KOMISSION TÄYTÄNTÖÖNPANOPÄÄTÖS (EU) 2020/1023,

annettu 15 päivänä heinäkuuta 2020,

täytäntöönpanopäätöksen (EU) 2019/1765 muuttamisesta siltä osin kuin on kyse rajat ylittävästä tietojenvaihdosta kansallisten mobiililaitteissa käytettävien kontaktien jäljitys- ja varoitussovellusten välillä COVID-19-pandemian torjumiseksi

(ETA: n kannalta merkityksellinen teksti)

EUROOPAN KOMISSIO, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon potilaiden oikeuksien soveltamisesta rajatylittävässä terveydenhuollossa 9 päivänä maaliskuuta 2011 annetun Euroopan parlamentin ja neuvoston direktiivin 2011/24/EU (1) ja erityisesti sen 14 artiklan 3 kohdan,

sekä katsoo seuraavaa:

(1) Direktiivin 2011/24/EU 14 artiklan mukaan unioni tukee ja helpottaa yhteistyön tekemistä ja tietojen vaihtamista jäsenvaltioiden välillä vapaaehtoisessa verkostossa, joka yhdistää jäsenvaltioiden nimeämät sähköisistä terveyspalveluista vastaavat kansalliset viranomaiset, jäljempänä ’sähköisten terveyspalvelujen verkosto’.

(2) Komission täytäntöönpanopäätöksessä (EU) 2019/1765 (2) vahvistetaan sähköisistä terveyspalveluista vastaavien kansallisten viranomaisten verkoston perustamista, hallinnointia ja toimintaa koskevat säännöt. Päätöksen 4 artiklassa annetaan sähköisten terveyspalvelujen verkoston tehtäväksi edistää kansallisten tieto- ja viestintäteknisten järjestelmien yhteentoimivuutta ja sähköisten terveystietojen siirrettävyyttä rajojen yli rajat ylittävässä terveydenhuollossa.

(3) Covid-19-pandemian aiheuttaman kansanterveyskriisin vuoksi useat jäsenvaltiot ovat kehittäneet mobiilisovelluksia, joiden avulla voidaan helpottaa kontaktien jäljitystä sekä varoittaa tällaisten sovellusten käyttäjiä ja kehottaa heitä ryhtymään asianmukaisiin toimiin, kuten testaus tai omaehtoinen eristäytyminen, jos he ovat mahdollisesti altistuneet virukselle lähellä toista tällaisen sovelluksen käyttäjää, joka on ilmoittanut positiivisesta diagnoosista. Näissä sovelluksissa käytetään Bluetooth-tekniikkaa laitteiden välisen läheisyyden havaitsemiseen. Koska jäsenvaltioiden välistä matkustamista koskevia rajoituksia on poistettu kesäkuusta 2020 alkaen, jäsenvaltioiden välillä olisi parannettava kansallisten tieto- ja viestintäteknisten järjestelmien yhteentoimivuutta sähköisten terveyspalvelujen verkostossa ottamalla käyttöön digitaalinen infrastruktuuri, joka mahdollistaa yhteentoimivuuden kansallisten mobiililaitteissa käytettävien kontaktien jäljitys- ja varoitussovellusten välillä.

(4) Komissio on tukenut jäsenvaltioita edellä mainittujen mobiilisovellusten osalta. Komissio antoi 8 päivänä huhtikuuta 2020 suosituksen unionin yhteisestä välineistöstä teknologian ja datan käyttöä varten covid-19-kriisin torjumiseksi ja siitä ulospääsemiseksi erityisesti mobiilisovellusten ja anonymisoidun liikkuvuusdatan käytön osalta, jäljempänä ’komission suositus’ (3). Sähköisten terveyspalvelujen verkostoon kuuluvat jäsenvaltiot hyväksyivät komission tuella mobiilisovelluksia koskevan EU:n yhteisen välineistön, jolla tuetaan kontaktien jäljittämistä (4), sekä ohjeet kontaktien jäljittämisessä käytettävien hyväksyttyjen mobiilisovellusten yhteentoimivuudesta EU:ssa (5). Välineistössä selvennetään kansallisia vaatimuksia, jotka koskevat kansallisia mobiililaitteissa käytettäviä kontaktien jäljitys- ja varoitussovelluksia, ja erityisesti sitä, että sovellusten olisi oltava vapaaehtoisia, kansallisen terveysviranomaisen hyväksymiä sekä henkilötietoja suojaavia ja sovellukset olisi poistettava käytöstä heti, kun niitä ei enää tarvita. Covid-19-kriisin viimeaikaisen kehityksen johdosta komissio (6) ja Euroopan tietosuojaneuvosto (7) ovat kumpikin antaneet ohjeita mobiilisovelluksista ja kontaktien jäljitysvälineistä tietosuojan kannalta. Jäsenvaltioiden mobiilisovellusten ja niiden yhteentoimivuuden mahdollistavan digitaalisen infrastruktuurin rakenne perustuu EU:n yhteiseen välineistöön, edellä mainittuihin ohjeisiin ja sähköisten terveyspalvelujen verkostossa sovittuihin teknisiin eritelmiin.

(5) Kansallisten mobiililaitteissa käytettävien kontaktien jäljitys- ja varoitussovellusten yhteentoimivuuden helpottamiseksi sähköisen terveydenhuollon verkostoon osallistuvat jäsenvaltiot kehittivät komission tuella tiedonvaihdon tietotekniseksi välineeksi digitaalisen infrastruktuurin, ja verkosto päätti edistää yhteistyötä tällä alalla vapaaehtoiselta pohjalta. Tästä digitaalisesta infrastruktuurista käytetään nimitystä ”yhdyskäytäväpalvelu”.

(6) Tässä päätöksessä vahvistetaan säännökset osallistuvien jäsenvaltioiden ja komission rooleista yhdyskäytäväpalvelun toiminnassa, jossa varmistetaan kansallisten mobiililaitteissa käytettävien kontaktien jäljitys- ja varoitussovellusten yhteentoimivuus rajojen yli.

(7) Mobiililaitteissa käytettävien kontaktien jäljitys- ja varoitussovellusten käyttäjien henkilötietojen käsittely, josta jäsenvaltiot tai muut julkiset organisaatiot tai elimet jäsenvaltiossa vastaavat, olisi tehtävä Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (8), jäljempänä ’yleinen tietosuoja-asetus’, ja Euroopan parlamentin ja neuvoston direktiivin 2002/58/EY (9) mukaisesti. Komission vastuulla tapahtuvassa henkilötietojen käsittelyssä yhdyskäytäväpalvelun hallinnoimiseksi ja sen turvallisuuden varmistamiseksi olisi noudatettava Euroopan parlamentin ja neuvoston asetusta (EU) 2018/1725 (10).

(8) Yhdyskäytäväpalvelun olisi koostuttava suojatusta tietoteknisestä infrastruktuurista, joka tarjoaa yhteisen rajapinnan, jonka kautta nimetyt kansalliset viranomaiset tai viralliset elimet voivat vaihtaa vähimmäistietoja SARS-CoV-2-tartunnan saaneiden henkilöiden lähikontakteista ja siten tiedottaa heidän mahdollisesta altistumisestaan tartunnalle ja edistää terveydenhuoltoa koskevaa tehokasta yhteistyötä jäsenvaltioiden välillä helpottamalla asiaankuuluvien tietojen vaihtoa.

(9) Sen vuoksi tässä päätöksessä olisi vahvistettava yksityiskohtaiset säännöt nimettyjen kansallisten viranomaisten tai virallisten elinten väliselle rajat ylittävälle tietojenvaihdolle EU:ssa toimivan yhdyskäytäväpalvelun kautta.

(10) Osallistuvat jäsenvaltiot, joita edustavat nimetyt kansalliset viranomaiset tai viralliset elimet, määrittelevät yhdessä yhdyskäytäväpalvelun kautta tapahtuvan henkilötietojen käsittelyn tarkoituksen ja keinot, joten ne ovat yhteisrekisterinpitäjiä. Yleisen tietosuoja-asetuksen 26 artiklassa asetetaan henkilötietojen käsittelytoimien yhteisrekisterinpitäjille velvoite määrittää läpinäkyvällä tavalla kunkin vastuualue kyseisessä asetuksessa vahvistettujen velvoitteiden noudattamiseksi. Nämä vastuualueet voidaan määritellä myös rekisterinpitäjiin sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä. Kunkin rekisterinpitäjän olisi varmistettava, että sillä on kansallisen tason oikeusperusta yhdyskäytäväpalvelussa tapahtuvalle käsittelylle.

(11) Komissio, joka tarjoaa yhdyskäytäväpalvelun tekniset ja organisatoriset ratkaisut, käsittelee pseudonymisoituja henkilötietoja yhdyskäytäväpalvelussa osallistuvien jäsenvaltioiden, jotka ovat yhteisrekisterinpitäjiä, puolesta ja on näin ollen henkilötietojen käsittelijä. Yleisen tietosuoja-asetuksen 28 artiklan ja asetuksen (EU) 2018/1725 29 artiklan mukaan henkilötietojen käsittelijän suorittamaa käsittelyä on säänneltävä sopimuksella tai muulla unionin oikeuden tai jäsenvaltion lainsäädännön mukaisella oikeudellisella asiakirjalla, joka sitoo henkilötietojen käsittelijää suhteessa rekisterinpitäjään ja jossa määritellään käsittely. Tässä päätöksessä vahvistetaan säännöt, jotka sääntelevät komission henkilötietojen käsittelijänä suorittamaa tietojen käsittelyä.

(12) Kun komissio käsittelee henkilötietoja yhdyskäytäväpalvelun puitteissa, sitä sitoo komission päätös (EU, Euratom) 2017/46 (11).

(13) Kun otetaan huomioon, että tarkoitukset, joita varten rekisterinpitäjät käsittelevät henkilötietoja mobiililaitteissa käytettävissä kansallisissa kontaktien jäljitys- ja varoitussovelluksissa, eivät välttämättä edellytä rekisteröidyn tunnistamista, rekisterinpitäjillä ei välttämättä aina ole mahdollisuutta varmistaa rekisteröityjen oikeuksien toteutumista. Yleisen tietosuoja-asetuksen 15–20 artiklassa tarkoitettuja oikeuksia ei mahdollisesti näin ollen sovelleta, jos kyseisen asetuksen 11 artiklan mukaiset edellytykset täyttyvät.

(14) Täytäntöönpanopäätöksen (EU) 2019/1765 nykyinen liite on numeroitava uudelleen, koska päätökseen lisätään kaksi uutta liitettä.

(15) Sen vuoksi täytäntöönpanopäätöstä (EU) 2019/1765 olisi muutettava.

(16) Koska on tarpeen reagoida covid-19-pandemiaan kiireellisesti, tätä päätöstä olisi sovellettava sitä päivää seuraavasta päivästä, jona se julkaistaan Euroopan unionin virallisessa lehdessä.

(17) Euroopan tietosuojavaltuutettua on kuultu asetuksen (EU) 2018/1725 42 artiklan 1 kohdan mukaisesti, ja hän on antanut lausunnon 9 päivänä heinäkuuta 2020.

(18) Tässä päätöksessä säädetyt toimenpiteet ovat direktiivin 2011/24/EU 16 artiklalla perustetun komitean lausunnon mukaiset,

ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:

1 artikla Muutetaan täytäntöönpanopäätös (EU) 2019/1765 seuraavasti: 1) Lisätään 2 artiklan 1 kohtaan g, h, i, j, k, l, m, n ja o alakohta seuraavasti: ”g) ’sovelluksen käyttäjällä’ henkilöä, jonka hallussa on älylaite ja joka on ladannut hyväksytyn kontaktien jäljitykseen ja varoittamiseen käytettävän mobiilisovelluksen ja käyttää sitä; h) ’kontaktien jäljityksellä’ toimenpiteitä sellaisten henkilöiden jäljittämiseksi, jotka ovat altistuneet Euroopan parlamentin ja neuvoston päätöksen 1082/2013/EU 3 artiklan c alakohdassa tarkoitetulle rajat ylittävän vakavan terveysuhkan lähteelle (*1); i) ’kansallisella mobiililaitteissa käytettävällä kontaktien jäljitys- ja varoitussovelluksella’ kansallisella tasolla hyväksyttyä ohjelmistosovellusta, joka toimii älylaitteissa, erityisesti älypuhelimissa, ja joka on yleensä suunniteltu laaja-alaiseen ja kohdennettuun vuorovaikutukseen verkkoresurssien kanssa ja jossa käsitellään monilla älylaitteista löytyvillä antureilla kerättyä läheisyysdataa ja muita kontekstuaalisia tietoja SARS-CoV-2-tartunnan saaneiden henkilöiden kontaktien jäljittämiseksi ja SARS-CoV-2-tartunnalle mahdollisesti altistuneiden henkilöiden varoittamiseksi. Nämä mobiilisovellukset pystyvät havaitsemaan muut Bluetooth-tekniikkaa käyttävät laitteet ja vaihtamaan tietoja taustapalvelinten kanssa internetiä käyttäen; j) ’yhdyskäytäväpalvelulla’ verkon yhdysväylää, jota komissio ylläpitää suojatun tietoteknisen järjestelmän avulla, joka vastaanottaa, tallentaa ja asettaa saataville vähimmäismäärän henkilötietoja jäsenvaltioiden taustapalvelimien välillä, jotta voidaan varmistaa kansallisten mobiililaitteissa käytettävien kontaktien jäljitys- ja varoitussovellusten yhteentoimivuus; k) ’avaimella’ ainutkertaista lyhytaikaista tunnistetta, joka liittyy sovelluksen käyttäjään, joka ilmoittaa saaneensa SARS-CoV-2-tartunnan tai joka on saattanut altistua SARS-CoV-2-tartunnalle; l) ’infektion todentamisella’ SARS-CoV-2-tartunnan vahvistamiseen käytettyä menetelmää eli sitä, onko sovelluksen käyttäjä itse ilmoittanut infektion vai onko tieto saatu kansallisen terveysviranomaisen vahvistuksesta tai laboratoriotestistä; m) ’asiaan liittyvillä mailla’ jäsenvaltioita, joissa sovelluksen käyttäjä on ollut avainten lataamista edeltäneiden 14 päivän aikana ja joissa hän on ladannut hyväksytyn kansallisen mobiililaitteissa käytettävän kontaktien jäljitys- ja varoitussovelluksen ja/tai matkustanut; n) ’avainten alkuperämaalla’ jäsenvaltiota, jossa avaimet yhdyskäytäväpalveluun ladannut taustapalvelin sijaitsee; o) ’lokitiedoilla’ automaattista tietuetta, joka koskee yhdyskäytäväpalvelun kautta käsiteltävien tietojen vaihtoa ja niihin pääsyyn liittyvää toimintaa ja josta käy ilmi erityisesti käsittelytoimien tyyppi, käsittelytoimien päivämäärä ja kellonaika sekä tietoja käsittelevän henkilön tunniste. (*1) Euroopan parlamentin ja neuvoston päätös N:o 1082/2013/EU, annettu 22 päivänä lokakuuta 2013, valtioiden rajat ylittävistä vakavista terveysuhkista ja päätöksen N:o 2119/98/EY kumoamisesta (EUVL L 293, 5.11.2013, s. 1).”" (2) Lisätään 4 artiklan 1 kohtaan h alakohta seuraavasti: ”h) antaa jäsenvaltioille ohjeita henkilötietojen vaihdosta rajojen yli yhdyskäytäväpalvelun kautta kansallisten mobiililaitteissa käytettävien kontaktien jäljitys- ja varoitussovellusten välillä.” 3) Lisätään 6 artiklan 1 kohtaan f ja g alakohta seuraavasti: ”f) kehittää, toteuttaa ja ylläpitää asianmukaisia teknisiä ja organisatorisia järjestelyjä, jotka liittyvät henkilötietojen siirron ja säilytyksen turvallisuuteen yhdyskäytäväpalvelussa, jotta voidaan varmistaa kansallisten mobiililaitteissa käytettävien kontaktien jäljitys- ja varoitussovellusten yhteentoimivuus; g) tukee sähköisten terveyspalvelujen verkostoa päätettäessä siitä, noudattavatko kansalliset viranomaiset teknisesti ja organisatorisesti terveystietojen vaihtoon rajojen yli sovellettavia vaatimuksia yhdyskäytäväpalvelussa, järjestämällä ja tekemällä tarvittavat testit ja tarkastukset. Jäsenvaltioiden asiantuntijat voivat avustaa komission tarkastajia”. (4) Muutetaan 7 artikla seuraavasti: a) korvataan otsikko seuraavasti: ”Sähköisten terveyspalvelujen digitaalisen palveluinfrastruktuurin kautta käsiteltävien henkilötietojen suoja”; b) korvataan 2 kohdan ilmaus ”liitteessä” ilmauksella ”liitteessä I”. (5) Lisätään 7 a artikla seuraavasti: ”7 a artikla Rajat ylittävä tietojen vaihto yhdyskäytäväpalvelun kautta kansallisten mobiililaitteissa käytettävien kontaktien jäljitys- ja varoitussovellusten välillä 1. Kun henkilötietoja vaihdetaan yhdyskäytäväpalvelun kautta, käsittely on rajoitettava helpottamaan kansallisten mobiililaitteissa käytettävien kontaktien jäljitys- ja varoitussovellusten yhteentoimivuutta yhdyskäytäväpalvelussa ja kontaktien jäljittämisen jatkuvuutta rajat ylittävissä yhteyksissä. 2. Edellä 3 kohdassa tarkoitetut henkilötiedot on toimitettava yhdyskäytäväpalveluun pseudonymisoidussa muodossa. 3. Yhdyskäytäväpalvelun kautta vaihdettavat ja siinä käsiteltävät pseudonymisoidut henkilötiedot voivat sisältää ainoastaan seuraavia tietoja: a) kansallisten mobiililaitteissa käytettävien kontaktien jäljitys- ja varoitussovellusten välittämät avaimet enintään 14 päivän ajalta ennen avaimien lataamista; b) avaimiin liittyvät lokitiedot avainten alkuperämaassa käytettyjen teknisten eritelmien protokollan mukaisesti; c) infektion todentaminen; d) asiaan liittyvät maat ja avainten alkuperämaa. 4. Nimetyt kansalliset viranomaiset ja viralliset elimet, jotka käsittelevät henkilötietoja yhdyskäytäväpalvelussa, ovat yhdyskäytäväpalvelussa käsiteltävien tietojen yhteisrekisterinpitäjiä. Yhteisrekisterinpitäjien vastuualueet jaetaan liitteen II mukaisesti. Kunkin jäsenvaltion, joka haluaa osallistua rajat ylittävään tietojen vaihtoon kansallisten mobiililaitteissa käytettävien kontaktien jäljitys- ja varoitussovellusten välillä, on ilmoitettava komissiolle aikomuksestaan ennen liittymistä ja ilmoitettava asiasta vastaavaksi rekisterinpitäjäksi nimetty kansallinen viranomainen tai virallinen elin. 5. Komissio toimii yhdyskäytäväpalvelussa käsiteltävien henkilötietojen käsittelijänä. Komissio varmistaa henkilötietojen käsittelijän ominaisuudessa yhdyskäytäväpalvelussa tapahtuvan henkilötietojen käsittelyn, myös siirron ja säilytyksen, turvallisuuden ja noudattaa liitteessä III vahvistettuja henkilötietojen käsittelijän velvoitteita. 6. Komissio ja kansalliset viranomaiset, joilla on lupa päästä yhdyskäytäväpalveluun, testaavat ja arvioivat säännöllisesti niiden teknisten ja organisatoristen toimenpiteiden tehokkuutta, joilla varmistetaan yhdyskäytäväpalvelussa tapahtuvan henkilötietojen käsittelyn turvallisuus. 7. Rajoittamatta yhteisrekisterinpitäjien päätöstä lopettaa käsittely yhdyskäytäväpalvelussa, yhdyskäytäväpalvelun toiminta on lopetettava viimeistään 14 päivän kuluttua siitä, kun kaikki verkkoon liitetyt kansalliset mobiililaitteissa käytettävät kontaktien jäljitys- ja varoitussovellukset ovat lopettaneet avainten siirron yhdyskäytäväpalvelun kautta.” (6) Liitteestä tulee liite I. (7) Lisätään liitteet II ja III, joiden teksti on tämän päätöksen liitteessä.

2 artikla Tämä päätös tulee voimaan sitä päivää seuraavana päivänä, jona se julkaistaan Euroopan unionin virallisessa lehdessä.

Tehty Brysselissä 15 päivänä heinäkuuta 2020. Komission puolesta Ursula VON DER LEYEN Puheenjohtaja

(1) EUVL L 88, 4.4.2011, s. 45.

(2) Komission täytäntöönpanopäätös (EU) 2019/1765, annettu 22 päivänä lokakuuta 2019, sähköisistä terveyspalveluista vastaavien kansallisten viranomaisten verkoston perustamista, hallinnointia ja toimintaa koskevista säännöistä ja täytäntöönpanopäätöksen 2011/890/EU kumoamisesta (EUVL L 270, 24.10.2019, s. 83).

(3) Komission suositus (EU) 2020/518, annettu 8 päivänä huhtikuuta 2020, unionin yhteisestä välineistöstä teknologian ja datan käyttöä varten covid-19-kriisin torjumiseksi ja siitä ulospääsemiseksi erityisesti mobiilisovellusten ja anonymisoidun liikkuvuusdatan käytön osalta (EUVL L 114, 14.4.2020, s. 7).

(4) https://ec.europa.eu/health/sites/health/files/ehealth/docs/covid-19_apps_en.pdf

(5) https://ec.europa.eu/health/sites/health/files/ehealth/docs/contacttracing_mobileapps_guidelines_en.pdf

(6) Komission tiedonanto – Covid-19-pandemian torjuntaa tukevien sovellusten tietosuojaa koskevat ohjeet (EUVL C 124 I, 17.4.2020, s. 1).

(7) ”Guidelines 04/2020 on the use of location data and contact tracing tools in the context of the COVID-19 outbreak” ja ”EDPB statement of 16 June 2020 on the data protection impact of the interoperability of contact tracing apps”. Molemmat asiakirjat ovat saatavilla osoitteessa: https://edpb.europa.eu

(8) Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (EUVL L 119, 4.5.2016, s. 1).

(9) Euroopan parlamentin ja neuvoston direktiivi 2002/58/EY, annettu 12 päivänä heinäkuuta 2002, henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla (sähköisen viestinnän tietosuojadirektiivi) (EYVL L 201, 31.7.2002, s. 37).

(10) Euroopan parlamentin ja neuvoston asetus (EU) 2018/1725, annettu 23 päivänä lokakuuta 2018, luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta (EUVL L 295, 21.11.2018, s. 39).

(11) Komission päätös (EU, Euratom) 2017/46, annettu 10 päivänä tammikuuta 2017, viestintä- ja tietojärjestelmien turvallisuudesta Euroopan komissiossa (EUVL L 6, 11.1.2017, s. 40). Komissio julkaisee lisätietoa Euroopan komission kaikkiin tietojärjestelmiin sovellettavista turvallisuusstandardeista osoitteessahttps://ec.europa.eu/info/publications/security-standards-applying-all-european-commission-information-systems_en.