Uitvoeringsbesluit 2020/1023 - Wijziging van Uitvoeringsbesluit (EU) 2019/1765 wat betreft de grensoverschrijdende uitwisseling van gegevens tussen nationale mobiele applicaties voor het traceren en waarschuwen van contacten met het oog op de bestrijding van de COVID‐19-pandemie

NL

Publicatieblad van de Europese Unie

LI 227/1

In artikel 14 van Richtlijn 2011/24/EU is bepaald dat de Unie de samenwerking en de uitwisseling van informatie tussen de lidstaten steunt en bevordert in het kader van een vrijwillig netwerk waarin de door de lidstaten aangewezen nationale autoriteiten die verantwoordelijk zijn voor e‐gezondheid (eHealth) met elkaar worden verbonden (het “e‐gezondheidsnetwerk”).

Bij Uitvoeringsbesluit (EU) 2019/1765 van de Commissie (2) zijn de voorschriften voor de oprichting, het beheer en de werking van het netwerk van nationale verantwoordelijke autoriteiten inzake e‐gezondheid vastgesteld. Krachtens artikel 4 van dat besluit heeft het e‐gezondheidsnetwerk tot taak de interoperabiliteit van de nationale systemen voor informatie- en communicatietechnologie en de grensoverschrijdende overdraagbaarheid van elektronische gezondheidsgegevens bij grensoverschrijdende gezondheidszorg te bevorderen.

In het licht van de door de COVID‐19-pandemie veroorzaakte volksgezondheidscrisis hebben meerdere lidstaten mobiele applicaties ontwikkeld die contacttracering ondersteunen en waarmee de gebruikers van dergelijke applicaties zich kunnen laten waarschuwen om passende maatregelen te nemen, zoals zich laten testen of in zelfisolatie gaan, als zij mogelijk aan het virus zijn blootgesteld door de nabijheid van een andere gebruiker van een dergelijke applicatie die een positieve diagnose heeft gemeld. Deze applicaties maken gebruik van bluetoothtechnologie om te detecteren dat toestellen zich in elkaars nabijheid bevinden. Aangezien de beperkingen op het reizen tussen de lidstaten sinds juni 2020 zijn opgeheven, moet een betere interoperabiliteit van de nationale systemen voor informatie- en communicatietechnologie tussen de lidstaten die deelnemen aan het e‐gezondheidsnetwerk tot stand worden gebracht door middel van de invoering van een digitale infrastructuur die de interoperabiliteit tussen de nationale mobiele applicaties ter ondersteuning van het traceren en waarschuwen van contacten mogelijk maakt.

De Commissie ondersteunt de lidstaten met betrekking tot de bovengenoemde mobiele applicaties. Op 8 april 2020 heeft de Commissie een aanbeveling aangenomen over een gemeenschappelijke toolbox van de Unie voor het gebruik van technologie en gegevens om de COVID‐19-crisis te bestrijden en te boven te komen, met name wat mobiele applicaties en het gebruik van geanonimiseerde mobiliteitsgegevens betreft (de “aanbeveling van de Commissie”) (3). Met de steun van de Commissie hebben de lidstaten die deelnemen aan het e‐gezondheidsnetwerk een gemeenschappelijke EU-toolbox voor de lidstaten op het gebied van mobiele applicaties ter ondersteuning van contacttracering (4) en richtsnoeren voor interoperabiliteit voor goedgekeurde mobiele contacttraceringsapplicaties in de EU (5) vastgesteld. De toolbox bevat uitleg over de nationale vereisten voor de nationale mobiele applicaties voor het traceren en waarschuwen van contacten, in het bijzonder over het feit dat het gebruik ervan op vrijwillig basis moet berusten, dat zij door de respectieve nationale gezondheidsautoriteiten moeten zijn goedgekeurd, dat zij de privacy moeten beschermen, en dat zij moeten worden verwijderd zodra zij niet meer nodig zijn. Naar aanleiding van de recentste ontwikkelingen in de COVID‐19-crisis hebben zowel de Commissie (6) als het Europees Comité voor gegevensbescherming (7) advies uitgebracht over mobiele applicaties en instrumenten voor contacttracering wat betreft de gegevensbescherming. Het ontwerp van de mobiele applicaties van de lidstaten en van de digitale infrastructuur die hun interoperabiliteit mogelijk maakt, bouwt voort op de gemeenschappelijke EU-toolbox, de bovengenoemde richtsnoeren en de technische specificaties die in het kader van het e‐gezondheidsnetwerk zijn overeengekomen.

Om de interoperabiliteit van nationale mobiele applicaties voor het traceren en waarschuwen van contacten te bevorderen, is met de steun van de Commissie door de lidstaten die deelnemen aan het e‐gezondheidsnetwerk en die hebben besloten hun samenwerking op dit gebied op vrijwillige basis te intensifiëren, een digitale infrastructuur ontwikkeld, in de vorm van een IT-instrument voor de uitwisseling van gegevens. Deze digitale infrastructuur wordt “de federatieve gateway” genoemd.

Dit besluit bevat bepalingen over de rol van de deelnemende lidstaten en van de Commissie voor de werking van de federatieve gateway voor de grensoverschrijdende interoperabiliteit van nationale mobiele applicaties voor het traceren en waarschuwen van contacten.

De verwerking van persoonsgegevens van de applicatiegebruikers van mobiele applicaties voor het traceren en waarschuwen van contacten, die onder de verantwoordelijkheid van de lidstaten of andere publieke organisaties of officiële instanties in de lidstaten plaatsvindt, moet worden uitgevoerd in overeenstemming met Verordening (EU) 2016/679 van het Europees Parlement en de Raad (8) (“de algemene verordening gegevensbescherming”) en Richtlijn 2002/58/EG van het Europees Parlement en de Raad (9). De verwerking van persoonsgegevens onder de verantwoordelijkheid van de Commissie met het oog op het beheer en de waarborging van de beveiliging van de federatieve gateway moet in overeenstemming zijn met Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (10).

De federatieve gateway moet bestaan uit een beveiligde IT-infrastructuur bieden die voorziet in een gemeenschappelijke interface waar aangewezen nationale autoriteiten of officiële instanties een minimale verzameling gegevens kunnen uitwisselen over de contacten met personen die met SARS‐CoV‐2 zijn besmet, teneinde anderen te informeren over hun mogelijke blootstelling aan die besmetting, en die de doeltreffende samenwerking tussen de lidstaten op het gebied van gezondheidszorg bevordert door de uitwisseling van relevante informatie te vergemakkelijken.

In dit besluit moeten derhalve regels worden vastgesteld voor de grensoverschrijdende uitwisseling van gegevens tussen aangewezen nationale autoriteiten of officiële instanties via de federatieve gateway binnen de EU.

De deelnemende lidstaten, vertegenwoordigd door de aangewezen nationale autoriteiten of officiële instanties, bepalen gezamenlijk de doeleinden en middelen van de verwerking van persoonsgegevens via de federatieve gateway en zijn derhalve gezamenlijke verwerkingsverantwoordelijken. Op grond van artikel 26 van de algemene verordening gegevensbescherming zijn gezamenlijke verwerkingsverantwoordelijken op het gebied van de verwerking van persoonsgegevens verplicht om op transparante wijze hun respectieve verantwoordelijkheden voor de nakoming van de verplichtingen uit hoofde van die verordening vast te stellen. Dat artikel voorziet ook in de mogelijkheid om die verantwoordelijkheden te laten vaststellen bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de gezamenlijke verwerkingsverantwoordelijken van toepassing is. De verwerkingsverantwoordelijken moeten ervoor zorgen dat zij over een rechtsgrond op nationaal niveau beschikken voor de verwerking in de federatieve gateway.

De Commissie, als aanbieder van technische en organisatorische oplossingen voor de federatieve gateway, verwerkt gepseudonimiseerde persoonsgegevens namens de lidstaten die als gezamenlijke verwerkingsverantwoordelijken deelnemen aan de federatieve gateway en is derhalve een verwerker. Krachtens artikel 28 van de algemene verordening gegevensbescherming en artikel 29 van Verordening (EU) 2018/1725 wordt de verwerking door een verwerker geregeld in een overeenkomst of een rechtshandeling krachtens het Unierecht of het lidstatelijke recht die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt en de verwerking specificeert. In dit besluit worden de regels vastgesteld voor de verwerking door de Commissie als verwerker.

Bij de verwerking van persoonsgegevens in het kader van de federatieve gateway is de Commissie gebonden door Besluit (EU, Euratom) 2017/46 van de Commissie (11).

Aangezien de doeleinden waarvoor de verwerkingsverantwoordelijken persoonsgegevens verwerken in de nationale mobiele applicaties voor het traceren en waarschuwen van contacten niet noodzakelijkerwijs de identificatie van een betrokkene vereisen, zijn de verwerkingsverantwoordelijken mogelijk niet altijd in staat de toepassing van de rechten van betrokkenen te waarborgen. De in de artikelen 15 tot en met 20 van de algemene verordening gegevensbescherming bedoelde rechten zijn derhalve mogelijk niet van toepassing indien aan de voorwaarden van artikel 11 van die verordening is voldaan.

De bestaande bijlage bij Uitvoeringsbesluit (EU) 2019/1765 moet worden hernummerd als gevolg van de toevoeging van twee nieuwe bijlagen.

Uitvoeringsbesluit (EU) 2019/1765 moet daarom dienovereenkomstig worden gewijzigd.

Gezien de urgentie van de door de COVID‐19-pandemie veroorzaakte situatie moet dit besluit van toepassing zijn met ingang van de dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

De Europese Toezichthouder voor gegevensbescherming is geraadpleegd overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 en heeft op 9 juli 2020 advies uitgebracht.

De in dit besluit vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 16 van Richtlijn 2011/24/EU ingestelde comité,

In artikel 2, lid 1, worden de volgende punten g), h), i), j), k), l), m), n) en o) toegevoegd:

(*1)  Besluit nr. 1082/2013/EU van het Europees Parlement en de Raad van 22 oktober 2013 over ernstige grensoverschrijdende bedreigingen van de gezondheid en houdende intrekking van Beschikking nr. 2119/98/EG (PB L 293 van 5.11.2013, blz. 1).”."

In artikel 4, lid 1, wordt het volgende punt h) toegevoegd:

In artikel 6, lid 1, worden de volgende punten f) en g) toegevoegd:

Artikel 7 wordt als volgt gewijzigd:

Het volgende artikel 7 bis wordt ingevoegd:

“Artikel 7 bis

Grensoverschrijdende uitwisseling van gegevens tussen nationale mobiele applicaties voor het traceren en waarschuwen van contacten via de federatieve gateway

• 1. 

  Wanneer persoonsgegevens via de federatieve gateway worden uitgewisseld, worden deze uitsluitend verwerkt om de interoperabiliteit van nationale mobiele applicaties voor het traceren en waarschuwen van contacten binnen de federatieve gateway en de continuïteit van de contacttracering in een grensoverschrijdende context te bevorderen.

• 2. 

  De in lid 3 bedoelde persoonsgegevens worden in een gepseudonimiseerd formaat aan de federatieve gateway doorgegeven.

• 3. 

  De gepseudonimiseerde persoonsgegevens die uitgewisseld worden via en verwerkt worden in de federatieve gateway omvatten uitsluitend de volgende informatie:

• 4. 

  De aangewezen nationale autoriteiten of officiële instanties die persoonsgegevens verwerken in de federatieve gateway zijn gezamenlijke verwerkingsverantwoordelijken met betrekking tot de in de federatieve gateway verwerkte gegevens. De respectieve verantwoordelijkheden van de gezamenlijke verwerkingsverantwoordelijken worden overeenkomstig bijlage II toegewezen. Elke lidstaat die wenst deel te nemen aan de grensoverschrijdende uitwisseling van gegevens tussen nationale mobiele applicaties voor het traceren en waarschuwen van contacten, stelt de Commissie vooraf van dit voornemen in kennis en geeft aan welke nationale autoriteit of officiële instantie als verwerkingsverantwoordelijke is aangewezen.

• 5. 

  De Commissie is de verwerker van de persoonsgegevens die binnen de federatieve gateway worden verwerkt. In haar hoedanigheid van verwerker draagt de Commissie zorg voor de beveiliging van de verwerking, met inbegrip van de doorgifte en hosting, van persoonsgegevens in de federatieve gateway, en voldoet zij aan de in bijlage III vastgestelde verplichtingen van een verwerker.

• 6. 

  De doeltreffendheid van de technische en organisatorische maatregelen om de beveiliging van de verwerking van persoonsgegevens binnen de federatieve gateway te waarborgen, wordt regelmatig getest, beoordeeld en geëvalueerd door de Commissie en door de nationale autoriteiten die toegang hebben tot de federatieve gateway.

• 7. 

  Onverminderd het besluit van de gezamenlijke verwerkingsverantwoordelijken om de verwerking in de federatieve gateway te beëindigen, wordt de federatieve gateway uiterlijk 14 dagen nadat alle verbonden nationale mobiele applicaties voor het traceren en waarschuwen van contacten zijn opgehouden sleutels via de federatieve gateway door te geven, gedeactiveerd.”.

De bijlage wordt bijlage I.

De bijlagen II en III, waarvan de tekst is opgenomen in de bijlage bij dit besluit, worden toegevoegd.

1)

De gezamenlijke verwerkingsverantwoordelijken verwerken persoonsgegevens via de federatieve gateway overeenkomstig de door het e‐gezondheidsnetwerk vastgestelde technische specificaties (1).

2)

Elke verwerkingsverantwoordelijke is verantwoordelijk voor de verwerking van persoonsgegevens in de federatieve gateway overeenkomstig de algemene verordening gegevensbescherming en Richtlijn 2002/58/EG.

3)

Elke verwerkingsverantwoordelijke richt een contactpunt met een functionele mailbox in voor de communicatie tussen de gezamenlijke verwerkingsverantwoordelijken en tussen de gezamenlijke verwerkingsverantwoordelijken en de verwerker.

4)

Een overeenkomstig artikel 5, lid 4, door het e‐gezondheidsnetwerk opgerichte tijdelijke subgroep wordt belast met het onderzoeken van kwesties die zich met betrekking tot de interoperabiliteit van nationale mobiele applicaties voor het traceren en waarschuwen van contacten en tot de gezamenlijke verantwoordelijkheid voor de daarmee samenhangende verwerking van persoonsgegevens aandienen, en met het faciliteren van de opstelling van gecoördineerde instructies aan de Commissie als verwerker. Onder andere kunnen de verwerkingsverantwoordelijken, in het kader van de tijdelijke subgroep, werken aan een gemeenschappelijke aanpak van de bewaring van gegevens op hun nationale backendservers, rekening houdend met de bewaartermijn die in de federatieve gateway is vastgelegd.

5)

Instructies aan de verwerker worden door een van de contactpunten van de gezamenlijke verwerkingsverantwoordelijken toegezonden, in overeenstemming met de andere gezamenlijke verwerkingsverantwoordelijken van de bovengenoemde subgroep.

6)

Alleen de daartoe door de aangewezen nationale autoriteiten of officiële instanties gemachtigde personen hebben toegang tot de persoonsgegevens van gebruikers die in de federatieve gateway worden uitgewisseld.

7)

Elke aangewezen nationale autoriteit of officiële instantie houdt op een gezamenlijke verwerkingsverantwoordelijke te zijn met ingang van de datum waarop haar deelname aan de federatieve gateway wordt ingetrokken. Zij blijft echter verantwoordelijk voor de voorafgaand aan de terugtrekking verrichte verwerking in de federatieve gateway.

1)

Overeenkomstig de artikelen 13 en 14 van de algemene verordening gegevensbescherming verstrekt elke verwerkingsverantwoordelijke de gebruikers van zijn nationale mobiele applicaties voor het traceren en waarschuwen van contacten (“de betrokkenen”) informatie over de verwerking van hun persoonsgegevens in de federatieve gateway met het oog op de grensoverschrijdende interoperabiliteit van de nationale mobiele applicaties voor het traceren en waarschuwen van contacten.

2)

Elke verwerkingsverantwoordelijke treedt op als contactpunt voor de gebruikers van zijn nationale mobiele applicaties voor het traceren en waarschuwen van contacten en behandelt de verzoeken tot uitoefening van de rechten van betrokkenen overeenkomstig de algemene verordening gegevensbescherming, zoals die door die gebruikers of hun vertegenwoordigers worden ingediend. Elke verwerkingsverantwoordelijke wijst een specifiek contactpunt aan voor de verzoeken van betrokkenen. Indien een gezamenlijke verwerkingsverantwoordelijke een verzoek van een betrokkene ontvangt dat niet onder zijn verantwoordelijkheid valt, stuurt hij het onverwijld door aan de desbetreffende gezamenlijke verwerkingsverantwoordelijke. De gezamenlijke verwerkingsverantwoordelijken verlenen elkaar op verzoek bijstand bij het behandelen van de verzoeken van de betrokkenen en beantwoorden elkaar onverwijld, en uiterlijk binnen 15 dagen na ontvangst van een verzoek om bijstand.

3)

Elke verwerkingsverantwoordelijke stelt de inhoud van deze bijlage, met inbegrip van de in de punten 1 en 2 vastgestelde regelingen, ter beschikking van de betrokkene.

1)

De gezamenlijke verwerkingsverantwoordelijken verlenen elkaar bijstand bij de identificatie en behandeling van beveiligingsincidenten, met inbegrip van inbreuken in verband met persoonsgegevens, die verband houden met de verwerking in de federatieve gateway.

2)

De gezamenlijke verwerkingsverantwoordelijken stellen elkaar met name in kennis van:

3)

De gezamenlijke verwerkingsverantwoordelijken melden, overeenkomstig de artikelen 33 en 34 van Verordening (EU) 2016/679 of na kennisgeving door de Commissie, alle inbreuken in verband met de verwerking in de federatieve gateway aan de Commissie, aan de bevoegde toezichthoudende autoriteiten en, in voorkomend geval, aan de betrokkenen.

zet een beveiligde en betrouwbare communicatie-infrastructuur op die de nationale mobiele applicaties van de aan de federatieve gateway deelnemende lidstaten voor het traceren en waarschuwen van contacten onderling verbindt, en waarborgt deze. Om aan haar verplichtingen als gegevensverwerker voor de federatieve gateway te voldoen, kan de Commissie een beroep doen op derden als subverwerkers. De Commissie stelt de gezamenlijke verwerkingsverantwoordelijken op de hoogte van voorgenomen wijzigingen met betrekking tot de toevoeging of vervanging van andere subverwerkers, zodat de verwerkingsverantwoordelijken in de gelegenheid worden gesteld om gezamenlijk bezwaar te maken tegen dergelijke wijzigingen, zoals vastgesteld in bijlage II, afdeling 1, onderafdeling 1, punt 4. De Commissie zorgt ervoor dat dezelfde verplichtingen inzake gegevensbescherming als uiteengezet in dit besluit van toepassing zijn op deze subverwerkers;

verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van de verwerkingsverantwoordelijken, tenzij een Unierechterlijke of lidstaatrechtelijke bepaling haar tot verwerking verplicht; in dat geval stelt de Commissie de verwerkingsverantwoordelijken, voorafgaand aan de verwerking, in kennis van dat wettelijk voorschrift, tenzij die wetgeving kennisgeving van dergelijke informatie om gewichtige redenen van algemeen belang verbiedt;

verwerkt de gegevens als volgt:

De verwerker treft de nodige maatregelen om de integriteit van de verwerkte gegevens te bewaren;

neemt alle geavanceerde organisatorische, fysieke en logische beveiligingsmaatregelen om de federatieve gateway in stand te houden. Hiertoe zal de Commissie:

neemt alle nodige veiligheidsmaatregelen om te voorkomen dat de goede werking van nationale backendservers in het gedrang komt. Daartoe voert de Commissie specifieke procedures in met betrekking tot de verbinding van de backendservers naar de federatieve gateway. Deze procedures omvatten:

neemt geavanceerde materiële en/of logische veiligheidsmaatregelen voor de installaties waar de apparatuur van de federatieve gateway is ondergebracht en voor controles met betrekking tot de toegang tot logische gegevens en beveiliging. Hiertoe zal de Commissie:

onderneemt stappen om haar domein te beschermen, met inbegrip van het verbreken van verbindingen, in geval van een aanzienlijke afwijking van de kwaliteits- of beveiligingsbeginselen en -concepten;

houdt een risicobeheerplan in stand dat betrekking heeft op het gebied waarvoor zij verantwoordelijk is;

monitort — in real time — de prestaties van alle dienstencomponenten van de diensten van haar federatieve gateway, produceert regelmatig statistieken en registreert gegevens;

ondersteunt alle diensten van de federatieve gateway 24 uur per dag, 7 dagen per week in het Engels via telefoon, mail of webportal en accepteert oproepen van geautoriseerde oproepers: de coördinatoren van de federatieve gateway en hun respectieve helpdesks, projectmedewerkers en aangewezen personen van de Commissie;

staat, voor zover mogelijk, de verwerkingsverantwoordelijken door middel van passende technische en organisatorische maatregelen bij in de naleving van hun verplichting om te antwoorden op verzoeken tot uitoefening van de rechten van betrokkenen, zoals vastgesteld in hoofdstuk III van de algemene verordening gegevensbescherming;

ondersteunt de verwerkingsverantwoordelijken door informatie te verstrekken over de federatieve gateway, teneinde de verplichtingen uit hoofde van de artikelen 32, 35 en 36 van de algemene verordening gegevensbescherming na te komen;

zorgt ervoor dat de gegevens die binnen de federatieve gateway worden verwerkt, onbegrijpelijk zijn voor onbevoegden;

neemt alle nodige maatregelen om te voorkomen dat de gebruikers van de federatieve gateway ongeoorloofd toegang hebben tot doorgegeven gegevens;

neemt maatregelen om de interoperabiliteit en de communicatie tussen de verwerkingsverantwoordelijken voor de federatieve gateway te bevorderen;

houdt overeenkomstig artikel 31, lid 2, van Verordening (EU) 2018/1725 een register bij van de verwerkingsactiviteiten die ten behoeve van de verwerkingsverantwoordelijken zijn verricht.