(1)

La détection d’un cas positif de COVID-19 à la suite d’un trajet transfrontière donné remplit les critères fixés à l’article 9, paragraphe 1, de la décision no 1082/2013/UE, étant donné qu’il s’agit d’une menace qui peut encore entraîner une mortalité importante chez l’homme, qui peut se développer rapidement, qui concerne plus d’un État membre, et qui peut nécessiter une réaction coordonnée au niveau de l’Union. Conformément au paragraphe 23 de la recommandation (UE) 2020/1475 du 13 octobre 2020 relative à une approche coordonnée de la restriction de la libre circulation en réaction à la pandémie de COVID-19 (2), il convient que les informations sur les cas de COVID-19 détectés à l’arrivée d’une personne sur le territoire d’un État membre soient immédiatement partagées avec les autorités de santé publique des pays dans lesquels la personne concernée a séjourné au cours des 14 jours précédents à des fins de recherche des contacts, au moyen du système d’alerte précoce et de réaction (ci-après le «SAPR») établi à l’article 8 de la décision no 1082/2013/UE et géré par le Centre européen de prévention et de contrôle des maladies (ci-après l’«ECDC»).

(2)

En application de la recommandation (UE) 2020/1475, les États membres pourraient imposer aux personnes entrant sur leur territoire de soumettre des formulaires de localisation des passagers, dans le respect des exigences en matière de protection des données.

(3)

En imposant le remplissage de formulaires nationaux de localisation des passagers dans différents formats, les États membres recueillent les données des formulaires de localisation des passagers présentés par les passagers transfrontières entrant sur leur territoire. Ces données peuvent notamment être utilisées dans le cas où une personne qui a rempli un formulaire de localisation des passagers est identifiée comme un cas de COVID-19. Les données recueillies dans ce formulaire sont alors utilisées pour établir le trajet de cette personne et transmettre des informations pertinentes aux États membres qui doivent appliquer des procédures de recherche des contacts relatives aux personnes qui pourraient avoir été exposés au passager infecté.

(4)

Les autorités de santé publique de certains États membres échangent déjà entre elles des données à caractère personnel recueillies au moyen de formulaires nationaux de localisation des passagers à des fins de recherche des contacts dans le contexte de la pandémie de COVID-19. Elles procèdent notamment à ces échanges au moyen de l’infrastructure technique actuelle fournie dans le cadre du SAPR.

(5)

L’infrastructure technique actuellement fournie dans le cadre du SAPR n’est pas encore capable de prendre en charge le volume de données des formulaires de localisation des passagers généré par l’utilisation systématique et à grande échelle de ces formulaires. Par exemple, elle n’assure pas la concordance entre les différents formats nationaux et impose une saisie manuelle des données, ce qui nuit à la rapidité et à l’efficacité de la recherche des contacts. C’est notamment le cas lorsque la recherche des contacts doit être exécutée relativement à des passagers transfrontières qui ont utilisé des moyens de transport collectif pour lesquels les places sont attribuées à l’avance, tels que des aéronefs, certains trains, des traversiers et des navires de croisière, dans lesquels le nombre de passagers exposés et la durée d’exposition à un passager infecté pourraient être importants.

(6)

Par conséquent, il convient de mettre en place une infrastructure technique, appelée «plateforme d’échange de formulaires de localisation des passagers», afin de permettre l’échange sécurisé, rapide et efficace de données entre les autorités compétentes du SAPR des États membres, en autorisant la transmission, d’une manière interopérable et automatique, d’informations depuis les systèmes nationaux de formulaires numériques de localisation des passagers existants vers d’autres autorités compétentes du SAPR. Cette infrastructure devrait s’appuyer sur la plateforme déjà mise en place par l’Agence de l’Union européenne pour la sécurité aérienne (AESA), celle-ci ne jouant aucun rôle dans le contexte du traitement des données à caractère personnel via la plateforme d’échange de formulaires de localisation des passagers prévue dans la présente décision d’exécution. La plateforme d’échange de formulaires de localisation des passagers devrait également permettre l’échange de données épidémiologiques limitées, nécessaires à la recherche des contacts, conformément à l’article 9, paragraphe 3, de la décision no 1082/2013/UE. Afin d’éviter un chevauchement d’activités ou la réalisation d’actions contradictoires avec celles qui sont prises par les structures et mécanismes existants en matière de surveillance des menaces transfrontières graves pour la santé, d’alerte précoce dans le cas où de telles menaces se produiraient et de lutte contre celles-ci, la plateforme d’échange de formulaires de localisation des passagers devrait être mise en place dans le cadre du SAPR en tant que complément de la fonctionnalité de messagerie sélective existante de ce système.

(7)

La plateforme d’échange de formulaires de localisation des passagers devrait être gérée par l’ECDC conformément à l’article 8 du règlement (CE) no 851/2004 du Parlement européen et du Conseil (3).

(8)

La plateforme d’échange de formulaires de localisation des passagers ne devrait stocker ni les données des formulaires ni les données épidémiologiques destinées à être échangées.

(9)

Si un État membre ne possède pas de système national de formulaires numériques de localisation des passagers, il pourrait utiliser le système de fiches de traçabilité numérique des passagers de l’Union européenne développé par l’action conjointe «Healthy Gateways» de l’UE à la demande de la Commission (convention de subvention no 801493) (4). L’objectif de ce système de fiches de traçabilité numérique des passagers de l’Union européenne est de créer un point d’entrée et une base de données uniques pour la collecte des formulaires de localisation des passagers. À l’avenir, le système de fiches de traçabilité numérique des passagers de l’Union européenne devrait être relié à la plateforme d’échange de formulaires de localisation des passagers dans l’unique but de permettre l’échange de données entre les États membres disposant de leurs propres systèmes nationaux de formulaires numériques de localisation des passagers, d’une part, et les États membres utilisant le système de fiches de traçabilité numériques des passagers de l’Union européenne, d’autre part. La présente décision ne couvre pas l’établissement du système de fiches de traçabilité numériques des passagers de l’Union européenne et elle ne régit pas le traitement des données à caractères personnel y afférent.

(10)

La présente décision ne régit pas l’établissement de formulaires nationaux de localisation des passagers, qui relève de l’autorité des États membres. Les États membres sont libres de choisir s’ils collectent les formulaires de localisation de tous les passagers entrant sur leur territoire, ou seulement de ceux dont ils sont la destination finale. Pour que la recherche transfrontière des contacts reposant sur les données des formulaires de localisation des passagers soit efficace, il convient que les États membres recueillent un ensemble commun minimal de données des formulaires de localisation des passagers au moyen de leurs formulaires nationaux de localisation des passagers. Il convient, par conséquent, de fixer cet ensemble minimal de données des formulaires de localisation des passagers. En outre, pour des raisons d’efficacité en matière de coût, de durabilité et de sécurité accrue de la solution, les États membres devraient envisager d’adopter une approche commune sur la question de savoir s’il y a lieu de demander des formulaires de localisation des passagers à tous les passagers, y compris à ceux en transit, ou uniquement aux passagers ayant pour destination finale l’État membre concerné.

(11)

La plateforme d’échange de formulaires de localisation des passagers devrait être utilisée de manière volontaire et les États membres devraient être libres de notifier des alertes au moyen de l’infrastructure technique existante du SAPR, sur une base temporaire et à condition de ne pas nuire à l’objectif de recherche des contacts.

(12)

Les autorités compétentes du SAPR devraient uniquement échanger des ensembles de données bien définis recueillis au moyen de leurs formulaires de localisation des passagers ainsi que d’autres données épidémiologiques limitées nécessaires à la recherche des contacts, conformément au principe de minimisation du traitement de données à caractère personnel. Lorsque l’État membre qui notifie une alerte relative à un passager infecté est en mesure d’identifier tous les États membres concernés sur la base des données des formulaires de localisation des passagers à sa disposition, il ne devrait transmettre des informations qu’aux autorités compétentes du SAPR de ces États membres. C’est le cas, par exemple, lorsque l’État membre qui identifie le passager infecté recueille les formulaires de localisation de tous les passagers, y compris des passagers en transit, arrivant sans escale sur son territoire depuis le lieu de départ initial.

(13)

Lorsqu’il est détecté qu’un passager est infecté par le SARS-CoV-2 dans un État membre, les autorités compétentes du SAPR de cet État membre devraient être en mesure de partager, avec les autorités compétentes du SAPR de l’État membre de départ, un ensemble limité de données extraites des formulaires de localisation des passagers, qui devrait être strictement défini quant aux éléments qui sont nécessaires pour effectuer une recherche des contacts des personnes exposées dans l’État membre de départ, ou de résidence s’il diffère de l’État membre de départ, à savoir l’identité et les coordonnées du passager infecté.

(14)

En outre, lorsqu’il est détecté qu’un passager est infecté par le SARS-CoV-2 dans un État membre, les autorités compétentes du SAPR de cet État membre devraient également être en mesure de partager un ensemble limité de données avec les autorités compétentes du SAPR de tous les États membres, ou des États membres concernés si elles disposent d’informations leur permettant de déterminer quels sont ces États membres. Les données devraient être limitées au lieu de départ, au lieu d’arrivée, à la date de départ, au moyen de transport utilisé (par exemple avion, train, car, traversier, navire), au numéro d’identification du service de transport (à savoir le numéro de vol, le numéro de train, la plaque d’immatriculation du car, le nom du traversier ou du navire), au numéro de siège ou de cabine du passager infecté ainsi qu’à l’heure de départ dans le cas où les données susmentionnées ne suffisent pas à identifier le moyen de transport. Ces données devraient permettre aux autorités compétentes du SAPR qui les reçoivent de déterminer si les passagers exposés sont arrivés sur leur territoire et, dans l’affirmative, d’effectuer une recherche des contacts.

(15)

Lorsqu’elles partagent des données avec d’autres autorités compétentes du SAPR au moyen de la plateforme d’échange de formulaires de localisation des passagers, les autorités compétentes du SAPR concernées devraient être en mesure d’ajouter des renseignements épidémiologiques, limités à ce qui est nécessaire pour réaliser la recherche des contacts, à savoir le type du test de dépistage de la COVID-19 effectué, le variant du virus SARS-CoV-2 ainsi que la date de l’échantillonnage et la date d’apparition des symptômes.

(16)

Le traitement des données à caractère personnel des passagers infectés échangées au moyen de la plateforme d’échange de formulaires de localisation des passagers doit être réalisé par les autorités compétentes du SAPR conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil (5). Le traitement des données à caractère personnel sous la responsabilité de l’ECDC en tant que gestionnaire de la plateforme d’échange de formulaires de localisation des passagers à des fins de recherche des contacts et de la Commission en tant que sous-traitant ultérieur de celui-ci doit être conforme au règlement (UE) 2018/1725 du Parlement européen et du Conseil (6).

(17)

La base juridique de l’échange des données à caractère personnel des passagers infectés, y compris les données concernant la santé, entre les autorités compétentes du SAPR aux fins de la recherche des contacts est établie à l’article 9, paragraphe 1, et à l’article 9, paragraphe 3, point i), de la décision no 1082/2013/UE, conformément à l’article 6, paragraphe 1, point c), et à l’article 9, paragraphe 2, point i), du règlement (UE) 2016/679. La présente décision devrait prévoir des mesures appropriées et spécifiques en vue de préserver les droits et les libertés de la personne concernée. Parmi celles-ci devraient figurer des mesures définissant les ensembles de données qu’il est nécessaire d’échanger, les autorités compétentes du SAPR avec lesquelles les données devraient être échangées selon les différents cas, les mesures de sécurité appropriées, y compris le cryptage, ainsi que les modalités de traitement des données entre les autorités nationales compétentes au moyen de la plateforme d’échange de formulaires de localisation des passagers au sein de l’Union européenne.

(18)

Les autorités compétentes du SAPR participant à la plateforme d’échange de formulaires de localisation des passagers déterminent ensemble la finalité et les moyens du traitement des données à caractère personnel sur la plateforme, et sont, par conséquent, responsables conjointes de ce traitement. L’article 26 du règlement (UE) 2016/679 impose aux responsables conjoints du traitement de définir de manière transparente leurs obligations respectives aux fins d’assurer le respect des exigences dudit règlement. Cet article prévoit également la possibilité que ces responsabilités soient définies par le droit de l’Union ou par le droit de l’État membre auquel les responsables du traitement sont soumis. Par conséquent, la présente décision devrait déterminer les responsabilités et les rôles respectifs des responsables conjoints du traitement.

(19)

L’ECDC, en tant que fournisseur de solutions techniques et organisationnelles pour la plateforme d’échange de formulaires de localisation des passagers, traite les données des formulaires et les données épidémiologiques au nom des États membres participant à la plateforme en tant que responsables conjoints du traitement, et constitue donc un sous-traitant au sens de l’article 3, paragraphe 12, du règlement (UE) 2018/1725. Conformément à l’article 28 du règlement (UE) 2016/679 et à l’article 29 du règlement (UE) 2018/1725, le traitement par un sous-traitant doit être régi par un contrat ou un acte juridique au titre du droit de l’Union ou du droit d’un État membre, qui lie le sous-traitant à l’égard du responsable du traitement et qui définit le traitement. Il est par conséquent nécessaire de fixer des règles sur le traitement effectué par l’ECDC en tant que sous-traitant.

(20)

L’article 3, paragraphe 3, du règlement (CE) no 851/2004 prévoit que l’ECDC, la Commission et les États membres coopèrent afin de favoriser la cohérence effective entre leurs activités respectives. De ce fait, il convient que la Commission et l’ECDC concluent des accords de niveau de service en vue d’une coopération tout au long de la mise au point technique et de l’utilisation de la plateforme d’échange de formulaires de localisation des passagers. Ces accords doivent préciser la répartition des responsabilités (organisationnelles, financières et technologiques) entre les parties afin de faciliter la mise en œuvre de la plateforme et des mesures techniques relatives à son utilisation, sa maintenance et son évolution future.

(21)

Il y a donc lieu de modifier la décision d’exécution (UE) 2017/253 en conséquence.

(22)

La plateforme d’échange de formulaires de localisation des passagers doit être financée pendant l’exercice 2021 par l’Instrument d’aide d’urgence, qui a été mis en place pour aider les États membres à riposter à la pandémie de COVID-19 en répondant aux besoins de manière stratégique et coordonnée à l’échelle européenne, et par les «activités de soutien à la politique européenne des transports, à la sûreté des transports et aux droits des passagers, y compris aux activités de communication». Pendant l’exercice 2022, elle doit être financée par le programme pour une Europe numérique.

(23)

Compte tenu de la date envisagée de mise en service de la plateforme d’échange de formulaires de localisation des passagers, la présente décision devrait être applicable à partir du 1er juin 2021. L’échange de données devrait cesser après douze mois ou, si cette déclaration intervient avant ce terme, dès que le directeur général de l’Organisation mondiale de la santé aura déclaré, conformément au règlement sanitaire international, que l’urgence de santé publique de portée internationale causée par le SARS-CoV-2 a pris fin.

(24)

L’exploitation de la plateforme d’échange de formulaires de localisation des passagers devrait avoir pour seule finalité de mettre un frein à la pandémie de COVID-19. Néanmoins, elle pourrait être étendue à l’avenir, au moyen d’une décision d’exécution modificative, à des épidémies qui pourraient imposer aux États membres d’échanger des données de formulaires de localisation des passagers à des fins de recherche des contacts, conformément aux critères et aux conditions fixés respectivement à l’article 9, paragraphe 1, et à l’article 9, paragraphe 3, de la décision no 1082/2013/UE.

(25)

Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 et a rendu un avis le 6 mai 2021.

(26)

Les mesures prévues par la présente décision sont conformes à l’avis du comité sur les menaces transfrontières graves pour la santé, institué par l’article 18 de la décision no 1082/2013/UE,