Decizie 2020/1023 · CELEX 32020D1023

Decizia de punere în aplicare (UE) 2020/1023 a Comisiei din 15 iulie 2020 de modificare a Deciziei de punere în aplicare (UE) 2019/1765 în ceea ce privește schimbul transfrontalier de date dintre aplicațiile mobile naționale de depistare a contacților și de avertizare în contextul combaterii pandemiei de COVID-19 (Text cu relevanță pentru SEE)

Data act: 15.07.2020
Intrare in vigoare: 17.07.2020
Jurnalul Oficial UE: oj:JOL_2020_227_I_0001
Status: In vigoare

boli contagioase cooperare transfrontalieră date personale e-sănătate epidemie identificare protecția datelor schimb de informații sistem de informații țări ale UE

Recitale

(1) Prin articolul 14 din Directiva 2011/24/UE, Uniunii îi este atribuită sarcina de a sprijini și de a facilita cooperarea și schimbul de informații dintre statele membre care operează în cadrul unei rețele voluntare ce conectează autoritățile naționale responsabile cu e-sănătatea desemnate de statele membre („rețeaua de e-sănătate”).

(2) Decizia de punere în aplicare a Comisiei (UE) 2019/1765 (2) prevede normele pentru înființarea, gestionarea și funcționarea rețelei de autorități naționale responsabile cu e-sănătatea. Articolul 4 din decizia respectivă încredințează rețelei de e-sănătate sarcina de a facilita o interoperabilitate sporită a sistemelor naționale de tehnologie a informației și a comunicațiilor și transferabilitatea transfrontalieră a datelor medicale electronice în cadrul asistenței medicale transfrontaliere.

(3) Având în vedere criza de sănătate publică provocată de pandemia de COVID-19, mai multe state membre au creat aplicații mobile care sprijină depistarea contacților și permit utilizatorilor acestor aplicații să fie avertizați, pentru a lua măsurile adecvate, precum testarea sau autoizolarea, dacă au fost potențial expuși la virus prin apropierea de un alt utilizator al acestor aplicații care a raportat un diagnostic pozitiv. Aceste aplicații se bazează pe tehnologia Bluetooth pentru a detecta apropierea dintre dispozitive. Întrucât restricțiile privind călătoriile dintre statele membre au fost ridicate începând cu luna iunie 2020, între statele membre din cadrul rețelei de e-sănătate trebuie realizată o interoperabilitate sporită a sistemelor naționale de tehnologie a informației și a comunicațiilor, prin implementarea unei infrastructuri digitale care să permită interoperabilitatea aplicațiilor mobile naționale care sprijină depistarea contacților și avertizarea.

(4) Comisia sprijină statele membre în ceea ce privește aplicațiile mobile menționate mai sus. La 8 aprilie 2020, Comisia a adoptat o Recomandare privind un set comun de instrumente la nivelul Uniunii pentru utilizarea tehnologiei și a datelor în scopul de a combate criza provocată de pandemia de COVID-19 și de a ieși din această criză, în special în ceea ce privește aplicațiile mobile și utilizarea datelor anonimizate privind mobilitatea (denumită în continuare „recomandarea Comisiei”) (3). Statele membre din cadrul rețelei de e-sănătate au adoptat, cu sprijinul Comisiei, un set comun de instrumente la nivelul UE pentru statele membre, privind aplicațiile mobile de sprijinire a depistării contacților (4), precum și orientări privind interoperabilitatea aplicațiilor mobile de depistare a contacților autorizate în UE (5). Acest set de instrumente explică cerințele naționale pentru aplicațiile mobile naționale de depistare a contacților și de avertizare, în special faptul că trebuie să fie voluntare, aprobate de autoritatea națională de sănătate respectivă, să protejeze viața privată și să fie scoase din uz de îndată ce nu mai sunt necesare. În urma celor mai recente evoluții ale crizei provocate de pandemia de COVID-19, atât Comisia (6), cât și Comitetul european pentru protecția datelor (7) au emis orientări privind aplicațiile mobile și instrumentele de depistare a contacților, în legătură cu protecția datelor. Concepția aplicațiilor mobile ale statelor membre și a infrastructurii digitale care permite interoperabilitatea acestora se bazează pe setul comun de instrumente la nivelul UE, pe orientările menționate mai sus și pe specificațiile tehnice convenite în cadrul rețelei de e-sănătate.

(5) Pentru a facilita interoperabilitatea aplicațiilor mobile naționale de depistare a contacților și de avertizare, statele membre care participă la rețeaua de e-sănătate și care au decis în mod voluntar să progreseze în ceea ce privește cooperarea lor în acest domeniu au dezvoltat o infrastructură digitală, cu sprijinul Comisiei, ca instrument informatic pentru schimbul de date. Această infrastructură digitală este denumită „portalul federativ”.

(6) Prezenta decizie stabilește dispoziții privind rolul statelor membre participante și al Comisiei în legătură cu funcționarea portalului federativ pentru interoperabilitatea transfrontalieră a aplicațiilor mobile naționale de depistare a contacților și de avertizare.

(7) Prelucrarea datelor cu caracter personal ale utilizatorilor aplicațiilor mobile de depistare a contacților și de avertizare, care se realizează sub responsabilitatea statelor membre sau a altor organizații sau organisme publice din statele membre, trebuie să fie efectuată în conformitate cu Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului (8) („Regulamentul general privind protecția datelor”) și cu Directiva 2002/58/CE a Parlamentului European și a Consiliului (9). Prelucrarea datelor cu caracter personal sub responsabilitatea Comisiei în scopul gestionării și asigurării securității portalului federativ trebuie să respecte Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului (10).

(8) Portalul federativ trebuie să constea într-o infrastructură informatică securizată care pune la dispoziție o interfață comună în cadrul căreia organismele oficiale sau autoritățile naționale desemnate pot schimba între ele un set minim de date privind contactele cu persoanele infectate cu SARS-CoV-2, pentru a îi informa pe ceilalți cu privire la expunerea lor potențială la infecția respectivă, și care promovează o cooperare eficace în domeniul asistenței medicale între statele membre prin facilitarea schimbului de informații relevante.

(9) Prin urmare, prezenta decizie trebuie să stabilească modalitățile pentru schimbul transfrontalier de date dintre organismele oficiale sau autoritățile naționale desemnate, prin intermediul portalului federativ, în cadrul UE.

(10) Statele membre participante, reprezentate de organismele oficiale sau autoritățile naționale desemnate, stabilesc împreună scopul și mijloacele de prelucrare a datelor cu caracter personal prin portalul federativ și, prin urmare, sunt operatori asociați. Articolul 26 din Regulamentul general privind protecția datelor prevede obligația operatorilor asociați care efectuează operațiuni de prelucrare a datelor cu caracter personal de a stabili, în mod transparent, responsabilitățile fiecăruia în ceea ce privește respectarea obligațiilor care le revin în temeiul regulamentului respectiv. De asemenea, prevede posibilitatea ca aceste responsabilități să fie stabilite prin legislația de la nivelul Uniunii sau al statului membru care li se aplică operatorilor. Fiecare operator trebuie să se asigure că dispune de un temei juridic la nivel național pentru a desfășura operațiuni de prelucrare în cadrul portalului federativ.

(11) Comisia, în calitate de furnizor de soluții tehnice și organizatorice pentru portalul federativ, prelucrează date cu caracter personal pseudonimizate în numele statelor membre participante la portalul federativ ca operatori asociați și, prin urmare, este o persoană împuternicită de operator. În conformitate cu articolul 28 din Regulamentul general privind protecția datelor și cu articolul 29 din Regulamentul (UE) 2018/1725, prelucrarea de către o persoană împuternicită de operator este reglementată printr-un contract sau un act juridic în temeiul dreptului Uniunii sau al dreptului statului membru, care are caracter obligatoriu pentru persoana împuternicită de operator în raport cu operatorul și care precizează aspecte referitoare la prelucrare. Prezenta decizie stabilește norme privind prelucrarea de către Comisie în calitate de persoană împuternicită de operator.

(12) Atunci când prelucrează date cu caracter personal în cadrul portalului federativ, Comisia trebuie să respecte Decizia (UE, Euratom) 2017/46 a Comisiei (11).

(13) Ținând seama de faptul că scopurile pentru care operatorii prelucrează date cu caracter personal în cadrul aplicațiilor mobile naționale de depistare a contacților și de avertizare nu necesită în mod neapărat identificarea unei persoane vizate, este posibil ca operatorii să nu fie întotdeauna în măsură să asigure aplicarea drepturilor persoanelor vizate. Prin urmare, este posibil ca drepturile menționate la articolele 15-20 din Regulamentul general privind protecția datelor să nu se aplice atunci când sunt îndeplinite condițiile prevăzute la articolul 11 din regulamentul respectiv.

(14) Anexa existentă la Decizia de punere în aplicare (UE) 2019/1765 trebuie renumerotată în urma adăugării a două noi anexe.

(15) Prin urmare, Decizia de punere în aplicare (UE) 2019/1765 trebuie modificată în consecință.

(16) Având în vedere caracterul urgent al situației provocate de pandemia de COVID-19, prezenta decizie trebuie să se aplice începând din ziua următoare datei publicării în Jurnalul Oficial al Uniunii Europene.

(17) Autoritatea Europeană pentru Protecția Datelor a fost consultată în conformitate cu articolul 42 alineatul (1) din Regulamentul (UE) 2018/1725 și a emis un aviz la 9 iulie 2020.

(18) Măsurile prevăzute în prezenta decizie sunt conforme cu avizul comitetului instituit în temeiul articolului 16 din Directiva 2011/24/UE,

Articolul 1

Decizia de punere în aplicare (UE) 2019/1765 se modifică după cum urmează: 1. La articolul 2 alineatul (1) se introduc următoarele litere (g), (h), (i), (j), (k), (l), (m), (n) și (o): „(g) «utilizator al aplicației» înseamnă o persoană aflată în posesia unui dispozitiv inteligent care a descărcat și rulează o aplicație mobilă de depistare a contacților și de avertizare autorizată; (h) «depistarea contacților» înseamnă măsurile puse în aplicare în vederea depistării persoanelor care au fost expuse la o sursă de amenințări transfrontaliere grave pentru sănătate în sensul articolului 3 litera (c) din Decizia 1082/2013/UE a Parlamentului European și a Consiliului (*1); (i) «aplicație mobilă națională de depistare a contacților și de avertizare» înseamnă o aplicație software aprobată la nivel național, care rulează pe dispozitive inteligente, în special pe telefoane inteligente, concepută de obicei pentru o interacțiune amplă și orientată cu resurse web, care prelucrează date de proximitate și alte informații contextuale colectate de mulți senzori aflați în dispozitivele inteligente, în scopul depistării contactelor cu persoane infectate cu SARS-CoV-2 și al alertării persoanelor care este posibil să fi fost expuse la SARS-CoV-2. Aceste aplicații mobile pot detecta prezența altor dispozitive utilizând Bluetooth și pot face schimb de informații cu servere back-end prin internet; (j) «portalul federativ» înseamnă un portal de acces la rețea gestionat de Comisie prin intermediul unui instrument informatic securizat care primește, stochează și pune la dispoziție un set minim de date cu caracter personal între serverele back-end ale statelor membre, pentru a asigura interoperabilitatea aplicațiilor mobile naționale de depistare a contactelor și de avertizare; (k) «cheie» înseamnă un identificator unic efemer legat de raportarea de către un utilizator al aplicației a faptului că a fost infectat cu SARS-CoV-2 sau că este posibil să fi fost expus la SARS-CoV-2; (l) «verificarea infecției» înseamnă metoda aplicată pentru confirmarea unei infecții cu SARS-CoV-2, și anume dacă a fost autoraportată de utilizatorul aplicației sau a rezultat în urma confirmării de către o autoritate națională de sănătate sau a unui test de laborator; (m) «țări de interes» înseamnă statul membru sau statele în care s-a aflat un utilizator al aplicației în ultimele 14 zile înainte de data încărcării cheilor și unde a descărcat aplicația mobilă națională de depistare a contacților și de avertizare autorizată și/sau unde a călătorit; (n) «țara de origine a cheilor» înseamnă statul membru unde se află serverul back-end care a încărcat cheile în portalul federativ; (o) «date din registrul de activitate» înseamnă o evidență automată a unei activități legate de schimbul de și accesul la date prelucrate prin intermediul portalului federativ, care arată în special tipul de activitate de prelucrare, data și ora activității de prelucrare, precum și identificatorul persoanei care prelucrează datele. (*1) Decizia nr. 1082/2013/UE a Parlamentului European și a Consiliului din 22 octombrie 2013 privind amenințările transfrontaliere grave pentru sănătate și de abrogare a Deciziei nr. 2119/98/CE (JO L 293, 5.11.2013, p. 1).” " 2. La articolul 4 alineatul (1) se introduce următoarea literă (h): „(h) să ofere orientări statelor membre cu privire la schimbul transfrontalier de date cu caracter personal, prin intermediul portalului federativ, dintre aplicațiile mobile naționale de depistare a contacților și de avertizare.” 3. La articolul 6 alineatul (1) se introduc următoarele litere (f) și (g): „(f) dezvoltă, implementează și menține măsuri tehnice și organizatorice adecvate legate de securitatea transmiterii și găzduirii de date cu caracter personal în portalul federativ pentru a asigura interoperabilitatea aplicațiilor mobile naționale de depistare a contacților și de avertizare; (g) sprijină rețeaua de e-sănătate în ceea ce privește stabilirea conformității tehnice și organizatorice a autorităților naționale cu cerințele pentru schimbul transfrontalier de date cu caracter personal prin portalul federativ, punând la dispoziție și efectuând testele și auditurile necesare. Auditorii Comisiei pot fi asistați de experți din statele membre.” 4. Articolul 7 se modifică după cum urmează: (a) titlul se înlocuiește cu „Protecția datelor cu caracter personal prelucrate prin intermediul infrastructurii de servicii digitale de e-sănătate”; (b) la alineatul (2), cuvântul „anexă” se înlocuiește cu „anexa I”. 5. Se introduce următorul articol 7a: „Articolul 7a Schimbul transfrontalier de date dintre aplicațiile mobile naționale de depistare a contacților și de avertizare prin intermediul portalului federativ (1) Atunci când se face schimb de date cu caracter personal prin intermediul portalului federativ, prelucrarea se limitează la scopul de a facilita interoperabilitatea aplicațiilor mobile naționale de depistare a contacților și de avertizare în cadrul portalului federativ, precum și continuitatea depistării contacților într-un context transfrontalier. (2) Datele cu caracter personal menționate la alineatul (3) se transmit către portalul federativ într-un format pseudonimizat. (3) Datele cu caracter personal pseudonimizate care sunt schimbate și prelucrate în cadrul portalului federativ cuprind doar următoarele informații: (a) cheile transmise de aplicațiile mobile naționale de depistare a contacților și de avertizare cu până la 14 zile înainte de data încărcării cheilor; (b) datele din registrul de activitate asociate cheilor respective, în conformitate cu protocolul privind specificațiile tehnice utilizat în țara de origine a cheilor; (c) verificarea infecției; (d) țările de interes și țara de origine a cheilor. (4) Organismele oficiale sau autoritățile naționale desemnate care prelucrează date cu caracter personal în cadrul portalului federativ sunt operatori asociați ai datelor prelucrate în cadrul portalului federativ. Responsabilitățile respective ale operatorilor asociați sunt alocate în conformitate cu anexa II. Fiecare stat membru care dorește să participe la schimbul de date transfrontalier dintre aplicațiile mobile naționale de depistare a contacților și de avertizare notifică Comisiei intenția sa, înainte de a se alătura acestui schimb de date, și indică organismul oficial sau autoritatea națională desemnat(ă) ca operator responsabil. (5) Comisia este persoana împuternicită de operator în ceea ce privește datele cu caracter personal prelucrate în cadrul portalului federativ. În calitate de persoană împuternicită de operator, Comisia asigură securitatea prelucrării, inclusiv transmiterea și găzduirea, datelor cu caracter personal în cadrul portalului federativ și respectă obligațiile unei persoane împuternicite de operator, prevăzute în anexa III. (6) Eficacitatea măsurilor tehnice și organizatorice de asigurare a securității prelucrării datelor cu caracter personal în cadrul portalului federativ este testată, analizată și evaluată periodic de Comisie și de autoritățile naționale autorizate să acceseze portalul federativ. (7) Fără a se aduce atingere deciziei operatorilor asociați de a pune capăt prelucrării în cadrul portalului federativ, funcționarea portalului federativ este dezactivată cel târziu la 14 zile de la data la care toate aplicațiile mobile naționale de depistare a contacților și de avertizare au încetat să mai transmită chei prin intermediul portalului federativ.” 6. Anexa devine „Anexa I”. 7. Se adaugă anexele II și III, al căror text figurează în anexa la prezenta decizie.

Articolul 2

Prezenta decizie intră în vigoare în ziua următoare datei publicării în Jurnalul Oficial al Uniunii Europene.

Recitale

Încearcă gratuit toate instrumentele, 30 de zile

Strict necesare

Analiză