KOMISJONI RAKENDUSOTSUS (EL) 2021/858,

27. mai 2021,

millega muudetakse rakendusotsust (EL) 2017/253 seoses tõsistest piiriülestest terviseohtudest tulenevate hoiatusteadetega ja kontaktide jälgimisega reisija asukoha vormide alusel

(EMPs kohaldatav tekst)

EUROOPA KOMISJON,

võttes arvesse Euroopa Liidu toimimise lepingut,

võttes arvesse Euroopa Parlamendi ja nõukogu 22. oktoobri 2013. aasta otsust nr 1082/2013/EL tõsiste piiriüleste terviseohtude kohta ja millega tunnistatakse kehtetuks otsus nr 2119/98/EÜ, (1) eriti selle artikli 8 lõiget 2,

ning arvestades järgmist:

(1)

Positiivsete COVID-19 juhtumite tuvastamine pärast teatavat piiriülest reisi vastab otsuse 1082/2013/EL artikli 9 lõikes 1 sätestatud kriteeriumidele, kuna viirus võib siiski põhjustada inimeste märkimisväärset suremust ja selle leviku ulatus võib kasvada kiiresti. See mõjutab mitut liikmesriiki ja võib nõuda koordineeritud reageerimist liidu tasandil. Vastavalt 13. oktoobri 2020. aasta soovituse (EL) 2020/1475 (mis käsitleb koordineeritud lähenemisviisi vaba liikumise piiramisele COVID-19 pandeemiale reageerimisel) (2) punktile 23 tuleks teavet isiku saabumisel avastatud COVID-19 juhtumite kohta kontaktide jälgimise eesmärgil viivitamata jagada nende riikide tervishoiuasutustega, kus asjaomane isik on viimase 14 päeva jooksul viibinud, kasutades varajase hoiatamise ja reageerimise süsteemi, mis on loodud otsuse 1082/2013/EL artikliga 8 ja mida haldab Haiguste Ennetamise ja Tõrje Euroopa Keskus (edaspidi „ECDC“).

(2)	Soovituse (EL) 2020/1475 kohaselt võiksid liikmesriigid nõuda, et nende territooriumile sisenevad isikud esitaksid reisija asukoha vormi kooskõlas andmekaitsenõuetega.

(3)

Kehtestades riiklike reisija asukoha vormide täitmise nõude, koguvad liikmesriigid oma territooriumile sisenevatelt piiriülestelt reisijatelt reisija asukoha vormi andmeid. Neid andmeid kasutatakse näiteks selleks, et kui reisija asukoha vormi täitnud isiku puhul on tuvastatud COVID-19ga nakatumine, saab reisija asukoha vormiga kogutud andmete alusel teha kindlaks kõnealuse isiku reisimarsruudi ja edastada asjakohase teabe liikmesriikidele, kes peavad rakendama kontaktide jälgimise menetlust seoses isikutega, kes võivad olla nakatunud reisijaga kokku puutunud.

(4)	Mõne liikmesriigi tervishoiuasutused on juba seoses COVID-19 pandeemiaga vahetanud riiklike reisija asukoha vormidega kogutud isikuandmeid kontaktide jälgimise eesmärgil. Selline teabevahetus on toimunud eelkõige hoiatamise ja reageerimise süsteemi (EWRS) praeguse tehnilise taristu kaudu.

(5)

EWRSi raames pakutav tehniline taristu ei ole aga kavandatud selleks, et tulla toime reisija asukoha vormi andmete sellise hulgaga, mis tekib reisija asukoha vormide süstemaatilisel ja laiaulatuslikul kasutamisel. Näiteks ei ühildu erinevad riiklikud vormid omavahel ja andmeid on vaja käsitsi sisestada, mis muudab kontaktide jälgimise aeganõudvamaks ja ebatõhusaks. See kehtib eelkõige juhul, kui kontakte jälgitakse seoses selliste piiriüleste reisijatega, kes on reisinud ühistranspordiga, kus istekohad on eelnevalt määratud, näiteks õhusõidukid, teatavad rongid, parv- ja kruiisilaevad, kus lähikontaktsete isikute arv võib olla märkimisväärne ja kokkupuute kestus pikaajaline.

(6)

Seepärast tuleks luua tehniline taristu, mida nimetatakse reisija asukoha andmevahetusplatvormiks ja mille kaudu saaksid liikmesriikide EWRSi pädevad asutused vahetada andmeid turvaliselt, õigel ajal ja tõhusalt. Samuti saaksid nad edastada teavet nende olemasolevast riiklikust digitaalsest reisija asukoha vormide süsteemist teistele EWRSi pädevatele asutustele koostalitlusvõimeliselt ja automaatselt. Taristu peaks põhinema Euroopa Liidu Lennundusohutusameti (EASA) poolt juba välja töötatud teabevahetusplatvormil, kusjuures EASA-l ei ole käesoleva rakendusotsuse kohaselt reisija asukoha andmevahetusplatvormi kaudu toimuvas isikuandmete töötlemises mingit rolli. Reisija asukoha andmevahetusplatvorm peaks võimaldama ka piiratud epidemioloogiliste andmete vahetamist, mis on vajalikud kontaktide jälgimiseks vastavalt otsuse 1082/2013/EL artikli 9 lõikele 3. Selleks et vältida tegevuste kattumist või vastuolu tõsiste piiriüleste terviseohtude seire, varajase hoiatamise ja nende vastu võitlemise olemasolevate struktuuride ja mehhanismidega, tuleks EWRSi raames välja töötada reisija asukoha andmevahetusplatvorm, mis täiendaks selles süsteemis olevat selektiivset sõnumiedastusfunktsiooni.

(7)	Reisija asukoha andmevahetusplatvormi peaks haldama ECDC kooskõlas Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 851/2004 (3) artikliga 8.

(8)	Reisija asukoha andmevahetusplatvorm ei tohiks säilitada vahetatavaid reisija asukoha vormi andmeid ega epidemioloogilisi andmeid.

(9)

Kui liikmesriigil ei ole riigi tasandil välja töötatud digitaalset reisija asukoha vormide süsteemi, võiks ta kasutada ELi digitaalset reisija asukoha platvormi, mis töötati komisjoni ülesandel välja ELi ühismeetmega „Healthy Gateways“ (toetus nr 801493) (4). ELi digitaalse reisija asukoha platvormi eesmärk on luua ühtne kontaktpunkt ja andmebaas reisija asukoha vormide kogumiseks. Tulevikus peaks ELi digitaalne reisija asukoha platvorm olema ühendatud reisija asukoha andmevahetusplatvormiga üksnes selleks, et võimaldada andmevahetust ühelt poolt liikmesriikide enda digitaalsete reisija asukoha süsteemide ning ELi digitaalset reisija asukoha platvormi kasutavate liikmesriikide vahel. Käesolev otsus ei hõlma ELi digitaalse reisija asukoha platvormi loomist ega sellega seotud isikuandmete töötlemist.

(10)

Käesoleva otsusega ei reguleerita riiklike reisija asukoha vormide kehtestamist, kuna selle üle otsustavad liikmesriigid. Liikmesriigid võivad vabalt valida, kas nad koguvad reisija asukoha vorme kõigilt nende territooriumile saabuvatelt reisijatelt või ainult neilt reisijatelt, kelle lõppsihtkohaks on kõnealune liikmesriik. Reisija asukoha vormi andmetel põhinev tõhus piiriülene kontaktide jälgimine eeldab, et liikmesriigid koguvad kõnealuseid andmeid oma riiklike reisija asukoha vormide kaudu ühise miinimumkogumina. Seepärast tuleks sätestada kõnealused reisija asukoha vormi miinimumandmed. Lisaks peaksid liikmesriigid andmekogumise kulutõhususe, jätkusuutlikkuse ja suurema turvalisuse huvides kaaluma ühise lähenemisviisi heakskiitmist, kui tuleb otsustada, kas reisija asukoha vormi täitmist hakatakse nõudma kõigilt reisijatelt, sealhulgas transiitreisijatelt, või ainult neilt reisijatelt, kelle lõppsihtkohaks asjaomane liikmesriik on.

(11)	Reisija asukoha andmevahetusplatvormi kasutamine peaks olema vabatahtlik ja liikmesriigid peaksid saama vabalt esitada hoiatusteateid EWRSi praeguse tehnilise taristu raames ajutiselt ja tingimusel, et need ei ohusta kontaktide jälgimise eesmärki.

(12)

EWRSi pädevad asutused peaksid kooskõlas isikuandmete võimalikult vähese töötlemise põhimõttega vahetama üksnes täpselt määratletud andmekogumeid, mis on kogutud nende reisija asukoha vormidega, ja muid piiratud epidemioloogilisi andmeid, mis on vajalikud kontaktide jälgimiseks. Kui nakatunud reisija kohta hoiatusteate esitanud liikmesriik saab tema käsutuses olevate reisija asukoha vormi andmete põhjal kindlaks teha kõik asjaomased liikmesriigid, peaks ta edastama andmed ainult kõnealuste liikmesriikide EWRSi pädevatele asutustele. Nii on see näiteks juhul, kui nakatunud reisija tuvastanud liikmesriik kogub reisija asukoha vormi andmeid kõigi reisijate, sealhulgas transiitreisijate kohta, kes saabuvad tema territooriumile otse esialgsest lähtekohast.

(13)

Kui liikmesriigis tuvastatakse reisija nakatumine SARS-CoV-2-ga, peaks kõnealuse liikmesriigi EWRSi pädevatel asutustel olema võimalik jagada lähteliikmesriigi EWRSi pädevate asutustega piiratud hulgal andmeid, nimelt nakatunud reisija isiku- ja kontaktandmeid, mis on saadud reisija asukoha vormidest ja mis tuleks rangelt määratleda seoses sellega, mida on vaja teha lähikontaktsete isikute kontaktide jälgimiseks lähte- ja elukohaliikmesriigis, kui see erineb lähteliikmesriigist.

(14)

Lisaks, kui liikmesriigis tuvastatakse reisija nakatumine SARS-CoV-2-ga, peaks kõnealuse liikmesriigi EWRSi pädevatel asutustel olema võimalik jagada piiratud hulgal andmeid kõikide liikmesriikide või asjaomaste liikmesriikide EWRSi pädevate asutustega, kui kõnealustel asutustel on teavet, mis võimaldab neil selliseid liikmesriike kindlaks teha. Andmed peaksid piirduma lähtekoha, saabumiskoha, väljumise kuupäeva, kasutatud transpordiliigi (nt lennuk, rong, buss, parvlaev, laev), transporditeenuse identifitseerimisnumbri (st lennu number, rongi number, bussi registreerimismärk, parvlaeva või laeva nimi) ja nakatunud reisija istekoha või kajuti numbriga ning väljumisajaga, kui eespool nimetatud andmed ei ole piisavad transpordivahendi identifitseerimiseks. See peaks võimaldama EWRSi vastuvõtvatel pädevatel asutustel kindlaks teha, kas lähikontaktsed isikud saabusid nende territooriumile, ning kui see on nii, siis jälgida nende kontakte.

(15)

Kui asjaomane EWRSi pädev asutus jagab andmeid teiste EWRSi pädevate asutustega reisija asukoha andmevahetusplatvormi kaudu, peaks tal olema võimalik lisada epidemioloogilist teavet, kuid üksnes sellisel hulgal, mis on vajalik kontaktide jälgimiseks, st tehtud COVID-19 testi liik, viiruse SARS-CoV-2 variant, testi kuupäev ja sümptomite ilmnemise kuupäev.

(16)

EWRSi pädevad asutused töötlevad reisija asukoha andmevahetusplatvormi kaudu vahetatavaid nakatunud reisijate isikuandmeid kooskõlas Euroopa Parlamendi ja nõukogu määrusega (EL) 2016/679 (5). Isikuandmete töötlemine kontaktide jälgimise eesmärgil ECDC kui reisija asukoha andmevahetusplatvormi haldaja ja komisjoni kui selle alamtöötleja vastutusel peab toimuma kooskõlas Euroopa Parlamendi ja nõukogu määrusega (EL) 2018/1725 (6).

(17)

Õiguslik alus nakatunud reisijate isikuandmete, sealhulgas terviseandmete vahetamiseks EWRSi pädevate asutuste vahel kontaktide jälgimise eesmärgil on sätestatud otsuse 1082/2013/EL artikli 9 lõikes 1 ja artikli 9 lõike 3 punktis i ning kooskõlas määruse (EL) 2016/679 artikli 6 lõike 1 punktiga c ja artikli 9 lõike 2 punktiga i. Käesolevas otsuses tuleks sätestada sobivad ja konkreetsed meetmed andmesubjekti õiguste ja vabaduste kaitseks. Need peaksid hõlmama meetmeid seoses vahetatavate vajalike andmekogumite määratlusega, EWRSi pädevate asutustega, kellega tuleks erinevatel juhtudel andmeid vahetada, asjakohaste turvameetmetega, sealhulgas krüpteerimisega, ning reisija asukoha andmevahetusplatvormi kaudu toimuva riiklike pädevate asutuste vahelise andmetöötluse üksikasjadega Euroopa Liidus.

(18)

Reisija asukoha andmevahetusplatvormi kasutavad EWRSi pädevad asutused määravad reisija asukoha andmevahetusplatvormil koos kindlaks isikuandmete töötlemise eesmärgi ja vahendid ning on seega kaasvastutavad töötlejad. Määruse (EL) 2016/679 artikliga 26 pannakse kaasvastutavatele töötlejatele kohustus määrata läbipaistval viisil kindlaks oma vastutusvaldkonnad kõnealuse määruse kohaste kohustuste täitmisel. Samuti on ette nähtud võimalus, et need ülesanded võib kindlaks määrata vastutava töötleja suhtes kohaldatavas liidu või liikmesriigi õiguses. Seetõttu tuleks käesolevas otsuses kindlaks määrata kaasvastutavate töötlejate vastavad rollid ja kohustused.

(19)

ECDC kui reisija asukoha andmevahetusplatvormi tehniliste ja korralduslike lahenduste pakkuja töötleb reisija asukoha vormi ja epidemioloogilisi andmeid reisija asukoha andmevahetusplatvormi kasutavate liikmesriikide kui kaasvastutavate töötlejate nimel ning on seega volitatud töötleja määruse (EL) 2018/1725 artikli 3 punkti 12 tähenduses. Määruse (EL) 2016/679 artiklis 28 ja määruse (EL) 2018/1725 artiklis 29 on sätestatud, et volitatud töötleja peab andmeid töötlema volitatud töötlejat ja vastutavat töötlejat omavahel siduva lepingu või liidu või liikmesriigi õiguse kohase siduva õigusakti alusel, milles täpsustatakse töötlemist. Seetõttu on vaja sätestada töötlemise eeskirjad ECDC kui volitatud töötleja jaoks.

(20)

Määruse (EÜ) nr 851/2004 artikli 3 lõikes 3 on sätestatud, et ECDC, komisjon ja liikmesriigid teevad koostööd, et tõhustada sidusust oma vastavate tegevuste vahel. Sellest lähtuvalt tuleks komisjoni ja ECDC vahel sõlmida teenustaseme kokkulepped, et teha koostööd reisija asukoha andmevahetusplatvormi tehnilise arendamise ja käitamise ajal. Nendes tuleb kindlaks määrata (organisatsiooniliste, rahaliste ja tehnoloogiliste) kohustuste jaotus lepinguosaliste vahel, et hõlbustada reisija asukoha andmevahetusplatvormi rakendamist, ning tehnilised meetmed, mis on seotud selle käitamise, hooldamise ja edasiarendamisega.

(21)	Seepärast tuleks rakendusotsust (EL) 2017/253 vastavalt muuta.

(22)

Reisija asukoha andmevahetusplatvormi rahastatakse 2021. aastal erakorralise toetuse rahastamisvahendist, mis loodi selleks, et aidata liikmesriikidel reageerida koroonaviiruse pandeemiale, rahuldades vajadusi strateegiliselt ja Euroopa tasandil koordineeritult, ning meetme „Euroopa transpordipoliitika, transpordi turvalisuse ja reisijaõiguste toetusmeetmed, sh teabevahetusmeetmed“ raames. 2022. aastal rahastatakse seda programmist „Digitaalne Euroopa“.

(23)

Võttes arvesse reisija asukoha andmevahetusplatvormi kavandatud kasutuselevõtu kuupäeva, tuleks käesolevat otsust kohaldada alates 1. juunist 2021. Andmevahetus lõpetatakse 12 kuu pärast või siis, kui Maailma Terviseorganisatsiooni peadirektor on rahvusvaheliste tervise-eeskirjade kohaselt teatanud, et SARS-CoV-2 põhjustatud rahvusvahelise tähtsusega rahvatervisealane hädaolukord on lõppenud, kui selline teade esitatakse varem.

(24)

Reisija asukoha andmevahetusplatvormi käitamine peaks piirduma COVID-19 pandeemia ohjamisega. Ent tulevikus võiks rakendusotsuse muutmise kaudu platvormi laiendada selliste epideemiate osas, mis võivad nõuda liikmesriikidelt reisija asukoha vormi andmete vahetamist kontaktide jälgimise eesmärgil kooskõlas otsuse 1082/2013/EL artikli 9 lõikes 1 sätestatud kriteeriumidega ja artikli 9 lõikes 3 sätestatud tingimustega.

(25)	Vastavalt määruse (EL) 2018/1725 artikli 42 lõikele 1 on konsulteeritud Euroopa Andmekaitseinspektoriga, kes esitas oma arvamuse 6. mail 2021.

(26)	Käesoleva otsusega ettenähtud meetmed on kooskõlas otsuse nr 1082/2013/EL artikli 18 kohaselt moodustatud tõsiste piiriüleste terviseohtude komitee arvamusega,

ON VASTU VÕTNUD KÄESOLEVA OTSUSE:

Artikkel 1

Rakendusotsust (EL) 2017/253 muudetakse järgmiselt.

Lisatakse artikkel 1a:

„Artikkel 1a

Mõisted

Käesolevas otsuses kasutatakse järgmisi mõisteid:

„reisija asukoha vorm“ – tervishoiuasutuste taotlusel täidetud vorm, millega kogutakse vähemalt I lisas nimetatud reisijaandmeid ja mille abil saavad kõnealused asutused tegeleda rahvatervisealase hädaolukorraga ja jälgida piiri ületavaid reisijaid, kes võivad olla SARS-CoV-2 viirusega nakatunud reisijaga kokku puutunud;

b)	„reisija asukoha vormi andmed“ – reisija asukoha vormi kaudu kogutavad isikuandmed;

c)	„digitaalne kontaktpunkt“ – ühtne digitaalne koht, kus EWRSi pädevad asutused saavad oma riiklikud digitaalsed reisija asukoha süsteemid turvaliselt ühendada reisija asukoha andmevahetusplatvormiga;

d)	„reis“ – isiku ühe või mitme etapina toimuv piiriülene reis ühistranspordiga, kus istekohad on eelnevalt määratud, ja mille puhul võetakse arvesse kõnealuse isiku algset lähte- ja lõppsihtkohta;

e)	„etapp“ – reisija piiriülene otsereis ilma jätkureisi või ümberistumiseta (lennuk, rong, laev või sõiduk);

f)	„nakatunud reisija“ – reisija, kes vastab SARS-CoV-2 nakkuse laboratoorsele kriteeriumile;

g)	„lähikontaktne isik“ – reisija või muu isik, kes on olnud nakatunud reisijaga lähedas kontaktis;

h)	„hoiatusteade“ – varajase hoiatamise ja reageerimise süsteemis (EWRS) edastatud teade vastavalt otsuse 1082/2013/EÜ artiklile 9.“

Lisatakse artiklid 2a, 2b ja 2c:

„Artikkel 2a

Reisija asukoha vormi andmete vahetamise platvorm

1. EWRSi raames luuakse platvorm nakatunud reisijate reisija asukoha vormi andmete turvaliseks vahetamiseks üksnes selleks, et EWRSi pädevad asutused saaksid SARS-CoV-2 haige lähikontaktseid isikuid jälgida (edaspidi „reisija asukoha andmevahetusplatvorm“), et täiendada selles süsteemis olevat selektiivset sõnumiedastusfunktsiooni.

Reisija asukoha andmevahetusplatvorm on EWRSi pädevate asutuste jaoks digitaalne kontaktpunkt, mille kaudu saavad nad turvaliselt ühendada oma riiklikud digitaalsed reisija asukoha süsteemid või ühenduda ELi reisija asukoha digitaalse platvormiga, et võimaldada reisija asukoha vormidega kogutud andmete vahetamist.

EWRSi pädevad asutused saavad kooskõlas artikli 2b lõikega 5 kasutada reisija asukoha andmevahetusplatvormi täiendavate andmete, st epidemioloogiliste andmete vahetamiseks üksnes SARS-CoV-2 haige lähikontaktsete isikute jälgimise eesmärgil.

2. Reisija asukoha andmevahetusplatvormi haldab ECDC.

3. Selleks et täita artiklist 2 tulenevaid kohustusi teatada reisija asukoha vormi andmete kogumise käigus tuvastatud tõsistest piiriülestest terviseohtudest, vahetavad reisija asukoha vormi täitmist nõudvate liikmesriikide EWRSi pädevad asutused reisija asukoha andmevahetusplatvormi kaudu vastavat andmekogumit, nagu on üksikasjalikult kirjeldatud artiklis 2b.

4. EWRSi pädevad asutused võivad jätkata otsuse 1082/2013/EL artikli 9 lõigetest 1 ja 3 tulenevate kohustuste täitmist, et teatada tõsistest piiriülestest terviseohtudest, mis on kindlaks tehtud seoses reisija asukoha vormi andmete kogumisega käesoleva otsuse artikli 1 lõikes 2 osutatud muude olemasolevate teabevahetuskanalite kaudu, tingimusel et selline valik ei kahjusta kontaktide jälgimise eesmärki.

5. Reisija asukoha andmevahetusplatvormil ei säilitata reisija asukoha vormi andmeid ega täiendavaid epidemioloogilisi andmeid. See võimaldab EWRSi pädevatel asutustel saada andmeid, mille on neile saatnud teised EWRSi pädevad asutused üksnes SARS-CoV-2 kontaktide jälgimise eesmärgil. ECDC pääseb andmetele juurde üksnes selleks, et tagada reisija asukoha andmevahetusplatvormi hea toimimine.

6. EWRSi pädevad asutused ei säilita reisija asukoha andmevahetusplatvormi kaudu saadud reisija asukoha vormi ja epidemioloogilisi andmeid kauem kui nende riikliku SARS-CoV-2 kontaktide jälgimise tegevuse raames kohaldatav säilitamistähtaeg.

7. Komisjon teeb ECDCga koostööd talle käesoleva otsusega usaldatud ülesannete täitmisel, eelkõige seoses tehniliste ja korralduslike meetmetega, mis on seotud reisija asukoha andmevahetusplatvormi kasutuselevõtu, rakendamise, käitamise, hooldamise ja edasiarendamisega.

8. Isikuandmete töötlemine reisija asukoha andmevahetusplatvormil üksnes SARS-CoV-2 kontaktide jälgimise eesmärgil toimub kuni 31. maini 2022 või kuni Maailma Terviseorganisatsiooni peadirektor on rahvusvaheliste tervise-eeskirjade kohaselt teatanud, et SARS-CoV-2 põhjustatud rahvusvahelise tähtsusega rahvatervisealane hädaolukord on lõppenud, olenevalt sellest, kumb on varasem.

Artikkel 2b

Vahetatavad andmed

1. Kui nakatunud reisija tuvastanud liikmesriigi EWRSi pädevad asutused esitavad reisija asukoha andmevahetusplatvormil hoiatusteate, edastavad nad järgmised reisija asukoha vormi andmed selle liikmesriigi EWRSi pädevatele asutustele, kust nakatunud reisija algselt lahkus või kus on tema elukoht, kui tema elukoht on algsest lähtekohast erinev:

eesnimi;

b)	perekonnanimi;

sünniaeg;

d)	telefoninumber (laua- ja/või mobiiltelefon);

e)	e-posti aadress;

f)	elukoha aadress.

2. Nakatunud reisija algse lähtepunkti liikmesriigi EWRSi pädevad asutused võivad saadud reisija asukoha vormi andmed edastada lähteliikmesriigile, mis ei ole reisija asukoha vormis deklareeritud lähteliikmesriik, kui neil on täiendavat teavet selle kohta, milline liikmesriik peaks kontakte jälgima.

3. Kui nakatunud reisija tuvastanud liikmesriigi EWRSi pädevad asutused esitavad reisija asukoha andmevahetusplatvormil hoiatusteate, edastavad nad järgmised reisija asukoha vormi andmed kõikide liikmesriikide EWRSi pädevatele asutustele kõnealuse reisija reisi iga etapi kohta:

a)	iga asjaomase reisi lähtekoht;

b)	iga asjaomase reisi sihtkoht;

c)	iga asjaomase reisi alguskuupäev;

d)	iga asjaomane transpordiliik (nt lennuk, rong, buss, parvlaev, laev);

e)	iga asjaomase transpordivahendi identifitseerimisnumber (nt lennu number, rongi number, bussi registreerimismärk, parvlaeva või laeva nimi);

f)	istekoha/kajuti number igas asjaomases transpordivahendis;

g)	vajaduse korral iga asjaomase transpordivahendi väljumisaeg.

4. Kui hoiatusteate esitanud liikmesriigi EWRSi pädevad asutused saavad nende käsutuses oleva teabe põhjal tuvastada asjaomased liikmesriigid, edastavad nad lõikes 3 loetletud andmed ainult selliste liikmesriikide EWRSi pädevatele asutustele.

5. EWRSi pädevad asutused peavad suutma esitada järgmised epidemioloogilised andmed, kui see on vajalik kontaktide tõhusaks jälgimiseks:

a)	testi liik;

b)	viiruse SARS-CoV-2 variant;

c)	testi tegemise kuupäev;

d)	sümptomite ilmnemise kuupäev.

Artikkel 2c

EWRSi ja ECDC pädevate asutuste kohustused reisija asukoha vormi andmete töötlemisel

1. EWRSi pädevad asutused, kes vahetavad reisija asukoha vormi andmeid ja artikli 2b lõikes 5 osutatud andmeid, on kaasvastutavad töötlejad reisija asukoha andmevahetusplatvormi kaudu kõnealuste andmete sisestamisel ja edastamisel kuni nende vastuvõtmiseni. Kaasvastutavate töötlejate vastavad kohustused jaotatakse vastavalt II lisale. Iga liikmesriik, kes soovib osaleda reisija asukoha vormi andmete piiriüleses vahetamises reisija asukoha andmevahetusplatvormi kaudu, teavitab ECDCd enne liitumist oma kavatsusest ja oma EWRSi pädevast asutusest, kes on määratud vastutavaks töötlejaks.

2. ECDC on reisija asukoha andmevahetusplatvormi kaudu vahetatavate andmete volitatud töötleja. Ta haldab reisija asukoha andmevahetusplatvormi ja tagab selle platvormi kaudu vahetatavate andmete töötlemise, sealhulgas edastamise turvalisuse ning täidab volitatud töötleja kohustusi, mis on sätestatud III lisas.

3. ECDC ja EWRSi pädevad asutused, kellel on juurdepääs reisija asukoha andmevahetusplatvormile, kontrollivad ja hindavad reisija asukoha andmevahetusplatvormil toimuva isikuandmete töötlemise turvalisuse tagamiseks võetavate tehniliste ja organisatsiooniliste meetmete tulemuslikkust korrapäraselt.

4. ECDC kaasab komisjoni alamtöötlejana ja tagab, et komisjoni suhtes kohaldatakse samu andmekaitsekohustusi, mis on sätestatud käesolevas otsuses.“

3)	Artikli 3 lõikes 3 asendatakse sõnad „lisas“ sõnadega „IV lisas“.

4)	Lisas asendatakse pealkiri „LISA“ pealkirjaga „IV LISA“;

5)	I, II ja III lisa lisatakse vastavalt käesoleva otsuse lisale.

Artikkel 2

Käesolev otsus jõustub kolmandal päeval pärast selle avaldamist Euroopa Liidu Teatajas.

Seda kohaldatakse alates 1. juunist 2021.

Brüssel, 27. mai 2021

Komisjoni nimel

president

Ursula VON DER LEYEN

(1) ELT L 293, 5.11.2013, lk 1.

(2) ELT L 337, 14.10.2020, lk 3.

(3) Euroopa Parlamendi ja nõukogu 21. aprilli 2004. aasta määrus (EÜ) nr 851/2004, millega asutatakse haiguste ennetuse ja tõrje Euroopa keskus (ELT L 142, 30.4.2004, lk 1).

(4) Sisenemiskohtades (sadamad, lennujaamad ja maapealsed piiripunktid) valmisolekut ja tegevusi käsitlev ühismeede EU HEALTHY GATEWAYS ühendab 28 Euroopa riiki ja seda rahastatakse kolmandast terviseprogrammist (2014–2020).

(5) Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (ELT L 119, 4.5.2016, lk 1).

(6) Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määrus (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ (ELT L 295, 21.11.2018, lk 39).

LISA

„I LISA

RIIKIDES REISIJA ASUKOHA VORMI KAUDU KOGUTAVAD REISIJA ASUKOHA VORMI MIINIMUMANDMED

Reisija asukoha vorm sisaldab vähemalt järgmisi reisija asukoha andmeid:

eesnimi;

2)	perekonnanimi;

sünniaeg;

4)	telefoninumber (laua- ja/või mobiiltelefon);

5)	e-posti aadress;

6)	elukoha aadress;

7)	kogu reisi lõppkoht või viimane sihtkoht ELis;

järgmine teave iga reisietapi kohta kuni reisija asukoha vormi nõudva liikmesriigini:

a)	väljumiskoht;

b)	saabumiskoht;

c)	väljumiskuupäev;

d)	transpordiliik (nt lennuk, rong, buss, parvlaev, laev);

e)	väljumisaeg;

f)	transpordivahendi identifitseerimisnumber (nt lennu number, rongi number, bussi registreerimismärk, parvlaeva või laeva nimi);

g)	istekoha/kajuti number.

II LISA

REISIJA ASUKOHA ANDMEVAHETUSPLATVORMI KASUTAVATE LIIKMESRIIKIDE KOHUSTUSED KAASVASTUTAVATE TÖÖTLEJATENA

1. JAGU

Vastutusalade jaotus

Iga EWRSi pädev asutus tagab, et reisija asukoha andmevahetusplatvormi kaudu vahetatavate reisija asukoha vormi andmete ja täiendavate epidemioloogiliste andmete töötlemine toimub kooskõlas Euroopa Parlamendi ja nõukogu määrusega (EL) 2016/679 (*). Eelkõige tagab ta, et kõik sisestatavad ja reisija asukoha andmevahetusplatvormi kaudu edastatavad andmed on täpsed ja piiratud käesoleva otsuse artiklis 2b sätestatud andmetega.

Iga EWRSi pädev asutus jääb ainsaks vastutavaks töötlejaks reisija asukoha vormi andmete ja täiendavate epidemioloogiliste andmete kogumisel, kasutamisel, avalikustamisel ja muul viisil töötlemisel väljaspool reisija asukoha andmevahetusplatvormi. iga EWRSi pädev asutus tagab, et andmete edastamine toimub vastavalt reisija asukoha andmevahetusplatvormile kehtestatud tehnilistele kirjeldustele.

Juhiseid volitatud töötlejale tuleb saata kaasvastutavate töötlejate kontaktpunktide kaudu kokkuleppel teiste kaasvastutavate töötlejatega.

Üksnes EWRSi pädevate asutuste volitatud isikutel on juurdepääs reisija asukoha andmevahetusplatvormi kaudu vahetatavatele reisija asukoha vormi andmetele ja täiendavatele epidemioloogilistele andmetele.

Iga EWRSi pädev asutus loob üldpostkastiga varustatud kontaktpunkti, mida kasutatakse teabe vahetamiseks nii kaasvastutavate töötlejate vahel kui ka kaasvastutavate töötlejate ja volitatud töötleja vahel. Kaasvastutavate töötlejate otsustusprotsessi juhib EWRSi terviseohutuse komitee töörühm.

Iga EWRSi pädev asutus lakkab olemast kaasvastutav töötleja alates kuupäevast, mil ta loobub reisija asukoha andmevahetusplatvormil osalemisest. Ta jääb siiski vastutavaks selliste reisija asukoha vormi andmete ja täiendavate epidemioloogiliste andmete kogumise ja edastamise eest, mis toimus reisija asukoha andmevahetusplatvormi kaudu enne tema loobumist.

Iga EWRSi pädev asutus peab registrit oma vastutusalasse kuuluvate töötlemistoimingute kohta. Registrisse võib märkida kaasvastutuse.

2. JAGU

Andmesubjektide taotluste käsitlemise ja teavitamisega seotud ülesanded ja vastutusvaldkonnad

Reisija asukoha vormi täitmist nõudev EWRSi pädev asutus annab kooskõlas määruse (EL) 2016/679 artiklitega 13 ja 14 piiriülestele reisijatele (edaspidi „andmesubjektid“) teavet nende reisija asukoha vormi ja epidemioloogiliste andmete vahetamise asjaolude kohta reisija asukoha andmevahetusplatvormi kaudu kontaktide jälgimise eesmärgil.

Iga EWRSi pädev asutus tegutseb andmesubjektide kontaktpunktina ja käsitleb andmesubjektide või nende esindajate esitatud taotlusi seoses nende õiguste kasutamisega vastavalt määrusele (EL) 2016/679. Iga EWRSi pädev asutus määrab andmesubjektidelt saadud taotlustega tegelemiseks sihtotstarbelise kontaktpunkti. Kui EWRSi pädev asutus saab andmesubjektilt taotluse, mis ei kuulu tema vastutusalasse, edastab ta selle viivitamata vastutavale EWRSi pädevale asutusele ja teavitab ECDCd. Taotluse korral abistavad EWRSi pädevad asutused üksteist nende andmesubjektide taotluste käsitlemisel, mis on seotud kaasvastutusega, ning vastavad üksteisele põhjendamatu viivituseta ja hiljemalt 15 päeva jooksul alates abitaotluse saamisest.

Iga EWRSi pädev asutus teeb andmesubjektidele kättesaadavaks käesoleva lisa sisu, sealhulgas punktides 1 ja 2 sätestatud korra.

3. JAGU

Turvaintsidentide, sealhulgas isikuandmetega seotud rikkumiste haldamine

EWRSi pädevad asutused kui kaasvastutavad töötlejad abistavad üksteist reisija asukoha andmevahetusplatvormi kaudu vahetatavate reisija asukoha vormi ja epidemioloogiliste andmete töötlemisega seotud turvaintsidentide, sealhulgas isikuandmetega seotud rikkumiste kindlakstegemisel ja käsitlemisel.

Eelkõige teavitavad nad üksteist ja ECDCd järgmisest:

a)	reisija asukoha andmevahetusplatvormil töödeldavate reisija asukoha vormi ja epidemioloogiliste andmete kättesaadavuse, konfidentsiaalsuse ja/või terviklusega seotud võimalikud või tegelikud ohud;

kõik isikuandmetega seotud rikkumised, andmetega seotud rikkumise tõenäolised tagajärjed ja füüsiliste isikute õigusi ja vabadusi ähvardava ohu hindamine ning kõik meetmed, mis on võetud isikuandmetega seotud rikkumise käsitlemiseks ning füüsiliste isikute õigusi ja vabadusi ähvardava riski maandamiseks;

c)	reisija asukoha andmevahetusplatvormi töötlemistoimingutega seotud tehniliste ja/või organisatsiooniliste kaitsemeetmete rikkumine.

EWRSi pädevad asutused teavitavad ECDCd, pädevaid järelevalveasutusi ja vajaduse korral andmesubjekte kooskõlas määruse (EL) 2016/679 artiklitega 33 ja 34 või pärast ECDC-lt teate saamist kõigist isikuandmetega seotud rikkumistest, mis leiavad aset reisija asukoha andmevahetusplatvormi toimimise käigus.

Iga EWRSi pädev asutus rakendab asjakohaseid tehnilisi ja korralduslikke meetmeid, mille eesmärk on:

a)	tagada ja kaitsta ühiselt töödeldavate isikuandmete turvet, terviklust, kättesaadavust ja konfidentsiaalsust;

b)	kaitsta tema valduses olevaid isikuandmeid loata või ebaseadusliku töötlemise, kaotsimineku, kasutamise, avalikustamise või omandamise või neile juurdepääsu eest;

c)	tagada, et juurdepääsu isikuandmetele ei avaldataks ega lubataks mitte kellelegi teisele peale vastuvõtjate või volitatud töötlejate.

4. JAGU

Andmekaitsealane mõjuhinnang

Kui vastutav töötleja vajab määruse (EL) 2016/679 artiklites 35 ja 36 sätestatud kohustuste täitmiseks teavet teiselt vastutavalt töötlejalt, saadab ta eritaotluse 1. jao 1. alajao punktis 5 osutatud üldpostkasti. Vastutav töötleja, kellele eritaotlus esitatakse, teeb asjaomase teabe andmiseks kõik endast oleneva.

III LISA

ECDC KUI REISIJA ASUKOHA ANDMEVAHETUSPLATVORMI VOLITATUD TÖÖTLEJA KOHUSTUSED

ECDC loob ja tagab turvalise ja usaldusväärse sidetaristu, mis ühendab reisija asukoha andmevahetusplatvormi kasutavate liikmesriikide EWRSi pädevaid asutusi.

ECDC kasutab reisija asukoha andmevahetusplatvormi järgmiselt:

a)	määrab kindlaks tehniliste nõuete miinimumkogumi, et võimaldada riiklikesse reisija asukoha vormi andmebaasidesse sujuvat ja turvalist sisenemist ja sealt väljumist;

b)	tagab riiklike reisija asukoha vormi andmebaaside koostalitlusvõime turvalisel ja automaatsel viisil.

Oma kohustuste täitmiseks reisija asukoha andmevahetusplatvormi volitatud töötlejana võib ECDC kaasata komisjoni alamtöötlejana ja tagab, et komisjoni suhtes kohaldatakse samu andmekaitsekohustusi, mis on sätestatud käesolevas otsuses.

ECDC võib volitada komisjoni kaasama kolmandate isikutena täiendavaid alamtöötlejaid.

Kui komisjon kaasab alamtöötlejaid, teeb ECDC järgmist:

a)	tagab, et nende alamtöötlejate suhtes kohaldatakse samu andmekaitsekohustusi, mis on sätestatud käesolevas otsuses;

b)	teavitab vastutavaid töötlejaid kõikidest kavandatavatest muudatustest seoses teiste alamtöötlejate lisamise või asendamisega, andes sellega vastutavatele töötlejatele võimaluse esitada selliste muudatuste suhtes lihthäälteenamusega vastuväiteid.

ECDC:

a)	loob ja tagab turvalise ja usaldusväärse sidetaristu, mis ühendab reisija asukoha andmevahetusplatvormi kasutavate liikmesriikide EWRSi pädevaid asutusi;

töötleb reisija asukoha vormi ja täiendavaid epidemioloogilisi andmeid üksnes vastutavate töötlejate dokumenteeritud juhiste alusel, välja arvatud juhul, kui nõutakse töötlemist liidu õiguse alusel. Sel juhul teatab ECDC sellest õiguslikust nõudest enne isikuandmete töötlemist vastutavatele töötlejatele, kui selline teatamine ei ole olulise avaliku huvi tõttu kõnealuse õigusega keelatud;

c)	kehtestab turvaplaani, talitluspidevuse kava ja avariitaastekava;

d)	võtab vajalikud meetmed, et säilitada töödeldud reisijaasukohavormi ja täiendavate epidemioloogiliste andmete terviklikkus;

võtab reisija asukoha andmevahetusplatvormi haldamiseks kõik organisatsioonilised, füüsilised ja elektroonilised turvameetmed, mida tehnika tase võimaldab. Sel eesmärgil teeb ECDC järgmist:

i)	määrab reisija asukoha andmevahetusplatvormi infoturbe eest vastutava üksuse, edastab vastutavatele töötlejatele selle kontaktandmed ja tagab, et üksus on turvaohtudele reageerimiseks kättesaadav;

ii)	vastutab reisija asukoha andmevahetusplatvormi turvalisuse eest;

iii)	tagab, et kõikide isikute suhtes, kellele antakse reisija asukoha andmevahetusplatvormile juurdepääs, kehtib lepinguline, ametialane või seadusjärgne konfidentsiaalsuskohustus;

võtab kõik vajalikud turvameetmed, et mitte ohustada reisija asukoha andmevahetusplatvormi tõrgeteta toimimist. Selleks kehtestab ECDC erimenetlused, mis on seotud reisija asukoha andmevahetusplatvormi toimimisega ning ühenduse loomisega põhiserverite ja reisija asukoha andmevahetusplatvormi vahel. Need on:

i)	riskihindamismenetlus, et teha kindlaks süsteemi võimalikud ohud ja neid hinnata;

ii)

auditeerimis- ja läbivaatamismenetlus, et:

1)	kontrollida rakendatud turvameetmete ja kohaldatava turbepoliitika vastavust;

2)	korrapäraselt kontrollida süsteemifailide, turvaparameetrite ja antud lubade terviklust;

3)	avastada ja jälgida turvarikkumisi ja sissetunge;

4)	teha muudatusi, et vältida olemasolevaid turvapuudusi;

5)	anda luba, sealhulgas vastutavate töötlejate taotluse korral, korraldada sõltumatuid auditeid, sealhulgas kontrolle, ja vaadata läbi julgeolekumeetmed, tingimusel et järgitakse Euroopa Liidu toimimise lepingu protokolli (nr 7) Euroopa Liidu privileegide ja immuniteetide kohta (2);

iii)	muudatuse haldamise menetlus, et dokumenteerida ja mõõta muudatuse mõju enne selle rakendamist ning teavitada vastutavaid töötlejaid kõigist muudatustest, mis võivad mõjutada teabevahetust teiste riiklike taristutega ja/või nende turvalisust;

iv)	hooldus- ja remondimenetluse kehtestamine, et täpsustada seadmete hoolduse ja/või remondi korral kohaldatavaid eeskirju ja tingimusi;

turvaintsidentide korral kasutatava menetluse kehtestamine, et määrata kindlaks aruandlus- ja eskalatsioonikava, teavitada viivitamata vastutavaid töötlejaid, et nad saaksid teatada riiklikele andmekaitse järelevalveasutustele igast isikuandmetega seotud rikkumisest, ning määrata kindlaks distsiplinaarmenetlus turvarikkumistega tegelemiseks;

rakendab tipptasemel füüsilisi ja/või elektroonilisi turvameetmeid ruumides, kus asuvad reisija asukoha andmevahetusplatvormi seadmed, ning andmete kontrolli ja juurdepääsukontrolli puhul. Sel eesmärgil teeb ECDC järgmist:

i)	tagab füüsilise julgeoleku, et määrata eraldavad turvaperimeetrid ja võimaldada rikkumiste avastamist;

ii)	kontrollib juurdepääsu ruumidele ja peab jälgimise eesmärgil külastajate registrit;

iii)	tagab, et väliseid isikuid, kellele on antud juurdepääs ruumidele, saadavad nõuetekohaselt volitatud töötajad;

iv)	tagab, et seadmeid ei saa lisada, asendada ega eemaldada ilma selleks määratud vastutavate asutuste eelneva loata;

v)	kontrollib juurdepääsu riiklikest reisija asukoha vormi süsteemidest reisija asukoha andmevahetusplatvormile ja vastupidi;

vi)	tagab reisija asukoha andmevahetusplatvormile juurdepääsu omavate isikute identimise ja autentimise;

vii)	vaatab reisija asukoha andmevahetusplatvormi mõjutava turvanõuete rikkumise korral uuesti läbi sellele taristule juurdepääsuga seotud loa andmise õigused;

viii)

rakendab tehnilisi ja organisatsioonilisi turvameetmeid, et hoida ära loata juurdepääs reisija asukoha vormi andmetele ja epidemioloogilistele andmetele;

ix)	rakendab vajaduse korral meetmeid, et blokeerida loata juurdepääs reisija asukoha andmevahetusplatvormile riiklike kontaktpunktide domeenist (st blokeerida asukoht/IP-aadress);

h)	võtab meetmeid (sealhulgas ühenduste katkestamine), et kaitsta oma domeeni olulise kõrvalekalde korral kvaliteedi- või turvapõhimõtetest ja -kontseptsioonidest;

i)	haldab oma vastutusalaga seotud riskijuhtimiskava;

j)	jälgib reisija asukoha andmevahetusplatvormi kõigi teenusekomponentide toimimist reaalajas, koostab korrapäraselt statistikat ja registreerib toiminguid;

k)	tagab teenuse kättesaadavuse ööpäev läbi ning hooldustööde tegemise mõistliku aja piires;

pakub reisija asukoha andmevahetusplatvormi kõigi teenuste puhul inglise keeles tuge telefoni, posti või veebiportaali kaudu ning võtab vastu kõnesid selleks loa saanud helistajatelt, kes on reisija asukoha andmevahetusplatvormi koordinaatorid ja nende vastava kasutajatoe töötajad, projektiametnikud ja ECDCst määratud isikud;

m)	abistab vastutavaid töötlejaid asjakohaste tehniliste ja organisatsiooniliste meetmetega, niivõrd kui see on võimalik, et nad saaksid täita vastutava töötleja kohustust vastata määruse (EL) 2016/679 III peatükis sätestatud taotlustele andmesubjekti õiguste kasutamiseks;

n)	toetab vastutavaid töötlejaid, andes teavet reisija asukoha andmevahetusplatvormi kohta, et täita määruse (EL) 2016/679 artiklites 32, 35 ja 36 sätestatud kohustusi;

o)	tagab, et reisija asukoha andmevahetusplatvormi kaudu edastatavad reisija asukoha vormi ja epidemioloogilised andmed on eelkõige tänu tugevale krüpteerimisele loetamatud kõigile isikutele, kellel ei ole juurdepääsuõigust;

p)	võtab kõik asjakohased meetmed, et hoida ära reisija asukoha andmevahetusplatvormi operaatorite loata juurdepääs edastatavatele reisija asukoha vormi andmetele ja epidemioloogilistele andmetele;

q)	võtab meetmeid, et hõlbustada reisija asukoha andmevahetusplatvormi jaoks määratud vastutavate töötlejate koostalitlust ja suhtlust;

r)	peab registrit vastutavate töötlejate nimel tehtud töötlemistoimingute kohta vastavalt Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1725 artikli 31 lõikele 2.

“

(*) Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (ELT L 119, 4.5.2016, lk 1).