Document ID: 02017D0253-20210601
Language: ITA

02017D0253 — IT — 01.06.2021 — 001.001
Il presente testo è un semplice strumento di documentazione e non produce alcun effetto giuridico. Le istituzioni dell’Unione non assumono alcuna responsabilità per i suoi contenuti. Le versioni facenti fede degli atti pertinenti, compresi i loro preamboli, sono quelle pubblicate nella Gazzetta ufficiale dell’Unione europea e disponibili in EUR-Lex. Tali testi ufficiali sono direttamente accessibili attraverso i link inseriti nel presente documento
<table><col/><col/><tr><td><p><a>&#9658;B</a></p></td><td><p>DECISIONE DI ESECUZIONE (UE) 2017/253 DELLA COMMISSIONE</p><p>del 13 febbraio 2017</p><p>che stabilisce le procedure per la notifica degli allarmi nell'ambito del sistema di allarme rapido e di reazione istituito in relazione a gravi minacce per la salute a carattere transfrontaliero e per lo scambio delle informazioni, la consultazione e il coordinamento delle risposte a tali minacce a norma della decisione n. 1082/2013/UE del Parlamento europeo e del Consiglio</p><p><a>(Testo rilevante ai fini del SEE)</a></p><p>(GU L 037 del 14.2.2017, pag. 23)</p></td></tr></table>
Modificata da:
<table><col/><col/><col/><col/><col/><tr><td><p>&#160;</p></td><td><p>&#160;</p></td><td><p>Gazzetta ufficiale</p></td></tr><tr><td><p>&#160;&#160;n.</p></td><td><p>pag.</p></td><td><p>data</p></td></tr><tr><td><p><a>&#9658;M1</a></p></td><td><p><a>DECISIONE DI ESECUZIONE (UE) 2021/858 DELLA COMMISSIONE&#160;del 27&#160;maggio 2021</a></p></td><td><p>&#160;&#160;L&#160;188</p></td><td><p>106</p></td><td><p>28.5.2021</p></td></tr></table>
DECISIONE DI ESECUZIONE (UE) 2017/253 DELLA COMMISSIONE
del 13 febbraio 2017
che stabilisce le procedure per la notifica degli allarmi nell'ambito del sistema di allarme rapido e di reazione istituito in relazione a gravi minacce per la salute a carattere transfrontaliero e per lo scambio delle informazioni, la consultazione e il coordinamento delle risposte a tali minacce a norma della decisione n. 1082/2013/UE del Parlamento europeo e del Consiglio
(Testo rilevante ai fini del SEE)
Articolo 1
Autorità competenti per il SARR
1. La Commissione concede alle autorità competenti per il SARR, designate conformemente all'articolo 15, paragrafo 1, lettera b), della decisione n. 1082/2013/UE, l'accesso al sistema di allarme rapido e di reazione istituito a norma dell'articolo 8 della decisione n. 1082/2013/UE.
2. Gli Stati membri si assicurano che siano attivati efficaci canali di comunicazione tra le autorità competenti per il SARR e tutte le altre pertinenti autorità competenti soggette alla loro giurisdizione al fine di individuare immediatamente le gravi minacce per la salute a carattere transfrontaliero che rispondono ai criteri di cui all'articolo 9, paragrafi 1 e 2, della decisione n. 1082/2013/UE.
Articolo 1 bis
Definizioni
Ai fini della presente decisione si applicano le definizioni seguenti:
a) «modulo di localizzazione dei passeggeri» («PLF»): un modulo compilato su richiesta delle autorità sanitarie che raccoglie perlomeno i dati relativi ai passeggeri specificati all’allegato I e che è utile a tali autorità nella gestione di un evento di sanità pubblica, in quanto consente loro di rintracciare i passeggeri transfrontalieri che possono essere stati esposti a una persona infetta da SARS-CoV-2;
b) «dati del modulo di localizzazione dei passeggeri» («dati PLF»): i dati personali raccolti tramite un PLF;
c) «punto di ingresso digitale»: il luogo digitale unico presso il quale le autorità competenti del SARR possono collegare in modo sicuro i loro sistemi digitali PLF nazionali alla piattaforma di scambio PLF;
d) «viaggio»: il viaggio transfrontaliero, costituito da una o più tratte, effettuato da una persona con mezzi di trasporto collettivo con posti preassegnati, tenuto conto del luogo di partenza iniziale e di destinazione finale della persona;
e) «tratta»: un singolo viaggio transfrontaliero di un passeggero senza coincidenze o cambi di volo, treno, nave o veicolo;
f) «passeggero infetto»: un passeggero che, sulla base dei pertinenti criteri di laboratorio, risulta infettato da SARS-CoV-2;
g) «persona esposta»: un passeggero o altra persona che è stato/a in stretto contatto con un passeggero infetto;
h) «allarme»: una notifica attraverso il Sistema di allarme rapido e di reazione (SARR) a norma dell’articolo 9 della decisione 1082/2013/UE.
Articolo 2
Notifiche degli allarmi nel quadro del SARR
1. Allorché constatino la comparsa o lo sviluppo di una grave minaccia per la salute a carattere transfrontaliero, ai sensi dell'articolo 9, paragrafo 1, della decisione n. 1082/2013/UE, uno Stato membro o la Commissione notificano l'allarme di cui al suddetto articolo senza indugio e in ogni caso non più tardi di 24 ore dal momento in cui sono venuti a conoscenza della minaccia.
2. Lo Stato membro o la Commissione possono informare il comitato per la sicurezza sanitaria («CSS») della notifica dell'allarme.
3. L'obbligo di notifica di cui al paragrafo 1 non pregiudica l'obbligo di notifica di cui all'articolo 9, paragrafo 2, della decisione n. 1082/2013/UE.
4. Il fatto che non siano disponibili tutte le informazioni pertinenti quali indicate all'articolo 9, paragrafo 3, di tale decisione non deve ritardare la notifica di un allarme.
5. La notifica di cui al paragrafo 1 precisa in quale modo sono soddisfatti i criteri di cui all'articolo 9, paragrafo 1, della decisione n. 1082/2013/UE.
6. Allorché, successivamente a una notifica di allarme, desiderino comunicare ai fini del coordinamento le informazioni pertinenti disponibili di cui all'articolo 9, paragrafo 3, della decisione n. 1082/2013/UE, uno Stato membro o la Commissione utilizzano la funzionalità ad hoc del SARR per trasmettere «osservazioni» in risposta al messaggio di notifica iniziale.
Articolo 2 bis
Piattaforma per lo scambio di dati PLF
1. È istituita nell’ambito del SARR una piattaforma per lo scambio sicuro dei dati PLF dei passeggeri infetti («piattaforma di scambio PLF»), al solo scopo del tracciamento dei contatti delle persone esposte al SARS-CoV-2 da parte delle autorità competenti del SARR e a integrazione della funzione di messaggistica selettiva presente in tale sistema.
La piattaforma di scambio PLF fornisce un punto di ingresso digitale affinché le autorità competenti del SARR possano collegare in modo sicuro i loro sistemi digitali PLF nazionali o possano collegarsi attraverso il sistema comune dell’Unione europea per PLF digitale (EUdPLF), al fine di consentire lo scambio dei dati raccolti tramite PLF.
Le autorità competenti del SARR possono utilizzare la piattaforma di scambio PLF per lo scambio di ulteriori dati, ossia dati epidemiologici, al solo scopo del tracciamento dei contatti delle persone esposte al SARS-CoV-2, conformemente all’articolo 2 ter , paragrafo 5.
2. La piattaforma di scambio PLF è gestita dall’ECDC.
3. Al fine di adempiere gli obblighi di cui all’articolo 2 relativi alla notifica delle gravi minacce per la salute a carattere transfrontaliero individuate nel contesto della raccolta di dati PLF, le autorità competenti del SARR degli Stati membri che impongono la compilazione di PLF si scambiano, attraverso la piattaforma di scambio PLF, un insieme di dati PLF quale specificato all’articolo 2 ter .
4. Le autorità competenti del SARR possono continuare ad adempiere gli obblighi di cui all’articolo 9, paragrafi 1 e 3, della decisione n. 1082/2013/UE relativi alla notifica delle gravi minacce per la salute a carattere transfrontaliero individuate nel contesto della raccolta di dati PLF attraverso gli altri canali di comunicazione esistenti richiamati all’articolo 1, paragrafo 2, della presente decisione, su base temporanea, e a condizione che non risulti compromessa la finalità del tracciamento dei contatti.
5. La piattaforma di scambio PLF non conserva i dati PLF e gli ulteriori dati epidemiologici. La piattaforma permette soltanto che le autorità competenti del SARR ricevano i dati trasmessi loro da altre autorità competenti del SARR, al solo scopo del tracciamento dei contatti delle persone esposte al SARS-CoV-2. L’ECDC accede ai dati solo per garantire il buon funzionamento della piattaforma di scambio PLF.
6. Le autorità competenti del SARR non conservano i dati PLF ed epidemiologici ricevuti attraverso la piattaforma di scambio PLF per un periodo superiore al periodo di conservazione applicabile nell’ambito delle loro attività nazionali di tracciamento dei contatti delle persone esposte al SARS-CoV-2.
7. La Commissione coopera con l’ECDC nell’adempimento dei compiti ad esso affidati a norma della presente decisione, in particolare per quanto riguarda le misure tecniche e organizzative relative all’introduzione, all’attuazione, alla gestione, alla manutenzione e all’ulteriore sviluppo della piattaforma di scambio PLF.
8. Il trattamento dei dati personali nella piattaforma di scambio PLF al solo scopo del tracciamento dei contatti delle persone esposte al SARS-CoV-2 è effettuato fino al 31 maggio 2022 oppure, se precedente, fino al giorno in cui il direttore generale dell’Organizzazione mondiale della sanità avrà dichiarato, conformemente al regolamento sanitario internazionale, la fine dell’emergenza sanitaria pubblica di rilevanza internazionale causata dal SARS-CoV-2.
Articolo 2 ter
Dati da scambiare
1. Quando notificano un allarme nella piattaforma di scambio PLF, le autorità competenti del SARR dello Stato membro in cui è identificato il passeggero infetto trasmettono alle autorità competenti del SARR dello Stato membro di partenza iniziale o di residenza del passeggero infetto, se il luogo di residenza è diverso dal luogo di partenza iniziale, i seguenti dati PLF:
a) nome;
b) cognome;
c) data di nascita;
d) numero di telefono (fisso e/o cellulare)
e) indirizzo email;
f) indirizzo di residenza.
2. Le autorità competenti del SARR dello Stato membro di partenza iniziale del passeggero infetto possono trasmettere i dati PLF ricevuti a uno Stato membro di partenza diverso da quello dichiarato nel PLF come Stato membro di partenza iniziale, nel caso in cui dispongano di informazioni supplementari indicanti lo Stato membro che dovrebbe effettuare il tracciamento dei contatti.
3. Quando notificano un allarme nella piattaforma di scambio PLF, le autorità competenti del SARR dello Stato membro in cui è identificato il passeggero infetto trasmettono alle autorità competenti del SARR di tutti gli Stati membri, in relazione a ciascuna tratta del viaggio del passeggero, i seguenti dati PLF:
a) luogo di partenza di ciascun trasporto interessato;
b) luogo di arrivo di ciascun trasporto interessato;
c) data di partenza di ciascun trasporto interessato;
d) ogni tipo di trasporto interessato (ad esempio aereo, ferroviario, autobus, traghetto, nave);
e) numero di identificazione (ad esempio numero del volo, numero del treno, numero di targa dell’autobus, nome del traghetto o della nave) di ciascun trasporto interessato;
f) numero del posto a sedere/della cabina per ciascun trasporto interessato;
g) se necessario, l’ora di partenza di ciascun trasporto interessato.
4. Se sono in grado di individuare gli Stati membri interessati sulla base delle informazioni a loro disposizione, le autorità competenti del SARR dello Stato membro che notifica l’allarme trasmettono i dati di cui al paragrafo 3 solo alle autorità competenti del SARR di tali Stati membri.
5. Le autorità competenti del SARR sono in grado di fornire i seguenti dati epidemiologici, ove ciò sia necessario per effettuare un efficace tracciamento dei contatti:
a) tipo di test effettuato;
b) variante del virus SARS-CoV-2;
c) data di prelievo del campione;
d) data di insorgenza dei sintomi.
Articolo 2 quater
Responsabilità delle autorità competenti del SARR e responsabilità dell’ECDC nel trattamento dei dati PLF
1. Le autorità competenti del SARR che scambiano dati PLF e i dati di cui all’articolo 2 ter , paragrafo 5, sono contitolari del trattamento per l’inserimento e la trasmissione di tali dati attraverso la piattaforma di scambio PLF, fino al ricevimento degli stessi. Le rispettive responsabilità dei contitolari del trattamento sono attribuite in conformità dell’allegato II. Ciascuno Stato membro che intenda partecipare allo scambio transfrontaliero di dati PLF attraverso la piattaforma di scambio PLF notifica all’ECDC, prima dell’adesione, la propria intenzione di aderire e comunica quale autorità competente del SARR è designata come titolare del trattamento responsabile.
2. L’ECDC è il responsabile del trattamento dei dati scambiati attraverso la piattaforma di scambio PLF. Esso fornisce la piattaforma di scambio PLF, garantisce la sicurezza del trattamento, compresa la trasmissione, dei dati scambiati attraverso la piattaforma di scambio PLF e rispetta gli obblighi del responsabile del trattamento di cui all’allegato III.
3. L’efficacia delle misure tecniche e organizzative volte a garantire la sicurezza del trattamento dei dati PLF scambiati attraverso la piattaforma di scambio PLF è periodicamente verificata, esaminata e valutata dall’ECDC e dalle autorità competenti del SARR autorizzate ad accedere alla piattaforma di scambio PLF.
4. L’ECDC ricorre alla Commissione in qualità di sotto-responsabile del trattamento e garantisce che ad essa si applichino gli stessi obblighi in materia di protezione dei dati stabiliti con la presente decisione.
Articolo 3
Altri sistemi di allarme rapido e di informazione nell'Unione
1. Nella notifica di allarme di cui all'articolo 2, paragrafo 1, viene specificato se il rischio individuato sia già stato notificato attraverso altri sistemi di allarme o di informazione a livello dell'Unione o istituiti a norma del trattato Euratom.
2. Nel caso in cui una grave minaccia per la salute a carattere transfrontaliero sia comunicata tramite più di un sistema di allarme o di informazione dell'Unione, la Commissione indica attraverso il SARR il sistema principale per lo specifico tipo di scambio di informazioni.
3. Ai fini del presente articolo, gli altri sistemi di allarme e di informazione a livello dell'Unione o istituiti a norma del trattato Euratom includono i sistemi di cui all’allegato IV .
Articolo 4
Coordinamento delle risposte nazionali a gravi minacce per la salute a carattere transfrontaliero
1. Quando una richiesta di consultazione è presentata a norma dell'articolo 11, paragrafo 1, lettera a), della decisione n. 1082/2013/UE ai fini del coordinamento della risposta a una grave minaccia per la salute a carattere transfrontaliero, la Commissione procede alla consultazione, da svolgersi in seno al CSS entro 2 giorni lavorativi dalla richiesta in funzione dell'urgenza connessa alla gravità di tale minaccia.
2. La Commissione informa della richiesta il CSS e mette a sua disposizione tutte le informazioni pertinenti alla minaccia in aggiunta a quelle già comunicate tramite il SARR.
3. Gli Stati membri trasmettono inoltre per iscritto ogni informazione disponibile pertinente alla minaccia, in aggiunta a quelle già comunicate tramite il SARR, comprese le misure di sanità pubblica, o di altra natura, che sono state adottate o di cui è prevista l'adozione.
4. Il CSS esamina tutte le informazioni disponibili concernenti la minaccia in questione, comprese notifiche di allarme, valutazioni dei rischi, e ogni altra informazione trasmessa dagli Stati membri o dalla Commissione tramite il SARR o il CSS, comprese le informazioni circa le misure di sanità pubblica adottate o di cui è prevista l'adozione. Detto esame viene completato tempestivamente.
5. Allorché valutano o adottano misure di sanità pubblica per contrastare gravi minacce per la salute a carattere transfrontaliero, gli Stati membri tengono conto dei risultati dell'esame effettuato nel quadro della consultazione del CSS.
Articolo 5
Comunicazione in merito al rischio e alla crisi
1. Al ricevimento di una richiesta di consultazione a norma dell'articolo 11, paragrafo 1, lettera b), della decisione n. 1082/2013/UE, gli Stati membri si consultano tra loro in seno al CSS ed elaborano e propongono il contenuto e la forma delle comunicazioni in merito al rischio e alla crisi da fornire a cura degli Stati membri al pubblico e/o agli operatori sanitari. Gli Stati membri possono adattare le comunicazioni in funzione delle loro esigenze e delle circostanze.
2. Gli Stati membri che hanno già trasmesso comunicazioni in merito al rischio e alla crisi riguardo a una grave minaccia per la salute a carattere transfrontaliero informano per iscritto il CSS e la Commissione circa il contenuto di tali comunicazioni.
Articolo 6
Dichiarazione di cessato allarme
Qualora cessino di sussistere le condizioni che hanno giustificato la sua notifica a norma dell'articolo 9, paragrafo 1, della decisione n. 1082/2013/UE, l'allarme è dichiarato cessato da parte dello Stato membro che lo ha notificato, o dalla Commissione nel caso in cui sia stata quest'ultima a notificarlo. Un allarme cessa soltanto dopo che tutti gli Stati membri interessati dall'allarme hanno convenuto sulla sua cessazione.
Articolo 7
Abrogazione della decisione 2000/57/CE
1. La decisione 2000/57/CE è abrogata.
2. I riferimenti alla decisione abrogata si intendono fatti alla presente decisione.
Articolo 8
Entrata in vigore
La presente decisione entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea .
ALLEGATO I
INSIEME MINIMO DI DATI PLF DA RACCOGLIERE ATTRAVERSO IL PLF NAZIONALE
Il PLF contiene almeno i seguenti dati PLF:
1) nome;
2) cognome;
3) data di nascita;
4) numero di telefono (fisso e/o cellulare);
5) indirizzo email;
6) indirizzo di residenza;
7) destinazione ultima o finale nell'UE dell'intero viaggio;
8) le seguenti informazioni per ciascuna tratta del viaggio fino allo Stato membro che richiede il PLF:
a) luogo di partenza;
b) luogo di arrivo;
c) data di partenza;
d) tipo di trasporto (ad esempio aereo, ferroviario, autobus, traghetto, nave);
e) orario di partenza;
f) numero di identificazione (ad esempio numero del volo, numero del treno, numero di targa dell'autobus, nome del traghetto o della nave) del trasporto;
g) numero del posto a sedere/della cabina.
ALLEGATO II
RESPONSABILITÀ DEGLI STATI MEMBRI PARTECIPANTI IN QUALITÀ DI CONTITOLARI DEL TRATTAMENTO PER LA PIATTAFORMA DI SCAMBIO PLF
SEZIONE 1
Ripartizione delle responsabilità
1) Ciascuna autorità competente del SARR garantisce che il trattamento dei dati PLF e degli ulteriori dati epidemiologici scambiati attraverso la piattaforma di scambio PLF sia effettuato in conformità al regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio ( 1 ). Garantisce in particolare che i dati da essa inseriti e trasmessi attraverso la piattaforma di scambio PLF siano esatti e limitati ai dati di cui all'articolo 2 ter della presente decisione.
2) Ciascuna autorità competente del SARR è l'unico titolare del trattamento responsabile della raccolta, dell'uso, della comunicazione e di qualsiasi altro trattamento dei dati PLF e degli ulteriori dati epidemiologici effettuato al di fuori della piattaforma di scambio PLF. Ciascuna autorità competente del SARR garantisce che la trasmissione dei dati sia effettuata conformemente alle specifiche tecniche stabilite per la piattaforma di scambio PLF.
3) Le istruzioni al responsabile del trattamento sono inviate da qualsiasi punto di contatto dei contitolari del trattamento, d'intesa con gli altri contitolari del trattamento.
4) Solo le persone autorizzate dalle autorità competenti del SARR possono accedere ai dati PLF e agli ulteriori dati epidemiologici scambiati attraverso la piattaforma di scambio PLF.
5) Ciascuna autorità competente del SARR istituisce un punto di contatto con una casella di posta elettronica funzionale da utilizzare per la comunicazione tra i contitolari del trattamento e tra questi ultimi e il responsabile del trattamento. Il processo decisionale dei contitolari del trattamento è disciplinato dal gruppo di lavoro del comitato per la sicurezza sanitaria del SARR.
6) Ciascuna autorità competente del SARR cessa di essere contitolare del trattamento a decorrere dalla data di revoca della sua partecipazione alla piattaforma di scambio PLF. Resta tuttavia responsabile della raccolta e della trasmissione dei dati PLF e degli ulteriori dati epidemiologici attraverso la piattaforma di scambio PLF effettuate prima della revoca.
7) Ciascuna autorità competente del SARR tiene, sotto la propria responsabilità, un registro delle attività di trattamento. La contitolarità del trattamento può essere indicata nel registro.
SEZIONE 2
Responsabilità e ruoli per la gestione delle richieste degli interessati e la loro informazione
1) Ciascuna autorità competente del SARR che richiede un PLF fornisce ai passeggeri transfrontalieri (gli «interessati») informazioni sulle modalità di scambio dei loro dati PLF ed epidemiologici attraverso la piattaforma di scambio ai fini del tracciamento dei contatti, conformemente agli articoli 13 e 14 del regolamento (UE) 2016/679.
2) Ciascuna autorità competente del SARR funge da punto di contatto per gli interessati e tratta le richieste relative all'esercizio dei loro diritti conformemente al regolamento (UE) 2016/679, presentate dagli interessati stessi o da loro rappresentanti. Ciascuna autorità competente del SARR designa uno specifico punto di contatto dedicato alle richieste ricevute dagli interessati. Se un'autorità competente del SARR riceve da un interessato una richiesta che non rientra nella sua responsabilità, la inoltra prontamente all'autorità competente del SARR responsabile e ne informa l'ECDC. Se richiesto, le autorità competenti del SARR si forniscono assistenza reciproca nella gestione delle richieste degli interessati relativamente agli aspetti della contitolarità e si rispondono reciprocamente senza indebito ritardo e al più tardi entro 15 giorni dalla ricezione di una richiesta di assistenza.
3) Ciascuna autorità competente del SARR mette a disposizione degli interessati il contenuto del presente allegato, comprese le disposizioni di cui ai punti 1 e 2.
SEZIONE 3
Gestione degli incidenti di sicurezza, comprese le violazioni dei dati personali
1) Le autorità competenti del SARR, in qualità di contitolari del trattamento, si forniscono assistenza reciproca nell'identificazione e nella gestione di eventuali incidenti di sicurezza, comprese le violazioni dei dati personali, connesse al trattamento dei dati PLF e dei dati epidemiologici scambiati attraverso la piattaforma di scambio PLF.
2) In particolare, si notificano reciprocamente e notificano all'ECDC:
a) eventuali rischi potenziali o effettivi per la disponibilità, la riservatezza e/o l'integrità dei dati PLF e dei dati epidemiologici oggetto di trattamento nella piattaforma di scambio PLF;
b) eventuali violazioni dei dati, le probabili conseguenze delle violazioni dei dati e la valutazione del rischio per i diritti e le libertà delle persone fisiche, nonché le misure adottate per porre rimedio alla violazione dei dati personali e per attenuare il rischio per i diritti e le libertà delle persone fisiche;
c) eventuali violazioni delle garanzie tecniche e/o organizzative del trattamento nella piattaforma di scambio PLF.
3) Le autorità competenti del SARR comunicano all'ECDC, alle competenti autorità di controllo e, ove prescritto, agli interessati, eventuali violazioni dei dati in relazione al trattamento nella piattaforma di scambio PLF, in conformità agli articoli 33 e 34 del regolamento (UE) 2016/679 o a seguito della notifica da parte dell'ECDC.
4) Ciascuna autorità competente del SARR applica adeguate misure tecniche e organizzative, intese a:
a) garantire e proteggere la sicurezza, l'integrità e la riservatezza dei dati personali oggetto di trattamento congiunto;
b) proteggere i dati personali in suo possesso da trattamenti, perdite, usi, comunicazioni, acquisizioni o accessi non autorizzati o illeciti;
c) garantire che l'accesso ai dati personali non sia esteso o consentito a soggetti diversi dai destinatari o dai responsabili del trattamento.
SEZIONE 4
Valutazione d'impatto sulla protezione dei dati
Se un titolare del trattamento, per rispettare gli obblighi di cui agli articoli 35 e 36 del regolamento (UE) 2016/679, ha bisogno di informazioni da un altro titolare del trattamento, invia una richiesta specifica alla casella di posta elettronica funzionale di cui alla sezione 1, sottosezione 1, punto 5. Quest'ultimo titolare del trattamento si adopera al meglio per fornire tali informazioni.
ALLEGATO III
RESPONSABILITÀ DELL'ECDC IN QUALITÀ DI RESPONSABILE DEL TRATTAMENTO PER LA PIATTAFORMA DI SCAMBIO PLF
1) L'ECDC istituisce e garantisce un'infrastruttura di comunicazione sicura e affidabile che colleghi le autorità competenti del SARR degli Stati membri che partecipano alla piattaforma di scambio PLF.
Il trattamento da parte dell'ECDC della piattaforma di scambio PLF comporta quanto segue:
a) definire l'insieme minimo di requisiti tecnici per consentire l'onboarding e l'offboarding agevole e sicuro delle banche dati PLF nazionali;
b) garantire l'interoperabilità delle banche dati PLF nazionali in modo sicuro e automatizzato.
2) Per adempiere i suoi obblighi di responsabile del trattamento della piattaforma di scambio PLF, l'ECDC ricorre alla Commissione in qualità di sotto-responsabile del trattamento e garantisce che ad essa si applichino gli stessi obblighi in materia di protezione dei dati stabiliti con la presente decisione.
L'ECDC può autorizzare la Commissione a ricorrere a terzi come ulteriori sotto-responsabili del trattamento.
Se la Commissione ricorre a terzi come sotto-responsabili del trattamento, l'ECDC:
a) si assicura che a detti sotto-responsabili si applichino gli stessi obblighi in materia di protezione dei dati di cui alla presente decisione;
b) informa i titolari del trattamento di eventuali modifiche previste riguardanti l'aggiunta o la sostituzione di altri sotto-responsabili del trattamento, dando loro la possibilità di opporsi a maggioranza semplice a tali modifiche.
3) L'ECDC:
a) istituisce e garantisce un'infrastruttura di comunicazione sicura e affidabile che colleghi le autorità competenti del SARR degli Stati membri che partecipano alla piattaforma di scambio PLF;
b) tratta i dati PLF e gli ulteriori dati epidemiologici esclusivamente sulla base di istruzioni documentate dei titolari del trattamento, a meno che ciò non sia richiesto dal diritto dell'Unione; in tal caso, l'ECDC informa i titolari del trattamento in merito a tale obbligo giuridico prima del trattamento, a meno che il diritto vieti la fornitura di tale informazione per importanti motivi di interesse pubblico;
c) mette in atto un piano di sicurezza, un piano di continuità operativa e un piano di ripristino in caso di disastro;
d) adotta le misure necessarie per preservare l'integrità dei dati PLF e degli ulteriori dati epidemiologici trattati;
e) adotta tutte le misure di sicurezza organizzative, fisiche, ed elettroniche all'avanguardia per mantenere efficiente la piattaforma di scambio PLF; a tal fine l'ECDC:
i) designa un responsabile per la gestione della sicurezza a livello della piattaforma di scambio PLF, ne comunica i recapiti ai titolari del trattamento e garantisce la sua disponibilità a reagire alle minacce alla sicurezza;
ii) si assume la responsabilità della sicurezza della piattaforma di scambio PLF;
iii) si assicura che tutte le persone cui è consentito l'accesso alla piattaforma di scambio PLF siano assoggettate per contratto, professionalmente o per legge all'obbligo di riservatezza;
f) adotta tutte le misure di sicurezza necessarie per evitare di compromettere il regolare funzionamento operativo della piattaforma di scambio PLF; a tal fine, l'ECDC mette in atto procedure specifiche relative al funzionamento della piattaforma di scambio PLF e alla connessione tra i server di back-end e la piattaforma di scambio PLF; tra queste:
i) una procedura di valutazione del rischio finalizzata a individuare e stimare potenziali minacce al sistema;
ii) una procedura di audit e revisione finalizzata a:
1) verificare la corrispondenza tra le misure di sicurezza applicate e la politica di sicurezza applicabile;
2) controllare periodicamente l'integrità dei file di sistema, dei parametri di sicurezza e delle autorizzazioni concesse;
3) individuare e monitorare le violazioni della sicurezza e le intrusioni;
4) apportare modifiche per ridurre le lacune esistenti in materia di sicurezza;
5) consentire, anche su richiesta dei titolari del trattamento, l'esecuzione di audit indipendenti, comprese ispezioni, e di revisioni delle misure di sicurezza, e contribuirvi, a condizioni che rispettino il protocollo (n. 7) del TFUE sui privilegi e sulle immunità dell'Unione europea (2);
iii) la modifica della procedura di controllo finalizzata a documentare e misurare l'impatto di una modifica prima della sua realizzazione e a tenere informati i titolari del trattamento in merito a eventuali modifiche in grado di avere effetti sulla comunicazione con le loro infrastrutture e/o sulla sicurezza di queste ultime;
iv) l'elaborazione di una procedura per la manutenzione e la riparazione finalizzata a specificare le norme e le condizioni da rispettare in caso di manutenzione e/o riparazione delle attrezzature;
v) l'elaborazione di una procedura per gli incidenti di sicurezza finalizzata a definire il sistema di segnalazione e successione, a informare senza indugio i titolari del trattamento, affinché possano notificare le autorità nazionali di controllo della protezione dei dati in merito a qualsiasi violazione dei dati personali, e a definire un processo disciplinare per affrontare le violazioni della sicurezza;
g) adotta misure di sicurezza fisiche e/o elettroniche all'avanguardia per le strutture che ospitano le attrezzature della piattaforma di scambio PLF e per i controlli dei dati e della sicurezza dell'accesso; a tal fine, l'ECDC:
i) garantisce il rispetto della sicurezza fisica per stabilire specifici perimetri di sicurezza e consentire l'individuazione di violazioni;
ii) controlla l'accesso alle strutture e tiene un registro dei visitatori a fini di tracciabilità;
iii) si assicura che le persone esterne a cui è consentito l'accesso ai locali siano scortate da personale debitamente autorizzato;
iv) provvede affinché non possano essere aggiunte, sostituite o rimosse attrezzature senza la preventiva autorizzazione degli organismi responsabili designati;
v) controlla l'accesso dai e ai sistemi PLF nazionali e da questi alla piattaforma di scambio PLF;
vi) provvede affinché le persone che accedono alla piattaforma di scambio PLF siano identificate e la loro identità sia accertata;
vii) riesamina i diritti di autorizzazione relativi all'accesso alla piattaforma di scambio PLF in caso di violazione della sicurezza riguardante tale infrastruttura;
viii) applica misure tecniche e organizzative di sicurezza per impedire l'accesso non autorizzato ai dati PLF ed epidemiologici;
ix) applica, ove necessario, misure per bloccare l'accesso non autorizzato alla piattaforma di scambio PLF dal dominio delle autorità nazionali (ossia: blocco di un indirizzo IP/di localizzazione);
h) adotta misure per proteggere il suo dominio, compresa l'interruzione delle connessioni, in caso di scostamento sostanziale rispetto ai principi e ai concetti in materia di qualità o di sicurezza;
i) prevede un piano di gestione dei rischi in relazione al suo settore di competenza;
j) monitora – in tempo reale – l'efficienza di tutte le componenti dei servizi della piattaforma di scambio PLF, produce statistiche periodiche e conserva le informazioni;
k) si adopera affinché il servizio sia disponibile 24/7, con un tempo di inattività accettabile a fini di manutenzione;
l) fornisce supporto in inglese per tutti i servizi della piattaforma di scambio PLF tramite telefono, posta elettronica o portale web e accetta le chiamate dai chiamanti autorizzati: coordinatori della piattaforma di scambio PLF e rispettivi helpdesk, responsabili di progetto e persone designate dall'ECDC;
m) assiste i titolari del trattamento con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l'obbligo del titolare del trattamento di dare seguito alle richieste per l'esercizio dei diritti dell'interessato di cui al capo III del regolamento (UE) 2016/679;
n) assiste i titolari del trattamento fornendo informazioni sulla piattaforma di scambio PLF ai fini dell'adempimento degli obblighi di cui agli articoli 32, 35 e 36 del regolamento (UE) 2016/679;
o) garantisce che i dati PLF ed epidemiologici trasmessi attraverso la piattaforma di scambio PLF siano incomprensibili a chiunque non sia autorizzato ad accedervi, in particolare applicando una cifratura forte;
p) adotta tutte le misure pertinenti per evitare che gli operatori della piattaforma di scambio PLF abbiano accesso non autorizzato ai dati PLF e epidemiologici trasmessi;
q) adotta misure volte a facilitare l'interoperabilità e la comunicazione tra i titolari del trattamento della piattaforma di scambio PLF designati;
r) tiene un registro delle attività di trattamento svolte per conto dei titolari del trattamento in conformità all'articolo 31, paragrafo 2, del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio.
ALLEGATO IV
Elenco non esaustivo di sistemi di allarme e di informazione a livello dell'Unione da collegare progressivamente con il SARR
Il presente allegato contiene un elenco di sistemi di allarme rapido e di informazione attualmente esistenti a livello dell'Unione o istituiti a norma del trattato Euratom, che potrebbero essere idonei a ricevere le segnalazioni e le informazioni su eventi che costituiscono o potrebbero costituire una grave minaccia per la salute a carattere transfrontaliero:
— ADNS — il sistema di notifica delle malattie degli animali finalizzato a registrare e documentare la situazione di importanti malattie infettive degli animali;
— ARGUS — il sistema di allerta intersettoriale della Commissione, ovvero un sistema di allarme rapido interno alla Commissione che consente a tutte le sue direzioni generali di scambiare informazioni fondamentali in caso di emergenza/crisi e di assicurare il coordinamento interno;
— CECIS — il sistema comune di comunicazione e informazione in caso di emergenza, competente in materia di protezione civile e di inquinamento marino accidentale;
— ECURIE — il sistema comunitario per uno scambio rapido di informazioni in caso di emergenza radiologica, finalizzato a notificare misure di tutela contro le conseguenze di un incidente nucleare o radiologico;
— EMARS — il sistema di notifica di incidenti rilevanti, finalizzato ad agevolare lo scambio degli insegnamenti tratti da incidenti e da quasi incidenti con sostanze pericolose al fine di migliorare la prevenzione degli incidenti chimici e l'attenuazione delle potenziali conseguenze;
— EUROPHYT — il sistema di notifica europeo di intercettazioni a fini fitosanitari, che si occupa delle intercettazioni effettuate per motivi fitosanitari di partite di piante e prodotti vegetali importati nell'Unione o oggetto di scambi all'interno dell'Unione;
— RAB — il sistema di allerta rapida per il sangue e i suoi componenti, finalizzato allo scambio di informazioni allo scopo di prevenire o limitare incidenti transfrontalieri connessi a trasfusioni di sangue;
— RAPEX — il sistema di informazione rapida sui prodotti non alimentari pericolosi, finalizzato allo scambio di informazioni sui prodotti che presentano un rischio per la salute e la sicurezza dei consumatori;
— RASFF — il sistema di allarme rapido per gli alimenti e i mangimi, finalizzato alla notifica dei rischi per la salute umana posti da alimenti o mangimi;
— RATC — il sistema di allarme rapido per i tessuti e le cellule, una piattaforma per lo scambio di informazioni e misure in merito a cellule o tessuti umani trasferiti all'estero per i pazienti;
— Reitox — la rete europea di informazione sulle droghe e le tossicodipendenze, finalizzata alla raccolta e alla divulgazione di informazioni sul fenomeno della droga in Europa.
<note>
( 1 ) Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (GU L 119 del 4.5.2016, pag. 1).
</note>