02017D0253 — FR — 01.06.2021 — 001.001

Ce texte constitue seulement un outil de documentation et n’a aucun effet juridique. Les institutions de l'Union déclinent toute responsabilité quant à son contenu. Les versions faisant foi des actes concernés, y compris leurs préambules, sont celles qui ont été publiées au Journal officiel de l’Union européenne et sont disponibles sur EUR-Lex. Ces textes officiels peuvent être consultés directement en cliquant sur les liens qui figurent dans ce document

►B DÉCISION D'EXÉCUTION (UE) 2017/253 DE LA COMMISSION du 13 février 2017 établissant des procédures de notification d'alertes dans le cadre du système d'alerte précoce et de réaction créé pour faire face aux menaces transfrontières graves pour la santé et permettre l'échange d'informations, la consultation et la coordination des réactions à ces menaces conformément à la décision no 1082/2013/UE du Parlement européen et du Conseil (Texte présentant de l'intérêt pour l'EEE) (JO L 037 du 14.2.2017, p. 23)

Modifiée par:









▼B

DÉCISION D'EXÉCUTION (UE) 2017/253 DE LA COMMISSION

du 13 février 2017

établissant des procédures de notification d'alertes dans le cadre du système d'alerte précoce et de réaction créé pour faire face aux menaces transfrontières graves pour la santé et permettre l'échange d'informations, la consultation et la coordination des réactions à ces menaces conformément à la décision no 1082/2013/UE du Parlement européen et du Conseil

(Texte présentant de l'intérêt pour l'EEE)







Article premier

Autorités compétentes du SAPR

1. La Commission accorde aux autorités compétentes du SAPR, désignées conformément à l'article 15, paragraphe 1, point b), de la décision n o 1082/2013/UE, l'accès au système d'alerte précoce et de réaction établi conformément à l'article 8 de la décision n o 1082/2013/UE.

2. Les États membres veillent à ce que soient mis en place des canaux de communication efficaces entre les autorités compétentes du SAPR et toute autre autorité compétente relevant de leur juridiction, afin de détecter rapidement toute menace grave pour la santé réunissant les critères fixés à l'article 9, paragraphes 1 et 2, de la décision n o 1082/2013/UE.

▼M1

Article premier bis

Définitions

Aux fins de la présente décision, on entend par:

a) «formulaire de localisation des passagers»: un formulaire rempli à la demande des autorités de santé publique en vue de recueillir à tout le moins les données relatives aux passagers spécifiées à l’annexe I et qui aide lesdites autorités à gérer un événement relatif à la santé publique en leur permettant de retrouver des passagers transfrontières qui pourraient avoir été exposés à une personne infectée par le SARS-CoV-2;

b) «données des formulaires de localisation des passagers»: des données à caractère personnel recueillies au moyen d’un formulaire de localisation des passagers;

c) «point d’entrée numérique»: un emplacement numérique unique où les autorités compétentes du SAPR peuvent connecter en toute sécurité leurs systèmes nationaux de formulaires numériques de localisation des passagers à la plateforme d’échange de formulaires de localisation des passagers;

d) «trajet»: le déplacement transfrontière effectué par une personne, en une ou plusieurs étapes, par des moyens de transport collectif pour lesquels les places sont attribuées à l’avance, en tenant compte du lieu de départ initial et de la destination finale de cette personne;

e) «étape»: le déplacement transfrontière unique d’un passager sans correspondance ni changement de vol, de train, de navire ou de véhicule;

f) «passager infecté»: un passager qui remplit le critère de laboratoire pour l’infection par le SARS-CoV-2;

g) «personne exposée»: un passager ou une autre personne qui a été en contact étroit avec un passager infecté;

h) «alerte»: une notification utilisant le système d’alerte précoce et de réaction (SAPR), conformément à l’article 9 de la décision no 1082/2013/UE.

▼B

Article 2

Notification d'alertes dans le SAPR

1. Lorsqu'un État membre ou la Commission constate l'apparition ou le développement d'une menace transfrontières grave pour la santé, au sens de l'article 9, paragraphe 1, de la décision n o 1082/2013/UE, il introduit l'alerte visée dans ledit article sans délai et, en tout état de cause, au plus tard vingt-quatre heures après avoir eu connaissance de cette menace.

2. L'État membre ou la Commission peut informer le CSS de l'introduction d'une alerte.

3. L'obligation de notification visée au paragraphe 1 ne dispense pas de l'obligation de notification prévue à l'article 9, paragraphe 2, de la décision n o 1082/2013/UE.

4. Le fait que toutes les informations pertinentes, telles qu'indiquées à l'article 9, paragraphe 3, de ladite décision, ne soient pas disponibles ne retarde pas la notification d'une alerte.

5. L'alerte visée au paragraphe 1 indique de quelle manière les critères définis à l'article 9, paragraphe 1, de la décision n o 1082/2013/UE sont réunis.

6. Lorsque, à la suite de la notification d'une alerte, un État membre ou la Commission souhaite communiquer des informations pertinentes disponibles à des fins de coordination, conformément à l'article 9, paragraphe 3, de la décision n o 1082/2013/UE, il utilise la fonctionnalité ad hoc du SAPR pour envoyer un «commentaire» en réponse à la notification du message initial.

▼M1

Article 2 bis

Plateforme d’échange de données des formulaires de localisation des passagers

1. Une plateforme pour l’échange sécurisé des données des formulaires de localisation de passagers infectés à la seule fin de la recherche des contacts des personnes exposées au SARS-CoV-2 par les autorités compétentes du SAPR (ci-après la «plateforme d’échange de formulaires de localisation des passagers») est établie dans le cadre du SAPR en complément de la fonctionnalité de messagerie sélective existant dans ce système.

La plateforme d’échange de formulaires de localisation des passagers fournit un point d’entrée numérique aux autorités compétentes du SAPR, auquel ces autorités peuvent connecter en toute sécurité leurs systèmes nationaux de formulaires numériques de localisation des passagers ou auquel elles peuvent se connecter via le système commun de fiches de traçabilité numériques des passagers de l’Union européenne, afin de permettre l’échange des données recueillies au moyen de ces formulaires.

Les autorités compétentes du SAPR sont en mesure d’utiliser la plateforme d’échange de formulaires de localisation des passagers pour partager des données supplémentaires, à savoir des données épidémiologiques à la seule fin de la recherche des contacts des personnes exposées au SARS-CoV-2, conformément à l’article 2 ter, paragraphe 5.

2. La plateforme d’échange de formulaires de localisation des passagers est gérée par l’ECDC.

3. Afin de remplir leurs obligations, découlant de l’article 2, de notifier les menaces transfrontières graves pour la santé détectées dans le contexte de la collecte de données des formulaires de localisation des passagers, les autorités compétentes du SAPR des États membres imposant le remplissage de ces formulaires échangent un ensemble de données issues des formulaires de localisation des passagers, comme indiqué à l’article 2 ter , au moyen de la plateforme d’échange de formulaires de localisation des passagers.

4. Les autorités compétentes du SAPR peuvent continuer à remplir leurs obligations, découlant de l’article 9, paragraphes 1 et 3, de la décision n o 1082/2013/UE, de notifier les menaces transfrontières graves pour la santé détectées dans le contexte de la collecte de données des formulaires de localisation des passagers au moyen des autres canaux de communication existants évoqués à l’article 1 er , paragraphe 2, de la présente décision, sur une base temporaire et à condition de ne pas nuire à l’objectif de recherche des contacts.

5. La plateforme d’échange de formulaires de localisation des passagers ne conserve ni les données des formulaires de localisation des passagers ni les données épidémiologiques supplémentaires. Elle permet uniquement aux autorités compétentes du SAPR d’accéder aux données qui lui ont été envoyées par d’autres autorités compétentes du SAPR à la seule fin de la recherche des contacts exposés au SARS-CoV-2. L’ECDC n’accède à ces données que pour assurer le bon fonctionnement de la plateforme d’échange de formulaires de localisation des passagers.

6. Les autorités compétentes du SAPR ne conservent ni les données des formulaires de localisation des passagers ni les données épidémiologiques reçues au moyen de la plateforme d’échange de formulaires de localisation des passagers au-delà de la période de conservation applicable dans le contexte de leurs activités nationales de recherche des contacts exposés au SARS-CoV-2.

7. La Commission coopère avec l’ECDC pour mener à bien les tâches qui lui ont été assignées dans le cadre de la présente décision, en particulier en ce qui concerne les mesures techniques et organisationnelles relatives au déploiement, à la mise en œuvre, à l’utilisation, à la maintenance et à l’évolution future de la plateforme d’échange de formulaires de localisation des passagers.

8. Le traitement des données à caractère personnel effectué au moyen de la plateforme d’échange de formulaires de localisation des passagers à la seule fin de la recherche de contacts exposés au SARS-CoV-2 se poursuit jusqu’au 31 mai 2022 ou jusqu’à ce que le directeur général de l’Organisation mondiale de la santé déclare, conformément au règlement sanitaire international, que l’urgence de santé publique de portée internationale causée par le SARS-CoV-2 a pris fin, la date la plus proche étant retenue.

Article 2 ter

Données à échanger

1. Lorsqu’elles notifient une alerte sur la plateforme d’échange de formulaires de localisation des passagers, les autorités compétentes du SAPR de l’État membre dans lequel le passager infecté a été détecté transmettent les données des formulaires de localisation des passagers suivantes aux autorités compétentes du SAPR de l’État membre de départ initial du passager infecté ou aux autorités compétentes du SAPR de l’État membre de sa résidence si le lieu de résidence diffère du lieu de départ initial: a) le prénom: b) le nom; c) la date de naissance; d) le numéro de téléphone (fixe et/ou mobile); e) l’adresse électronique; f) l’adresse de résidence.

2. Les autorités compétentes du SAPR de l’État membre de départ initial du passager infecté peuvent transmettre les données des formulaires de localisation des passagers reçues à un État membre de départ autre que l’État membre de départ initial déclaré dans le formulaire lorsqu’elles disposent d’informations supplémentaires indiquant quel État membre devrait effectuer la recherche des contacts.

3. Lorsqu’elles notifient une alerte sur la plateforme d’échange de formulaires de localisation des passagers, les autorités compétentes du SAPR de l’État membre dans lequel le passager infecté a été détecté transmettent les données des formulaires de localisation des passagers suivantes, relatives à chaque étape du voyage du passager, aux autorités compétentes du SAPR de tous les États membres: a) le lieu de départ de chaque transport concerné; b) le lieu d’arrivée de chaque transport concerné; c) la date de départ de chaque transport concerné; d) le moyen de transport de chaque transport concerné (par exemple avion, train, car, traversier, navire); e) le numéro d’identification de chaque transport concerné (par exemple, le numéro de vol, le numéro de train, la plaque d’immatriculation du car, le nom du traversier ou du navire); f) le numéro de siège/de cabine dans chaque transport concerné; g) s’il y a lieu, l’heure de départ de chaque transport concerné.

4. Lorsque les autorités compétentes du SAPR de l’État membre notifiant l’alerte sont en mesure de déterminer quels sont les États membres concernés sur la base des informations en leur possession, elles transmettent les données énumérées au paragraphe 3 aux autorités compétentes du SAPR de ces États membres uniquement.

5. Les autorités compétentes du SAPR sont en mesure de fournir les données épidémiologiques suivantes, lorsque cela est nécessaire pour réaliser la recherche des contacts de manière efficace: a) le type de test effectué; b) le variant du virus SARS-CoV-2; c) la date de l’échantillonnage; d) la date de l’apparition des symptômes.

Article 2 quater

Responsabilités des autorités compétentes du SAPR et de l’ECDC dans le traitement des données des formulaires de localisation des passagers

1. Les autorités compétentes du SAPR échangeant des données issues des formulaires de localisation des passagers et les données visées à l’article 2 ter , paragraphe 5, sont responsables conjointes de la saisie et de la transmission, jusqu’à réception de ces données, au moyen de la plateforme d’échange de formulaires de localisation des passagers. Les responsabilités respectives des responsables conjoints du traitement sont réparties conformément à l’annexe II. Tout État membre qui souhaite participer à l’échange transfrontière de données des formulaires de localisation des passagers au moyen de la plateforme en informe l’ECDC avant de se joindre à cette initiative et indique l’autorité compétente du SAPR qui a été désignée comme responsable du traitement.

2. L’ECDC est le sous-traitant des données échangées au moyen de la plateforme d’échange de formulaires de localisation des passagers. Il fournit ladite plateforme, veille à la sécurité du traitement (y compris de la transmission) des données qui y sont échangées et s’acquitte des obligations incombant aux sous-traitants énoncées à l’annexe III.

3. L’efficacité des mesures techniques et organisationnelles visant à garantir la sécurité du traitement des données des formulaires de localisation des passagers échangées au moyen de la plateforme d’échange de formulaires de localisation des passagers est régulièrement testée, analysée et évaluée par l’ECDC et les autorités compétentes du SAPR autorisées à accéder à cette plateforme.

4. L’ECDC engage la Commission comme sous-traitant ultérieur et veille à ce que les mêmes obligations en matière de protection des données que celles énoncées dans la présente décision s’appliquent à la Commission.

▼B

Article 3

Autres systèmes d'alerte précoce et d'information

1. La notification d'alerte visée à l'article 2, paragraphe 1, spécifie si la menace détectée a été notifiée précédemment par d'autres systèmes d'alerte précoce et d'information à l'échelle de l'Union ou au titre du traité Euratom.

2. Lorsqu'une menace transfrontières grave pour la santé est communiquée par l'intermédiaire de plusieurs systèmes d'alerte ou d'information de l'Union, la Commission indique, via le SAPR, quel est le système principal à utiliser pour le type d'échange d'informations spécifique.

3. ►M1 ◄ . Aux fins du présent article, d'autres systèmes d'alerte et d'information à l'échelle de l'Union ou au titre du traité Euratom comprennent les systèmes définisà l’annexe IV

Article 4

Coordination des réactions nationales aux menaces transfrontières graves pour la santé

1. Lorsqu'une demande de consultation est formulée en vertu de l'article 11, paragraphe 1, point a), de la décision n o 1082/2013/UE afin de coordonner la réaction à une menace transfrontières grave pour la santé, la Commission veille à l'organisation d'une consultation au sein du CSS dans un délai de deux jours ouvrables à compter de la demande, en fonction de l'urgence liée à la gravité de la menace.

2. La Commission informe le CSS de la demande et met à la disposition de ce dernier toute information pertinente concernant la menace, outre celles communiquées via le SAPR.

3. Les États membres doivent également communiquer par écrit toute information disponible relative à la menace, outre celles communiquées via le SAPR, y compris les mesures de santé publique, ou toute autre mesure qui a été prise ou est prévue.

4. Le CSS examine toutes les informations disponibles relatives à cette menace particulière, y compris les notifications d'alerte, les évaluations des risques ou toute autre information communiquée par les États membres ou la Commission via le SAPR ou le CSS, y compris les informations concernant les mesures de santé publique qui ont été prises ou sont prévues. Un tel examen doit être mené sans tarder.

5. Lorsqu'ils prennent ou envisagent de prendre des mesures de santé publique pour lutter contre des menaces transfrontières graves pour la santé, les États membres tiennent compte des résultats de l'examen effectué dans le cadre de la consultation du CSS.

Article 5

Communication relative aux risques et aux crises

1. À la suite d'une demande de consultation en vertu de l'article 11, paragraphe 1, point b), de la décision n o 1082/2013/UE, les États membres se concertent au sein du CSS pour suggérer et élaborer le contenu et la forme des communications relatives aux risques et aux crises que doivent fournir les États membres au grand public et/ou aux professionnels de la santé. Les États membres peuvent adapter les communications à leurs besoins et à leurs circonstances.

2. Les États membres ayant déjà transmis des communications relatives aux risques et aux crises concernant une menace transfrontières grave pour la santé informent le CSS et la Commission, par écrit, du contenu de ces communications.

Article 6

Désactivation de la notification d'alerte

Lorsque les conditions ayant motivé l'introduction d'une alerte conformément à l'article 9, paragraphe 1, de la décision no 1082/2013/UE cessent d'exister, l'alerte doit être désactivée par l'État membre qui l'a introduite ou par la Commission si c'est elle qui l'a introduite. La désactivation d'une alerte ne peut se produire qu'avec l'accord de tous les États membres concernés par cette alerte.

Article 7

Abrogation de la décision 2000/57/CE

1. La décision 2000/57/CE est abrogée.

2. Les références à la décision abrogée s'entendent comme faites à la présente décision.

Article 8

Entrée en vigueur

La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l'Union européenne.

▼M1









ANNEXE I

ENSEMBLE MINIMAL DE DONNÉES À RECUEILLIR AU MOYEN DES FORMULAIRES NATIONAUX DE LOCALISATION DES PASSAGERS

Les formulaires de localisation des passagers contiennent au minimum les données suivantes:

1) le prénom;

2) le nom;

3) la date de naissance;

4) le numéro de téléphone (fixe et/ou mobile);

5) l’adresse électronique;

6) l’adresse de résidence;

7) la destination finale ou la dernière escale dans l’UE de l’ensemble du trajet;

8) les informations suivantes pour chaque étape du trajet vers l’État membre imposant le remplissage d’un formulaire de localisation des passagers: a) le lieu de départ; b) le lieu d’arrivée; c) la date de départ; d) le type de moyen de transport (par exemple avion, train, car, traversier, navire); e) l’heure de départ; f) le numéro d’identification du transport (par exemple, le numéro de vol, le numéro de train, la plaque d’immatriculation du car, le nom du traversier ou du navire); g) le numéro de siège/de cabine.









ANNEXE II

RESPONSABILITÉS DES ÉTATS MEMBRES PARTICIPANTS EN TANT QUE RESPONSABLES CONJOINTS DU TRAITEMENT DANS LE CADRE DE LA PLATEFORME D’ÉCHANGE DE FORMULAIRES DE LOCALISATION DES PASSAGERS

SECTION 1

Répartition des responsabilités

1) Chaque autorité compétente du SAPR veille à ce que le traitement des données des formulaires de localisation des passagers et des données épidémiologiques supplémentaires échangées au moyen de la plateforme d’échange de formulaires de localisation des passagers soit conforme au règlement (UE) 2016/679 du Parlement européen et du Conseil ( 1 ). Elle s’assure notamment que les données qu’elle saisit et transmet au moyen de la plateforme sont exactes et limitées aux données prévues à l’article 2 ter de la présente décision.

2) Chaque autorité compétente du SAPR reste l’unique responsable de la collecte, de l’utilisation, de la divulgation et de tout autre traitement des données des formulaires de localisation des passagers et des données épidémiologiques supplémentaires ayant lieu hors du cadre de la plateforme. Chacune d’entre elles veille à ce que la transmission des données soit effectuée dans le respect des spécifications techniques prévues pour la plateforme d’échange de formulaires de localisation des passagers.

3) Les instructions à l’intention du sous-traitant sont envoyées par le point de contact de l’un des responsables conjoints du traitement, en accord avec les autres responsables conjoints du traitement.

4) Seules les personnes ayant reçu l’autorisation des autorités compétentes du SAPR peuvent accéder aux données des formulaires de localisation des passagers et aux données épidémiologiques supplémentaires échangées au moyen de la plateforme.

5) Chaque autorité compétente du SAPR met en place un point de contact doté d’une boîte fonctionnelle qui servira à la communication entre les responsables conjoints du traitement ainsi qu’entre ces derniers et le sous-traitant. Le processus décisionnel des responsables conjoints du traitement est régi par le groupe de travail du comité de sécurité sanitaire du SAPR.

6) Chaque autorité compétente du SAPR perd sa qualité de responsable conjointe du traitement à compter de la date de son renoncement à participer à la plateforme d’échange de formulaires de localisation des passagers. Elle reste néanmoins responsable de la collecte et de la transmission, au moyen de la plateforme, des données des formulaires de localisation des passagers et des données épidémiologiques supplémentaires datant d’avant son renoncement.

7) Chaque autorité compétente du SAPR tient un registre des activités de traitement effectuées sous sa responsabilité. La responsabilité conjointe peut être indiquée dans le registre.

SECTION 2

Responsabilités et rôles en matière de traitement des demandes et d’information des personnes concernées

1) Chaque autorité compétente du SAPR imposant le remplissage de formulaires de localisation des passagers informe les passagers transfrontières (ci-après les «personnes concernées») des circonstances de l’échange de leurs données de formulaires de localisation des passagers et de leurs données épidémiologiques effectué au moyen de la plateforme d’échange de formulaires de localisation des passagers à des fins de recherche des contacts, conformément aux articles 13 et 14 du règlement (UE) 2016/679.

2) Chaque autorité compétente du SAPR agit en tant que point de contact pour les personnes concernées et traite les demandes que celles-ci ou leurs représentants soumettent au sujet de leurs droits, conformément au règlement (UE) 2016/679. Chaque autorité compétente du SAPR désigne un point de contact spécifique pour les demandes reçues des personnes concernées. Si l’une d’entre elles reçoit une demande d’une personne concernée qui ne relève pas de sa responsabilité, elle la transmet rapidement à l’autorité compétente du SAPR responsable et en informe l’ECDC. Sur demande, les autorités compétentes du SAPR se prêtent mutuellement assistance pour le traitement des demandes des personnes concernées ayant trait à la responsabilité conjointe et se répondent dans les meilleurs délais, et au plus tard dans les 15 jours qui suivent la réception d’une demande d’assistance.

3) Chaque autorité compétente du SAPR porte à la connaissance des personnes concernées le contenu de la présente annexe, notamment les modalités prévues aux points 1) et 2).

SECTION 3

Gestion des incidents de sécurité, notamment des violations de données à caractère personnel

1) Les autorités compétentes du SAPR, en tant que responsables conjointes du traitement, se prêtent mutuellement assistance pour la détection et la gestion de tout incident de sécurité, notamment des violations de données à caractère personnel, en lien avec le traitement de données des formulaires de localisation des passagers et de données épidémiologiques au moyen de la plateforme d’échange de formulaires de localisation des passagers.

2) En particulier, elles s’informent mutuellement et notifient l’ECDC des éléments suivants:

a) tout risque potentiel ou avéré pour la disponibilité, la confidentialité et/ou l’intégrité des données des formulaires de localisation des passagers et des données épidémiologiques faisant l’objet d’un traitement dans le cadre de la plateforme d’échange de formulaires de localisation des passagers;

b) toute violation de données à caractère personnel, les conséquences probables de ladite violation et l’évaluation du risque pour les droits et libertés des personnes physiques ainsi que toute mesure prise visant à remédier à la violation de données à caractère personnel et à atténuer le risque pour les droits et libertés des personnes physiques;

c) toute atteinte aux garanties techniques et/ou organisationnelles du processus de traitement dans le cadre de la plateforme d’échange de formulaires de localisation des passagers.

3) Les autorités compétentes du SAPR communiquent toute violation de données liée au processus de traitement dans le cadre de la plateforme d’échange de formulaires de localisation des passagers à l’ECDC, aux autorités de contrôle compétentes et, lorsqu’ils sont tenus de le faire, aux personnes concernées, conformément aux articles 33 et 34 du règlement (UE) 2016/679 ou à la suite d’une notification par l’ECDC.

4) Chaque autorité compétente du SAPR met en œuvre des mesures techniques et organisationnelles adéquates, destinées à:

a) garantir et préserver la sécurité, l’intégrité et la confidentialité des données à caractère personnel traitées de manière conjointe;

b) se prémunir contre le traitement, la perte, l’utilisation, la divulgation, l’acquisition non autorisés ou illégaux de toute donnée à caractère personnel en sa possession ou l’accès non autorisé ou illégal à ces données;

c) garantir que les données à caractère personnel ne sont ni divulguées ni rendues accessibles à d’autres personnes que les destinataires ou les sous-traitants.

SECTION 4

Analyse d’impact relative à la protection des données

Si, afin de s’acquitter des obligations qui lui incombent en vertu des articles 35 et 36 du règlement (UE) 2016/679, un responsable du traitement a besoin de s’informer auprès d’un autre responsable du traitement, il adresse une demande spécifique à la boîte fonctionnelle visée à la section 1, point 5). L’autre responsable du traitement met tout en œuvre pour fournir les informations demandées.









ANNEXE III

RESPONSABILITÉS DE L’ECDC EN TANT QUE SOUS-TRAITANT DES DONNÉES DANS LE CADRE DE LA PLATEFORME D’ÉCHANGE DE FORMULAIRES DE LOCALISATION DES PASSAGERS

1) L’ECDC met en place et garantit une infrastructure de communication sécurisée et fiable qui assure l’interconnexion des autorités compétentes du SAPR des États membres participant à la plateforme d’échange de formulaires de localisation des passagers.

Le traitement de la plateforme d’échange de formulaires de localisation des passagers par l’ECDC comprend les éléments suivants:

a) la définition de l’ensemble minimal d’exigences techniques permettant la connexion et la déconnexion sans heurts et sécurisées des bases de données nationales de formulaires de localisation des passagers;

b) la garantie de l’interopérabilité sécurisée et automatisée des bases de données nationales de formulaires de localisation des passagers.

2) Afin de s’acquitter de ses obligations en tant que sous-traitant des données de la plateforme d’échange de formulaires de localisation des passagers, l’ECDC engage la Commission comme sous-traitant ultérieur et veille à ce que les mêmes obligations en matière de protection des données que celles énoncées dans la présente décision s’appliquent à la Commission.

L’ECDC peut autoriser la Commission à engager des tiers en tant que sous-traitants ultérieurs.

Si la Commission engage des sous-traitants ultérieurs, l’ECDC:

a) veille à ce que les mêmes obligations en matière de protection des données que celles énoncées dans la présente décision s’appliquent à ces sous-traitants ultérieurs;

b) informe les responsables du traitement de toute modification envisagée concernant l’ajout ou le remplacement d’autres sous-traitants ultérieurs, donnant ainsi aux responsables du traitement la possibilité de s’opposer à la majorité simple aux modifications de cette nature.

3) L’ECDC:

a) met en place et garantit une infrastructure de communication sécurisée et fiable qui assure l’interconnexion des autorités compétentes du SAPR des États membres participant à la plateforme d’échange de formulaires de localisation des passagers;

b) ne traite les données des formulaires de localisation des passagers et les données épidémiologiques supplémentaires que sur instruction documentée des responsables du traitement, à moins qu’il ne soit tenu d’y procéder en vertu du droit de l’Union; le cas échéant, l’ECDC informe les responsables du traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit la communication d’une telle information pour des motifs importants d’intérêt public;

c) met en place un plan de sécurité, un plan de continuité des activités et un plan de reprise des activités;

d) prend les mesures nécessaires pour préserver l’intégrité des données des formulaires de localisation des passagers et des données épidémiologiques supplémentaires traitées;

e) prend toutes les mesures de sécurité à la pointe de la technique nécessaires sur les plans organisationnel, physique et électronique pour maintenir la plateforme d’échange de formulaires de localisation des passagers; à cette fin, l’ECDC: i) désigne une entité responsable de la gestion de la sécurité au niveau de la plateforme, communique ses coordonnées aux responsables du traitement et veille à sa disponibilité pour répondre aux menaces pour la sécurité; ii) assume la responsabilité de la sécurité de la plateforme d’échange de formulaires de localisation des passagers; iii) veille à ce que toutes les personnes qui se voient accorder l’accès à la plateforme d’échange de formulaires de localisation des passagers soient soumises à une obligation contractuelle, professionnelle ou statutaire de confidentialité;

f) prend toutes les mesures de sécurité nécessaires pour éviter de compromettre le bon fonctionnement opérationnel de la plateforme d’échange de formulaires de localisation des passagers; à cette fin, l’ECDC met en place des procédures spécifiques relatives au fonctionnement de la plateforme et à la connexion à celle-ci à partir des serveurs d’arrière-plan. Il s’agit notamment: i) d’une procédure d’évaluation des risques, afin de détecter et d’estimer les menaces potentielles pour le système; ii) d’une procédure d’audit et de contrôle destinée: 1) à vérifier la correspondance entre les mesures de sécurité mises en œuvre et la politique de sécurité applicable; 2) à contrôler régulièrement l’intégrité des fichiers système, les paramètres de sécurité et les autorisations accordées; 3) à détecter et à contrôler les atteintes à la sécurité et les intrusions; 4) à appliquer des modifications afin de corriger les failles existantes en matière de sécurité; 5) à permettre, y compris à la demande des responsables du traitement, la réalisation d’audits indépendants, y compris des inspections, et d’examens des mesures de sécurité, et à y contribuer, sous réserve de conditions qui respectent le protocole no 7 du traité sur le fonctionnement de l’Union européenne sur les privilèges et immunités de l’Union européenne (2); iii) d’une modification de la procédure de contrôle afin de documenter et de mesurer l’incidence des modifications avant leur mise en œuvre et de tenir les responsables du traitement informés de toute modification susceptible d’affecter la communication avec leurs infrastructures et/ou la sécurité de celles-ci; iv) d’une procédure de maintenance et de réparation afin de préciser les règles et les conditions à respecter lors de la maintenance et/ou de la réparation des équipements; v) d’une procédure relative aux incidents de sécurité afin de définir le système de signalement et d’escalade, d’informer sans délai les responsables du traitement afin qu’ils notifient les autorités nationales de contrôle de la protection des données de toute violation des données à caractère personnel et de définir une procédure disciplinaire pour traiter les atteintes à la sécurité;

g) prend des mesures de sécurité physiques et/ou électroniques à la pointe de la technique pour les installations hébergeant l’équipement de la plateforme d’échange de formulaires de localisation des passagers ainsi que pour les contrôles d’accès de sécurité et les contrôles d’accès aux données; à cette fin, l’ECDC: i) assure la sécurité physique afin de mettre en place des périmètres de sécurité distincts et de permettre la détection des atteintes; ii) contrôle l’accès aux installations et tient un registre des visiteurs à des fins de suivi; iii) veille à ce que les personnes extérieures auxquelles l’accès est accordé soient accompagnées par du personnel dûment autorisé; iv) veille à ce que des équipements ne puissent être ajoutés, remplacés ou retirés sans autorisation préalable des organismes compétents désignés; v) contrôle l’accès à la plateforme d’échange de formulaires de localisation des passagers depuis les systèmes nationaux de formulaires de localisation des passagers et l’accès depuis la plateforme vers ceux-ci; vi) veille à ce que les personnes qui accèdent à la plateforme d’échange de formulaires de localisation des passagers soient identifiées et authentifiées; vii) réexamine les droits d’autorisation liés à l’accès à la plateforme d’échange de formulaires de localisation des passagers en cas d’atteinte à la sécurité touchant cette infrastructure; viii) met en œuvre des mesures de sécurité d’ordre technique et organisationnel afin d’empêcher l’accès non autorisé aux données des formulaires de localisation des passagers et aux données épidémiologiques; ix) met en œuvre, en tant que de besoin, des mesures visant à empêcher tout accès non autorisé à la plateforme d’échange de formulaires de localisation des passagers depuis le domaine des autorités nationales (par exemple: blocage d’une localisation/d’une adresse IP);

h) prend des mesures pour protéger son domaine, y compris la rupture des connexions, en cas d’écart important par rapport aux principes et concepts de qualité ou de sécurité;

i) maintient un plan de gestion des risques lié à son domaine de compétence;

j) surveille – en temps réel – la performance de tous les éléments de service de la plateforme d’échange de formulaires de localisation des passagers, produit des statistiques régulières et tient des registres;

k) veille à ce que le service soit disponible 24 heures sur 24 et 7 jours sur 7, avec un temps d’arrêt acceptable à des fins de maintenance;

l) fournit un soutien à tous les services de la plateforme d’échange de formulaires de localisation des passagers en anglais, par téléphone, courrier ou portail web, et accepte les appels émanant d’appelants autorisés: les coordonnateurs de la plateforme et leurs services d’assistance respectifs, les responsables de projets et les personnes désignées de l’ECDC;

m) aide les responsables du traitement au moyen de mesures techniques et organisationnelles appropriées, dans la mesure du possible, à s’acquitter de l’obligation qui leur incombe de répondre aux demandes d’exercice des droits de la personne concernée prévus au chapitre III du règlement (UE) 2016/679;

n) soutient les responsables du traitement en fournissant des informations sur la plateforme d’échange de formulaires de localisation des passagers, dans le but de mettre en application les obligations énoncées aux articles 32, 35 et 36 du règlement (UE) 2016/679;

o) veille à ce que les données des formulaires de localisation des passagers et les données épidémiologiques transmises au moyen de la plateforme d’échange de formulaires de localisation des passagers soient inintelligibles pour toute personne non autorisée à y accéder, notamment en appliquant un cryptage renforcé;

p) prend toutes les mesures appropriées pour empêcher que les opérateurs de la plateforme d’échange de formulaires de localisation des passagers disposent d’un accès non autorisé aux données de formulaires de localisation des passagers et aux données épidémiologiques transmises;

q) prend des mesures pour faciliter l’interopérabilité et la communication entre les responsables du traitement désignés de la plateforme d’échange de formulaires de localisation des passagers;

r) tient un registre des activités de traitement effectuées pour le compte des responsables du traitement conformément à l’article 31, paragraphe 2, du règlement (UE) 2018/1725 du Parlement européen et du Conseil.









▼M1

ANNEXE IV

▼B

Liste non exhaustive de systèmes d'alerte et d'information à l'échelle de l'Union européenne devant être progressivement reliés au SAPR

Cette annexe énumère les systèmes d'alerte rapide et d'information existant actuellement à l'échelle de l'Union ou au titre du traité Euratom auxquels il peut être pertinent d'envoyer des alertes et des informations sur des évènements présentant ou susceptibles de présenter une menace transfrontières grave pour la santé:

— système de notification des maladies animales (SNMA) pour l'enregistrement et la documentation des situations liées à des maladies animales infectieuses importantes,

— système transsectoriel d'alerte de la Commission (ARGUS): système d'alerte rapide interne de la Commission permettant le partage d'informations clés en cas d'urgence/crise et la coordination interne entre toutes les directions générales,

— système commun de communication et d'information d'urgence (CECIS) pour la protection civile et les accidents de pollution marine,

— système européen d'échange d'informations en cas d'urgence radiologique (Ecurie) pour la notification de contre-mesures de protection contre les effets d'un accident radiologique ou nucléaire,

— système de notification des accidents majeurs (EMARS) pour faciliter l'échange des enseignements tirés des accidents et des quasi-accidents mettant en cause des substances dangereuses afin d'améliorer la prévention des accidents chimiques et l'atténuation des conséquences potentielles,

— système de notification des interceptions phytosanitaires de l'Union européenne (Europhyt) concernant les interceptions, pour des raisons phytosanitaires, d'envois de végétaux et de produits végétaux importés dans l'Union ou échangés au sein de l'Union,

— système d'alerte rapide concernant le sang et les composants sanguins (RAB) pour l'échange d'informations visant à prévenir ou à contenir des incidents transfrontières liés aux transfusions sanguines,

— système d'alerte rapide concernant les produits non alimentaires dangereux (RAPEX) pour l'échange d'informations sur les produits constituant un risque pour la santé et la sécurité des consommateurs,

— système d'alerte rapide concernant les denrées alimentaires et les aliments pour animaux (RASFF) pour la notification de risques pour la santé humaine découlant de denrées alimentaires ou d'aliments pour animaux,

— plateforme d'alerte rapide concernant les tissus et les cellules (RATC) pour l'échange d'informations et de mesures relatives aux cellules ou tissus humains transférés d'un pays à un autre pour des patients,

— réseau européen d'information sur les drogues et les toxicomanies (Reitox) pour la collecte et la transmission d'informations concernant le phénomène de la drogue en Europe.