02019D1765 — NL — 17.07.2020 — 001.001

Onderstaande tekst dient louter ter informatie en is juridisch niet bindend. De EU-instellingen zijn niet aansprakelijk voor de inhoud. Alleen de besluiten die zijn gepubliceerd in het Publicatieblad van de Europese Unie (te raadplegen in EUR-Lex) zijn authentiek. Deze officiële versies zijn rechtstreeks toegankelijk via de links in dit document

►B UITVOERINGSBESLUIT (EU) 2019/1765 VAN DE COMMISSIE van 22 oktober 2019 tot vaststelling van de voorschriften voor de oprichting, het beheer en de werking van het netwerk van nationale autoriteiten die verantwoordelijk zijn voor e-gezondheid, en tot intrekking van Uitvoeringsbesluit 2011/890/EU (kennisgeving geschied onder nummer C(2019) 7460) (Voor de EER relevante tekst) (PB L 270 van 24.10.2019, blz. 83)

Gewijzigd bij:









▼B

UITVOERINGSBESLUIT (EU) 2019/1765 VAN DE COMMISSIE

van 22 oktober 2019

tot vaststelling van de voorschriften voor de oprichting, het beheer en de werking van het netwerk van nationale autoriteiten die verantwoordelijk zijn voor e-gezondheid, en tot intrekking van Uitvoeringsbesluit 2011/890/EU

(kennisgeving geschied onder nummer C(2019) 7460)

(Voor de EER relevante tekst)







Artikel 1

Onderwerp

In dit besluit worden de nodige voorschriften vastgesteld voor de oprichting, het beheer en de werking van het e-gezondheidsnetwerk van nationale autoriteiten die verantwoordelijk zijn voor e-gezondheid, als bedoeld in artikel 14 van Richtlijn 2011/24/EU.

Artikel 2

Definities

1. Voor de toepassing van dit besluit wordt verstaan onder:

a) “e-gezondheidsnetwerk”: het vrijwillig netwerk waarin door de lidstaten aangewezen nationale autoriteiten die verantwoordelijk zijn voor e-gezondheid met elkaar worden verbonden en dat de in artikel 14 van Richtlijn 2011/24/EU vastgestelde doelstellingen nastreeft;

b) “nationale contactpunten voor e-gezondheid”: organisatorische en technische kanalen voor de verlening van grensoverschrijdende e-gezondheidsdiensten die onder de verantwoordelijkheid van de lidstaten vallen;

c) “grensoverschrijdende e-gezondheidsinformatiediensten”: bestaande diensten die worden verwerkt via nationale contactpunten voor e-gezondheid en via een centraal dienstenplatform dat door de Commissie is ontwikkeld ten behoeve van grensoverschrijdende gezondheidszorg;

d) “digitale diensteninfrastructuur voor e-gezondheid voor grensoverschrijdende e-gezondheidsinformatiediensten”: de infrastructuur voor de verlening van grensoverschrijdende informatiediensten inzake e-gezondheid via de nationale contactpunten voor e-gezondheid en het Europees centraal dienstenplatform. Deze infrastructuur omvat zowel generieke diensten zoals gedefinieerd in artikel 2, lid 2, onder e), van Verordening (EU) nr. 283/2014, die door de lidstaten zijn ontwikkeld, en een centraal dienstenplatform, zoals gedefinieerd in artikel 2, lid 2, onder d), van die verordening, dat door de Commissie is ontwikkeld;

e) “andere gedeelde Europese e-gezondheidsdiensten”: digitale diensten die kunnen worden ontwikkeld in het kader van het e-gezondheidsnetwerk en die tussen de lidstaten worden gedeeld;

f) “governancemodel”: een reeks voorschriften voor de aanwijzing van instanties die deelnemen aan de besluitvormingsprocessen met betrekking tot de digitale diensteninfrastructuur voor e-gezondheid voor grensoverschrijdende e-gezondheidsinformatiediensten of andere gedeelde Europese e-gezondheidsdiensten die in het kader van het e-gezondheidsnetwerk zijn ontwikkeld, en voor de beschrijving van deze processen;

▼M1

g) “applicatiegebruiker”: een persoon die in het bezit is van een slim apparaat en die een goedgekeurde mobiele applicatie voor het traceren en waarschuwen van contacten heeft gedownload en deze uitvoert;

h) “contacttracering” of “traceren van contacten”: maatregelen om personen te traceren die zijn blootgesteld aan een bron van een ernstige grensoverschrijdende bedreiging van de gezondheid in de zin van artikel 3, onder c), van Besluit nr. 1082/2013/EU van het Europees Parlement en de Raad ( 1 );

i) “nationale mobiele applicatie voor het traceren en waarschuwen van contacten”: een op nationaal niveau goedgekeurde softwareapplicatie die draait op slimme apparaten, met name smartphones, die gewoonlijk zijn ontworpen voor een brede en gerichte interactie met internetbronnen, en die nabijheidsgegevens en andere contextuele informatie uit de vele sensoren in de slim apparaten verwerkt met het oog op het traceren van contacten met personen die besmet zijn met SARS‐CoV‐2 en het waarschuwen van personen die mogelijk aan SARS‐CoV‐2 zijn blootgesteld. Deze mobiele applicaties kunnen de aanwezigheid van andere apparaten detecteren met behulp van bluetooth en informatie uitwisselen met backendservers via het internet;

j) “federatieve gateway”: een netwerkgateway die door de Commissie wordt beheerd door middel van een beveiligd IT-instrument dat een minimale verzameling persoonsgegevens ontvangt, opslaat en beschikbaar stelt tussen de backendservers van de lidstaten, met als doel de interoperabiliteit van de nationale mobiele applicaties voor het traceren en waarschuwen van contacten te waarborgen;

k) “sleutel”: een unieke kortstondige identificatiecode die gerelateerd is aan een applicatiegebruiker die meldt met SARS‐CoV‐2 te zijn besmet of die mogelijk aan SARS‐CoV‐2 is blootgesteld;

l) “verificatie van de besmetting”: de methode die is toegepast om een besmetting met SARS‐CoV‐2 te bevestigen, d.w.z. melding door de applicatiegebruiker zelf of bevestiging door een nationale gezondheidsautoriteit of een laboratoriumtest;

m) “relevante landen”: de lidstaat of lidstaten waar een applicatiegebruiker zich in de laatste 14 dagen vóór de datum van het uploaden van de sleutels heeft bevonden, waar deze de goedgekeurde nationale mobiele applicatie voor het traceren en waarschuwen van contacten heeft gedownload, en/of waar deze heeft gereisd;

n) “land van oorsprong van de sleutels”: de lidstaat waar de backendserver die de sleutels heeft geüpload naar de federatieve gateway, zich bevindt;

o) “loggegevens”: een automatische registratie van een activiteit in verband met de uitwisseling van en toegang tot gegevens die via de federatieve gateway zijn verwerkt, waaruit met name het soort verwerkingsactiviteit, de datum en het tijdstip van de verwerkingsactiviteit en de identificatiecode van de persoon die de gegevens verwerkt, blijken.

▼B

2. De definities in de punten 1, 2, 7 en 8 van artikel 4 van Verordening (EU) 2016/679 zijn dienovereenkomstig van toepassing.

Artikel 3

Lidmaatschap van het e-gezondheidsnetwerk

1. Leden van het e-gezondheidsnetwerk zijn de autoriteiten van de lidstaten die verantwoordelijk zijn voor e-gezondheid, aangewezen door de lidstaten die deelnemen aan het e-gezondheidsnetwerk.

2. Lidstaten die wensen deel te nemen aan het e-gezondheidsnetwerk, stellen de Commissie schriftelijk in kennis van:

a) het besluit om deel te nemen aan het e-gezondheidsnetwerk;

b) de voor e-gezondheid verantwoordelijke nationale autoriteit die lid wordt van het e-gezondheidsnetwerk, alsmede de naam van de vertegenwoordiger en die van zijn/haar plaatsvervanger.

3. De leden stellen de Commissie schriftelijk in kennis van:

a) hun besluit om deel te nemen aan het e-gezondheidsnetwerk;

b) eventuele wijzigingen in de in lid 2, onder b), bedoelde informatie.

4. De Commissie maakt de lijst van de aan het e-gezondheidsnetwerk deelnemende leden publiek toegankelijk.

Artikel 4

Activiteiten van het e-gezondheidsnetwerk

1. Ter verwezenlijking van de doelstelling als bedoeld in artikel 14, lid 2, onder a), van Richtlijn 2011/24/EU kan het e-gezondheidsnetwerk met name:

a) de interoperabiliteit van de nationale systemen voor informatie- en communicatietechnologie en de grensoverschrijdende overdraagbaarheid van elektronische gezondheidsgegevens bij grensoverschrijdende gezondheidszorg bevorderen;

b) de lidstaten richtsnoeren verstrekken, in samenwerking met andere bevoegde toezichthoudende autoriteiten, in verband met het delen van gezondheidsgegevens tussen de lidstaten en het empoweren van burgers om toegang te krijgen tot hun eigen gezondheidsgegevens en deze te delen;

c) de lidstaten richtsnoeren verstrekken en de uitwisseling bevorderen van goede praktijken met betrekking tot de ontwikkeling van verschillende digitale gezondheidsdiensten, zoals telegeneeskunde, mobiele gezondheidszorg of nieuwe technologieën op het gebied van big data en kunstmatige intelligentie, rekening houdend met lopende acties op EU-niveau;

d) de lidstaten richtsnoeren verstrekken met betrekking tot de ondersteuning van gezondheidsbevordering, ziektepreventie en een betere verstrekking van gezondheidszorg door beter gebruik van gezondheidsgegevens en door de digitale vaardigheden van patiënten en gezondheidswerkers te verbeteren;

e) de lidstaten richtsnoeren verstrekken en vrijwillige uitwisseling van beste praktijken inzake investeringen in digitale infrastructuur bevorderen;

f) in samenwerking met andere relevante instanties en belanghebbenden richtsnoeren verstrekken aan de lidstaten over de noodzakelijke use cases voor klinische interoperabiliteit en de instrumenten om deze te verwezenlijken;

g) de leden richtsnoeren verstrekken over de beveiliging van de digitale diensteninfrastructuur voor e-gezondheid voor grensoverschrijdende e-gezondheidsinformatiediensten of andere gedeelde Europese e-gezondheidsdiensten die zijn ontwikkeld in het kader van het e-gezondheidsnetwerk, rekening houdend met op het niveau van de Unie ontwikkelde wetgeving en documenten, met name op het gebied van veiligheid, alsmede aanbevelingen doen op het gebied van cyberbeveiliging, in nauwe samenwerking met de samenwerkingsroep voor netwerk- en informatiebeveiliging, het Agentschap van de Europese Unie voor netwerk- en informatiebeveiliging en de nationale autoriteiten, waar nodig;

▼M1

h) de lidstaten richtsnoeren vertrekken over de grensoverschrijdende uitwisseling van persoonsgegevens via de federatieve gateway tussen nationale mobiele applicaties voor het traceren en waarschuwen van contacten.

▼B

2. Bij het opstellen van de richtsnoeren inzake doeltreffende methoden om het gebruik van medische informatie voor de volksgezondheid en het onderzoek als bedoeld in artikel 14, lid 2, onder b), ii), van Richtlijn 2011/24/EU mogelijk te maken, houdt het e-gezondheidsnetwerk rekening met de door het Europees Comité voor gegevensbescherming vastgestelde richtsnoeren en pleegt het, waar passend, overleg met dat comité. Deze richtsnoeren kunnen ook betrekking hebben op informatie die via de digitale diensteninfrastructuur voor e-gezondheid voor grensoverschrijdende e-gezondheidsinformatiediensten of andere gedeelde Europese e-gezondheidsdiensten wordt uitgewisseld.

Artikel 5

Werking van het e-gezondheidsnetwerk

1. Het e-gezondheidsnetwerk stelt zijn eigen reglement van orde vast bij gewone meerderheid van zijn leden.

2. Het e-gezondheidsnetwerk keurt een meerjarig werkprogramma en een evaluatie-instrument voor de uitvoering van dit programma goed.

3. Met het oog op de uitvoering van zijn taken kan het e-gezondheidsnetwerk permanente subgroepen oprichten voor specifieke taken, met name in verband met de digitale diensteninfrastructuur voor e-gezondheid voor grensoverschrijdende e-gezondheidsinformatiediensten of de andere gedeelde Europese e-gezondheidsdiensten die in het kader van het e-gezondheidsnetwerk zijn ontwikkeld.

4. Het e-gezondheidsnetwerk kan ook tijdelijke subgroepen oprichten, onder meer met deskundigen om specifieke vragen te onderzoeken op basis van een taakomschrijving die door het e-gezondheidsnetwerk zelf is vastgesteld. Deze subgroepen worden ontbonden zodra zij hun mandaat hebben vervuld.

5. Wanneer leden van het e-gezondheidsnetwerk besluiten hun samenwerking te intensifiëren op een aantal gebieden die onder de taken van het e-gezondheidsnetwerk vallen, moeten zij overeenkomst bereiken over en zich verbinden aan de regels van de geïntensifieerde samenwerking.

6. Ter verwezenlijking van zijn doelstellingen werkt het e-gezondheidsnetwerk nauw samen met de gemeenschappelijke acties ter ondersteuning van de activiteiten van het e-gezondheidsnetwerk, indien dergelijke gezamenlijke acties bestaan, met belanghebbenden of andere betrokken instanties of ondersteunende mechanismen, en houdt het rekening met de in het kader van deze activiteiten behaalde resultaten.

7. Het e-gezondheidsnetwerk werkt samen met de Commissie de governancemodellen uit van de digitale diensteninfrastructuur voor e-gezondheid voor grensoverschrijdende e-gezondheidsinformatiediensten en neemt deel aan die governance door:

i. overeenstemming te bereiken over de prioriteiten van de digitale diensteninfrastructuur voor e-gezondheid en toe te zien op de werking ervan;

ii. richtsnoeren en vereisten voor de werking op te stellen, met inbegrip van de selectie van de normen die worden gebruikt voor de digitale diensteninfrastructuur voor e-gezondheid voor grensoverschrijdende e-gezondheidsinformatiediensten;

iii. overeenstemming te bereiken over de vraag of de leden van het e-gezondheidsnetwerk toestemming krijgen om middels de digitale diensteninfrastructuur voor e-gezondheid voor grensoverschrijdende e-gezondheidsinformatiediensten via hun nationale contactpunten voor e-gezondheid de uitwisseling van elektronische gezondheidsgegevens op te zetten en voort te zetten, op basis van hun naleving van de door het e-gezondheidsnetwerk vastgestelde vereisten, zoals geëvalueerd in door de Commissie verstrekte tests en uitgevoerde audits;

iv. het jaarlijkse werkplan voor de digitale diensteninfrastructuur voor e-gezondheid voor grensoverschrijdende e-gezondheidsinformatiediensten goed te keuren.

8. Het e-gezondheidsnetwerk kan samen met de Commissie de governancemodellen van andere gedeelde Europese e-gezondheidsdiensten uitwerken die in het kader van het e-gezondheidsnetwerk zijn ontwikkeld en aan de governance ervan deelnemen. Het netwerk kan ook, samen met de Commissie, de prioriteiten vaststellen en richtsnoeren opstellen voor de werking van dergelijke gedeelde Europese e-gezondheidsdiensten.

9. In het reglement van orde kan worden overwogen dat andere landen dan de lidstaten, mits zij Richtlijn 2011/24/EU toepassen, als waarnemers aan de vergaderingen van het e-gezondheidsnetwerk kunnen deelnemen.

10. De leden van het e-gezondheidsnetwerk en hun vertegenwoordigers, alsmede gastdeskundigen en waarnemers, voldoen aan de bij artikel 339 van het Verdrag vastgestelde verplichtingen inzake het beroepsgeheim, alsook aan de veiligheidsvoorschriften van de Commissie betreffende de bescherming van gerubriceerde EU-informatie die zijn neergelegd in Besluit (EU, Euratom) 2015/444 van de Commissie ( 2 ). Indien zij deze verplichtingen niet nakomen, kan de voorzitter van het e-gezondheidsnetwerk alle passende maatregelen nemen waarin het reglement van orde voorziet.

Artikel 6

Relatie tussen het e-gezondheidsnetwerk en de Commissie

1. De Commissie:

a) woont de vergaderingen van het e-gezondheidsnetwerk bij en zit deze samen met de vertegenwoordiger van de leden voor;

b) werkt samen met en verleent steun aan het e-gezondheidsnetwerk in verband met zijn activiteiten;

c) verzorgt het secretariaat van het e-gezondheidsnetwerk;

d) ontwikkelt, implementeert en onderhoudt passende technische en organisatorische maatregelen met betrekking tot de centrale diensten van de digitale diensteninfrastructuur voor e-gezondheid voor grensoverschrijdende e-gezondheidsinformatiediensten;

e) ondersteunt het e-gezondheidsnetwerk bij het bereiken van overeenstemming over de technische en organisatorische naleving door de nationale contactpunten voor e-gezondheid van de vereisten voor de grensoverschrijdende uitwisseling van gezondheidsgegevens door het verstrekken en uitvoeren van de nodige tests en audits. De auditoren van de Commissie kunnen worden bijgestaan door deskundigen uit de lidstaten;

▼M1

f) ontwikkelt, implementeert en onderhoudt passende technische en organisatorische maatregelen met betrekking tot de beveiliging van de doorgifte en hosting van persoonsgegevens in de federatieve gateway, teneinde de interoperabiliteit van nationale mobiele applicaties voor het traceren en waarschuwen van contacten te waarborgen;

g) ondersteunt het e‐gezondheidsnetwerk bij het bereiken van overeenstemming over de technische en organisatorische naleving door de nationale autoriteiten van de vereisten voor de grensoverschrijdende uitwisseling van persoonsgegevens in de federatieve gateway door het verstrekken en uitvoeren van de nodige tests en audits. De auditoren van de Commissie kunnen worden bijgestaan door deskundigen uit de lidstaten.

▼B

2. De Commissie mag de vergaderingen van de subgroepen van het e-gezondheidsnetwerk bijwonen.

3. De Commissie mag het e-gezondheidsnetwerk raadplegen over kwesties met betrekking tot e-gezondheidszorg op het niveau van de Unie en de uitwisseling van beste praktijken op het gebied van e-gezondheid.

4. De Commissie maakt informatie over activiteiten van het e-gezondheidsnetwerk publiek toegankelijk.

Artikel 7

▼M1

Bescherming van persoonsgegevens die worden verwerkt via de digitale diensteninfrastructuur voor e‐gezondheid

▼B

1. De lidstaten, vertegenwoordigd door de bevoegde nationale autoriteiten of andere aangewezen instanties, moeten worden beschouwd als verwerkingsverantwoordelijken van persoonsgegevens die zij via de digitale diensteninfrastructuur voor e-gezondheid voor grensoverschrijdende e-gezondheidsinformatiediensten verwerken en moeten op duidelijke en transparante wijze de verantwoordelijkheden tussen de verwerkingsverantwoordelijken verdelen.

2. De Commissie wordt beschouwd als gegevensverwerker voor de persoonsgegevens van patiënten die via de digitale diensteninfrastructuur voor e-gezondheid voor grensoverschrijdende e-gezondheidsinformatiediensten worden verwerkt. In haar hoedanigheid van verwerker beheert de Commissie de centrale diensten van de digitale diensteninfrastructuur voor e-gezondheid voor grensoverschrijdende e-gezondheidsinformatiediensten en voldoet zij aan de in ►M1 bijlage I ◄ bij dit besluit vastgestelde verplichtingen van een verwerker. De Commissie heeft geen toegang tot de persoonsgegevens van patiënten die via de digitale diensteninfrastructuur voor e-gezondheid voor grensoverschrijdende e-gezondheidsinformatiediensten worden verwerkt.

3. De Commissie wordt beschouwd als verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens die nodig zijn voor het verlenen en beheren van toegangsrechten tot de centrale diensten van de digitale diensteninfrastructuur voor e-gezondheid voor grensoverschrijdende e-gezondheidsinformatiediensten. Deze gegevens zijn contactgegevens van gebruikers, waaronder hun naam, achternaam en e-mailadres en hun hoedanigheid.

▼M1

Artikel 7 bis

Grensoverschrijdende uitwisseling van gegevens tussen nationale mobiele applicaties voor het traceren en waarschuwen van contacten via de federatieve gateway

1. Wanneer persoonsgegevens via de federatieve gateway worden uitgewisseld, worden deze uitsluitend verwerkt om de interoperabiliteit van nationale mobiele applicaties voor het traceren en waarschuwen van contacten binnen de federatieve gateway en de continuïteit van de contacttracering in een grensoverschrijdende context te bevorderen.

2. De in lid 3 bedoelde persoonsgegevens worden in een gepseudonimiseerd formaat aan de federatieve gateway doorgegeven.

3. De gepseudonimiseerde persoonsgegevens die uitgewisseld worden via en verwerkt worden in de federatieve gateway omvatten uitsluitend de volgende informatie:

a) de sleutels die tot 14 dagen vóór de datum van het uploaden van de sleutels zijn doorgegeven door de nationale mobiele applicaties voor het traceren en waarschuwen van contacten;

b) loggegevens inzake de sleutels, overeenkomstig het in het land van oorsprong van de sleutels toegepaste protocol voor de technische specificaties;

c) de verificatie van de besmetting;

d) de relevante landen en het land van oorsprong van de sleutels.

4. De aangewezen nationale autoriteiten of officiële instanties die persoonsgegevens verwerken in de federatieve gateway zijn gezamenlijke verwerkingsverantwoordelijken met betrekking tot de in de federatieve gateway verwerkte gegevens. De respectieve verantwoordelijkheden van de gezamenlijke verwerkingsverantwoordelijken worden overeenkomstig bijlage II toegewezen. Elke lidstaat die wenst deel te nemen aan de grensoverschrijdende uitwisseling van gegevens tussen nationale mobiele applicaties voor het traceren en waarschuwen van contacten, stelt de Commissie vooraf van dit voornemen in kennis en geeft aan welke nationale autoriteit of officiële instantie als verwerkingsverantwoordelijke is aangewezen.

5. De Commissie is de verwerker van de persoonsgegevens die binnen de federatieve gateway worden verwerkt. In haar hoedanigheid van verwerker draagt de Commissie zorg voor de beveiliging van de verwerking, met inbegrip van de doorgifte en hosting, van persoonsgegevens in de federatieve gateway, en voldoet zij aan de in bijlage III vastgestelde verplichtingen van een verwerker.

6. De doeltreffendheid van de technische en organisatorische maatregelen om de beveiliging van de verwerking van persoonsgegevens binnen de federatieve gateway te waarborgen, wordt regelmatig getest, beoordeeld en geëvalueerd door de Commissie en door de nationale autoriteiten die toegang hebben tot de federatieve gateway.

7. Onverminderd het besluit van de gezamenlijke verwerkingsverantwoordelijken om de verwerking in de federatieve gateway te beëindigen, wordt de federatieve gateway uiterlijk 14 dagen nadat alle verbonden nationale mobiele applicaties voor het traceren en waarschuwen van contacten zijn opgehouden sleutels via de federatieve gateway door te geven, gedeactiveerd.

▼B

Artikel 8

Uitgaven

1. De deelnemers aan de activiteiten van het e-gezondheidsnetwerk worden door de Commissie voor hun diensten niet vergoed.

2. De reis- en verblijfkosten van de deelnemers aan de activiteiten van het e-gezondheidsnetwerk worden door de Commissie vergoed overeenkomstig de geldende bepalingen van de Commissie inzake de vergoeding van de kosten van personen van buiten de Commissie die worden uitgenodigd om als deskundige deel te nemen aan vergaderingen. Deze kosten worden vergoed binnen de grenzen van de beschikbare kredieten die volgens de jaarlijkse procedure voor de toewijzing van middelen worden toegekend.

Artikel 9

Intrekking

Uitvoeringsbesluit 2011/890/EU wordt ingetrokken. Verwijzingen naar het ingetrokken besluit gelden als verwijzingen naar dit besluit.

Artikel 10

Adressaten

Dit besluit is gericht tot de lidstaten.









▼M1

BIJLAGE I

▼B

Verantwoordelijkheden van de commissie als gegevensverwerker voor de digitale diensteninfrastructuur voor e-gezondheid voor grensoverschrijdende e-gezondheidsinformatiediensten

De Commissie:

1. zet een veilige en betrouwbare communicatie-infrastructuur op die de netwerken van de leden van het e-gezondheidsnetwerk die betrokken zijn bij de digitale diensteninfrastructuur voor e-gezondheid voor grensoverschrijdende e-gezondheidsinformatiediensten onderling verbindt (“centrale beveiligde communicatie-infrastructuur”), en waarborgt deze. Om aan haar verplichtingen te voldoen, kan de Commissie een beroep doen op derden. De Commissie zorgt ervoor dat dezelfde verplichtingen inzake gegevensbescherming als uiteengezet in dit besluit van toepassing zijn op deze derden;

2. configureert een deel van de centrale beveiligde communicatie-infrastructuur dusdanig dat de nationale contactpunten voor e-gezondheid op een veilige, betrouwbare en efficiënte manier informatie kunnen uitwisselen;

3. verwerkt de persoonsgegevens op basis van schriftelijke instructies van de verwerkingsverantwoordelijken;

4. neemt alle organisatorische, fysieke en logische veiligheidsmaatregelen om de centrale beveiligde communicatie-infrastructuur in stand te houden. Hiertoe zal de Commissie: a) een verantwoordelijke entiteit aanwijzen voor het beveiligingsbeheer op het niveau van de centrale beveiligde communicatie-infrastructuur, de verwerkingsverantwoordelijken in kennis stellen van de contactgegevens van de entiteit en ervoor zorgen dat deze beschikbaar is om te reageren op bedreigingen voor de veiligheid; b) de verantwoordelijkheid voor de beveiliging van de centrale beveiligde communicatie-infrastructuur op zich nemen; c) ervoor zorgen dat alle personen aan wie toegang tot de centrale beveiligde communicatie-infrastructuur is verleend, onderworpen zijn aan een contractuele, professionele of wettelijke verplichting tot vertrouwelijkheid; d) ervoor zorgen dat het personeel dat toegang heeft tot gerubriceerde informatie voldoet aan de overeenkomstige criteria inzake veiligheidsmachtiging en vertrouwelijkheid;

5. neemt alle nodige veiligheidsmaatregelen om te voorkomen dat de goede werking van het domein van de anderen in het gedrang komt. Daartoe stelt de Commissie de specifieke procedures voor de verbinding met de centrale beveiligde communicatie-infrastructuur in. Deze procedures omvatten: a) een risicobeoordelingsprocedure om potentiële bedreigingen van het systeem te identificeren en in te schatten; b) een audit- en evaluatieprocedure om: i) de overeenstemming tussen de uitgevoerde beveiligingsmaatregelen en het beveiligingsbeleid te controleren; ii) regelmatig de integriteit van de systeembestanden, de beveiligingsparameters en de verleende machtigingen te controleren; iii) toezicht te houden teneinde beveiligingsinbreuken te identificeren; iv) wijzigingen door te voeren om bestaande zwakke punten in de beveiliging te remediëren, en v) de voorwaarden vast te stellen voor het toestaan, onder meer op verzoek van verwerkingsverantwoordelijken, van en het leveren van een bijdrage aan de uitvoering van onafhankelijke audits, met inbegrip van inspecties, en evaluaties van de veiligheidsmaatregelen; c) een procedure voor wijzigingsbeheer om de gevolgen van een wijziging vóór de uitvoering ervan te documenteren en te meten, en de nationale contactpunten voor e-gezondheid op de hoogte houden van wijzigingen die van invloed kunnen zijn op de communicatie met en/of de beveiliging van de andere nationale infrastructuren; d) een onderhouds- en reparatieprocedure om de regels en voorwaarden voor het onderhoud en/of het repareren van apparatuur te specificeren; e) een procedure voor beveiligingsincidenten om het meldings- en escalatiesysteem vast te stellen, de verantwoordelijke nationale overheid en de Europese Toezichthouder voor gegevensbescherming onverwijld in kennis te stellen van eventuele inbreuken op de beveiliging en een disciplinair proces vast te stellen om inbreuken op de beveiliging aan te pakken;

6. neemt materiële en/of logische veiligheidsmaatregelen voor de installaties waar de apparatuur van de centrale beveiligde communicatie-infrastructuur is ondergebracht en voor controles met betrekking tot de toegang tot logische gegevens en beveiliging. Hiertoe zal de Commissie: a) fysieke beveiliging handhaven om afzonderlijke veiligheidszones op te stellen en de opsporing van inbreuken mogelijk te maken; b) de toegang tot de faciliteiten controleren en een register van bezoekers bijhouden met het oog op de traceerbaarheid; c) ervoor zorgen dat externe personen die toegang krijgen tot gebouwen worden begeleid door naar behoren gemachtigd personeel van haar respectieve afdeling; d) ervoor zorgen dat apparatuur niet kan worden toegevoegd, vervangen of verwijderd zonder voorafgaande machtiging van de aangewezen verantwoordelijke instanties; e) de toegang van en tot andere met de centrale beveiligde communicatie-infrastructuur verbonden netwerken controleren; f) ervoor zorgen dat personen die toegang hebben tot de centrale beveiligde communicatie-infrastructuur geïdentificeerd en geauthenticeerd worden; g) de machtiging met betrekking tot de toegang tot de centrale beveiligde communicatie-infrastructuur herzien in geval van een inbreuk op de beveiliging die gevolgen heeft voor deze infrastructuur; h) de integriteit van de middels de centrale beveiligde communicatie-infrastructuur verstrekte informatie bewaren; i) technische en organisatorische veiligheidsmaatregelen ten uitvoer leggen om ongeoorloofde toegang tot persoonsgegevens te voorkomen; j) waar nodig maatregelen ten uitvoer leggen om ongeoorloofde toegang tot de centrale beveiligde communicatie-infrastructuur vanaf het domein van de nationale contactpunten voor e-gezondheid te blokkeren (dat wil zeggen: een locatie/IP-adres blokkeren);

7. onderneemt stappen om haar domein te beschermen, met inbegrip van het verbreken van verbindingen, in geval van een aanzienlijke afwijking van de kwaliteits- of veiligheidsbeginselen en concepten;

8. houdt een risicobeheerplan in stand dat betrekking heeft op het gebied waarvoor zij verantwoordelijk is;

9. monitort — in real time — de prestaties van alle dienstencomponenten van de diensten van haar centrale beveiligde communicatie-infrastructuur, produceert regelmatig statistieken en registreert gegevens;

10. ondersteunt alle diensten van de centrale beveiligde communicatie-infrastructuur 24/7 in het Engels via telefoon, mail of webportal en accepteert oproepen van geautoriseerde oproepers: coördinatoren van de centrale beveiligde communicatie-infrastructuur en hun respectieve helpdesks, projectmedewerkers en aangewezen personen van de Commissie;

11. de verwerkingsverantwoordelijken ondersteunen door informatie te verstrekken over de centrale beveiligde communicatie-infrastructuur van de digitale diensteninfrastructuur voor e-gezondheid voor grensoverschrijdende e-gezondheidsinformatiediensten, teneinde de verplichtingen uit hoofde van de artikelen 35 en 36 van Verordening (EU) 2016/679 na te komen;

12. zorgt ervoor dat de gegevens die binnen de centrale beveiligde communicatie-infrastructuur worden verstuurd, versleuteld zijn;

13. neemt alle nodige maatregelen om te voorkomen dat de gebruikers van de centrale beveiligde communicatie-infrastructuur ongeoorloofd toegang hebben tot verstuurde gegevens;

14. neemt maatregelen om de interoperabiliteit en de communicatie tussen de nationale bevoegde overheden die zijn aangewezen voor de centrale beveiligde communicatie-infrastructuur te bevorderen.

▼M1









BIJLAGE II

VERANTWOORDELIJKHEDEN VAN DE DEELNEMENDE LIDSTATEN ALS GEZAMENLIJKE VERWERKINGSVERANTWOORDELIJKEN VOOR DE FEDERATIEVE GATEWAY VOOR GRENSOVERSCHRIJDENDE VERWERKING TUSSEN NATIONALE MOBIELE APPLICATIES VOOR HET TRACEREN EN WAARSCHUWEN VAN CONTACTEN

AFDELING 1

Onderafdeling 1

Verdeling van verantwoordelijkheden

1) De gezamenlijke verwerkingsverantwoordelijken verwerken persoonsgegevens via de federatieve gateway overeenkomstig de door het e‐gezondheidsnetwerk vastgestelde technische specificaties ( 3 ).

2) Elke verwerkingsverantwoordelijke is verantwoordelijk voor de verwerking van persoonsgegevens in de federatieve gateway overeenkomstig de algemene verordening gegevensbescherming en Richtlijn 2002/58/EG.

3) Elke verwerkingsverantwoordelijke richt een contactpunt met een functionele mailbox in voor de communicatie tussen de gezamenlijke verwerkingsverantwoordelijken en tussen de gezamenlijke verwerkingsverantwoordelijken en de verwerker.

4) Een overeenkomstig artikel 5, lid 4, door het e‐gezondheidsnetwerk opgerichte tijdelijke subgroep wordt belast met het onderzoeken van kwesties die zich met betrekking tot de interoperabiliteit van nationale mobiele applicaties voor het traceren en waarschuwen van contacten en tot de gezamenlijke verantwoordelijkheid voor de daarmee samenhangende verwerking van persoonsgegevens aandienen, en met het faciliteren van de opstelling van gecoördineerde instructies aan de Commissie als verwerker. Onder andere kunnen de verwerkingsverantwoordelijken, in het kader van de tijdelijke subgroep, werken aan een gemeenschappelijke aanpak van de bewaring van gegevens op hun nationale backendservers, rekening houdend met de bewaartermijn die in de federatieve gateway is vastgelegd.

5) Instructies aan de verwerker worden door een van de contactpunten van de gezamenlijke verwerkingsverantwoordelijken toegezonden, in overeenstemming met de andere gezamenlijke verwerkingsverantwoordelijken van de bovengenoemde subgroep.

6) Alleen de daartoe door de aangewezen nationale autoriteiten of officiële instanties gemachtigde personen hebben toegang tot de persoonsgegevens van gebruikers die in de federatieve gateway worden uitgewisseld.

7) Elke aangewezen nationale autoriteit of officiële instantie houdt op een gezamenlijke verwerkingsverantwoordelijke te zijn met ingang van de datum waarop haar deelname aan de federatieve gateway wordt ingetrokken. Zij blijft echter verantwoordelijk voor de voorafgaand aan de terugtrekking verrichte verwerking in de federatieve gateway.

Onderafdeling 2

Verantwoordelijkheden en rollen voor het behandelen van verzoeken en voor het informeren van betrokkenen

1) Overeenkomstig de artikelen 13 en 14 van de algemene verordening gegevensbescherming verstrekt elke verwerkingsverantwoordelijke de gebruikers van zijn nationale mobiele applicaties voor het traceren en waarschuwen van contacten (“de betrokkenen”) informatie over de verwerking van hun persoonsgegevens in de federatieve gateway met het oog op de grensoverschrijdende interoperabiliteit van de nationale mobiele applicaties voor het traceren en waarschuwen van contacten.

2) Elke verwerkingsverantwoordelijke treedt op als contactpunt voor de gebruikers van zijn nationale mobiele applicaties voor het traceren en waarschuwen van contacten en behandelt de verzoeken tot uitoefening van de rechten van betrokkenen overeenkomstig de algemene verordening gegevensbescherming, zoals die door die gebruikers of hun vertegenwoordigers worden ingediend. Elke verwerkingsverantwoordelijke wijst een specifiek contactpunt aan voor de verzoeken van betrokkenen. Indien een gezamenlijke verwerkingsverantwoordelijke een verzoek van een betrokkene ontvangt dat niet onder zijn verantwoordelijkheid valt, stuurt hij het onverwijld door aan de desbetreffende gezamenlijke verwerkingsverantwoordelijke. De gezamenlijke verwerkingsverantwoordelijken verlenen elkaar op verzoek bijstand bij het behandelen van de verzoeken van de betrokkenen en beantwoorden elkaar onverwijld, en uiterlijk binnen 15 dagen na ontvangst van een verzoek om bijstand.

3) Elke verwerkingsverantwoordelijke stelt de inhoud van deze bijlage, met inbegrip van de in de punten 1 en 2 vastgestelde regelingen, ter beschikking van de betrokkene.

AFDELING 2

Beheer van beveiligingsincidenten, met inbegrip van inbreuken in verband met persoonsgegevens

1) De gezamenlijke verwerkingsverantwoordelijken verlenen elkaar bijstand bij de identificatie en behandeling van beveiligingsincidenten, met inbegrip van inbreuken in verband met persoonsgegevens, die verband houden met de verwerking in de federatieve gateway.

2) De gezamenlijke verwerkingsverantwoordelijken stellen elkaar met name in kennis van:

a) alle potentiële of feitelijke risico’s voor de beschikbaarheid, de vertrouwelijkheid en/of de integriteit van de persoonsgegevens die in de federatieve gateway worden verwerkt;

b) alle beveiligingsincidenten die verband houden met de verwerking in de federatieve gateway;

c) alle inbreuken in verband met persoonsgegevens, de waarschijnlijke gevolgen van die inbreuken en de beoordeling van het risico voor de rechten en vrijheden van natuurlijke personen, alsmede alle maatregelen die zijn genomen om de inbreuken in verband met persoonsgegevens aan te pakken en het risico voor de rechten en vrijheden van natuurlijke personen te beperken;

d) alle inbreuken op de technische en/of organisatorische waarborgen van de verwerking in de federatieve gateway.

3) De gezamenlijke verwerkingsverantwoordelijken melden, overeenkomstig de artikelen 33 en 34 van Verordening (EU) 2016/679 of na kennisgeving door de Commissie, alle inbreuken in verband met de verwerking in de federatieve gateway aan de Commissie, aan de bevoegde toezichthoudende autoriteiten en, in voorkomend geval, aan de betrokkenen.

AFDELING 3

Gegevensbeschermingseffectbeoordeling

Indien een verwerkingsverantwoordelijke, om te voldoen aan zijn verplichtingen uit hoofde van de artikelen 35 en 36 van de algemene verordening gegevensbescherming, informatie van een andere verwerkingsverantwoordelijke nodig heeft, zendt hij een specifiek verzoek naar de in afdeling 1, onderafdeling 1, punt 3, bedoelde functionele mailbox. De laatstgenoemde zal alles in het werk stellen om deze informatie te verstrekken.









BIJLAGE III

VERANTWOORDELIJKHEDEN VAN DE COMMISSIE ALS VERWERKER VOOR DE FEDERATIEVE GATEWAY VOOR GRENSOVERSCHRIJDENDE VERWERKING TUSSEN NATIONALE MOBIELE APPLICATIES VOOR HET TRACEREN EN WAARSCHUWEN VAN CONTACTEN

De Commissie:

1) zet een beveiligde en betrouwbare communicatie-infrastructuur op die de nationale mobiele applicaties van de aan de federatieve gateway deelnemende lidstaten voor het traceren en waarschuwen van contacten onderling verbindt, en waarborgt deze. Om aan haar verplichtingen als gegevensverwerker voor de federatieve gateway te voldoen, kan de Commissie een beroep doen op derden als subverwerkers. De Commissie stelt de gezamenlijke verwerkingsverantwoordelijken op de hoogte van voorgenomen wijzigingen met betrekking tot de toevoeging of vervanging van andere subverwerkers, zodat de verwerkingsverantwoordelijken in de gelegenheid worden gesteld om gezamenlijk bezwaar te maken tegen dergelijke wijzigingen, zoals vastgesteld in bijlage II, afdeling 1, onderafdeling 1, punt 4. De Commissie zorgt ervoor dat dezelfde verplichtingen inzake gegevensbescherming als uiteengezet in dit besluit van toepassing zijn op deze subverwerkers;

2) verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van de verwerkingsverantwoordelijken, tenzij een Unierechterlijke of lidstaatrechtelijke bepaling haar tot verwerking verplicht; in dat geval stelt de Commissie de verwerkingsverantwoordelijken, voorafgaand aan de verwerking, in kennis van dat wettelijk voorschrift, tenzij die wetgeving kennisgeving van dergelijke informatie om gewichtige redenen van algemeen belang verbiedt;

3) verwerkt de gegevens als volgt: a) authenticatie van nationale backendservers, op basis van nationale backendservercertificaten; b) ontvangst van de in artikel 7 bis, lid 3, van dit uitvoeringsbesluit bedoelde gegevens die door nationale achtergrondservers zijn geüpload door te voorzien in een applicatieprogramma-interface (API) die nationale backendservers in staat stelt de relevante gegevens te uploaden; c) opslag van de gegevens in de federatieve gateway zodra deze van de nationale backendservers zijn ontvangen; d) beschikbaar stellen van de gegevens om door de nationale achtergrondservers te worden gedownload; e) wissen van de gegevens wanneer alle deelnemende backendservers ze hebben gedownload of 14 dagen na ontvangst, indien dat eerder is; f) na de beëindiging van de dienstverlening, wissen van alle resterende gegevens, tenzij opslag van de persoonsgegevens Unierechtelijk of lidstaatrechtelijk verplicht is. De verwerker treft de nodige maatregelen om de integriteit van de verwerkte gegevens te bewaren;

4) neemt alle geavanceerde organisatorische, fysieke en logische beveiligingsmaatregelen om de federatieve gateway in stand te houden. Hiertoe zal de Commissie: a) een verantwoordelijke entiteit aanwijzen voor de federatieve gateway, de verwerkingsverantwoordelijken in kennis stellen van de contactgegevens van de entiteit en ervoor zorgen dat deze beschikbaar is om te reageren op bedreigingen voor de beveiliging; b) de verantwoordelijkheid voor de beveiliging van de federatieve gateway op zich nemen; c) ervoor zorgen dat alle personen aan wie toegang tot de federatieve gateway is verleend, onderworpen zijn aan een contractuele, professionele of wettelijke verplichting tot vertrouwelijkheid;

5) neemt alle nodige veiligheidsmaatregelen om te voorkomen dat de goede werking van nationale backendservers in het gedrang komt. Daartoe voert de Commissie specifieke procedures in met betrekking tot de verbinding van de backendservers naar de federatieve gateway. Deze procedures omvatten: a) een risicobeoordelingsprocedure om potentiële bedreigingen van het systeem te identificeren en in te schatten; b) een audit- en evaluatieprocedure om: i. de overeenstemming tussen de uitgevoerde beveiligingsmaatregelen en het toepasselijke beveiligingsbeleid te controleren; ii. regelmatig de integriteit van de systeembestanden, de beveiligingsparameters en de verleende machtigingen te controleren; iii. toezicht te houden teneinde beveiligingsinbreuken te identificeren; iv. wijzigingen door te voeren om bestaande zwakke punten in de beveiliging te remediëren; v. het mogelijk te maken, onder meer op verzoek van verwerkingsverantwoordelijken, van en het leveren van een bijdrage aan de uitvoering van onafhankelijke audits, met inbegrip van inspecties, en evaluaties van de beveiligingsmaatregelen, onder voorwaarden die in overeenstemming zijn met Protocol (nr. 7) bij het VWEU betreffende de voorrechten en immuniteiten van de Europese Unie ( 4 ); c) wijziging van de beheersprocedure om de gevolgen van een wijziging vóór de uitvoering ervan te documenteren en te meten, en de verwerkingsverantwoordelijken op de hoogte houden van wijzigingen die van invloed kunnen zijn op de communicatie met en/of de beveiliging van hun infrastructuren; d) vaststelling van een onderhouds- en reparatieprocedure om de na te leven regels en voorwaarden voor het onderhoud en/of het repareren van apparatuur te specificeren; e) vaststelling van een procedure voor beveiligingsincidenten om het meldings- en escalatiesysteem vast te stellen, de verwerkingsverantwoordelijken en de Europese Toezichthouder voor gegevensbescherming onverwijld in kennis te stellen van eventuele inbreuken in verband met persoonsgegevens en een disciplinair proces vast te stellen om inbreuken op de beveiliging aan te pakken;

6) neemt geavanceerde materiële en/of logische veiligheidsmaatregelen voor de installaties waar de apparatuur van de federatieve gateway is ondergebracht en voor controles met betrekking tot de toegang tot logische gegevens en beveiliging. Hiertoe zal de Commissie: a) fysieke beveiliging handhaven om afzonderlijke veiligheidszones op te stellen en de opsporing van inbreuken mogelijk te maken; b) de toegang tot de faciliteiten controleren en een register van bezoekers bijhouden met het oog op de traceerbaarheid; c) ervoor zorgen dat externe personen die toegang krijgen tot gebouwen worden begeleid door naar behoren gemachtigd personeel; d) ervoor zorgen dat apparatuur niet kan worden toegevoegd, vervangen of verwijderd zonder voorafgaande machtiging van de aangewezen verantwoordelijke instanties; e) de wederzijdse toegang van en tot de nationale backendservers en de federatieve gateway controleren; f) ervoor zorgen dat personen die toegang hebben tot de federatieve gateway geïdentificeerd en geauthenticeerd worden; g) de machtiging met betrekking tot de toegang tot de federatieve gateway herzien in geval van een inbreuk op de beveiliging die gevolgen heeft voor deze infrastructuur; h) de integriteit van de via de federatieve gateway doorgegeven informatie bewaren; i) technische en organisatorische veiligheidsmaatregelen ten uitvoer leggen om ongeoorloofde toegang tot persoonsgegevens te voorkomen; j) waar nodig, maatregelen ten uitvoer leggen om ongeoorloofde toegang tot de federatieve gatewayvanaf het domein van de nationale autoriteiten te blokkeren (dat wil zeggen: een locatie/IP-adres blokkeren);

7) onderneemt stappen om haar domein te beschermen, met inbegrip van het verbreken van verbindingen, in geval van een aanzienlijke afwijking van de kwaliteits- of beveiligingsbeginselen en -concepten;

8) houdt een risicobeheerplan in stand dat betrekking heeft op het gebied waarvoor zij verantwoordelijk is;

9) monitort — in real time — de prestaties van alle dienstencomponenten van de diensten van haar federatieve gateway, produceert regelmatig statistieken en registreert gegevens;

10) ondersteunt alle diensten van de federatieve gateway 24 uur per dag, 7 dagen per week in het Engels via telefoon, mail of webportal en accepteert oproepen van geautoriseerde oproepers: de coördinatoren van de federatieve gateway en hun respectieve helpdesks, projectmedewerkers en aangewezen personen van de Commissie;

11) staat, voor zover mogelijk, de verwerkingsverantwoordelijken door middel van passende technische en organisatorische maatregelen bij in de naleving van hun verplichting om te antwoorden op verzoeken tot uitoefening van de rechten van betrokkenen, zoals vastgesteld in hoofdstuk III van de algemene verordening gegevensbescherming;

12) ondersteunt de verwerkingsverantwoordelijken door informatie te verstrekken over de federatieve gateway, teneinde de verplichtingen uit hoofde van de artikelen 32, 35 en 36 van de algemene verordening gegevensbescherming na te komen;

13) zorgt ervoor dat de gegevens die binnen de federatieve gateway worden verwerkt, onbegrijpelijk zijn voor onbevoegden;

14) neemt alle nodige maatregelen om te voorkomen dat de gebruikers van de federatieve gateway ongeoorloofd toegang hebben tot doorgegeven gegevens;

15) neemt maatregelen om de interoperabiliteit en de communicatie tussen de verwerkingsverantwoordelijken voor de federatieve gateway te bevorderen;

16) houdt overeenkomstig artikel 31, lid 2, van Verordening (EU) 2018/1725 een register bij van de verwerkingsactiviteiten die ten behoeve van de verwerkingsverantwoordelijken zijn verricht.