Articolul 3 - Securitatea prelucrării datelor cu caracter personal

Furnizorul unui serviciu de comunicații electronice destinat publicului are obligația de a lua măsuri tehnice și organizatorice adecvate în vederea asigurării securității prelucrării datelor cu caracter personal. Dacă este necesar, furnizorul serviciului de comunicații electronice destinate publicului va lua aceste măsuri împreună cu furnizorul rețelei publice de comunicații electronice.

Măsurile adoptate potrivit alin. (1) trebuie să asigure un nivel de securitate proporțional cu riscul existent, având în vedere posibilitățile tehnice de ultimă oră și costurile implementării acestor măsuri.

Fără a aduce atingere prevederilor Legii nr. 677/2001, cu modificările și completările ulterioare, măsurile adoptate potrivit alin. (1) trebuie să respecte cel puțin următoarele condiții:

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, denumită în continuare ANSPDCP, poate audita măsurile luate de furnizori în conformitate cu alin. (1) și poate emite recomandări cu privire la cele mai bune practici privind nivelul de securitate care trebuie atins de aceste măsuri.

În cazul existenței unui risc determinat de încălcarea securității datelor cu caracter personal, furnizorii de servicii de comunicații electronice destinate publicului au obligația de a informa abonații cu privire la existența acestui risc, precum și la posibilele consecințe ce decurg. În cazul în care acest risc depășește domeniul de aplicare a măsurilor pe care le pot lua furnizorii, aceștia au obligația de a informa abonații despre remediile posibile, inclusiv prin indicarea costurilor implicate.

În cazul unei încălcări a securității datelor cu caracter personal, furnizorii de servicii de comunicații electronice destinate publicului vor notifica ANSPDCP, fără întârziere, la respectiva încălcare.

Atunci când încălcarea securității datelor cu caracter personal ar putea aduce atingere datelor cu caracter personal sau vieții private a unui abonat ori a unei alte persoane, furnizorul va notifica respectiva încălcare, fără întârziere, abonatului sau persoanei în cauză.

Notificarea prevăzută la alin. (7) nu este necesară dacă furnizorul a demonstrat ANSPDCP, într-un mod pe care aceasta îl consideră satisfăcător, că a aplicat măsuri tehnologice de protecție adecvate și că respectivele măsuri au fost aplicate datelor afectate de încălcarea securității. Astfel de măsuri tehnologice de protecție trebuie să asigure faptul că datele devin neinteligibile persoanelor care nu sunt autorizate să le acceseze.

Fără a aduce atingere obligației furnizorului de a notifica abonaților și persoanelor în cauză, în cazul în care furnizorul nu a notificat deja abonatului sau persoanei în cauză încălcarea securității datelor cu caracter personal, ANSPDCP poate, după analizarea posibilelor efecte negative ale încălcării, să îi solicite să facă acest lucru.

Notificarea prevăzută la alin. (7) va cuprinde cel puțin o descriere a naturii încălcării securității datelor cu caracter personal și punctele de contact ale furnizorului unde pot fi obținute mai multe informații și va recomanda măsuri de atenuare a posibilelor efecte negative ale acestei încălcări. Notificarea prevăzută la alin. (6) va conține și o descriere a consecințelor încălcării securității datelor cu caracter personal, precum și a măsurilor propuse sau adoptate de furnizor în vederea remedierii acestora.

Sub rezerva oricăror măsuri tehnice de punere în aplicare adoptate de Comisia Europeană, ANSPDCP poate să stabilească circumstanțele în care furnizorii sunt obligați să notifice încălcări ale securității datelor cu caracter personal, formatul unei astfel de notificări și modalitățile în care se va face notificarea.

Furnizorii au obligația de a păstra o evidență a tuturor încălcărilor securității datelor cu caracter personal, care trebuie să cuprindă o descriere a situației în care a avut loc încălcarea, a efectelor acesteia și a măsurilor de remediere întreprinse, astfel încât ANSPDCP să poată verifica dacă au fost respectate obligațiile ce incumbă furnizorilor potrivit prezentului articol. Evidența va include numai informațiile necesare în acest scop.