CELEX: 32021D0858
Language: fi
Date: 2021-05-27 00:00:00
Title: Komission täytäntöönpanopäätös (EU) 2021/858, annettu 27 päivänä toukokuuta 2021, täytäntöönpanopäätöksen (EU) 2017/253 muuttamisesta siltä osin kuin on kyse rajat ylittävien vakavien terveysuhkien aiheuttamista varoituksista ja matkustajatietolomakkeiden avulla määritettyjen matkustajien kontaktien jäljityksestä (ETA:n kannalta merkityksellinen teksti)

28.5.2021   
               
               
                  FI
               
               
                  Euroopan unionin virallinen lehti
               
               
                  L 188/106
               
            
         KOMISSION TÄYTÄNTÖÖNPANOPÄÄTÖS (EU) 2021/858,
         annettu 27 päivänä toukokuuta 2021,
         täytäntöönpanopäätöksen (EU) 2017/253 muuttamisesta siltä osin kuin on kyse rajat ylittävien vakavien terveysuhkien aiheuttamista varoituksista ja matkustajatietolomakkeiden avulla määritettyjen matkustajien kontaktien jäljityksestä
         (ETA:n kannalta merkityksellinen teksti)
         EUROOPAN KOMISSIO, joka
         ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,
         ottaa huomioon valtioiden rajat ylittävistä vakavista terveysuhkista ja päätöksen N:o 2119/98/EY kumoamisesta 22 päivänä lokakuuta 2013 annetun Euroopan parlamentin ja neuvoston päätöksen N:o 1082/2013/EU (1) ja erityisesti sen 8 artiklan 2 kohdan,
         sekä katsoo seuraavaa:
         
                     (1)
                  
                  
                     Positiivisen covid-19-tapauksen tunnistaminen rajat ylittävän matkan jälkeen täyttää päätöksen 1082/2013/EU 9 artiklan 1 kohdassa tarkoitetut perusteet, sillä se voi aiheuttaa ihmisille merkittävää kuolleisuutta, se voi kehittyä mittakaavaltaan nopeasti, se voi vaikuttaa useampaan kuin yhteen jäsenvaltioon ja se voi edellyttää unionin tasolla yhteen sovitettua reagointia. Koordinoidusta lähestymistavasta vapaan liikkuvuuden rajoittamiseen covid-19-pandemian johdosta 13 päivänä lokakuuta 2020 annetun suosituksen (EU) 2020/1475 (2) 23 kohdan mukaan tiedot covid-19-tapauksista, jotka havaitaan henkilön saapuessa jäsenvaltion alueelle, olisi kontaktien jäljittämistä varten jaettava välittömästi niiden maiden kansanterveysviranomaisten kanssa, joissa asianomainen henkilö on oleskellut edeltävien 14 päivän aikana, käyttäen päätöksen1082/2013/EU 8 artiklalla perustettua varhaisvaroitus- ja reagointijärjestelmää, jonka toiminnasta vastaa Euroopan tautienehkäisy- ja -valvontakeskus, jäljempänä ’ECDC’.
                  
               
                     (2)
                  
                  
                     Suosituksen (EU) 2020/1475 nojalla jäsenvaltiot voivat vaatia alueelleen saapuvia henkilöitä toimittamaan matkustajatietolomakkeen (passenger locator form, PLF), jäljempänä ’PLF-lomake’, tietosuojavaatimusten mukaisesti.
                  
               
                     (3)
                  
                  
                     Kun jäsenvaltiot edellyttävät erilaisten kansallisten PLF-lomakkeiden täyttämistä, ne keräävät PLF-tietoja alueelleen saapuvilta rajat ylittäviltä matkustajilta. Näiden tietojen yksi käyttötarkoitus on, että jos PLF-lomakkeen täyttäneellä henkilöllä todetaan covid-19-tartunta, PLF-lomakkeella kerättyjä tietoja käytetään kyseisen henkilön matkan määrittämiseen ja tarvittavien tietojen välittämiseen jäsenvaltioille, joiden on toteutettava kontaktien jäljitysmenettelyjä sellaisten henkilöiden osalta, jotka ovat saattaneet altistua tartunnan saaneelle matkustajalle.
                  
               
                     (4)
                  
                  
                     Joidenkin jäsenvaltioiden kansanterveysviranomaiset vaihtavat jo keskenään kansallisilla PLF-lomakkeilla kerättyjä henkilötietoja kontaktien jäljittämiseksi covid-19-pandemian yhteydessä. Tietoja on vaihdettu etenkin varhaisvaroitus- ja reagointijärjestelmän tarjoaman nykyisen teknisen infrastruktuurin kautta.
                  
               
                     (5)
                  
                  
                     Varhaisvaroitus- ja reagointijärjestelmän tällä hetkellä tarjoamaa teknistä infrastruktuuria ei ole kuitenkaan suunniteltu käsittelemään sellaista määrää PLF-dataa, jonka PLF-lomakkeiden järjestelmällinen ja laajamittainen käyttö tuottaa. Se ei pysty esimerkiksi tulkitsemaan erilaisia kansallisia tietojen esitysmuotoja vaan tiedot on syötettävä manuaalisesti, mikä heikentää kontaktien jäljittämisen ajantasaisuutta ja tehokkuutta. Näin on erityisesti silloin, kun kontaktijäljitys koskee sellaisia rajat ylittäviä matkustajia, jotka ovat matkustaneet joukkoliikennevälineillä, joissa on ennalta määrätty istumapaikka, kuten lentokoneella, tietyillä junilla, lautoilla ja risteilyaluksilla ja joissa altistuneiden matkustajien määrä ja altistusaika tartunnan saaneelle matkustajalle voi olla merkittävä.
                  
               
                     (6)
                  
                  
                     Sen vuoksi olisi perustettava tekninen infrastruktuuri, nk. PLF-tietojenvaihtoalusta, jonka avulla jäsenvaltioiden varhaisvaroitus- ja reagointijärjestelmästä vastaavat toimivaltaiset viranomaiset voivat vaihtaa keskenään tietoja turvallisesti, nopeasti ja tehokkaasti ja joka mahdollistaa tietojen siirtämisen niiden nykyisistä kansallisista digitaalisista PLF-järjestelmistä muille varhaisvaroitus- ja reagointijärjestelmästä vastaaville toimivaltaisille viranomaisille yhteentoimivasti ja automaattisesti. Sen olisi perustuttava Euroopan unionin lentoturvallisuusviraston, jäljempänä ’EASA’, jo kehittämään tietojenvaihtoalustaan niin, että EASAlla ei ole mitään roolia, kun PLF-tietojenvaihtoalustan kautta vaihdettuja henkilötietoja käsitellään tämän täytäntöönpanopäätöksen mukaisesti. PLF-tietojenvaihtoalustan avulla olisi voitava vaihtaa myös rajattuja, kontaktien jäljittämiseen tarvittavia epidemiologisia tietoja päätöksen 1082/2013/EU 9 artiklan 3 kohdan mukaisesti. Vakavien rajat ylittävien terveysuhkien seurantaa, varhaisvaroitusta ja torjuntaa koskevien, jo olemassa olevien rakenteiden ja mekanismien kanssa päällekkäisten toimintojen tai ristiriitaisten toimien välttämiseksi PLF-tietojenvaihtoalustaa olisi kehitettävä varhaisvaroitus- ja reagointijärjestelmän puitteissa kyseisessä järjestelmässä olevaa selektiivistä viestintätoimintoa täydentävänä osana.
                  
               
                     (7)
                  
                  
                     ECDC:n olisi vastattava PLF-tietojenvaihtoalustan toiminnasta Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 851/2004 (3) 8 artiklan mukaisesti.
                  
               
                     (8)
                  
                  
                     PLF-tietojenvaihtoalustan ei pitäisi tallentaa vaihdettavia PLF-tietoja eikä epidemiologisia tietoja.
                  
               
                     (9)
                  
                  
                     Jos jäsenvaltiolla ei ole kansallisesti kehitettyä digitaalista PLF-järjestelmää, se voi käyttää Euroopan unionin yhteistä digitaalista matkustajatietolomakejärjestelmää, jäljempänä ’EUdPLF-järjestelmä’, jonka yhteinen EU Healthy Gateways -hanke (4) kehitti komission toimeksiannosta (avustus nro 801493). EUdPLF-järjestelmällä pyritään luomaan keskitetty yhteyspiste ja tietokanta PLF-lomakkeiden keräämiseksi. Tulevaisuudessa EUdPLF-järjestelmä olisi liitettävä PLF-tietojenvaihtoalustaan vain sitä tarkoitusta varten, että jäsenvaltiot voivat vaihtaa tietoja yhtäältä sellaisten jäsenvaltioiden kanssa, joilla on kansalliset digitaaliset PLF-järjestelmät, ja toisaalta sellaisten jäsenvaltioiden kanssa, jotka käyttävät EUdPLF-järjestelmää. Tämä päätös ei kata EUdPLF-järjestelmän perustamista, eikä siinä säännellä kyseiseen järjestelmään liittyvää henkilötietojen käsittelyä.
                  
               
                     (10)
                  
                  
                     Tällä päätöksellä ei säännellä kansallisten PLF-lomakkeiden laatimista, vaan niistä päättäminen kuuluu jäsenvaltioille. Jäsenvaltiot voivat vapaasti valita, keräävätkö ne PLF-lomakkeet kaikilta alueelleen saapuvilta matkustajilta vai vain niiltä matkustajilta, joiden lopullinen määränpää kyseinen jäsenvaltio on. Jotta PLF-tietoihin perustuva rajat ylittävä kontaktien jäljitys on tehokasta, jäsenvaltioiden on kerättävä kansallisilla PLF-lomakkeilla vähintään tietyt yhteiset PLF-tiedot. Nämä kerättävät PLF-vähimmäistiedot olisi sen vuoksi vahvistettava. Lisäksi jäsenvaltioiden olisi ratkaisun kustannustehokkuuden, kestävyyden ja turvallisuuden lisäämisen vuoksi harkittava yhteistä lähestymistapaa siihen, vaaditaanko PLF-tietoja kaikilta matkustajilta, myös transit-matkustajilta, vai vain niiltä matkustajilta, joiden lopullinen määränpää kyseinen jäsenvaltio on.
                  
               
                     (11)
                  
                  
                     PLF-tietojenvaihtoalustan käytön olisi oltava vapaaehtoista, ja jäsenvaltioiden olisi tilapäisesti voitava ilmoittaa varoituksista varhaisvaroitus- ja reagointijärjestelmän nykyisen teknisen infrastruktuurin puitteissa edellyttäen, että tämä ei vaaranna kontaktien jäljittämisen tarkoitusta.
                  
               
                     (12)
                  
                  
                     Varhaisvarhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten olisi vaihdettava ainoastaan tarkkaan määriteltyjä PLF-lomakkeilla kerättyjä tietokokonaisuuksia ja muita rajoitettuja epidemiologisia tietoja, jotka ovat tarpeen kontaktien jäljittämiseksi, henkilötietojen käsittelyn minimoinnin periaatteen mukaisesti. Kun tartunnan saanutta matkustajaa koskevan varoituksen antava jäsenvaltio pystyy käytettävissään olevien PLF-tietojen perusteella yksilöimään kaikki jäsenvaltiot, joita asia koskee, sen olisi toimitettava tiedot ainoastaan kyseisten jäsenvaltioiden varhaisvaroitus- ja reagointijärjestelmästä vastaaville toimivaltaisille viranomaisille. Näin on esimerkiksi silloin, kun tartunnan saaneen matkustajan tunnistava jäsenvaltio kerää PLF-tiedot kaikista alueelleen saapuvista matkustajista, myös transit-matkustajista, joilla on suora yhteys alkuperäisestä lähtöpaikasta.
                  
               
                     (13)
                  
                  
                     Kun jossakin jäsenvaltiossa todetaan, että matkustajalla SARS-CoV-2-tartunta, kyseisen jäsenvaltion varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten olisi pystyttävä jakamaan lähtöjäsenvaltion varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten kanssa PLF- lomakkeista saatu rajoitettu tietokokonaisuus, joka olisi määriteltävä tarkasti sen mukaan, mitä tarvitaan altistuneiden henkilöiden jäljittämiseksi lähtö- ja asuinjäsenvaltiossa, jos se on eri kuin lähtöjäsenvaltio – eli tartunnan saaneen matkustajan henkilö- ja yhteystiedot.
                  
               
                     (14)
                  
                  
                     Lisäksi kun jossakin jäsenvaltiossa todetaan, että matkustajalla on SARS-CoV-2-tartunta, kyseisen jäsenvaltion varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten olisi pystyttävä jakamaan rajoitettu määrä tietoja kaikkien jäsenvaltioiden varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten kanssa tai, jos kyseisillä viranomaisilla on tietoja, joilla tällaiset jäsenvaltiot voidaan yksilöidä, asianomaisten jäsenvaltioiden varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten kanssa. Tiedot olisi rajattava koskemaan lähtöpaikkaa, saapumispaikkaa, lähtöpäivää, liikennepalvelun muotoa (lentokone, juna, linja-auto, lautta, alus), liikennepalvelun tunnusnumeroa (lennon numero, junan numero, linja-auton rekisterikilpi, lautan tai aluksen nimi) ja tartunnan saaneen matkustajan istumapaikan tai hytin numeroa sekä lähtöaikaa, jos edellä mainitut tiedot eivät riitä liikennevälineen tunnistamiseen. Tämä mahdollistaisi sen, että tiedot vastaanottavasta varhaisvaroitus- ja reagointijärjestelmästä vastaavat toimivaltaiset viranomaiset voivat vahvistaa, saapuivatko tartunnalle altistuneet henkilöt niiden alueelle, ja jos saapuivat, jäljittää näiden kontaktit.
                  
               
                     (15)
                  
                  
                     Kun tietoja jaetaan muiden varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten kanssa PLF-tietojenvaihtoalustan kautta, asianomaisen varhaisvaroitus- ja reagointijärjestelmästä vastaavan toimivaltaisen viranomaisen olisi voitava lisätä epidemiologisia lisätietoja, jotka rajoittuvat siihen, mitä kontaktien jäljittämiseen tarvitaan, eli tiedot tehdyn covid-19-testin tyypistä, SARS-CoV-2-viruksen muunnoksesta, näytteenottopäivästä ja oireiden ilmaantumispäivästä.
                  
               
                     (16)
                  
                  
                     Varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten on käsiteltävä PLF-tietojenvaihtoalustan kautta vaihdettuja tartunnan saaneiden matkustajien henkilötietoja Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (5) mukaisesti. Käsitellessään henkilötietoja kontaktien jäljittämiseksi ECDC:n on PLF-vaihtoalustasta vastaavana toimijana ja komission sen alikäsittelijänä noudatettava Euroopan parlamentin ja neuvoston asetusta (EU) 2018/1725 (6).
                  
               
                     (17)
                  
                  
                     Oikeusperusta tartunnan saaneiden matkustajien henkilötietojen, myös terveystietojen, vaihtamiselle varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten välillä kontaktien jäljittämistä varten vahvistetaan päätöksen 1082/2013/EU 9 artiklan 1 kohdassa ja 9 artiklan 3 kohdan i alakohdassa yhdessä asetuksen (EU) 2016/679 6 artiklan 1 kohdan c alakohdan ja 9 artiklan 2 kohdan i alakohdan kanssa. Tässä päätöksessä olisi säädettävä asianmukaisista ja erityisistä toimenpiteistä rekisteröidyn oikeuksien ja vapauksien turvaamiseksi. Niihin olisi sisällyttävä toimenpiteitä, jotka liittyvät tarpeellisten vaihdettavien tietokokonaisuuksien määrittelyyn, varhaisvaroitus- ja reagointijärjestelmästä vastaaviin toimivaltaisiin viranomaisiin, joiden kanssa tietoja olisi vaihdettava eri tapauksissa, asianmukaisiin turvatoimiin, kuten salaukseen, ja käytäntöihin, joiden mukaisesti tietoja käsitellään kansallisten toimivaltaisten viranomaisten välillä PLF-tietojenvaihtoalustan kautta Euroopan unionissa.
                  
               
                     (18)
                  
                  
                     PLF-tietojenvaihtoalustaan osallistuvat varhaisvaroitus- ja reagointijärjestelmästä vastaavat toimivaltaiset viranomaiset määrittävät yhdessä PLF-tietojenvaihtoalustalla tapahtuvan henkilötietojen käsittelyn tarkoituksen ja keinot ja ovat siksi yhteisrekisterinpitäjiä. Asetuksen (EU) 2016/679 26 artiklassa säädetään yhteisrekisterinpitäjien velvollisuudesta määrittää läpinäkyvällä tavalla vastuualueensa kyseisessä asetuksessa vahvistettujen velvoitteiden noudattamiseksi. Siinä säädetään myös, että nämä vastuualueet voidaan määritellä rekisterinpitäjiin sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä. Tässä päätöksessä olisi sen vuoksi määriteltävä yhteisrekisterinpitäjien tehtävät ja vastuualueet.
                  
               
                     (19)
                  
                  
                     PLF-tietojenvaihtoalustan teknisistä ja organisatorisista ratkaisuista vastaavana toimijana ECDC käsittelee PLF-tietoja ja epidemiologisia tietoja PLF-tietojenvaihtoalustaan yhteisrekisterinpitäjinä osallistuvien jäsenvaltioiden puolesta, minkä vuoksi se on asetuksen (EU) 2018/1725 3 artiklan 12 kohdassa tarkoitettu henkilötietojen käsittelijä. Asetuksen (EU) 2016/679 28 artiklan ja asetuksen (EU) 2018/1725 29 artiklan mukaan henkilötietojen käsittelijän suorittamaa käsittelyä on säänneltävä sopimuksella tai muulla unionin oikeuden tai jäsenvaltion lainsäädännön mukaisella oikeudellisella asiakirjalla, joka sitoo henkilötietojen käsittelijää suhteessa rekisterinpitäjään ja jossa määritellään käsittely. Sen vuoksi on tarpeen vahvistaa säännöt ECDC:n henkilötietojen käsittelijänä suorittamaa käsittelyä varten.
                  
               
                     (20)
                  
                  
                     Asetuksen (EY) N:o 851/2004 3 artiklan 3 kohdassa säädetään, että ECDC, komissio ja jäsenvaltiot tekevät yhteistyötä edistääkseen toimiensa keskinäistä johdonmukaisuutta. Tätä varten komission ja ECDC:n olisi tehtävä palvelutasosopimuksia, jotka koskevat yhteistyötä PLF-tietojenvaihtoalustan teknisen kehittämisen ja sen toiminnan aikana. Niissä on määriteltävä vastuunjako (organisatorinen, taloudellinen ja teknologinen) osapuolten välillä, jotta voidaan helpottaa PLF-tietojenvaihtoalustan ja sen toimintaan, ylläpitoon ja jatkokehittämiseen liittyvien teknisten toimenpiteiden täytäntöönpanoa.
                  
               
                     (21)
                  
                  
                     Sen vuoksi täytäntöönpanopäätöstä (EU) 2017/253 olisi muutettava.
                  
               
                     (22)
                  
                  
                     PLF-tietojenvaihtoalustan rahoitus vuodeksi 2021 saadaan hätätilanteen tukivälineestä sekä tukitoimista, jotka koskevat Euroopan liikennepolitiikkaa, liikenneturvallisuutta ja matkustajien oikeuksia, tiedotustoiminta mukaan luettuna. Hätätilanteen tukiväline perustettiin, jotta voidaan auttaa jäsenvaltioita koronaviruspandemian torjumisessa ja vastata tarpeisiin strategisesti ja koordinoidusti Euroopan tasolla. Vuonna 2022 PLF-tietojenvaihtoalusta rahoitetaan Digitaalinen Eurooppa -ohjelmasta.
                  
               
                     (23)
                  
                  
                     PLF-tietojenvaihtoalustan suunniteltu käyttöönottopäivä huomioon ottaen tätä päätöstä olisi sovellettava 1 päivästä kesäkuuta 2021. Tietojenvaihto olisi lopetettava 12 kuukauden kuluttua tai sen jälkeen, kun Maailman terveysjärjestön pääjohtaja on todennut kansainvälisen terveyssäännöstön mukaisesti, että SARS-CoV-2-viruksen aiheuttama kansainvälinen kansanterveysuhka on päättynyt, jos tällainen ilmoitus annetaan aikaisemmin.
                  
               
                     (24)
                  
                  
                     PLF-tietojenvaihtoalustaa olisi käytettävä ainoastaan covid-19-pandemian torjuntaan. Tulevaisuudessa sen toimintaa voitaisiin kuitenkin laajentaa täytäntöönpanopäätöksellä koskemaan muitakin epidemioita, jotka voivat edellyttää jäsenvaltioiden välistä PLF-tietojen vaihtamista kontaktien jäljittämistä varten, päätöksen 1082/2013/EU 9 artiklan 1 kohdassa esitettyjen perusteiden ja 9 artiklan 3 kohdassa esitettyjen edellytysten mukaisesti.
                  
               
                     (25)
                  
                  
                     Euroopan tietosuojavaltuutettua on kuultu asetuksen (EU) 2018/1725 42 artiklan 1 kohdan mukaisesti, ja tietosuojavaltuutettu on antanut lausunnon 6 päivänä toukokuuta 2021.
                  
               
                     (26)
                  
                  
                     Tässä päätöksessä säädetyt toimenpiteet ovat päätöksen N:o 1082/2013/EU 18 artiklan nojalla perustetun rajat ylittäviä vakavia terveysuhkia käsittelevän komitean lausunnon mukaiset,
                  
               ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:
         
            1 artikla
            Muutetaan täytäntöönpanopäätös (EU) 2017/253 seuraavasti:
            
                        1)
                     
                     
                        Lisätään 1 a artikla seuraavasti:
                        
                           ”1 a artikla
                           Määritelmät
                           Tässä päätöksessä tarkoitetaan:
                           
                                       a)
                                    
                                    
                                       ’matkustajatietolomakkeella’ tai ’PLF-lomakkeella’, lomaketta, joka täytetään kansanterveysviranomaisten pyynnöstä ja jolla kerätään matkustajilta vähintään liitteessä I esitetyt tiedot ja jonka avulla kyseiset viranomaiset voivat paremmin hallita kansanterveyteen vaikuttavaa tapahtumaa, kun ne pystyvät jäljittämään rajat ylittäviä matkustajia, jotka ovat saattaneet altistua SARS-CoV-2-tartunnan saaneelle henkilölle;
                                    
                                 
                                       b)
                                    
                                    
                                       ’matkustajatietolomakkeesta saatavilla tiedoilla’ tai ’PLF-tiedoilla’, PLF-lomakkeella kerättäviä henkilötietoja;
                                    
                                 
                                       c)
                                    
                                    
                                       ’digitaalisella yhteyspisteellä’ yhtä digitaalista sijaintia, jossa varhaisvaroitus- ja reagointijärjestelmästä vastaavat toimivaltaiset viranomaiset voivat turvatusti yhdistää kansalliset digitaaliset PLF-järjestelmänsä PLF-tietojenvaihtoalustaan;
                                    
                                 
                                       d)
                                    
                                    
                                       ’matkalla’ henkilön tekemää rajat ylittävää matkaa joukkoliikennevälineessä, jossa on ennalta määrätyt istumapaikat, ottaen huomioon kyseisen henkilön alkuperäinen lähtöpaikka ja lopullinen määränpää, kun tällainen matka voi käsittää yhden tai useamman matkaosuuden;
                                    
                                 
                                       e)
                                    
                                    
                                       ’matkaosuudella’ matkustajan tekemää rajat ylittävää yksittäistä matkaa, johon ei liity jatkoyhteyksiä tai lennon, junan, aluksen tai ajoneuvon vaihtoa;
                                    
                                 
                                       f)
                                    
                                    
                                       ’tartunnan saaneella matkustajalla’ matkustajaa, joka täyttää SARS-CoV-2-tartunnan laboratoriokriteerit;
                                    
                                 
                                       g)
                                    
                                    
                                       ’altistuneella henkilöllä’ matkustajaa tai muuta henkilöä, joka on ollut läheisessä yhteydessä tartunnan saaneeseen matkustajaan;
                                    
                                 
                                       h)
                                    
                                    
                                       ’varoituksella’ varhaisvaroitus- ja reagointijärjestelmään päätöksen 1082/2013/EY 9 artiklan mukaisesti tehtävää ilmoitusta.”
                                    
                                 
                     
                  
                        2)
                     
                     
                        Lisätään 2 a, 2 b ja 2 c artikla seuraavasti:
                        
                           ”2 a artikla
                           Alusta PLF-tietojen vaihtoa varten
                           
                              1.   Perustetaan tartunnan saaneiden matkustajien PLF-tietojen turvallista vaihtamista varten varhaisvaroitus- ja reagointijärjestelmän yhteyteen alusta, jäljempänä ’PLF-tietojenvaihtoalusta’, jonka ainoana tarkoituksena on mahdollistaa varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten suorittama SARS-CoV-2-virukselle altistuneiden henkilöiden kontaktijäljitys ja jolla täydennetään kyseisessä järjestelmässä olevaa selektiivistä viestintätoimintoa.
                              PLF-tietojenvaihtoalusta tarjoaa digitaalisen yhteyspisteen, johon varhaisvaroitus- ja reagointijärjestelmästä vastaavat toimivaltaiset viranomaiset voivat turvallisesti yhdistää kansalliset digitaaliset PLF-järjestelmänsä tai jonka avulla ne voivat ottaa yhteyden Euroopan unionin yhteiseen digitaaliseen matkustajatietolomakejärjestelmään, jäljempänä ’EUdPLF-järjestelmä’, PLF-lomakkeilla kerättyjen tietojen vaihtamiseksi.
                              Varhaisvaroitus- ja reagointijärjestelmästä vastaavat toimivaltaiset viranomaiset voivat käyttää PLF-tietojenvaihtoalustaa vaihtaakseen lisätietoja eli epidemiologisia tietoja, joiden ainoana tarkoituksena on SARS-CoV-2-virukselle altistuneiden henkilöiden kontaktijäljitys 2 b artiklan 5 kohdan mukaisesti.
                           
                           
                              2.   PLF-tietojenvaihtoalustan toiminnasta vastaa ECDC.
                           
                           
                              3.   Täyttääkseen 2 artiklan mukaiset velvoitteensa ilmoittaa vakavista rajat ylittävistä terveysuhkista, jotka havaitaan PLF-tietojen keruun yhteydessä, niiden jäsenvaltioiden varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten, jotka edellyttävät PLF-lomakkeen täyttämistä, on jaettava 2 b artiklassa tarkoitetut PLF-tietokokonaisuudet PLF-tietojenvaihtoalustalla.
                           
                           
                              4.   Varhaisvaroitus- ja reagointijärjestelmästä vastaavat toimivaltaiset viranomaiset voivat toistaiseksi jatkaa päätöksen 1082/2013/EU 9 artiklan 1 ja 3 kohdassa tarkoitettujen, rajat ylittävistä terveysuhkista varoittamista koskevien velvoitteidensa täyttämistä ilmoittamalla PLF-tietojen keruun yhteydessä havaituista uhkista muiden, tämän päätöksen 1 artiklan 2 kohdassa tarkoitettujen olemassa olevien viestintäkanavien kautta edellyttäen, että kyseinen valinta ei vaaranna kontaktijäljityksen tarkoitusta.
                           
                           
                              5.   PLF-tietoja ja epidemiologisia lisätietoja ei tallenneta PLF-tietojenvaihtoalustalle. Varhaisvaroitus- ja reagointijärjestelmästä vastaavat toimivaltaiset viranomaiset voivat vastaanottaa muiden varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten lähettämiä tietoja ainoastaan SARS-CoV-2-viruksen kontaktijäljitystä varten. ECDC käyttää tietoja ainoastaan PLF-tietojenvaihtoalustan moitteettoman toiminnan varmistamiseksi.
                           
                           
                              6.   Varhaisvaroitus- ja reagointijärjestelmästä vastaavat toimivaltaiset viranomaiset eivät saa säilyttää PLF-tietojenvaihtoalustan kautta saatuja PLF-tietoja ja epidemiologisia tietoja niiden kansallisissa SARS-CoV-2-viruksen kontaktijäljitystoimissa sovellettavaa säilytysaikaa pidempään.
                           
                           
                              7.   Komissio tekee ECDC:n kanssa yhteistyötä ECDC:lle tässä päätöksessä annettujen tehtävien hoitamiseksi, erityisesti sellaisten teknisten ja organisatoristen toimenpiteiden osalta, jotka liittyvät PLF-tietojenvaihtoalustan käyttöönottoon, täytäntöönpanoon, toimintaan, ylläpitoon ja jatkokehittämiseen.
                           
                           
                              8.   Henkilötietoja käsitellään PLF-tietojenvaihtoalustalla ainoastaan SARS-CoV-2-viruksen kontaktijäljitystä varten 31 päivään toukokuuta 2022 saakka tai kunnes Maailman terveysjärjestön pääjohtaja on todennut kansainvälisen terveyssäännöstön mukaisesti, että SARS-CoV-2-viruksen aiheuttama kansainvälinen kansanterveysuhka on päättynyt, sen mukaan, kumpi ajankohta on aikaisempi.
                           
                        
                        
                           2 b artikla
                           Vaihdettavat tiedot
                           
                              1.   Kun sen jäsenvaltion varhaisvaroitus- ja reagointijärjestelmästä vastaavat toimivaltaiset viranomaiset, jossa tartunnan saanut matkustaja tunnistettiin, antavat varoituksen PLF-tietojenvaihtoalustalla, niiden on toimitettava seuraavat PLF-tiedot tartunnan saaneen matkustajan alkuperäisen lähtöjäsenvaltion tai asuinjäsenvaltion varhaisvaroitus- ja reagointijärjestelmästä vastaaville toimivaltaisille viranomaisille, jos asuinpaikka on eri kuin alkuperäinen lähtöpaikka:
                              
                                          a)
                                       
                                       
                                          etunimi;
                                       
                                    
                                          b)
                                       
                                       
                                          sukunimi
                                       
                                    
                                          c)
                                       
                                       
                                          syntymäaika;
                                       
                                    
                                          d)
                                       
                                       
                                          puhelinnumero (lanka- ja/tai matkapuhelinnumero);
                                       
                                    
                                          e)
                                       
                                       
                                          sähköpostiosoite;
                                       
                                    
                                          f)
                                       
                                       
                                          kotiosoite.
                                       
                                    
                           
                              2.   Tartunnan saaneen matkustajan alkuperäisen lähtöjäsenvaltion varhaisvaroitus- ja reagointijärjestelmästä vastaavat toimivaltaiset viranomaiset voivat toimittaa vastaanotetut PLF-tiedot muulle lähtöjäsenvaltiolle kuin sille, joka on ilmoitettu alkuperäiseksi lähtöjäsenvaltioksi PLF-lomakkeessa, jos niillä on lisätietoja, jotka viittaavat jäsenvaltioon, jonka olisi jäljitettävä kontakti.
                           
                           
                              3.   Antaessaan varoituksen PLF-tietojenvaihtoalustalla sen jäsenvaltion varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten, jossa tartunnan saanut matkustaja tunnistettiin, on toimitettava seuraavat PLF-tiedot kyseisen matkustajan kustakin matkaosuudesta kaikkien jäsenvaltioiden varhaisvaroitus- ja reagointijärjestelmästä vastaaville toimivaltaisille:
                              
                                          a)
                                       
                                       
                                          kunkin asianomaisen liikennevälineen lähtöpaikka;
                                       
                                    
                                          b)
                                       
                                       
                                          kunkin asianomaisen liikennevälineen saapumispaikka;
                                       
                                    
                                          c)
                                       
                                       
                                          kunkin asianomaisen liikennevälineen lähtöpäivä;
                                       
                                    
                                          d)
                                       
                                       
                                          kunkin asianomaisen liikennevälineen tyyppi (lentokone, juna, linja-auto, lautta, alus);
                                       
                                    
                                          e)
                                       
                                       
                                          kunkin asianomaisen liikennevälineen tunnistenumero (lennon numero, junan numero, linja-auton rekisterikilpi, lautan tai aluksen nimi);
                                       
                                    
                                          f)
                                       
                                       
                                          istumapaikan/hytin numero kussakin asianomaisessa liikennevälineessä;
                                       
                                    
                                          g)
                                       
                                       
                                          tarvittaessa kunkin asianomaisen liikennevälineen lähtöaika.
                                       
                                    
                           
                              4.   Jos varoituksen antavan jäsenvaltion varhaisvaroitus- ja reagointijärjestelmästä vastaavat toimivaltaiset viranomaiset voivat määrittää asianomaiset jäsenvaltiot käytettävissään olevien tietojen perusteella, niiden on toimitettava 3 kohdassa luetellut tiedot ainoastaan kyseisten jäsenvaltioiden varhaisvaroitus- ja reagointijärjestelmästä vastaaville toimivaltaisille viranomaisille.
                           
                           
                              5.   Varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten on voitava toimittaa seuraavat epidemiologiset tiedot, jos se on tarpeen tehokkaan kontaktijäljityksen suorittamiseksi:
                              
                                          a)
                                       
                                       
                                          tehdyn testin tyyppi;
                                       
                                    
                                          b)
                                       
                                       
                                          SARS-CoV-2 viruksen muunnos;
                                       
                                    
                                          c)
                                       
                                       
                                          näytteenottopäivä;
                                       
                                    
                                          d)
                                       
                                       
                                          oireiden ilmaantumispäivä.
                                       
                                    
                        
                        
                           2 c artikla
                           Varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten ja ECDC:n vastuut PLF-tietojen käsittelyssä
                           
                              1.   PLF-tietoja ja 2 b artiklan 5 kohdassa tarkoitettuja tietoja vaihtavat varhaisvaroitus- ja reagointijärjestelmästä vastaavat toimivaltaiset viranomaiset ovat PLF-tietojenvaihtoalustan kautta jaettujen tietojen yhteisrekisterinpitäjiä niiden syöttämisestä ja siirtämisestä niiden vastaanottamiseen asti. Yhteisrekisterinpitäjien vastuut jaetaan liitteen II mukaisesti. Niiden jäsenvaltioiden, jotka haluavat osallistua PLF-tietojen rajat ylittävään vaihtoon PLF-tietojenvaihtoalustan kautta, on ilmoitettava ECDC:lle aikomuksestaan ennen liittymistä sekä yksilöitävä varhaisvaroitus- ja reagointijärjestelmästä vastaava toimivaltainen viranomaisensa, joka on nimetty vastaavaksi rekisterinpitäjäksi.
                           
                           
                              2.   PLF-tietojenvaihtoalustan kautta vaihdettujen henkilötietojen käsittelijänä toimii ECDC. Se vastaa PLF-tietojenvaihtoalustan toiminnasta, varmistaa sen kautta vaihdettujen tietojen turvatun käsittelyn, myös siirtämisen, ja noudattaa liitteessä III vahvistettuja henkilötietojen käsittelijän velvoitteita.
                           
                           
                              3.   ECDC ja varhaisvaroitus- ja reagointijärjestelmästä vastaavat toimivaltaiset viranomaiset, joilla on lupa käyttää PLF-tietojenvaihtoalustaa, testaavat ja arvioivat säännöllisesti niiden teknisten ja organisatoristen toimenpiteiden tehokkuutta, joilla varmistetaan PLF-tietojenvaihtoalustan kautta vaihdettujen PLF-tietojen käsittelyn turvallisuus.
                           
                           
                              4.   ECDC ottaa komission henkilötietojen alikäsittelijäksi ja varmistaa, että komissioon sovelletaan samoja tässä päätöksessä vahvistettuja tietosuojavelvoitteita.”
                           
                        
                     
                  
                        3)
                     
                     
                        Korvataan 3 artiklan 3 kohdassa ilmaisu ”liitteessä” ilmaisulla ”liitteessä IV”.
                     
                  
                        4)
                     
                     
                        Korvataan liitteessä otsikko ”LIITE” otsikolla ”LIITE IV”.
                     
                  
                        5)
                     
                     
                        Lisätään liitteet I, II ja III tämän päätöksen liitteen mukaisesti.
                     
                  
         
            2 artikla
            Tämä päätös tulee voimaan kolmantena päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.
            Sitä sovelletaan 1 päivästä kesäkuuta 2021.
         
         
            Tehty Brysselissä 27 päivänä toukokuuta 2021.
            
               
                  Komission puolesta
               
               
                  Puheenjohtaja
               
               Ursula VON DER LEYEN
            
         
         
            (1)  EUVL L 293, 5.11.2013, s. 1.
         
            (2)  EUVL L 337, 14.10.2020, s. 3.
         
            (3)  Euroopan parlamentin ja neuvoston asetus (EY) N:o 851/2004, annettu 21 päivänä huhtikuuta 2004, tautien ehkäisyn ja valvonnan eurooppalaisen keskuksen perustamisesta (EUVL L 142, 30.4.2004, s. 1).
         
            (4)  Valmiuteen ja toimiin saapumispaikoissa (satamat, lentoasemat ja maarajat) liittyvä yhteinen toimi Healthy Gateways kattaa 28 Euroopan maata, ja sitä rahoitetaan unionin kolmannesta terveysalan ohjelmasta (2014–2020).
         
            (5)  Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (EUVL L 119, 4.5.2016, s. 1).
         
            (6)  Euroopan parlamentin ja neuvoston asetus (EU) 2018/1725, annettu 23 päivänä lokakuuta 2018, luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta (EUVL L 295, 21.11.2018, s. 39).
      
      
         
            LIITE
            
               
                  
                     ”ANNEX I
                     KANSALLISESSA PLF-LOMAKKEESSA KERÄTTÄVIEN PLF-TIETOJEN VÄHIMMÄISMÄÄRÄ
                     PLF-lomakkeen on sisällettävä vähintään seuraavat PLF-tiedot:
                     
                                 1)
                              
                              
                                 etunimi;
                              
                           
                                 2)
                              
                              
                                 sukunimi
                              
                           
                                 3)
                              
                              
                                 syntymäaika;
                              
                           
                                 4)
                              
                              
                                 puhelinnumero (lanka- ja/tai matkapuhelinnumero);
                              
                           
                                 5)
                              
                              
                                 sähköpostiosoite;
                              
                           
                                 6)
                              
                              
                                 kotiosoite;
                              
                           
                                 7)
                              
                              
                                 koko matkan lopullinen tai viimeinen määräpaikka EU:ssa;
                              
                           
                                 8)
                              
                              
                                 seuraavat tiedot kustakin matkaosuudesta matkalla jäsenvaltioon, joka vaatii PLF-lomakkeen:
                                 
                                             a)
                                          
                                          
                                             lähtöpaikka;
                                          
                                       
                                             b)
                                          
                                          
                                             saapumispaikka;
                                          
                                       
                                             c)
                                          
                                          
                                             lähtöpäivä;
                                          
                                       
                                             d)
                                          
                                          
                                             liikennevälineen tyyppi (lentokone, juna, linja-auto, lautta, alus);
                                          
                                       
                                             e)
                                          
                                          
                                             lähtöaika;
                                          
                                       
                                             f)
                                          
                                          
                                             liikennevälineen tunnistenumero (lennon numero, junan numero, linja-auton rekisterikilpi, lautan tai aluksen nimi);
                                          
                                       
                                             g)
                                          
                                          
                                             istumapaikan/hytin numero.
                                          
                                       
                           
               
               
                  
                     LIITE II
                     
                        OSALLISTUVIEN JÄSENVALTIOIDEN VELVOLLISUUDET PLF-TIETOJENVAIHTOALUSTAN YHTEISREKISTERINPITÄJINÄ
                     
                     1 JAKSO
                     
                        Vastuunjako
                     
                     
                              
                                 1)
                              
                              
                                 Varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten on varmistettava, että PLF-tietojenvaihtoalustan kautta vaihdettavien PLF-tietojen ja epidemiologisten lisätietojen käsittely suoritetaan Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (*) mukaisesti. Etenkin niiden on varmistettava, että tiedot, jotka ne syöttävät PLF-tietojenvaihtoalustaan ja siirtävät sen kautta, ovat tarkkoja ja että ne rajoittuvat tämän päätöksen 2 b artiklassa säädettyihin tietoihin.
                              
                           
                              
                                 2)
                              
                              
                                 Varhaisvaroitus- ja reagointijärjestelmästä vastaavat toimivaltaiset viranomaiset ovat ainoat rekisterinpitäjät PLF-tietojenvaihtoalustan ulkopuolella tapahtuvan PLF-tietojen ja epidemiologisten lisätietojen keruun, käytön, julkistamisen ja minkä tahansa muun käsittelyn osalta. Varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten on varmistettava, että tietojen siirtäminen suoritetaan PLF-tietojenvaihtoalustaa varten vahvistettujen teknisten eritelmien mukaisesti.
                              
                           
                              
                                 3)
                              
                              
                                 Mikä tahansa yhteisrekisterinpitäjän yhteyspiste voi lähettää ohjeita henkilötietojen käsittelijälle muiden yhteisrekisterinpitäjien suostumuksella.
                              
                           
                              
                                 4)
                              
                              
                                 Ainoastaan varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten valtuuttamilla henkilöillä on pääsy PLF-tietojenvaihtoalustan kautta vaihdettaviin PLF-tietoihin ja epidemiologisiin lisätietoihin.
                              
                           
                              
                                 5)
                              
                              
                                 Varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten on perustettava yhteyspiste ja asiointipostilaatikko, jota käytetään yhteisrekisterinpitäjien välisessä sekä yhteisrekisterinpitäjien ja henkilötietojen käsittelijän välisessä viestinnässä. Yhteisrekisterinpitäjien päätöksentekoprosessia ohjaa varhaisvaroitus- ja reagointijärjestelmän terveysturvakomitean työryhmä.
                              
                           
                              
                                 6)
                              
                              
                                 Varhaisvaroitus- ja reagointijärjestelmästä vastaavat toimivaltaiset viranomaiset lakkaavat olemasta yhteisrekisterinpitäjiä siitä päivästä, jona niiden osallistuminen PLF-tietojenvaihtoalustaan peruutetaan. Ne ovat kuitenkin edelleen vastuussa PLF-tietojenvaihtoalustan kautta ennen peruutusta kerätyistä ja siirretyistä PLF-tiedoista ja epidemiologisista lisätiedoista.
                              
                           
                              
                                 7)
                              
                              
                                 Varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten on ylläpidettävä selostetta sen vastuulla olevista käsittelytoimista. Yhteinen rekisterinpito voidaan merkitä selosteeseen.
                              
                           2 JAKSO
                     
                        Rekisteröityjen esittämien pyyntöjen käsittelyyn ja heille tiedottamiseen liittyvät vastuut ja tehtävät
                     
                     
                              
                                 1)
                              
                              
                                 Varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten, jotka vaativat PLF-lomakkeen, on asetuksen (EU) 2016/679 13 ja 14 artiklan mukaisesti annettava rajat ylittäville matkustajille, jäljempänä ’rekisteröidyt’, tietoa olosuhteista, joissa heidän PLF-tietojaan ja epidemiologisia tietojaan vaihdetaan PLF-tietojenvaihtoalustan kautta kontaktien jäljittämistä varten.
                              
                           
                              
                                 2)
                              
                              
                                 Varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten on toimittava rekisteröityjen yhteyspisteenä ja käsiteltävä heidän itsensä tai heidän edustajiensa esittämät pyynnöt, jotka liittyvät rekisteröityjen oikeuksien käyttämiseen asetuksen (EU) 2016/679 mukaisesti. Varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten on nimettävä erityinen yhteyspiste rekisteröidyiltä saatuja pyyntöjä varten. Jos varhaisvaroitus- ja reagointijärjestelmästä vastaava toimivaltainen viranomainen saa rekisteröidyltä pyynnön, joka ei kuulu sen vastuualueeseen, sen on toimitettava pyyntö viipymättä asianomaiselle varhaisvaroitus- ja reagointijärjestelmästä vastaavalle toimivaltaiselle viranomaiselle ja ilmoitettava asiasta ECDC:lle. Varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten on pyynnöstä avustettava toisiaan rekisteröityjen esittämien, yhteisrekisterinpitäjiä koskevien pyyntöjen käsittelyssä ja vastattava toisilleen ilman aiheetonta viivytystä ja viimeistään 15 päivän kuluessa avunpyynnön vastaanottamisesta.
                              
                           
                              
                                 3)
                              
                              
                                 Varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten on annettava rekisteröityjen saataville tämän liitteen sisältö, mukaan lukien 1 ja 2 kohdassa säädetyt järjestelyt.
                              
                           3 JAKSO
                     
                        Tietoturvapoikkeamien hallinta, mukaan lukien henkilötietojen tietoturvaloukkaukset
                     
                     
                              
                                 1)
                              
                              
                                 Yhteisrekisterinpitäjinä varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten on avustettava toisiaan sellaisten tietoturvapoikkeamien, myös henkilötietojen tietoturvaloukkausten, tunnistamisessa ja käsittelyssä, jotka liittyvät PLF-tietojenvaihtoalustalla vaihdettujen PLF-tietojen ja epidemiologisten tietojen käsittelyyn.
                              
                           
                              
                                 2)
                              
                              
                                 Niiden on ilmoitettava toisilleen ja ECDC:lle erityisesti seuraavista:
                                 
                                             a)
                                          
                                          
                                             PLF-tietojenvaihtoalustalla käsiteltävänä olevien PLF-tietojen ja epidemiologisten tietojen saatavuuteen, luottamuksellisuuteen ja/tai koskemattomuuteen mahdollisesti tai tosiasiallisesti kohdistuvat riskit;
                                          
                                       
                                             b)
                                          
                                          
                                             kaikki henkilötietojen tietoturvaloukkaukset, tietoturvaloukkauksen todennäköiset seuraukset ja luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvan riskin arviointi sekä kaikki toimenpiteet, joilla puututaan henkilötietojen tietoturvaloukkaukseen ja lievennetään luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvaa riskiä;
                                          
                                       
                                             c)
                                          
                                          
                                             käsittelytoimien teknisten ja/tai organisatoristen suojajärjestelyjen rikkominen PLF-tietojenvaihtoalustalla.
                                          
                                       
                           
                              
                                 3)
                              
                              
                                 Varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten on ilmoitettava kaikista PLF-tietojenvaihtoalustalla tapahtuviin käsittelytoimiin liittyvistä tietoturvaloukkauksista ECDC:lle, toimivaltaisille valvontaviranomaisille ja tarvittaessa rekisteröidyille asetuksen (EU) 2016/679 33 ja 34 artiklan mukaisesti tai ECDC:n ilmoitettua asiasta.
                              
                           
                              
                                 4)
                              
                              
                                 Varhaisvaroitus- ja reagointijärjestelmästä vastaavien toimivaltaisten viranomaisten on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet, joiden tarkoituksena on
                                 
                                             a)
                                          
                                          
                                             varmistaa ja suojella yhteisesti käsiteltävien henkilötietojen turvallisuutta, koskemattomuutta ja luottamuksellisuutta;
                                          
                                       
                                             b)
                                          
                                          
                                             suojella niiden hallussa olevia henkilötietoja luvattomalta tai laittomalta käsittelyltä, hävittämiseltä, käytöltä tai hankkimiselta tai pääsyltä niihin;
                                          
                                       
                                             c)
                                          
                                          
                                             varmistaa, että pääsyä henkilötietoihin ei luovuteta eikä anneta muille kuin vastaanottajalle tai henkilötietojen käsittelijälle.
                                          
                                       
                           4 JAKSO
                     
                        Tietosuojaa koskeva vaikutustenarviointi
                     
                     Jos rekisterinpitäjä tarvitsee tietoja toiselta rekisterinpitäjältä täyttääkseen asetuksen (EU) 2016/679 35 ja 36 artiklassa säädetyt velvollisuutensa, sen on lähetettävä erityinen pyyntö 1 jakson 1 alajakson 5 kohdassa tarkoitettuun asiointipostilaatikkoon. Viimeksi mainitun on tehtävä parhaansa tällaisten tietojen toimittamiseksi.
                  
               
               
                  
                     LIITE III
                     ECDC:N VELVOLLISUUDET PLF-TIETOJENVAIHTOALUSTAN HENKILÖTIETOJEN KÄSITTELIJÄNÄ
                     
                        1)   
                        ECDC:n on perustettava ja varmistettava sellainen turvallinen ja luotettava viestintäinfrastruktuuri, joka yhdistää PLF-tietojenvaihtoalustaan osallistuvien jäsenvaltioiden varhaisvaroitus- ja reagointijärjestelmästä vastaavat toimivaltaiset viranomaiset.
                        ECDC käsittelee tietoja PLF-tietojenvaihtoalustalla seuraavasti:
                        
                                    a)
                                 
                                 
                                    määrittelee tekniset vähimmäisvaatimukset, jotka mahdollistavat kansallisten PLF-tietokantojen moitteettoman ja turvatun alustaan liittämisen ja poistamisen;
                                 
                              
                                    b)
                                 
                                 
                                    varmistaa kansallisten PLF-tietokantojen yhteentoimivuuden turvatusti ja automaattisesti.
                                 
                              
                     
                        2)   
                        Täyttääkseen velvoitteensa PLF-tietojenvaihtoalustan henkilötietojen käsittelijänä ECDC:n on otettava komissio henkilötietojen alikäsittelijäksi ja varmistettava, että komissioon sovelletaan tässä päätöksessä vahvistettuja samoja tietosuojavelvoitteita.
                        ECDC voi valtuuttaa komission ottamaan kolmansia osapuolia mukaan uusina henkilötietojen alikäsittelijöinä.
                        Jos komissio ottaa mukaan henkilötietojen alikäsittelijöitä, ECDC:n on
                        
                                    a)
                                 
                                 
                                    varmistettava, että näihin henkilötietojen alikäsittelijöihin sovelletaan tässä päätöksessä vahvistettuja samoja tietosuojavelvoitteita;
                                 
                              
                                    b)
                                 
                                 
                                    ilmoitettava rekisterinpitäjille kaikista suunnitelluista muutoksista, jotka koskevat henkilötietojen alikäsittelijöiden lisäämistä tai korvaamista, mikä antaa rekisterinpitäjille mahdollisuuden vastustaa tällaisia muutoksia yksinkertaisella enemmistöllä.
                                 
                              
                     
                        3)   
                        ECDC:n on
                        
                                    a)
                                 
                                 
                                    perustettava ja varmistettava turvallinen ja luotettava viestintäinfrastruktuuri, joka yhdistää PLF-alustaan osallistuvien jäsenvaltioiden varhaisvaroitus- ja reagointijärjestelmästä vastaavat toimivaltaiset viranomaiset toisiinsa;
                                 
                              
                                    b)
                                 
                                 
                                    käsiteltävä PLF-tietoja ja epidemiologisia lisätietoja ainoastaan rekisterinpitäjiltä saatujen dokumentoitujen ohjeiden perusteella, ellei käsittelyä edellytetä unionin lainsäädännössä. Tässä tapauksessa ECDC tiedottaa rekisterinpitäjille tästä oikeudellisesta vaatimuksesta ennen käsittelyä, paitsi jos tällainen tiedottaminen kielletään kyseisessä lainsäädännössä yleistä etua koskevien tärkeiden syiden vuoksi;
                                 
                              
                                    c)
                                 
                                 
                                    laadittava turvasuunnitelma, jatkuvuussuunnitelma ja palautumissuunnitelma;
                                 
                              
                                    d)
                                 
                                 
                                    toteutettava tarvittavat toimenpiteet käsiteltyjen PLF-tietojen ja epidemiologisten lisätietojen eheyden säilyttämiseksi;
                                 
                              
                                    e)
                                 
                                 
                                    toteutettava kaikki ajanmukaiset PLF-tietojenvaihtoalustan ylläpitoon tarvittavat organisatoriset, fyysiset ja sähköiset turvajärjestelyt. Tätä varten ECDC:n on
                                    
                                                i)
                                             
                                             
                                                nimettävä taho, joka vastaa turvallisuudenhallinnasta PLF-tietojenvaihtoalustan tasolla, ilmoitettava sen yhteystiedot rekisterinpitäjille ja huolehdittava siitä, että se on käytettävissä turvallisuusuhkiin reagoimiseksi;
                                             
                                          
                                                ii)
                                             
                                             
                                                otettava vastuu PLF-tietojenvaihtoalustan turvallisuudesta;
                                             
                                          
                                                iii)
                                             
                                             
                                                varmistettava, että kaikkiin henkilöihin, joille myönnetään PLF-tietojenvaihtoalustan käyttöoikeus, sovelletaan sopimukseen perustuvaa, ammatillista tai lakisääteistä salassapitovelvollisuutta;
                                             
                                          
                              
                                    f)
                                 
                                 
                                    toteutettava kaikki tarvittavat turvatoimet, jotta vältetään PLF-tietojenvaihtoalustan sujuvan toiminnan vaarantuminen. Tätä varten ECDC:n on otettava käyttöön erityisiä menettelyjä, jotka liittyvät PLF-tietojenvaihtoalustan toimintaan sekä taustapalvelinten ja PLF-tietojenvaihtoalustan väliseen yhteyteen. Tähän sisältyvät:
                                    
                                                i)
                                             
                                             
                                                riskinarviointimenettely, jolla tunnistetaan ja arvioidaan mahdolliset järjestelmään kohdistuvat uhkat;
                                             
                                          
                                                ii)
                                             
                                             
                                                tarkastus- ja valvontamenettely, jolla
                                                
                                                            1)
                                                         
                                                         
                                                            tarkastetaan, että toteutetut turvatoimet ja sovellettava turvasäännöstö vastaavat toisiaan;
                                                         
                                                      
                                                            2)
                                                         
                                                         
                                                            tarkastetaan säännöllisesti järjestelmätiedostojen koskemattomuus, turvaparametrit ja myönnetyt käyttöluvat;
                                                         
                                                      
                                                            3)
                                                         
                                                         
                                                            valvotaan ja seurataan tietoturvaloukkauksia ja järjestelmään tunkeutumisia;
                                                         
                                                      
                                                            4)
                                                         
                                                         
                                                            tehdään muutokset tunnettujen turvallisuuspuutteiden lieventämiseksi;
                                                         
                                                      
                                                            5)
                                                         
                                                         
                                                            annetaan, myös rekisterinpitäjien pyynnöstä, mahdollisuus suorittaa riippumattomia tarkastuksia, myös tarkastuskäyntejä ja valvontatoimia, jotka liittyvät turvatoimenpiteisiin, ja myötävaikutetaan niihin, noudattaen ehtoja, joissa kunnioitetaan Euroopan unionin toiminnasta tehtyyn sopimukseen liitettyä pöytäkirjaa (N:o 7) Euroopan unionin erioikeuksista ja vapauksista (2);
                                                         
                                                      
                                          
                                                iii)
                                             
                                             
                                                valvontamenettelyn muuttaminen siten, että dokumentoidaan ja mitataan muutoksen vaikutus ennen sen toteuttamista ja pidetään rekisterinpitäjät ajan tasalla muutoksista, jotka voivat vaikuttaa viestintään niiden infrastruktuurien kanssa ja/tai näiden turvallisuuteen;
                                             
                                          
                                                iv)
                                             
                                             
                                                sellaisen huolto- ja korjausmenettelyn luominen, jossa määritellään säännöt ja ehdot, joita on noudatettava, kun laitteisto kaipaa huoltoa ja/tai korjausta;
                                             
                                          
                                                v)
                                             
                                             
                                                sellaisen tietoturvapoikkeamamenettelyn luominen, jossa määritellään raportointi- ja eskalointimenettely ja jolla mahdollisesta tietoturvaloukkauksesta ilmoitetaan viipymättä rekisterinpitäjille, jotta nämä voivat ilmoittaa kansallisille tietosuojaviranomaisille, ja jossa määritellään tietoturvaloukkauksissa sovellettava kurinpitomenettely;
                                             
                                          
                              
                                    g)
                                 
                                 
                                    toteutettava ajanmukaisia fyysisiä ja/tai sähköisiä turvajärjestelyjä, joita sovelletaan niihin yksiköihin, jotka isännöivät PLF-tietojenvaihtoalustaan kuuluvia laitteita, sekä tietojen ja suojatun pääsyn valvontaan. Tätä varten ECDC:n on
                                    
                                                i)
                                             
                                             
                                                toteutettava fyysiseen turvallisuuteen liittyviä toimenpiteitä, joiden avulla perustetaan selkeät turva-alueet ja voidaan havaita tietoturvaloukkaukset;
                                             
                                          
                                                ii)
                                             
                                             
                                                valvottava yksiköihin pääsyä ja pidettävä vierailijarekisteriä jäljittämisen mahdollistamiseksi;
                                             
                                          
                                                iii)
                                             
                                             
                                                varmistettava, että ulkopuolisilla henkilöillä, joille on myönnetty pääsy tiloihin, on asianmukaisesti valtuutettu henkilöstön jäsen saattajana;
                                             
                                          
                                                iv)
                                             
                                             
                                                varmistettava, että laitteita ei voida lisätä, korvata tai poistaa ilman nimettyjen vastuussa olevien elinten ennakolta myöntämää lupaa;
                                             
                                          
                                                v)
                                             
                                             
                                                valvottava pääsyä kansallisista PLF-järjestelmistä PLF-tietojenvaihtoalustaan ja päinvastoin;
                                             
                                          
                                                vi)
                                             
                                             
                                                varmistettava, että PLF-tietojenvaihtoalustaan pääsevät henkilöt tunnistetaan ja heidän henkilöllisyytensä varmistetaan;
                                             
                                          
                                                vii)
                                             
                                             
                                                tarkasteltava PLF-tietojenvaihtoalustan käyttöön oikeuttavia valtuutuksia uudelleen, jos ilmenee infrastruktuuriin vaikuttava tietoturvaloukkaus;
                                             
                                          
                                                viii)
                                             
                                             
                                                toteutettava teknisiä ja organisatorisia turvajärjestelyjä, joilla estetään luvaton pääsy PLF-tietoihin ja epidemiologisiin lisätietoihin;
                                             
                                          
                                                ix)
                                             
                                             
                                                toteutettava tarvittaessa toimenpiteitä, joilla estetään luvaton pääsy PLF-tietojenvaihtoalustalle kansallisten viranomaisten verkkoalueelta (eli estetään sijainti tai IP-osoite);
                                             
                                          
                              
                                    h)
                                 
                                 
                                    toteutettava toimenpiteet verkkoalueensa suojelemiseksi, mukaan luettuna yhteyksien katkaiseminen, jos laatuun ja turvallisuuteen liittyvistä periaatteista ja toimintamalleista poiketaan merkittävästi;
                                 
                              
                                    i)
                                 
                                 
                                    pidettävä yllä vastuualueeseensa liittyvää riskinhallintasuunnitelmaa;
                                 
                              
                                    j)
                                 
                                 
                                    seurattava tosiaikaisesti kaikkien PLF-tietojenvaihtoalustan palvelukomponenttien toimivuutta, laadittava säännöllisesti tilastoja ja huolehdittava kirjanpidosta;
                                 
                              
                                    k)
                                 
                                 
                                    varmistettava, että palvelu on saatavilla ympärivuorokautisesti, kun otetaan huomioon ylläpitoon tarvittavat kohtuulliset käyttökatkokset;
                                 
                              
                                    l)
                                 
                                 
                                    tarjottava kaikkiin PLF-tietojenvaihtoalustan palveluihin liittyvää tukea englanniksi puhelimitse, postitse tai verkkoportaalin kautta ja vastattava valtuutettujen tahojen yhteydenottoihin. Valtuutettuja tahoja ovat PLF-tietojenvaihtoalustan koordinaattorit ja niiden neuvontapalvelut, hankevastaavat ja ECDC:n palveluksessa olevat nimetyt henkilöt;
                                 
                              
                                    m)
                                 
                                 
                                    avustettava rekisterinpitäjiä mahdollisuuksien mukaan asianmukaisin teknisin ja organisatorisin toimenpitein, jotta rekisterinpitäjät voivat täyttää velvollisuutensa vastata pyyntöihin, jotka koskevat asetuksen (EU) 2016/679 III luvussa säädettyjen rekisteröidyn oikeuksien käyttämistä;
                                 
                              
                                    n)
                                 
                                 
                                    tuettava rekisterinpitäjiä antamalla tietoja PLF-tietojenvaihtoalustasta asetuksen (EU) 2016/679 32, 35 ja 36 artiklassa säädettyjen velvoitteiden täyttämiseksi;
                                 
                              
                                    o)
                                 
                                 
                                    varmistettava, että PLF-tietojenvaihtoalustan kautta toimitetut PLF-tiedot ja epidemiologiset lisätiedot eivät ole sellaisille henkilöille ymmärrettävässä muodossa, joilla ei ole lupaa päästä tietoihin;
                                 
                              
                                    p)
                                 
                                 
                                    toteutettava kaikki tarvittavat toimenpiteet sen estämiseksi, että PLF-tietojenvaihtoalustan operaattoreilla olisi luvaton pääsy siirrettyihin PLF-tietoihin ja epidemiologisiin lisätietoihin;
                                 
                              
                                    q)
                                 
                                 
                                    toteutettava toimenpiteitä, joilla helpotetaan yhteentoimivuutta ja viestintää PLF-tietojenvaihtoalustan nimettyjen rekisterinpitäjien välillä;
                                 
                              
                                    r)
                                 
                                 
                                    ylläpidettävä rekisterinpitäjien puolesta selostetta suoritetuista käsittelytoimista Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 31 artiklan 2 kohdan mukaisesti.
                                 
                              
                  
               ”
            
               (*)  Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (EUVL L 119, 4.5.2016, s. 1).