02017D0253 — DA — 01.06.2021 — 001.001

Denne tekst tjener udelukkende som dokumentationsværktøj og har ingen retsvirkning. EU's institutioner påtager sig intet ansvar for dens indhold. De autentiske udgaver af de relevante retsakter, inklusive deres betragtninger, er offentliggjort i den Europæiske Unions Tidende og kan findes i EUR-Lex. Disse officielle tekster er tilgængelige direkte via linkene i dette dokument

►B KOMMISSIONENS GENNEMFØRELSESAFGØRELSE (EU) 2017/253 af 13. februar 2017 om procedurer for rapportering af varslinger som led i systemet for tidlig varsling og reaktion i forbindelse med alvorlige grænseoverskridende sundhedstrusler og for udveksling af oplysninger, konsultering og koordinering af reaktioner på disse trusler i henhold til Europa-Parlamentets og Rådets beslutning 1082/2013/EU (EØS-relevant tekst) (EUT L 037 af 14.2.2017, s. 23)

Ændret ved:









▼B

KOMMISSIONENS GENNEMFØRELSESAFGØRELSE (EU) 2017/253

af 13. februar 2017

om procedurer for rapportering af varslinger som led i systemet for tidlig varsling og reaktion i forbindelse med alvorlige grænseoverskridende sundhedstrusler og for udveksling af oplysninger, konsultering og koordinering af reaktioner på disse trusler i henhold til Europa-Parlamentets og Rådets beslutning 1082/2013/EU

(EØS-relevant tekst)







Artikel 1

Kompetente myndigheder i forbindelse med systemet for tidlig varsling og reaktion

1. Kommissionen giver de kompetente myndigheder, der udpeges i overensstemmelse med artikel 15, stk. 1, litra b), i afgørelse nr. 1082/2013/EU, adgang til systemet for tidlig varsling og reaktion, som er oprettet i henhold til artikel 8 i afgørelse nr. 1082/2013/EU.

2. Medlemsstaterne sikrer, at der er etableret effektive kommunikationskanaler mellem de kompetente myndigheder i forbindelse med systemet for tidlig varsling og reaktion og andre relevante kompetente myndigheder inden for deres jurisdiktion med henblik på omgående at identificere alvorlige grænseoverskridende sundhedstrusler, der opfylder kriterierne i artikel 9, stk. 1 og 2, i afgørelse nr. 1082/2013/EU.

▼M1

Artikel 1a

Definitioner

I denne afgørelse forstås ved:

a) »kontaktopsporingsformular«: en formular, der udfyldes efter anmodning fra de offentlige sundhedsmyndigheder, der som minimum indsamler de i bilag I angivne passageroplysninger, og som hjælper myndighederne med at styre en folkesundhedsmæssig hændelse ved at give dem mulighed for at spore passagerer, som krydser grænser, og som kan have været eksponeret for en SARS-CoV-2-smittet person

b) »kontaktopsporingsformulardata«: personoplysninger, der indsamles ved hjælp af en kontaktopsporingsformular

c) »digitalt indgangssted«: et enkelt digitalt sted, til hvilket de kompetente myndigheder for systemet for tidlig varsling og reaktion sikkert kan tilslutte deres nationale digitale kontaktopsporingsformularsystemer til platformen til udveksling af kontaktopsporingsformularer

d) »rejserute«: en persons rejse på tværs af grænser med kollektiv transport med pladser, der er tildelt på forhånd på en eller flere delstrækninger, under henvisning til personens afgangssted og endelige bestemmelsessted

e) »delstrækning«: en passagers enkeltrejse på tværs af grænser uden tilslutning eller skifte af fly, tog, skib eller køretøj

f) »smittet passager«: en passager, som opfylder laboratoriekriterierne for SARS-CoV-2-infektion

g) »eksponeret person«: en passager eller en anden person, som har været i tæt kontakt med en smittet passager.

h) »varsling«: en underretning via systemet for tidlig varsling og reaktion (EWRS), jf. artikel 9 i afgørelse nr. 1082/2013/EF.

▼B

Artikel 2

Varslingsrapporteringer i systemet for tidlig varsling og reaktion

1. Bliver en medlemsstat eller Kommissionen opmærksom på fremkomsten af eller udviklingen i en alvorlig grænseoverskridende sundhedstrussel som omhandlet i artikel 9, stk. 1, i afgørelse nr. 1082/2013/EU, indlæser den straks de varslinger, der er omhandlet i nævnte artikel, og under alle omstændigheder senest 24 timer efter det tidspunkt, hvor den for første gang fik kendskab til denne trussel.

2. Medlemsstaten eller Kommissionen kan underrette Udvalget for Sundhedssikkerhed om indlæsningen af en varsling.

3. Den i stk. 1 omhandlede rapporteringsforpligtelse, berører ikke den rapporteringspligt, der er fastsat i artikel 9, stk. 2, i afgørelse nr. 1082/2013/EU.

4. Den omstændighed, at ikke alle relevante oplysninger som anført i artikel 9, stk. 3, i nævnte afgørelse, ikke foreligger, må ikke forsinke rapporteringen af en varsling.

5. I den i stk. 1 omhandlede varsling skal det anføres, i hvilket omfang kriterierne i artikel 9, stk. 1, i afgørelse nr. 1082/2013/EU er opfyldt.

6. Hvis en medlemsstat eller Kommissionen efter en varslingsrapportering ønsker at meddele tilgængelige relevante oplysninger med henblik på koordinering i henhold til artikel 9, stk. 3, i afgørelse nr.1082/2013/EU, anvendes ad hoc-funktionaliteten i systemet for tidlig varsling og reaktion, der gør det muligt at skrive en »bemærkning« som svar på den oprindelige rapportering.

▼M1

Artikel 2a

Platform til udveksling af kontaktopsporingsformulardata

1. Der oprettes under systemet for tidlig varsling og reaktion en platform til sikker udveksling af kontaktopsporingsformulardata om smittede personer, så de kompetente myndigheder for systemet for tidlig varsling og reaktion kan foretage SARS-CoV-2-kontaktopsporing hos eksponerede personer (»platformen til udveksling af kontaktopsporingsformularer«).

Platformen til udveksling af kontaktopsporingsformularer skal fungere som et digitalt indgangssted, hvor de kompetente myndigheder for systemet for tidlig varsling og reaktion sikkert kan forbinde deres nationale digitale kontaktopsporingsformularsystemer eller forbinde via det fælles digitale EU-kontaktopsporingsformularsystem for at muliggøre udveksling af data indsamlet via kontaktopsporingsformularerne.

De kompetente myndigheder for systemet for tidlig varsling og reaktion kan anvende platformen til udveksling af kontaktopsporingsformularer til udveksling af yderligere oplysninger, dvs. epidemiologiske data til SARS-CoV-2-kontaktopsporing hos eksponerede personer, jf. artikel 2b, stk. 5.

2. Platformen til udveksling af kontaktopsporingsformularer drives af Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme.

3. For at opfylde deres forpligtelser i henhold til artikel 2 om at underrette om alvorlige grænseoverskridende sundhedstrusler, der identificeres i forbindelse med indsamling af kontaktopsporingsformulardata, skal de kompetente myndigheder for systemet for tidlig varsling og reaktion i de medlemsstater, der kræver udfyldelse af kontaktopsporingsformularer, udveksle et sæt kontaktopsporingsformulardata, jf. artikel 2b, via platformen til udveksling af kontaktopsporingsformularer.

4. De kompetente myndigheder for systemet for tidlig varsling og reaktion kan midlertidigt fortsætte med at opfylde deres forpligtelser i henhold til artikel 9, stk. 1 og 3, i afgørelse nr. 1082/2013/EU om at underrette om alvorlige grænseoverskridende sundhedstrusler, der identificeres i forbindelse med indsamling af kontaktopsporingsformulardata, gennem de andre kommunikationskanaler, der er omhandlet i nærværende afgørelses artikel 1, stk. 2, og hvis det valg ikke er til skade for formålet med kontaktopsporing.

5. Kontaktopsporingsformularerne og de supplerende epidemiologiske data må ikke lagres på platformen til udveksling af kontaktopsporingsoplysninger. Platformen tillader kun de kompetente myndigheder for systemet for tidlig varsel og reaktion at modtage data, som andre kompetente myndigheder for systemet for tidlig varsling og reaktion har sendt til dem med det formål at foretage SARS-CoV-2-kontaktopsporing. Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme har kun adgang til oplysningerne for at sikre, at platformen til udveksling af kontaktopsporingsformularer fungerer tilfredsstillende.

6. De kompetente myndigheder for systemet for tidlig varsel og reaktion må ikke opbevare kontaktopsporingsformularerne og de epidemiologiske data, som de har modtaget via platformen til udveksling af kontaktopsporingsformularer, i længere tid end den gældende lagringsperiode i forbindelse med deres nationale aktiviteter til opsporing af SARS-CoV-2.

7. Kommissionen samarbejder med Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme i udførelsen af de opgaver, der er pålagt den i henhold til denne afgørelse, navnlig for så vidt angår tekniske og organisatoriske foranstaltninger i forbindelse med iværksættelsen, gennemførelsen, driften, vedligeholdelsen og videreudviklingen af platformen til udveksling af kontaktopsporingsformularer.

8. Behandlingen af personoplysninger på platformen til udveksling af kontaktopsporingsformularer med det formål at foretage SARS-CoV-2-kontaktopsporing udføres indtil den 31. maj 2022, eller indtil generaldirektøren for Verdenssundhedsorganisationen i overensstemmelse med det internationale sundhedsregulativ har erklæret, at den folkesundhedsmæssig krisesituation af international betydning forårsaget af SARS-CoV-2 er slut, hvis en sådan erklæring afgives tidligere.

Artikel 2b

De data, der skal udveksles

1. Ved meddelelse af en varsling via platformen til udveksling af kontaktopsporingsformularer skal de kompetente myndigheder for systemet for tidlig varsel og reaktion i den medlemsstat, hvor den smittede passager er identificeret, overføre følgende kontaktopsporingsformulardata til de kompetente myndigheder for systemet for tidlig varsel og reaktion i den smittede passagers afgangsmedlemsstat og bopælsmedlemsstat, hvis bopælsmedlemsstaten ikke er den samme som afgangsmedlemsstaten: a) Fornavn b) Efternavn c) Fødselsdato: d) Telefonnummer (fastnet og/eller mobil) e) E-mailadresse f) Bopælsadresse.

2. De kompetente myndigheder for systemet for tidlig varsel og reaktion i den smittede passagers afgangsmedlemsstat kan overføre modtagne kontaktopsporingsformulardata til en anden afgangsmedlemsstat end den, der er angivet i kontaktopsporingsformularen som afgangsmedlemsstat, hvis de har yderligere oplysninger, som peger på, at medlemsstaten bør foretage kontaktopsporingen.

3. Ved meddelelse af en varsling via platformen til udveksling af kontaktopsporingsformularer skal de kompetente myndigheder for systemet for tidlig varsel og reaktion i den medlemsstat, hvor den smittede passager er identificeret, overføre følgende kontaktopsporingsformulardata for hver delstrækning af den pågældende passagers rejse til de kompetente myndigheder for systemet for tidlig varsel og reaktion i alle medlemsstater: a) afgangssted for hver berørt transport b) ankomststed for hver berørt transport c) afgangsdato for hver berørt transport d) transportmidlets art (f.eks. fly, tog, bus, færge, skib) e) identifikationsnummer for hver berørt transport (f.eks. rutenummer, tognummer, bussens nummerplade, navn på færge eller skib) f) plads-/kahytnummer i hver berørt transport g) eventuelt afgangstidspunkt for hver berørt transport.

4. Hvis de kompetente myndigheder for systemet for tidlig varsel og reaktion i den medlemsstat, der meddeler varslingen, kan identificere de berørte medlemsstater på baggrund af de oplysninger, de har til rådighed, skal de overføre de data, der er omhandlet i stk. 3, udelukkende til de kompetente myndigheder for systemet for tidlig varsel og reaktion i disse medlemsstater.

5. De kompetente myndigheder for systemet for tidlig varsel og reaktion skal kunne give følgende epidemiologiske oplysninger, når det er nødvendigt for at foretage effektiv kontaktopsporing: a) udført testtype b) variant af SARS-CoV-2-virus c) prøveindsamlingsdato d) dato for symptomernes indtræden.

Artikel 2c

Ansvarsområder for de kompetente myndigheder for systemet for tidlig varsel og reaktion og for Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme i behandlingen af kontaktopsporingsformulardata

1. De kompetente myndigheder for systemet for tidlig varsel og reaktion, der udveksler kontaktopsporingsformulardata og de data, der er omhandlet i artikel 2b, stk. 5, er indtil modtagelse fælles dataansvarlige for registrering og overførsel af disse data via platformen til udveksling af kontaktopsporingsformularer. De fælles dataansvarliges forskellige ansvarsområder tildeles i overensstemmelse med bilag II. Hver medlemsstat, som ønsker at deltage i den grænseoverskridende udveksling af kontaktopsporingsformulardata via platformen til udveksling af kontaktopsporingsformularer, underretter forinden Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme om sin hensigt og angiver den kompetente myndighed for systemet for tidlig varsel og reaktion, der i den pågældende medlemsstat er blevet udpeget som dataansvarlig.

2. Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme er behandler af data udvekslet via platformen til udveksling af kontaktopsporingsformularer. Centret skal stille platformen til udveksling af kontaktopsporingsformularer til rådighed og sikre sikker behandling, herunder overførsel, af data, der er udvekslet via platformen til udveksling af kontaktopsporingsformularer, og skal opfylde forpligtelserne for en dataansvarlig, jf. bilag III.

3. Effektiviteten af tekniske og organisatoriske foranstaltninger, der skal garantere sikkerheden i forbindelse med behandling af kontaktopsporingsformulardata, der er udvekslet via platformen til udveksling af kontaktopsporingsformularer, kontrolleres, vurderes og evalueres regelmæssigt af Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme og af de kompetente myndigheder for systemet for tidlig varsel og reaktion, der har adgang til platformen til udveksling af kontaktopsporingsformularer.

4. Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme forpligter Kommissionen som underdatabehandler og skal sikre, at databeskyttelsesforpligtelserne i denne afgørelse gælder for Kommissionen.

▼B

Artikel 3

Andre hurtigvarslingssystemer og informationssystemer på EU-plan

1. I den i artikel 2, stk. 1, nævnte varslingsrapportering anføres det, om den identificerede trussel tidligere er blevet rapporteret gennem andre varslings- og informationssystemer på EU-plan eller i henhold til Euratom-traktaten.

2. Hvis en alvorlig grænseoverskridende sundhedstrussel er videregivet gennem mere end et varslings- eller informationssystem på EU-plan, angiver Kommissionen via systemet for tidlig varsling og reaktion, hvilket system der er ansvarligt for den pågældende type informationsudveksling.

3. ►M1 ◄ . I denne artikel forstås ved andre varslings- og informationssystemer på EU-plan eller i henhold til Euratom-traktaten de systemer, der er anført ibilag IV

Artikel 4

Koordinering af medlemsstaternes reaktioner på alvorlige grænseoverskridende sundhedstrusler

1. Fremsættes der en anmodning om konsultation i henhold til artikel 11, stk. 1, litra a), i afgørelse nr. 1082/2013/EU med henblik på at koordinere reaktionen på en alvorlig grænseoverskridende sundhedstrussel, sørger Kommissionen for høringen finder sted i Udvalget for Sundhedssikkerhed senest 2 arbejdsdage efter anmodningen, afhængigt af hvor alvorlig truslen er.

2. Kommissionen underretter Udvalget for Sundhedssikkerhed om anmodningen og stiller alle relevante oplysninger om truslen til rådighed for Udvalget, ud over hvad der allerede er videresendt via systemet for tidlig varsling og reaktion.

3. Medlemsstaterne forelægger også skriftligt alle tilgængelige oplysninger om truslen, ud over hvad der allerede indberettet gennem systemet til tidlig varsling og reaktion, herunder folkesundhedsmæssige foranstaltninger eller påtænkte foranstaltninger.

4. Udvalget for Sundhedssikkerhed undersøger alle tilgængelige oplysninger om den særlige trussel, herunder varslingsrapporteringer, risikovurderinger og andre oplysninger fra medlemsstaterne eller Kommissionen, som er blevet fremlagt enten via systemet for tidlig varsling og reaktion eller Udvalget for Sundhedssikkerhed, herunder oplysninger om folkesundhedsmæssige foranstaltninger, der er truffet, eller påtænkte foranstaltninger. En sådan undersøgelse afsluttes uden forsinkelse.

5. Når medlemsstaterne overvejer eller træffer folkesundhedsmæssige foranstaltninger til bekæmpelse af alvorlige grænseoverskridende sundhedstrusler, tages der hensyn til resultatet af den undersøgelse, der er foretaget i forbindelse med høringen af Udvalget for Sundhedssikkerhed.

Artikel 5

Risiko- og krisekommunikation

1. Efter en anmodning om konsultering i henhold til artikel 11, stk. 1, litra b), i afgørelse nr. 1082/2013/EU, konsulterer medlemsstaterne hinanden i Udvalget for Sundhedssikkerhed, og fastlægger indholdet og formen af den risiko- og krisekommunikation, som medlemsstaterne formidler til offentligheden og/eller til sundhedspersoner. Medlemsstaterne kan tilpasse kommunikationen til deres behov og omstændigheder.

2. Medlemsstater, som allerede har udsendt risiko- og krisekommunikation vedrørende en alvorlig grænseoverskridende sundhedstrussel, underretter skriftligt Udvalget for Sundhedssikkerhed og Kommissionen om indholdet af denne kommunikation.

Artikel 6

Deaktivering af varslingsrapporteringen

Hvis de forhold, der lå til grund for varslingsrapporteringen i henhold til artikel 9, stk. 1, i afgørelse nr. 1082/2013/EU, ophører med at eksistere, deaktiveres varslingen af den medlemsstat, der har indført rapporteret varslingen, eller af Kommissionen, hvis den blev rapporteret af Kommissionen. Deaktivering af en varsling må først finde sted, når alle de medlemsstater, der er berørt af varslingen er enige om en sådan deaktivering.

Artikel 7

Ophævelse af beslutning 2000/57/EF

1. Beslutning 2000/57/EF ophæves.

2. Henvisninger til den ophævede beslutning skal forstås som henvisninger til denne afgørelse.

Artikel 8

Ikrafttræden

Denne afgørelse træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.

▼M1









BILAG I

MINIMUMSÆT AF KONTAKTOPSPORINGSFORMULARDATA, DER SKAL INDSAMLES VIA DE NATIONALE KONTAKTOPSPORINGSFORMULARER

Kontaktopsporingsformularerne skal mindst indeholde følgende kontaktopsporingsformulardata:

1) Fornavn

2) Efternavn

3) Fødselsdato

4) Telefonnummer (fastnet og/eller mobil)

5) E-mailadresse

6) Bopælsadresse

7) Hele rejserutens endelige eller sidste bestemmelsessted i EU

8) Følgende oplysninger for hver delstrækning af rejseruten til den medlemsstat, som kræver kontaktopsporingsformularen: a) Afgangssted b) Ankomststed c) Afgangsdato d) Transportmidlets art (f.eks. fly, tog, bus, færge, skib) e) Afgangstidspunkt f) Transportens identifikationsnummer (f.eks. rutenummer, tognummer, bussens nummerplade, navn på færge eller skib) g) Plads-/kahytnummer.









BILAG II

DE DELTAGENDE MEDLEMSSTATERS ANSVARSOMRÅDER SOM FÆLLES DATAANSVARLIGE FOR PLATFORMEN TIL UDVEKSLING AF KONTAKTOPSPORINGSFORMULARER

AFSNIT 1

Ansvarsfordeling

1) Hver af de kompetente myndigheder i forbindelse med systemet for tidlig varsling garanterer, at behandlingen af kontaktopsporingsformulardata og af de supplerende epidemiologiske data, der er udvekslet via platformen til udveksling af kontaktopsporingsformularer, foretages i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) 2016/679 ( 1 ). Navnlig garanterer myndigheden, at de data, den registrerer og overfører via platformen til udveksling af kontaktopsporingsformularer, er nøjagtige og begrænset til de data, der er fastsat i denne afgørelses artikel 2b.

2) Hver kompetent myndighed for systemet for tidlig varsling og reaktion forbliver den eneste dataansvarlige for indsamlingen, anvendelsen, offentliggørelsen og anden behandling af kontaktopsporingsformulardata og yderligere epidemiologiske data, der foretages uden for platformen til udveksling af kontaktopsporingsformularer. Hver kompetent myndighed for systemet for tidlig varsling og reaktion sikrer, at dataoverførslen udføres i overensstemmelse med de tekniske specifikationer, der er fastsat for platformen til udveksling af kontaktopsporingsformularer.

3) Instrukser til databehandleren sendes efter aftale med de øvrige fælles dataansvarlige fra et af de fælles dataansvarliges kontaktpunkter.

4) Kun personer med tilladelse fra de kompetente myndigheder for systemet for tidlig varsling og reaktion har adgang til kontaktopsporingsformulardata og yderligere epidemiologiske data, der er udvekslet via platformen til udveksling af kontaktopsporingsformularer.

5) Hver kompetent myndighed for systemet for tidlig varsling og reaktion opretter et kontaktpunkt med en fællespostkasse, som anvendes til kommunikation mellem de fælles dataansvarlige og mellem de fælles dataansvarlige og databehandleren. De fælles dataansvarliges beslutningsproces reguleres af arbejdsgruppen vedrørende systemet for tidlig varsling og reaktions under Udvalget for Sundhedssikkerhed.

6) Hver kompetent myndighed for systemet for tidlig varsling og reaktion ophører med at være fælles dataansvarlig fra datoen for dens udtræden af platformen til udveksling af kontaktopsporingsformularer. Den forbliver dog ansvarlig for indsamlingen og overførslen af kontaktopsporingsformulardata og yderligere epidemiologiske data via platformen til udveksling af kontaktopsporingsformularer, som fandt sted før dens udtræden.

7) Hver kompetent myndighed for systemet for tidlig varsling og reaktion fører en fortegnelse over behandlingsaktiviteter under dens ansvarsområde. Det fælles dataansvar kan angives i fortegnelsen.

AFSNIT 2

ANSVAR OG ROLLER I FORBINDELSE MED BEHANDLING AF ANMODNINGER FRA OG UNDERRETNING AF REGISTREREDE

1) Hver kompetent myndighed for systemet for tidlig varsling og reaktion, der kræver en kontaktopsporingsformular, skal give de passagerer, der krydser grænser, (»de registrerede«) oplysninger om omstændighederne ved udvekslingen af deres kontaktopsporingsformularer og epidemiologiske data via platformen til udveksling af kontaktopsporingsformularer med henblik på kontaktopsporing, jf. artikel 13 og 14 i forordning (EU) 2016/679.

2) Hver kompetent myndighed for systemet for tidlig varsling og reaktion optræder som kontaktpunkt for de registrerede og behandler anmodninger fra dem eller deres repræsentanter i forbindelse med udøvelse af deres rettigheder, jf. forordning (EU) 2016/679. Hver kompetent myndighed for systemet for tidlig varsling og reaktion udpeger et særligt kontaktpunkt med ansvar for anmodninger fra registrerede. Hvis en kompetent myndighed for systemet for tidlig varsling og reaktion modtager en anmodning fra en registreret, der ikke falder ind under myndighedens ansvarsområde, videresender den straks anmodningen til den ansvarlige kompetente myndighed for systemet for tidlig varsling og reaktion og underretter Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme. De kompetente myndighed for systemet for tidlig varsling og reaktion bistår efter anmodning hinanden med behandlingen af registreredes anmodninger i forbindelse med det fælles dataansvar, og de svarer hinanden hurtigst muligt og under alle omstændigheder senest 15 dage efter at have modtaget en anmodning om bistand.

3) Hver kompetent myndighed for systemet for tidlig varsling og reaktion stiller indholdet af dette bilag, herunder de ordninger, der er fastlagt i punkt 1 og 2, til rådighed for de registrerede.

AFSNIT 3

HÅNDTERING AF SIKKERHEDSRELATEREDE HÆNDELSER, HERUNDER BRUD PÅ PERSONDATASIKKERHEDEN

1) De kompetente myndigheder for systemet for tidlig varsling og reaktion bistår hinanden med identifikation og håndtering af eventuelle sikkerhedsrelaterede hændelser, herunder brud på persondatasikkerheden, i forbindelse med behandlingen af kontaktopsporingsformularer og epidemiologiske data, der er udvekslet via platformen til udveksling af kontaktopsporingsformularer.

2) Navnlig underretter de hinanden og Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme om følgende:

a) enhver potentiel eller reel risiko i forhold til adgangen til, fortroligheden for og/eller integriteten af kontaktopsporingsformularer og epidemiologiske data, der er genstand for behandling på platformen til udveksling af kontaktopsporingsformularer

b) ethvert brud på persondatasikkerheden, de sandsynlige konsekvenser af bruddet på databeskyttelsen og en vurdering af risikoen for fysiske personers rettigheder og frihedsrettigheder samt alle foranstaltninger, der træffes for at håndtere bruddet på persondatasikkerheden og begrænse risikoen for fysiske personers rettigheder og frihedsrettigheder

c) enhver overtrædelse af de tekniske og/eller organisatoriske sikkerhedsforanstaltninger for behandlingsaktiviteterne på platformen til udveksling af kontaktopsporingsformularer.

3) De kompetente myndighed for systemet for tidlig varsling og reaktion anmelder, i overensstemmelse med artikel 33 og 34 i forordning (EU) 2016/679 eller efter anmeldelse fra Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme, ethvert brud på persondatasikkerheden i forbindelse med behandlingsaktiviteterne på platformen til udveksling af kontaktopsporingsformularer til Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme og, hvor det er relevant til de registrerede.

4) Hver kompetent myndighed for systemet for tidlig varsling og reaktion gennemfører passende tekniske og organisatoriske foranstaltninger, der har til formål at:

a) garantere og sikre sikkerhed, integritet og fortrolighed af de fælles behandlede personoplysninger

b) beskytte personoplysninger i dens besiddelse mod uautoriseret eller ulovlig behandling, tab, anvendelse, offentliggørelse eller erhvervelse af eller adgang dertil

c) sikre, at adgangen til personoplysninger ikke offentliggøres eller gives til andre end modtagerne eller behandlerne.

AFSNIT 4

KONSEKVENSANALYSE VEDRØRENDE DATABESKYTTELSE

Hvis en dataansvarlig, for at overholde sine forpligtelser i henhold til artikel 35 og 36 i forordning (EU) 2016/679, har brug for oplysninger fra en anden dataansvarlig, sender førstnævnte dataansvarlige en specifik anmodning til den fællespostkasse, der er omhandlet i afsnit 1, underafsnit 1, punkt 5). Sidstnævnte gør sit bedste for at tilvejebringe de pågældende oplysninger.









BILAG III

DET EUROPÆISKE CENTER FOR FOREBYGGELSE AF OG KONTROL MED SYGDOMMES ANSVARSOMRÅDER SOM DATABEHANDLER FOR PLATFORMEN TIL UDVEKSLING AF KONTAKTOPSPORINGSFORMULARER

1) Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme opretter og sikrer en sikker og pålidelig kommunikationsinfrastruktur, der forbinder medlemsstaternes kompetente myndigheder for systemet for tidlig varsling og reaktion, som deltager i platformen til udveksling af kontaktopsporingsformularer.

Det Europæiske Center for Forebyggelse af og Kontrol med Sygdommes behandling af platformen til udveksling af kontaktopsporingsformularer omfatter følgende:

a) fastlæggelse af de tekniske mindstekrav til sikring af en gnidningsløs og sikker onboarding og offboarding af nationale databaser for kontaktopsporingsformularer

b) sikring af interoperabilitet af nationale databaser kontaktopsporingsformularer på en sikker og automatiseret måde.

2) For at opfylde sine forpligtelser som databehandler af platformen til udveksling af kontaktopsporingsformularer forpligter Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme Kommissionen som underdatabehandler og sikrer, at databeskyttelsesforpligtelserne i denne afgørelse gælder for Kommissionen.

Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme kan bemyndige Kommissionen til at forpligte tredjeparter som yderligere underdatabehandlere.

Hvis Kommissionen forpligter underdatabehandlere, skal Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme:

a) sikre, at der gælder samme databeskyttelsesforpligtelser for disse underdatabehandlere som fastsat i denne afgørelse

b) underrette de dataansvarlige om påtænkte ændringer vedrørende tilføjelse eller udskiftning af andre underdatabehandlere, således at de dataansvarlige får mulighed for med simpelt flertal at gøre indsigelse mod de pågældende ændringer.

3) Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme skal:

a) oprette og sikre en sikker og pålidelig kommunikationsinfrastruktur, der forbinder de af medlemsstaternes kompetente myndigheder for systemet for tidlig varsling og reaktion, som deltager i platformen til udveksling af kontaktopsporingsformularer

b) behandle kontaktopsporingsformularerne og de yderligere epidemiologiske data udelukkende efter dokumenterede instrukser fra de dataansvarlige, medmindre det kræves i henhold til EU-retten; i så fald underretter Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme de dataansvarlige om dette retlige krav, inden oplysningerne behandles, medmindre den pågældende ret forbyder en sådan underretning af hensyn til væsentlige samfundsinteresser.

c) iværksætte en sikkerhedsplan, en forretningskontinuitetsplan og en katastrofeberedskabsplan.

d) træffe de nødvendige foranstaltninger til at bevare integriteten for de behandlede kontaktopsporingsformularer og yderligere epidemiologiske data

e) træffe alle avancerede organisatoriske, fysiske og elektroniske sikkerhedsforanstaltninger for at vedligeholde platformen til udveksling af kontaktopsporingsformularer. Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme skal med henblik herpå: i) udpege en enhed, der er ansvarlig for sikkerhedsstyring på niveauet for platformen til udveksling af kontaktopsporingsformularer, kommunikere enhedens kontaktoplysninger til de dataansvarlige og sikre, at enheden kan reagere på sikkerhedstrusler ii) påtage sig ansvaret for sikkerheden ved platformen til udveksling af kontaktopsporingsformularer iii) sikre, at alle, der får adgang til platformen til udveksling af kontaktopsporingsformularer, er underlagt kontraktlig, professionel eller lovbestemt tavshedspligt

f) træffe alle nødvendige sikkerhedsforanstaltninger til at undgå at kompromittere driften af platformen til udveksling af kontaktopsporingsformularer. Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme skal til dette formål fastlægge specifikke procedurer for driften af platformen til udveksling af kontaktopsporingsformularer og forbindelsen fra backend-serverne til platformen til udveksling af kontaktopsporingsformularer. Dette omfatter: i) en risikovurderingsprocedure - til identificering og vurdering af mulige trusler mod systemet ii) en audit- og kontrolprocedure til: 1) kontrol af overensstemmelse mellem de gennemførte sikkerhedsforanstaltninger og sikkerhedspolitik i anvendelse 2) regelmæssig kontrol af integriteten af systemfiler, sikkerhedsparametre og udstedte tilladelser 3) afsløring og overvågning af brud på sikkerheden og indtrængen 4) gennemførsel af ændringer for at begrænse eksisterende sikkerhedsproblemer 5) sikring, herunder på anmodning fra dataansvarlige, af og bidrag til udførelsen af uafhængige audit, herunder inspektioner, og gennemgang af sikkerhedsforanstaltninger på vilkår, der er i overensstemmelse med protokol (nr. 7) til TEUF vedrørende Den Europæiske Unions privilegier og immuniteter (2) iii) ændring af kontrolproceduren til dokumentation og måling af virkningen af en ændring, før den gennemføres, og underretning af de dataansvarlige om ændringer, der kan påvirke kommunikationen med og/eller sikkerheden i deres infrastrukturer iv) fastlæggelse af en vedligeholdelses- og reparationsprocedure til præcisering af bestemmelser og betingelser, som skal overholdes ved vedligeholdelse og/eller reparation af udstyr v) fastlæggelse af en procedure for sikkerhedsrelaterede hændelser til fastlæggelse af rapporterings- og eskaleringsordningen, omgående underretning af de dataansvarlige, så de kan underrette de nationale datatilsynsmyndigheder om brud på persondatasikkerheden og fastlæggelse af en disciplinær proces til håndtering af brud på sikkerheden;

g) avancerede fysiske og/eller elektroniske sikkerhedsforanstaltninger for de faciliteter, som opbevarer udstyret til platformen til udveksling af kontaktopsporingsformularer, og for kontrollen af adgangen til data og sikkerhed. Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme skal med henblik herpå: i) håndhæve den fysiske sikkerhed for at oprette særlige sikkerhedsområder og muliggøre afsløring af brud ii) kontrollere adgang til faciliteterne og vedligeholde et besøgsregister med henblik på sporing iii) sikre, at eksterne personer med adgang til området ledsages af behørigt bemyndigede medarbejdere iv) sikre, at udstyr ikke kan tilføjes, erstattes eller fjernes uden forudgående godkendelse fra de udpegede ansvarlige organer v) kontrollere adgang fra og til nationale kontaktopsporingssystemer til platformen til udveksling af kontaktopsporingsformularer vi) sikre, at alle, der har adgang til platformen til udveksling af kontaktopsporingsformularer, identificeres og autentificeres vii) gennemgå godkendelsesrettighederne i forbindelse med adgang til platformen til udveksling af kontaktopsporingsformularer, i tilfælde af at et brud på sikkerheden har betydning for denne infrastruktur viii) gennemføre tekniske og organisatoriske sikkerhedsforanstaltninger for at forhindre uautoriseret adgang til kontaktopsporingsformularer og epidemiologiske data ix) om nødvendigt gennemføre foranstaltninger for at blokere uautoriseret adgang til platformen til udveksling af kontaktopsporingsformularer fra de nationale myndigheders domæne (dvs. blokere en lokation/IP-adresse)

h) træffe foranstaltninger til beskyttelse af sit domæne, herunder fjerne forbindelser, hvis der er væsentlig afvigelse fra principper og koncepter for kvalitet og sikkerhed

i) opstille en risikostyringsplan i forbindelse med sit ansvarsområde

j) overvåge – i realtid – udførelsen af alle servicekomponenter af sine tjenester i platformen til udveksling af kontaktopsporingsformularer, udarbejde regelmæssige statistikker og føre registre

k) sikre, at tjenesten er tilgængelig døgnet rundt, med acceptabel nedetid til vedligeholdelsesformål

l) yde støtte til alle platformen til udveksling af kontaktopsporingsformularers tjenester på engelsk, via telefon, e-mail eller webportal og modtage opkald fra autoriserede personer: koordinatorer af platformen til udveksling af kontaktopsporingsformularer og deres respektive helpdeske, projektledere og udpegede personer fra Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme

m) bistå de dataansvarlige, i den udstrækning det er muligt og ved hjælp af passende tekniske og organisatoriske foranstaltninger, med opfyldelse af den dataansvarliges forpligtelse til at besvare anmodninger om udøvelse af de registreredes rettigheder som fastlagt i kapitel III i forordning (EU) 2016/679

n) yde støtte til de dataansvarlige ved at levere oplysninger vedrørende platformen til udveksling af kontaktopsporingsformularer for at gennemføre forpligtelserne i henhold til artikel 32, 35 og 36 i forordning (EU) 2016/679

o) sikre, at de kontaktopsporingsformularer og epidemiologiske data, der overføres via platformen til udveksling af kontaktopsporingsformularer, er uforståelige for alle, der ikke har tilladelse til at tilgå faciliteten, navnlig ved anvendelse af solid kryptering

p) træffe alle relevante foranstaltninger for at forhindre, at operatører af platformen til udveksling af kontaktopsporingsformularer har uautoriseret adgang til overførte kontaktopsporingsformularer og epidemiologiske data

q) træffe foranstaltninger for at fremme interoperabiliteten og kommunikationen mellem platformen til udveksling af kontaktopsporingsformularers udpegede dataansvarlige

r) føre en fortegnelse over de behandlingsaktiviteter, der er foretaget på vegne af de dataansvarlige, i overensstemmelse med artikel 31, stk. 2, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725.









▼M1

BILAG IV

▼B

Ikke-udtømmende liste over varslings- og informationssystemer på EU-plan, der gradvis skal kædes sammen med systemet for tidlig varsling og reaktion

Dette bilag indeholder en liste over hurtige varslingssystemer og informationssystemer, der allerede findes på EU-plan eller i henhold til Euratom-traktaten, og som kan være relevante for at modtage indberetninger af og information om begivenheder, som udgør eller kan udgøre en alvorlig grænseoverskridende sundhedstrussel:

— Systemet for anmeldelse af dyresygdomme (ADNS) for at registrere og dokumentere, hvordan situationen udvikler sig for vigtige smitsomme dyresygdomme

— Kommissionens tværsektorielle varslingssystem (ARGUS), Kommissionens interne system til hurtig varsling, der giver alle Kommissionens generaldirektorater mulighed for at udveksle vigtige oplysninger i tilfælde af en katastrofe/krise og at sikre intern koordinering

— Det fælles varslings- og informationssystem (CECIS) for civilbeskyttelse og havforurening

— Fællesskabssystem til udveksling af presserende radiologiske informationer (ECURIE), til at meddele modforanstaltninger til beskyttelse mod virkningerne af et kernekraftuheld eller strålingsfare

— Systemet til rapportering af større uheld (EMARS), som fremmer udvekslingen af erfaringer fra ulykker og næsten-ulykker med farlige kemiske stoffer for at skabe bedre forebyggelse af ulykker og afbødning af eventuelle følger

— Europæisk system til underretning om plantesundhedsmæssigt begrundede tilbageholdelser (EUROPHYT), der omhandler tilbageholdelse af plantesundhedsmæssige årsager af forsendelser af planter og planteprodukter, der indføres til Unionen eller handles inden for Unionen

— Hurtig varsling vedrørende blod og blodkomponenter (RAB) til udveksling af oplysninger for at forhindre eller begrænse grænseoverskridende hændelser i forbindelse med blodtransfusioner

— Hurtigt varslingssystem om farer i forbindelse med anvendelse af forbrugsgoder (RAPEX), til udveksling af oplysninger om produkter, der udgør en risiko for forbrugernes sikkerhed og sundhed

— Hurtigt varslingssystem for fødevarer og foder (RASFF), til meddelelse om sundhedsrisici for mennesker på grund af fødevarer eller foder

— Hurtig varsling vedrørende væv og celler (RATC), en platform til udveksling af oplysninger og foranstaltninger vedrørende humane væv eller celler, der overføres på tværs af grænserne til patienter

— Det Europæiske Informationsnet for Narkotika og Narkotikamisbrug (REITOX), som indsamler og indberetter oplysninger om narkotikasituationen i Europa.