25 jun 2013 11:28

Så ska EU samordna integritetsreglerna för operatörkunder

EU-kommissionen inför nya och harmoniserade regler för vad teleoperatörer och internetleverantörer bör göra om kundernas personuppgifter tappas bort, stjäls eller på annat sätt äventyras. Det skriver Kommissionen i ett pressmeddelande från i går.

Tack vare kommissionens förordning kommer företagen att få extra klarhet i hur de ska uppfylla dessa skyldigheter, och kunderna kommer att få extra garantier för hur problemen kommer att hanteras. Företagen måste t.ex. göra följande:

• Underrätta den behöriga nationella myndigheten om incidenten inom 24 timmar efter det att brottet upptäcks, för att i möjligaste mån begränsa omfattningen. Om inte alla uppgifter kan ges inom 24 timmar ska de tillhandahålla de första uppgifterna inom 24 timmar, och övriga uppgifter inom tre dagar.

• Beskriva vilken typ av information som berörs och vilka åtgärder som företaget har vidtagit eller kommer att vidta.

• Ta reda på vilken typ av data det rör sig om såsom finansiell information, lokaliseringsuppgifter, internetloggar, webbläsarhistorik, e-postuppgifter och specificerade samtalslistor och bedöma om de ska meddela kunderna (genom ett test som visar om brottet kan antas inverka menligt på en abonnents eller en enskild persons personuppgifter eller integritet).

• Använda ett standardiserat format (t.ex. ett webbformulär som är likadant i alla EU:s medlemsstater) för anmälningar till den behöriga nationella myndigheten.

Dessutom uppmanar man operatörerna att kryptera personuppgifter.

”I det sammanhanget kommer kommissionen i samarbete med Enisa att offentliggöra en vägledande förteckning över tekniska skyddsåtgärder, såsom krypteringstekniker, som gör uppgifterna oförståliga för personer som inte har rätt att se dem. Om ett företag använder sådana tekniker, men utsätts för ett datasäkerhetsbrott, behöver det inte meddela abonnenterna, eftersom ett sådant brott inte avslöjar abonnentens personuppgifter”, skriver man i sitt pressmeddelande.

Bestämmelserna har överenskommits av en kommitté av företrädare för medlemsstaterna och granskats av Europaparlamentet och rådet. De antas i form av en kommissionsförordning, som har direkt verkan och inte kräver införlivning på nationell nivå. Förordningen kommer att träda i kraft två månader efter det att den har offentliggjorts i Europeiska unionens officiella tidning.