DÉCISION D’EXÉCUTION (UE) 2021/1212 DE LA COMMISSION

du 22 juillet 2021

modifiant la décision d’exécution (UE) 2017/253 en ce qui concerne les alertes déclenchées par des menaces transfrontières graves pour la santé et la recherche des contacts de personnes exposées identifiées dans le cadre du remplissage de formulaires de localisation des passagers

(Texte présentant de l’intérêt pour l’EEE)

LA COMMISSION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne,

vu la décision no 1082/2013/UE du Parlement européen et du Conseil du 22 octobre 2013 relative aux menaces transfrontières graves sur la santé et abrogeant la décision no 2119/98/CE (1), et notamment son article 8, paragraphe 2,

considérant ce qui suit:

(1)

La décision d’exécution (UE) 2021/858 de la Commission (2) a modifié la décision d’exécution (UE) 2017/253 (3) en créant une infrastructure technique appelée «plateforme d’échange de formulaires de localisation des passagers» et destinée à permettre l’échange sécurisé, rapide et efficace de données à caractère personnel collectées au moyen d’un formulaire de localisation des passagers (ci-après le «PLF») entre les autorités compétentes du système d’alerte précoce et de réaction (ci-après le «SAPR») des États membres. Cette infrastructure technique autorise la transmission, d’une manière interopérable et automatique, d’informations depuis les systèmes nationaux de formulaires numériques de localisation des passagers existant dans les États membres vers d’autres autorités compétentes du SAPR.

(2)

La plateforme d’échange de formulaires de localisation des passagers autorise les autorités compétentes du SAPR des États membres à échanger des ensembles bien définis de données collectées au moyen de PLF, à la seule fin de la recherche, par ces autorités, des contacts des personnes exposées au SARS-CoV-2. Elle permet l’échange d’autres données épidémiologiques limitées nécessaires à la recherche des contacts, conformément au principe de minimisation du traitement de données à caractère personnel.

(3)

À l’heure actuelle, la décision d’exécution (UE) 2017/253 ne permet pas l’échange de données à caractère personnel des personnes qui ont rempli un PLF et ont été en contact étroit (4) avec un passager infecté qui a également rempli un PLF, même si l’échange de ces données est nécessaire à une recherche efficace des contacts, requise en vertu de l’article 9, paragraphe 1, de la décision no 1082/2013/UE, à la suite de l’identification d’un cas positif de COVID-19.

(4)

L’échange de données relatives aux personnes exposées est nécessaire lorsque ces personnes séjournent pour une durée limitée dans une destination donnée et que, par conséquent, les autorités compétentes du SAPR de l’État membre de destination ne sont pas en mesure de les contacter et de les tester pendant leur séjour. Cet échange de données est également nécessaire lorsque les autorités du SAPR de l’État membre de résidence sont compétentes pour contacter les personnes exposées et leur donner des instructions supplémentaires. Dans de telles situations, et pour autant que ces personnes aient également rempli des PLF, l’État membre qui a identifié un passager infecté et a mis en place des mesures de recherche des contacts devrait utiliser la plateforme d’échange de formulaires de localisation des passagers pour envoyer des alertes aux États membres de départ initial et de dernier départ ou à l’État membre de résidence de ces personnes exposées. Les données à caractère personnel à échanger dans de tels cas devraient se limiter aux données d’identification et aux coordonnées.

(5)	Afin de garantir une distinction claire entre les données à caractère personnel relatives aux passagers infectés et celles relatives aux personnes exposées, les autorités compétentes du SAPR devraient indiquer si les données échangées concernent un passager infecté ou une personne exposée.

(6)	L’échange de données à caractère personnel des personnes exposées devrait être soumis aux mêmes exigences en matière de protection des données à caractère personnel que celles qui s’appliquent à l’échange des données des passagers infectés.

(7)

Les autorités compétentes du SAPR ne devraient partager les données dont elles disposent et qui sont liées aux étapes pour lesquelles les États membres collectent des informations dans leurs PLF que lorsque cela est nécessaire pour identifier les personnes exposées. Il convient de préciser qu’il n’y a pas d’obligation, pour les États membres, de collecter des informations pour toutes les étapes d’un trajet.

(8)

Les systèmes nationaux de formulaire de localisation des passagers des États membres peuvent être temporairement indisponibles dans certaines situations, par exemple en raison de perturbations techniques. Dans ces cas, les autorités compétentes du SAPR devraient être en mesure d’échanger, au moyen de la plateforme d’échange de formulaires de localisation des passagers, le même ensemble de données à caractère personnel provenant de sources autres que leurs PLF nationaux, à savoir des transporteurs, du passager infecté ou des personnes exposées. La collecte de données à caractère personnel à partir de ces sources devrait être fondée sur le droit national et être conforme au règlement (UE) 2016/679 du Parlement européen et du Conseil (5).

(9)

L’annexe I de la décision d’exécution (UE) 2021/858 définit l’ensemble minimal de données à recueillir au moyen du formulaire national de localisation des passagers qui est nécessaire pour une recherche transfrontière efficace des contacts sur la base des données des PLF. Il y a lieu de préciser à l’annexe I que les lieux de départ et d’arrivée ainsi que l’heure de départ ne sont pas nécessaires lorsque ces informations peuvent être déduites du numéro d’identification du moyen de transport, étant donné que ces informations sont suffisantes aux fins de la recherche des contacts.

(10)	Il y a donc lieu de modifier la décision d’exécution (UE) 2017/253 en conséquence.

(11)	Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 et a rendu un avis le 13 juillet 2021.

(12)	Les mesures prévues par la présente décision sont conformes à l’avis du comité sur les menaces transfrontières graves pour la santé, institué par l’article 18 de la décision no 1082/2013/UE,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier

La décision d’exécution (UE) 2017/253 est modifiée comme suit:

À l’article 2 bis, paragraphe 1, le premier alinéa est remplacé par le texte suivant:

«Une plateforme pour l’échange sécurisé des données des formulaires de localisation de passagers infectés et de personnes exposées à la seule fin de la recherche des contacts des personnes exposées au SARS-CoV-2 par les autorités compétentes du SAPR (ci-après la «plateforme d’échange de formulaires de localisation des passagers») est établie dans le cadre du SAPR en complément de la fonctionnalité de messagerie sélective existant dans ce système.»

L’article 2 ter est modifié comme suit:

au paragraphe 1, la phrase introductive est remplacée par le texte suivant:

«1. Lorsqu’elles notifient une alerte sur la plateforme d’échange de formulaires de localisation des passagers, les autorités compétentes du SAPR de l’État membre où le passager infecté a été détecté transmettent les données des formulaires de localisation des passagers suivantes aux autorités compétentes du SAPR de l’État membre de départ initial du passager infecté, ou aux autorités compétentes du SAPR de l’État membre de sa résidence si le lieu de résidence diffère du lieu de départ initial, ou à l’État membre de dernier départ du passager infecté, lorsque l’État membre en question exige uniquement le remplissage d’un PLF pour la dernière étape d’un trajet:»;

les paragraphes suivants sont insérés:

«1bis. Au moyen de la plateforme d’échange de formulaires de localisation des passagers, les autorités compétentes du SAPR transmettent également les données des PLF visées au paragraphe 1 des personnes exposées aux autorités compétentes du SAPR des États membres de départ initial ou de résidence de ces personnes, ou à l’État membre du dernier départ du passager infecté, lorsque l’État membre en question exige le remplissage d’un PLF pour la dernière étape d’un trajet uniquement, à condition que ces données aient été collectées dans le cadre d’une recherche des contacts effectuée après l’identification d’un passager infecté et que leur transmission soit nécessaire à la recherche des contacts.

1ter Les autorités compétentes du SAPR qui transmettent les données visées aux paragraphes 1 et 1 bis indiquent s’il s’agit d’un passager infecté ou d’une personne exposée.»

Le paragraphe 2 est remplacé par le texte suivant:

«2. Les autorités compétentes du SAPR de l’État membre de départ initial ou de dernier départ du passager infecté ou de la personne exposée peuvent transmettre les données des formulaires de localisation des passagers reçues à un État membre de départ autre que l’État membre de départ déclaré dans le formulaire lorsqu’elles disposent d’informations supplémentaires indiquant quel État membre devrait effectuer la recherche des contacts.»

Le paragraphe 3 est modifié comme suit:

la partie introductive est remplacée par le texte suivant:

«Lorsqu’elles notifient une alerte sur la plateforme d’échange de formulaires de localisation des passagers, et si cela s’avère nécessaire pour identifier les personnes exposées, les autorités compétentes du SAPR de l’État membre où le passager infecté a été détecté transmettent les données des formulaires de localisation des passagers suivantes, relatives à chaque étape disponible du trajet du passager, aux autorités compétentes du SAPR de tous les États membres:»;

ii)

les points a) et b) sont remplacés par le texte suivant:

«a)	le lieu de départ de chaque transport concerné, sauf s’il peut être déterminé au moyen des informations visées au point e);

b)	le lieu d’arrivée de chaque transport concerné, sauf s’il peut être déterminé au moyen des informations visées au point e);»;

iii)

le point g) est remplacé par le texte suivant:

«g)	l’heure de départ de chaque transport concerné, sauf si elle peut être déterminée au moyen des informations visées au point e).»

Le paragraphe suivant est ajouté:

«6. Lorsque le système national de formulaire de localisation des passagers est temporairement indisponible, les autorités compétentes du SAPR de l’État membre qui a recueilli les données à caractère personnel visées aux paragraphes 1, 3 et 5 auprès des transporteurs, du passager infecté ou de la personne exposée sur la base du droit national peuvent transmettre ces données via la plateforme d’échange de formulaires de localisation des passagers à des fins de recherche des contacts pendant la période d’indisponibilité temporaire.»

3)	L’annexe I est modifiée conformément à l’annexe de la présente décision.

Article 2

La présente décision entre en vigueur le troisième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Fait à Bruxelles, le 22 juillet 2021.

Par la Commission

La présidente

Ursula VON DER LEYEN

(1) JO L 293 du 5.11.2013, p. 1.

(2) Décision d’exécution (UE) 2021/858 de la Commission du 27 mai 2021 modifiant la décision d’exécution (UE) 2017/253 en ce qui concerne les alertes déclenchées par des menaces transfrontières graves pour la santé et la recherche des contacts de passagers identifiés au moyen de formulaires de localisation des passagers (JO L 188 du 28.5.2021, p. 106)

(3) Décision d’exécution (UE) 2017/253 de la Commission du 13 février 2017 établissant des procédures de notification d’alertes dans le cadre du système d’alerte précoce et de réaction créé pour faire face aux menaces transfrontières graves pour la santé et permettre l’échange d’informations, la consultation et la coordination des réactions à ces menaces conformément à la décision no 1082/2013/UE du Parlement européen et du Conseil (JO L 37 du 14.2.2017, p. 23).

(4) Le Centre européen de prévention et de contrôle des maladies (ECDC) a fourni des orientations sur la définition à donner d’un contact étroit. Voir le document de l’ECDC du 18 novembre 2020 intitulé «Recherche des contacts: gestion par les autorités de santé publique des personnes, y compris des professionnels de santé, ayant été en contact avec des cas de COVID-19 dans l’Union européenne – troisième mise à jour».

(5) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).