betreiber und Anbieter von Internetdiensten verpflichtet, die nationalen Behörden und ihre Kunden unverzüglich über Verletzungen des Schutzes der von ihnen gespeicherten personenbezogenen Daten zu benachrichtigen.
Die Kommission möchte zunächst Beiträge über bestehende Verfahren und anfängliche Erfahrungen mit den neuen Telekommunikationsvorschriften einholen. Danach könnte sie zusätzliche praktische Regeln vorschlagen, durch die geklärt werden soll, wann Verstöße gemeldet werden sollten sowie welche Verfahren und Formate dafür verwendet werden sollten. Beiträge zu dieser Konsultation können bis zum 9. September 2011 eingereicht werden.
"Die Pflicht, Verstöße gegen die Datenschutzvorschriften zu melden, ist ein wichtiger Bestandteil der neuen EU-Telekommunikationsvorschriften. Dies muss innerhalb der EU jedoch einheitlich erfolgen, damit sich die Unternehmen nicht mit unterschiedlichen, komplizierten nationalen Regelungen auseinandersetzen müssen. Ich möchte gleiche Voraussetzungen schaffen, die den Verbrauchern Sicherheit geben und praktische Lösungen für Unternehmen bieten", so die für die Digitale Agenda zuständige Vizepräsidentin der Europäischen Kommission Neelie Kroes.
Mit der Konsultation wird um Beiträge zu den folgenden konkreten Themen gebeten:
>> Umstände: wie die neue Verpflichtung gemäß den Telekommunikationsvorschriften erfüllt wird bzw. erfüllt werden soll; welche Verstöße eine Benachrichtigung des Teilnehmers oder der Person erforderlich machen würden bzw. Beispiele für Schutzmaßnahmen zur Verschlüsselung von Daten;
>> Verfahren: Meldefrist, Mittel für eine Benachrichtigung und Verfahren im Einzelfall;
>> Formate: Inhalt der Meldung an die nationalen Behörden und die betroffene Person, bestehende Standardformate bzw. Realisierbarkeit eines EU-weit gültigen Standardformats;
>> Außerdem möchte die Kommission mehr über grenzübergreifende Verstöße und die Einhaltung anderer EU-Verpflichtungen im Bezug auf Sicherheitsverletzungen erfahren.
Hintergrund
Telekommunikationsbetreiber und Anbieter von Internetdiensten verfügen über verschiedene Daten ihrer Kunden, wie Name, Adresse und Bankangaben, zusätzlich zu den Angaben über Telefonanrufe und aufgerufene Websites. Durch die Datenschutzrichtlinie für elektronische Kommunikation sind Telekommunikationsbetreiber und Anbieter von Internetdiensten verpflichtet, diese Daten vertraulich zu behandeln und zu schützen. Manchmal werden Daten jedoch gestohlen, gehen verloren oder es erhalten Unbefugte Zugriff darauf. Diese Fälle werden als "Verletzungen des Schutzes personenbezogener Daten" bezeichnet. Gemäß der überarbeiteten Datenschutzrichtlinie für elektronische Kommunikation (2009/136/EG) ist der Betreiber verpflichtet, im Fall eines Verstoßes gegen den Datenschutz eine bestimmte nationale Behörde, normalerweise die nationale Datenschutzbehörde oder die für die Kommunikation zuständige Regulierungsbehörde, zu benachrichtigen. Der Betreiber muss außerdem die betroffene Person direkt darüber informieren.
Durch die Datenschutzrichtlinie für elektronische Kommunikation kann die Kommission "technische Durchführungsmaßnahmen", d. h. praktische Regeln als Ergänzung zu den bestehenden Rechtsvorschriften, in Bezug auf die Umstände, Formate und Verfahren der Meldepflicht vorschlagen, um eine einheitliche Umsetzung der Vorschriften zu Datenschutzverstößen in den Mitgliedstaaten zu gewährleisten.
Die nächsten Schritte
Sollte die Kommission auf Grundlage der erhaltenen Beiträge beschließen, technische Durchführungsmaßnahmen vorzuschlagen, müsste sie die Europäische Agentur für Netz- und Informationssicherheit (ENISA), die Datenschutzgruppe nach Artikel 29 und den Europäischen Datenschutzbeauftragten (EDPS) anhören. Außerdem würden die für die Kommunikation zuständigen Regulierungsbehörden konsultiert werden, da diese in einigen Mitgliedstaaten für Datenschutzverstöße zuständig sind.
Die technischen Durchführungsmaßnahmen würden im Rahmen des "Regelungsverfahrens" als Kommissionsbeschluss angenommen werden. Bei diesem Verfahren müssten die Mitgliedstaaten dem Beschluss der Kommission zuerst im Kommunikationsausschuss (COCOM) zustimmen. In der Folge hätte das Europäische Parlament drei Monate Zeit, um die Maßnahmen vor deren Inkrafttreten eingehend zu prüfen.
Diese Konsultation wird unabhängig vom laufenden Prozess der Überarbeitung der allgemeinen Datenschutzrichtlinie (95/46/EG) durchgeführt.
Weitere Informationen
Das Konsultationsdokument ist abrufbar unter:
http://ec.europa.eu/information_society/policy/ecomm/library/public_consult/data_breach/index_en.htm
Website zur Digitalen Agenda:
http://ec.europa.eu/digital-agenda
(Europäische Kommission: ra)