02017D0253 — PT — 01.06.2021 — 001.001

Este texto constitui um instrumento de documentação e não tem qualquer efeito jurídico. As Instituições da União não assumem qualquer responsabilidade pelo respetivo conteúdo. As versões dos atos relevantes que fazem fé, incluindo os respetivos preâmbulos, são as publicadas no Jornal Oficial da União Europeia e encontram-se disponíveis no EUR-Lex. É possível aceder diretamente a esses textos oficiais através das ligações incluídas no presente documento

►B DECISÃO DE EXECUÇÃO (UE) 2017/253 DA COMISSÃO de 13 de fevereiro de 2017 que estabelece procedimentos para a notificação de alertas no âmbito do sistema de alerta rápido e de resposta instaurado em relação a ameaças sanitárias transfronteiriças graves e para o intercâmbio de informações, a consulta e a coordenação das respostas a essas ameaças, em conformidade com a Decisão n.o 1082/2013/UE do Parlamento Europeu e do Conselho (Texto relevante para efeitos do EEE) (JO L 037 de 14.2.2017, p. 23)

Alterada por:









▼B

DECISÃO DE EXECUÇÃO (UE) 2017/253 DA COMISSÃO

de 13 de fevereiro de 2017

que estabelece procedimentos para a notificação de alertas no âmbito do sistema de alerta rápido e de resposta instaurado em relação a ameaças sanitárias transfronteiriças graves e para o intercâmbio de informações, a consulta e a coordenação das respostas a essas ameaças, em conformidade com a Decisão n.o 1082/2013/UE do Parlamento Europeu e do Conselho

(Texto relevante para efeitos do EEE)







Artigo 1.o

Autoridades competentes para o SARR

1. A Comissão deve conceder às autoridades competentes para o SARR, designadas em conformidade com o artigo 15. o , n. o 1, alínea b), da Decisão n. o 1082/2013/UE, o acesso ao sistema de alerta rápido e de resposta, criado nos termos do artigo 8. o da Decisão n. o 1082/2013/UE.

2. Os Estados-Membros devem assegurar que sejam estabelecidos canais de comunicação eficazes entre as autoridades competentes para o SARR e quaisquer outras autoridades competentes pertinentes, no âmbito da sua jurisdição, a fim de identificar imediatamente as ameaças transfronteiriças graves para a saúde que cumpram os critérios estabelecidos no artigo 9. o , n. os 1 e 2, da Decisão n. o 1082/2013/UE.

▼M1

Artigo 1.o-A

Definições

Para efeitos da presente decisão, entende-se por:

a) «Formulário de localização do passageiro» («PLF»), um formulário preenchido a pedido das autoridades de saúde pública, destinado a recolher, pelo menos, os dados dos passageiros especificados no anexo I, e a auxiliar essas autoridades a gerir ocorrências de saúde pública, permitindo-lhes localizar passageiros que atravessem as fronteiras que possam ter sido expostos a uma pessoa infetada por SARS-CoV-2;

b) «Dados do formulário de localização do passageiro» («dados PLF»), os dados pessoais recolhidos através de um PLF;

c) «Ponto de entrada digital», o local único digital que permite às autoridades competentes do SARR conectar de forma segura os seus sistemas digitais nacionais de PLF à plataforma de intercâmbio de PLF;

d) «Viagem», uma viagem transfronteiriça, constituída por um ou mais trajetos, efetuada por uma pessoa através de meio de transporte coletivo com lugares previamente atribuídos, tendo em conta o local de partida inicial e de destino final dessa pessoa;

e) «Trajeto», uma viagem transfronteiriça única efetuada por um passageiro, sem ligações ou mudanças de voo, comboio, embarcação ou veículo;

f) «Passageiro infetado», um passageiro que cumpre os critérios laboratoriais de infeção por SARS-CoV-2;

g) «Pessoa exposta», um passageiro ou outra pessoa que tenha estado em contacto próximo com um passageiro infetado;

h) «Alerta», uma notificação efetuada através do Sistema de Alerta Rápido e de Resposta (SARR), em conformidade com o artigo 9.o da Decisão n.o 1082/2013/CE.

▼B

Artigo 2.o

Notificações de alertas no SARR

1. Se um Estado-Membro ou a Comissão tiverem conhecimento do aparecimento ou da evolução de uma ameaça transfronteiriça grave para a saúde na aceção do artigo 9. o , n. o 1, da Decisão n. o 1082/2013/UE, devem introduzir o alerta a que se refere esse artigo sem demora e, em todo o caso, no prazo de 24 horas a contar do momento em que tiveram, pela primeira vez, conhecimento da ameaça.

2. O Estado-Membro ou a Comissão podem informar o Comité de Segurança da Saúde («CSS») da introdução de um alerta.

3. A obrigação de notificação referida no n. o 1, não afeta a obrigação de notificação prevista no artigo 9. o , n. o 2, da Decisão n. o 1082/2013/UE.

4. O facto de eventualmente não estarem disponíveis todas as informações relevantes indicadas no artigo 9. o , n. o 3, da referida decisão não deve atrasar a notificação de um alerta.

5. O alerta referido no n. o 1 deve especificar como são cumpridos os critérios estabelecidos no artigo 9. o , n. o 1, da Decisão n. o 1082/2013/UE.

6. Se, na sequência de uma notificação de alerta, um Estado-Membro ou a Comissão quiserem transmitir as informações relevantes disponíveis para fins de coordenação, em conformidade com o artigo 9. o , n. o 3, da Decisão n. o 1082/2013/UE, devem utilizar a funcionalidade ad hoc do SARR para enviar um «comentário» em resposta à mensagem de notificação inicial.

▼M1

Artigo 2.o-A

Plataforma de intercâmbio de dados PLF

1. É instituída no âmbito do SARR uma plataforma para o intercâmbio seguro de dados PLF de passageiros infetados, exclusivamente para efeitos de rastreio de contactos SARS-CoV-2 de pessoas expostas pelas autoridades competentes do SARR («plataforma de intercâmbio de PLF»), como complemento da funcionalidade de transmissão seletiva de mensagens existente neste sistema.

A plataforma de intercâmbio de PLF deve fornecer um ponto de entrada digital para as autoridades competentes do SARR conectarem de forma segura os seus sistemas digitais nacionais de PLF ou para se conectarem através do sistema digital comum de transporte de passageiros da União Europeia («EUdPLF»), com vista ao intercâmbio de dados recolhidos através dos PLF.

As autoridades competentes do SARR devem poder utilizar a plataforma de intercâmbio de PLF para o intercâmbio de dados adicionais, ou seja, de dados epidemiológicos exclusivamente para efeitos de rastreio de contactos de pessoas expostas ao SARS-CoV-2, em conformidade com o artigo 2.o-B, n.o 5.

2. A plataforma de intercâmbio de PLF é gerida pelo ECDC.

3. Para cumprirem as obrigações que lhes incumbem por força do artigo 2. o no que diz respeito à notificação de ameaças sanitárias transfronteiriças graves identificadas no contexto da recolha de dados PLF, as autoridades competentes do SARR dos Estados-Membros que exigem a preenchimento destes formulários devem proceder ao intercâmbio de um conjunto de dados PLF, conforme especificado no artigo 2. o -B, através da plataforma de intercâmbio de PLF.

4. As autoridades competentes do SARR podem continuar a cumprir as obrigações que lhes incumbem por força do artigo 9. o , n. os 1 e 3, da Decisão n. o 1082/2013/UE no que respeita à notificação de ameaças sanitárias transfronteiriças graves identificadas no contexto da recolha de dados PLF através dos outros canais de comunicação existentes, referidos no artigo 1. o , n. o 2, da presente decisão, a título temporário e desde que essa escolha não comprometa o objetivo do rastreio de contactos.

5. A plataforma de intercâmbio de PLF não deve armazenar os dados PLF nem os dados epidemiológicos adicionais a trocar. Só deve permitir que as autoridades competentes do SARR recebam dados que lhes tenham sido enviados por outras autoridades competentes do SARR para efeitos exclusivos de rastreio de contactos SARS-CoV-2. O ECDC só pode aceder aos dados para assegurar o bom funcionamento da plataforma de intercâmbio de PLF.

6. As autoridades competentes do SARR não podem conservar os dados PLF nem os dados epidemiológicos recebidos através da plataforma de intercâmbio de PLF por tempo superior ao período de conservação aplicável no contexto das suas atividades nacionais de rastreio de contactos SARS-CoV-2.

7. A Comissão coopera com o ECDC no cumprimento das tarefas que lhe são confiadas ao abrigo da presente decisão, em especial no que diz respeito às medidas técnicas e organizativas relacionadas com a implantação, implementação, funcionamento, manutenção e desenvolvimento ulterior da plataforma de intercâmbio de PLF.

8. O tratamento de dados pessoais na plataforma de intercâmbio de PLF para efeitos exclusivos de rastreio de contactos SARS-CoV-2 deve ser efetuado até 31 de maio de 2022 ou até que o Diretor-Geral da Organização Mundial da Saúde declare, em conformidade com o Regulamento Sanitário Internacional, que a emergência de saúde pública de âmbito internacional causada pelo SARS-CoV-2 cessou, se essa declaração for anterior.

Artigo 2.o-B

Dados objeto de intercâmbio

1. Ao notificar um alerta na plataforma de intercâmbio de PLF, as autoridades competentes do SARR do Estado-Membro em que o passageiro infetado é identificado devem transmitir os seguintes dados PLF às autoridades competentes do SARR do Estado-Membro de partida inicial ou de residência do passageiro infetado, se o local de residência for diferente do local de partida inicial: a) Nome próprio; b) Apelido; c) Data de nascimento; d) Número de telefone (fixo e/ou móvel); e) Endereço de correio eletrónico; f) Endereço de residência.

2. As autoridades competentes do SARR do Estado-Membro de partida inicial do passageiro infetado podem transmitir os dados PLF recebidos a um Estado-Membro de partida diferente do declarado no PLF como Estado-Membro de partida inicial, sempre que disponham de informações adicionais que indiciem qual o Estado-Membro que deve efetuar o rastreio dos contactos.

3. Ao notificar um alerta na plataforma de intercâmbio de PLF, as autoridades competentes do SARR do Estado-Membro em que o passageiro infetado é identificado devem transmitir os seguintes dados PLF, em relação a cada trajeto da viagem, às autoridades competentes do SARR de todos os Estados-Membros: a) Local de partida de cada transporte em causa; b) Local de chegada de cada transporte em causa; c) Data de partida de cada transporte em causa; d) Tipo de cada transporte em causa (p. ex, avião, comboio, autocarro, ferry ou navio); e) Número de identificação de cada transporte em causa (p. ex., número do voo, número do comboio, matrícula do autocarro, nome do ferry ou navio); f) Número do lugar/cabina em cada transporte em causa; g) Se necessário, hora de partida de cada transporte em causa.

4. Sempre que as autoridades competentes do SARR do Estado-Membro que notifica o alerta possam identificar os Estados-Membros em causa com base nas informações de que disponham, devem transmitir os dados referidos no n. o 3 apenas às autoridades competentes do SARR desses Estados-Membros.

5. As autoridades competentes do SARR devem poder fornecer os seguintes dados epidemiológicos, sempre que tal seja necessário para efetuar um rastreio de contactos eficaz: a) Tipo de teste efetuado; b) Variante do vírus SARS-CoV-2; c) Data de amostragem; d) Data de início dos sintomas.

Artigo 2.o-C

Responsabilidades das autoridades competentes do SARR e do ECDC no tratamento de dados PLF

1. As autoridades competentes do SARR que trocam dados PLF e os dados referidos no artigo 2. o -B, n. o 5, são responsáveis conjuntos pela introdução e transmissão desses dados, até à sua receção, através da plataforma de intercâmbio de PLF. As responsabilidades respetivas dos responsáveis conjuntos pelo tratamento são atribuídas em conformidade com o anexo II. Cada Estado-Membro que pretenda participar no intercâmbio transfronteiriço de dados PLF através da plataforma de intercâmbio de PLF deve notificar ao ECDC, antes de aderir, a sua intenção e indicar a respetiva autoridade competente do SARR que tenha sido designada responsável pelo tratamento.

2. O ECDC é o subcontratante dos dados trocados através da plataforma de intercâmbio de PLF. É responsável por disponibilizar a plataforma de intercâmbio de PLF e garantir a segurança do tratamento e transmissão dos dados trocados através da plataforma, e deve cumprir as obrigações aplicáveis aos subcontratantes estabelecidas no anexo III.

3. A eficácia das medidas técnicas e organizativas no sentido de assegurar a segurança do tratamento dos dados PLF trocados através da plataforma de intercâmbio de PLF deve ser testada, examinada e avaliada regularmente pelo ECDC e pelas autoridades competentes do SARR autorizadas a aceder à plataforma.

4. O ECDC recorre à Comissão enquanto subcontratante ulterior e deve assegurar que lhe são aplicáveis as mesmas obrigações em matéria de proteção de dados estabelecidas na presente decisão.

▼B

Artigo 3.o

Outros sistemas da União de alerta rápido e de informação

1. A notificação de alerta referida no artigo 2. o , n. o 1, deve especificar se a ameaça identificada foi previamente comunicada através de outros sistemas de informação ou de alerta ao nível da União ou ao abrigo do Tratado Euratom.

2. No caso de uma ameaça transfronteiriça grave para a saúde ser comunicada através de mais de um sistema da União de informação ou de alerta, a Comissão deve indicar, através do SARR, o sistema principal para o tipo específico de intercâmbio de informações.

3. ►M1 ◄ . Para efeitos do presente artigo, outros sistemas de alerta e de informação ao nível da União ou nos termos do Tratado Euratom devem incluir os sistemas definidosno anexo IV

Artigo 4.o

Coordenação das respostas nacionais a ameaças transfronteiriças graves para a saúde

1. Se um pedido de consulta for apresentado nos termos do artigo 11. o , n. o 1, alínea a), da Decisão n. o 1082/2013/UE para efeitos de coordenação da resposta a uma ameaça transfronteiriça grave para a saúde, a Comissão assegura a consulta a realizar no âmbito do CSS no prazo de 2 dias úteis a contar do pedido, em função da urgência relacionada com a gravidade da ameaça.

2. A Comissão deve informar o CSS do pedido e disponibilizar ao CSS todas as informações relevantes para a ameaça, além das já comunicadas através do SARR.

3. Os Estados-Membros devem igualmente fornecer, por escrito, todas as informações disponíveis relevantes para a ameaça, além das já comunicadas através do SARR, incluindo medidas de saúde pública, ou outras medidas, tomadas ou previstas.

4. O CSS deve analisar todas as informações disponíveis relacionadas com a ameaça específica, incluindo as notificações de alerta, avaliações de risco e outras informações comunicadas pelos Estados-Membros ou pela Comissão, através do SARR ou através do CSS, incluindo informações sobre medidas de saúde pública tomadas ou previstas. Essa análise deve ser concluída o mais rapidamente possível.

5. Quando os Estados-Membros ponderam ou tomam medidas de saúde pública para combater as ameaças transfronteiriças graves para a saúde, devem ter em conta os resultados da análise efetuada no âmbito da consulta do CSS.

Artigo 5.o

Comunicação relativa aos riscos e à crise

1. Na sequência de um pedido de consulta nos termos do artigo 11. o , n. o 1, alínea b), da Decisão n. o 1082/2013/UE, os Estados-Membros devem consultar-se mutuamente no âmbito do CSS e desenvolver e sugerir o conteúdo e a forma das comunicações relativas aos riscos e à crise a apresentar pelos Estados-Membros ao público em geral e/ou aos profissionais de saúde. Os Estados-Membros podem adaptar as comunicações de acordo com as suas necessidades e circunstâncias.

2. Os Estados-Membros que já tenham enviado comunicações relativas aos riscos e à crise relacionados com uma ameaça transfronteiriça grave para a saúde, devem informar o CSS e a Comissão, por escrito, do conteúdo de tais comunicações.

Artigo 6.o

Desativação da notificação de alerta

Sempre que deixem de existir as condições que justificaram a introdução de um alerta em conformidade com o artigo 9.o, n.o 1, da Decisão n.o 1082/2013/UE, o alerta deve ser desativado pelo Estado-Membro que introduziu o alerta, ou pela Comissão, caso tenha sido a Comissão a introduzi-lo. A desativação de um alerta só deve efetuar-se depois de todos os Estados-Membros envolvidos no alerta terem dado o seu acordo a essa desativação.

Artigo 7.o

Revogação da Decisão 2000/57/CE

1. É revogada a Decisão 2000/57/CE.

2. As referências à decisão revogada devem entender-se como sendo feitas à presente decisão.

Artigo 8.o

Entrada em vigor

A presente decisão entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

▼M1









ANEXO I

CONJUNTO MÍNIMO DE DADOS PLF A RECOLHER ATRAVÉS DO PLF NACIONAL

O PLF deve conter, pelo menos, os seguintes dados PLF:

(1) Nome próprio;

(2) Apelido;

(3) Data de nascimento;

(4) Número de telefone (fixo e/ou móvel);

(5) Endereço de correio eletrónico;

(6) Endereço de residência;

(7) Destino final ou último destino na UE de toda a viagem;

(8) As seguintes informações para cada trajeto da viagem até ao Estado-Membro que exige o PLF: (a) Local de partida; (b) Local de chegada; (c) Data de partida; (d) Tipo de transporte (p. ex, avião, comboio, autocarro, ferry, navio); (e) Hora da partida; (f) Número de identificação do transporte (p. ex., número do voo, número do comboio, matrícula do autocarro, nome do ferry ou navio); (g) Número do lugar/cabina.









ANEXO II

RESPONSABILIDADES DOS ESTADOS-MEMBROS PARTICIPANTES ENQUANTO RESPONSÁVEIS CONJUNTOS PELO TRATAMENTO NA PLATAFORMA DE INTERCÂMBIO DE PLF

SECÇÃO 1

Repartição de responsabilidades

(1) Cada autoridade competente do SARR deve assegurar que o tratamento dos dados PLF e dos dados epidemiológicos adicionais trocados através da plataforma de intercâmbio de PLF é efetuado em conformidade com o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho ( 1 ) Em especial, deve assegurar que os dados que regista e transmite através da plataforma de intercâmbio de PLF são exatos e limitados aos dados previstos no artigo 2.o-B da presente decisão.

(2) Cada autoridade competente do SARR continua a ser o único responsável pela recolha, utilização, divulgação e qualquer outro tratamento dos dados PLF e dos dados epidemiológicos adicionais realizados fora da plataforma de intercâmbio de PLF. Cada autoridade competente do SARR deve assegurar que a transmissão dos dados é efetuada em conformidade com as especificações técnicas estabelecidas para a plataforma de intercâmbio de PLF.

(3) As instruções ao subcontratante devem ser enviadas pelo ponto de contacto de qualquer responsável conjunto pelo tratamento, com o acordo dos outros responsáveis conjuntos pelo tratamento.

(4) Apenas as pessoas autorizadas pelas autoridades competentes do SARR podem aceder aos dados PLF e aos dados epidemiológicos adicionais trocados através da plataforma de intercâmbio de PLF.

(5) Cada autoridade competente do SARR deve criar um ponto de contacto com uma caixa de correio funcional que servirá para a comunicação entre os responsáveis conjuntos pelo tratamento e entre estes e o subcontratante. O processo de tomada de decisão dos responsáveis conjuntos pelo tratamento é dirigido pelo Grupo de Trabalho SARR do Comité de Segurança da Saúde.

(6) Uma autoridade competente do SARR deixa de ser responsável conjunto pelo tratamento a partir da data de retirada da sua participação na plataforma de intercâmbio de PLF. Permanece, contudo, responsável pela recolha e transmissão dos dados PLF e dos dados epidemiológicos adicionais através da plataforma de intercâmbio de PLF que sejam anteriores a essa retirada.

(7) Cada autoridade competente do SARR tem de manter um registo das atividades de tratamento sob a sua responsabilidade. A responsabilidade conjunta pode ser indicada no registo.

SECÇÃO 2

Responsabilidades e funções para tramitação de pedidos e informação dos titulares dos dados

(1) Cada autoridade competente do SARR que exija um PLF deve fornecer aos passageiros transfronteiriços («titulares dos dados») informações sobre as circunstâncias do intercâmbio dos seus dados PLF e dados epidemiológicos através da plataforma de intercâmbio de PLF para efeitos de rastreio de contactos, em conformidade com os artigos 13.o e 14.o do Regulamento (UE) 2016/679.

(2) Cada autoridade competente do SARR serve de ponto de contacto para os titulares dos dados e assegura o tratamento dos pedidos relacionados com o exercício dos seus direitos em conformidade com o Regulamento (UE) 2016/679, apresentados por esses titulares ou pelos seus representantes. Cada autoridade competente do SARR designa um ponto de contacto específico dedicado aos pedidos recebidos dos titulares dos dados. Caso uma autoridade competente do SARR receba um pedido de um titular de dados que não seja da sua responsabilidade, deve de imediato remetê-lo para a autoridade competente do SARR responsável e informar o ECDC. Se tal for solicitado, as autoridades competentes do SARR devem prestar-se assistência mútua na tramitação dos pedidos dos titulares dos dados relativos à responsabilidade conjunta e responder mutuamente sem atrasos indevidos e, o mais tardar, no prazo de 15 dias a contar da receção de um pedido de assistência.

(3) Cada autoridade competente do SARR disponibiliza aos titulares dos dados o conteúdo do presente anexo, incluindo as disposições previstas nos pontos 1 e 2.

SECÇÃO 3

Gestão de incidentes de segurança, incluindo violações de dados pessoais

(1) Enquanto responsáveis conjuntos pelo tratamento, as autoridades competentes do SARR devem prestar-se assistência mútua na identificação e tratamento de quaisquer incidentes de segurança, incluindo violações de dados pessoais, relacionados com o tratamento de dados PLF e de dados epidemiológicos trocados através da plataforma de intercâmbio de PLF.

(2) Em especial, devem notificar-se mutuamente e notificar ao ECDC os seguintes elementos:

(a) Quaisquer riscos potenciais ou reais para a disponibilidade, confidencialidade e/ou integridade dos dados PLF e dados epidemiológicos em fase de tratamento na plataforma de intercâmbio de PLF;

(b) Qualquer violação de dados pessoais, as consequências prováveis da violação de dados pessoais e a avaliação dos riscos para os direitos e liberdades das pessoas singulares, e eventuais medidas adotadas para reparar a violação de dados pessoais e atenuar os riscos para os direitos e liberdades das pessoas singulares;

(c) Qualquer violação de salvaguardas técnicas e/ou organizativas das operações de tratamento na plataforma de intercâmbio de PLF.

(3) As autoridades competentes do SARR devem comunicar eventuais violações relacionadas com operações de tratamento na plataforma de intercâmbio de PLF ao ECDC, às autoridades competentes de supervisão e, se assim for requerido, aos titulares dos dados, em conformidade com os artigos 33.o e 34.o do Regulamento (UE) 2016/679 ou após notificação pelo ECDC.

(4) Cada autoridade competente do SARR deve aplicar medidas técnicas e organizativas adequadas, a fim de:

(a) Assegurar e proteger a segurança, a integridade e a confidencialidade dos dados pessoais tratados conjuntamente;

(b) Proteger todos os dados pessoais na sua posse contra qualquer tratamento, perda, utilização, divulgação, aquisição ou acesso não autorizados ou ilegais;

(c) Assegurar que o acesso aos dados pessoais não seja divulgado ou autorizado a outra pessoa além dos destinatários ou subcontratantes.

SECÇÃO 4

Avaliação de impacto sobre a proteção de dados

Caso um responsável pelo tratamento precise de informações de outro responsável pelo tratamento para cumprir as obrigações especificadas nos artigos 35.o e 36.o do Regulamento (UE) 2016/679, deve enviar um pedido específico para a caixa de correio funcional referida no ponto 5 da secção 1. Este último deve envidar todos os esforços para prestar as informações solicitadas.









ANEXO III

RESPONSABILIDADES DO ECDC ENQUANTO SUBCONTRATANTE DA PLATAFORMA DE INTERCÂMBIO DE PLF

(1) O ECDC deve criar e assegurar uma infraestrutura de comunicação segura e fiável que permita interconectar as autoridades competentes do SARR dos Estados-Membros que participam na plataforma de intercâmbio de PLF.

O tratamento pelo ECDC da plataforma de intercâmbio de PLF inclui as seguintes funções:

(a) Definir o conjunto mínimo de requisitos técnicos necessários para assegurar uma conexão e desconexão de forma fácil e segura das bases de dados PLF nacionais;

(b) Assegurar a interoperabilidade das bases de dados PLF nacionais de forma segura e automatizada.

(2) Para cumprir as suas obrigações enquanto subcontratante da plataforma de intercâmbio de PLF, o ECDC recorre à Comissão na qualidade de subcontratante ulterior e deve assegurar que lhe são aplicáveis as mesmas obrigações em matéria de proteção de dados, tal como estabelecidas na presente decisão.

O ECDC pode autorizar a Comissão a contratar terceiros como subcontratantes ulteriores adicionais.

Se a Comissão contratar subcontratantes ulteriores, compete ao ECDC:

(a) Assegurar que são aplicadas a esses subcontratantes ulteriores as mesmas obrigações em matéria de proteção de dados como estabelecidas na presente decisão;

(b) Informar os responsáveis pelo tratamento de quaisquer alterações previstas relativas ao aditamento ou substituição de outros subcontratantes ulteriores, dando assim aos responsáveis pelo tratamento a oportunidade de se oporem por maioria simples a tais alterações.

(3) O ECDC deve:

(a) Criar e assegurar uma infraestrutura de comunicação segura e fiável que permita interconectar as autoridades competentes do SARR dos Estados-Membros que participam na plataforma de intercâmbio de PLF;

(b) Tratar os dados PLF e os dados epidemiológicos adicionais, apenas com base em instruções documentadas dos responsáveis pelo tratamento, a menos que esse tratamento seja exigido pelo direito da União. Nesse caso, o ECDC informa os responsáveis pelo tratamento desse requisito jurídico antes do tratamento, salvo se a lei proibir tal informação por motivos importantes de interesse público;

(c) Pôr em prática um plano de segurança, um plano de continuidade operacional e um plano de recuperação em caso de catástrofe;

(d) Tomar as medidas necessárias para preservar a integridade dos dados PLF e dos dados epidemiológicos adicionais tratados;

(e) Tomar as medidas de segurança mais avançadas a nível organizacional, físico e eletrónico para manter a plataforma de intercâmbio de PLF. Para esse efeito, o ECDC: i) designa uma entidade responsável pela gestão da segurança ao nível da plataforma de intercâmbio de PLF, comunica aos responsáveis pelo tratamento os seus dados de contacto e assegura a sua disponibilidade para reagir a ameaças à segurança, ii) assume a responsabilidade pela segurança da plataforma de intercâmbio de PLF, iii) assegura que todas as pessoas a quem é concedido acesso à plataforma de intercâmbio de PLF estão sujeitas a obrigações contratuais, profissionais ou legais de confidencialidade;

(f) Tomar todas as medidas de segurança necessárias para evitar comprometer o bom funcionamento da plataforma de intercâmbio de PLF. Para o efeito, o ECDC deve estabelecer procedimentos específicos para o funcionamento da plataforma de intercâmbio de PLF e a conexão dos servidores de apoio à plataforma de intercâmbio de PLF. Tal inclui: i) um procedimento de avaliação dos riscos, a fim de identificar e estimar potenciais ameaças ao sistema, ii) um procedimento de auditoria e revisão para: 1) verificar a correspondência entre as medidas de segurança implementadas e a política de segurança aplicável, 2) controlar regularmente a integridade dos ficheiros de sistema, dos parâmetros de segurança e das autorizações concedidas, 3) detetar e monitorizar violações de segurança e intrusões, 4) implementar alterações para corrigir vulnerabilidades de segurança existentes, 5) permitir, incluindo a pedido dos responsáveis pelo tratamento, e contribuir para a realização de auditorias independentes, incluindo inspeções, e revisões de medidas de segurança, sob reserva de condições que respeitem o Protocolo (n.o 7) do TFUE relativo aos Privilégios e Imunidades da União Europeia (2), iii) alterar o procedimento de controlo para documentar e medir o impacto das alterações antes da sua implementação, mantendo os responsáveis pelo tratamento informados de quaisquer alterações que possam afetar a comunicação com e/ou a segurança das suas infraestruturas, iv) estabelecer um procedimento de manutenção e reparação que especifique as regras e condições a seguir caso seja necessária a manutenção e/ou reparação de equipamentos, v) estabelecer um procedimento para incidentes de segurança com vista a definir o sistema de notificação e escalada de incidentes, informar sem demora os responsáveis pelo tratamento para que notifiquem as autoridades nacionais de proteção de dados sobre qualquer violação de dados pessoais, e definir um processo disciplinar para lidar com essas violações;

(g) Tomar as medidas mais avançadas de segurança física e/ou eletrónica para as instalações que alojam o equipamento da plataforma de intercâmbio de PLF e para os controlos dos dados e de segurança. Para esse efeito, o ECDC: i) vela pela segurança física de modo a estabelecer perímetros de segurança demarcados e permitir a deteção de violações da segurança, ii) controla o acesso às instalações e mantém um registo de visitantes para fins de rastreio, iii) assegura que as pessoas externas a quem é concedido acesso às instalações são escoltadas por pessoal devidamente autorizado, iv) impede a introdução, substituição ou remoção de equipamentos sem a autorização prévia dos organismos competentes designados, v) controla o acesso dos sistemas nacionais PLF à plataforma de intercâmbio de PLF e o acesso a esses sistemas nacionais, vi) garante a identificação e autenticação das pessoas que têm acesso à plataforma de intercâmbio de PLF, vii) revê os direitos de autorização relacionados com o acesso à plataforma de intercâmbio de PLF em caso de violação da segurança que afete esta infraestrutura, viii) aplica medidas de segurança técnicas e organizativas para impedir o acesso não autorizado aos dados PLF e aos dados epidemiológicos, ix) aplica, sempre que necessário, medidas para bloquear o acesso não autorizado à plataforma de intercâmbio de PLF a partir do domínio das autoridades nacionais (ou seja, bloquear uma localização ou um endereço IP);

(h) Tomar medidas para proteger o seu domínio, incluindo o corte de ligações, em caso de desvio substancial em relação aos princípios e conceitos de qualidade ou segurança;

(i) Manter um plano de gestão dos riscos relacionado com a sua área de responsabilidade;

(j) Acompanhar – em tempo real – o desempenho de todas as componentes dos serviços da plataforma de intercâmbio de PLF, elaborar estatísticas regulares e manter registos;

(k) Certificar-se de que o serviço está disponível 24/7, com períodos de interrupção aceitáveis para fins de manutenção;

(l) Prestar assistência a todos os serviços da plataforma de intercâmbio de PLF, em inglês, por telefone, correio eletrónico ou portal Web, e responder a telefonemas de utilizadores autorizados: os coordenadores da plataforma de intercâmbio de PLF e respetivos serviços de assistência (helpdesk), os responsáveis de projeto e as pessoas designadas do ECDC;

(m) Apoiar os responsáveis pelo tratamento através de medidas técnicas e organizativas adequadas, na medida do possível, para o cumprimento da sua obrigação de resposta a pedidos relativos ao exercício dos direitos dos titulares de dados estabelecidos no capítulo III do Regulamento (UE) 2016/679;

(n) Apoiar os responsáveis pelo tratamento fornecendo informações sobre a plataforma de intercâmbio de PLF, a fim de cumprir as obrigações previstas nos artigos 32.o, 35.o e 36.o do Regulamento (UE) 2016/679;

(o) Assegurar que os dados PLF e os dados epidemiológicos transmitidos através da plataforma de intercâmbio de PLF são ininteligíveis para pessoas não autorizadas a aceder aos mesmos, nomeadamente através de uma encriptação forte;

(p) Tomar todas as medidas pertinentes para impedir que os operadores da plataforma de intercâmbio de PLF tenham um acesso não autorizado aos dados PLF e dados epidemiológicos transmitidos;

(q) Tomar medidas para facilitar a interoperabilidade e a comunicação entre os responsáveis pelo tratamento designados da plataforma de intercâmbio de PLF;

(r) Manter um registo das atividades de tratamento realizadas em nome dos responsáveis pelo tratamento em conformidade com o artigo 31.o, n.o 2, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho.









▼M1

ANEXO IV

▼B

Lista não exaustiva de sistemas de alerta e de informação ao nível da União a ligar progressivamente ao SARR

O presente anexo elenca os sistemas de alerta rápido e de informação que estão atualmente em vigor ao nível da União e ao abrigo do Tratado Euratom e que podem ser relevantes para a receção de alertas e informações sobre acontecimentos que constituam ou possam constituir uma ameaça transfronteiriça grave para a saúde:

— Sistema de Notificação das Doenças dos Animais (SNDA), para registar e documentar a situação de doenças infecciosas importantes que afetam os animais;

— Sistema de alerta transetorial da Comissão (ARGUS), um sistema de alerta rápido interno da Comissão que permite a todas as direções-gerais da Comissão partilharem as informações essenciais na eventualidade de uma situação de emergência ou de crise e assegurarem a coordenação interna;

— Sistema Comum de Comunicação e de Informação de Emergência (CECIS), para a proteção civil e acidentes de poluição marinha;

— Sistema Comunitário de Troca de Informações em caso de Emergência Radiológica (ECURIE), para notificar contramedidas destinadas a proteger contra os efeitos de um acidente radiológico ou nuclear;

— Sistema de Comunicação de Acidentes Graves (EMARS), para facilitar o intercâmbio de ensinamentos tirados de acidentes e quase-acidentes envolvendo substâncias perigosas, a fim de melhorar a prevenção de acidentes químicos e a mitigação de potenciais consequências;

— Sistema Europeu de Notificação de Interceções Fitossanitárias (EUROPHYT), que trata de interceções por motivos fitossanitários de remessas de plantas e produtos vegetais importados para a União ou comercializados na União;

— Alerta Rápido relativo ao Sangue e Componentes Sanguíneos (RAB), para o intercâmbio de informações para evitar ou conter incidentes transfronteiriços associados a transfusões de sangue;

— Sistema de Alerta Rápido para os Produtos Não Alimentares Perigosos (RAPEX), para o intercâmbio de informações sobre produtos que representam um risco para a saúde e a segurança dos consumidores;

— Sistema de Alerta Rápido para os Géneros Alimentícios e Alimentos para Animais (RASFF), para a notificação de riscos para a saúde humana decorrentes de géneros alimentícios ou de alimentos para animais;

— Plataforma de Alerta Rápido para Tecidos e Células (RATC), para o intercâmbio de informações e medidas relacionadas com a transferência transfronteiriça de células ou tecidos humanos destinados a doentes;

— Rede Europeia de Informação sobre a Droga e a Toxicodependência (REITOX), para recolha e comunicação de informações sobre o fenómeno da droga na Europa.