02019D1765 — EL — 17.07.2020 — 001.001
Το κείμενο αυτό αποτελεί απλώς εργαλείο τεκμηρίωσης και δεν έχει καμία νομική ισχύ. Τα θεσμικά όργανα της Ένωσης δεν φέρουν καμία ευθύνη για το περιεχόμενό του. Τα αυθεντικά κείμενα των σχετικών πράξεων, συμπεριλαμβανομένων των προοιμίων τους, είναι εκείνα που δημοσιεύονται στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης και είναι διαθέσιμα στο EUR-Lex. Αυτά τα επίσημα κείμενα είναι άμεσα προσβάσιμα μέσω των συνδέσμων που περιέχονται στο παρόν έγγραφο
|
ΕΚΤΕΛΕΣΤΙΚΗ ΑΠΟΦΑΣΗ (ΕΕ) 2019/1765 ΤΗΣ ΕΠΙΤΡΟΠΗΣ της 22ας Οκτωβρίου 2019 για την πρόβλεψη των κανόνων θέσπισης, διαχείρισης και λειτουργίας του δικτύου των αρμόδιων για την ηλεκτρονική υγεία εθνικών αρχών και για την κατάργηση της εκτελεστικής απόφασης 2011/890/ΕΕ [κοινοποιηθείσα υπό τον αριθμό C(2019) 7460] (Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ) (ΕΕ L 270 της 24.10.2019, σ. 83) |
Τροποποιείται από:
|
|
|
Επίσημη Εφημερίδα |
||
|
αριθ. |
σελίδα |
ημερομηνία |
||
|
L 227I |
1 |
16.7.2020 |
||
ΕΚΤΕΛΕΣΤΙΚΗ ΑΠΟΦΑΣΗ (ΕΕ) 2019/1765 ΤΗΣ ΕΠΙΤΡΟΠΗΣ
της 22ας Οκτωβρίου 2019
για την πρόβλεψη των κανόνων θέσπισης, διαχείρισης και λειτουργίας του δικτύου των αρμόδιων για την ηλεκτρονική υγεία εθνικών αρχών και για την κατάργηση της εκτελεστικής απόφασης 2011/890/ΕΕ
[κοινοποιηθείσα υπό τον αριθμό C(2019) 7460]
(Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ)
Άρθρο 1
Αντικείμενο
Η παρούσα απόφαση ορίζει τους αναγκαίους κανόνες για τη θέσπιση, τη διαχείριση και τη λειτουργία του δικτύου των εθνικών αρχών που είναι αρμόδιες για την ηλεκτρονική υγεία, όπως προβλέπεται στο άρθρο 14 της οδηγίας 2011/24/ΕΕ.
Άρθρο 2
Ορισμοί
1. Για τους σκοπούς της παρούσας απόφασης ισχύουν οι ακόλουθοι ορισμοί:
«δίκτυο eHealth»: το εθελοντικό δίκτυο που συνδέει τις αρμόδιες για την ηλεκτρονική υγεία εθνικές αρχές που ορίζονται από τα κράτη μέλη και επιδιώκει τους στόχους που καθορίζονται στο άρθρο 14 της οδηγίας 2011/24/ΕΕ·
«εθνικά σημεία επαφής για την ηλεκτρονική υγεία»: οργανωτικές και τεχνικές πύλες για την παροχή διασυνοριακών υπηρεσιών πληροφοριών ηλεκτρονικής υγείας, υπό την ευθύνη των κρατών μελών·
«διασυνοριακές υπηρεσίες πληροφοριών για την ηλεκτρονική υγεία»: οι υφιστάμενες υπηρεσίες που υποβάλλονται σε επεξεργασία μέσω των εθνικών σημείων επαφής για την ηλεκτρονική υγεία και μέσω μιας πλατφόρμας βασικών υπηρεσιών που έχει αναπτύξει η Επιτροπή για τους σκοπούς της διασυνοριακής υγειονομικής περίθαλψης·
«υποδομή ψηφιακών υπηρεσιών ηλεκτρονικής υγείας για τις διασυνοριακές υπηρεσίες πληροφοριών ηλεκτρονικής υγείας»: η υποδομή που καθιστά εφικτή την παροχή διασυνοριακών υπηρεσιών πληροφοριών ηλεκτρονικής υγείας μέσω των εθνικών σημείων επαφής για την ηλεκτρονική υγεία και της ευρωπαϊκής πλατφόρμας βασικών υπηρεσιών. Η εν λόγω υποδομή περιλαμβάνει τόσο υπηρεσίες γενικής εφαρμογής, όπως ορίζονται στο άρθρο 2 παράγραφος 2 στοιχείο ε) του κανονισμού (ΕΕ) αριθ. 283/2014, οι οποίες έχουν αναπτυχθεί από τα κράτη μέλη, όσο και πλατφόρμα βασικών υπηρεσιών, όπως ορίζεται στο άρθρο 2 παράγραφος 2 στοιχείο δ) του εν λόγω κανονισμού, οι οποίες έχουν αναπτυχθεί από την Επιτροπή·
«άλλες κοινές ευρωπαϊκές υπηρεσίες ηλεκτρονικής υγείας»: ψηφιακές υπηρεσίες που μπορούν να αναπτυχθούν στο πλαίσιο του δικτύου eHealth και να παρέχονται από κοινού από τα κράτη μέλη·
«μοντέλο διακυβέρνησης»: σύνολο κανόνων σχετικά με τον ορισμό φορέων που συμμετέχουν στις διαδικασίες λήψης αποφάσεων σχετικά με την υποδομή ψηφιακών υπηρεσιών ηλεκτρονικής υγείας για τις διασυνοριακές υπηρεσίες πληροφοριών ηλεκτρονικής υγείας ή άλλες ευρωπαϊκές κοινές υπηρεσίες ηλεκτρονικής υγείας που αναπτύσσονται στο πλαίσιο του δικτύου eHealth, καθώς και περιγραφή των εν λόγω διαδικασιών·
«χρήστης της εφαρμογής»: πρόσωπο που κατέχει έξυπνη συσκευή και που έχει καταφορτώσει και θέσει σε λειτουργία εφαρμογή ιχνηλάτησης επαφών και αποστολής ειδοποιήσεων για κινητές συσκευές·
«ιχνηλάτηση επαφών»: μέτρα που εφαρμόζονται με σκοπό τον εντοπισμό προσώπων που έχουν εκτεθεί σε πηγή σοβαρής διασυνοριακής απειλής κατά της υγείας, κατά την έννοια του άρθρου 3 στοιχείο γ) της απόφασης αριθ. 1082/2013/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου ( 1 )·
«εθνική εφαρμογή ιχνηλάτησης επαφών και αποστολής ειδοποιήσεων για κινητές συσκευές»: εφαρμογή λογισμικού που έχει εγκριθεί σε εθνικό επίπεδο και λειτουργεί σε έξυπνες συσκευές, ιδίως έξυπνα τηλέφωνα, η οποία συνήθως έχει σχεδιαστεί για ευρεία και στοχευμένη αλληλεπίδραση με διαδικτυακούς πόρους και επεξεργάζεται δεδομένα εγγύτητας και άλλες συναφείς πληροφορίες που συλλέγονται από πολλούς αισθητήρες τους οποίους διαθέτουν οι έξυπνες συσκευές, με σκοπό την ιχνηλάτηση επαφών με πρόσωπα που έχουν προσβληθεί από τον ιό SARS-CoV-2 και την αποστολή ειδοποιήσεων σε πρόσωπα που ενδέχεται να έχουν εκτεθεί στον ιό SARS-CoV-2. Οι εν λόγω εφαρμογές για κινητές συσκευές μπορούν να ανιχνεύουν την παρουσία άλλων συσκευών που χρησιμοποιούν Bluetooth και να ανταλλάσσουν πληροφορίες με διακομιστές παρασκηνίου (backend) μέσω του διαδικτύου·
«πύλη ομοσπονδιοποίησης»: πύλη δικτύου την οποία διαχειρίζεται η Επιτροπή μέσω ασφαλούς εργαλείου ΤΠ η οποία παραλαμβάνει, αποθηκεύει και καθιστά διαθέσιμο ένα ελάχιστο σύνολο δεδομένων προσωπικού χαρακτήρα μεταξύ των διακομιστών παρασκηνίου των κρατών μελών με σκοπό τη διασφάλιση της διαλειτουργικότητας των εθνικών εφαρμογών ιχνηλάτησης επαφών και αποστολής ειδοποιήσεων για κινητές συσκευές·
«κλειδί»: μοναδικό προσωρινό αναγνωριστικό που σχετίζεται με χρήστη της εφαρμογής ο οποίος αναφέρει ότι έχει προσβληθεί από SARS-CoV-2 ή ο οποίος ενδέχεται να έχει εκτεθεί στον SARS-CoV-2·
«επαλήθευση της λοίμωξης»: η μέθοδος που εφαρμόζεται για την επιβεβαίωση της λοίμωξης με SARS-CoV-2, δηλαδή το κατά πόσον αυτή αναφέρθηκε από τον ίδιο τον χρήστη της εφαρμογής ή επιβεβαιώθηκε από εθνική αρχή υγείας ή κατόπιν εργαστηριακών εξετάσεων·
«χώρες ενδιαφέροντος»: το κράτος μέλος ή τα κράτη μέλη όπου βρισκόταν ο χρήστης της εφαρμογής κατά τις 14 ημέρες πριν από την ημερομηνία αναφόρτωσης των κλειδιών και όπου καταφόρτωσε την εγκεκριμένη εθνική εφαρμογή ιχνηλάτησης επαφών και αποστολής ειδοποιήσεων για κινητές συσκευές και/ή στο οποίο ή στα οποία έχει ταξιδέψει ο χρήστης της εφαρμογής·
«χώρα προέλευσης των κλειδιών»: το κράτος μέλος όπου βρίσκεται ο διακομιστής παρασκηνίου ο οποίος αναφόρτωσε τα κλειδιά στην πύλη ομοσπονδιοποίησης·
«δεδομένα αρχείου καταγραφής»: αυτόματη καταχώριση δραστηριότητας σχετικά με την ανταλλαγή δεδομένων που υποβάλλονται σε επεξεργασία μέσω της πύλης ομοσπονδιοποίησης και με την πρόσβαση στα δεδομένα αυτά, η οποία δείχνει, ιδίως, το είδος της δραστηριότητας επεξεργασίας, την ημερομηνία και την ώρα της δραστηριότητας επεξεργασίας και το αναγνωριστικό του προσώπου που επεξεργάζεται τα δεδομένα.
2. Εφαρμόζονται αναλόγως οι ορισμοί του άρθρου 4 σημεία 1, 2, 7 και 8 του κανονισμού (ΕΕ) 2016/679.
Άρθρο 3
Συμμετοχή στο δίκτυο eHealth
1. Τα μέλη του δικτύου eHealth είναι οι αρχές των κρατών μελών που είναι αρμόδιες για την ηλεκτρονική υγεία, οι οποίες ορίζονται από τα κράτη μέλη που συμμετέχουν στο δίκτυο eHealth.
2. Τα κράτη μέλη που επιθυμούν να συμμετάσχουν στο δίκτυο eHealth κοινοποιούν γραπτώς στην Επιτροπή τα εξής:
την απόφαση συμμετοχής στο δίκτυο eHealth·
την αρμόδια εθνική αρχή για την ηλεκτρονική υγεία η οποία θα καταστεί μέλος του δικτύου eHealth, καθώς και το όνομα του/της εκπροσώπου και του/της αναπληρωτή/-ώτριάς του.
3. Τα κράτη μέλη κοινοποιούν στην Επιτροπή γραπτώς τα ακόλουθα:
την απόφασή τους να αποχωρήσουν από το δίκτυο eHealth·
τυχόν τροποποίηση των στοιχείων που αναφέρονται στην παράγραφο 2 στοιχείο β).
4. Η Επιτροπή θέτει στη διάθεση του κοινού τον κατάλογο των μελών που συμμετέχουν στο δίκτυο eHealth.
Άρθρο 4
Δραστηριότητες του δικτύου eHealth
1. Για την επίτευξη του στόχου που αναφέρεται στο άρθρο 14 παράγραφος 2 στοιχείο α) της οδηγίας 2011/24/ΕΕ, το δίκτυο eHealth μπορεί ειδικότερα:
να διευκολύνει τη μεγαλύτερη διαλειτουργικότητα των εθνικών συστημάτων τεχνολογίας πληροφοριών και επικοινωνιών και τη δυνατότητα διασυνοριακής μεταφοράς ηλεκτρονικών δεδομένων υγείας στο πλαίσιο διασυνοριακής υγειονομικής περίθαλψης·
να παρέχει καθοδήγηση στα κράτη μέλη, σε συνεργασία με άλλες αρμόδιες εποπτικές αρχές, όσον αφορά την ανταλλαγή δεδομένων υγείας μεταξύ των κρατών μελών και την παροχή στους πολίτες της δυνατότητας να έχουν πρόσβαση και να ανταλλάσσουν τα δεδομένα υγείας τους·
να παρέχει καθοδήγηση στα κράτη μέλη και να διευκολύνει την ανταλλαγή ορθών πρακτικών σχετικά με την ανάπτυξη διαφόρων ψηφιακών υπηρεσιών υγείας, όπως η τηλεϊατρική, η κινητή υγεία ή οι νέες τεχνολογίες στον τομέα των μαζικών δεδομένων και της τεχνητής νοημοσύνης, λαμβάνοντας υπόψη τις συνεχιζόμενες δράσεις σε ενωσιακό επίπεδο·
να παρέχει καθοδήγηση στα κράτη μέλη όσον αφορά τη στήριξη της προαγωγής της υγείας, της πρόληψης των ασθενειών και της βελτίωσης της παροχής υγειονομικής περίθαλψης μέσω της καλύτερης χρήσης των δεδομένων υγείας και μέσω της βελτίωσης των ψηφιακών δεξιοτήτων των ασθενών και των επαγγελματιών του τομέα της υγείας·
να παρέχει καθοδήγηση στα κράτη μέλη και να διευκολύνει την εθελοντική ανταλλαγή βέλτιστων πρακτικών σχετικά με τις επενδύσεις σε ψηφιακές υποδομές·
να παρέχει καθοδήγηση, σε συνεργασία με άλλους αρμόδιους φορείς και ενδιαφερόμενα μέρη, στα κράτη μέλη σχετικά με τις αναγκαίες περιπτώσεις χρήσης για την κλινική διαλειτουργικότητα και τα εργαλεία για την επίτευξή της·
να παρέχει καθοδήγηση στα μέλη σχετικά με την ασφάλεια της υποδομής ψηφιακών υπηρεσιών ηλεκτρονικής υγείας για τις διασυνοριακές υπηρεσίες πληροφοριών ηλεκτρονικής υγείας ή άλλες κοινές ευρωπαϊκές υπηρεσίες ηλεκτρονικής υγείας που έχουν αναπτυχθεί στο πλαίσιο του δικτύου eHealth, λαμβάνοντας υπόψη τη νομοθεσία και τα έγγραφα που έχουν εκπονηθεί σε ενωσιακό επίπεδο, ιδίως στον τομέα της ασφάλειας, καθώς και συστάσεις στον τομέα της κυβερνοασφάλειας, σε στενή συνεργασία με την ομάδα συνεργασίας για την ασφάλεια δικτύων και πληροφοριών και με τον Οργανισμό της Ευρωπαϊκής Ένωσης για την Ασφάλεια Δικτύων και Πληροφοριών και με τις εθνικές αρχές, κατά περίπτωση·
να παρέχει καθοδήγηση στα κράτη μέλη σχετικά με τη διασυνοριακή ανταλλαγή δεδομένων προσωπικού χαρακτήρα μέσω της πύλης ομοσπονδιοποίησης μεταξύ των εθνικών εφαρμογών ιχνηλάτησης επαφών και αποστολής ειδοποιήσεων για κινητές συσκευές.
2. Κατά την κατάρτιση των κατευθυντήριων γραμμών που αναφέρονται στο άρθρο 14 παράγραφος 2 στοιχείο β) σημείο ii) της οδηγίας 2011/24/ΕΕ και αφορούν την εφαρμογή αποτελεσματικών μεθόδων που επιτρέπουν τη χρήση ιατρικών πληροφοριών για τη δημόσια υγεία και την έρευνα, το δίκτυο eHealth λαμβάνει υπόψη τις κατευθυντήριες γραμμές που έχουν εγκριθεί από το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων και, κατά περίπτωση, διαβουλεύεται με αυτό. Οι εν λόγω κατευθυντήριες γραμμές μπορούν επίσης να καλύπτουν τις πληροφορίες που ανταλλάσσονται μέσω της υποδομής ψηφιακών υπηρεσιών ηλεκτρονικής υγείας για τις διασυνοριακές υπηρεσίες πληροφοριών ηλεκτρονικής υγείας ή άλλων κοινών ευρωπαϊκών υπηρεσιών ηλεκτρονικής υγείας.
Άρθρο 5
Λειτουργία του δικτύου eHealth
1. Το δίκτυο eHealth θεσπίζει τον εσωτερικό του κανονισμό με απλή πλειοψηφία των μελών του.
2. Το δίκτυο eHealth εγκρίνει ένα πολυετές πρόγραμμα εργασίας και ένα μέσο αξιολόγησης σχετικά με την υλοποίηση του εν λόγω προγράμματος.
3. Για την εκπλήρωση των καθηκόντων του, το δίκτυο eHealth μπορεί να συγκροτήσει μόνιμες υποομάδες σε σχέση με συγκεκριμένα καθήκοντα, ιδίως όσον αφορά την υποδομή ψηφιακών υπηρεσιών ηλεκτρονικής υγείας για τις διασυνοριακές υπηρεσίες πληροφοριών ηλεκτρονικής υγείας ή άλλες κοινές ευρωπαϊκές υπηρεσίες ηλεκτρονικής υγείας που αναπτύσσονται στο πλαίσιο του δικτύου eHealth.
4. Το δίκτυο eHealth μπορεί επίσης να συγκροτεί προσωρινές υποομάδες, μεταξύ άλλων με εμπειρογνώμονες για την εξέταση ειδικών ζητημάτων βάσει της εντολής που καθορίζεται από το ίδιο το δίκτυο eHealth. Οι εν λόγω υποομάδες διαλύονται μετά την εκπλήρωση της εντολής τους.
5. Όταν τα μέλη του δικτύου eHealth αποφασίζουν να προωθήσουν τη συνεργασία τους σε ορισμένους τομείς που καλύπτονται από τα καθήκοντα του δικτύου eHealth, καθορίζουν από κοινού τους κανόνες που διέπουν την εν λόγω συνεργασία και δεσμεύονται για την τήρησή τους.
6. Για την επίτευξη των στόχων του, το δίκτυο eHealth συνεργάζεται στενά με τις κοινές δράσεις που στηρίζουν τις δραστηριότητες του δικτύου eHealth, όπου υπάρχουν τέτοιες κοινές δράσεις, με ενδιαφερόμενα μέρη ή άλλους ενδιαφερόμενους φορείς ή μηχανισμούς στήριξης και λαμβάνει υπόψη τα αποτελέσματα που έχουν επιτευχθεί στο πλαίσιο των εν λόγω δραστηριοτήτων.
7. Το δίκτυο eHealth καταρτίζει, από κοινού με την Επιτροπή, τα μοντέλα διακυβέρνησης της υποδομής ψηφιακών υπηρεσιών ηλεκτρονικής υγείας για τις διασυνοριακές υπηρεσίες πληροφοριών ηλεκτρονικής υγείας και συμμετέχει στην εν λόγω διακυβέρνηση:
συμφωνώντας σχετικά με τις προτεραιότητες της υποδομής ψηφιακών υπηρεσιών ηλεκτρονικής υγείας και επιβλέποντας την υλοποίησή τους·
καταρτίζοντας κατευθυντήριες γραμμές και απαιτήσεις λειτουργίας, συμπεριλαμβανομένης της επιλογής των προτύπων που χρησιμοποιούνται στην υποδομή ψηφιακών υπηρεσιών ηλεκτρονικής υγείας για τις διασυνοριακές υπηρεσίες πληροφοριών ηλεκτρονικής υγείας·
συμφωνώντας αν θα πρέπει να επιτρέπεται στα μέλη του δικτύου eHealth να αρχίσουν και να συνεχίζουν την ανταλλαγή ηλεκτρονικών δεδομένων υγείας μέσω της υποδομής ψηφιακών υπηρεσιών ηλεκτρονικής υγείας για τις διασυνοριακές υπηρεσίες πληροφοριών ηλεκτρονικής υγείας μέσω των εθνικών σημείων επαφής για την ηλεκτρονική υγεία, με βάση τη συμμόρφωσή τους με τις απαιτήσεις που θεσπίζει το δίκτυο eHealth, όπως αυτή η συμμόρφωση αξιολογείται στο πλαίσιο των δοκιμών που προβλέπονται από την Επιτροπή και των ελέγχων που διενεργούνται από αυτή·
εγκρίνοντας το ετήσιο πρόγραμμα εργασίας για την υποδομή ψηφιακών υπηρεσιών ηλεκτρονικής υγείας για τις διασυνοριακές υπηρεσίες πληροφοριών ηλεκτρονικής υγείας.
8. Το δίκτυο eHealth μπορεί να επεξεργαστεί, από κοινού με την Επιτροπή, τα μοντέλα διακυβέρνησης άλλων κοινών ευρωπαϊκών υπηρεσιών ηλεκτρονικής υγείας που αναπτύσσονται στο πλαίσιο του δικτύου eHealth και να συμμετέχει στη διακυβέρνησή τους. Το δίκτυο μπορεί επίσης να καθορίζει τις προτεραιότητες, από κοινού με την Επιτροπή, και να καταρτίζει κατευθυντήριες γραμμές για τη λειτουργία αυτών των κοινών ευρωπαϊκών υπηρεσιών ηλεκτρονικής υγείας.
9. Ο εσωτερικός κανονισμός μπορεί να προβλέπει ότι οι χώρες, εκτός των κρατών μελών, που εφαρμόζουν την οδηγία 2011/24/ΕΕ μπορούν να συμμετέχουν στις συνεδριάσεις του δικτύου eHealth ως παρατηρητές.
10. Τα μέλη του δικτύου eHealth και οι εκπρόσωποί τους, καθώς και οι προσκεκλημένοι εμπειρογνώμονες και παρατηρητές, συμμορφώνονται με τις υποχρεώσεις για την τήρηση του επαγγελματικού απορρήτου που ορίζονται στο άρθρο 339 της Συνθήκης, καθώς και με τους κανόνες ασφαλείας της Επιτροπής για την προστασία των διαβαθμισμένων πληροφοριών της ΕΕ, όπως ορίζονται στην απόφαση (ΕΕ, Ευρατόμ) 2015/444 της Επιτροπής ( 2 ). Εάν τα μέλη του δικτύου eHealth δεν τηρήσουν τις εν λόγω υποχρεώσεις, ο πρόεδρος του δικτύου eHealth μπορεί να λάβει όλα τα κατάλληλα μέτρα, όπως προβλέπεται στον εσωτερικό κανονισμό.
Άρθρο 6
Σχέσεις μεταξύ του δικτύου eHealth και της Επιτροπής
1. Η Επιτροπή:
παρίσταται και συμπροεδρεύει στις συνεδριάσεις του δικτύου eHealth από κοινού με τον εκπρόσωπο των μελών·
συνεργάζεται και παρέχει στήριξη στο δίκτυο eHealth σε σχέση με τις δραστηριότητές του·
παρέχει γραμματειακή υποστήριξη στο δίκτυο eHealth·
αναπτύσσει, εφαρμόζει και επικαιροποιεί κατάλληλα τεχνικά και οργανωτικά μέτρα σχετικά με τις βασικές υπηρεσίες της υποδομής ψηφιακών υπηρεσιών ηλεκτρονικής υγείας για τις διασυνοριακές υπηρεσίες πληροφοριών ηλεκτρονικής υγείας·
στηρίζει το δίκτυο eHealth κατά τη διαπίστωση της τεχνικής και οργανωτικής συμμόρφωσης των εθνικών σημείων επαφής για την ηλεκτρονική υγεία με τις απαιτήσεις για τη διασυνοριακή ανταλλαγή δεδομένων υγείας, προβλέποντας και διενεργώντας τις απαραίτητες δοκιμές και ελέγχους. Εμπειρογνώμονες των κρατών μελών μπορούν να επικουρούν τους ελεγκτές της Επιτροπής·
αναπτύσσει, εφαρμόζει και επικαιροποιεί κατάλληλα τεχνικά και οργανωτικά μέτρα σχετικά με την ασφάλεια της διαβίβασης και τη φιλοξενία δεδομένων προσωπικού χαρακτήρα στην πύλη ομοσπονδιοποίησης με σκοπό τη διασφάλιση της διαλειτουργικότητας των εθνικών εφαρμογών ιχνηλάτησης επαφών και αποστολής ειδοποιήσεων για κινητές συσκευές·
στηρίζει το δίκτυο eHealth κατά τη διαπίστωση της τεχνικής και οργανωτικής συμμόρφωσης των εθνικών αρχών με τις απαιτήσεις για τη διασυνοριακή ανταλλαγή δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της πύλης ομοσπονδιοποίησης, προβλέποντας και διενεργώντας τις απαραίτητες δοκιμές και ελέγχους. Εμπειρογνώμονες των κρατών μελών μπορούν να επικουρούν τους ελεγκτές της Επιτροπής.
2. Η Επιτροπή μπορεί να συμμετέχει στις συνεδριάσεις των υποομάδων του δικτύου eHealth.
3. Η Επιτροπή μπορεί να συμβουλεύεται το δίκτυο eHealth για θέματα που αφορούν την ηλεκτρονική υγεία σε ενωσιακό επίπεδο και την ανταλλαγή βέλτιστων πρακτικών στον τομέα της ηλεκτρονικής υγείας.
4. Η Επιτροπή δημοσιοποιεί πληροφορίες σχετικά με τις δραστηριότητες που πραγματοποιεί το δίκτυο eHealth.
Άρθρο 7
Προστασία των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία μέσω της υποδομής ψηφιακών υπηρεσιών ηλεκτρονικής υγείας
1. Τα κράτη μέλη, τα οποία εκπροσωπούνται από τις αρμόδιες εθνικές αρχές ή άλλους ορισθέντες φορείς, θεωρούνται υπεύθυνοι επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που επεξεργάζονται μέσω της υποδομής ψηφιακών υπηρεσιών ηλεκτρονικής υγείας για τις διασυνοριακές υπηρεσίες πληροφοριών ηλεκτρονικής υγείας και κατανέμουν με σαφήνεια και διαφάνεια τις αρμοδιότητες των υπευθύνων επεξεργασίας.
2. Η Επιτροπή θεωρείται εκτελούσα την επεξεργασία των δεδομένων προσωπικού χαρακτήρα των ασθενών τα οποία υποβάλλονται σε επεξεργασία μέσω της υποδομής ψηφιακών υπηρεσιών ηλεκτρονικής υγείας για τις διασυνοριακές υπηρεσίες πληροφοριών ηλεκτρονικής υγείας. Η Επιτροπή, υπό την ιδιότητά της ως εκτελούσας την επεξεργασία, διαχειρίζεται τις βασικές υπηρεσίες της υποδομής ψηφιακών υπηρεσιών ηλεκτρονικής υγείας για τις διασυνοριακές υπηρεσίες πληροφοριών ηλεκτρονικής υγείας και συμμορφώνεται με τις υποχρεώσεις του εκτελούντος την επεξεργασία οι οποίες ορίζονται στο ►M1 παράρτημα I ◄ της παρούσας απόφασης. Η Επιτροπή δεν έχει πρόσβαση στα δεδομένα προσωπικού χαρακτήρα των ασθενών τα οποία υποβάλλονται σε επεξεργασία μέσω της υποδομής ψηφιακών υπηρεσιών ηλεκτρονικής υγείας για τις διασυνοριακές υπηρεσίες πληροφοριών ηλεκτρονικής υγείας.
3. Η Επιτροπή θεωρείται υπεύθυνος επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που απαιτούνται για τη χορήγηση και τη διαχείριση δικαιωμάτων πρόσβασης στις βασικές υπηρεσίες της υποδομής ψηφιακών υπηρεσιών ηλεκτρονικής υγείας για τις διασυνοριακές υπηρεσίες πληροφοριών ηλεκτρονικής υγείας. Τα εν λόγω δεδομένα είναι τα στοιχεία επικοινωνίας των χρηστών, όπως το όνομα, το επώνυμο και η διεύθυνση ηλεκτρονικού ταχυδρομείου, καθώς και το κράτος μέλος ασφάλισής τους.
Άρθρο 7α
Διασυνοριακή ανταλλαγή δεδομένων μεταξύ των εθνικών εφαρμογών ιχνηλάτησης επαφών και αποστολής ειδοποιήσεων για κινητές συσκευές μέσω της πύλης ομοσπονδιοποίησης
1. Όταν ανταλλάσσονται δεδομένα προσωπικού χαρακτήρα μέσω της πύλης ομοσπονδιοποίησης, η επεξεργασία περιορίζεται στους σκοπούς της διευκόλυνσης της διαλειτουργικότητας των εθνικών εφαρμογών ιχνηλάτησης επαφών και αποστολής ειδοποιήσεων για κινητές συσκευές στο πλαίσιο της πύλης ομοσπονδιοποίησης και της συνέχειας της ιχνηλάτησης επαφών σε διασυνοριακό επίπεδο.
2. Τα δεδομένα προσωπικού χαρακτήρα που αναφέρονται στην παράγραφο 3 διαβιβάζονται στην πύλη ομοσπονδιοποίησης σε ψευδωνυμοποιημένο μορφότυπο.
3. Τα ψευδωνυμοποιημένα δεδομένα προσωπικού χαρακτήρα που ανταλλάσσονται και υποβάλλονται σε επεξεργασία στην πύλη ομοσπονδιοποίησης περιλαμβάνουν μόνο τις ακόλουθες πληροφορίες:
τα κλειδιά που διαβιβάζονται από τις εθνικές εφαρμογές ιχνηλάτησης επαφών και αποστολής ειδοποιήσεων για κινητές συσκευές έως και 14 ημέρες πριν από την ημερομηνία αναφόρτωσης των κλειδιών·
δεδομένα αρχείου καταγραφής που συνδέονται με τα κλειδιά σύμφωνα με το πρωτόκολλο τεχνικών προδιαγραφών που χρησιμοποιείται στη χώρα προέλευσης των κλειδιών·
την επαλήθευση της λοίμωξης·
τις χώρες ενδιαφέροντος και τη χώρα προέλευσης των κλειδιών.
4. Οι ορισθείσες εθνικές αρχές ή οι ορισθέντες επίσημοι φορείς που επεξεργάζονται δεδομένα προσωπικού χαρακτήρα στην πύλη ομοσπονδιοποίησης είναι από κοινού υπεύθυνοι επεξεργασίας των δεδομένων που υποβάλλονται σε επεξεργασία στην πύλη ομοσπονδιοποίησης. Οι αντίστοιχες αρμοδιότητες των από κοινού υπευθύνων επεξεργασίας κατανέμονται σύμφωνα με το παράρτημα II. Κάθε κράτος μέλος που επιθυμεί να συμμετάσχει στη διασυνοριακή ανταλλαγή δεδομένων μεταξύ των εθνικών εφαρμογών ιχνηλάτησης επαφών και αποστολής ειδοποιήσεων για κινητές συσκευές, προτού συμμετάσχει, γνωστοποιεί στην Επιτροπή την πρόθεσή του και υποδεικνύει την εθνική αρχή ή τον επίσημο φορέα που έχει οριστεί ως αρμόδιος υπεύθυνος επεξεργασίας.
5. Η Επιτροπή είναι ο εκτελών την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία εντός της πύλης ομοσπονδιοποίησης. Με την ιδιότητά της ως εκτελούντος την επεξεργασία, η Επιτροπή εγγυάται την ασφάλεια της επεξεργασίας, συμπεριλαμβανομένων της διαβίβασης και της φιλοξενίας, των δεδομένων προσωπικού χαρακτήρα στην πύλη ομοσπονδιοποίησης και συμμορφώνεται με τις υποχρεώσεις του εκτελούντος την επεξεργασία οι οποίες ορίζονται στο παράρτημα III.
6. Η αποτελεσματικότητα των τεχνικών και οργανωτικών μέτρων για την εγγύηση της ασφάλειας της επεξεργασίας δεδομένων προσωπικού χαρακτήρα στην πύλη ομοσπονδιοποίησης ελέγχεται, εξετάζεται και αξιολογείται σε τακτική βάση από την Επιτροπή και από τις εθνικές αρχές που είναι εξουσιοδοτημένες να προσπελαύνουν την πύλη ομοσπονδιοποίησης.
7. Με την επιφύλαξη της απόφασης των από κοινού υπευθύνων επεξεργασίας να τερματίσουν την επεξεργασία στο πλαίσιο της πύλης ομοσπονδιοποίησης, η λειτουργία της πύλης ομοσπονδιοποίησης απενεργοποιείται το αργότερο 14 ημέρες αφού όλες οι συνδεδεμένες εθνικές εφαρμογές ιχνηλάτησης επαφών και αποστολής ειδοποιήσεων για κινητές συσκευές πάψουν να διαβιβάζουν κλειδιά μέσω της πύλης ομοσπονδιοποίησης.
Άρθρο 8
Δαπάνες
1. Οι συμμετέχοντες στις δραστηριότητες του δικτύου eHealth δεν αμείβονται από την Επιτροπή για τις υπηρεσίες τους.
2. Τα έξοδα ταξιδίου και διαμονής των συμμετεχόντων στις δραστηριότητες του δικτύου eHealth επιστρέφονται από την Επιτροπή σύμφωνα με τις διατάξεις που ισχύουν στο πλαίσιο της Επιτροπής για την επιστροφή των εξόδων στα οποία υποβλήθηκαν άτομα που δεν ανήκουν στην Επιτροπή και τα οποία καλούνται ως εμπειρογνώμονες. Τα εν λόγω έξοδα επιστρέφονται εντός των ορίων των διαθέσιμων προς τον σκοπό αυτόν πιστώσεων, στο πλαίσιο της ετήσιας διαδικασίας κατανομής των πόρων.
Άρθρο 9
Κατάργηση
Η εκτελεστική απόφαση 2011/890/ΕΕ καταργείται. Οι αναφορές στην καταργούμενη απόφαση θεωρούνται αναφορές στην παρούσα απόφαση.
Άρθρο 10
Αποδέκτες
Η παρούσα απόφαση απευθύνεται στα κράτη μέλη.
ΠΑΡΑΡΤΗΜΑ I
Καθήκοντα της Επιτροπής ως εκτελούντος την επεξεργασία για την υποδομή ψηφιακών υπηρεσιών ηλεκτρονικής υγείας για τις διασυνοριακές υπηρεσίες πληροφοριών ηλεκτρονικής υγείας
Η Επιτροπή:
Δημιουργεί και εγγυάται ασφαλή και αξιόπιστη επικοινωνιακή υποδομή που διασυνδέει τα δίκτυα των μελών του δικτύου eHealth που συμμετέχουν στην υποδομή ψηφιακών υπηρεσιών ηλεκτρονικής υγείας για τις διασυνοριακές υπηρεσίες πληροφοριών ηλεκτρονικής υγείας («κεντρική ασφαλής επικοινωνιακή υποδομή»). Η Επιτροπή, για να εκπληρώσει τις υποχρεώσεις της, μπορεί να αναθέσει την εκτέλεση αυτού του καθήκοντος σε τρίτους. Η Επιτροπή μεριμνά ώστε να ισχύουν γι’ αυτούς οι ίδιες υποχρεώσεις προστασίας δεδομένων που ορίζονται στην παρούσα απόφαση.
Διαμορφώνει μέρος της κεντρικής ασφαλούς επικοινωνιακής υποδομής έτσι ώστε τα εθνικά σημεία επαφής για την ηλεκτρονική υγεία να μπορούν να ανταλλάσσουν πληροφορίες με ασφάλεια, αξιοπιστία και αποτελεσματικότητα.
Η Επιτροπή επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα βάσει τεκμηριωμένων οδηγιών από τους υπευθύνους επεξεργασίας.
Λαμβάνει όλα τα μέτρα οργανωτικής, φυσικής και λογικής ασφαλείας για τη διατήρηση της κεντρικής ασφαλούς επικοινωνιακής υποδομής. Για τον σκοπό αυτό, η Επιτροπή:
ορίζει μια υπεύθυνη οντότητα για τη διαχείριση της ασφάλειας στο επίπεδο της κεντρικής ασφαλούς επικοινωνιακής υποδομής, κοινοποιεί στους υπευθύνους επεξεργασίας δεδομένων τα στοιχεία επικοινωνίας μ’ αυτή και εξασφαλίζει ότι η οντότητα αυτή θα είναι διαθέσιμη να αντιδρά σε απειλές κατά της ασφάλειας·
αναλαμβάνει την ευθύνη για την ασφάλεια της κεντρικής ασφαλούς επικοινωνιακής υποδομής·
μεριμνά ώστε όλα τα άτομα στα οποία έχει χορηγηθεί πρόσβαση στην κεντρική ασφαλή επικοινωνιακή υποδομή να υπόκεινται σε συμβατική, επαγγελματική ή κανονιστική υποχρέωση τήρησης εμπιστευτικότητας·
διασφαλίζει ότι το προσωπικό που έχει πρόσβαση σε διαβαθμισμένες πληροφορίες πληροί τα αντίστοιχα κριτήρια εξουσιοδότησης και εμπιστευτικότητας.
Λαμβάνει όλα τα αναγκαία μέτρα ασφάλειας ώστε να αποφεύγεται η διασάλευση της ομαλής λειτουργίας του χώρου του άλλου. Για τον σκοπό αυτό, η Επιτροπή θεσπίζει τις ειδικές διαδικασίες που αφορούν τη σύνδεση με την κεντρική ασφαλή επικοινωνιακή υποδομή. Οι πληροφορίες αυτές περιλαμβάνουν:
διαδικασία αξιολόγησης κινδύνων για τον εντοπισμό και την εκτίμηση πιθανών απειλών κατά του συστήματος·
διαδικασία ελέγχου και επιθεώρησης με σκοπό:
να ελέγχεται η αντιστοιχία μεταξύ των εφαρμοζόμενων μέτρων ασφάλειας και της πολιτικής ασφάλειας που ακολουθείται·
να ελέγχεται, σε τακτική βάση, η ακεραιότητα των αρχείων του συστήματος, των παραμέτρων ασφαλείας και των χορηγούμενων αδειών·
να υπάρχει παρακολούθηση προκειμένου να εντοπίζονται παραβιάσεις και παρεισφρήσεις στον τομέα της ασφάλειας·
να γίνονται αλλαγές ώστε να παύουν οι υφιστάμενες αδυναμίες στον τομέα της ασφάλειας· και
να καθορίζονται οι όροι υπό τους οποίους χορηγείται, μεταξύ άλλων κατόπιν αιτήματος των υπευθύνων επεξεργασίας, άδεια για τη διενέργεια ανεξάρτητων ελέγχων, συμπεριλαμβανομένων των επιθεωρήσεων, και αξιολογήσεων των μέτρων ασφαλείας, και να διευκολύνεται η εν λόγω διεξαγωγή τους·
αλλαγή της διαδικασίας ελέγχου για την τεκμηρίωση και τη μέτρηση του αντικτύπου μιας αλλαγής πριν από την υλοποίησή της και ενημέρωση των εθνικών σημείων επαφής για την ηλεκτρονική υγεία σχετικά με τυχόν αλλαγές που μπορούν να επηρεάσουν την επικοινωνία με τις άλλες εθνικές υποδομές και/ή την ασφάλειά τους·
διαδικασία συντήρησης και επισκευής για τον καθορισμό των κανόνων και των όρων που πρέπει να τηρούνται κατά τη συντήρηση και/ή την επισκευή του εξοπλισμού·
διαδικασία για τα περιστατικά ασφάλειας με σκοπό τον καθορισμό του συστήματος αναφοράς και κλιμάκωσης, τη χωρίς καθυστέρηση ενημέρωση της αρμόδιας εθνικής αρχής και του Ευρωπαίου Επόπτη Προστασίας Δεδομένων για κάθε παραβίαση της ασφάλειας, και τον καθορισμό πειθαρχικής διαδικασίας για την αντιμετώπιση των παραβιάσεων της ασφάλειας.
Λαμβάνει μέτρα φυσικής και/ή λογικής ασφάλειας για τις εγκαταστάσεις που φιλοξενούν τον εξοπλισμό της κεντρικής ασφαλούς επικοινωνιακής υποδομής και για τους ελέγχους των λογικών δεδομένων και της πρόσβασης ασφαλείας. Για τον σκοπό αυτό, η Επιτροπή:
επιβάλλει φυσική ασφάλεια για να καθιερώσει διακριτικές περιμέτρους ασφαλείας και να καταστήσει εφικτό τον εντοπισμό παραβάσεων·
ελέγχει την πρόσβαση στις εγκαταστάσεις και τηρεί μητρώο επισκεπτών για σκοπούς ιχνηλάτησης·
εξασφαλίζει ότι τα άτομα που δεν είναι μέλη του προσωπικού και στα οποία έχει χορηγηθεί πρόσβαση στις εγκαταστάσεις συνοδεύονται από δεόντως εξουσιοδοτημένο προσωπικό του αντίστοιχου οργανισμού του·
εξασφαλίζει ότι δεν μπορεί να προστεθεί, να αντικατασταθεί ή να αφαιρεθεί εξοπλισμός χωρίς προηγούμενη έγκριση των ορισθέντων αρμόδιων φορέων·
ελέγχει την πρόσβαση από και προς άλλα δίκτυα διασυνδεδεμένα με την κεντρική ασφαλή επικοινωνιακή υποδομή·
διασφαλίζει ότι τα άτομα που έχουν πρόσβαση στην κεντρική ασφαλή επικοινωνιακήυποδομή ταυτοποιούνται και η ταυτότητά τους επαληθεύεται·
επανεξετάζει τα δικαιώματα χορήγησης άδειας όσον αφορά την πρόσβαση στην κεντρική ασφαλή επικοινωνιακή υποδομή, σε περίπτωση παραβίασης της ασφάλειας που επηρεάζει την εν λόγω υποδομή·
τηρεί την ακεραιότητα των διαβιβαζόμενων πληροφοριών μέσω της κεντρικής ασφαλούς επικοινωνιακής υποδομής·
εφαρμόζει τεχνικά και οργανωτικά μέτρα ασφαλείας για την πρόληψη μη εξουσιοδοτημένης πρόσβασης σε δεδομένα προσωπικού χαρακτήρα·
εφαρμόζει, όποτε είναι αναγκαίο, μέτρα για την παρεμπόδιση της μη εξουσιοδοτημένης πρόσβασης στην κεντρική ασφαλή επικοινωνιακή υποδομή από τον τομέα των εθνικών σημείων επαφής για την ηλεκτρονική υγεία (δηλαδή μπλοκάρει τοποθεσία/διεύθυνση IP).
Λαμβάνει μέτρα για την προστασία του τομέα της, συμπεριλαμβανομένης της αποκοπής συνδέσεων, σε περίπτωση σημαντικής απόκλισης από τις αρχές και τις έννοιες της ποιότητας ή της ασφάλειας.
Διατηρεί σχέδιο διαχείρισης κινδύνου που αφορά τον τομέα αρμοδιότητάς της.
Παρακολουθεί —σε πραγματικό χρόνο— την απόδοση όλων των συνιστωσών των υπηρεσιών της κεντρικής ασφαλούς επικοινωνιακής υποδομής της, παράγει τακτικές στατιστικές και τηρεί αρχεία.
Παρέχει στήριξη σε όλες τις υπηρεσίες της κεντρικής ασφαλούς επικοινωνιακής υποδομής στα αγγλικά 24/7 μέσω τηλεφώνου, ταχυδρομείου ή διαδικτυακής πύλης και αποδέχεται κλήσεις από εξουσιοδοτημένους επισκέπτες: συντονιστές της κεντρικής ασφαλούς επικοινωνιακής υποδομής και τις αντίστοιχες υπηρεσίες υποστήριξης, υπευθύνους έργων και ορισθέντα άτομα από την Επιτροπή.
Στηρίζει τους υπευθύνους επεξεργασίας παρέχοντας πληροφορίες σχετικά με την κεντρική ασφαλή επικοινωνιακή υποδομή της υποδομής ψηφιακών υπηρεσιών ηλεκτρονικής υγείας για τις διασυνοριακές υπηρεσίες πληροφοριών ηλεκτρονικής υγείας, προκειμένου να εφαρμοστούν οι υποχρεώσεις που προβλέπονται στα άρθρα 35 και 36 του κανονισμού (ΕΕ) 2016/679.
Διασφαλίζει ότι τα δεδομένα που μεταφέρονται στο πλαίσιο της κεντρικής ασφαλούς επικοινωνιακής υποδομής είναι κρυπτογραφημένα.
Λαμβάνει όλα τα κατάλληλα μέτρα για να αποτρέψει τη μη εξουσιοδοτημένη πρόσβαση φορέων της κεντρικής ασφαλούς επικοινωνιακής υποδομής σε μεταφερόμενα δεδομένα.
Λαμβάνει μέτρα για να διευκολύνει τη διαλειτουργικότητα και την επικοινωνία μεταξύ των αρμόδιων εθνικών διοικήσεων της κεντρικής ασφαλούς επικοινωνιακής υποδομής που έχουν ορισθεί.
ΠΑΡΑΡΤΗΜΑ II
ΑΡΜΟΔΙΟΤΗΤΕΣ ΤΩΝ ΣΥΜΜΕΤΕΧΟΝΤΩΝ ΚΡΑΤΩΝ ΜΕΛΩΝ ΩΣ ΑΠΟ ΚΟΙΝΟΥ ΥΠΕΥΘΥΝΩΝ ΕΠΕΞΕΡΓΑΣΙΑΣ ΓΙΑ ΤΗΝ ΠΥΛΗ ΟΜΟΣΠΟΝΔΙΟΠΟΙΗΣΗΣ ΓΙΑ ΤΗ ΔΙΑΣΥΝΟΡΙΑΚΗ ΕΠΕΞΕΡΓΑΣΙΑ ΜΕΤΑΞΥ ΤΩΝ ΕΘΝΙΚΩΝ ΕΦΑΡΜΟΓΩΝ ΙΧΝΗΛΑΤΗΣΗΣ ΕΠΑΦΩΝ ΚΑΙ ΑΠΟΣΤΟΛΗΣ ΕΙΔΟΠΟΙΗΣΕΩΝ ΓΙΑ ΚΙΝΗΤΕΣ ΣΥΣΚΕΥΕΣ
ΤΜΗΜΑ 1
Υποτμήμα 1
Καταμερισμός αρμοδιοτήτων
1) Οι από κοινού υπεύθυνοι επεξεργασίας επεξεργάζονται δεδομένα προσωπικού χαρακτήρα μέσω της πύλης ομοσπονδιοποίησης σύμφωνα με τις τεχνικές προδιαγραφές που ορίζει το δίκτυο eHealth ( 3 ).
2) Κάθε υπεύθυνος επεξεργασίας είναι αρμόδιος για την επεξεργασία δεδομένων προσωπικού χαρακτήρα στην πύλη ομοσπονδιοποίησης σύμφωνα με τον γενικό κανονισμό για την προστασία δεδομένων και με την οδηγία 2002/58/ΕΚ.
3) Κάθε υπεύθυνος επεξεργασίας συγκροτεί ένα σημείο επαφής με υπηρεσιακή ηλεκτρονική θυρίδα που θα χρησιμεύει για την επικοινωνία μεταξύ των από κοινού υπευθύνων επεξεργασίας και μεταξύ των από κοινού υπευθύνων επεξεργασίας και του εκτελούντος την επεξεργασία.
4) Η προσωρινή υποομάδα που συγκροτείται από το δίκτυο eHealth σύμφωνα με το άρθρο 5 παράγραφος 4 αναλαμβάνει να εξετάσει κάθε ζήτημα που προκύπτει από τη διαλειτουργικότητα των εθνικών εφαρμογών ιχνηλάτησης επαφών και αποστολής ειδοποιήσεων για κινητές συσκευές και από την κοινή ευθύνη επεξεργασίας για τη σχετική επεξεργασία προσωπικών δεδομένων και να διευκολύνει τη συντονισμένη παροχή οδηγιών στην Επιτροπή ως εκτελούντα την επεξεργασία. Μεταξύ άλλων, οι υπεύθυνοι επεξεργασίας μπορούν, στο πλαίσιο της προσωρινής υποομάδας, να συνεργάζονται με σκοπό τη διαμόρφωση κοινής προσέγγισης για τη διατήρηση δεδομένων στους εθνικούς τους διακομιστές παρασκηνίου, λαμβάνοντας υπόψη την περίοδο διατήρησης που ορίζεται στην πύλη ομοσπονδιοποίησης.
5) Οι οδηγίες προς τον εκτελούντα την επεξεργασία αποστέλλονται από οποιοδήποτε σημείο επαφής των από κοινού υπευθύνων επεξεργασίας, σε συμφωνία με τους υπόλοιπους από κοινού υπευθύνους επεξεργασίας της προαναφερθείσας υποομάδας.
6) Μόνο τα πρόσωπα που έχουν εξουσιοδοτηθεί από τις ορισθείσες εθνικές αρχές ή τους ορισθέντες επίσημους φορείς μπορούν να έχουν πρόσβαση στα δεδομένα προσωπικού χαρακτήρα των χρηστών που ανταλλάσσονται στην πύλη ομοσπονδιοποίησης.
7) Κάθε ορισθείσα εθνική αρχή ή ορισθείς επίσημος φορέας παύει να είναι από κοινού υπεύθυνος επεξεργασίας από την ημερομηνία ανάκλησης της συμμετοχής της/του στην πύλη ομοσπονδιοποίησης. Ωστόσο, παραμένει αρμόδια/-ος για την επεξεργασία, στην πύλη ομοσπονδιοποίησης, η οποία έλαβε χώρα πριν από την αποχώρησή της/του.
Υποτμήμα 2
Αρμοδιότητες και ρόλοι ως προς τον χειρισμό των αιτημάτων των υποκειμένων των δεδομένων και την ενημέρωσή τους
1) Κάθε υπεύθυνος επεξεργασίας παρέχει στους χρήστες της εθνικής του εφαρμογής ιχνηλάτησης επαφών και αποστολής ειδοποιήσεων για κινητές συσκευές (στο εξής: υποκείμενα των δεδομένων) πληροφορίες σχετικά με την επεξεργασία των δεδομένων τους προσωπικού χαρακτήρα στην πύλη ομοσπονδιοποίησης με σκοπό τη διασυνοριακή διαλειτουργικότητα των εθνικών εφαρμογών ιχνηλάτησης επαφών και αποστολής ειδοποιήσεων για κινητές συσκευές, σύμφωνα με τα άρθρα 13 και 14 του γενικού κανονισμού για την προστασία δεδομένων.
2) Κάθε υπεύθυνος επεξεργασίας ενεργεί ως σημείο επαφής για τους χρήστες της εθνικής του εφαρμογής ιχνηλάτησης επαφών και αποστολής ειδοποιήσεων για κινητές συσκευές και χειρίζεται τα αιτήματα που αφορούν την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων σύμφωνα με τον γενικό κανονισμό για την προστασία δεδομένων, τα οποία υποβάλλονται από τους εν λόγω χρήστες ή τους εκπροσώπους τους. Κάθε υπεύθυνος επεξεργασίας καθορίζει ειδικό σημείο επαφής για τις αιτήσεις που λαμβάνονται από τα υποκείμενα των δεδομένων. Εάν ένας από κοινού υπεύθυνος επεξεργασίας λάβει, από υποκείμενο των δεδομένων, αίτημα που δεν εμπίπτει στην αρμοδιότητά του, το διαβιβάζει αμελλητί στον αρμόδιο από κοινού υπεύθυνο επεξεργασίας. Εφόσον τους ζητηθεί, οι από κοινού υπεύθυνοι επεξεργασίας παρέχουν ο ένας στον άλλον αμοιβαία συνδρομή για τη διεκπεραίωση των αιτήσεων των υποκειμένων των δεδομένων και απαντούν ο ένας στον άλλον χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο εντός 15 ημερών από την παραλαβή του αιτήματος συνδρομής.
3) Κάθε υπεύθυνος επεξεργασίας θέτει στη διάθεση των υποκειμένων των δεδομένων το περιεχόμενο του παρόντος παραρτήματος, συμπεριλαμβανομένων των ρυθμίσεων που προβλέπονται στα σημεία 1) και 2).
ΤΜΗΜΑ 2
Διαχείριση περιστατικών ασφάλειας, συμπεριλαμβανομένων παραβιάσεων δεδομένων προσωπικού χαρακτήρα
(1) Οι από κοινού υπεύθυνοι επεξεργασίας συνεργάζονται μεταξύ τους για τον εντοπισμό και τον χειρισμό τυχόν περιστατικών ασφάλειας, συμπεριλαμβανομένων παραβιάσεων δεδομένων προσωπικού χαρακτήρα, που συνδέονται με την επεξεργασία στην πύλη ομοσπονδιοποίησης.
2) Ιδίως, οι από κοινού υπεύθυνοι επεξεργασίας κοινοποιούν ο ένας στον άλλον τα ακόλουθα:
κάθε δυνητικό ή πραγματικό κίνδυνο για τη διαθεσιμότητα, την εμπιστευτικότητα και/ή την ακεραιότητα των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία στην πύλη ομοσπονδιοποίησης·
κάθε περιστατικό ασφάλειας που συνδέεται με την πράξη επεξεργασίας στην πύλη ομοσπονδιοποίησης·
κάθε παραβίαση δεδομένων προσωπικού χαρακτήρα, τις πιθανές συνέπειες της παραβίασης των δεδομένων προσωπικού χαρακτήρα και την αξιολόγηση του κινδύνου για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, καθώς και κάθε μέτρο που λαμβάνεται για την αντιμετώπιση της παραβίασης των δεδομένων προσωπικού χαρακτήρα και τον μετριασμό του κινδύνου για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων·
κάθε παραβίαση των τεχνικών και/ή οργανωτικών διασφαλίσεων της πράξης επεξεργασίας στην πύλη ομοσπονδιοποίησης.
3) Οι από κοινού υπεύθυνοι επεξεργασίας ανακοινώνουν στην Επιτροπή, στις αρμόδιες εποπτικές αρχές και, εφόσον απαιτείται, στα υποκείμενα των δεδομένων κάθε παραβίαση δεδομένων προσωπικού χαρακτήρα η οποία συνδέεται με πράξη επεξεργασίας στην πύλη ομοσπονδιοποίησης, σύμφωνα με τα άρθρα 33 και 34 του κανονισμού (ΕΕ) 2016/679 ή κατόπιν γνωστοποίησης από την Επιτροπή.
ΤΜΗΜΑ 3
Εκτίμηση αντικτύπου σχετικά με την προστασία των δεδομένων
Εάν ένας υπεύθυνος επεξεργασίας, προκειμένου να συμμορφωθεί με τις υποχρεώσεις του που ορίζονται στα άρθρα 35 και 36 του γενικού κανονισμού για την προστασία δεδομένων, χρειάζεται πληροφορίες από άλλον υπεύθυνο επεξεργασίας, αποστέλλει ειδικό αίτημα στην υπηρεσιακή ηλεκτρονική θυρίδα που αναφέρεται στο τμήμα 1 υποτμήμα 1 σημείο 3). Ο τελευταίος καταβάλλει κάθε δυνατή προσπάθεια για την παροχή των εν λόγω πληροφοριών.
ΠΑΡΑΡΤΗΜΑ III
ΑΡΜΟΔΙΟΤΗΤΕΣ ΤΗΣ ΕΠΙΤΡΟΠΗΣ ΩΣ ΕΚΤΕΛΟΥΝΤΟΣ ΤΗΝ ΕΠΕΞΕΡΓΑΣΙΑ ΓΙΑ ΤΗΝ ΠΥΛΗ ΟΜΟΣΠΟΝΔΙΟΠΟΙΗΣΗΣ ΓΙΑ ΤΗ ΔΙΑΣΥΝΟΡΙΑΚΗ ΕΠΕΞΕΡΓΑΣΙΑ ΜΕΤΑΞΥ ΤΩΝ ΕΘΝΙΚΩΝ ΕΦΑΡΜΟΓΩΝ ΙΧΝΗΛΑΤΗΣΗΣ ΕΠΑΦΩΝ ΚΑΙ ΑΠΟΣΤΟΛΗΣ ΕΙΔΟΠΟΙΗΣΕΩΝ ΓΙΑ ΚΙΝΗΤΕΣ ΣΥΣΚΕΥΕΣ
Η Επιτροπή:
Δημιουργεί και εγγυάται ασφαλή και αξιόπιστη επικοινωνιακή υποδομή που διασυνδέει τις εθνικές εφαρμογές ιχνηλάτησης επαφών και αποστολής ειδοποιήσεων για κινητές συσκευές των κρατών μελών που συμμετέχουν στην πύλη ομοσπονδιοποίησης. Με σκοπό την εκπλήρωση των υποχρεώσεών της ως εκτελούντος την επεξεργασία της πύλης ομοσπονδιοποίησης, η Επιτροπή μπορεί να προσλαμβάνει τρίτους ως περαιτέρω εκτελούντες την επεξεργασία· η Επιτροπή ενημερώνει τους από κοινού υπευθύνους επεξεργασίας για κάθε σκοπούμενη αλλαγή που αφορά την προσθήκη ή την αντικατάσταση περαιτέρω εκτελούντων την επεξεργασία, παρέχοντας κατ’ αυτόν τον τρόπο στους υπευθύνους επεξεργασίας την ευκαιρία να εκφράσουν από κοινού αντιρρήσεις για τις εν λόγω αλλαγές, όπως αναφέρεται στο παράρτημα II τμήμα 1 υποτμήμα 1 σημείο 4). Η Επιτροπή μεριμνά ώστε να ισχύουν γι’ αυτούς τους περαιτέρω εκτελούντες την επεξεργασία οι ίδιες υποχρεώσεις προστασίας δεδομένων που ορίζονται στην παρούσα απόφαση.
Επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα μόνο βάσει καταγεγραμμένων εντολών των υπευθύνων επεξεργασίας, εκτός εάν υποχρεούται προς τούτο βάσει του δικαίου της Ένωσης ή του δικαίου του κράτους μέλους· σ’ αυτήν την περίπτωση, η Επιτροπή ενημερώνει τους υπεύθυνους επεξεργασίας για την εν λόγω νομική απαίτηση πριν από την επεξεργασία, εκτός εάν το εν λόγω δίκαιο απαγορεύει αυτού του είδους την ενημέρωση για σοβαρούς λόγους δημόσιου συμφέροντος.
Η επεξεργασία από την Επιτροπή συνίσταται στα ακόλουθα:
επαλήθευση της ταυτότητας των εθνικών διακομιστών παρασκηνίου βάσει των πιστοποιητικών των εθνικών διακομιστών παρασκηνίου·
παραλαβή των δεδομένων του άρθρου 7α παράγραφος 3 της εκτελεστικής απόφασης, τα οποία αναφορτώνονται από τους εθνικούς διακομιστές παρασκηνίου με την παροχή διεπαφής προγραμματισμού εφαρμογών που επιτρέπει στους εθνικούς διακομιστές παρασκηνίου την αναφόρτωση των σχετικών δεδομένων·
αποθήκευση των δεδομένων στην πύλη ομοσπονδιοποίησης κατά την παραλαβή τους από τους εθνικούς διακομιστές παρασκηνίου·
διάθεση των δεδομένων για καταφόρτωση από τους εθνικούς διακομιστές παρασκηνίου·
διαγραφή των δεδομένων όταν όλοι οι συμμετέχοντες διακομιστές παρασκηνίου έχουν καταφορτώσει τα εν λόγω δεδομένα ή 14 ημέρες μετά την παραλαβή τους, ανάλογα με το ποια ημερομηνία είναι προγενέστερη·
μετά το πέρας της παροχής υπηρεσιών, διαγραφή τυχόν υπόλοιπων δεδομένων, εκτός εάν το δίκαιο της Ένωσης ή κράτους μέλους απαιτεί την αποθήκευση των δεδομένων προσωπικού χαρακτήρα.
Ο εκτελών την επεξεργασία λαμβάνει τα αναγκαία μέτρα για τη διατήρηση της ακεραιότητας των δεδομένων που υποβάλλονται σε επεξεργασία.
Λήψη όλων των οργανωτικών, φυσικών και λογικών μέτρων ασφαλείας τελευταίας τεχνολογίας για τη συντήρηση της πύλης ομοσπονδιοποίησης. Για τον σκοπό αυτό, η Επιτροπή:
ορίζει μια υπεύθυνη οντότητα για τη διαχείριση της ασφάλειας στο επίπεδο της πύλης ομοσπονδιοποίησης, κοινοποιεί στους υπευθύνους επεξεργασίας τα στοιχεία επικοινωνίας μ’ αυτή και εξασφαλίζει ότι η οντότητα αυτή θα είναι διαθέσιμη να αντιδρά σε απειλές κατά της ασφάλειας·
αναλαμβάνει την ευθύνη για την ασφάλεια της πύλης ομοσπονδιοποίησης·
μεριμνά ώστε όλα τα άτομα στα οποία έχει χορηγηθεί πρόσβαση στην πύλη ομοσπονδιοποίησης να υπόκεινται σε συμβατική, επαγγελματική ή εκ του νόμου προβλεπόμενη υποχρέωση τήρησης εμπιστευτικότητας.
Λαμβάνει όλα τα αναγκαία μέτρα ασφάλειας ώστε να αποφεύγεται η διασάλευση της ομαλής λειτουργίας των εθνικών διακομιστών παρασκηνίου. Για τον σκοπό αυτό, η Επιτροπή θεσπίζει τις ειδικές διαδικασίες που αφορούν τη σύνδεση των διακομιστών παρασκηνίου με την πύλη ομοσπονδιοποίησης. Αυτό περιλαμβάνει:
διαδικασία αξιολόγησης κινδύνων για τον εντοπισμό και την εκτίμηση πιθανών απειλών κατά του συστήματος·
διαδικασία ελέγχου και επιθεώρησης με σκοπό:
να ελέγχεται η αντιστοιχία μεταξύ των εφαρμοζόμενων μέτρων ασφάλειας και της πολιτικής ασφάλειας που ακολουθείται·
να ελέγχεται, σε τακτική βάση, η ακεραιότητα των αρχείων του συστήματος, των παραμέτρων ασφαλείας και των χορηγούμενων αδειών·
να υπάρχει παρακολούθηση προκειμένου να εντοπίζονται παραβιάσεις και παρεισφρήσεις στον τομέα της ασφάλειας·
να γίνονται αλλαγές για τον μετριασμό των υφιστάμενων αδυναμιών στον τομέα της ασφάλειας·
να επιτρέπεται, μεταξύ άλλων κατόπιν αιτήματος των υπευθύνων επεξεργασίας, η διενέργεια ανεξάρτητων ελέγχων, συμπεριλαμβανομένων επιθεωρήσεων, και αξιολογήσεων των μέτρων ασφαλείας, και να διευκολύνεται η διεξαγωγή τους, με την επιφύλαξη προϋποθέσεων που σέβονται το πρωτόκολλο (αριθ. 7) της ΣΛΕΕ περί των προνομίων και ασυλιών της Ευρωπαϊκής Ένωσης ( 4 )·
αλλαγή της διαδικασίας ελέγχου για την τεκμηρίωση και τη μέτρηση του αντικτύπου μιας αλλαγής πριν από την υλοποίησή της και ενημέρωση των υπευθύνων επεξεργασίας σχετικά με τυχόν αλλαγές που μπορούν να επηρεάσουν την επικοινωνία με τις υποδομές τους και/ή την ασφάλεια των υποδομών αυτών·
πρόβλεψη διαδικασίας συντήρησης και επισκευής για τον καθορισμό των κανόνων και των όρων που πρέπει να τηρούνται κατά τη συντήρηση και/ή την επισκευή του εξοπλισμού·
πρόβλεψη διαδικασίας για τα περιστατικά ασφάλειας με σκοπό τον καθορισμό του συστήματος αναφοράς και κλιμάκωσης, τη χωρίς καθυστέρηση ενημέρωση των υπευθύνων επεξεργασίας καθώς και του Ευρωπαίου Επόπτη Προστασίας Δεδομένων για κάθε παραβίαση δεδομένων προσωπικού χαρακτήρα, και τον καθορισμό πειθαρχικής διαδικασίας για την αντιμετώπιση των παραβιάσεων της ασφάλειας.
Λαμβάνει μέτρα φυσικής και/ή λογικής ασφάλειας τελευταίας τεχνολογίας για τις εγκαταστάσεις που φιλοξενούν τον εξοπλισμό της πύλης ομοσπονδιοποίησης και για τους ελέγχους των λογικών δεδομένων και της πρόσβασης ασφαλείας. Για τον σκοπό αυτό, η Επιτροπή:
επιβάλλει φυσική ασφάλεια για να καθιερώσει διακριτικές περιμέτρους ασφαλείας και να καταστήσει εφικτό τον εντοπισμό παραβάσεων·
ελέγχει την πρόσβαση στις εγκαταστάσεις και τηρεί μητρώο επισκεπτών για σκοπούς ιχνηλάτησης·
διασφαλίζει ότι τα άτομα που δεν είναι μέλη του προσωπικού και στα οποία έχει χορηγηθεί πρόσβαση στις εγκαταστάσεις συνοδεύονται από δεόντως εξουσιοδοτημένο προσωπικό·
διασφαλίζει ότι δεν μπορεί να προστεθεί, να αντικατασταθεί ή να αφαιρεθεί εξοπλισμός χωρίς προηγούμενη έγκριση των ορισθέντων αρμόδιων φορέων·
ελέγχει την πρόσβαση προς και από τους εθνικούς διακομιστές παρασκηνίου στην πύλη ομοσπονδιοποίησης·
διασφαλίζει ότι τα άτομα που προσπελαύνουν την πύλη ομοσπονδιοποίησης ταυτοποιούνται και η ταυτότητά τους επαληθεύεται·
επανεξετάζει τα δικαιώματα χορήγησης άδειας όσον αφορά την πρόσβαση στην πύλη ομοσπονδιοποίησης, σε περίπτωση παραβίασης της ασφάλειας που επηρεάζει την εν λόγω υποδομή·
τηρεί την ακεραιότητα των πληροφοριών που διαβιβάζονται μέσω της πύλης ομοσπονδιοποίησης·
εφαρμόζει τεχνικά και οργανωτικά μέτρα ασφαλείας για την πρόληψη μη εξουσιοδοτημένης πρόσβασης σε δεδομένα προσωπικού χαρακτήρα·
εφαρμόζει, όποτε είναι αναγκαίο, μέτρα για την παρεμπόδιση της μη εξουσιοδοτημένης πρόσβασης στην πύλη ομοσπονδιοποίησης από τον τομέα των εθνικών αρχών (δηλαδή αποκλεισμός τοποθεσίας/διεύθυνσης IP).
Λαμβάνει μέτρα για την προστασία του τομέα της, συμπεριλαμβανομένης της αποκοπής συνδέσεων, σε περίπτωση σημαντικής απόκλισης από τις αρχές και τις έννοιες της ποιότητας ή της ασφάλειας.
Διατηρεί σχέδιο διαχείρισης κινδύνου που αφορά τον τομέα αρμοδιότητάς της.
Παρακολουθεί —σε πραγματικό χρόνο— την απόδοση όλων των στοιχείων των υπηρεσιών της πύλης ομοσπονδιοποίησης, παράγει τακτικές στατιστικές και τηρεί αρχεία.
Παρέχει υποστήριξη σε όλες τις υπηρεσίες της πύλης ομοσπονδιοποίησης, στα αγγλικά, καθ’ όλο το 24ωρο, 7 ημέρες την εβδομάδα, μέσω τηλεφώνου, ηλεκτρονικού ταχυδρομείου ή διαδικτυακής πύλης και αποδέχεται κλήσεις από εξουσιοδοτημένους επισκέπτες: συντονιστές της πύλης ομοσπονδιοποίησης και τις αντίστοιχες υπηρεσίες υποστήριξης, υπευθύνους έργων και ορισθέντα άτομα από την Επιτροπή.
Παρέχει συνδρομή στους υπευθύνους επεξεργασίας με κατάλληλα τεχνικά και οργανωτικά μέτρα, στον βαθμό που είναι εφικτό, για την εκπλήρωση της υποχρέωσης του υπευθύνου επεξεργασίας να απαντά σε αιτήματα που αφορούν την άσκηση των δικαιωμάτων του υποκειμένου των δεδομένων που προβλέπονται στο κεφάλαιο III του γενικού κανονισμού για την προστασία δεδομένων.
Υποστηρίζει τους υπευθύνους επεξεργασίας παρέχοντας πληροφορίες σχετικά με την πύλη ομοσπονδιοποίησης με σκοπό τη συμμόρφωση με τις υποχρεώσεις των άρθρων 32, 35 και 36 του γενικού κανονισμού για την προστασία δεδομένων.
Διασφαλίζει ότι τα δεδομένα που υποβάλλονται σε επεξεργασία στο πλαίσιο της πύλης ομοσπονδιοποίησης είναι ακατάληπτα για τα πρόσωπα που δεν επιτρέπεται να έχουν πρόσβαση σ’ αυτήν.
Λαμβάνει όλα τα κατάλληλα μέτρα για να αποτρέψει τη μη εξουσιοδοτημένη πρόσβαση φορέων της πύλης ομοσπονδιοποίησης σε διαβιβαζόμενα δεδομένα.
Λαμβάνει μέτρα για να διευκολύνει τη διαλειτουργικότητα και την επικοινωνία μεταξύ των ορισθέντων υπευθύνων επεξεργασίας της πύλης ομοσπονδιοποίησης.
Τηρεί αρχείο των δραστηριοτήτων επεξεργασίας που διεξάγονται για λογαριασμό των υπευθύνων επεξεργασίας, σύμφωνα με το άρθρο 31 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725.
( 1 ) Απόφαση αριθ. 1082/2013/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 22ας Οκτωβρίου 2013, σχετικά με σοβαρές διασυνοριακές απειλές κατά της υγείας και για την κατάργηση της απόφασης αριθ. 2119/98/ΕΚ (ΕΕ L 293 της 5.11.2013, σ. 1).
( 2 ) Απόφαση (ΕΕ, Ευρατόμ) 2015/444 της Επιτροπής, της 13ης Μαρτίου 2015, σχετικά με τους κανόνες ασφαλείας για την προστασία των διαβαθμισμένων πληροφοριών της ΕΕ (ΕΕ L 72 της 17.3.2015, σ. 53).
( 3 ) Ιδίως τις προδιαγραφές διαλειτουργικότητας για τις διασυνοριακές αλυσίδες διαβίβασης μεταξύ εγκεκριμένων εφαρμογών, της 16ης Ιουνίου 2020, που είναι διαθέσιμες στην ακόλουθη διεύθυνση: https://ec.europa.eu/health/ehealth/key_documents_en#anchor0.
( 4 ) Πρωτόκολλο (αριθ. 7) περί των προνομίων και ασυλιών της Ευρωπαϊκής Ένωσης (ΕΕ C 326 της 26.10.2012, σ. 266).