CELEX: 32021D0858
Language: da
Date: 2021-05-27 00:00:00
Title: Kommissionens gennemførelsesafgørelse (EU) 2021/858 af 27. maj 2021 om ændring af gennemførelsesafgørelse (EU) 2017/253 for så vidt angår varslinger som følge af alvorlige grænseoverskridende sundhedstrusler og for kontaktopsporing af passagerer identificeret via kontaktopsporingsformularer (EØS-relevant tekst)

28.5.2021   
               
               
                  DA
               
               
                  Den Europæiske Unions Tidende
               
               
                  L 188/106
               
            
         KOMMISSIONENS GENNEMFØRELSESAFGØRELSE (EU) 2021/858
         af 27. maj 2021
         om ændring af gennemførelsesafgørelse (EU) 2017/253 for så vidt angår varslinger som følge af alvorlige grænseoverskridende sundhedstrusler og for kontaktopsporing af passagerer identificeret via kontaktopsporingsformularer
         (EØS-relevant tekst)
         EUROPA-KOMMISSIONEN HAR —
         under henvisning til traktaten om Den Europæiske Unions funktionsmåde,
         under henvisning til Europa-Parlamentets og Rådets afgørelse nr. 1082/2013/EU af 22. oktober 2013 om alvorlige grænseoverskridende sundhedstrusler og om ophævelse af beslutning nr. 2119/98/EF (1), særlig artikel 8, stk. 2, og
         ud fra følgende betragtninger:
         
                     (1)
                  
                  
                     Konstatering af et positivt tilfælde af covid-19 som følge af en grænseoverskridende rejse opfylder kriterierne i artikel 9, stk. 1, i afgørelse nr. 1082/2013/EU, da det stadig kan forårsage betydelig dødelighed hos mennesker, da det vil kunne vokse hurtigt, da det berører mere end én medlemsstat, og da det vil kunne nødvendiggøre en koordineret indsats på EU-plan. I overensstemmelse med punkt 23 i henstilling (EU) 2020/1475 af 13. oktober 2020 om en koordineret tilgang til restriktioner for den frie bevægelighed som reaktion på covid-19-pandemien (2) bør oplysninger om påviste covid-19-tilfælde ved en persons ankomst til en medlemsstats område af hensyn til kontaktopsporing straks deles med de offentlige sundhedsmyndigheder i de lande, den pågældende person har opholdt sig i inden for de seneste 14 dage, ved hjælp af systemet for tidlig varsling og reaktion, som blev oprettet ved artikel 8 i afgørelse nr. 1082/2013/EU, og som drives af Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme (ECDC).
                  
               
                     (2)
                  
                  
                     I henhold til henstilling (EU) 2020/1475 kan medlemsstaterne kræve, at personer, der rejser ind på deres område, skal udfylde en kontaktopsporingsformular i overensstemmelse med databeskyttelseskravene.
                  
               
                     (3)
                  
                  
                     Ved at indføre obligatorisk udfyldelse af nationale kontaktopsporingsformularer i forskellige formater indsamler medlemsstaterne kontaktopsporingsformulardata om passagerer, som krydser grænser og rejser ind på deres område. Én anvendelse af disse oplysninger er, hvis en person, som har udfyldt en kontaktopsporingsformular, er testet positiv for covid-19, så kan de oplysninger, som er indsamlet via kontaktopsporingsformularen, anvendes til at fastslå personens rejserute og overføre relevante oplysninger til de medlemsstater, som skal fortage kontaktopsporingsprocedurer for personer, som kan have været eksponeret for den smittede passager.
                  
               
                     (4)
                  
                  
                     Offentlige sundhedsmyndigheder i visse medlemsstater har allerede udvekslet personoplysninger, som er indsamlet via nationale kontaktopsporingsformularer, med henblik på kontaktopsporing i forbindelse med covid-19-pandemien. Denne udveksling har navnlig fundet sted via den nuværende tekniske infrastruktur under systemet for tidlig varsling og reaktion.
                  
               
                     (5)
                  
                  
                     Den nuværende tekniske infrastruktur under systemet for tidlig varsling og reaktion er endnu ikke konstrueret til at håndtere den mængde af kontaktopsporingsformulardata, der genereres ved systematisk og massiv anvendelse af kontaktopsporingsformularer. Den kan f.eks. ikke oversætte mellem forskellige nationale formater og kræver manuel indtastning, hvilket har en negativ indvirkning på kontaktopsporingens rettidighed og effektivitet. Dette er navnlig tilfældet, når kontaktopsporing skal udføres i forbindelse med passagerer, som krydser grænser og har rejst med kollektive transportmidler med på forhånd tildelte pladsnumre, såsom fly, visse tog, færger og krydstogter, hvor antallet af eksponerede passagerer og eksponeringstiden for en smittet passager kan være betydelig.
                  
               
                     (6)
                  
                  
                     Der bør derfor oprettes en teknisk infrastruktur – kaldet »platformen til udveksling af kontaktopsporingsformularer« – for at muliggøre sikker, rettidig og effektiv udveksling af oplysninger mellem medlemsstaternes kompetente myndigheder for systemet for tidlig varsling og reaktion ved at muliggøre overførsel af oplysninger fra deres eksisterende nationale digitale kontaktopsporingssystemer til andre kompetente myndigheder inden for systemet for tidlig varsling og reaktion på en interoperabel og automatisk måde. Infrastrukturen bør bygge på den udvekslingsplatform, som Det Europæiske Luftfartssikkerhedsagentur (»EASA«) allerede har udviklet, selv om EASA ikke spiller en rolle i forbindelse med behandlingen af personoplysninger via platformen til udveksling af kontaktopsporingsformularer som fastsat i denne gennemførelsesafgørelse. Platformen til udveksling af kontaktopsporingsformularer bør også muliggøre udveksling af begrænsede epidemiologiske data, som er nødvendige for kontaktopsporing, jf. artikel 9, stk. 3, i afgørelse nr. 1082/2013/EU. For at undgå overlapning af aktiviteter eller aktioner, der strider mod eksisterende strukturer og mekanismer til overvågning, tidlig varsling og bekæmpelse af alvorlige grænseoverskridende sundhedstrusler, bør platformen til udveksling af kontaktopsporingsformularer udvikles under systemet for tidlig varsling og reaktion som et supplement til den selektive meddelelsesfunktionalitet, som findes i det system.
                  
               
                     (7)
                  
                  
                     Platformen til udveksling af kontaktopsporingsformularer bør drives af Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme, jf. artikel 8 i Europa-Parlamentets og Rådets forordning (EF) nr. 851/2004 (3).
                  
               
                     (8)
                  
                  
                     De kontaktopsporingsformulardata og epidemiologiske data, der skal udveksles, bør ikke lagres på platformen til udveksling af kontaktopsporingsformularer.
                  
               
                     (9)
                  
                  
                     Hvis en medlemsstat ikke har et nationalt udviklet digitalt kontaktopsporingssystem, kan den anvende det fælles europæiske digitale system for kontaktopsporingsformularer, som konsortiet »EU Healthy Gateways« af Kommissionen fik til opgave at udvikle (tilskudsaftale nr. 801493) (4). Formålet med det fælles europæiske digitale system for kontaktopsporingsformularer er at skabe et centralt indgangssted og en database for indsamling af kontaktopsporingsformularer. I fremtiden bør det fælles europæiske digitale system for kontaktopsporingsformularer forbindes med platformen til udveksling af kontaktopsporingsformularer udelukkende med henblik på at muliggøre udveksling af oplysninger mellem medlemsstaterne med deres egne nationale digitale kontaktopsporingsformularsystemer på den ene side og de medlemsstater, som anvender det fælles europæiske digitale system for kontaktopsporingsformularer på den anden side. Denne afgørelse vedrører ikke oprettelsen af det fælles europæiske digitale system for kontaktopsporingsformularer og regulerer ikke behandlingen af personoplysninger i forbindelse med den.
                  
               
                     (10)
                  
                  
                     Denne afgørelse regulerer ikke oprettelsen af nationale kontaktopsporingsformularer, da dette er et anliggende for de enkelte medlemsstater. Medlemsstaterne kan selv vælge, om de indsamler kontaktopsporingsformularer fra alle passagerer, der ankommer til deres område, eller kun fra passagerer, der har den pågældende medlemsstat som deres endelige bestemmelsessted. Effektiv grænseoverskridende kontaktopsporing på baggrund af kontaktopsporingsformulardata kræver, at medlemsstaterne indsamler et fælles minimumssæt af kontaktopsporingsformulardata gennem deres nationale kontaktopsporingsformularer. Disse minimumssæt af kontaktopsporingsformulardata bør derfor fastsættes. Desuden bør medlemsstaterne af hensyn til omkostningseffektivitet, bæredygtighed og skærpet sikkerhed for løsningen overveje at vedtage en fælles tilgang med hensyn til krav om kontaktopsporingsformularer fra alle passagerer, herunder transitpassager, eller kun fra de passagerer, som har den pågældende medlemsstat som deres endelige bestemmelsessted.
                  
               
                     (11)
                  
                  
                     Anvendelsen af platformen til udveksling af kontaktopsporingsformularer bør være frivillig, og medlemsstaterne bør frit kunne meddele varslinger under den nuværende eksisterende tekniske infrastruktur for systemet for tidlig varsling og reaktion, på et midlertidigt grundlag, og hvis de ikke er til skade for kontaktopsporingen.
                  
               
                     (12)
                  
                  
                     De kompetente myndigheder for systemet for tidlig varsling og reaktion bør kun udveksle veldefinerede sæt af data indsamlet via deres kontaktopsporingsformularer og andre begrænsede epidemiologiske data, der er nødvendige for kontaktopsporingen, i overensstemmelse med minimeringsprincippet for behandling af personoplysninger. Hvis den medlemsstat, som meddeler varsling om en smittet passager, på baggrund af de kontaktopsporingsformulardata, den har til rådighed, kan identificere alle berørte medlemsstater, bør den kun overføre data til de pågældende medlemsstaters kompetente myndigheder for systemet for tidlig varsling og reaktion. Dette er f.eks. tilfældet, når den medlemsstat, som har identificeret den smittede passager, indsamler kontaktopsporingsformularer for alle passagerer, herunder transitpassagerer, som ankommer til dens område med en direkte forbindelse fra det oprindelige afrejsested.
                  
               
                     (13)
                  
                  
                     Hvis det påvises, at en passager er smittet med SARS-CoV-2 i en medlemsstat, bør medlemsstatens kompetente myndigheder for systemet for tidlig varsling og reaktion med afgangsmedlemsstatens kompetente myndigheder for systemet for tidlig varsling og reaktion kunne dele et begrænset sæt data fra kontaktopsporingsformularerne, som bør være defineret præcist i forhold til, hvad der er nødvendigt for at kunne udføre kontaktopsporingen af eksponerede personer i afgangsmedlemsstaten og bopælsmedlemsstaten, hvis denne er en anden end afgangsmedlemsstaten – nemlig den smittede passagers identitet og kontaktoplysninger.
                  
               
                     (14)
                  
                  
                     Hvis det påvises, at en person er smittet med SARS-CoV-2 i en medlemsstat, bør den pågældende medlemsstats kompetente myndigheder for systemet for tidlig varsling og reaktion også være i stand til at dele et begrænset sæt data med alle medlemsstaternes eller de berørte medlemsstaters kompetente myndigheder for systemet for tidlig varsling og reaktion, hvis disse myndigheder råder over oplysninger, som gør det muligt for dem at identificere disse medlemsstater. Oplysningerne bør begrænses til afgangsstedet, ankomststedet, afgangsdatoen, transportmidlets art (dvs. fly, tog, bus, færge, skib), transporttjenestens identifikationsnummer – dvs. rutenummer, tognummer, bussens nummerplade, færgens eller skibets navn – den smittede persons plads- eller kahytnummer og afgangstidspunktet, hvis ovenstående oplysninger ikke er tilstrækkelige til at identificere transporten. Dette bør gøre det muligt for de modtagende kompetente myndigheder for systemet for tidlig varsling og reaktion at fastslå, om eksponerede passagerer ankom til deres område, og i givet fald udføre kontaktopsporing.
                  
               
                     (15)
                  
                  
                     Når den relevante kompetente myndighed for systemet for tidlig varsling og reaktion deler oplysninger med andre kompetente myndigheder for systemet for tidlig varsling og reaktion via platformen til udveksling af kontaktopsporingsformularer, bør myndigheden kunne tilføje epidemiologiske oplysninger, alt efter hvad der er nødvendigt for at udføre kontaktopsporingen, dvs. typen af den udførte covid-19-test, varianten af SARS-CoV-2-virusset og datoen for test og for symptomernes indtræden.
                  
               
                     (16)
                  
                  
                     Behandlingen af personoplysninger på smittede passagerer, der er udvekslet via platformen til udveksling af kontaktopsporingsformularer, skal foretages af de kompetente myndigheder for systemet for tidlig varsling, jf. Europa-Parlamentets og Rådets forordning (EU) 2016/679 (5). Behandlingen af personoplysninger på Det Europæiske Center for Forebyggelse af og Kontrol med Sygdommes ansvar som operatør af platformen til udveksling af kontaktopsporingsformularer med henblik på kontaktopsporing og Kommissionen som dets underdatabehandler skal ske i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (6).
                  
               
                     (17)
                  
                  
                     Retsgrundlaget for udvekslingen af de smittede personers personoplysninger, herunder sundhedsdata, mellem de kompetente myndigheder for systemet for tidlig varsling og reaktion med henblik på kontaktopsporing er fastsat i artikel 9, stk. 1, og stk. 3, litra i), i afgørelse nr. 1082/2013/EU, i overensstemmelse med artikel 6, stk. 1, litra c), og artikel 9, stk. 2, litra i), i forordning (EU) 2016/679. Ved denne afgørelse bør der fastsættes passende og specifikke foranstaltninger til beskyttelse af den registreredes rettigheder og frihedsrettigheder. Disse bør omfatte foranstaltninger i forbindelse med fastlæggelsen af de nødvendige datasæt, som skal udveksles, de kompetente myndigheder for systemet for tidlig varsling og reaktion, med hvilke oplysninger bør udveksles i de forskellige sager, passende sikkerhedsforanstaltninger, herunder kryptering, og metoder til behandling af oplysninger mellem de nationale kompetente myndigheder via platformen til udveksling af kontaktopsporingsformularer i Unionen.
                  
               
                     (18)
                  
                  
                     De kompetente myndigheder for systemet for tidlig varsling og reaktion, som deltager i platformen til udveksling af kontaktopsporingsformularer, fastlægger sammen formålet med og midlerne til behandlingen af personoplysninger på platformen til udveksling af kontaktopsporingsformularer og er derfor fælles dataansvarlige. Med artikel 26 i forordning (EU) 2016/679 pålægges de fælles dataansvarlige på en gennemsigtig måde at fastlægge deres respektive ansvar for overholdelse af forpligtelserne i henhold til nævnte forordning. Ved nævnte artikel fastsættes også muligheden for, at disse ansvar kan fastlægges i EU-retten eller medlemsstaternes nationale ret, som de dataansvarlige er underlagt. Denne afgørelse bør derfor fastlægge roller og ansvar for de fælles dataansvarlige.
                  
               
                     (19)
                  
                  
                     Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme behandler som leverandør af tekniske og organisatoriske løsninger til platformen til udveksling af kontaktopsporingsformularer kontaktopsporingsformulardata og epidemiologiske data på vegne af de medlemsstater, som deltager i platformen til udveksling af kontaktopsporingsformularer som fælles dataansvarlige, og er derfor en databehandler som defineret i artikel 3, nr. 12), i forordning (EU) 2018/1725. I henhold til artikel 28 i forordning (EU) 2016/679 og artikel 29 i forordning (EU) 2018/1725 skal en databehandlers behandling være reguleret af en kontrakt eller et andet retligt dokument i henhold til EU-retten eller medlemsstaternes nationale ret, der er bindende for databehandleren med hensyn til den dataansvarlige, og som præciserer, hvad behandlingen omfatter. Det er derfor nødvendigt at fastsætte regler for behandling ved Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme som behandler.
                  
               
                     (20)
                  
                  
                     I henhold til artikel 3, stk. 3, i forordning (EF) nr. 851/2004 skal Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme, Kommissionen og medlemsstaterne samarbejde for at sikre, at der er sammenhæng mellem deres respektive aktiviteter. Der bør derfor indgås serviceleveranceaftaler mellem Kommissionen og Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme om samarbejde under den tekniske udvikling og driften af platformen til udveksling af kontaktopsporingsformularer. Aftalerne skal præcisere fordelingen af ansvarsområder (organisatoriske, økonomiske og teknologiske) mellem parterne for at lette iværksættelsen af platformen til udveksling af kontaktopsporingsformularer og de tekniske foranstaltninger i forbindelse med drift, vedligeholdelse og yderligere udvikling heraf.
                  
               
                     (21)
                  
                  
                     Gennemførelsesafgørelse (EU) 2017/253 bør derfor ændres.
                  
               
                     (22)
                  
                  
                     Platformen til udveksling af kontaktopsporingsformularer skal i 2021 finansieres af nødhjælpsinstrumentet, der er oprettet for at hjælpe medlemsstaterne med at reagere på coronaviruspandemien ved at håndtere behovene på en strategisk og koordineret måde på europæisk plan og gennem »aktiviteter til støtte for den europæiske transportpolitik, transportsikkerhed og passagerers rettigheder, herunder kommunikationsaktiviteter«. Den skal i 2022 finansieres af programmet for et digitalt Europa.
                  
               
                     (23)
                  
                  
                     I betragtning af den påtænkte dato for iværksættelse af platformen til udveksling af kontaktopsporingsformularer bør denne afgørelse anvendes fra den 1. juni 2021. Udvekslingen af oplysninger bør ophøre efter 12 måneder, eller når generaldirektøren for Verdenssundhedsorganisationen i overensstemmelse med det internationale sundhedsregulativ har erklæret, at den folkesundhedsmæssige nødsituation af international betydning forårsaget af SARS-CoV-2 er ophørt, hvis en sådan erklæring afgives tidligere.
                  
               
                     (24)
                  
                  
                     Driften af platformen til udveksling af kontaktopsporingsformularer bør begrænses til bekæmpelse af covid-19-pandemien. Den kunne dog i fremtiden ved en ændringsgennemførelsesafgørelse udvides til at omfatte epidemier, hvor medlemsstaterne til bekæmpelse heraf udveksler kontaktopsporingsformulardata med henblik på kontaktopsporing, jf. kriterierne i artikel 9, stk. 1, og betingelserne i artikel 9, stk. 3, i afgørelse nr. 1082/2013/EU.
                  
               
                     (25)
                  
                  
                     Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i forordning (EU) 2018/1725 og afgav en udtalelse den 6. maj 2021.
                  
               
                     (26)
                  
                  
                     Foranstaltningerne i denne afgørelse er i overensstemmelse med udtalelse fra Udvalget for Alvorlige Grænseoverskridende Sundhedstrusler, der er nedsat ved artikel 18 i afgørelse nr. 1082/2013/EU —
                  
               VEDTAGET DENNE AFGØRELSE:
         
            Artikel 1
            I gennemførelsesafgørelse (EU) 2017/253 foretages følgende ændringer:
            
                        1)
                     
                     
                        Som artikel 1a indsættes:
                        
                           »Artikel 1a
                           Definitioner
                           I denne afgørelse forstås ved:
                           
                                       a)
                                    
                                    
                                       »kontaktopsporingsformular«: en formular, der udfyldes efter anmodning fra de offentlige sundhedsmyndigheder, der som minimum indsamler de i bilag I angivne passageroplysninger, og som hjælper myndighederne med at styre en folkesundhedsmæssig hændelse ved at give dem mulighed for at spore passagerer, som krydser grænser, og som kan have været eksponeret for en SARS-CoV-2-smittet person
                                    
                                 
                                       b)
                                    
                                    
                                       »kontaktopsporingsformulardata«: personoplysninger, der indsamles ved hjælp af en kontaktopsporingsformular
                                    
                                 
                                       c)
                                    
                                    
                                       »digitalt indgangssted«: et enkelt digitalt sted, til hvilket de kompetente myndigheder for systemet for tidlig varsling og reaktion sikkert kan tilslutte deres nationale digitale kontaktopsporingsformularsystemer til platformen til udveksling af kontaktopsporingsformularer
                                    
                                 
                                       d)
                                    
                                    
                                       »rejserute«: en persons rejse på tværs af grænser med kollektiv transport med pladser, der er tildelt på forhånd på en eller flere delstrækninger, under henvisning til personens afgangssted og endelige bestemmelsessted
                                    
                                 
                                       e)
                                    
                                    
                                       »delstrækning«: en passagers enkeltrejse på tværs af grænser uden tilslutning eller skifte af fly, tog, skib eller køretøj
                                    
                                 
                                       f)
                                    
                                    
                                       »smittet passager«: en passager, som opfylder laboratoriekriterierne for SARS-CoV-2-infektion
                                    
                                 
                                       g)
                                    
                                    
                                       »eksponeret person«: en passager eller en anden person, som har været i tæt kontakt med en smittet passager.
                                    
                                 
                                       h)
                                    
                                    
                                       »varsling«: en underretning via systemet for tidlig varsling og reaktion (EWRS), jf. artikel 9 i afgørelse nr. 1082/2013/EF.«
                                    
                                 
                     
                  
                        2)
                     
                     
                        Følgende indsættes som artikel 2a, 2b og 2c:
                        
                           »Artikel 2a
                           Platform til udveksling af kontaktopsporingsformulardata
                           
                              1.   Der oprettes under systemet for tidlig varsling og reaktion en platform til sikker udveksling af kontaktopsporingsformulardata om smittede personer, så de kompetente myndigheder for systemet for tidlig varsling og reaktion kan foretage SARS-CoV-2-kontaktopsporing hos eksponerede personer (»platformen til udveksling af kontaktopsporingsformularer«).
                              Platformen til udveksling af kontaktopsporingsformularer skal fungere som et digitalt indgangssted, hvor de kompetente myndigheder for systemet for tidlig varsling og reaktion sikkert kan forbinde deres nationale digitale kontaktopsporingsformularsystemer eller forbinde via det fælles digitale EU-kontaktopsporingsformularsystem for at muliggøre udveksling af data indsamlet via kontaktopsporingsformularerne.
                              De kompetente myndigheder for systemet for tidlig varsling og reaktion kan anvende platformen til udveksling af kontaktopsporingsformularer til udveksling af yderligere oplysninger, dvs. epidemiologiske data til SARS-CoV-2-kontaktopsporing hos eksponerede personer, jf. artikel 2b, stk. 5.
                           
                           
                              2.   Platformen til udveksling af kontaktopsporingsformularer drives af Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme.
                           
                           
                              3.   For at opfylde deres forpligtelser i henhold til artikel 2 om at underrette om alvorlige grænseoverskridende sundhedstrusler, der identificeres i forbindelse med indsamling af kontaktopsporingsformulardata, skal de kompetente myndigheder for systemet for tidlig varsling og reaktion i de medlemsstater, der kræver udfyldelse af kontaktopsporingsformularer, udveksle et sæt kontaktopsporingsformulardata, jf. artikel 2b, via platformen til udveksling af kontaktopsporingsformularer.
                           
                           
                              4.   De kompetente myndigheder for systemet for tidlig varsling og reaktion kan midlertidigt fortsætte med at opfylde deres forpligtelser i henhold til artikel 9, stk. 1 og 3, i afgørelse nr. 1082/2013/EU om at underrette om alvorlige grænseoverskridende sundhedstrusler, der identificeres i forbindelse med indsamling af kontaktopsporingsformulardata, gennem de andre kommunikationskanaler, der er omhandlet i nærværende afgørelses artikel 1, stk. 2, og hvis det valg ikke er til skade for formålet med kontaktopsporing.
                           
                           
                              5.   Kontaktopsporingsformularerne og de supplerende epidemiologiske data må ikke lagres på platformen til udveksling af kontaktopsporingsoplysninger. Platformen tillader kun de kompetente myndigheder for systemet for tidlig varsel og reaktion at modtage data, som andre kompetente myndigheder for systemet for tidlig varsling og reaktion har sendt til dem med det formål at foretage SARS-CoV-2-kontaktopsporing. Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme har kun adgang til oplysningerne for at sikre, at platformen til udveksling af kontaktopsporingsformularer fungerer tilfredsstillende.
                           
                           
                              6.   De kompetente myndigheder for systemet for tidlig varsel og reaktion må ikke opbevare kontaktopsporingsformularerne og de epidemiologiske data, som de har modtaget via platformen til udveksling af kontaktopsporingsformularer, i længere tid end den gældende lagringsperiode i forbindelse med deres nationale aktiviteter til opsporing af SARS-CoV-2.
                           
                           
                              7.   Kommissionen samarbejder med Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme i udførelsen af de opgaver, der er pålagt den i henhold til denne afgørelse, navnlig for så vidt angår tekniske og organisatoriske foranstaltninger i forbindelse med iværksættelsen, gennemførelsen, driften, vedligeholdelsen og videreudviklingen af platformen til udveksling af kontaktopsporingsformularer.
                           
                           
                              8.   Behandlingen af personoplysninger på platformen til udveksling af kontaktopsporingsformularer med det formål at foretage SARS-CoV-2-kontaktopsporing udføres indtil den 31. maj 2022, eller indtil generaldirektøren for Verdenssundhedsorganisationen i overensstemmelse med det internationale sundhedsregulativ har erklæret, at den folkesundhedsmæssig krisesituation af international betydning forårsaget af SARS-CoV-2 er slut, hvis en sådan erklæring afgives tidligere.
                           
                        
                        
                           Artikel 2b
                           De data, der skal udveksles
                           
                              1.   Ved meddelelse af en varsling via platformen til udveksling af kontaktopsporingsformularer skal de kompetente myndigheder for systemet for tidlig varsel og reaktion i den medlemsstat, hvor den smittede passager er identificeret, overføre følgende kontaktopsporingsformulardata til de kompetente myndigheder for systemet for tidlig varsel og reaktion i den smittede passagers afgangsmedlemsstat og bopælsmedlemsstat, hvis bopælsmedlemsstaten ikke er den samme som afgangsmedlemsstaten:
                              
                                          a)
                                       
                                       
                                          Fornavn
                                       
                                    
                                          b)
                                       
                                       
                                          Efternavn
                                       
                                    
                                          c)
                                       
                                       
                                          Fødselsdato:
                                       
                                    
                                          d)
                                       
                                       
                                          Telefonnummer (fastnet og/eller mobil)
                                       
                                    
                                          e)
                                       
                                       
                                          E-mailadresse
                                       
                                    
                                          f)
                                       
                                       
                                          Bopælsadresse.
                                       
                                    
                           
                              2.   De kompetente myndigheder for systemet for tidlig varsel og reaktion i den smittede passagers afgangsmedlemsstat kan overføre modtagne kontaktopsporingsformulardata til en anden afgangsmedlemsstat end den, der er angivet i kontaktopsporingsformularen som afgangsmedlemsstat, hvis de har yderligere oplysninger, som peger på, at medlemsstaten bør foretage kontaktopsporingen.
                           
                           
                              3.   Ved meddelelse af en varsling via platformen til udveksling af kontaktopsporingsformularer skal de kompetente myndigheder for systemet for tidlig varsel og reaktion i den medlemsstat, hvor den smittede passager er identificeret, overføre følgende kontaktopsporingsformulardata for hver delstrækning af den pågældende passagers rejse til de kompetente myndigheder for systemet for tidlig varsel og reaktion i alle medlemsstater:
                              
                                          a)
                                       
                                       
                                          afgangssted for hver berørt transport
                                       
                                    
                                          b)
                                       
                                       
                                          ankomststed for hver berørt transport
                                       
                                    
                                          c)
                                       
                                       
                                          afgangsdato for hver berørt transport
                                       
                                    
                                          d)
                                       
                                       
                                          transportmidlets art (f.eks. fly, tog, bus, færge, skib)
                                       
                                    
                                          e)
                                       
                                       
                                          identifikationsnummer for hver berørt transport (f.eks. rutenummer, tognummer, bussens nummerplade, navn på færge eller skib)
                                       
                                    
                                          f)
                                       
                                       
                                          plads-/kahytnummer i hver berørt transport
                                       
                                    
                                          g)
                                       
                                       
                                          eventuelt afgangstidspunkt for hver berørt transport.
                                       
                                    
                           
                              4.   Hvis de kompetente myndigheder for systemet for tidlig varsel og reaktion i den medlemsstat, der meddeler varslingen, kan identificere de berørte medlemsstater på baggrund af de oplysninger, de har til rådighed, skal de overføre de data, der er omhandlet i stk. 3, udelukkende til de kompetente myndigheder for systemet for tidlig varsel og reaktion i disse medlemsstater.
                           
                           
                              5.   De kompetente myndigheder for systemet for tidlig varsel og reaktion skal kunne give følgende epidemiologiske oplysninger, når det er nødvendigt for at foretage effektiv kontaktopsporing:
                              
                                          a)
                                       
                                       
                                          udført testtype
                                       
                                    
                                          b)
                                       
                                       
                                          variant af SARS-CoV-2-virus
                                       
                                    
                                          c)
                                       
                                       
                                          prøveindsamlingsdato
                                       
                                    
                                          d)
                                       
                                       
                                          dato for symptomernes indtræden.
                                       
                                    
                        
                        
                           Artikel 2c
                           Ansvarsområder for de kompetente myndigheder for systemet for tidlig varsel og reaktion og for Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme i behandlingen af kontaktopsporingsformulardata
                           
                              1.   De kompetente myndigheder for systemet for tidlig varsel og reaktion, der udveksler kontaktopsporingsformulardata og de data, der er omhandlet i artikel 2b, stk. 5, er indtil modtagelse fælles dataansvarlige for registrering og overførsel af disse data via platformen til udveksling af kontaktopsporingsformularer. De fælles dataansvarliges forskellige ansvarsområder tildeles i overensstemmelse med bilag II. Hver medlemsstat, som ønsker at deltage i den grænseoverskridende udveksling af kontaktopsporingsformulardata via platformen til udveksling af kontaktopsporingsformularer, underretter forinden Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme om sin hensigt og angiver den kompetente myndighed for systemet for tidlig varsel og reaktion, der i den pågældende medlemsstat er blevet udpeget som dataansvarlig.
                           
                           
                              2.   Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme er behandler af data udvekslet via platformen til udveksling af kontaktopsporingsformularer. Centret skal stille platformen til udveksling af kontaktopsporingsformularer til rådighed og sikre sikker behandling, herunder overførsel, af data, der er udvekslet via platformen til udveksling af kontaktopsporingsformularer, og skal opfylde forpligtelserne for en dataansvarlig, jf. bilag III.
                           
                           
                              3.   Effektiviteten af tekniske og organisatoriske foranstaltninger, der skal garantere sikkerheden i forbindelse med behandling af kontaktopsporingsformulardata, der er udvekslet via platformen til udveksling af kontaktopsporingsformularer, kontrolleres, vurderes og evalueres regelmæssigt af Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme og af de kompetente myndigheder for systemet for tidlig varsel og reaktion, der har adgang til platformen til udveksling af kontaktopsporingsformularer.
                           
                           
                              4.   Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme forpligter Kommissionen som underdatabehandler og skal sikre, at databeskyttelsesforpligtelserne i denne afgørelse gælder for Kommissionen.«
                           
                        
                     
                  
                        3)
                     
                     
                        I artikel 3, stk. 3, ændres ordet »bilaget« til »bilag IV«.
                     
                  
                        4)
                     
                     
                        I bilaget ændres titlen »BILAG« til »BILAG IV«.
                     
                  
                        5)
                     
                     
                        Bilag I, II og III, som fastsat i bilaget til nærværende afgørelse, indsættes.
                     
                  
         
            Artikel 2
            Denne afgørelse træder i kraft på tredjedagen efter offentliggørelsen i Den Europæiske Unions Tidende.
            Den anvendes fra den 1. juni 2021.
         
         
            Udfærdiget i Bruxelles, den 27. maj 2021.
            
               
                  På Kommissionens vegne
               
               Ursula VON DER LEYEN
               
                  Formand
               
            
         
         
            (1)  EUT L 293 af 5.11.2013, s. 1.
         
            (2)  EUT L 337 af 14.10.2020, s. 3.
         
            (3)  Europa-Parlamentets og Rådets forordning (EF) nr. 851/2004 af 21. april 2004 om oprettelse af et europæisk center for forebyggelse af og kontrol med sygdomme (EUT L 142 af 30.4.2004, s. 1).
         
            (4)  Den fælles aktion om beredskab og handling ved indrejsepunkter (havne, lufthavne og grænsepassager på landjorden), HEALTHY GATEWAYS, som bringer 28 europæiske lande sammen, er finansieret af det tredje sundhedsprogram (2014-2020).
         
            (5)  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (EUT L 119 af 4.5.2016, s. 1).
         
            (6)  Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (EUT L 295 af 21.11.2018, s. 39).
      
      
         
            BILAG
            
               
                  
                     »BILAG I
                     MINIMUMSÆT AF KONTAKTOPSPORINGSFORMULARDATA, DER SKAL INDSAMLES VIA DE NATIONALE KONTAKTOPSPORINGSFORMULARER
                     Kontaktopsporingsformularerne skal mindst indeholde følgende kontaktopsporingsformulardata:
                     
                                 1)
                              
                              
                                 Fornavn
                              
                           
                                 2)
                              
                              
                                 Efternavn
                              
                           
                                 3)
                              
                              
                                 Fødselsdato
                              
                           
                                 4)
                              
                              
                                 Telefonnummer (fastnet og/eller mobil)
                              
                           
                                 5)
                              
                              
                                 E-mailadresse
                              
                           
                                 6)
                              
                              
                                 Bopælsadresse
                              
                           
                                 7)
                              
                              
                                 Hele rejserutens endelige eller sidste bestemmelsessted i EU
                              
                           
                                 8)
                              
                              
                                 Følgende oplysninger for hver delstrækning af rejseruten til den medlemsstat, som kræver kontaktopsporingsformularen:
                                 
                                             a)
                                          
                                          
                                             Afgangssted
                                          
                                       
                                             b)
                                          
                                          
                                             Ankomststed
                                          
                                       
                                             c)
                                          
                                          
                                             Afgangsdato
                                          
                                       
                                             d)
                                          
                                          
                                             Transportmidlets art (f.eks. fly, tog, bus, færge, skib)
                                          
                                       
                                             e)
                                          
                                          
                                             Afgangstidspunkt
                                          
                                       
                                             f)
                                          
                                          
                                             Transportens identifikationsnummer (f.eks. rutenummer, tognummer, bussens nummerplade, navn på færge eller skib)
                                          
                                       
                                             g)
                                          
                                          
                                             Plads-/kahytnummer.
                                          
                                       
                           
               
               
                  
                     BILAG II
                     
                        DE DELTAGENDE MEDLEMSSTATERS ANSVARSOMRÅDER SOM FÆLLES DATAANSVARLIGE FOR PLATFORMEN TIL UDVEKSLING AF KONTAKTOPSPORINGSFORMULARER
                     
                     AFSNIT 1
                     
                        Ansvarsfordeling
                     
                     
                              
                                 1)
                              
                              
                                 Hver af de kompetente myndigheder i forbindelse med systemet for tidlig varsling garanterer, at behandlingen af kontaktopsporingsformulardata og af de supplerende epidemiologiske data, der er udvekslet via platformen til udveksling af kontaktopsporingsformularer, foretages i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) 2016/679 (*). Navnlig garanterer myndigheden, at de data, den registrerer og overfører via platformen til udveksling af kontaktopsporingsformularer, er nøjagtige og begrænset til de data, der er fastsat i denne afgørelses artikel 2b.
                              
                           
                              
                                 2)
                              
                              
                                 Hver kompetent myndighed for systemet for tidlig varsling og reaktion forbliver den eneste dataansvarlige for indsamlingen, anvendelsen, offentliggørelsen og anden behandling af kontaktopsporingsformulardata og yderligere epidemiologiske data, der foretages uden for platformen til udveksling af kontaktopsporingsformularer. Hver kompetent myndighed for systemet for tidlig varsling og reaktion sikrer, at dataoverførslen udføres i overensstemmelse med de tekniske specifikationer, der er fastsat for platformen til udveksling af kontaktopsporingsformularer.
                              
                           
                              
                                 3)
                              
                              
                                 Instrukser til databehandleren sendes efter aftale med de øvrige fælles dataansvarlige fra et af de fælles dataansvarliges kontaktpunkter.
                              
                           
                              
                                 4)
                              
                              
                                 Kun personer med tilladelse fra de kompetente myndigheder for systemet for tidlig varsling og reaktion har adgang til kontaktopsporingsformulardata og yderligere epidemiologiske data, der er udvekslet via platformen til udveksling af kontaktopsporingsformularer.
                              
                           
                              
                                 5)
                              
                              
                                 Hver kompetent myndighed for systemet for tidlig varsling og reaktion opretter et kontaktpunkt med en fællespostkasse, som anvendes til kommunikation mellem de fælles dataansvarlige og mellem de fælles dataansvarlige og databehandleren. De fælles dataansvarliges beslutningsproces reguleres af arbejdsgruppen vedrørende systemet for tidlig varsling og reaktions under Udvalget for Sundhedssikkerhed.
                              
                           
                              
                                 6)
                              
                              
                                 Hver kompetent myndighed for systemet for tidlig varsling og reaktion ophører med at være fælles dataansvarlig fra datoen for dens udtræden af platformen til udveksling af kontaktopsporingsformularer. Den forbliver dog ansvarlig for indsamlingen og overførslen af kontaktopsporingsformulardata og yderligere epidemiologiske data via platformen til udveksling af kontaktopsporingsformularer, som fandt sted før dens udtræden.
                              
                           
                              
                                 7)
                              
                              
                                 Hver kompetent myndighed for systemet for tidlig varsling og reaktion fører en fortegnelse over behandlingsaktiviteter under dens ansvarsområde. Det fælles dataansvar kan angives i fortegnelsen.
                              
                           AFSNIT 2
                     
                        ANSVAR OG ROLLER I FORBINDELSE MED BEHANDLING AF ANMODNINGER FRA OG UNDERRETNING AF REGISTREREDE
                     
                     
                              
                                 1)
                              
                              
                                 Hver kompetent myndighed for systemet for tidlig varsling og reaktion, der kræver en kontaktopsporingsformular, skal give de passagerer, der krydser grænser, ("de registrerede") oplysninger om omstændighederne ved udvekslingen af deres kontaktopsporingsformularer og epidemiologiske data via platformen til udveksling af kontaktopsporingsformularer med henblik på kontaktopsporing, jf. artikel 13 og 14 i forordning (EU) 2016/679.
                              
                           
                              
                                 2)
                              
                              
                                 Hver kompetent myndighed for systemet for tidlig varsling og reaktion optræder som kontaktpunkt for de registrerede og behandler anmodninger fra dem eller deres repræsentanter i forbindelse med udøvelse af deres rettigheder, jf. forordning (EU) 2016/679. Hver kompetent myndighed for systemet for tidlig varsling og reaktion udpeger et særligt kontaktpunkt med ansvar for anmodninger fra registrerede. Hvis en kompetent myndighed for systemet for tidlig varsling og reaktion modtager en anmodning fra en registreret, der ikke falder ind under myndighedens ansvarsområde, videresender den straks anmodningen til den ansvarlige kompetente myndighed for systemet for tidlig varsling og reaktion og underretter Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme. De kompetente myndighed for systemet for tidlig varsling og reaktion bistår efter anmodning hinanden med behandlingen af registreredes anmodninger i forbindelse med det fælles dataansvar, og de svarer hinanden hurtigst muligt og under alle omstændigheder senest 15 dage efter at have modtaget en anmodning om bistand.
                              
                           
                              
                                 3)
                              
                              
                                 Hver kompetent myndighed for systemet for tidlig varsling og reaktion stiller indholdet af dette bilag, herunder de ordninger, der er fastlagt i punkt 1 og 2, til rådighed for de registrerede.
                              
                           AFSNIT 3
                     
                        HÅNDTERING AF SIKKERHEDSRELATEREDE HÆNDELSER, HERUNDER BRUD PÅ PERSONDATASIKKERHEDEN
                     
                     
                              
                                 1)
                              
                              
                                 De kompetente myndigheder for systemet for tidlig varsling og reaktion bistår hinanden med identifikation og håndtering af eventuelle sikkerhedsrelaterede hændelser, herunder brud på persondatasikkerheden, i forbindelse med behandlingen af kontaktopsporingsformularer og epidemiologiske data, der er udvekslet via platformen til udveksling af kontaktopsporingsformularer.
                              
                           
                              
                                 2)
                              
                              
                                 Navnlig underretter de hinanden og Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme om følgende:
                                 
                                             a)
                                          
                                          
                                             enhver potentiel eller reel risiko i forhold til adgangen til, fortroligheden for og/eller integriteten af kontaktopsporingsformularer og epidemiologiske data, der er genstand for behandling på platformen til udveksling af kontaktopsporingsformularer
                                          
                                       
                                             b)
                                          
                                          
                                             ethvert brud på persondatasikkerheden, de sandsynlige konsekvenser af bruddet på databeskyttelsen og en vurdering af risikoen for fysiske personers rettigheder og frihedsrettigheder samt alle foranstaltninger, der træffes for at håndtere bruddet på persondatasikkerheden og begrænse risikoen for fysiske personers rettigheder og frihedsrettigheder
                                          
                                       
                                             c)
                                          
                                          
                                             enhver overtrædelse af de tekniske og/eller organisatoriske sikkerhedsforanstaltninger for behandlingsaktiviteterne på platformen til udveksling af kontaktopsporingsformularer.
                                          
                                       
                           
                              
                                 3)
                              
                              
                                 De kompetente myndighed for systemet for tidlig varsling og reaktion anmelder, i overensstemmelse med artikel 33 og 34 i forordning (EU) 2016/679 eller efter anmeldelse fra Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme, ethvert brud på persondatasikkerheden i forbindelse med behandlingsaktiviteterne på platformen til udveksling af kontaktopsporingsformularer til Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme og, hvor det er relevant til de registrerede.
                              
                           
                              
                                 4)
                              
                              
                                 Hver kompetent myndighed for systemet for tidlig varsling og reaktion gennemfører passende tekniske og organisatoriske foranstaltninger, der har til formål at:
                                 
                                             a)
                                          
                                          
                                             garantere og sikre sikkerhed, integritet og fortrolighed af de fælles behandlede personoplysninger
                                          
                                       
                                             b)
                                          
                                          
                                             beskytte personoplysninger i dens besiddelse mod uautoriseret eller ulovlig behandling, tab, anvendelse, offentliggørelse eller erhvervelse af eller adgang dertil
                                          
                                       
                                             c)
                                          
                                          
                                             sikre, at adgangen til personoplysninger ikke offentliggøres eller gives til andre end modtagerne eller behandlerne.
                                          
                                       
                           AFSNIT 4
                     
                        KONSEKVENSANALYSE VEDRØRENDE DATABESKYTTELSE
                     
                     Hvis en dataansvarlig, for at overholde sine forpligtelser i henhold til artikel 35 og 36 i forordning (EU) 2016/679, har brug for oplysninger fra en anden dataansvarlig, sender førstnævnte dataansvarlige en specifik anmodning til den fællespostkasse, der er omhandlet i afsnit 1, underafsnit 1, punkt 5). Sidstnævnte gør sit bedste for at tilvejebringe de pågældende oplysninger.
                  
               
               
                  
                     BILAG III
                     DET EUROPÆISKE CENTER FOR FOREBYGGELSE AF OG KONTROL MED SYGDOMMES ANSVARSOMRÅDER SOM DATABEHANDLER FOR PLATFORMEN TIL UDVEKSLING AF KONTAKTOPSPORINGSFORMULARER
                     
                        1)   
                        Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme opretter og sikrer en sikker og pålidelig kommunikationsinfrastruktur, der forbinder medlemsstaternes kompetente myndigheder for systemet for tidlig varsling og reaktion, som deltager i platformen til udveksling af kontaktopsporingsformularer.
                        Det Europæiske Center for Forebyggelse af og Kontrol med Sygdommes behandling af platformen til udveksling af kontaktopsporingsformularer omfatter følgende:
                        
                                    a)
                                 
                                 
                                    fastlæggelse af de tekniske mindstekrav til sikring af en gnidningsløs og sikker onboarding og offboarding af nationale databaser for kontaktopsporingsformularer
                                 
                              
                                    b)
                                 
                                 
                                    sikring af interoperabilitet af nationale databaser kontaktopsporingsformularer på en sikker og automatiseret måde.
                                 
                              
                     
                        2)   
                        For at opfylde sine forpligtelser som databehandler af platformen til udveksling af kontaktopsporingsformularer forpligter Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme Kommissionen som underdatabehandler og sikrer, at databeskyttelsesforpligtelserne i denne afgørelse gælder for Kommissionen.
                        Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme kan bemyndige Kommissionen til at forpligte tredjeparter som yderligere underdatabehandlere.
                        Hvis Kommissionen forpligter underdatabehandlere, skal Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme:
                        
                                    a)
                                 
                                 
                                    sikre, at der gælder samme databeskyttelsesforpligtelser for disse underdatabehandlere som fastsat i denne afgørelse
                                 
                              
                                    b)
                                 
                                 
                                    underrette de dataansvarlige om påtænkte ændringer vedrørende tilføjelse eller udskiftning af andre underdatabehandlere, således at de dataansvarlige får mulighed for med simpelt flertal at gøre indsigelse mod de pågældende ændringer.
                                 
                              
                     
                        3)   
                        Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme skal:
                        
                                    a)
                                 
                                 
                                    oprette og sikre en sikker og pålidelig kommunikationsinfrastruktur, der forbinder de af medlemsstaternes kompetente myndigheder for systemet for tidlig varsling og reaktion, som deltager i platformen til udveksling af kontaktopsporingsformularer
                                 
                              
                                    b)
                                 
                                 
                                    behandle kontaktopsporingsformularerne og de yderligere epidemiologiske data udelukkende efter dokumenterede instrukser fra de dataansvarlige, medmindre det kræves i henhold til EU-retten; i så fald underretter Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme de dataansvarlige om dette retlige krav, inden oplysningerne behandles, medmindre den pågældende ret forbyder en sådan underretning af hensyn til væsentlige samfundsinteresser.
                                 
                              
                                    c)
                                 
                                 
                                    iværksætte en sikkerhedsplan, en forretningskontinuitetsplan og en katastrofeberedskabsplan.
                                 
                              
                                    d)
                                 
                                 
                                    træffe de nødvendige foranstaltninger til at bevare integriteten for de behandlede kontaktopsporingsformularer og yderligere epidemiologiske data
                                 
                              
                                    e)
                                 
                                 
                                    træffe alle avancerede organisatoriske, fysiske og elektroniske sikkerhedsforanstaltninger for at vedligeholde platformen til udveksling af kontaktopsporingsformularer. Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme skal med henblik herpå:
                                    
                                                i)
                                             
                                             
                                                udpege en enhed, der er ansvarlig for sikkerhedsstyring på niveauet for platformen til udveksling af kontaktopsporingsformularer, kommunikere enhedens kontaktoplysninger til de dataansvarlige og sikre, at enheden kan reagere på sikkerhedstrusler
                                             
                                          
                                                ii)
                                             
                                             
                                                påtage sig ansvaret for sikkerheden ved platformen til udveksling af kontaktopsporingsformularer
                                             
                                          
                                                iii)
                                             
                                             
                                                sikre, at alle, der får adgang til platformen til udveksling af kontaktopsporingsformularer, er underlagt kontraktlig, professionel eller lovbestemt tavshedspligt
                                             
                                          
                              
                                    f)
                                 
                                 
                                    træffe alle nødvendige sikkerhedsforanstaltninger til at undgå at kompromittere driften af platformen til udveksling af kontaktopsporingsformularer. Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme skal til dette formål fastlægge specifikke procedurer for driften af platformen til udveksling af kontaktopsporingsformularer og forbindelsen fra backend-serverne til platformen til udveksling af kontaktopsporingsformularer. Dette omfatter:
                                    
                                                i)
                                             
                                             
                                                en risikovurderingsprocedure - til identificering og vurdering af mulige trusler mod systemet
                                             
                                          
                                                ii)
                                             
                                             
                                                en audit- og kontrolprocedure til:
                                                
                                                            1)
                                                         
                                                         
                                                            kontrol af overensstemmelse mellem de gennemførte sikkerhedsforanstaltninger og sikkerhedspolitik i anvendelse
                                                         
                                                      
                                                            2)
                                                         
                                                         
                                                            regelmæssig kontrol af integriteten af systemfiler, sikkerhedsparametre og udstedte tilladelser
                                                         
                                                      
                                                            3)
                                                         
                                                         
                                                            afsløring og overvågning af brud på sikkerheden og indtrængen
                                                         
                                                      
                                                            4)
                                                         
                                                         
                                                            gennemførsel af ændringer for at begrænse eksisterende sikkerhedsproblemer
                                                         
                                                      
                                                            5)
                                                         
                                                         
                                                            sikring, herunder på anmodning fra dataansvarlige, af og bidrag til udførelsen af uafhængige audit, herunder inspektioner, og gennemgang af sikkerhedsforanstaltninger på vilkår, der er i overensstemmelse med protokol (nr. 7) til TEUF vedrørende Den Europæiske Unions privilegier og immuniteter (2)
                                                         
                                                      
                                          
                                                iii)
                                             
                                             
                                                ændring af kontrolproceduren til dokumentation og måling af virkningen af en ændring, før den gennemføres, og underretning af de dataansvarlige om ændringer, der kan påvirke kommunikationen med og/eller sikkerheden i deres infrastrukturer
                                             
                                          
                                                iv)
                                             
                                             
                                                fastlæggelse af en vedligeholdelses- og reparationsprocedure til præcisering af bestemmelser og betingelser, som skal overholdes ved vedligeholdelse og/eller reparation af udstyr
                                             
                                          
                                                v)
                                             
                                             
                                                fastlæggelse af en procedure for sikkerhedsrelaterede hændelser til fastlæggelse af rapporterings- og eskaleringsordningen, omgående underretning af de dataansvarlige, så de kan underrette de nationale datatilsynsmyndigheder om brud på persondatasikkerheden og fastlæggelse af en disciplinær proces til håndtering af brud på sikkerheden;
                                             
                                          
                              
                                    g)
                                 
                                 
                                    avancerede fysiske og/eller elektroniske sikkerhedsforanstaltninger for de faciliteter, som opbevarer udstyret til platformen til udveksling af kontaktopsporingsformularer, og for kontrollen af adgangen til data og sikkerhed. Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme skal med henblik herpå:
                                    
                                                i)
                                             
                                             
                                                håndhæve den fysiske sikkerhed for at oprette særlige sikkerhedsområder og muliggøre afsløring af brud
                                             
                                          
                                                ii)
                                             
                                             
                                                kontrollere adgang til faciliteterne og vedligeholde et besøgsregister med henblik på sporing
                                             
                                          
                                                iii)
                                             
                                             
                                                sikre, at eksterne personer med adgang til området ledsages af behørigt bemyndigede medarbejdere
                                             
                                          
                                                iv)
                                             
                                             
                                                sikre, at udstyr ikke kan tilføjes, erstattes eller fjernes uden forudgående godkendelse fra de udpegede ansvarlige organer
                                             
                                          
                                                v)
                                             
                                             
                                                kontrollere adgang fra og til nationale kontaktopsporingssystemer til platformen til udveksling af kontaktopsporingsformularer
                                             
                                          
                                                vi)
                                             
                                             
                                                sikre, at alle, der har adgang til platformen til udveksling af kontaktopsporingsformularer, identificeres og autentificeres
                                             
                                          
                                                vii)
                                             
                                             
                                                gennemgå godkendelsesrettighederne i forbindelse med adgang til platformen til udveksling af kontaktopsporingsformularer, i tilfælde af at et brud på sikkerheden har betydning for denne infrastruktur
                                             
                                          
                                                viii)
                                             
                                             
                                                gennemføre tekniske og organisatoriske sikkerhedsforanstaltninger for at forhindre uautoriseret adgang til kontaktopsporingsformularer og epidemiologiske data
                                             
                                          
                                                ix)
                                             
                                             
                                                om nødvendigt gennemføre foranstaltninger for at blokere uautoriseret adgang til platformen til udveksling af kontaktopsporingsformularer fra de nationale myndigheders domæne (dvs. blokere en lokation/IP-adresse)
                                             
                                          
                              
                                    h)
                                 
                                 
                                    træffe foranstaltninger til beskyttelse af sit domæne, herunder fjerne forbindelser, hvis der er væsentlig afvigelse fra principper og koncepter for kvalitet og sikkerhed
                                 
                              
                                    i)
                                 
                                 
                                    opstille en risikostyringsplan i forbindelse med sit ansvarsområde
                                 
                              
                                    j)
                                 
                                 
                                    overvåge – i realtid – udførelsen af alle servicekomponenter af sine tjenester i platformen til udveksling af kontaktopsporingsformularer, udarbejde regelmæssige statistikker og føre registre
                                 
                              
                                    k)
                                 
                                 
                                    sikre, at tjenesten er tilgængelig døgnet rundt, med acceptabel nedetid til vedligeholdelsesformål
                                 
                              
                                    l)
                                 
                                 
                                    yde støtte til alle platformen til udveksling af kontaktopsporingsformularers tjenester på engelsk, via telefon, e-mail eller webportal og modtage opkald fra autoriserede personer: koordinatorer af platformen til udveksling af kontaktopsporingsformularer og deres respektive helpdeske, projektledere og udpegede personer fra Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme
                                 
                              
                                    m)
                                 
                                 
                                    bistå de dataansvarlige, i den udstrækning det er muligt og ved hjælp af passende tekniske og organisatoriske foranstaltninger, med opfyldelse af den dataansvarliges forpligtelse til at besvare anmodninger om udøvelse af de registreredes rettigheder som fastlagt i kapitel III i forordning (EU) 2016/679
                                 
                              
                                    n)
                                 
                                 
                                    yde støtte til de dataansvarlige ved at levere oplysninger vedrørende platformen til udveksling af kontaktopsporingsformularer for at gennemføre forpligtelserne i henhold til artikel 32, 35 og 36 i forordning (EU) 2016/679
                                 
                              
                                    o)
                                 
                                 
                                    sikre, at de kontaktopsporingsformularer og epidemiologiske data, der overføres via platformen til udveksling af kontaktopsporingsformularer, er uforståelige for alle, der ikke har tilladelse til at tilgå faciliteten, navnlig ved anvendelse af solid kryptering
                                 
                              
                                    p)
                                 
                                 
                                    træffe alle relevante foranstaltninger for at forhindre, at operatører af platformen til udveksling af kontaktopsporingsformularer har uautoriseret adgang til overførte kontaktopsporingsformularer og epidemiologiske data
                                 
                              
                                    q)
                                 
                                 
                                    træffe foranstaltninger for at fremme interoperabiliteten og kommunikationen mellem platformen til udveksling af kontaktopsporingsformularers udpegede dataansvarlige
                                 
                              
                                    r)
                                 
                                 
                                    føre en fortegnelse over de behandlingsaktiviteter, der er foretaget på vegne af de dataansvarlige, i overensstemmelse med artikel 31, stk. 2, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725.
                                 
                              
                  
               «
            
               (*)  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (EUT L 119 af 4.5.2016, s. 1).