Source: EUR LEX
URL: L_2021188NL.01010601.doc.json

{
  "url": "http://www.w3.org/1999/xhtml\"><!--",
  "content": "L_2021188NL.01010601.xml 28.5.2021 NL Publicatieblad van de Europese Unie L 188/106 UITVOERINGSBESLUIT (EU) 2021/858 VAN DE COMMISSIE van 27 mei 2021 tot wijziging van Uitvoeringsbesluit (EU) 2017/253 wat betreft alarmmeldingen als gevolg van ernstige grensoverschrijdende bedreigingen van de gezondheid en voor de opsporing van contacten van passagiers die zijn geïdentificeerd met behulp van traceringsformulieren voor passagiers (Voor de EER relevante tekst) DE EUROPESE COMMISSIE, Gezien het Verdrag betreffende de werking van de Europese Unie, Gezien Besluit nr. 1082/2013/EU van het Europees Parlement en de Raad van 22 oktober 2013 over ernstige grensoverschrijdende bedreigingen van de gezondheid en houdende intrekking van Beschikking nr. 2119/98/EG ( 1 ) , en met name artikel 8, lid 2, Overwegende hetgeen volgt: (1) De vaststelling van een positief geval van COVID-19 na een bepaalde grensoverschrijdende reis voldoet aan de criteria van artikel 9, lid 1, van Besluit nr. 1082/2013/EU, aangezien die bedreiging van de gezondheid nog steeds voor een grote mortaliteit bij mensen kan zorgen, zich snel kan uitbreiden, meer dan een lidstaat kan treffen en een gecoördineerde reactie op het niveau van de Unie kan vergen. Overeenkomstig punt 23 van Aanbeveling (EU) 2020/1475 van 13 oktober 2020 betreffende een gecoördineerde aanpak van de beperking van het vrije verkeer in reactie op de COVID-19-pandemie ( 2 ) moet informatie over gevallen van COVID-19 die bij aankomst van een persoon op het grondgebied van een lidstaat worden ontdekt, ten behoeve van de opsporing van contacten onmiddellijk worden gedeeld met de volksgezondheidsinstanties van de landen waar de betrokken persoon gedurende de 14 dagen voordien heeft verbleven, via het systeem voor vroegtijdige waarschuwing en reactie (EWRS), dat is ingesteld bij artikel 8 van Besluit nr. 1082/2013/EU en door het Europees Centrum voor ziektepreventie en -bestrijding (ECDC) wordt geëxploiteerd. (2) Krachtens Aanbeveling (EU) 2020/1475 zouden lidstaten van personen die hun grondgebied binnenkomen, kunnen eisen dat zij een traceringsformulier voor passagiers (Passenger Locator Form, PLF) indienen, in overeenstemming met de vereisten inzake gegevensbescherming. (3) Door het invullen van verschillende vormen van nationale PLF’s verplicht te stellen, verzamelen de lidstaten PLF-gegevens van grensoverschrijdende passagiers die hun grondgebied binnenkomen. Eén vorm van gebruik van deze gegevens is dat indien een persoon die een PLF heeft ingevuld, wordt geïdentificeerd als een COVID-19-geval, de door het PLF verzamelde gegevens worden gebruikt om de reis van die persoon te reconstrueren en relevante informatie door te geven aan de lidstaten die contacttraceringsprocedures moeten uitvoeren met betrekking tot personen die mogelijk met de besmette passagier in contact zijn geweest. (4) Met het oog op de opsporing van contacten in het kader van de COVID-19-pandemie hebben de volksgezondheidsinstanties van sommige lidstaten al onderling persoonsgegevens uitgewisseld die via nationale PLF’s zijn verzameld. Zij hebben hiervoor met name gebruikgemaakt van de huidige technische EWRS-infrastructuur. (5) De huidige technische EWRS-infrastructuur is nog niet afgesteld om het volume PLF-gegevens dat wordt gegenereerd door het systematische en grootschalige gebruik van PLF’s, te verwerken. Bij deze infrastructuur is omzetting tussen de verschillende nationale vormen bijvoorbeeld nog niet mogelijk en moeten gegevens handmatig worden ingevoerd, wat een negatief effect heeft op de tijdigheid en doeltreffendheid van de opsporing van contacten. Dit is met name het geval wanneer contacten moeten worden opgespoord van passagiers die met collectieve vervoermiddelen met vooraf toegewezen zitplaatsen grensoverschrijdend zijn gereisd, zoals vliegtuigen, bepaalde treinen, veerboten en cruises, waarbij het aantal aan het virus blootgestelde passagiers en de duur van het contact met een besmette passagier aanzienlijk kunnen zijn. (6) Daarom moet een technische infrastructuur — het PLF-uitwisselingsplatform — worden opgezet om een veilige, tijdige en doeltreffende uitwisseling van gegevens tussen de voor het EWRS bevoegde autoriteiten van de lidstaten mogelijk te maken door ervoor te zorgen dat informatie uit hun bestaande nationale digitale PLF-systemen op interoperabele en automatische wijze aan andere voor het EWRS bevoegde autoriteiten kan worden doorgegeven. Het moet voortbouwen op het uitwisselingsplatform dat reeds is ontwikkeld door het Agentschap van de Europese Unie voor de veiligheid van de luchtvaart (EASA), zonder dat aan het EASA een rol wordt toebedeeld bij de verwerking van persoonsgegevens via het PLF-uitwisselingsplatform zoals vastgesteld in dit uitvoeringsbesluit. Het PLF-uitwisselingsplatform moet ook de uitwisseling van beperkte epidemiologische gegevens mogelijk maken die nodig zijn voor de opsporing van contacten overeenkomstig artikel 9, lid 3, van Besluit nr. 1082/2013/EU. Om overlapping van activiteiten of tegenstrijdigheden met bestaande structuren en mechanismen voor monitoring, vroegtijdige waarschuwing en bestrijding van ernstige grensoverschrijdende bedreigingen van de gezondheid te voorkomen, moet het PLF-uitwisselingsplatform in het kader van het EWRS als aanvulling op de in dat systeem aanwezige functie voor selectieve berichtenuitwisseling worden ontwikkeld. (7) Het PLF-uitwisselingsplatform moet overeenkomstig artikel 8 van Verordening (EG) nr. 851/2004 van het Europees Parlement en de Raad ( 3 ) door het ECDC worden geëxploiteerd. (8) De uit te wisselen PLF- en epidemiologische gegevens mogen niet op het PLF-uitwisselingsplatform worden opgeslagen. (9) Lidstaten die niet over een nationaal ontwikkeld digitaal PLF-systeem beschikken, kunnen gebruikmaken van het gemeenschappelijke digitale systeem van traceringsformulieren voor passagiers van de Europese Unie (European Union digital Passenger Locator Form System – EUdPLF), dat in opdracht van de Commissie door de gezamenlijke actie EU Healthy Gateways is ontwikkeld (subsidie nr. 801493) ( 4 ) . Het doel van het EUdPLF is om één toegangspunt en databank voor het verzamelen van PLF’s te creëren. In de toekomst moet het EUdPLF op het PLF-uitwisselingsplatform worden aangesloten met als enige doel de uitwisseling van gegevens tussen enerzijds lidstaten met hun eigen nationale digitale PLF-systemen en anderzijds lidstaten die van de EUdPLF gebruikmaken, mogelijk te maken. Dit besluit heeft geen betrekking op de oprichting van het EUdPLF en regelt evenmin de verwerking van persoonsgegevens in verband daarmee. (10) Dit besluit regelt de oprichting van nationale PLF’s niet, daarover moeten de lidstaten zelf beslissen. Het staat de lidstaten vrij te kiezen of zij PLF’s verzamelen van alle passagiers die op hun grondgebied aankomen, of alleen van passagiers die deze lidstaat als eindbestemming hebben. Voor een doeltreffende grensoverschrijdende tracering van contacten op basis van PLF-gegevens moeten de lidstaten via hun nationale PLF’s een gemeenschappelijk minimumpakket van PLF-gegevens verzamelen. Daarom moeten die minimale PLF-gegevens worden vastgesteld. Met het oog op kostenefficiëntie, duurzaamheid en grotere veiligheid van de oplossing moeten de lidstaten bovendien overwegen een gemeenschappelijke aanpak te hanteren wat betreft het eisen van PLF’s van alle passagiers, met inbegrip van transitpassagiers, of alleen van passagiers die de betrokken lidstaat als eindbestemming hebben. (11) Het gebruik van het PLF-uitwisselingsplatform moet vrijwillig zijn en de lidstaten moeten de vrijheid hebben om tijdelijk alarmen via de huidige technische EWRS-infrastructuur te melden, mits zij het doel van de opsporing van contacten niet in gevaar brengen. (12) Overeenkomstig het beginsel van minimale gegevensverwerking mogen de voor het EWRS bevoegde autoriteiten alleen goed gedefinieerde gegevensverzamelingen die via hun PLF’s zijn verzameld en andere beperkte epidemiologische gegevens die nodig zijn voor de opsporing van contacten, uitwisselen. Indien de lidstaat die een alarm over een besmette passagier meldt, alle betrokken lidstaten kan identificeren op basis van de PLF-gegevens waarover hij beschikt, moet hij de gegevens alleen doorgeven aan de voor het EWRS bevoegde autoriteiten van die lidstaten. Dit is bijvoorbeeld het geval indien de lidstaat die de besmette passagier identificeert, PLF’s voor alle passagiers, met inbegrip van transitpassagiers, die rechtstreeks vanaf de oorspronkelijke plaats van vertrek op het grondgebied van die lidstaat aankomen, verzamelt. (13) Wanneer in een lidstaat wordt vastgesteld dat een passagier met SARS-CoV-2 is besmet, moeten de voor het EWRS bevoegde autoriteiten van die lidstaat een beperkte verzameling van gegevens uit de PLF’s kunnen delen met de voor het EWRS bevoegde autoriteiten van de lidstaat van vertrek, waarbij de inhoud van de verzameling strikt moet worden gedefinieerd op basis van wat voor de opsporing van contacten van blootgestelde personen in de lidstaat van vertrek en de lidstaat van verblijf, indien niet de lidstaat van vertrek, noodzakelijk is, namelijk de identiteit en de contactgegevens van de besmette passagier. (14) Indien wordt vastgesteld dat een passagier in een lidstaat besmet is met SARS-CoV-2, moeten de voor het EWRS bevoegde autoriteiten van die lidstaat daarnaast ook een beperkte verzameling van gegevens kunnen delen met de voor het EWRS bevoegde autoriteiten van alle lidstaten of van de betrokken lidstaten, indien die autoriteiten beschikken over de informatie aan de hand waarvan zij die betrokken lidstaten kunnen identificeren. De gegevens moeten beperkt blijven tot de plaats van vertrek, de plaats van aankomst, de datum van vertrek, het gebruikte vervoersmiddel (bv. vliegtuig, trein, touringcar, veerboot, schip), het identificatienummer van de vervoersdienst — dat wil zeggen vluchtnummer, treinnummer, kentekenplaat van de touringcar, de naam van de veerboot of het schip — het zitplaats- of hutnummer van de besmette passagier en de vertrektijd indien bovenstaande gegevens niet volstaan om het vervoer te identificeren. Dit moet de ontvangende voor het EWRS bevoegde autoriteiten in staat stellen vast te stellen of er blootgestelde passagiers op hun grondgebied zijn aangekomen en, zo ja, om hun contacten op te sporen. (15) Bij het delen van gegevens met andere voor het EWRS bevoegde autoriteiten via het PLF-uitwisselingsplatform moet de betrokken voor het EWRS bevoegde autoriteit epidemiologische informatie kunnen toevoegen die beperkt blijft tot wat nodig is voor de opsporing van contacten, dat wil zeggen het type van de uitgevoerde COVID-19-test, de variant van het SARS-CoV-2-virus, de bemonsteringsdatum en de datum van het optreden van de symptomen. (16) De persoonsgegevens van besmette passagiers, die via het PLF-uitwisselingsplatform wordt uitgewisseld, moeten overeenkomstig Verordening (EU) 2016/679 van het Europees Parlement en de Raad ( 5 ) door de voor het EWRS bevoegde autoriteiten worden verwerkt. De verwerking van persoonsgegevens onder de verantwoordelijkheid van het ECDC als exploitant van het PLF-uitwisselingsplatform voor de opsporing van contacten en van de Commissie als subverwerker, moet in overeenstemming zijn met Verordening (EU) 2018/1725 van het Europees Parlement en de Raad ( 6 ) . (17) De rechtsgrond voor de uitwisseling van persoonsgegevens van besmette passagiers, onder meer over gezondheid, tussen de voor het EWRS bevoegde autoriteiten met het oog op de opsporing van contacten, is vastgesteld in artikel 9, lid 1, en lid 3, punt i), van Besluit nr. 1082/2013/EU in overeenstemming met artikel 6, lid 1, punt c), en artikel 9, lid 2, punt i), van Verordening (EU) 2016/679. In dit besluit moeten passende en specifieke maatregelen worden vastgesteld om de rechten en vrijheden van de betrokkene te waarborgen. Daartoe behoren maatregelen met betrekking tot de definitie van de uit te wisselen noodzakelijke gegevensverzamelingen, de voor het EWRS bevoegde autoriteiten waarmee de gegevens in de verschillende gevallen moeten worden uitgewisseld, passende beveiligingsmaatregelen met inbegrip van versleuteling, en modaliteiten voor de verwerking van gegevens tussen de nationale bevoegde autoriteiten via het PLF-uitwisselingsplatform in de Europese Unie. (18) De voor het EWRS bevoegde autoriteiten die aan het PLF-uitwisselingsplatform deelnemen, bepalen gezamenlijk de doeleinden en de middelen van de verwerking van persoonsgegevens in het PLF-uitwisselingsplatform, en zijn daarom gezamenlijke verwerkingsverantwoordelijken. Artikel 26 van Verordening (EU) 2016/679 verplicht gezamenlijke verwerkingsverantwoordelijken om hun respectieve verantwoordelijkheden voor de naleving van de verplichtingen uit hoofde van die verordening op transparante wijze vast te stellen. Dat artikel voorziet ook in de mogelijkheid om die verantwoordelijkheden te laten vaststellen bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de gezamenlijke verwerkingsverantwoordelijken van toepassing is. In dit besluit moeten daarom de respectieve taken en verantwoordelijkheden van de gezamenlijke verwerkingsverantwoordelijken worden vastgesteld. (19) Het ECDC biedt technische en organisatorische oplossingen voor het PLF-uitwisselingsplatform en verwerkt PLF- en epidemiologische gegevens namens de lidstaten die aan het PLF-uitwisselingsplatform als gezamenlijke verwerkingsverantwoordelijken deelnemen, en is daarom een verwerker in de zin van artikel 3, lid 12, van Verordening (EU) 2018/1725. Krachtens artikel 28 van Verordening (EU) 2016/679 en artikel 29 van Verordening (EU) 2018/1725 moet de verwerking door een verwerker worden geregeld in een overeenkomst of een rechtshandeling krachtens het Unierecht of het lidstatelijke recht die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt en de verwerking specificeert. Daarom moeten regels voor verwerking door het ECDC als verwerker worden vastgesteld. (20) Artikel 3, lid 3, van Verordening (EG) nr. 851/2004 bepaalt dat het ECDC, de Commissie en de lidstaten samenwerken om een effectieve samenhang tussen hun respectieve werkzaamheden te bevorderen. Daarom moeten overeenkomsten inzake dienstverleningsniveau tussen de Commissie en het ECDC worden gesloten om tijdens de technische ontwikkeling en exploitatie van het PLF-uitwisselingsplatform samen te werken. Zij moeten de verdeling van de verantwoordelijkheden (organisatorisch, financieel en technologisch) tussen de partijen specificeren om de uitvoering van het PLF-uitwisselingsplatform en de technische maatregelen met betrekking tot de exploitatie, het onderhoud en de verdere ontwikkeling ervan te vergemakkelijken. (21) Uitvoeringsbesluit (EU) 2017/253 moet daarom dienovereenkomstig worden gewijzigd. (22) Het PLF-uitwisselingsplatform moet in 2021 worden gefinancierd uit het instrument voor noodhulp dat is opgezet om de lidstaten te helpen reageren op de coronaviruspandemie, door op strategische en gecoördineerde wijze op Europees niveau noden te lenigen en door de “Ondersteunende activiteiten in het kader van het Europees vervoerbeleid, beveiliging van het vervoer en passagiersrechten, met inbegrip van communicatieactiviteiten”. Het platform wordt in 2022 door het programma Digitaal Europa gefinancierd. (23) Gezien de beoogde datum van exploitatie van het PLF-uitwisselingsplatform moet dit besluit met ingang van 1 juni 2021 van toepassing zijn. De uitwisseling van gegevens moet na 12 maanden worden stopgezet, of zodra de directeur-generaal van de Wereldgezondheidsorganisatie overeenkomstig de Internationale Gezondheidsregeling het einde van de door SARS-CoV-2 veroorzaakte noodsituatie op het gebied van de volksgezondheid van internationaal belang heeft afgekondigd, indien die afkondiging eerder gebeurt. (24) De exploitatie van het PLF-uitwisselingsplatform moet tot de bestrijding van de COVID-19-pandemie beperkt blijven. Het PLF-uitwisselingsplatform kan in de toekomst echter door middel van een wijzigend uitvoeringsbesluit worden uitgebreid tot epidemieën die dusdanig ernstig zijn dat lidstaten zich genoodzaakt zien PLF-gegevens ten behoeve van de opsporing van contacten uit te wisselen, overeenkomstig de criteria van artikel 9, lid 1, en de voorwaarden van artikel 9, lid 3, van Besluit nr. 1082/2013/EU. (25) Overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 is de Europese Toezichthouder voor gegevensbescherming geraadpleegd, en op 6 mei 2021 heeft hij een advies uitgebracht. (26) De in dit besluit vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 18 van Besluit nr. 1082/2013/EU ingestelde Comité inzake ernstige grensoverschrijdende bedreigingen van de gezondheid, HEEFT HET VOLGENDE BESLUIT VASTGESTELD: Artikel 1 Uitvoeringsbesluit (EU) 2017/253 wordt als volgt gewijzigd: 1) Het volgende artikel 1 bis wordt ingevoegd: “Artikel 1 bis Definities Voor de toepassing van dit besluit wordt verstaan onder: a) “traceringsformulier voor passagiers” (PLF): een formulier dat op verzoek van de volksgezondheidsinstanties wordt ingevuld, waarin ten minste de in bijlage I vermelde passagiersgegevens worden verzameld en dat deze instanties ondersteunt bij het beheer van een gebeurtenis op het gebied van de volksgezondheid door hen in staat te stellen passagiers die nationale grenzen overschrijden en mogelijk aan SARS-CoV-2 zijn blootgesteld of in contact met een besmet persoon zijn gekomen, op te sporen; b) “gegevens van het traceringsformulier voor passagiers” (PLF-gegevens): persoonsgegevens die via een PLF zijn verzameld; c) “digitaal toegangspunt”: één digitale locatie waar de voor het EWRS bevoegde autoriteiten hun nationale digitale PLF-systemen veilig met het PLF-uitwisselingsplatform kunnen verbinden; d) “reis”: de grensoverschrijdende reis van een persoon, door middel van collectief vervoer met vooraf toegewezen zitplaatsen, rekening houdend met het oorspronkelijke vertrekpunt en eindbestemming van die persoon, met een of meer deeltrajecten; e) “deeltraject”: één grensoverschrijdende reis van een passagier zonder overstap of wijziging van vliegtuig, trein, vaartuig of voertuig; f) “besmette passagier”: een passagier die voldoet aan het laboratoriumcriterium voor besmetting met SARS-CoV-2; g) “blootgestelde persoon”: een passagier of een andere persoon die in nauw contact is geweest met een besmette passagier; h) “alarm”: een kennisgeving via het systeem voor vroegtijdige waarschuwing en reactie (EWRS) overeenkomstig artikel 9 van Besluit nr. 1082/2013/EU.”. 2) De volgende artikelen 2 bis, 2 ter en 2 quater worden ingevoegd: “Artikel 2 bis Platform voor de uitwisseling van PLF-gegevens 1.   In het kader van het EWRS wordt een platform (PLF-uitwisselingsplatform) opgericht voor de veilige uitwisseling van PLF-gegevens van besmette passagiers, dat uitsluitend bedoeld is voor de opsporing van aan SARS-CoV-2 blootgestelde personen door de voor het EWRS bevoegde autoriteiten, als aanvulling op de selectieve berichtenfunctie van dat systeem. Het PLF-uitwisselingsplatform biedt een digitaal toegangspunt waarop de voor het EWRS bevoegde autoriteiten hun nationale digitale PLF-systemen veilig kunnen aansluiten of waartoe ze via het gemeenschappelijke digitale systeem van traceringsformulieren voor passagiers van de Europese Unie (EUdPLF) toegang kunnen krijgen, teneinde de uitwisseling van via PLF’s verzamelde gegevens mogelijk te maken. De voor het EWRS bevoegde autoriteiten kunnen gebruikmaken van het PLF-uitwisselingsplatform voor de uitwisseling van aanvullende gegevens, dat wil zeggen epidemiologische gegevens die uitsluitend bedoeld zijn voor de opsporing van aan SARS-CoV-2 blootgestelde personen, overeenkomstig artikel 2 ter, lid 5. 2.   Het PLF-uitwisselingsplatform wordt geëxploiteerd door het ECDC. 3.   Ten einde aan hun verplichtingen uit hoofde van artikel 2 te voldoen en melding te maken van ernstige grensoverschrijdende bedreigingen van de gezondheid die in het kader van de verzameling van PLF-gegevens zijn vastgesteld, wisselen de voor het EWRS bevoegde autoriteiten van de lidstaten die ingevulde PLF’s vereisen, een reeks PLF-gegevens via het PLF-uitwisselingsplatform uit, zoals beschreven in artikel 2 ter. 4.   De voor het EWRS bevoegde autoriteiten kunnen tijdelijk blijven voldoen aan hun verplichtingen uit hoofde van artikel 9, leden 1 en 3, van Besluit nr. 1082/2013/EU om melding te maken van ernstige grensoverschrijdende bedreigingen van de gezondheid die zijn vastgesteld in het kader van de verzameling van PLF-gegevens via de andere bestaande communicatiekanalen als bedoeld in artikel 1, lid 2, van dit besluit, op voorwaarde dat die keuze het doel van opsporing van contacten niet in gevaar brengt. 5.   De PLF- en aanvullende epidemiologische gegevens worden niet op het PLF-uitwisselingsplatform opgeslagen. Het PLF-uitwisselingsplatform zorgt er alleen voor dat de voor het EWRS bevoegde autoriteiten gegevens kunnen ontvangen die hun door andere voor het EWRS bevoegde autoriteiten zijn toegezonden en die uitsluitend bedoeld zijn voor de opsporing van SARS-CoV-2-contacten. Het ECDC consulteert de gegevens uitsluitend om de goede werking van het PLF-uitwisselingsplatform te waarborgen. 6.   De voor het EWRS bevoegde autoriteiten bewaren de via het PLF-uitwisselingsplatform ontvangen PLF- en epidemiologische gegevens niet langer dan de bewaringstermijn die van toepassing is in het kader van hun nationale contactopsporingsactiviteiten vanwege SARS-CoV-2. 7.   De Commissie werkt samen met het ECDC bij de uitvoering van de taken waarmee het krachtens dit besluit is belast, met name wat betreft technische en organisatorische maatregelen met betrekking tot de uitrol, de uitvoering, de exploitatie, het onderhoud en de verdere ontwikkeling van het PLF-uitwisselingsplatform. 8.   De verwerking via het PLF-uitwisselingsplatform van persoonsgegevens die uitsluitend bedoeld zijn voor de opsporing van SARS-CoV-2-contacten, wordt uitgevoerd tot en met 31 mei 2022 of tot de directeur-generaal van de Wereldgezondheidsorganisatie overeenkomstig de Internationale Gezondheidsregeling het einde van de door SARS-CoV-2 veroorzaakte noodsituatie op het gebied van de volksgezondheid van internationaal belang heeft afgekondigd, al naar gelang welke datum eerder valt. Artikel 2 ter Uit te wisselen gegevens 1.   Bij melding van een alarm op het PLF-uitwisselingsplatform sturen de voor het EWRS bevoegde autoriteiten van de lidstaat waar de besmette passagier is geïdentificeerd, de volgende PLF-gegevens toe aan de voor het EWRS bevoegde autoriteiten van de lidstaat van oorspronkelijk vertrek of van de lidstaat van verblijf van de besmette passagier, indien de verblijfplaats verschilt van de plaats van eerste vertrek: a) voornaam; b) achternaam; c) geboortedatum; d) telefoonnummer (vast en/of mobiel); e) e-mailadres; f) woonadres. 2.   De voor het EWRS bevoegde autoriteiten van de lidstaat van oorspronkelijk vertrek van de besmette passagier kunnen de ontvangen PLF-gegevens doorgeven aan een andere lidstaat van vertrek dan die welke in de PLF als lidstaat van oorspronkelijk vertrek is opgegeven, indien zij beschikken over de aanvullende informatie die wijst op de lidstaat die de contacten moet opsporen. 3.   Bij melding van een alarm op het PLF-uitwisselingsplatform sturen de voor het EWRS bevoegde autoriteiten van de lidstaat waar de besmette passagier is geïdentificeerd, voor elk deeltraject van de reis van die passagier de volgende PLF-gegevens aan de voor het EWRS bevoegde autoriteiten van alle lidstaten toe: a) de plaats van vertrek van elk betrokken vervoersmiddel; b) de plaats van aankomst van elk betrokken vervoersmiddel; c) de datum van vertrek van elk betrokken vervoersmiddel; d) type betrokken vervoersmiddel (bv. vliegtuig, trein, touringcar, veerboot, schip); e) het identificatienummer van elke betrokken vervoersdienst (bv. vluchtnummer, treinnummer, kentekenplaat van de touringcar, naam van veerboot of schip); f) het zitplaats- of hutnummer in elk betrokken vervoersmiddel; g) indien nodig, het tijdstip van vertrek van elk betrokken vervoersmiddel. 4.   Indien de voor het EWRS bevoegde autoriteiten van de lidstaat die het alarm meldt, op basis van de informatie waarover zij beschikken de betrokken lidstaten kunnen identificeren, sturen zij de in lid 3 bedoelde gegevens uitsluitend toe aan de voor het EWRS bevoegde autoriteiten van die lidstaten. 5.   De voor het EWRS bevoegde autoriteiten moeten de volgende epidemiologische gegevens kunnen verstrekken, indien dit nodig is voor een doeltreffende opsporing van contacten: a) type van de uitgevoerde test; b) variant van het SARS-CoV-2-virus; c) bemonsteringsdatum; d) datum waarop de symptomen zijn opgetreden. Artikel 2 quater Verantwoordelijkheden van de voor het EWRS bevoegde autoriteiten en van het ECDC bij de verwerking van PLF-gegevens 1.   De voor het EWRS bevoegde autoriteiten die PLF-gegevens en de in artikel 2 ter, lid 5, bedoelde gegevens uitwisselen, zijn gezamenlijke verwerkingsverantwoordelijken voor het invoeren en doorgeven van die gegevens via het PLF-uitwisselingsplatform tot de ontvangst ervan. De respectieve verantwoordelijkheden van de gezamenlijke verwerkingsverantwoordelijken worden toegewezen overeenkomstig bijlage II. Elke lidstaat die wil deelnemen aan de grensoverschrijdende uitwisseling van PLF-gegevens via het PLF-platform, stelt voorafgaand aan deelname het ECDC in kennis van zijn intentie en vermeldt zijn voor het EWRS bevoegde autoriteit die als verwerkingsverantwoordelijke is aangewezen. 2.   Het ECDC is de verwerker van gegevens die via het PLF-uitwisselingsplatform worden uitgewisseld. Het voorziet in het PLF-uitwisselingsplatform en waarborgt de beveiliging van de verwerking, met inbegrip van de doorgifte, van gegevens die via het PLF-uitwisselingsplatform worden uitgewisseld, en voldoet aan de in bijlage III vastgestelde verplichtingen van een verwerker. 3.   De doeltreffendheid van de technische en organisatorische maatregelen om de beveiliging van de verwerking van PLF-gegevens via het PLF-uitwisselingsplatform te waarborgen, wordt regelmatig getest, beoordeeld en geëvalueerd door het ECDC en door de voor het EWRS bevoegde autoriteiten die tot het PLF-uitwisselingsplatform toegang hebben. 4.   Het ECDC betrekt de Commissie als subverwerker en zorgt ervoor dat voor de Commissie dezelfde gegevensbeschermingsverplichtingen gelden als die welke in dit besluit zijn vastgesteld.”. 3) In artikel 3, lid 3, worden de woorden “de bijlage” vervangen door “bijlage IV”. 4) In de bijlage wordt de titel “BIJLAGE” vervangen door “BIJLAGE IV”. 5) De bijlagen I, II en III, zoals vastgesteld in de bijlage bij dit besluit, worden ingevoegd.”. Artikel 2 Dit besluit treedt in werking op de derde dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie . Het is van toepassing met ingang van 1 juni 2021. Gedaan te Brussel, 27 mei 2021. Voor de Commissie De voorzitter Ursula VON DER LEYEN ( 1 ) PB L 293 van 5.11.2013, blz. 1 . ( 2 ) PB L 337 van 14.10.2020, blz. 3 . ( 3 ) Verordening (EG) nr. 851/2004 van het Europees Parlement en de Raad van 21 april 2004 tot oprichting van een Europees Centrum voor ziektepreventie en -bestrijding ( PB L 142 van 30.4.2004, blz. 1 ). ( 4 ) 28 Europese landen worden samengebracht onder de gezamenlijke actie Paraatheid en actie op plaatsen van binnenkomst (havens, luchthavens en landgrensovergangen), bekend als EU Healthy Gateways, die wordt gefinancierd door het derde gezondheidsprogramma (2014-2020). ( 5 ) Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG ( PB L 119 van 4.5.2016, blz. 1 ). ( 6 ) Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG ( PB L 295 van 21.11.2018, blz. 39 ). BIJLAGE “BIJLAGE I VIA HET NATIONALE PLF TE VERZAMELEN MINIMUMPAKKET PLF-GEGEVENS Het PLF bevat ten minste de volgende PLF-gegevens: 1) voornaam; 2) achternaam; 3) geboortedatum; 4) telefoonnummer (vast en/of mobiel); 5) e-mailadres; 6) woonadres; 7) laatste of eindbestemming in de EU van de gehele reis; 8) de volgende informatie voor elk deeltraject van de reis tot de lidstaat die het PLF aanvraagt: a) de plaats van vertrek; b) de plaats van aankomst; c) de datum van vertrek; d) type vervoersmiddel (bv. vliegtuig, trein, touringcar, veerboot, schip); e) de tijd van vertrek; f) identificatienummer van de vervoersdienst (bv. vluchtnummer, treinnummer, kentekenplaat van touringcar, naam van veerboot of schip); g) zitplaats-/hutnummer. BIJLAGE II VERANTWOORDELIJKHEDEN VAN DE DEELNEMENDE LIDSTATEN ALS GEZAMENLIJKE VERWERKINGSVERANTWOORDELIJKEN VOOR HET PLF-UITWISSELINGSPLATFORM AFDELING 1 Verdeling van verantwoordelijkheden 1) Elke voor het EWRS bevoegde autoriteit zorgt ervoor dat de PLF-gegevens en de aanvullende epidemiologische gegevens die via het PLF-uitwisselingsplatform worden uitgewisseld, overeenkomstig Verordening (EU) 2016/679 van het Europees Parlement en de Raad ( * ) worden verwerkt. Zij ziet er met name op toe dat de gegevens die zij via het PLF-uitwisselingsplatform invoert en doorstuurt, nauwkeurig zijn, en beperkt blijven tot de in artikel 2 ter van dit besluit vastgestelde gegevens. 2) Elke voor het EWRS bevoegde autoriteit blijft de enige verwerkingsverantwoordelijke voor het verzamelen, gebruiken, openbaar maken en elke andere verwerking van PLF-gegevens en aanvullende epidemiologische gegevens die buiten het PLF-uitwisselingsplatform plaatsvindt. Elke voor het EWRS bevoegde autoriteit zorgt ervoor dat de gegevens overeenkomstig de voor het PLF-uitwisselingsplatform vastgestelde technische specificaties worden doorgegeven. 3) Instructies aan de verwerker worden door een van de contactpunten van de gezamenlijke verwerkingsverantwoordelijken in overeenstemming met de andere gezamenlijke verwerkingsverantwoordelijken toegezonden. 4) Alleen personen die door voor het EWRS bevoegde autoriteiten zijn gemachtigd, mogen PLF-gegevens en aanvullende epidemiologische gegevens die via het PLF-uitwisselingsplatform zijn uitgewisseld, raadplegen. 5) Elke voor het EWRS bevoegde autoriteit richt een contactpunt met een functionele mailbox in voor communicatie tussen de gezamenlijke verwerkingsverantwoordelijken en tussen de gezamenlijke verwerkingsverantwoordelijken en de verwerker. Het besluitvormingsproces van de gezamenlijke verwerkingsverantwoordelijken wordt geregeld door de werkgroep van het Gezondheidsbeveiligingscomité van het EWRS. 6) Elke voor het EWRS bevoegde autoriteit is geen gezamenlijk verwerkingsverantwoordelijke meer vanaf de datum waarop haar deelname aan het PLF-uitwisselingsplatform wordt ingetrokken. Zij blijft echter verantwoordelijk voor de PLF-gegevens en aanvullende epidemiologische gegevens die voor de intrekking van haar deelname via het PLF-uitwisselingsplatform zijn verzameld en doorgegeven. 7) Elke voor het EWRS bevoegde autoriteit houdt een register bij van de verwerkingsactiviteiten die onder haar verantwoordelijkheid plaatsvinden. De gezamenlijke verwerkingsverantwoordelijkheid mag in het register worden vermeld. AFDELING 2 Verantwoordelijkheden en rollen voor het behandelen van verzoeken en voor het informeren van betrokkenen 1) Elke voor het EWRS bevoegde autoriteit die een PLF vereist, verstrekt overeenkomstig de artikelen 13 en 14 van Verordening (EU) 2016/679 de passagiers die een grens overschrijden (de betrokkenen), informatie over de omstandigheden waaronder hun PLF- en epidemiologische gegevens met het oog op het opsporen van contacten via het PLF-uitwisselingsplatform worden uitgewisseld. 2) Elke voor het EWRS bevoegde autoriteit fungeert als contactpunt voor de betrokkenen en behandelt de door hen of hun vertegenwoordigers in verband met de uitoefening van hun rechten overeenkomstig Verordening (EU) 2016/679 ingediende verzoeken. Elke voor het EWRS bevoegde autoriteit wijst een specifiek contactpunt aan voor de verzoeken van betrokkenen. Indien een voor het EWRS bevoegde autoriteit een verzoek van een betrokkene ontvangt dat niet onder haar verantwoordelijkheid valt, stuurt zij het onverwijld door aan de verantwoordelijke voor het EWRS bevoegde autoriteit en stelt zij het ECDC daarvan in kennis. De voor het EWRS bevoegde autoriteiten verlenen elkaar op verzoek bijstand bij het behandelen van de verzoeken van de betrokkenen met betrekking tot de gezamenlijke verwerkingsverantwoordelijkheid en beantwoorden elkaars verzoek onverwijld, en uiterlijk binnen 15 dagen, na ontvangst van een verzoek om bijstand. 3) Elke voor het EWRS bevoegde autoriteit stelt de inhoud van deze bijlage, met inbegrip van de in de punten 1 en 2 vastgestelde regelingen, ter beschikking van de betrokkenen. AFDELING 3 Beheer van beveiligingsincidenten, met inbegrip van inbreuken in verband met persoonsgegevens 1) De voor het EWRS bevoegde autoriteiten verlenen elkaar als gezamenlijke verwerkingsverantwoordelijken bijstand bij de identificatie en behandeling van beveiligingsincidenten, met inbegrip van inbreuken in verband met persoonsgegevens, die verband houden met de verwerking van PLF- en epidemiologische gegevens die via het PLF-uitwisselingsplatform zijn uitgewisseld. 2) Zij stellen elkaar en het ECDC met name in kennis van: a) alle potentiële of feitelijke risico’s voor de beschikbaarheid, de vertrouwelijkheid en/of de integriteit van de PLF- en epidemiologische gegevens die in het PLF-uitwisselingsplatform zijn verwerkt; b) alle inbreuken in verband met persoonsgegevens, de waarschijnlijke gevolgen van de inbreuken en de beoordeling van het risico voor de rechten en vrijheden van natuurlijke personen, alsmede alle maatregelen die zijn genomen om de inbreuken in verband met persoonsgegevens aan te pakken en het risico voor de rechten en vrijheden van natuurlijke personen te beperken; c) alle inbreuken op de technische en/of organisatorische waarborgen van de verwerking in het PLF-uitwisselingsplatform. 3) De voor het EWRS bevoegde autoriteiten melden, overeenkomstig de artikelen 33 en 34 van Verordening (EU) 2016/679 of na kennisgeving door het ECDC, alle inbreuken in verband met de verwerking in het PLF-uitwisselingsplatform aan het ECDC, aan de bevoegde toezichthoudende autoriteiten en, in voorkomend geval, aan de betrokkenen. 4) Elke voor het EWRS bevoegde autoriteit neemt passende technische en organisatorische maatregelen om: a) de veiligheid, integriteit en vertrouwelijkheid van de gezamenlijk verwerkte persoonsgegevens te waarborgen en te beschermen; b) persoonsgegevens in haar bezit te beschermen tegen ongeoorloofde of onrechtmatige verwerking, verlies, gebruik, openbaarmaking, verkrijging of toegang; c) te waarborgen dat de persoonsgegevens niet algemeen toegankelijk zijn of toegankelijk zijn voor anderen dan de ontvangers of verwerkers. AFDELING 4 Gegevensbeschermingseffectbeoordeling Indien een verwerkingsverantwoordelijke, om te voldoen aan zijn verplichtingen uit hoofde van de artikelen 35 en 36 van Verordening (EU) 2016/679, informatie van een andere verwerkingsverantwoordelijke nodig heeft, zendt hij een specifiek verzoek naar de in afdeling 1, onderafdeling 1, punt 5, bedoelde functionele mailbox. De laatstgenoemde zal alles in het werk stellen om deze informatie te verstrekken. BIJLAGE III VERANTWOORDELIJKHEDEN VAN HET ECDC ALS GEGEVENSVERWERKER VOOR HET PLF-UITWISSELINGSPLATFORM 1) Het ECDC is verantwoordelijk voor het opzetten en waarborgen van een veilige en betrouwbare communicatie-infrastructuur die de voor het EWRS bevoegde autoriteiten van de lidstaten die aan het PLF-uitwisselingsplatform deelnemen, met elkaar verbindt. De verwerking van het PLF-uitwisselingsplatform door het ECDC omvat het volgende: a) vaststellen van de minimale technische voorschriften om een vlotte en veilige on- en offboarding van nationale PLF-databanken mogelijk te maken; b) zorgen voor een veilige en geautomatiseerde interoperabiliteit van nationale PLF-databanken. 2) Het ECDC vervult zijn verplichtingen als gegevensverwerker van het PLF-uitwisselingsplatform en betrekt met dit doel de Commissie als subverwerker en zorgt ervoor dat dezelfde gegevensbeschermingsverplichtingen, als vastgesteld in dit besluit, van toepassing zijn op de Commissie. Het ECDC kan de Commissie toestemming verlenen om een beroep te doen op derden als verdere subverwerkers. Indien de Commissie een beroep doet op subverwerkers, zal het ECDC: a) ervoor zorgen dat dezelfde verplichtingen inzake gegevensbescherming als uiteengezet in dit besluit van toepassing zijn op deze subverwerkers; b) de verwerkingsverantwoordelijken over beoogde veranderingen inzake de toevoeging of vervanging van andere subverwerkers inlichten, en zo de verwerkingsverantwoordelijken de mogelijkheid bieden met gewone meerderheid tegen deze veranderingen bezwaar te maken. 3) Het ECDC: a) is verantwoordelijk voor het opzetten en waarborgen van een veilige en betrouwbare communicatie-infrastructuur die de voor het EWRS bevoegde autoriteiten van de lidstaten die aan het PLF-uitwisselingsplatform deelnemen, met elkaar verbindt; b) verwerkt de PLF- en aanvullende epidemiologische gegevens uitsluitend op basis van gedocumenteerde instructies van de verwerkingsverantwoordelijken, tenzij een Unierechtelijke bepaling het ECDC tot verwerking verplicht. in dat geval stelt het ECDC de verwerkingsverantwoordelijken, voorafgaand aan de verwerking, in kennis van dat wettelijk voorschrift, tenzij die wetgeving kennisgeving van dergelijke informatie om gewichtige redenen van algemeen belang verbiedt; c) stelt een veiligheidsplan en een bedrijfscontinuïteits- en noodherstelplan op; d) neemt de noodzakelijke maatregelen om de integriteit van de verwerkte PLF- en aanvullende epidemiologische gegevens te bewaren; e) neemt alle geavanceerde organisatorische, fysieke en elektronische beveiligingsmaatregelen om het PLF-uitwisselingsplatform in stand te houden. Hiertoe zal het ECDC: i) een verantwoordelijke entiteit aanwijzen voor het beveiligingsbeheer op het niveau van het PLF-uitwisselingsplatform, de verwerkingsverantwoordelijken in kennis stellen van de contactgegevens van de entiteit en ervoor zorgen dat deze beschikbaar is om te reageren op bedreigingen voor de beveiliging; ii) de verantwoordelijkheid voor de beveiliging van het PLF-uitwisselingsplatform op zich nemen; iii) ervoor zorgen dat alle personen aan wie toegang tot het PLF-uitwisselingsplatform is verleend, onderworpen zijn aan een contractuele, professionele of wettelijke geheimhoudingsplicht; f) neemt alle nodige veiligheidsmaatregelen om te voorkomen dat de goede werking van het PLF-uitwisselingsplatform in het gedrang komt. Hiertoe voert het ECDC specifieke procedures in met betrekking tot de werking van het PLF-uitwisselingsplatform en de aansluiting van backendservers op het PLF-uitwisselingsplatform. Hieronder vallen: i) een risicobeoordelingsprocedure om potentiële bedreigingen van het systeem te identificeren en in te schatten; ii) een audit- en evaluatieprocedure om: 1) de overeenstemming tussen de uitgevoerde beveiligingsmaatregelen en het toepasselijke beveiligingsbeleid te controleren; 2) regelmatig de integriteit van de systeembestanden, de beveiligingsparameters en de verleende machtigingen te controleren; 3) inbreuken op de beveiliging op te sporen en te monitoren; 4) wijzigingen door te voeren om bestaande zwakke punten in de beveiliging te remediëren; 5) het mogelijk te maken van, onder meer op verzoek van verwerkingsverantwoordelijken, en het leveren van een bijdrage aan de uitvoering van onafhankelijke audits, met inbegrip van inspecties, en evaluaties van de beveiligingsmaatregelen, onder voorwaarden die in overeenstemming zijn met het Protocol (nr. 7) bij het VWEU betreffende de voorrechten en immuniteiten van de Europese Unie (2); iii) wijziging van de beheersprocedure om de gevolgen van een wijziging vóór de uitvoering ervan te documenteren en te meten, en de verwerkingsverantwoordelijken op de hoogte houden van wijzigingen die van invloed kunnen zijn op de communicatie met en/of de beveiliging van hun infrastructuren; iv) vaststelling van een onderhouds- en reparatieprocedure om de na te leven regels en voorwaarden voor het onderhoud en/of het repareren van apparatuur te specificeren; v) vaststelling van een procedure voor beveiligingsincidenten om het meldings- en escalatiesysteem vast te stellen, de verwerkingsverantwoordelijken onverwijld in kennis te stellen zodat zij de nationale toezichthoudende autoriteiten voor gegevensbescherming op de hoogte kunnen brengen van eventuele inbreuken in verband met persoonsgegevens, en een disciplinair proces vast te stellen om inbreuken op de beveiliging aan te pakken; g) neemt geavanceerde materiële en/of elektronische veiligheidsmaatregelen voor de installaties waar de apparatuur van het PLF-uitwisselingsplatform is ondergebracht en voor controles met betrekking tot de toegang tot gegevens en beveiliging. Hiertoe zal het ECDC: i) fysieke beveiliging handhaven om afzonderlijke veiligheidszones op te stellen en de opsporing van inbreuken mogelijk te maken; ii) de toegang tot de faciliteiten controleren en met het oog op de traceerbaarheid een register van bezoekers bijhouden; iii) ervoor zorgen dat externe personen die toegang krijgen tot gebouwen, worden begeleid door naar behoren gemachtigd personeel; iv) ervoor zorgen dat apparatuur niet kan worden toegevoegd, vervangen of verwijderd zonder voorafgaande machtiging van de aangewezen verantwoordelijke instanties; v) de wederzijdse toegang van en tot de nationale PLF-systemen en het PLF-uitwisselingsplatform controleren; vi) ervoor zorgen dat personen die toegang hebben tot het PLF-uitwisselingsplatform, geïdentificeerd en geauthenticeerd worden; vii) de machtiging met betrekking tot de toegang tot het PLF-uitwisselingsplatform herzien in geval van een inbreuk op de beveiliging die gevolgen heeft voor deze infrastructuur; viii) technische en organisatorische veiligheidsmaatregelen uitvoeren om ongeoorloofde toegang tot PLF- en epidemiologische gegevens te voorkomen; ix) waar nodig maatregelen treffen om ongeoorloofde toegang tot het PLF-uitwisselingsplatform vanaf het domein van de nationale autoriteiten te blokkeren (dat wil zeggen: een locatie/IP-adres blokkeren); h) onderneemt stappen om zijn domein te beschermen, met inbegrip van het verbreken van verbindingen, in geval van een aanzienlijke afwijking van de kwaliteits- of beveiligingsbeginselen en -concepten; i) houdt een risicobeheerplan in stand dat betrekking heeft op het gebied waarvoor het verantwoordelijk is; j) monitort — in real time — de prestaties van alle dienstencomponenten van zijn PLF-uitwisselingsplatform, produceert regelmatig statistieken en registreert gegevens; k) waarborgt dat de dienst 24/7 beschikbaar is, met een aanvaardbare onderbreking voor onderhoudsdoeleinden; l) ondersteunt alle diensten van het PLF-uitwisselingsplatform in het Engels via telefoon, mail of webportal en accepteert oproepen van geautoriseerde oproepers: de coördinatoren van het PLF-uitwisselingsplatform en hun respectieve helpdesks, projectmedewerkers en aangewezen personen van het ECDC; m) staat, voor zover mogelijk, de verwerkingsverantwoordelijken bij door middel van passende technische en organisatorische maatregelen in de naleving van hun verplichting om te antwoorden op verzoeken tot uitoefening van de rechten van betrokkenen, zoals vastgesteld in hoofdstuk III van Verordening (EU) 2016/679; n) ondersteunt de verwerkingsverantwoordelijken door informatie te verstrekken over het PLF-uitwisselingsplatform, teneinde de verplichtingen uit hoofde van de artikelen 32, 35 en 36 van Verordening (EU) 2016/679 na te komen; o) zorgt ervoor dat de PLF- en epidemiologische gegevens die via het PLF-uitwisselingsplatform worden doorgegeven, onbegrijpelijk zijn voor onbevoegden, met name door krachtige versleuteling toe te passen; p) neemt alle nodige maatregelen om te voorkomen dat de exploitanten van het PLF-uitwisselingsplatform ongeoorloofde toegang hebben tot doorgestuurde PLF- en epidemiologische gegevens; q) neemt maatregelen om de interoperabiliteit en de communicatie tussen de verwerkingsverantwoordelijken voor het PLF-uitwisselingsplatform te bevorderen; r) houdt overeenkomstig artikel 31, lid 2, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad een register bij van de verwerkingsactiviteiten die ten behoeve van de verwerkingsverantwoordelijken zijn verricht. ”. ( * ) Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG ( PB L 119 van 4.5.2016, blz. 1 ).",
  "source": "EUR LEX"
}