Utdrag fra aktuelle rettsakter for EØS-komiteen 8. juli 2016

Vedlegg XI. Elektronisk kommunikasjon, audiovisuelle tjenester og informasjonssamfunnstjenester
32013R0611 Kommisjonsforordning 611/2013/EU av 24. juni 2013 om tiltak som skal anvendes ved varsling av brudd på persondatasikkerheten, jf. Kommunikasjonsverndirektivet Europaparlamentets og Rådets direktiv 2002/58/EF

Sammendrag av innhold

Forordningen fastsetter nærmere krav til når og hvordan tilbyder av offentlig elektronisk kommunikasjonstjenester skal varsle nasjonal kompetent myndighet, og i visse tilfeller også abonnent eller bruker, om brudd på konfidensialiteten vedrørende personopplysninger etter kommunikasjonsverndirektivet 2002/58/EF. Plikten til å varsle kompetent myndighet gjelder alle typer brudd på konfidensialiteten, og er ubetinget. Varslingen skal skje innen 24 timer etter at bruddet er oppdaget.

Nærmere angivelse av innholdet i varselet både til kompetent myndighet og til abonnent eller bruker fremgår henholdsvis av forordningens vedlegg I og II. Varslingen til abonnent eller bruker er ikke påkrevd dersom tilbyder overfor kompetent myndighet kan påvise at den har implementert tilstrekkelig og hensiktsmessige teknologiske beskyttelsestiltak som gjør at opplysningene blir uforståelig for enhver person som ikke er autorisert til å få tilgang til disse. Forordningen angir nærmere i hvilke tilfeller dataen anses som uforståelige. Forordningen stiller videre krav til at nasjonal kompetent myndighet skal tilgjengeliggjøre for tilbydere etablert i medlemsstaten et sikkert elektronisk medium for notifisering av brudd.

SD finner det naturlig å legge til grunn at det er kompromittering av personopplysninger i form av trafikk- og lokasjonsdata og innholdet i elektronisk kommunikasjon, jf. definisjonen i kommunikasjonsverndirektivet 2002/58/EF artikkel 2 og forskrift om elektronisk kommunikasjonsnett og elektronisk kommunikasjonstjenste (ekomforkriften) § 7-1, som omfattes av varslingsplikten. På bakgrunn at dette bør kompentent myndighet være Nasjonal kommunikasjonsmyndighet (Nkom).

Nkom skal fortløpende informere Datatilsynet når de mottar varsler som kan ligge innenfor Datatilsynets kompetanseområde. Det tas sikte på å evaluere kompetanseplasseringen når det foreligger erfaringsgrunnlag med ordningen.

Merknader

Det rettslige grunnlaget for rettsakten er Europaparlaments- og rådsdirektiv 2002/58/EF (kommunikasjonsverndirektivet). Forordningen gjennomfører artikkel 4 (5) i kommunikasjonsverndirektivet 2002/58/EF som er revidert i direktiv 2009/136/EF. Sistnevnte direktiv er del av den reviderte ekompakken fra 2009 som ennå ikke er innlemmet i EØS-avtalen. Formelt må derfor denne tas inn i EØS-avtalen før forordning om varslingsrutiner ved brudd på konfidensialiteten vedrørende personopplysninger kan gjennomføres i norsk rett.

Artikkel 4 i kommunikasjonsverndirektiv er gjennomført i forskrift om behandling av personopplysninger (personopplysningsforskriften) § 2-6 og lov om elektronisk kommunikasjon (ekomloven) § 2-7 og ekomforskriften kapittel 7. Plikten til å varsle brudd fremgår således av allerede eksisterende regelverk, det er kun når og hvordan varslingen skal skje, og hva varslingen skal inneholde som fremgår av den nye forordningen. Plikten til å varsle brudd bør likevel presiseres i ekomloven § 2-7 ved første anledning, og for å unngå at det oppstår tolkningstvil, kan det også vurderes å presisere § 2-6 i personopplysningsforskriften.

Økonomiske og administrative konsekvenser

Ved implementering av forordningen i norsk rett vil tilbyderne av elektroniske kommunikasjonstjenester pålegges å varsle brudd på konfidensialiteten vedrørende personopplysninger til nasjonal kompetent myndighet, og i visse tilfeller også abonnent eller bruker, i henhold til nærmere angitte kriterier (jf. vedlegg I og II til forordningen). Det følger allerede av personopplysningsregelverket at sikkerhetsbrudd som medfører uautorisert utlevering av personopplysninger hvor konfidensialitet er nødvendig, skal varsles til kompetent myndighet (i dette tilfelle Datatilsynet), jf. personopplysningsforskriften § 2-6.

Det antas derfor at tilbyders kostnader forbundet med denne forordningen vil være marginale og stort sett dreie seg om kostnader forbundet med endring av varslingsrutiner. Likeledes vil det måtte opprettes rutiner for mottak av slike varslinger hos Nkom. Forordningen stiller krav til at kompetent nasjonal myndighet skal etablere et sikkert elektronisk medium for slik rapportering. Per i dag foreligger ikke et slikt system og dette må derfor etableres. Det vil nødvendigvis innebære kostnader å etablere et elektronisk system for å ta i mot slike rapporteringer om brudd. Det er foreløpig uklart hvilken størrelsesorden det her er snakk om, men dersom allerede eksiserende løsninger for innrapportering til myndighetene med tilfredsstillende sikkerhet anvendes, legges det til grunn at dette vil kunne dekkes over det ordinære budsjettet til Nkom.

Rettslige konsekvenser

Forordningen faller inn under "gruppe 2" (rettsakter som krever forskriftsendring som ikke griper vesentlig inn i norsk handlefrihet). Rettsakten vil måtte innlemmes i EØS-avtalen og, ettersom det er snakk om en forordning, vil det være nødvendig med endring i ekomforskriften kapittel 7 ved at forordningen tas inn i ny § 7-6 i ekomforskriften. I tillegg bør plikten til å varsle brudd presiseres i ekomloven § 2-7 ved første anledning. For å unngå at det oppstår tolkningstvil, kan det også vurderes å presisere § 2-6 i personopplysningsforskriften.

Forslag til presisering av plikten i ekomforskriften § 2-7 til å varsle ved brudd, ble hørt som del av en større høring av en rekke endringer i ekomlov- og forskrift 1. februar til 11. mars 2016.

Sakkyndige instansers merknader

Rettsakten ble behandlet i SU kommunikasjoner 19. september 2014 og ble funnet relevant for innlemming i EØS-avtalen.

[...]

RETTSAKTER SOM IKKE HAR KONSEKVENSER FOR NORSK LOVGIVNING

Vedlegg XI. Elektronisk kommunikasjon, audiovisuelle tjenester og informasjonssamfunnstjenester

32016D0339 Europakommisjonen si gjennomføringsavgjerd (EU) 2016/339 av 8. mars 2016 om harmonisering av frekvensband 2010-2025 MHz for portable eller mobile trådlause videolinker og trådlause kamera (PMSE)

Sammendrag av innhold

Europakommisjonen si gjennomføringsavgjerd har som mål å harmonisere dei tekniske vilkåra for bruk og effektiv tilgang på frekvensbandet 2010-2025 MHz for "Programme Making and Special Events" (PMSE) på ikkje-eksklusiv basis.

I Europa vart, mellom anna, frekvensbandet 2010-2025 MHz harmonisert til trådlause elektroniske kommunikasjonstenester gjennom Europaparlamentet og Rådet si avgjerd 128/1999/EC, frekvensbandet vart likevel ikkje teke i bruk av mobiloperatørane og har i mange land stått ubrukt.
Video-PMSE er i artikkel 2 definert som trådlause videolinkar som kan vere portable eller mobile og som vert nytta i produksjon av nær-sanntidsvideo til for-eksempel idretts- og kulturarrangement eller til produksjon av tv-innhald.

I samsvar med artikkel 3 skal medlemsstatane så tidleg som mogleg, og ikkje meir enn seks månadar etter at gjennomføringsavgjerda er notifisert, setje av og gjere frekvensbandet 2010-2025 MHz tilgjengeleg for video-PMSE. Tilgangen skal vere på ikkje-eksklusiv basis og i tråd med vilkåra gjevne i annekset til gjennomføringsavgjerda. Dersom andre lovlege brukarar av frekvensbandet 2010-2025 MHz opplever interferens kan medlemsstaten avgrense bruken av video-PMSE til relevante delar av frekvensbandet i spesifikke geografiske områder i samsvar med annekset.
Vidare vert det i artikkel 4 bestemt at medlemsstatane skal følgje med på bruken av frekvensbandet 2010-2025 MHz og rapportere til Europakommisjonen slik at gjennomføringsavgjerda kan reviderast i tide om skulle verte naudsynt. Rapporteringa skal inkludere informasjon om eventuelle endringar i vilkår eller tilbaketrekking av løyver.

Merknader Rettslige konsekvenser

Det rettslige grunnlaget for gjennomføringsavgjerda er artikkel 114 i "Treaty on the Functioning of the European Union" (TFEU), Europaparlamentet og Rådet si avgjerd 2002/676/EF (radiospektrumsvedtaket) og då særleg artikkel 4(3). Harmoniseringa av frekvensbandet er med på å oppfylle målet om meir effektiv frekvensbruk i "Radio Spectrum Policy Programme" (RSPP). Særskilt vil denne gjennomføringsavgjerda betre tilgangen på spektrum for PMSE, jamfør RSPP artikkel 8(5). Gjeldande norsk regelverk på området er gjeve i ekomloven §§ 6-2 og 6-1 og norsk frekvensplan. Når det gjeld handheving av føresegnene vert det teke omsyn til forpliktingar etter internasjonale overeinskomstar som Noreg har slutta seg til, medrekna forpliktingar etter EØS-avtalen.

Rettsakta er i tråd med norsk frekvensforvaltning der ein legg til rette for næringsutvikling, innovasjon og bidreg til å sikre brukarane tilgang på ekomtenester til rimelege prisar. Gjeldande norsk rett kan sjåast på som å vere i samsvar med den aktuelle gjennomføringsavgjerda.

Økonomiske og administrative konsekvenser

Gjennomføringsavgjerda vil få konsekvensar for det private selskapet Inquam Norway AS (Inquam) som i dag har eit spektrumsløyve i frekvensbandet 2010-2025 MHz. Løyvet gjeld for fastlands-Noreg fram til 31. desember 2022. Vilkåra i løyvet må endrast.

Gjennomføringsavgjerda vil få mindre administrative konsekvensar som oppdatering av norsk frekvensplan og endringar i løyvet til Inquam. Kostnadane knytt til dette vil dekkast av Nasjonal kommunikasjonsmyndigheit (Nkom) sitt vanlege budsjett.

Sakkyndige instansers merknader

Gjennomføringsavgjerda følgjer EFTAs hurtigprosedyre og handsamast ikkje i spesialutvalet for kommunikasjonar. Samferdselsdepartementet og Nkom finn Europakommisjonen si gjennomføringsavgjerd EØS-relevant og akseptabel.

Se også saken på regjeringen.no.