CELEX: 32012H0073
Language: hu
Date: 2012-02-06 00:00:00
Title: 2012/73/EU: A Bizottság ajánlása ( 2012. február 6. ) a korai figyelmeztető és gyorsreagáló rendszerre (EWRS) vonatkozó adatvédelmi iránymutatásokról (az értesítés a C(2012) 568. számú dokumentummal történt)  EGT-vonatkozású szöveg

9.2.2012   
            
            
               HU
            
            
               Az Európai Unió Hivatalos Lapja
            
            
               L 36/31
            
         A BIZOTTSÁG AJÁNLÁSA
   (2012. február 6.)
   a korai figyelmeztető és gyorsreagáló rendszerre (EWRS) vonatkozó adatvédelmi iránymutatásokról
   (az értesítés a C(2012) 568. számú dokumentummal történt)
   (EGT-vonatkozású szöveg)
   (2012/73/EU)
   AZ EURÓPAI BIZOTTSÁG,
   tekintettel az Európai Unió működéséről szóló szerződésre és különösen annak 292. cikkére,
   az európai adatvédelmi biztossal folytatott konzultációt követően,
   mivel:
   
               (1)
            
            
               A Közösségben a fertőző betegségek járványügyi felügyeleti és ellenőrzési hálózatának létrehozásáról szóló, 1998. szeptember 24-i 2119/98/EK európai parlamenti és tanácsi határozat (1) létrehozta a fertőző betegségek Közösségen belüli járványügyi felügyeleti és ellenőrzési hálózatát, valamint az ezeknek a betegségeknek a megelőzésére és ellenőrzésére szolgáló korai figyelmeztető és gyorsreagáló rendszert (a továbbiakban: EWRS.
            
         
               (2)
            
            
               A Bizottság a fertőző betegségek járványügyi felügyeleti és ellenőrzési hálózatának létrehozásáról szóló 2119/98/EK európai parlamenti és tanácsi határozat szerinti korai figyelmeztető és gyorsreagáló rendszerről szóló, 1999. december 22-i 2000/57/EK határozatában (2) végrehajtási rendelkezéseket fogadott el az EWRS-sel kapcsolatban, amelynek célja, hogy az Európai Gazdasági Térség tagállamainak közegészségügyi illetékes hatóságai és a Bizottság egymás között megfelelő eszközök által strukturált és állandó kommunikációt folytasson az olyan intézkedések meghatározása terén, amelyek a közegészségügy védelme és a fertőző betegségek terjedésének megelőzése és megakadályozása érdekében szükségesek lehetnek (3).
            
         
               (3)
            
            
               A személyes adatok védelméhez való jog az Európai Unió Alapjogi Chartája, különösen annak 8. cikke által elismert alapvető jogok közé tartozik.
            
         
               (4)
            
            
               Továbbá a tagállamok közötti, valamint a tagállamok és a Bizottság közötti elektronikus úton történő információcserének a személyes adatok védelme tekintetében meg kell felelnie a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24-i 95/46/EK európai parlamenti és tanácsi irányelv (4), valamint a személyes adatok közösségi intézmények és szervezetek által történő feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról szóló, 2000. december 18-i 45/2001/EK európai parlamenti és tanácsi rendelet (5) előírásainak.
            
         
               (5)
            
            
               A fertőző betegségek járványügyi felügyeleti és ellenőrzési hálózatának létrehozásáról szóló 2119/98/EK európai parlamenti és tanácsi határozat szerinti korai figyelmeztető és gyorsreagáló rendszerről szóló 2000/57/EK határozat módosításáról szóló, 2009. július 10-i 2009/547/EK bizottsági határozat (6) külön biztosítékokat vezetett be arra, hogy amennyiben a fertőző betegségekhez kapcsolódó olyan eseményre kerül sor, melynek uniós vonzata is lehet, a tagállamok az érintkezést nyomon követő eljárások során a fertőzött és a feltehetőleg veszélyeztetett személyek azonosítása céljából személyes adatokat közölhessenek egymással.
            
         
               (6)
            
            
               2010. április 26-án az európai adatvédelmi biztos előzetes ellenőrzésre vonatkozó véleményt (7) adott ki, amelyben az EWRS-ben érintett különböző szereplők felelősségi körének tisztázását, valamint a fertőzöttekkel való érintkezés nyomon követésére szolgáló eljárás által az alapvető jogokra jelentett potenciális kockázatok megfelelő kezelését kérte a jövőben esetlegesen előforduló nagyobb egészségügyi veszélyek, például világméretű járványok esetén.
            
         
               (7)
            
            
               Figyelembe véve az európai adatvédelmi biztos véleményében megfogalmazott javaslatokat, a Bizottság az EWRS-re vonatkozó adatvédelmi iránymutatásokat dolgozott ki a rendszer különböző szereplőinek szerepei, feladatai, kötelességei tisztázásának megkönnyítése, és ily módon a fent említett adatvédelmi szabályoknak való eredményes megfelelés, valamint egyértelmű információk nyújtása és az érintettek által egyszerűen igénybe vehető jogérvényesítési mechanizmusok biztosításának érdekében,
            
         ELFOGADTA EZT AZ AJÁNLÁST:
   
               (1)
            
            
               A tagállamoknak fel kell hívniuk az EWRS felhasználóinak a figyelmét az ezen ajánlás mellékletében szereplő iránymutatásokra.
            
         
               (2)
            
            
               Az iránymutatások nemzeti jog szerinti legmegfelelőbb alkalmazásával kapcsolatos tájékoztatás és segítségnyújtás érdekében az illetékes nemzeti EWRS-hatóságokat ösztönözni kell a nemzeti adatvédelmi hatóságaikkal történő kapcsolatfelvételre.
            
         
               (3)
            
            
               A tagállamok számára ajánlott a mellékletben szereplő iránymutatások végrehajtásáról ezen ajánlás elfogadásától számított két éven belül a Bizottságnak visszajelzést adni. Ezt a visszajelzést megkapja az európai adatvédelmi biztos, és a Bizottság figyelembe veszi az EWRS adatvédelmi szintjének, valamint bármely későbbi intézkedés tartalmának és időszerűségének értékelése során, ideértve jogi eszköz esetleges elfogadását is.
            
         
               (4)
            
            
               Ennek az ajánlásnak a tagállamok a címzettjei.
            
         
      Kelt Brüsszelben, 2012. február 6-án.
      
         
            a Bizottság részéről
         
         John DALLI
         
            a Bizottság tagja
         
      
   
   
      (1)  HL L 268., 1998.10.3., 1. o.
   
      (2)  HL L 21., 2000.1.26., 32. o.
   
      (3)  Az EWRS a tagállamok illetékes közegészségügyi hatóságai által a közegészségügyet érintő, az idézett 2000/57/EK határozat I. mellékletében meghatározott veszélyek („események”) jelentésére szolgál.
   
      (4)  HL L 281., 1995.11.23., 31. o.
   
      (5)  HL L 8., 2001.1.12., 1. o.
   
      (6)  HL L 181., 2009.7.14., 57. o.
   
      (7)  Az európai adatvédelmi biztos 2010. április 26-i előzetes ellenőrzésre vonatkozó véleménye az Európai Bizottság által a korai figyelmeztető és gyorsreagáló rendszerről (értesítés: 2009. február 18. – C 2009-0137. sz. ügy). A vélemény elérhető az európai adatvédelmi biztos weboldalán az alábbi címen: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Supervision/Priorchecks/Opinions/2010/10-04-26_EWRS_EN.pdf.
   
      MELLÉKLET
      
         A KORAI FIGYELMEZTETŐ ÉS GYORSREAGÁLÓ RENDSZERRE (EWRS) VONATKOZÓ ADATVÉDELMI IRÁNYMUTATÁSOK
      
      1.   BEVEZETÉS
      Az EWRS az Európai Bizottság által a tagállamokkal együttműködésben tervezett webes alkalmazás, amelynek célja, hogy az Európai Gazdasági Térség tagállamaiban a közegészségügy védelmében szükséges intézkedések meghatározásáért felelős, illetékes közegészségügyi hatóságok és a Bizottság egymás között strukturált és állandó kommunikációt folytasson. 2005 óta az EWRS-hez kapcsolódik egy uniós ügynökség, az Európai Betegségmegelőzési és Járványvédelmi Központ (1) (a továbbiakban: ECDC) is.
      A nemzeti egészségügyi hatóságok együttműködése kulcsfontosságú a fertőző betegségek terjedésének megelőzése terén a tagállamok kapacitásának növelése szempontjából, valamint annak elősegítése terén, hogy összehangoltan és időben reagáljanak a fertőző betegségek által előidézett olyan eseményekre, amelyek veszélyt jelentenek vagy jelenthetnek a közegészségre.
      A korábbi SARS, pandémiás A(H1N1) influenza járványkitörések és más fertőző betegségek kapcsán egyértelműen kiderült, hogy gyorsan elterjedhetnek korábban ismeretlen betegségek, és ezek nagyarányú halálozással és megbetegedésekkel járhatnak. A gyors utazás és a globális kereskedelem elősegítik a fertőző betegségek határokon át történő terjedését. A korai felismerés, valamint az európai és nemzetközi szintű hatékony kommunikáció és koordináció elengedhetetlen az ilyen kockázatok ellenőrzéséhez és a súlyos károkkal járó fejlemények megelőzéséhez.
      Az EWRS olyan központi mechanizmus szerepét hivatott betölteni, amely lehetővé teszi a tagállamok számára, hogy riasztásokat küldjenek, az Uniót érintő potenciális egészségügyi veszélyt jelentő eseményekről információkat osszanak meg egymással, és azokra időben, biztonságos módon és összehangoltan válaszoljanak.
      2.   AZ IRÁNYMUTATÁSOK HATÁLYA ÉS CÉLKITŰZÉSEI
      Az EWRS kezelése és használata meghatározott esetekben, ha a jogszabályok úgy rendelkeznek, személyes adatok cseréjét teheti szükségessé (lásd a 4. szakaszt a személyes információk EWRS-en keresztüli cseréjének jogalapjáról).
      A személyes információknak a tagállamok illetékes egészségügyi hatóságai közötti megosztásának meg kell felelnie a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló 95/46/EK irányelvet átültető nemzeti jogszabályokban meghatározott, a személyes adatok védelmére vonatkozó szabályoknak.
      Mivel azonban az EWRS-felhasználók nem adatvédelmi szakértők, és előfordulhat, hogy nem kellően tájékozottak a törvény által előírt adatvédelmi követelményekről, ajánlatos az EWRS-felhasználók számára iránymutatásokat nyújtani, amelyek az EWRS működését adatvédelmi szempontból felhasználóbarát és könnyen érthető módon elmagyarázzák. Az iránymutatások további célja, hogy felhívják a figyelmet a legjobb gyakorlatokra, illetve elősegítsék őket, és a tagállamokban az EWRS-felhasználók körében ösztönözzék az adatvédelem következetes és egységes megközelítését.
      Meg kell jegyezni azonban, hogy ezek az iránymutatások nem nyújtanak teljes áttekintést az EWRS-sel kapcsolatos valamennyi adatvédelmi kérdésről. További útmutatást és segítséget a tagállami adatvédelmi hatóságoktól lehet igényelni. Különösen ajánlott, hogy az EWRS-felhasználók az ezen iránymutatások nemzeti szintű végrehajtására vonatkozó legjobb gyakorlattal kapcsolatos tanácsadásért keressék fel tagállami adatvédelmi hatóságukat, hogy maradéktalanul megfeleljenek az adott tagállamban érvényes adatvédelmi követelményeknek. A tagállami adatvédelmi hatóságok jegyzéke, elérhetőségeikkel együtt, az alábbi címen található:
      http://ec.europa.eu/justice/policies/privacy/nationalcomm/index_en.htm.
      Végül hangsúlyozni kell, hogy ezek az iránymutatások nem jelentik az uniós adatvédelmi jog hiteles értelmezését, mivel az Unió intézményrendszerében az uniós jogértelmezés feladata kizárólagosan a Bíróság hatáskörébe van utalva.
      3.   ALKALMAZANDÓ JOG ÉS FELÜGYELET
      Az alkalmazandó jog meghatározása attól függ, hogy ki az EWRS-felhasználó. A rendszer kezelése és üzemeltetése keretében a személyes adatoknak a Bizottság és ECDC általi feldolgozását (a következő szakaszok által bemutatottak mértékében) a 45/2001/EK rendelet szabályozza.
      A személyes adatok nemzeti illetékes EWRS-hatóságok általi feldolgozása tekintetében az alkalmazandó jog a 95/46/EK irányelvet átültető hatályos nemzeti adatvédelmi jogszabály. Meg kell jegyezni, hogy ez az irányelv hagy bizonyos mozgásteret a tagállamoknak a rendelkezései nemzeti jogba történő átültetéséhez. Az irányelv lehetővé teszi a tagállamok számára, hogy számos rendelkezéssel kapcsolatban adott esetben felmentéseket vagy eltéréseket vezessenek be. Az EWRS-felhasználóra vonatkozó nemzeti adatvédelmi jog ugyanakkor olyan szigorúbb vagy országspecifikus adatvédelmi követelményeket is meghatározhat, amelyekről a többi tagállam jogszabályai nem rendelkeznek.
      Ezen sajátosságok figyelembevételével az EWRS-felhasználóknak ajánlott ezeket az iránymutatásokat megvitatni a tagállami adatvédelmi hatóságukkal annak biztosítása érdekében, hogy a hatályos nemzeti jogszabályok által támasztott valamennyi követelmény teljesüljön. Például az érintetteknek szolgáltatandó információk részletessége az adatgyűjtés időpontjában, valamint az egyének személyes adatainak meghatározott kategóriáira (pl. egészségügyi adatok) vonatkozó feldolgozási szabályok jelentősen eltérhetnek a tagállamok között.
      A 45/2001/EK rendeletből és a 95/46/EK irányelvből álló uniós adatvédelmi jogszabályi keret egyik sajátossága annak állami, független adatvédelmi hatóságok általi felügyelete. A személyes adatok uniós intézmények és testületek általi feldolgozását az európai adatvédelmi biztos felügyeli (2), míg a természetes vagy jogi személyek, nemzeti hatóságok, ügynökségek vagy más testületek általi feldolgozást a tagállamokban a tagállami adatvédelmi hatóságok felügyelik. A felügyelő hatóságokat valamennyi tagállamban felhatalmazták az adatvédelmi jogaiknak és szabadságaiknak védelmével kapcsolatos polgári panaszok meghallgatására. Az érintettek kérelmeinek vagy panaszainak kezeléséről részletesebb információkat az EWRS-felhasználók „A személyes adatokhoz való hozzáférés és az érintettek egyéb jogai” című 9. szakaszban olvashatnak.
      4.   A SZEMÉLYES INFORMÁCIÓK EWRS-EN KERESZTÜLI MEGOSZTÁSÁNAK JOGALAPJA
      A 2119/98/EK határozat a fertőző betegségek Unión belüli megelőzésének és ellenőrzésének céljából a Bizottság segítségével, a tagállamok közti együttműködés és koordináció elősegítésére uniós szintű hálózat (a továbbiakban: hálózat) létrehozásáról rendelkezett (3). E kereteken belül az EWRS-t a hálózat egyik pilléreként hozták létre, lehetővé téve az európai szintű információcserét, a konzultációkat és koordinációt a fertőző betegségek által előidézett olyan eseményekkel kapcsolatban, amelyek az Unió területén potenciálisan veszélyeztetik a közegészséget.
      Meg kell jegyezni, hogy az EWRS-en keresztül cserélt információk közül nem minden információ személyes természetű. Ebben a keretben az azonosított vagy azonosítható természetes személyekről tulajdonképpen alapvetően nem osztanak meg egészséggel kapcsolatos vagy más személyes adatot.
      Mit jelent a „személyes adat”?
      A 95/46/EK irányelv és a 45/2001/EK rendelet alkalmazásában „személyes adat” az azonosított vagy azonosítható természetes személyre („érintettre”) vonatkozó információ; az azonosítható személy olyan személy, aki közvetlen vagy közvetett módon azonosítható, különösen egy azonosító számra vagy a személy fizikai, fiziológiai, mentális, gazdasági, kulturális vagy társadalmi identitásra vonatkozó egy vagy több tényezőre történő utalás révén (4).
      Az EGT-tagállamok illetékes egészségügyi hatóságai elsősorban az EWRS-en keresztül közölnek a hálózat számára többek között új fertőző betegségek eseteinek megjelenésére vagy visszatérésére, az alkalmazott ellenőrző intézkedésekre vonatkozó információval együtt, vagy szokatlan járványügyi jelenségekre vagy ismeretlen eredetű új fertőző betegségekre utaló információkat (5), amelyek a tagállamok időben történő és összehangolt fellépését tehetik szükségessé, hogy a veszély az Unió határain belül maradjon (6). A hálózaton keresztül elérhető információk alapján a tagállamok kapcsolatban állva a Bizottsággal konzultálnak egymással annak érdekében, hogy összehangolják a fenti betegségek megelőzésére és ellenőrzésére irányuló erőfeszítéseiket, többek között a nemzeti szinten elfogadott vagy elfogadni szándékozott intézkedések tekintetében (7).
      Néhány esetben azonban a rendszerben megosztott információk egyénekre vonatkoznak, és ezek személyes adatoknak tekinthetők.
      Először is az EWRS-ben korlátozott mennyiségű személyes adat feldolgozása az arra jogosult felhasználók által a rendszer kezelésének és üzemeltetésének velejárója. A felhasználók elérhetőségi adatai (név, szervezet, e-mail cím, telefonszám stb.) elengedhetetlenek a rendszer felállításához és működtetéséhez. A személyes adatokat a tagállamok gyűjtik össze, és a Bizottság felelőssége alatt feldolgozzák azokat, kizárólag az EWRS és a mögöttes hálózat kezelésében történő hatékony együttműködés céljából.
      Ennél is fontosabb, hogy a fertőző betegségekkel összefüggő esemény bekövetkezése, amely uniós vonatkozású lehet, szükségessé teheti bizonyos ellenőrző intézkedések, az úgynevezett „érintkezést nyomon követő” intézkedések végrehajtását az érintett tagállamok együttműködésével annak érdekében, hogy azonosítsák a fertőzött és a potenciálisan veszélyben levő személyeket, és hogy megakadályozzák a súlyos fertőző betegségek terjedését. Az ilyen együttműködés magában foglalhatja az EWRS-ben történő adatcsere révén személyes, ideértve az érzékeny egészségügyi adatok cseréjét a megerősített vagy gyanús emberi esetekről az érintkezést nyomon követő intézkedések által közvetlenül érintett tagállamok között (8).
      Mit jelent a „személyes adatok feldolgozása”?
      A 95/46/EK irányelv és a 45/2001/EK rendelet alkalmazásában a „személyes adatok feldolgozása: a személyes adatokkal automatikus vagy nem automatikus módon végzett bármely művelet vagy műveletek összessége, azaz gyűjtés, rögzítés, rendszerezés, tárolás, átalakítás vagy megváltoztatás, visszakeresés, betekintés, felhasználás, közlés továbbítás útján, terjesztés vagy egyéb módon történő hozzáférhetővé tétel révén, összehangolás vagy összekapcsolás, zárolás, törlés, illetve megsemmisítés” (9).
      A fent említett esetekben a személyes adatok EWRS-ben történő feldolgozását konkrét jogi alapokon kell indokolni. E tekintetben a 95/46/EK irányelv 7. cikke és a 45/2001/EK rendelet 5. cikkének megfelelő rendelkezései határozzák meg a feldolgozás törvényességének a kritériumait.
      Az EWRS-felhasználók elérhetőségi adatai tekintetében az adatok feldolgozása a következőkön alapul:
      
                  —
               
               
                  a 45/2001/EK rendelet 5. cikkének b) pontja: „az adatfeldolgozás az adatkezelőre (10) vonatkozó jogi kötelezettségek teljesítéséhez szükséges”. A feldolgozás az EWRS Bizottság általi kezelésének és üzemeltetésének érdekében szükséges, az ECDC támogatásával,
               
            
                  —
               
               
                  és a 45/2001/EK rendelet 5. cikkének d) pontja: „az érintett ahhoz egyértelmű hozzájárulását adta”. A felhasználók adatai maguktól az érintettektől származnak, miután kifejezték hozzájárulásukat személyes adataiknak az EWRS-ben történő feldolgozásához (lásd a 8. szakaszt az érintettek tájékoztatásáról).
               
            Az EWRS-ben az egyénekre vonatkozóan az érintkezés nyomon követéséhez szükséges adatok cseréje szempontjából a 95/46/EK irányelv 7. cikkének c), d) és e) pontjában megállapított feltételek a leginkább relevánsak (pl. a fertőzött személy elérhetősége, szállítás és a személy utazási útvonalával és szálláshelyeivel kapcsolatos egyéb adatok, meglátogatott személyekre és a fertőzésnek potenciálisan kitett személyekre vonatkozó információk) (11).
      
                  —
               
               
                  A 95/46/EK irányelv 7. cikkének c) pontja: „az adatfeldolgozás az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges”. A fertőző betegségek megelőzésére és ellenőrzésére szolgáló korai figyelmeztető és gyorsreagáló rendszer létrehozásáról a 2119/98/EK határozat rendelkezik. E határozat előírja a tagállamoknak, hogy a fertőző betegségek által előidézett bizonyos eseményeket, amelyek veszélyt jelentenek vagy jelenthetnek a közegészségre, az EWRS-en keresztül jelenteniük kell (12). A jelentési kötelezettség az érintett tagállamban az illetékes hatóságok által hozott, az említett betegségek terjedésének megelőzésére és megfékezésére irányuló intézkedésekre is vonatkozik, ideértve a fertőzöttekkel való érintkezés nyomon követésére szolgáló intézkedések végrehajtását is a fertőzött, illetve a fertőzés által feltehetőleg veszélyeztetett személyek nyomon követése érdekében (13).
               
            
                  —
               
               
                  A 95/46/EK irányelv 7. cikkének d) pontja: „feldolgozásuk az érintett létfontosságú érdekei védelméhez szükséges”. Elvileg az érintett tagállamok között a fertőzött személyek, valamint azon személyek személyes adatainak cseréjére, akiket a fertőzés közvetlen veszélye fenyeget, azért van szükség, hogy megfelelő ellátást, illetve kezelést kaphassanak, valamint az érintett személyek és általában az uniós polgárok egészségének védelme érdekében elszigetelés és karantén céljából lehetővé váljon felkutatásuk és azonosításuk.
               
            
                  —
               
               
                  A 95/46/EK irányelv 7. cikkének e) pontja: „az adatfeldolgozás közérdekből elvégzendő feladat végrehajtásához vagy az adatkezelőre, illetve az adatokról tudomást szerző harmadik félre ruházott hivatali hatáskör gyakorlásához szükséges”. Az EWRS olyan eszköz, amely a tagállamokat abban hivatott segíteni, hogy összehangolják az Unióban a súlyos fertőző betegségek megelőzésére és ellenőrzésére irányuló erőfeszítéseiket. Ezért a rendszert úgy dolgozták ki, hogy a közegészség védelme érdekében a tagállamokra ruházott közérdekű feladatok ellátását segítse.
               
            Ugyanezen közérdekű okok indokolttá tehetik a bizalmas egészségügyi adatok (pl. az egészségügyi veszélyt jelentő eseményre vonatkozó információk, a fertőzött és fertőzésnek potenciálisan kitett személyek egészségi állapotával kapcsolatos adatok) tagállamok általi feldolgozását az EWRS-ben. Bár a 95/46/EK irányelv 8. cikkének (1) bekezdése az ilyen adatok feldolgozását elvileg tiltja, az ilyen speciális adatok feldolgozása az ugyanezen irányelv 8. cikkének (3) bekezdésében biztosított mentesség hatálya alá tartozik, ha az adatok feldolgozása „megelőző egészségügyi, orvosi diagnosztikai célból, gondozás vagy feldolgozás alkalmazása vagy egészségügyi szolgáltatások igazgatása céljából szükséges, és ha az adatokat a nemzeti jog vagy az illetékes nemzeti testületek által meghatározott szakmai titoktartási kötelezettség alá eső egészségügyi szakember vagy azzal egyenértékű titoktartási kötelezettség alá eső más személy dolgozza fel”.
      Alapvető közérdekből és a megfelelő garanciák nyújtása mellett a tagállamok nemzeti jogszabályai, illetve a tagállamok nemzeti adatvédelmi hatóságainak határozata alapján (14) további felmentések állapíthatók meg a személyes egészségügyi adatok feldolgozásának tilalma alól.
      5.   KI KICSODA AZ EWRS-BEN? A KÖZÖS ADATKEZELÉS KÉRDÉSE
      Az EWRS-t többfelhasználós rendszernek tervezték, amely megfelelő technikai eszközzel, többek között különböző strukturált kommunikációs csatornákkal kapcsolatot teremt az EGT-tagállamok illetékes közegészségügyi hatóságainál a kijelölt kapcsolattartó személyek (a továbbiakban: nemzeti EWRS-kapcsolattartó pontok), a Bizottság, az ECDC és korlátozott mértékben a WHO között.
      Mindegyik EWRS-szereplő külön felhasználója a rendszernek, bár a megosztott információkhoz való hozzáférés a rendszerben már moduláltan történik a különböző felhasználói profilok és a „szelektív” kommunikációs csatornák létrehozása révén, amelyek megfelelő garanciákat jelentenek az alkalmazandó adatvédelmi szabályoknak való megfelelés biztosítására.
      A rendszer két fő kommunikációs csatornából áll. Az első csatorna, az ún. „általános üzenetközvetítő” csatorna az adott tagállamban lehetővé teszi az illetékes egészségügyi hatóság számára, hogy eljuttassa az összes nemzeti EWRS-kapcsolattartó ponthoz, a Bizottsághoz, az ECDC-hez és a WHO-hoz az esetlegesen uniós vonatkozású fertőző betegségek okozta eseményekkel kapcsolatos információkat, amelyekre a 2119/98/EK határozatban előírt jelentési kötelezettségek vonatkoznak (15).
      Alapvetően az azonosított vagy azonosítható természetes személyek semmilyen egészségügyi vagy más személyes adatát nem közvetítik az általános üzenetközvetítő csatornán. A rendszerbe különleges biztosítékokat vezettek be, hogy ezen a csatornán meg lehessen akadályozni a jogszerűtlen adatfeldolgozást (lásd a 7. szakaszt).
      Ha azonban fertőző betegség által kiváltott, potenciálisan uniós vonatkozású esemény történik, szükségessé válhat az érintett tagállamok számára, közösen együttműködve, hogy érintkezést nyomon követő különleges intézkedéseket hajtsanak végre, hogy rátalálhassanak a fertőzött személyekre és a fertőzésnek kitett más személyekre, és ezáltal megakadályozhassák a súlyos betegségek elterjedését.
      Az adatvédelmi szabályoknak való megfelelés biztosítása érdekében megfelelő biztosítékokat vezettek be, hogy az egyének érintkezést nyomon követő és egészségügyi adatait kizárólag az érintkezést nyomon követő adott eljárásban közvetlenül érintett tagállamokra korlátozzák, és a hálózat többi tagállama, a Bizottság és az ECDC ezekhez az adatokhoz ne férhessen hozzá (16).
      Ebből a célból az EWRS-be ún. „szelektív üzenetközvetítő” csatornát építettek be, amely kizárólagos kommunikációs csatornát biztosít az érintkezést nyomon követő adott intézkedésben érintett tagállamok között.
      A szelektív üzenetközvetítő csatornán keresztül személyes információk megosztásával az illetékes hatóságok a személyes adatok feldolgozása tekintetében az „adatkezelő” szerepét veszik át, így ők vállalják a felelősséget a feldolgozási tevékenységek jogszerűségéért, valamint a 95/46/EK irányelvet átültető alkalmazandó nemzeti jogszabályokban előírt adatvédelmi kötelezettségeknek való megfelelés biztosításáért.
      Ki minősül „adatkezelőnek”?
      A 95/46/EK irányelv alkalmazásában „adatkezelő” az a természetes vagy jogi személy, hatóság, intézmény vagy bármely más szerv, amely önállóan vagy másokkal együtt meghatározza a személyes adatok feldolgozásának céljait és módját (17).
      A Bizottság és az ECDC felhasználói elvileg nem férnek hozzá a szelektív üzenetközvetítő csatornán megosztott személyes adatokhoz (18). Technikai okokból azonban az EWRS-ben a központi adattárolás végső soron a Bizottság mint rendszergazda és koordinátor feladata. Ebben a minőségében a Bizottság felelős az EWRS jogosult felhasználóinak azon személyes adatainak a nyilvántartásáért, tárolásáért és további feldolgozásáért, amelyek a rendszer működéséhez szükségesek.
      Az EWRS ezért egyértelmű példa a közös adatkezelésre, amikor az adatvédelem felelőssége különböző szinteken megoszlik a Bizottság és a tagállamok között. Annál is inkább, mivel 2005 óta a Bizottság és a tagállamok adatkezelői minőségükben úgy döntöttek, hogy az EWRS informatikai alkalmazásának napi működtetését az ECDC-re ruházzák, amely ezt a feladatot a Bizottság nevében végzi. A 45/2001/EK rendelet 21. és 22. cikkében foglalt kötelezettségeknek megfelelően az átruházás következtében az ügynökség mint „feldolgozó” vállalja a felelősséget a rendszer keretében végzett adatfeldolgozási műveletek bizalmas jellegéért és biztonságáért.
      Ki minősül feldolgozónak, és milyen kötelezettségei vannak?
      A 45/2001/EK rendelet alkalmazásában „feldolgozó”: az a természetes vagy jogi személy, hatóság, intézmény vagy bármely más szerv, amely személyes adatokat dolgoz fel az adatkezelő nevében (19).
      A rendelet előirányozza, hogy az adatkezelő – amennyiben az adatfeldolgozási műveletet az ő nevében végzik – olyan adatfeldolgozót válasszon, aki az adatbiztonsági célból megkövetelt műszaki és szervezeti biztonsági intézkedésekre vonatkozóan megfelelő garanciákat nyújt. Végső soron az intézkedéseknek való megfelelésért az adatkezelő felelős. A rendelet 21. és 22. cikkében előírt kötelezettségek azonban a feldolgozás bizalmas kezelése és biztonsága szempontjából a feldolgozóra is vonatkoznak (20).
      6.   AZ ALKALMAZANDÓ ADATVÉDELMI ELVEK
      A személyes adatok EWRS-en belüli feldolgozásának meg kell felelnie egy sor adatvédelmi elvnek, amelyet a 45/2001/EK rendelet és a 95/46/EK irányelv ír elő.
      Adatkezelői minőségükben a Bizottság és a tagállamok illetékes hatóságainak a felelőssége az ezeknek az elveknek való megfelelés biztosítása minden egyes alkalommal, amikor az EWRS-en keresztül személyes adatokat dolgoznak fel. Az alapvető adatvédelmi elvek csoportja az alábbiakban kerül bemutatásra. Mindez nem sérti a vonatkozó jogi eszközökben előírt, további alkalmazandó adatvédelmi követelményeket, amelyekhez a jelen iránymutatás különböző szakaszai adnak útmutatást. Az EWRS-felhasználókat felkérik, hogy figyelmesen olvassák el az adatok érintettjeinek tájékoztatásáról szóló 8. szakaszt, valamint az érintettek hozzáférési és egyéb jogosultságáról szóló 9. szakaszt.
      6.1.   A feldolgozás jogszerűségével és a célhoz kötöttséggel kapcsolatos elvek
      
      Az adatkezelők gondoskodnak arról, hogy a személyes adatokat tisztességesen és jogszerűen dolgozzák fel. Ez az elv elsősorban arra utal, hogy a személyes adatok összegyűjtését és további feldolgozását törvényes alapokra kell helyezni (21). Másodsorban, személyes adatok gyűjtése csak meghatározott, egyértelmű és törvényes célból történhet, és további feldolgozása nem végezhető e célokkal összeférhetetlen módon (22).
      6.2.   Az adatminőség elvei
      
      Az adatkezelőknek biztosítaniuk kell, hogy a személyes adatok helyesek és relevánsak legyenek, valamint hogy mennyiségük ne legyen túlzott az adatgyűjtés céljához mérten. Ezenkívül az adatoknak pontosaknak és naprakészeknek kell lenniük (23).
      6.3.   Az adatmegőrzés elvei
      
      Az adatkezelők biztosítják, hogy a személyes adatokat olyan formában tárolják, amely csak az adatgyűjtés vagy további feldolgozás céljából szükséges időtartamra teszi lehetővé az érintett személyek azonosítását (24).
      6.4.   A titkosság és az adatbiztonság elvei
      
      Az adatkezelők biztosítják, hogy bármely, az adatkezelő vagy az adatfeldolgozó meghatalmazásával eljáró személy, beleértve magát az adatfeldolgozót is, aki a személyes adatokhoz hozzáféréssel rendelkezik, kizárólag az adatkezelő utasítása alapján dolgozza fel ezeket az adatokat (25). Az adatkezelőknek továbbá kötelességük megfelelő technikai és szervezési intézkedéseket végrehajtaniuk a személyes adatok védelme érdekében a véletlen vagy jogellenes megsemmisülés vagy elvesztés, megváltoztatás, nyilvánosságra hozatal vagy hozzáférés ellen, továbbá az adatfeldolgozás minden más jogellenes formája ellen (26).
      A rendszer használatával összefüggésben a fenti elvek helyes és eredményes alkalmazása érdekében az EWRS-felhasználók számára különösen ajánlottak a következők:
      annak biztosítására, hogy a feldolgozási műveletnek legyen jogalapja, az adatok egyértelmű és törvényes célból legyenek összegyűjtve, és további feldolgozásuk e célokkal összeférhetetlen módon ne legyen végezhető, minden egyes alkalommal, amikor az EWRS-felhasználók az EWRS-en keresztül személyes adatokat gyűjtenek vagy más módon feldolgoznak:
      
                  —
               
               
                  esetenként felmérik, hogy indokolt-e a koordinált, érintkezést nyomon követő intézkedések végrehajtása, valamint ezt követően a kapcsolódó nyomon követési és egyéb személyes adatok megosztására az EWRS szelektív csatornájának aktiválása, tekintettel a betegség jellegére és a betegség további elterjedésének megakadályozása vagy megfékezése szempontjából az érintkezés nyomon követésének tudományosan bizonyított előnyeire, valamint figyelembe véve a tagállami egészségügyi hatóságok és a meglévő tudományos ügynökségek, azaz az ECDC és a WHO által biztosított kockázatelemzést,
               
            
                  —
               
               
                  az érintkezést nyomon követő vagy más személyes adatok megosztására ne használják az általános üzenetközvetítő csatornát. Külön gondoskodnak róla, hogy ilyen adatok ne kerüljenek általános üzeneteikbe, ezek mellékleteibe vagy bármilyen más formájú szövegekbe. Érintkezést nyomon követési célokra az általános üzenetközvetítő csatorna használata jogszerűtlen és aránytalan lenne, mivel a személyes adatok így olyan címzettekhez is eljutnának (ideértve a Bizottságot és az ECDC-t is), amelyek nem érintettek az adott eljárásban, és amelyeknek nem kell hozzáférniük ezekhez az adatokhoz,
               
            
                  —
               
               
                  a szelektív mód használatakor a „szükséges ismeret” megközelítését alkalmazzák, és a személyes adatokat tartalmazó szelektív üzenetek címzettjeként kizárólag azokat a tagállami hatóságokat választják ki, amelyeknek együtt kell működniük az adott, érintkezést nyomon követő eljárásban.
               
            Az EWRS-felhasználóknak különösen elővigyázatosaknak kell lenniük, amikor a szelektív üzenetközvetítő csatornán egy azonosított vagy azonosítható személy – pl. fertőzött vagy potenciálisan fertőzött személyek, akik elérhetőségeit vagy más személyes információit ezzel egy időben az EWRS-en keresztül közzéteszik – egészségi állapotáról bizalmas adatokat közölnek, nehogy az érintett személy közvetlenül vagy közvetetten azonosítható legyen. Ilyen esetben minden fent említett ajánlás továbbra is alkalmazandó; sőt az EWRS-felhasználóknak emlékezniük kell, hogy bizalmas adatok megosztása a 95/46/EK irányelv értelmében csak nagyon korlátozott körülmények között lehetséges. Így különösen (27):
      
                  —
               
               
                  a személy, akinek az adatait összegyűjtik, egyértelműen beleegyezetett az adatok feldolgozásába (a 95/46/EK irányelv 8. cikke (2) bekezdésének a) pontja). Az egészségügyi vészhelyzetek esetén szükséges gyors beavatkozás igénye miatt azonban lehetetlenség lehet az érintetteket ellátni minden olyan információval, amelyre szükségük lehet a beleegyezés megadásához (lásd az adatok érintettjeinek tájékoztatásáról szóló 8. szakaszt). Ezenkívül az adatok összegyűjtésekor nem mindig ismert, hogy végül azokat közzéteszik-e az EWRS-en keresztül,
               
            
                  —
               
               
                  ha az érintett nem egyezik bele, az egészségügyi adatok feldolgozása csak akkor tekinthető jogszerűnek, ha az „megelőző egészségügyi, orvosi diagnosztikai célból, gondozás vagy kezelés alkalmazása vagy egészségügyi szolgáltatások igazgatása céljából” szükséges, feltéve, ha az adatokat szakmai titoktartási kötelezettség alá eső egészségügyi szakember vagy azzal egyenértékű titoktartási kötelezettség alá eső más személy dolgozza fel (95/46/EK irányelv 8. cikkének (3) bekezdése). Más szóval minden egyes alkalommal, amikor bizalmas egészségügyi adatokat tartalmazó szelektív üzenetet küldenek más tagállamokbeli címzetteknek, az EWRS-felhasználóknak fel kell mérniük, hogy az adatok közzététele mindenképpen szükséges-e ahhoz, hogy az érintett tagállamokban az illetékes hatóságok végre tudjanak hajtani egyedi intézkedéseket az egyik fent említett célból. Az EWRS-felhasználóknak arra is ügyelniük kell, hogy a 95/46/EK irányelvet átültető nemzeti jogszabályaik vagy nemzeti adatvédelmi hatóságaik az egészségügyi adatok feldolgozásához további indokokat írhatnak elő (28).
               
            A rendszeren keresztül megosztott személyes adatok minőségének biztosítása érdekében és különösen szelektív üzenet közzététele előtt az EWRS-felhasználóknak figyelembe kell venniük a következőt:
      
                  —
               
               
                  a megosztani kívánt személyes adatok feltétlenül szükségesek-e az érintkezést nyomon követő eljárás hatékony lebonyolításához. Vagyis az üzenetet közzétevő illetékes hatóság csak olyan személyes adatokat bocsát a többi érintett tagállam hatósága(i) rendelkezésére, amelyek a fertőzött vagy veszélyeztetett személyek egyértelmű beazonosításához szükségesek. Az érintkezés nyomon követése céljából megosztható személyes adatok indikatív listáját, amely a 2009/547/EK határozat mellékletét képezi, nem lehet úgy tekinteni, mint mindenre kiterjedő és feltétel nélküli engedélyt az ilyen kategóriájú adatok feldolgozására. Ugyanakkor a mellékletben fel nem sorolt személyes adatok feldolgozása tekintetében különösen körültekintően kell eljárni, mert a közzététel valószínűleg nem szükséges és ésszerűtlen. Ehelyett inkább esetenként kell felmérni, hogy egy adott személyes adat bevonása feltétlenül szükséges-e az érintkezést nyomon követő adott eljáráshoz.
               
            A személyes adatok további feldolgozása és tárolása az EWRS-en kívül:
      különösen fontos megjegyezni, hogy a 95/46/EK irányelvet átültető nemzeti adatvédelmi jogszabályok a rendszeren át szerzett személyes adatok EWRS-en kívüli tárolására és további feldolgozására is alkalmazandók. Ez például akkor fordulhat elő, amikor a rendszerben központilag tárolt személyes adatokat a felhasználók számítógépén helyileg vagy nemzeti adatbázisokban tárolják; vagy amikor ezeket az adatokat az EWRS-en belüli feldolgozásukért felelős illetékes hatóság más hatóságokhoz vagy harmadik felekhez továbbítja. Ilyen esetekben az EWRS-felhasználóknak a következőkre kell emlékezniük:
      
                  —
               
               
                  az EWRS-en kívüli tárolás és további feldolgozás nem lehet összeférhetetlen az eredeti céllal, amelyből kifolyólag az adatokat összegyűjtötték és megosztották az EWRS-en belül,
               
            
                  —
               
               
                  a további feldolgozásnak a releváns nemzeti adatvédelmi jogszabályokban jogalappal kell rendelkeznie; szükségesnek, megfelelőnek és relevánsnak kell lennie, és nem lehet túlzott az EWRS-hez való összegyűjtés eredeti céljához mérten,
               
            
                  —
               
               
                  az adatokat naprakészen kell tartani, és ha a további feldolgozás céljából már nem szükségesek, törölni kell őket,
               
            
                  —
               
               
                  amikor az EWRS-ből harmadik fél számára történő közlés céljából nyernek ki adatokat, az adatkezelőnek értesíteni kell az érintetteket ezen körülményről, ezzel biztosítva a tisztességes adatfeldolgozást, kivéve, ha az értesítés lehetetlennek bizonyul vagy aránytalanul nagy erőfeszítést igényel, illetve ha a közlést jogszabály kifejezetten előírja (lásd a 95/46/EK irányelv 11. cikkének (2) bekezdését). Figyelembe véve, hogy előállhat olyan eset, amikor a közlést csak az egyik érintett tagállam jogszabályai írják elő, és ezt nem ismerik széles körben, törekedni kell a tájékoztatásra még akkor is, ha a közlést jogszabály kifejezetten előírja.
               
            7.   ADATVÉDELMI SZEMPONTOKKAL ÖSSZEEGYEZTETHETŐ KÖRNYEZET
      Az EWRS-be több olyan tulajdonság beépült már, amely segíti a 6. szakaszban leírt adatvédelmi elveknek való megfelelést, és arra ösztönzi az EWRS-felhasználókat, hogy a rendszer minden egyes alkalmazásakor mérjék fel az adatvédelmi szempontokat. Például:
      
                  —
               
               
                  az EWRS-üzenetek áttekintő oldalán jól látható figyelmeztetés van feltüntetve, amely tájékoztatja a felhasználókat, hogy az általános üzenetközvetítő csatorna rendeltetése nem az érintkezés nyomon követése vagy más személyes adatok közlése, mivel ennek a csatornának a használata azt eredményezheti, hogy az adatok szükségtelenül illetéktelen címzettek birtokába juthatnak,
               
            
                  —
               
               
                  a rendszeren belül megosztott információkhoz való hozzáférés különböző felhasználói profilok és szelektív kommunikációs csatornák létrehozásával van modulálva, amelyek megfelelő biztosítékot nyújtanak az adatvédelmi szabályoknak való megfelelés biztosításához,
               
            
                  —
               
               
                  az EWRS szelektív üzenetközvetítő csatorna kifejezetten külön kommunikációs csatornát biztosít a személyes adatok megosztására kizárólag az érintett tagállamok között. A rendszerbe beépítettek egy alapértelmezett opciót, amely automatikusan kizárja a Bizottságot és az ECDC-t a személyes adatokat tartalmazó szeletív üzenetek lehetséges címzettjei közül (29),
               
            
                  —
               
               
                  a rendszer a közzététel után 12 hónappal automatikusan töröl minden olyan szelektív üzenetet, amely személyes információkat tartalmaz (további információk: az adatmegőrzésről szóló 11. szakasz),
               
            
                  —
               
               
                  a rendszernek van egy olyan funkciója, amely segítségével a felhasználók bármikor közvetlenül helyesbíthetik vagy törölhetik a pontatlan, elavult, már nem szükséges vagy az adatvédelmi követelményeknek más módon nem megfelelő, személyes információkat tartalmazó szelektív üzeneteket. A rendszer automatikusan értesíti az adott szelektív információcserében érintett többi EWRS-felhasználót, hogy az üzenetet törölték, vagy tartalmát helyesbítették, hogy az adatvédelmi szabályoknak megfeleljenek,
               
            
                  —
               
               
                  a szelektív csatornán belül külön mechanizmust alakítottak ki arra, hogy az adott információcserében érintett nemzeti hatóságok a hozzáférésről, a helyesbítésről és az érintettek törlési kérelméről kommunikálhassanak és együttműködhessenek egymással.
               
            Középtávon továbbá a tervek szerint az EWRS-alkalmazáson belülről elérhető képzési modult integrálják, hogy az EWRS-felhasználók részletes magyarázatot kaphassanak adatvédelmi szempontból a rendszer működéséről. Az adatvédelmi szabályoknak való megfelelés fokozására irányuló különböző funkciók használatát gyakorlati példákon keresztül fogják bemutatni.
      A Bizottságnak szándékában áll együttműködni a tagállamokkal annak biztosítása érdekében, hogy a „beépített adatvédelem” koncepciója rögtön az elején tájékoztasson az EWRS ilyen és minden más későbbi fejleményeiről (30), valamint hogy kellőképpen figyelembe vegyék a szükségszerűség, arányosság, célhoz kötöttség és adatminimalizálás elvét az olyan döntések meghozatalakor, hogy milyen információkat osszanak meg az EWRS-en, kivel és milyen körülmények között.
      8.   AZ ADATOK ÉRINTETTJEINEK TÁJÉKOZTATÁSA
      Az EU adatvédelmi jogi keretén belüli egyik legfőbb követelmény az, hogy az adatkezelő az érintettek személyes adatait feldolgozó műveletekről köteles egyértelmű információkkal ellátni őket.
      Az EWRS-en belüli koordinációs szerepével összhangban, valamint a fenti kötelezettség teljesítése érdekében (31) a Bizottság egyértelmű és átfogó adatvédelmi nyilatkozatot tett közzé az EWRS-nek szentelt honlapján, tekintettel a Bizottság saját felelőssége alatt végzett feldolgozási műveleteire, valamint az illetékes hatóságok által kifejezetten az érintkezést nyomon követő tevékenységekkel összefüggésben végzett műveletekre.
      Az érintetteknek nyújtott információkkal kapcsolatos felelősség azonban az EWRS-en belüli feldolgozási műveleteik kapcsán a tagállamok illetékes hatóságait mint adatkezelőket is terheli.
      A EWRS-t használó nemzeti illetékes hatóságoknak milyen „információkat” kell az érintettek rendelkezésére bocsátani?
      Amikor közvetlenül az érintettől gyűjtenek be adatokat, a 95/46/EK irányelv 10. cikke előírja, hogy az adatkezelőnek vagy képviselőjének legalább az alábbiakról tájékoztatnia kell az érintettet, akitől a rá vonatkozó adatokat gyűjtik, kivéve, ha az érintett már rendelkezik ezen információkkal:
      
                  a)
               
               
                  az adatkezelő, vagy ha van ilyen, képviselőjének személye;
               
            
                  b)
               
               
                  az adatfeldolgozás célja, amelyre az adatokat szánják;
               
            
                  c)
               
               
                  további információk, mint például:
                  
                              —
                           
                           
                              az adatok címzettjei, illetve a címzettek kategóriái,
                           
                        
                              —
                           
                           
                              hogy a kérdések megválaszolása kötelező-e vagy önkéntes, továbbá a válaszadás elmulasztásának lehetséges következményei,
                           
                        
                              —
                           
                           
                              betekintési jog és az érintettre vonatkozó adatok helyesbítéséhez való jog,
                           
                        
            amennyiben e további információk, tekintettel az adatgyűjtés sajátos körülményeire, az érintett vonatkozásában a tisztességes adatfeldolgozás biztosításához szükségesek.
      A 95/46/EK irányelv 11. cikke felsorolja, hogy az adatkezelőnek legalább milyen adatokat kell a rendelkezésre bocsátania akkor, ha az adatokat nem az érintettől szerezték be. Ezeket az információkat a személyes adatok felvételekor, vagy ha az adatokat harmadik félhez szándékoznak továbbítani, legkésőbb az adatok első közlésekor kell megadni (32).
      A fenti rendelkezésekből adódik, hogy amikor a személyes adatokat egyénektől gyűjtik be (vagy legkésőbb akkor, amikor az adatokat az EWRS-en keresztül először közlik), a 2119/98/EK határozat és végrehajtási szabályai értelmében bejelentett eseményekkel kapcsolatban a közegészség védelméhez szükséges intézkedések elfogadása céljából a nemzeti illetékes hatóságoknak olyan jogi nyilatkozatot kell közvetlenül az érintettek rendelkezésére bocsátani, amely tartalmazza a 95/46/EK irányelv 10. és 11. cikkében felsorolt információkat. A nyilatkozatnak röviden utalnia kell az EWRS-re, valamint tartalmaznia kell az illetékes hatóságok nemzeti honlapján a releváns dokumentumokhoz és adatvédelmi nyilatkozatokhoz, valamint a Bizottság EWRS-nek szentelt honlapjához vezető internetes linket.
      A jogi nyilatkozatban rendelkezésre bocsátandó információk pontos részletei tagállamonként jelentősen eltérhetnek. Egyes nemzeti jogszabályok több kötelezettséget rónak az olyan kiegészítő információkat rendelkezésre bocsátó adatkezelőkre, mint pl. az érintettek jogorvoslati jogairól, az adattárolási és adatmegőrzési időszakról, az adatbiztonsági intézkedésekről stb. szóló információk.
      Az egészségügyi vészhelyzetekben a gyors beavatkozás szükségessége miatt – amikor az adatokat nem az érintettől szerezték be – lehetetlen értesíteni az érintetteket személyes adataik feldolgozásának céljáról. Ezzel összefüggésben a 95/46/EK irányelv 11. cikkének (2) bekezdése előírja, hogy az érintettek tájékoztatáshoz való joga korlátozható, „ha a kérdéses információk rendelkezésre bocsátása lehetetlennek bizonyul vagy aránytalanul nagy erőfeszítést igényel, illetve ha a rögzítést vagy a közlést jogszabály kifejezetten előírja. Ezekben az esetekben a tagállamoknak garantálniuk kell a megfelelő biztosítékokat.”
      Ennél általánosabban meg kell jegyezni, hogy a 95/46/EK irányelvet átültető nemzeti adatvédelmi jogszabályok értelmében külön korlátozni lehet az érintettek tájékoztatási jogát (33). Minden ilyen országspecifikus korlátozást az érintetteknek nyújtott adatvédelmi értesítésben vagy az illetékes hatóságok nemzeti honlapján közzétett adatvédelmi nyilatkozatban egyértelműen meg kell említeni.
      Azt, hogy ezeket az információkat milyen formában és pontosan hogyan juttatják el az érintettekhez, a tagállamok nemzeti illetékes hatóságai döntik el. Mivel a legtöbb illetékes hatóság az EWRS-en belüli információcserén kívül más feldolgozási műveleteket hajt végre, az egyének tájékoztatásának módja adott esetben megegyezhet a nemzeti jogszabályok értelmében más feldolgozási műveletek számára hasonló információk esetében alkalmazott módszerrel. Ajánlott továbbá, hogy az illetékes hatóságok aktualizálják vagy kiegészítsék adatvédelmi politikáikat vagy nyilatkozataikat – ha a nemzeti honlapjukon már van ilyen – egy külön hivatkozással arról, hogy az EWRS-en személyes adatokat osztanak meg.
      A fenti okoknál fogva elengedhetetlenül fontos, hogy amikor a tagállamokban az illetékes hatóságok a 95/46/EK irányelv 10. és 11. cikke értelmében standard jogi és adatvédelmi nyilatkozatokat dolgoznak ki, konzultáljanak nemzeti adatvédelmi hatóságaikkal.
      9.   A SZEMÉLYES ADATOKHOZ VALÓ HOZZÁFÉRÉS ÉS AZ ÉRINTETTEK EGYÉB JOGAI
      Az előző 8. szakaszban megvizsgált, az érintetteknek nyújtott információkról szóló adatvédelmi követelmények végső soron a személyes adatokat feldolgozó műveletek átláthatóságát hivatottak biztosítani. Az átláthatóság az alapvető célja az uniós adatvédelmi jogszabályokban előírt, az érintettek hozzáférési jogairól szóló rendelkezéseknek is (34).
      Milyen „adathozzáférési jogaik” vannak az érintetteknek?
      Az adatkezelőknek minden érintettnek jogot kell biztosítaniuk ahhoz, hogy túl nagy késedelem és költségek nélkül megerősítést kaphassanak arról, hogy a velük kapcsolatos személyes adatokat feldolgozták-e vagy sem, valamint tájékoztatniuk kell őket a feldolgozás céljáról és az adatok címzettjeinek kilétéről.
      Az adatkezelőknek ahhoz is jogot kell biztosítaniuk az érintetteknek, hogy értesülhessenek az olyan adatok helyesbítéséről, törléséről vagy zárolásáról, amelyek nem felelnek meg az alkalmazandó adatvédelmi jogszabályoknak, például mert az adatok hiányosak vagy pontatlanok.
      Végül az adatkezelőknek értesíteniük kell az adatokról tudomást szerző harmadik feleket az érintettek jogszerű kérésére végzett minden helyesbítésről, törlésről vagy zárolásról, hacsak ez lehetetlennek nem bizonyul, vagy aránytalanul nagy erőfeszítést nem igényel.
      Adatkezelői minőségükben a Bizottság és a tagállamok közös felelősséggel bírnak az EWRS-ben feldolgozott személyes adatok helyesbítéseit, zárolását, törlését és az ezekhez való hozzáférés jogát illetően, az alábbi feltételek szerint.
      A Bizottság felelőssége alá tartozik az, hogy hozzáférést biztosítson a nemzeti EWRS-kapcsolattartó pontok személyes adataihoz, és foglalkozzon a kapcsolódó helyesbítési, zárolási és törlési kérésekkel. A nemzeti kapcsolattartó pontokat felkérik, hogy további információkért arról, hogy érintettként hogyan gyakorolják jogaikat, olvassák el a Bizottság EWRS-honlapján az átfogó adatvédelmi nyilatkozat külön záradékát (35).
      Az EWRS-felhasználók arról is értesülnek, hogy olyan új funkciót alakítottak ki a rendszerben, amely segítségével közvetlenül módosíthatják személyes adataikat. Azokat az adatmezőket azonban, amelyek alapján egy adott EWRS-fiók azonosítható (a felhasználó hiteles e-mail címe, fióktípus stb.), maguk a felhasználók nem változtathatják meg, hogy jogosulatlan felhasználók ne férhessenek hozzá a rendszerhez. Ezért az adatmezőkre irányuló minden módosítási kérést a Bizottság adatkezelőjéhez kell intézni, mint ahogyan ez a Bizottság EWRS-honlapján az átfogó adatvédelmi nyilatkozatban olvasható.
      Az érintetteknek az érintkezés nyomon követésével, egészségi állapottal vagy a tagállamok között az EWRS-en keresztül megosztott más személyes adattal kapcsolatos kérelmeinek feldolgozása az adott szelektív információcserében érintett egyes illetékes hatóságok feladata. Ezt a feladatot a 95/46/EK irányelvet átültető nemzeti adatvédelmi jogszabályok releváns rendelkezései szabályozzák.
      Meg kell azonban jegyezni, hogy a 95/46/EK irányelvet átültető nemzeti adatvédelmi jogszabályok értelmében külön korlátozni lehet az érintettek adathozzáférési, adathelyesbítési, adattörlési és adatzárolási jogát (36). Minden ilyen korlátozást az érintetteknek nyújtott adatvédelmi értesítésben vagy az illetékes hatóságok nemzeti honlapján közzétett adatvédelmi nyilatkozatban egyértelműen meg kell említeni. Az EWRS kapcsolattartó pontjainak ezért célszerű kapcsolatba lépnie nemzeti adatvédelmi hatóságaikkal, hogy erről több információhoz juthassanak.
      Az EWRS összetettsége, amennyiben számos felhasználó közös feldolgozási műveletekben vesz részt, az érintettek adathozzáférési jogával kapcsolatban egyértelmű és egyszerű megközelítést tesz szükségessé, mivel az érintettek nem ismerik a rendszer működését, és meg kell teremteni a feltételeket ahhoz, hogy hatékonyan élhessenek jogaikkal.
      A javasolt megközelítés az lenne, hogy ha az érintett szerint az EWRS-en belül személyes adatai fel vannak dolgozva, és szeretne ezekhez az adatokhoz hozzáférni, vagy ezeket törölni vagy helyesbíteni, az érintettnek biztosítani kell, hogy fordulhasson bármely nemzeti illetékes hatósághoz, amellyel kapcsolatban állt, és/vagy amely közegészségügyi kockázattal járó adott eseménnyel kapcsolatban adatait begyűjtötte (pl. mind az érintett állampolgársága szerinti hatóság, mind az esemény idején a személy tartózkodási helye szerinti hatóság), valamint bármely más, az érintkezést nyomon követő intézkedések végrehajtásával kapcsolatos adott információcserében érdekelt hatósághoz.
      Az érintett információcserében részt vevő egyetlen illetékes hatóság sem tagadhatja meg a hozzáférési, helyesbítési és törlési jogok gyakorlását arra hivatkozva, hogy nem ő vitte fel az adatokat az EWRS-be, vagy hogy az érintettnek egy másik illetékes hatósághoz kell fordulnia. Ha az érintett kérelme nem ahhoz az illetékes hatósághoz érkezik, amely a szelektív közvetítőcsatornán keresztül az eredeti információkat közzétette, a befogadó hatóságnak a 7. szakaszban említett külön mechanizmuson keresztül továbbítania kell a kérelmet ahhoz az illetékes hatósághoz, amely az eredeti üzenetet közzétette, és a kérelemről ő fog dönteni.
      A döntés meghozatala előtt az információkat a rendszerben közzétevő illetékes hatóság adott esetben a 7. szakaszban említett külön mechanizmuson keresztül kapcsolatba léphet egy másik illetékes hatósággal, amely részt vett az információcserében, vagy más módon érdekelt az érintett kérelmében.
      Az érintetteket tájékoztatni kell arról is, hogy amennyiben nem elégedettek a kapott válasszal, az információcserében részt vevő másik illetékes hatóságot is felkereshetik. Mindenesetre az érintetteknek jogukban áll panaszt tenni az általuk a legjobbnak ítélt egyik ilyen illetékes hatóság nemzeti adatvédelmi hatóságánál. Szükség esetén a nemzeti adatvédelmi hatóságoknak együtt kell működniük a panasz kezelése érdekében (95/46/EK irányelv 28. cikke).
      Végül az EDPS által a véleményében tett külön ajánlás következtében a Bizottság az EWRS-en belül adatvédelmi megfelelési okokból új funkciót vezetett be a pontatlan, elavult, már nem szükséges vagy az adatvédelmi követelményeknek más módon nem megfelelő személyes információkat tartalmazó szelektív üzenetek online helyesbítésének és törlésének lehetővé tételére.
      10.   ADATBIZTONSÁG
      A rendszerhez csak a Bizottság és az ECDC jogosult felhasználói és a hivatalosan kinevezett EWRS nemzeti kapcsolattartó pontok férhetnek hozzá. A hozzáférés biztonságos és személyre szabott felhasználói fiókkal és jelszóval védett.
      Az EWRS-ben a személyes adatok kezelési eljárásai a 45/2001/EK rendelet 21. és 22. cikkében előírt követelményeket követik.
      11.   ADATMEGŐRZÉS
      A 45/2001/EK rendelet 4. cikke (1) bekezdésének e) pontjában és a 95/46/EK irányelv 6. cikke (1) bekezdésének e) pontjában foglalt adatvédelmi követelmények értelmében a rendszer az üzenetek közzététele után 12 hónappal automatikusan töröl minden olyan szelektív üzenetet, amely személyes adatot tartalmaz.
      Ez a biztosíték, amely a rendszer tervezésének szerves része, azonban nem mentesíti az EWRS-felhasználókat az alól, hogy még az alapértelmezett egyéves időszak előtt eltávolítsák a rendszerből azokat a személyes adatokat, amelyek már nem szükségesek, mivel a szelektív üzenetközvetítő csatornán belül a saját feldolgozási műveleteikért kizárólag ők felelősek.
      Ebből a célból a Bizottság új funkciót vezetett be az EWRS-be, amellyel a felhasználók bármikor közvetlenül törölhetik azokat a szeletív üzeneteket, amelyek már szükségtelen személyes adatokat tartalmaznak.
      Végül meg kell említeni, hogy a nemzeti illetékes hatóságok felelősek azért, hogy megfeleljenek a 95/46/EK irányelvet átültető releváns jogszabályban előírt, a személyes adatok megőrzéséről szóló adatvédelmi szabályoknak. A rendszerben tárolt személyes információk egy év utáni automatikus törlése nem akadályozza meg azt, hogy az EWRS-felhasználók ugyanazokat az információkat az EWRS-en kívül különböző (pl. hosszabb) időszakok alatt tárolják, feltéve, hogy mindez megfelel a nemzeti adatvédelmi jogszabályokból származó kötelezettségeknek, és a nemzeti jogszabályokban előírt időszakok összeegyeztethetőek a 95/46/EK irányelv 6. cikke (1) bekezdésének e) pontjával.
      12.   EGYÜTTMŰKÖDÉS A NEMZETI ADATVÉDELMI HATÓSÁGOKKAL
      Az illetékes hatóságokat arra ösztönzik, hogy kérjék ki nemzeti adatvédelmi hatóságaik tanácsát, különösen akkor, amikor az ezen iránymutatásokban nem tárgyalt adatvédelmi kérdésekkel állnak szemben.
      Az illetékes hatóságoknak azzal is tisztában kell lenniük, hogy a 95/46/EK irányelvet átültető nemzeti jogszabályok értelmében szükség lehet arra, hogy nemzeti adatvédelmi hatóságukat tájékoztassák az EWRS-en belüli adatfeldolgozási tevékenységeikről. Bizonyos tagállamokban még a nemzeti adatvédelmi hatóságok előzetes engedélyére is szükség lehet.
      
         (1)  Az ECDC a Bizottságot az EWRS-alkalmazás üzemeltetésében is támogatja. Ezt a feladatot az ECDC számára az Európai Betegségmegelőzési és Járványvédelmi Központ létrehozásáról szóló, 2004. április 21-i 851/2004/EK európai parlamenti és tanácsi rendelet, pontosabban annak 8. cikke jelölte ki (HL L 142., 2004.4.30., 1. o.).
      
         (2)  Http://www.edps.europa.eu/EDPSWEB/edps/EDPS.
      
         (3)  A fertőző betegségek kategóriái, amelyekkel a hálózat foglalkozik, a 2119/98/EK határozat mellékletében felsoroltakra korlátozódnak.
      
         (4)  A 95/46/EK irányelv 2. cikkének a) pontja és a 45/2001/EK rendelet 2. cikkének a) pontja.
      
         (5)  A 2119/98/EK határozat 4. cikke.
      
         (6)  A 2000/57/EK határozat I. melléklete az EWRS-ben jelentendő „esemény” meghatározásáról.
      
         (7)  A 2119/98/EK határozat 6. cikke.
      
         (8)  A 2009/547/EK bizottsági határozattal a 2000/57/EK határozatba bevezetett módosítások eredménye az volt, hogy az EWRS-be a „fertőzöttekkel való érintkezés nyomon követésére szolgáló” adatok bevitele céljából a személyes adatok feldolgozásának törvényes céljai tisztázásra kerültek.
      
         (9)  A 95/46/EK irányelv 2. cikkének b) pontja és a 45/2001/EK rendelet 2. cikkének b) pontja.
      
         (10)  Az „adatkezelő” fogalommeghatározását lásd a lenti 5. szakaszban.
      
         (11)  A fertőzöttekkel való érintkezés nyomon követésére szolgáló személyes adatok indikatív jegyzékét a 2009/547/EK határozat melléklete tartalmazza.
      
         (12)  A 2000/57/EK határozat 1. cikke és I. melléklete az EWRS-ben jelentendő „esemény” meghatározásáról.
      
         (13)  A 2000/57/EK határozat 2. cikkének a) pontja, amelyet a 2009/547/EK határozat vezetett be.
      
         (14)  A 95/46/EK irányelv 8. cikkének (4) bekezdése szerint.
      
         (15)  Vö. különösen a 4., 5. és 6. cikkével.
      
         (16)  A 2000/57/EK határozat 2a. cikke, amelyet a 2009/547/EK határozat vezetett be.
      
         (17)  A 95/46/EK irányelv 2. cikkének d) bekezdése szerinti fogalommeghatározás.
      
         (18)  Rendkívüli esetben a Bizottság bevonható a személyes adatoknak az EWRS szelektív csatornáján keresztüli megosztásába, de kizárólag akkor, ha ez elengedhetetlen a 2119/98/EK határozatban előírt közegészségügyi intézkedések és ezek végrehajtási szabályainak időben történő és hatékony végrehajtásának koordinálásához vagy lehetővé tételéhez. Ilyen esetben a Bizottság biztosítja, hogy a feldolgozás jogszerűen, és a 45/2001/EK rendelet rendelkezéseinek megfelelően történjen.
      
         (19)  A 45/2001/EK rendelet 2. cikkének e) pontja szerinti fogalommeghatározás.
      
         (20)  Ezek az elvek a 45/2001/EK rendelet 23. cikkének (Az adatkezelők nevében végzett személyesadat-feldolgozás) (1) bekezdésében szerepelnek.
      
         (21)  A feldolgozás jogszerűségének elve a 95/46/EK irányelv 6. cikke (1) bekezdésének a) pontja, 7. cikke és 8. cikke közös rendelkezéseinek az eredménye. Vö. még a 45/2001/EK rendelet megfelelő rendelkezéseivel.
      
         (22)  A célhoz kötöttség elvét a 95/46/EK irányelv 6. cikke (1) bekezdésének b) pontja, valamint a 45/2001/EK rendelet 4. cikke (1) bekezdése b) pontjának megfelelő rendelkezései ismertetik.
      
         (23)  A 95/46/EK irányelv 6. cikke (1) bekezdésének c) és d) pontja, valamint a 45/2001/EK rendelet 4. cikke (1) bekezdésének c) és d) pontja.
      
         (24)  A 95/46/EK irányelv 6. cikke (1) bekezdésének e) pontja, valamint a 45/2001/EK rendelet 4. cikke (1) bekezdésének e) pontja.
      
         (25)  A titkosság elvét a 95/46/EK irányelv 16. cikke, valamint a 45/2001/EK rendelet 21. cikkének megfelelő rendelkezései ismertetik.
      
         (26)  Az adatbiztonság elvét a 95/46/EK irányelv 17. cikke, valamint a 45/2001/EK rendelet 22. cikkének megfelelő rendelkezései ismertetik.
      
         (27)  Bizonyos különleges adatkategóriák, ideértve az egészségügyi adatokat is, feldolgozására irányuló tilalom alóli mentességek teljes listáját lásd: a 95/46/EK irányelv 8. cikkének (2), (3), (4) és (5) bekezdése.
      
         (28)  A 95/46/EK irányelv 8. cikkének (4) bekezdése.
      
         (29)  Az EWRS-felhasználóknak azonban van alternatív opciója ennek a csatornának a használatára olyankor, amikor technikai kérdésekkel kapcsolatos, személyes adatokat nem tartalmazó információkat osztanak meg szelektíven. Amikor az alapértelmezett helyett ezt az alternatív opciót választják, az üzenetet közzétevő hatóság a Bizottságot és az ECDC-t is kiválaszthatja címzettként. Ez a funkció azért lett kialakítva a rendszerben, hogy figyelembe vegye a kockázat- és eseménykezelési kérdések koordinációjában a Bizottság intézményes szerepét, a kockázatkezelési feladatokban pedig az ECDC ilyen szerepét.
      
         (30)  A „beépített adatvédelem” elve szerint olyan információs és kommunikációs technológiákat (IKT-ket) terveznek és fejlesztenek ki, amelyek már a technológia kialakításának legelső lépéseitől és a fejlesztés minden fázisában figyelembe veszik az adatvédelmi követelményeket.
      
         (31)  A Bizottságra háruló tájékoztatási kötelezettség a 45/2001/EK rendelet 11. és 12. cikkén alapul.
      
         (32)  A rendelkezésre bocsátandó információk a 10. cikkben felsoroltak, kiegészítve az érintett adatok kategóriájával. Amikor az adatokat közvetlenül az érintettől gyűjtik be, erre az információra értelemszerűen nincs szükség, mert az érintett az adatgyűjtéskor értesül az adatok kategóriájáról.
      
         (33)  A 95/46/EK irányelv mentességekről és korlátozásokról szóló 13. cikkének (1) bekezdése a következőket írja elő: „a tagállamok jogszabályokat fogadhatnak el a 6. cikk (1) bekezdésében, a 10. cikkben. a 11. cikk (1) bekezdésében, valamint a 12. és a 21. cikkben foglalt jogok és kötelezettségek körének korlátozására, amennyiben a korlátozás az alábbiak biztosításához szükséges: a) nemzetbiztonság; b) honvédelem; c) közbiztonság; d) bűncselekmények vagy a szabályozott foglalkozások etikai vétségeinek megelőzése, vizsgálata, felderítése és az ezekkel kapcsolatos eljárások lefolytatása; e) valamely tagállam vagy az Európai Unió fontos gazdasági vagy pénzügyi érdeke, beleértve a monetáris, a költségvetési és az adózási kérdéseket; f) a c), d) és e) pontban említett esetekben esetlegesen a hatósági feladatok gyakorlásához kapcsolódó ellenőrzési, felügyeleti és szabályozási tevékenység; g) az érintett, vagy mások jogainak és szabadságainak védelme.”
      
         (34)  A 95/46/EK irányelv 12. cikke, valamint a 45/2001/EK rendelet 13–18. cikke.
      
         (35)  Az adatvédelmi nyilatkozat minden EWRS-felhasználó számára az EWRS-alkalmazás biztonságos részén belülről is elérhető.
      
         (36)  Hivatkozva a 95/46/EK irányelv 13. cikkének (1) bekezdésére.