BIJLAGE

RICHTSNOEREN BETREFFENDE GEGEVENSBESCHERMING VOOR HET SYSTEEM VOOR VROEGTIJDIGE WAARSCHUWING EN MAATREGELEN (EWRS)

1.   INLEIDING

Het EWRS is een webapplicatie die door de Europese Commissie, in samenwerking met de lidstaten, is ontwikkeld om een gestructureerde en permanente communicatie tot stand te brengen tussen de Commissie en de instanties die in de lidstaten van de EER bevoegd zijn voor de volksgezondheid en belast zijn met de vaststelling van de maatregelen die nodig kunnen zijn ter bescherming van de volksgezondheid. Ook het Europees Centrum voor ziektepreventie en -bestrijding (European Centre for Disease Prevention and Control, hierna „het ECDC” genoemd), een agentschap van de EU, is sinds 2005 verbonden met het EWRS (1).

Samenwerking tussen nationale voor de volksgezondheid bevoegde instanties is van cruciaal belang voor de versterking van de capaciteit van de lidstaten om de potentiële verspreiding van overdraagbare ziekten in de EU te voorkomen, evenals voor de mate waarin zij in staat zijn om op gecoördineerde wijze en tijdig te reageren op gevallen die zijn veroorzaakt door overdraagbare ziekten die een bedreiging voor de volksgezondheid zijn of kunnen worden.

Eerdere uitbraken van SARS, pandemische influenza A(H1N1) en andere overdraagbare ziekten hebben duidelijk laten zien hoe voorheen onbekende ziekten zich snel kunnen verspreiden en zo een hoge sterfte en morbiditeit kunnen veroorzaken. Snelle verplaatsingen en de mondiale handel vergemakkelijken de overdracht van besmettelijke ziekten, die geen grenzen kennen. Vroegtijdige ontdekking en een efficiënte communicatie en coördinatie op Europees en internationaal niveau zijn essentieel om dergelijke noodgevallen te beheersen en ernstige schadelijke ontwikkelingen te voorkomen.

Het EWRS is opgezet als een centraal mechanisme dat de lidstaten in staat stelt om tijdig en op beveiligde wijze waarschuwingen af te geven, informatie te delen en hun reacties te coördineren in verband met gevallen die een mogelijke bedreiging voor de gezondheid in de EU vormen.

2.   TOEPASSINGSGEBIED EN DOELSTELLINGEN VAN DE RICHTSNOEREN

Het beheer en het gebruik van het EWRS kan in specifieke gevallen, indien de desbetreffende wettelijke instrumenten daarin voorzien, de uitwisseling van persoonsgegevens omvatten (zie sectie 4 over de rechtsgronden voor de uitwisseling van persoonlijke informatie in het EWRS).

Uitwisselingen van persoonlijke informatie tussen de voor de volksgezondheid bevoegde instanties in de lidstaten moeten voldoen aan de regels inzake de bescherming van persoonsgegevens die zijn neergelegd in de nationale wetgeving tot omzetting van Richtlijn 95/46/EG betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens.

Aangezien de gebruikers van het EWRS echter geen deskundigen op het gebied van gegevensbescherming zijn en zich mogelijk niet altijd voldoende bewust zijn van de wettelijke vereisten van gegevensbescherming, verdient het aanbeveling om EWRS-gebruikers richtsnoeren aan te reiken waarin de werking van het EWRS vanuit het oogpunt van gegevensbescherming op gebruiksvriendelijke wijze en in gemakkelijk te begrijpen taal wordt uitgelegd. Ook hebben de richtsnoeren ten doel om het bewustzijn van de regels inzake gegevensbescherming bij EWRS-gebruikers in de lidstaten te vergroten en om het gebruik van goede werkmethoden en een consistente en uniforme aanpak van de naleving van deze regels door de gebruikers te bevorderen.

Opgemerkt dient echter te worden dat deze richtsnoeren niet bedoeld zijn om te voorzien in een alomvattende behandeling van alle gegevensbeschermingskwesties in verband met het EWRS. Verdere begeleiding en bijstand kunnen worden verkregen van de gegevensbeschermingsautoriteiten in de lidstaten. In het bijzonder worden EWRS-gebruikers krachtig aangespoord om bij hun respectieve gegevensbeschermingsautoriteiten advies in te winnen over hoe deze richtsnoeren het best op nationaal niveau kunnen worden toegepast om ervoor te zorgen dat volledig aan de specifiek voor hun land geldende gegevensbeschermingsvoorschriften wordt voldaan. Een lijst van gegevensbeschermingsautoriteiten en hun contactgegevens is te vinden op het volgende adres:

http://ec.europa.eu/justice/policies/privacy/nationalcomm/index_en.htm

Tot slot moet worden benadrukt dat deze richtsnoeren geen authentieke uitlegging van het EU-recht inzake gegevensbescherming vormen, aangezien in het institutionele stelsel van de Unie de taak om het EU-recht te interpreteren uitsluitend bij het Hof van Justitie berust.

3.   TOEPASSELIJK RECHT EN TOEZICHT

Het antwoord op de vraag welk recht van toepassing is, is afhankelijk van wie de EWRS-gebruiker is. De verwerking van persoonsgegevens door de Commissie en het ECDC in het kader van het beheer en de exploitatie van het systeem (zoals hieronder uiteengezet) is onderworpen aan Verordening (EG) nr. 45/2001.

Wat betreft de verwerking van persoonsgegevens door de nationale voor het EWRS bevoegde instanties is het toepasselijke recht de relevante nationale gegevensbeschermingswetgeving tot omzetting van Richtlijn 95/46/EG. Opgemerkt dient te worden dat deze richtlijn de lidstaten een zekere manoeuvreerruimte laat bij het omzetten van de bepalingen van de richtlijn in nationaal recht. In het bijzonder staat de richtlijn de lidstaten toe om in specifieke gevallen uitzonderingen op of afwijkingen van een aantal van de bepalingen van de richtlijn in te voeren. Tegelijkertijd kunnen in de nationale gegevensbeschermingswetgeving die voor de EWRS-gebruiker geldt, striktere of landspecifieke gegevensbeschermingsvoorschriften worden opgenomen waarin de wetgeving van andere lidstaten niet voorziet.

Gelet op deze bijzonderheden wordt EWRS-gebruikers aangeraden om deze richtsnoeren met hun respectieve gegevensbeschermingsautoriteiten te bespreken om ervoor te zorgen dat aan alle voorschriften van het toepasselijke nationale recht wordt voldaan. Zo kan de mate van gedetailleerdheid van de informatie die aan betrokkenen moet worden verstrekt aanzienlijk verschillen tussen lidstaten, evenals de regels voor de verwerking van bijzondere categorieën van persoonsgegevens (bijvoorbeeld gegevens over iemands gezondheid).

Een van de belangrijkste kenmerken van het wettelijk kader van de EU inzake gegevensbescherming, dat bestaat uit Verordening (EG) nr. 45/2001 en Richtlijn 95/46/EG, is het toezicht door publieke, onafhankelijke gegevensbeschermingsautoriteiten. Op de verwerking van persoonsgegevens door EU-instellingen en -organen wordt toegezien door de Europese Toezichthouder voor gegevensbescherming (hierna „de EDPS”) (2), terwijl op verwerking door natuurlijke of rechtspersonen, nationale overheidsinstanties, agentschappen en andere organen in de lidstaten toezicht wordt gehouden door hun respectieve gegevensbeschermingsautoriteiten. In alle lidstaten hebben de toezichthoudende autoriteiten de bevoegdheid om klachten van burgers over de bescherming van hun rechten en vrijheden in verband met de verwerking van persoonsgegevens in behandeling te nemen. Voor nadere informatie over de wijze waarop verzoeken of klachten van betrokkenen kunnen worden afgehandeld, worden EWRS-gebruikers verwezen naar sectie 9 over de toegang tot persoonsgegevens en andere rechten van betrokkenen.

4.   RECHTSGRONDEN VOOR DE UITWISSELING VAN PERSOONLIJKE INFORMATIE IN HET EWRS

Bij Beschikking nr. 2119/98/EG is een netwerk op EU-niveau opgericht (hierna „het netwerk”) om met bijstand van de Commissie de samenwerking en coördinatie tussen de lidstaten te bevorderen met het oog op de verbetering van de preventie en beheersing in de EU van overdraagbare ziekten (3). Binnen dit kader is het EWRS opgericht als een van de pijlers van het netwerk, die informatie-uitwisseling, overleg en coördinatie op Europees niveau mogelijk maakt wanneer zich een geval voordoet dat verband houdt met een overdraagbare ziekte die de volksgezondheid in de EU kan bedreigen.

Niet alle informatie die binnen het EWRS wordt uitgewisseld, is van persoonlijke aard. In feite worden er over het algemeen in dit kader geen gezondheids- of andere persoonsgegevens van geïdentificeerde of identificeerbare natuurlijke personen uitgewisseld.

Wat zijn „persoonsgegevens”?

Voor de toepassing van Richtlijn 95/46/EG en Verordening (EG) nr. 45/2001 wordt onder persoonsgegevens verstaan: iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon („betrokkene”); als identificeerbaar wordt beschouwd een persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatienummer of van een of meer specifieke elementen die voor zijn fysieke, fysiologische, psychische, economische, culturele of sociale identiteit kenmerkend zijn (4).

De voor de volksgezondheid bevoegde instanties in de lidstaten van de EER gebruiken het netwerk hoofdzakelijk voor het doorgeven, via het EWRS, van informatie over, onder andere, het voor het eerst of opnieuw uitbreken van overdraagbare ziekten, samen met informatie over de getroffen beheersingsmaatregelen, of informatie over ongebruikelijke epidemische verschijnselen of nieuwe overdraagbare ziekten van onbekende oorsprong (5), die tijdige, gecoördineerde communautaire maatregelen kunnen vereisen teneinde onder controle te worden gebracht (6). Op basis van de informatie die via het netwerk beschikbaar is, zullen de lidstaten met elkaar overleg plegen in nauw contact met de Commissie teneinde hun optreden ter voorkoming en beheersing van overdraagbare ziekten te coördineren, ook over de maatregelen die zij hebben aangenomen of voornemens zijn aan te nemen (7).

In bepaalde gevallen heeft de via het systeem uitgewisselde informatie echter wel betrekking op individuele personen, en dergelijke informatie kan als „persoonsgegevens” beschouwd worden.

In de eerste plaats is de verwerking van een beperkte hoeveelheid persoonsgegevens van bevoegde EWRS-gebruikers inherent aan het beheer en de exploitatie van het systeem. De verwerking van de contactgegevens van de gebruikers (naam, organisatie, e-mailadres, telefoonnummer, enz.) is essentieel voor de opzet en het beheer van het syteem. Hun persoonsgegevens worden verzameld door de lidstaten en verder verwerkt onder verantwoordelijkheid van de Commissie, uitsluitend ten behoeve van een doelmatige samenwerking bij het beheer van het EWRS en het onderliggende netwerk.

Belangrijker is dat naar aanleiding van een geval in verband met overdraagbare ziekten met een mogelijke EU-omvang de getroffen lidstaten, in onderlinge samenwerking, mogelijk specifieke beheersingsmaatregelen moeten nemen, de zogenoemde maatregelen „voor de tracering van contacten”, om besmette personen en personen die besmettingsgevaar lopen te identificeren en de overdracht van ernstige besmettelijke ziekten te voorkomen. Deze samenwerking kan bestaan uit het via het EWRS uitwisselen van persoonsgegevens, met inbegrip van gevoelige gezondheidsinformatie, in verband met bevestigde of verdachte gevallen bij mensen, tussen de lidstaten die direct bij de maatregelen voor de tracering van contacten zijn betrokken (8).

Wat is „verwerking van persoonsgegevens”?

Voor de toepassing van Richtlijn 95/46/EG en Verordening (EG) nr. 45/2001 wordt onder verwerking van persoonsgegevens verstaan „elke bewerking, respectievelijk elk geheel van bewerkingen met betrekking tot persoonsgegevens, al dan niet uitgevoerd met behulp van geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorgifte, verspreiden of op enigerlei andere wijze ter beschikking stellen, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, wissen of vernietigen van gegevens” (9).

In bovengenoemde gevallen moet de verwerking van persoonsgegevens binnen het EWRS worden gerechtvaardigd op basis van specifieke rechtsgronden. In dit verband worden in artikel 7 van Richtlijn 95/46/EG en de overeenkomstige bepalingen van artikel 5 van Verordening (EG) nr. 45/2001 de criteria uiteengezet die moeten worden vervuld, wil de verwerking van gegevens rechtmatig zijn.

Wat betreft de contactgegevens van EWRS-gebruikers is de verwerking van deze gegevens gebaseerd op:

—

artikel 5, onder b), van Verordening (EG) nr. 45/2001: indien verwerking „noodzakelijk is om een wettelijke verplichting na te komen waaraan de verantwoordelijke voor de verwerking (10) is onderworpen”. De verwerking is nodig voor het beheer en de exploitatie van het EWRS door de Commissie, met ondersteuning van het ECDC;

—

en artikel 5, onder d), van Verordening (EG) nr. 45/2001: indien „de betrokkene daarvoor ondubbelzinnig toestemming heeft gegeven”. Contactgegevens van gebruikers worden verkregen van de betrokkenen zelf, nadat deze in de gelegenheid zijn gesteld om voorafgaande geïnformeerde toestemming te geven voor de verwerking van hun persoonsgegevens binnen het EWRS (zie sectie 8 over de verstrekking van informatie aan betrokkenen).

De criteria die zijn neergelegd in artikel 7, onder c), d) en e), van Richtlijn 95/46/EG zijn de meest relevante criteria voor de uitwisseling van gegevens voor de tracering van contacten (bv. contactgegevens van de geïnfecteerde personen, reisgegevens en andere gegevens met betrekking tot de reisroute van de persoon en de plaatsen waar hij verblijft, informatie over bezochte personen en personen die mogelijk aan besmetting zijn blootgesteld) van natuurlijke personen binnen het EWRS (11):

—

artikel 7, onder c), van Richtlijn 95/46/EG: indien „verwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan de voor de verwerking verantwoordelijke onderworpen is”. De invoering van een systeem voor vroegtijdige waarschuwing en maatregelen ter voorkoming en beheersing van overdraagbare ziekten in de EU wordt vereist door Beschikking nr. 2119/98/EG. Deze beschikking legt de lidstaten een verplichting op om bepaalde door overdraagbare ziekten veroorzaakte gevallen die een gevaar voor de volksgezondheid opleveren of kunnen opleveren te melden via het EWRS (12). Deze rapportageplicht heeft ook betrekking op de door de bevoegde instanties in de lidstaten genomen maatregelen om de verspreiding van deze ziekten te voorkomen en te stoppen, met inbegrip van de maatregelen voor de tracering van contacten die zijn toegepast om geïnfecteerde personen of personen die mogelijk dreigen te worden geïnfecteerd op te sporen (13);

—

artikel 7, onder d), van Richtlijn 95/46/EG: indien „verwerking noodzakelijk is ter vrijwaring van een vitaal belang van de betrokkene”. In beginsel is de uitwisseling tussen de betrokken lidstaten van persoonsgegevens van geïnfecteerde personen en personen die op korte termijn dreigen te worden geïnfecteerd nodig om deze personen de juiste zorg of behandeling te geven en om hun tracering en identificatie mogelijk te maken voor isolatie- en quarantainedoeleinden, met het oogmerk de gezondheid van de betrokken personen en uiteindelijk van alle EU-burgers te beschermen;

—

en artikel 7, onder e), van Richtlijn 95/46/EG: indien „verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of die deel uitmaakt van de uitoefening van het openbaar gezag die aan de voor de verwerking verantwoordelijke of de derde aan wie de gegevens worden verstrekt, is opgedragen”. Het EWRS is een instrument om de lidstaten te helpen bij het coördineren van hun inspanningen voor het voorkomen en beheersen van ernstige overdraagbare ziekten binnen de EU. Het systeem is opgezet om de uitvoering van een taak van algemeen belang van de lidstaten, namelijk de bescherming van de volksgezondheid, te vergemakkelijken.

Dezelfde redenen van algemeen belang kunnen de verwerking door de lidstaten van gevoelige gegevens die de gezondheid betreffen (zoals informatie over de gebeurtenis die een bedreiging voor de gezondheid vormt of gegevens met betrekking tot de gezondheidstoestand van de geïnfecteerde personen en van personen die mogelijk aan besmetting zijn blootgesteld) binnen het EWRS rechtvaardigen. Hoewel de verwerking van gezondheidsgegevens in beginsel verboden is op grond van artikel 8, lid 1, van Richtlijn 95/46/EG, valt de verwerking van deze bijzondere categorie van gegevens binnen het EWRS onder de uitzondering van artikel 8, lid 3, van dezelfde richtlijn, voor zover de verwerking „noodzakelijk is voor de doeleinden van preventieve geneeskunde of medische diagnose, het verstrekken van zorg of behandelingen of het beheer van gezondheidsdiensten en wanneer die gegevens worden verwerkt door een gezondheidswerker die onderworpen is aan het in de nationale wetgeving, of in de door nationale bevoegde instanties vastgestelde regelgeving, vastgelegde beroepsgeheim of door een andere persoon voor wie een gelijkwaardige geheimhoudingsplicht geldt”.

Om redenen van zwaarwegend algemeen belang, en mits passende waarborgen worden geboden, mogen er bij de nationale wetgeving van de lidstaten of bij een besluit van de nationale gegevensbeschermingsautoriteiten nog andere uitzonderingen op het verbod om persoonlijke gezondheidsinformatie te verwerken worden vastgesteld (14).

5.   WIE IS WIE IN HET EWRS? DE KWESTIE VAN GEDEELDE VERANTWOORDELIJKHEID

Het EWRS is ontworpen als een systeem voor meerdere gebruikers dat door middel van passende technische hulpmiddelen, waaronder verschillende gestructureerde communicatiekanalen, de door de bevoegde volksgezondheidsautoriteiten in de lidstaten van de EER aangewezen contactpersonen (hierna „de nationale EWRS-knooppunten”), de Commissie, het ECDC, en in beperkte mate ook de Wereldgezondheidsorganisatie (WHO), met elkaar verbindt.

Elk van deze actoren in het EWRS is een afzonderlijke gebruiker van het systeem, hoewel de toegang tot de uitgewisselde informatie binnen het systeem is geregeld door de creatie van verschillende gebruikersprofielen en van „selectieve” communicatiekanalen, waarbij is voorzien in passende waarborgen voor de naleving van de toepasselijke regels inzake gegevensbescherming.

Het systeem bestaat meer bepaald uit twee primaire communicatiekanalen. Een eerste kanaal, het zogeheten kanaal voor „algemene berichten”, maakt het voor de gezondheidsautoriteiten in een gegeven lidstaat mogelijk om alle nationale EWRS-knooppunten, de Commissie, het ECDC en de WHO in kennis te stellen van informatie over door overdraagbare ziekten veroorzaakte gevallen van een mogelijke EU-omvang die onder de in Beschikking nr. 2119/98/EG neergelegde rapportageverplichtingen vallen (15).

Over het algemeen worden via het kanaal voor algemene berichten geen gezondheidsgerelateerde of andere persoonsgegevens van geïdentificeerde of identificeerbare natuurlijke personen doorgegeven. In het systeem zijn specifieke waarborgen ingebouwd om onrechtmatige gegevensverwerking binnen dit kanaal te voorkomen (zie sectie 7).

Indien zich echter door overdraagbare ziekten veroorzaakte gevallen van een mogelijke EU-omvang voordoen, kan het voor de betrokken lidstaten nodig zijn om, in onderlinge samenwerking, specifieke maatregelen voor de tracering van contacten te nemen met het oog op de opsporing van geïnfecteerde personen en andere personen die zijn blootgesteld aan besmetting teneinde de verspreiding van die ernstige ziekten te voorkomen.

Met het oog op de naleving van de regels inzake gegevensbescherming zijn passende waarborgen ingevoerd om de uitwisseling van gegevens voor de tracering van contacten en gegevens betreffende de gezondheid van natuurlijke personen te beperken tot alleen de direct bij een gegeven procedure voor de tracering van contacten betrokken lidstaten, en de andere lidstaten van het netwerk, de Commissie en het ECDC uit te sluiten van de toegang tot deze gegevens (16).

Hiertoe is het zogeheten kanaal voor „selectieve berichten” in het EWRS ingebouwd, waarmee een exclusief communicatiekanaal wordt gegarandeerd aan de lidstaten die zijn betrokken bij een bepaalde maatregel voor de tracering van contacten.

Door persoonlijke informatie via het kanaal voor selectieve berichten uit te wisselen nemen de bevoegde autoriteiten de rol van „voor de verwerking verantwoordelijke” in verband met de verwerking van deze persoonsgegevens op zich, en daarmee de verantwoordelijkheid voor de rechtmatigheid van hun verwerkingsactiviteiten en voor de naleving van de gegevensbeschermingsverplichtingen die zijn neergelegd in de nationale wetgeving tot omzetting van Richtlijn 95/46/EG.

Wie is de „voor de verwerking verantwoordelijke”?

Voor de toepassing van Richtlijn 95/46/EG wordt verstaan onder „ „voor de verwerking verantwoordelijke”, de natuurlijke of rechtspersoon, de overheidsinstantie, de dienst of enig ander lichaam die, respectievelijk dat, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt” (17).

In beginsel hebben gebruikers als de Commissie en het ECDC geen toegang tot persoonsgegevens die worden uitgewisseld via het kanaal voor selectieve berichten (18). Om technische redenen is de centrale opslag van gegevens in het EWRS echter uiteindelijk de verantwoordelijkheid van de Commissie, als beheerder en coördinator van het systeem. In deze hoedanigheid is de Commissie eveneens verantwoordelijk voor de registratie, opslag en verdere verwerking van persoonsgegevens van bevoegde EWRS-gebruikers die nodig zijn voor de goede werking van het systeem.

Het beheer van het EWRS is daarom een duidelijk voorbeeld van gedeelde verantwoordelijkheid, waarbij de verantwoordelijkheid voor gegevensbescherming op verschillende niveaus wordt verdeeld tussen de Commissie en de lidstaten. Bovendien hebben de Commissie en de lidstaten sinds 2005 in hun hoedanigheid van medeverantwoordelijken voor de verwerking besloten de dagelijkse exploitatie van de EWRS-computerapplicatie te delegeren aan het ECDC, dat deze taak namens de Commissie uitvoert. Behalve deze gedelegeerde taak heeft het agentschap de verantwoordelijkheid op zich genomen om als „verwerker”, de vertrouwelijkheid en beveiliging van de in het systeem uitgevoerde verwerkingsactiviteiten te waarborgen in overeenstemming met de verplichtingen zoals neergelegd in de artikelen 21 en 22 van Verordening (EG) nr. 45/2001.

Wie is de „verwerker” en welke verplichtingen heeft deze?

Voor de toepassing van Verordening (EG) nr. 45/2001 wordt verstaan onder „ „verwerker”, de natuurlijke of rechtspersoon, de overheidsinstantie, de dienst of enig ander lichaam die, respectievelijk dat ten behoeve van de voor de verwerking verantwoordelijke persoonsgegevens verwerkt” (19).

De verordening voorziet erin dat wanneer namens de voor de verwerking verantwoordelijke een verwerkingsactiviteit wordt uitgevoerd, deze verantwoordelijke voor een verwerker moet kiezen die voldoende garanties biedt met betrekking tot de technische en organisatorische maatregelen voor gegevensbeveiliging. De voor de verwerking verantwoordelijke draagt de eindverantwoordelijkheid voor de naleving van deze maatregelen. Desalniettemin zijn de in de artikelen 21 en 22 van de verordening neergelegde verplichtingen inzake de vertrouwelijkheid en beveiliging van de verwerking ook van toepassing op de verwerker (20).

6.   TOEPASSELIJKE GEGEVENSBESCHERMINGSBEGINSELEN

De verwerking van persoonsgegevens binnen het EWRS moet voldoen aan een reeks gegevensbeschermingsbeginselen die zijn neergelegd in Verordening (EG) nr. 45/2001 en Richtlijn 95/46/EG.

In hun hoedanigheid van voor de verwerking verantwoordelijken zijn de Commissie en de bevoegde autoriteiten in de lidstaten elke keer dat ze via het EWRS persoonsgegevens verwerken, verantwoordelijk voor de naleving van deze beginselen. Een selectie van kernbeginselen op het gebied van gegevensbescherming volgt hieronder. Deze beginselen laten andere toepasselijke gegevensbeschermingsvoorschriften die zijn neergelegd in de desbetreffende wettelijke instrumenten, onverlet. Voor de toepassing van deze instrumenten worden in verschillende paragrafen van deze richtsnoeren aanbevelingen gedaan. EWRS-gebruikers worden in het bijzonder aangespoord om sectie 8 over de verstrekking van informatie aan betrokkenen en sectie 9 over toegang en andere rechten van betrokkenen zorgvuldig door te lezen.

6.1.   Beginselen met betrekking tot de rechtmatigheid van de verwerking en tot doelbinding

Voor de verwerking verantwoordelijken moeten ervoor zorgen dat persoonsgegevens correct en rechtmatig worden verwerkt. Dit beginsel impliceert in de eerste plaats dat de verkrijging en verdere verwerking van persoonsgegevens moet zijn gebaseerd op legitieme, wettelijke gronden (21). In de tweede plaats mogen persoonsgegevens alleen worden verzameld voor welbepaalde, duidelijk omschreven en gerechtvaardigde doeleinden en vervolgens niet worden verwerkt op een wijze die onverenigbaar is met die doeleinden (22).

6.2.   Beginselen betreffende de kwaliteit van gegevens

Voor de verwerking verantwoordelijken moeten ervoor zorgen dat persoonsgegevens, uitgaande van de doeleinden waarvoor zij worden verzameld, toereikend, ter zake dienend en niet buitensporig zijn. Voorts dienen de gegevens nauwkeurig te zijn en te worden bijgewerkt (23).

6.3.   Beginselen betreffende de bewaring van gegevens

Voor de verwerking verantwoordelijken moeten ervoor zorgen dat persoonsgegevens in een vorm die het mogelijk maakt de betrokkenen te identificeren, niet langer mogen worden bewaard dan voor de verwezenlijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, noodzakelijk is (24).

6.4.   Beginselen betreffende de vertrouwelijkheid en beveiliging van gegevens

Voor de verwerking verantwoordelijken moeten ervoor zorgen dat eenieder die toegang heeft tot persoonsgegevens en handelt onder het gezag van de voor de verwerking verantwoordelijke of van de verwerker, alsmede de verwerker zelf, deze gegevens slechts in opdracht van de voor de verwerking verantwoordelijke verwerkt (25). Voorts zijn voor de verwerking verantwoordelijken verplicht om passende technische en organisatorische maatregelen te treffen om persoonsgegevens te beveiligen tegen accidentele, niet-geautoriseerde of onrechtmatige vernietiging of verlies, vervalsing, verspreiding of toegang, alsmede tegen enige andere vorm van onwettige verwerking (26).

Met het oog op een correcte en doelmatige toepassing van bovengenoemde beginselen bij het gebruik van het systeem, worden aan EWRS-gebruikers in het bijzonder de volgende aanbevelingen gedaan:

om ervoor te zorgen dat de verwerkingsactiviteit een rechtsgrondslag heeft, dat gegevens worden verzameld voor rechtmatige en uitdrukkelijk omschreven doeleinden en dat ze niet verder worden verwerkt op een wijze die onverenigbaar is met die doeleinden, dienen EWRS-gebruikers, elke keer dat ze via het EWRS persoonsgegevens verzamelen of anderszins verwerken:

—

per geval te beoordelen of de toepassing van gecoördineerde maatregelen voor de tracering van contacten, alsmede de daaropvolgende activering van het selectieve kanaal van het EWRS om gerelateerde gegevens voor de tracering van contacten en andere persoonsgegevens uit te wisselen, gerechtvaardigd is in het licht van de aard van de ziekte en de wetenschappelijk aangetoonde voordelen van de tracering van contacten teneinde de verdere verspreiding van de ziekte te voorkomen of in te perken, daarbij rekening houdend met de door de gezondheidsautoriteiten in de lidstaten en door de bestaande wetenschappelijke organisaties, te weten het ECDC en de WHO, verstrekte risicobeoordelingen;

—

geen gebruik te maken van het kanaal voor algemene berichten om gegevens voor de tracering van contacten en andere persoonsgegevens uit te wisselen. In het bijzonder dienen zij ervoor te zorgen dat deze gegevens niet worden opgenomen in de tekst van de algemene berichten die ze verzenden of in bijgevoegde bestanden, noch in enige andere vorm. Het gebruik van het kanaal voor algemene berichten voor contacttraceringsdoeleinden is onrechtmatig en onevenredig, aangezien dit ertoe zou leiden dat persoonsgegevens worden verstrekt aan ontvangers (met inbegrip van de Commissie en het ECDC) die niet betrokken zijn bij een gegeven procedure voor de tracering van contacten en aan wie geen toegang tot deze gegevens hoeft te worden verleend;

—

bij het gebruik van de selectieve functionaliteit een „need-to-know”-aanpak te hanteren en als ontvangers van selectieve berichten die persoonsgegevens bevatten, alleen de bevoegde instanties in de lidstaten te selecteren die aan een bepaalde procedure voor de tracering van contacten moeten meewerken;

EWRS-gebruikers moeten bijzonder waakzaam zijn wanneer ze, via het kanaal voor selectieve berichten, gevoelige gegevens betreffende de gezondheidstoestand van geïdentificeerde of identificeerbare personen uitwisselen, zoals van geïnfecteerde personen of personen die mogelijk zijn blootgesteld aan besmetting van wie samen met deze gevoelige gegevens contactgegevens of andere persoonsgegevens via het EWRS worden verstrekt, zodat de persoon in kwestie direct of indirect kan worden geïdentificeerd. In dit geval blijven alle bovengenoemde aanbevelingen van toepassing; daarnaast moeten EWRS-gebruikers in het oog houden dat de uitwisseling van gevoelige informatie krachtens Richtlijn 95/46/EG alleen onder bepaalde voorwaarden is toegestaan. In het bijzonder geldt dat (27):

—

de persoon van wie gegevens worden verzameld, uitdrukkelijk moet hebben toegestemd in de verwerking ervan (artikel 8, lid 2, onder a), van Richtlijn 95/46/EG). De noodzaak om tijdig in te grijpen in noodsituaties op het gebied van de volksgezondheid kan het echter onmogelijk maken om betrokkenen alle informatie te verstrekken die nodig is om hen in staat te stellen geïnformeerde toestemming te verlenen (zie sectie 8 over de verstrekking van informatie aan betrokkenen). Bovendien is de mogelijkheid dat gegevens uiteindelijk via het EWRS worden verzonden, niet noodzakelijkerwijs bekend op het moment van de verzameling van die gegevens;

—

bij het ontbreken van toestemming van de betrokkene, de verwerking van gezondheidsgegevens als rechtmatig kan worden beschouwd als de verwerking noodzakelijk is „voor de doeleinden van preventieve geneeskunde of medische diagnose, het verstrekken van zorg of behandelingen of het beheer van gezondheidsdiensten”, mits de desbetreffende gegevens worden verwerkt door een gezondheidswerker die onderworpen is aan het beroepsgeheim of door een andere persoon voor wie een gelijkwaardige geheimhoudingsplicht geldt (artikel 8, lid 3, van Richtlijn 95/46/EG). Met andere woorden: elke keer dat ze een selectief bericht met gevoelige gezondheidsgegevens verzenden aan ontvangers in andere lidstaten, moeten EWRS-gebruikers beoordelen of de verstrekking van deze gegevens strikt noodzakelijk is om de bevoegde instanties in de betrokken lidstaten in staat te stellen de specifieke maatregelen te treffen die nodig zijn voor de verwezenlijking van een van bovengenoemde doeleinden. EWRS-gebruikers worden er tevens aan herinnerd dat hun respectieve nationale wetgeving tot omzetting van Richtlijn 95/46/EG of een besluit van hun nationale gegevensbeschermingsautoriteit mogelijk aanvullende rechtsgronden voor de verwerking van gezondheidsgegevens biedt (28);

om de kwaliteit van persoonsgegevens die ze via het systeem verzenden te waarborgen, en met name voordat ze een selectief bericht verzenden, moeten EWRS-gebruikers nagaan of:

—

de persoonsgegevens die ze willen uitwisselen strikt noodzakelijk zijn om een procedure voor de tracering van contacten efficiënt te laten verlopen. Anders gezegd: de bevoegde instantie die het bericht verzendt mag de instantie(s) in de andere betrokken lidstaat of lidstaten alleen die persoonsgegevens verstrekken die nodig zijn om de geïnfecteerde of blootgestelde personen ondubbelzinnig te identificeren. De indicatieve lijst van persoonsgegevens die mogen worden uitgewisseld voor de tracering van contacten, welke als bijlage aan Beschikking 2009/547/EG is gehecht, mag niet worden gezien als een algemene en onvoorwaardelijke machtiging om deze categorieën van gegevens te verwerken. Tegelijkertijd moet uiterste voorzichtigheid worden betracht wat betreft de verwerking van andere persoonsgegevens dan die welke in bovengenoemde lijst worden genoemd, omdat de verstrekking daarvan in veel gevallen waarschijnlijk „buitensporig en onredelijk” zou zijn. Per geval moet worden beoordeeld of bepaalde persoonsgegevens strikt noodzakelijk zijn voor een gegeven procedure voor de tracering van contacten.

Verdere verwerking en opslag van persoonsgegevens buiten het EWRS:

Het is van het grootste belang om op te merken dat nationale gegevensbeschermingswetgeving tot omzetting van Richtlijn 95/46/EG ook van toepassing is op de opslag en verdere verwerking, buiten het EWRS, van persoonsgegevens die via het systeem zijn verkregen. Dit kan zich bijvoorbeeld voordoen wanneer persoonsgegevens die door het systeem centraal zijn opgeslagen vervolgens worden opgeslagen in de lokale pc’s van gebruikers of in nationale gegevensbanken, of wanneer deze gegevens door de bevoegde instanties die verantwoordelijk zijn voor hun verwerking binnen het EWRS, worden doorgegeven aan andere instanties of aan derden. EWRS-gebruikers worden eraan herinnerd dat in deze gevallen:

—	de opslag en verdere verwerking buiten het EWRS niet onverenigbaar mag zijn met de oospronkelijke doeleinden waarvoor de gegevens zijn verzameld en binnen het EWRS zijn uitgewisseld;

—	de verdere verwerking een rechtsgrondslag moet hebben in de desbetreffende nationale wetgeving inzake gegevensbescherming en noodzakelijk, toereikend en relevant moet zijn, en niet buitensporig mag zijn, voor de verwezenlijking van de oorspronkelijke doeleinden van de verzameling in het EWRS;

—	gegevens moeten worden bijgewerkt en worden verwijderd zodra ze niet langer nodig zijn voor de doeleinden waarvoor ze verder zijn verwerkt;

—

de voor de verwerking verantwoordelijke, wanneer gegevens uit het EWRS worden geëxporteerd voor verstrekking aan derden, betrokkenen van deze omstandigheid in kennis moet stellen om een eerlijke verwerking te garanderen, tenzij dit onmogelijk is of onevenredig veel moeite kost of de verstrekking van deze gegevens uitdrukkelijk bij wet is voorgeschreven (zie artikel 11, lid 2, van Richtlijn 95/46/EG). Overwegende dat verstrekking verplicht kan zijn krachtens de wetgeving van slechts één van de betrokken lidstaten, en dit daarom elders mogelijk niet breed bekend is, moet er moeite worden gedaan om informatie te verstrekken, ook al is de verstrekking al uitdrukkelijk bij wet voorgeschreven.

7.   EEN GEGEVENSBESCHERMINGSVRIENDELIJKE OMGEVING

In het EWRS zijn reeds diverse functies ingebouwd om de naleving van de in sectie 6 beschreven gegevensbeschermingsbeginselen te verbeteren en EWRS-gebruikers ertoe aan te zetten om elke keer dat ze het systeem gebruiken rekening te houden met gegevensbeschermingsaspecten. Voorbeelden hiervan zijn:

—

op de EWRS-pagina met het overzicht van de berichten worden gebruikers zichtbaar gewaarschuwd dat het kanaal voor algemene berichten niet is bedoeld om gegevens voor de tracering van contacten en andere persoonsgegevens te verzenden, aangezien het gebruik van dit kanaal ertoe kan leiden dat deze gegevens onnodig worden verstrekt aan andere ontvangers dan die welke toegang tot de gegevens moeten hebben;

—	de toegang tot de binnen het systeem uitgewisselde informatie wordt geregeld door de creatie van verschillende gebruikersprofielen en van selectieve communicatiekanalen, waarbij is voorzien in passende waarborgen voor de naleving van de regels inzake gegevensbescherming;

—

het kanaal voor selectieve berichten van het EWRS vormt een exclusief communicatiekanaal voor de uitwisseling van persoonlijke informatie tussen alleen de betrokken lidstaten. In het systeem is een standaardoptie ingebouwd die de Commissie en het ECDC automatisch uitsluit van de lijst van mogelijke ontvangers van selectieve berichten die persoonsgegevens bevatten (29);

—	twaalf maanden na de datum van verzending van selectieve berichten die persoonlijke informatie bevatten, worden deze berichten automatisch door het systeem gewist (zie voor nadere bijzonderheden sectie 11 over de bewaring van gegevens);

—

in het systeem is een functie ingebouwd waarmee gebruikers selectieve berichten met persoonlijke informatie die niet nauwkeurig, niet up-to-date of niet langer nodig is of anderszins niet aan de gegevensbeschermingsvoorschriften voldoet, op elk moment direct kunnen corrigeren of verwijderen. Het systeem zal de andere EWRS-gebruiker(s) die betrokken is/zijn bij die specifieke informatie-uitwisseling automatisch meedelen dat het bericht is verwijderd, of de inhoud ervan gecorrigeerd, met het oog op de naleving van de gegevensbeschermingsvoorschriften;

—

het kanaal voor selectieve berichten omvat een specifiek mechanisme dat de nationale instanties die bij een bepaalde informatie-uitwisseling zijn betrokken in staat stelt te communiceren en samen te werken met betrekking tot verzoeken van betrokkenen om toegang tot, of rectificatie, afscherming of verwijdering van gegevens.

Bovendien is het op middellange termijn de bedoeling dat de trainingsmodule die binnen de EWRS-applicatie beschikbaar is, zal worden geïntegreerd om EWRS-gebruikers uitgebreide uitleg te geven over de werking van het systeem vanuit het oogpunt van gegevensbescherming. De toepassing van de verschillende eigenschappen en functionaliteiten van het systeem die tot doel hebben om de naleving van de regels inzake gegevensbescherming te verbeteren, zal worden geïllustreerd aan de hand van enkele praktijkvoorbeelden.

De Commissie is voornemens met de lidstaten samen te werken om ervoor te zorgen dat het concept privacy by design meteen vanaf het begin wordt toegepast in het kader van deze en andere toekomstige ontwikkelingen van het EWRS (30) en dat de beginselen van noodzaak, evenredigheid, doelbinding en gegevensminimalisering naar behoren in aanmerking worden genomen bij de besluitvorming over welke informatie onder welke voorwaarden met wie via het EWRS kan worden uitgewisseld.

8.   INFORMATIEVERSTREKKING AAN BETROKKENEN

Een van de belangrijkste voorschriften van het wettelijk kader van de EU voor gegevensbescherming is de verplichting van een voor de verwerking verantwoordelijke om betrokkenen duidelijke informatie te verstrekken over de verwerkingsactiviteiten die hij van plan is ten aanzien van hun persoonsgegevens uit te voeren.

In overeenstemming met haar coördinerende rol binnen het EWRS en teneinde bovengenoemde verplichting na te komen (31), heeft de Commissie op haar EWRS-webpagina een duidelijke en uitgebreide privacyverklaring geplaatst voor de verwerkingsactiviteiten die onder de eigen verantwoordelijkheid van de Commissie worden uitgevoerd en de verwerkingsactiviteiten die worden uitgevoerd door bevoegde instanties, met name in het kader van de tracering van contacten.

Maar ook de nationale bevoegde instanties in de lidstaten zijn, in hun hoedanigheid van voor de verwerking verantwoordelijken met betrekking tot hun respectieve verwerkingsactiviteiten binnen het EWRS, verantwoordelijk voor de verstrekking van informatie aan betrokkenen.

Welke „informatie” moeten de nationale voor het EWRS bevoegde autoriteiten aan betrokkenen verstrekken?

Wanneer gegevens rechtstreeks van de betrokkene zelf worden verkregen, bepaalt artikel 10 van Richtlijn 95/46/EG dat de voor de verwerking verantwoordelijke of diens vertegenwoordiger een betrokkene van wie gegevens worden verzameld op het moment van de verkrijging ten minste de volgende informatie moet verstrekken, tenzij de betrokkene daarvan reeds op de hoogte is:

a)	de identiteit van de voor de verwerking verantwoordelijke en, in voorkomend geval, van diens vertegenwoordiger;

b)	de doeleinden van de verwerking waarvoor de gegevens zijn bestemd;

c)

verdere informatie, zoals: — de ontvangers of categorieën ontvangers van de gegevens, — antwoord op de vraag of men al dan niet verplicht is om te antwoorden en de eventuele gevolgen van niet-beantwoording, — het bestaan van het recht op toegang tot zijn/haar eigen persoonsgegevens en op rectificatie van deze gegevens,

voor zover die, met inachtneming van de specifieke omstandigheden waaronder de verdere informatie verkregen wordt, nodig is om tegenover de betrokkene een eerlijke verwerking te waarborgen.

In artikel 11 van Richtlijn 95/46/EG wordt bepaald welke informatie de voor de verwerking verantwoordelijke ten minste moet verstrekken wanneer gegevens niet van de betrokkene zelf zijn verkregen. Deze informatie moet worden verstrekt op het moment van registratie van de persoonsgegevens of, wanneer verstrekking aan derden wordt overwogen, uiterlijk op het moment van de eerste verstrekking van de gegevens (32).

Uit bovengenoemde bepalingen vloeit voort dat op het moment van de verkrijging van persoonsgegevens van natuurlijke personen (of, uiterlijk, op het moment dat de gegevens voor het eerst worden verstrekt binnen het EWRS), met het oog op de aanneming van de maatregelen die nodig zijn om de volksgezondheid te beschermen in verband met gevallen die krachtens Beschikking nr. 2119/98/EG en de uitvoeringsvoorschriften daarvan moeten worden gemeld, de nationale bevoegde autoriteiten betrokkenen rechtstreeks een juridische mededeling moeten doen toekomen die de in artikelen 10 en 11 van Richtlijn 95/46/EG vermelde informatie bevat. Deze mededeling dient ook een korte verwijzing naar het EWRS te bevatten, evenals links naar de relevante documenten, de privacyverklaringen op de websites van de nationale bevoegde autoriteiten en de EWRS-webpagina van de Commissie.

De exacte inhoud van de informatie die in de juridische mededeling dient te worden verstrekt, kan sterk verschillen van lidstaat tot lidstaat. Bepaalde nationale wetten voorzien in uitgebreidere verplichtingen voor voor de verwerking verantwoordelijken, bijvoorbeeld de verplichting om aanvullende informatie te verstrekken, zoals informatie over het recht van betrokkenen om schadevergoeding te verkrijgen, informatie over de opslag en bewaringstermijnen van gegevens, informatie over gevegevensbeveiligingsmaatregelen, enz.

Het is waar dat de noodzaak om tijdig in te grijpen in noodsituaties op het gebied van de volksgezondheid het, wanneer de gegevens niet van de betrokkene zelf zijn verkregen, onmogelijk kan maken om betrokkenen een mededeling te doen toekomen waarin ze worden geïnformeerd over de doeleinden van de verwerking van hun persoonsgegevens. In dit verband bepaalt artikel 11, lid 2, van Richtlijn 95/46/EG dat het recht op informatie van betrokkenen kan worden beperkt wanneer „verstrekking van informatie aan de betrokkene onmogelijk blijkt of onevenredig veel moeite kost of indien de registratie of verstrekking bij wet is voorgeschreven. In deze gevallen zorgen de lidstaten voor passende waarborgen”.

Meer in het algemeen dient te worden opgemerkt dat er krachtens de nationale wetgeving inzake gegevensbescherming tot omzetting van Richtlijn 95/46/EG specifieke restricties op of beperkingen van de rechten van betrokkenen op informatie van toepassing kunnen zijn (33). Dergelijke landenspecifieke restricties of beperkingen moeten ondubbelzinnig worden vermeld in de mededelingen over de bescherming van de persoonlijke levenssfeer die aan betrokkenen worden verstrekt of in de privacyverklaringen die op de websites van de nationale bevoegde instanties worden geplaatst.

Het is aan de nationale bevoegde instanties in de lidstaten zelf om te besluiten in welke vorm en hoe deze informatie precies aan betrokkenen moet worden overgebracht. Aangezien de meeste bevoegde instanties ook andere verwerkingsactiviteiten dan informatie-uitwisselingen binnen het EWRS zullen verrichten, kan de wijze waarop zij personen informeren, indien passend, dezelfde zijn als de manier waarop soortgelijke informatie voor andere verwerkingshandelingen wordt doorgegeven overeenkomstig nationale wetgeving. Voorts wordt de bevoegde instanties geadviseerd om hun privacybeleid of privacyverklaringen — als ze reeds een privacyverklaring op hun nationale websites hebben geplaatst — bij te werken of aan te vullen met een specifieke verwijzing naar de uitwisseling van informatie van persoonsgegevens binnen het EWRS.

Om alle hierboven genoemde redenen is het van het grootste belang dat de bevoegde instanties in de lidstaten hun respectieve nationale gegevensbeschermingsautoriteiten raadplegen wanneer ze standaard-juridische mededelingen en privacyverklaringen opstellen overeenkomstig de artikelen 10 en 11 van Richtlijn 95/46/EG.

9.   TOEGANG TOT PERSOONSGEGEVENS EN ANDERE RECHTEN VAN BETROKKENEN

De gegevensbeschermingsvoorschriften op het gebied van informatieverstrekking aan betrokkenen die in sectie 8 zijn besproken, zijn er uiteindelijk op gericht om de transparantie van de verwerking van persoonsgegevens te waarborgen. Transparantie is ook de onderliggende doelstelling van de bepalingen inzake het recht op toegang van betrokkenen die zijn neergelegd in de wettelijke instrumenten van de EU op het vlak van gegevensbescherming (34).

Wat is het „recht op toegang tot gegevens” van betrokkenen?

Verantwoordelijken voor de verwerking van gegevens zijn verplicht om elke betrokkene het recht te waarborgen om, zonder bovenmatige vertraging of kosten, uitsluitsel omtrent het al dan niet bestaan van verwerkingen van hem of haar betreffende gegevens te verkrijgen, evenals informatie over de doeleinden van deze verwerking en over de ontvangers aan wie de gegevens kunnen worden verstrekt.

Verantwoordelijken voor de verwerking van gegevens moeten ook voorzien in waarborgen voor het recht van betrokkenen op rectificatie, uitwissing of afscherming van gegevens waarvan de verwerking niet overeenstemt met de toepasselijke gegevensbeschermingswetgeving, bijvoorbeeld vanwege de onvolledigheid of onjuistheid van de gegevens.

Tot slot moeten verantwoordelijken voor de verwerking van gegevens derden aan wie de gegevens zijn verstrekt in kennis stellen van elke rectificatie, uitwissing of afscherming die is uitgevoerd op rechtmatig verzoek van de betrokkene, tenzij dit onmogelijk blijkt of onevenredig veel moeite kost.

In hun hoedanigheid van voor de verwerking verantwoordelijken delen de Commissie en de lidstaten op de hierna beschreven wijze de verantwoordelijkheid voor het verlenen van het recht op toegang, rectificatie, afscherming en verwijdering van persoonsgegevens die binnen het EWRS worden verwerkt.

De Commissie is verantwoordelijk voor het verlenen van toegang tot persoonsgegevens van de nationale EWRS-knooppunten en voor de afhandeling van daarop betrekking hebbende verzoeken om rectificatie, afscherming en verwijdering. De nationale knooppunten wordt verzocht te verwijzen naar de specifieke bepaling in de uitgebreide privacyverklaring op de EWRS-webpagina van de Commissie (35) voor nadere informatie over de wijze waarop betrokkenen hun rechten kunnen doen gelden.

EWRS-gebruikers worden er tevens op attent gemaakt dat reeds een functie in het systeem is ingebouwd die hun de mogelijkheid biedt om hun persoonsgegevens rechtstreeks te wijzigen. Om het risico dat onbevoegde gebruikers zich toegang tot het systeem verschaffen te vermijden, kunnen de gegevensvelden waarmee een bepaald EWRS-account wordt geïdentificeerd (het geaccrediteerde e-mailadres van de gebruiker, het type account, enz.) echter niet door de gebruikers zelf worden gewijzigd. Elk verzoek om deze velden te wijzigen moet derhalve worden gericht tot de functionaris van de Commissie die verantwoordelijk is voor de verwerking van de gegevens (data controller), zoals wordt vermeld in de uitgebreide privacyverklaring op de EWRS-webpagina van de Commissie.

De verantwoordelijkheid voor de afhandeling van verzoeken van betrokkenen met betrekking tot gegevens voor de tracering van contacten, gezondheidsgegevens en andere persoonsgegevens die door de lidstaten via het EWRS worden uitgewisseld, berust bij de respectieve bevoegde instanties die betrokken zijn bij een gegeven selectieve informatie-uitwisseling. Deze verantwoordelijkheid wordt geregeld door de desbetreffende bepalingen van de nationale gegevensbeschermingswetgeving tot omzetting van Richtlijn 95/46/EG.

Opgemerkt moet echter worden dat krachtens de nationale wetgeving inzake gegevensbescherming tot omzetting van Richtlijn 95/46/EG specifieke restricties op of beperkingen van de rechten van betrokkenen op toegang tot en rectificatie, uitwissing en afscherming van gegevens van toepassing kunnen zijn (36). Dergelijke restricties of beperkingen moeten ondubbelzinnig worden vermeld in de mededelingen over de bescherming van de persoonlijke levenssfeer die aan betrokkenen worden verstrekt of in de privacyverklaringen die op de websites van de nationale bevoegde instanties worden geplaatst. EWRS-contactpunten wordt daarom geadviseerd contact op te nemen met hun nationale gegevensbeschermingsautoriteiten voor meer informatie over dit onderwerp.

De complexiteit van het EWRS, waarin meerdere gebruikers betrokken kunnen zijn bij gezamenlijke verwerkingsactiviteiten, maakt een duidelijke en eenvoudige benadering van het recht van betrokkene op toegang nodig, aangezien betrokkenen niet bekend zijn met de werking van het systeem en in de gelegenheid moeten worden gesteld om hun rechten effectief uit te oefenen.

Een benadering die aanbeveling verdient is dat, als een betrokkene denkt dat zijn of haar persoonsgegevens binnen het EWRS worden verwerkt en hij of zij toegang tot die gegevens wil verkrijgen of wenst dat deze worden verwijderd of gerectificeerd, de betrokkene zich moet kunnnen wenden tot elke nationale bevoegde instantie met wie hij of zij contact heeft gehad en/of die zijn of haar gegevens heeft verzameld in verband met een specifiek geval dat een risico voor de volksgezondheid met zich meebrengt (bijvoorbeeld zowel de instantie van het land waarvan de betrokkene onderdaan is als de instantie van het land waar de persoon verblijft op het moment dat het geval zich voordoet), evenals tot enige andere instantie die betrokken is bij die gegeven informatie-uitwisseling in verband met de toepassing van maatregelen voor de tracering van contacten.

Geen van de bevoegde instanties die betrokken zijn bij de desbetreffende informatie-uitwisseling mag de toegang tot of de rectificatie of verwijdering van persoonsgegevens weigeren op grond van het argument dat zij de gegevens niet in het EWRS heeft ingevoerd en dat de betrokkene contact moet opnemen met een andere bevoegde instantie. Als het verzoek van de betrokkene in ontvangst wordt genomen door een andere bevoegde instantie dan die welke de informatie oorspronkelijk via het kanaal voor selectieve uitwisseling heeft verzonden, moet de ontvangende autoriteit het verzoek, via het specifieke mechanisme als bedoeld in sectie 7, doorsturen naar de bevoegde instantie die het oorspronkelijke bericht heeft verzonden, welke instantie een besluit over het verzoek zal nemen.

Alvorens een besluit te nemen kan de bevoegde instantie die de informatie in het systeem heeft ingevoerd, indien passend, via het specifieke mechanisme als bedoeld in sectie 7 contact opnemen met andere bevoegde instanties die betrokken zijn bij de informatie-uitwisseling of anderszins betrokken zijn bij het verzoek van betrokkene.

Betrokkenen moeten er ook van in kennis worden gesteld dat ze, indien ze niet tevreden zijn met het ontvangen antwoord, contact kunnen opnemen met een andere bevoegde instantie die betrokken is bij de informatie-uitwisseling. In elk geval hebben betrokkenen het recht om een klacht in te dienen bij de nationale gegevensbeschermingsautoriteit van een van deze bevoegde instanties, en wel bij de gegevensbeschermingsautoriteit die hem of haar het meest geschikt lijkt. Indien nodig en passend moeten gegevensbeschermingsautoriteiten onderling samenwerken bij het afhandelen van de klacht (artikel 28 van Richtlijn 95/46/EG).

Tot slot heeft de Commissie, naar aanleiding van een specifieke aanbeveling die de EDPS in zijn advies heeft gedaan, een nieuwe functionaliteit in het EWRS ingebouwd die het mogelijk maakt om, met het oog op de naleving van de regels inzake gegevensbescherming, selectieve berichten die persoonlijke informatie bevatten die onjuist, niet up-to-date of niet langer nodig is of anderszins niet aan de gegevensbeschermingsvoorschriften voldoet, online te rectificeren of te verwijderen.

10.   GEGEVENSBEVEILIGING

Het systeem is slechts toegankelijk voor bevoegde gebruikers van de Commissie en het ECDC en voor officieel aangewezen nationale EWRS-knooppunten. De toegang wordt beschermd door middel van beveiligde en gepersonaliseerde gebruikersaccounts en wachtwoorden.

De procedures voor de behandeling van persoonlijke informatie in het EWRS worden vastgesteld onder verwijzing naar de voorschriften van de artikelen 21 en 22 van Verordening (EG) nr. 45/2001.

11.   BEWARING VAN GEGEVENS

In overeenstemming met de gegevensbeschermingsvoorschriften van artikel 4, lid 1, onder e), van Verordening (EG) nr. 45/2001 en artikel 6, lid 1, onder e), van Richtlijn 95/46/EG zal het systeem alle selectieve berichten die persoonlijke informatie bevatten twaalf maanden na de datum van verzending van de berichten automatisch uitwissen.

Deze in het systeem ingebouwde waarborg ontslaat EWRS-gebruikers echter niet van de verplichting — aangezien zij exclusief en individueel verantwoordelijk zijn voor hun eigen verwerkingsactiviteiten in het kanaal voor selectieve berichten — om actie te ondernemen teneinde persoonsgegevens die niet langer nodig zijn uit het systeem te verwijderen voordat de standaardtermijn van een jaar is verstreken.

Hiertoe heeft de Commissie een nieuwe functionaliteit in het systeem ingebouwd waarmee gebruikers selectieve berichten die persoonlijke informatie bevatten die niet langer nodig is, op elk moment rechtstreeks kunnen verwijderen.

Tot slot moet erop worden gewezen dat de nationale bevoegde instanties verantwoordelijk zijn voor de naleving van hun eigen gegevensbeschermingsvoorschriften inzake de bewaring van persoonsgegevens als neergelegd in de nationale wetgeving tot omzetting van Richtlijn 95/46/EG. De automatische uitwissing, na een jaar, van in het systeem opgeslagen persoonlijke informatie vormt voor EWRS-gebruikers geen belemmering om dezelfde informatie gedurende andere (bijvoorbeeld langere) perioden op te slaan buiten het EWRS, mits dit geschiedt in overeenstemming met de verplichtingen die voortvloeien uit hun respectieve nationale gegevensbeschermingswetgeving en de termijnen waarin de nationale wetgeving voorziet, verenigbaar zijn met de voorschriften van artikel 6, lid 1, onder e), van Richtlijn 95/46/EG.

12.   SAMENWERKING MET NATIONALE GEGEVENSBESCHERMINGSAUTORITEITEN

Bevoegde instanties worden aangespoord om advies van hun respectieve nationale gegevensbeschermingsautoriteit in te winnen, met name voor gegevensbeschermingsaangelegenheden die buiten het bestek van deze richtsnoeren vallen.

Bevoegde instanties dienen zich er ook bewust van te zijn dat ze, krachtens de nationale wetgeving tot omzetting van Richtlijn 95/46/EG, hun respectieve gegevensbeschermingsautoriteiten in kennis moeten stellen van hun eigen verwerkingsactiviteiten binnen het EWRS. In bepaalde lidstaten kan zelfs voorafgaande toestemming van de nationale gegevensbeschermingsautoriteit nodig zijn.

---

(1)  Voorts ondersteunt en assisteert het ECDC de Commissie bij de exploitatie van de EWRS-applicatie. Deze taak is aan het ECDC toegewezen bij Verordening (EG) nr. 851/2004 van het Europees Parlement en de Raad van 21 april 2004 tot oprichting van een Europees Centrum voor ziektepreventie en -bestrijding, met name artikel 8 (PB L 142 van 30.4.2004, blz. 1).

(2)  http://www.edps.europa.eu/EDPSWEB/edps/EDPS.

(3)  De categorieën van overdraagbare ziekten die onder het netwerk vallen, zijn beperkt tot de in de bijlage bij Beschikking nr. 2119/98/EG genoemde categorieën.

(4)  Artikel 2, onder a), van Richtlijn 95/46/EG en artikel 2, onder a), van Verordening (EG) nr. 45/2001.

(5)  Artikel 4 van Beschikking nr. 2119/98/EG.

(6)  Bijlage I bij Beschikking 2000/57/EG betreffende de omschrijving van de „gevallen” die binnen het EWRS dienen te worden gemeld.

(7)  Artikel 6 van Beschikking nr. 2119/98/EG.

(8)  De verduidelijking van de gerechtvaardigde doeleinden voor de verwerking van persoonsgegevens binnen het EWRS om daar ook gegevens „voor de tracering van contacten” onder te laten vallen, was het resultaat van de wijzigingen in Beschikking 2000/57/EG van de Commissie die zijn ingevoerd bij Beschikking 2009/547/EG.

(9)  Artikel 2, onder b), van Richtlijn 95/46/EG en artikel 2, onder b), van Verordening (EG) nr. 45/2001.

(10)  Zie sectie 5 voor de definitie van „de verantwoordelijke voor de verwerking”.

(11)  Een indicatieve lijst van persoonsgegevens die mogen worden uitgewisseld voor de tracering van contacten is als bijlage aan Beschikking 2009/547/EG gehecht.

(12)  Artikel 1 van en bijlage I bij Beschikking 2000/57/EG inzake de omschrijving van „gevallen” die binnen het EWRS dienen te worden gemeld.

(13)  Artikel 2 bis van Beschikking 2000/57/EG, ingevoerd bij Beschikking 2009/547/EG.

(14)  Zoals voorzien in artikel 8, lid 4, van Richtlijn 95/46/EG.

(15)  Zie met name de artikelen 4, 5 en 6 van deze beschikking.

(16)  Artikel 2 bis van Beschikking 2000/57/EG, ingevoerd bij Beschikking 2009/547/EG.

(17)  Definitie als neergelegd in artikel 2, onder d), van Richtlijn 95/46/EG.

(18)  In uitzonderlijke omstandigheden kan de Commissie wel worden betrokken bij de uitwisseling van persoonsgegevens via het selectieve kanaal van het EWRS, indien dit absoluut noodzakelijk is om de door Beschikking nr. 2119/98/EG en de uitvoeringsbepalingen daarvan vereiste tijdige en doelmatige toepassing van volksgezondheidsmaatregelen te coördineren en mogelijk te maken. In deze gevallen zal de Commissie ervoor zorgen dat de verwerking rechtmatig is en wordt uitgevoerd met inachtneming van de bepalingen van Verordening (EG) nr. 45/2001.

(19)  Definitie als neergelegd in artikel 2, onder e), van Verordening (EG) nr. 45/2001.

(20)  Deze beginselen zijn ingebed in artikel 23, lid 1, van Verordening (EG) nr. 45/2001 inzake verwerking van persoonsgegevens voor rekening van de verantwoordelijke voor de verwerking.

(21)  Het beginsel van rechtmatigheid vloeit voort uit de gezamenlijke bepalingen van artikel 6, lid 1, onder a), artikel 7 en artikel 8 van Richtlijn 95/46/EG. Zie ook de overeenkomstige bepalingen van Verordening (EG) nr. 45/2001.

(22)  Het beginsel van doelbinding is geformuleerd in artikel 6, lid 1, onder b), van Richtlijn 95/46/EG en in de overeenkomstige bepalingen van artikel 4, lid 1, onder b), van Verordening (EG) nr. 45/2001.

(23)  Artikel 6, lid 1, onder c) en d), van Richtlijn 95/46/EG en artikel 4, lid 1, onder c) en d), van Verordening (EG) nr. 45/2001.

(24)  Artikel 6, lid 1, onder e), van Richtlijn 95/46/EG en artikel 4, lid 1, onder e) van Verordening (EG) nr. 45/2001.

(25)  Het beginsel van vertrouwelijkheid is neergelegd in artikel 16 van Richtlijn 95/46/EG en de overeenkomstige bepaling van artikel 21 van Verordening (EG) nr. 45/2001.

(26)  Het beginsel van gegevensbeveiliging is geformuleerd in artikel 17 van Richtlijn 95/46/EG en de overeenkomstige bepaling van artikel 22 van Verordening (EG) nr. 45/2001.

(27)  Voor de volledige lijst van uitzonderingen op het verbod om bepaalde bijzondere categorieën van gegevens te verwerken, waaronder gezondheidsgegevens, zie artikel 8, leden 2, 3, 4 en 5, van Richtlijn 95/46/EG.

(28)  Artikel 8, lid 4, van Richtlijn 95/46/EG.

(29)  Desalniettemin kunnen EWRS-gebruikers voor de alternatieve optie kiezen om dit kanaal ook te gebruiken voor het selectief delen van informatie over technische kwesties waarmee geen overdracht van persoonsgegevens is gemoeid. Wanneer in plaats van de standaardoptie de alternatieve optie wordt gekozen, kunnen de Commissie en het ECDC door de instantie die het bericht verzendt als ontvanger worden geselecteerd. Deze functie is in het systeem ingebouwd om rekening te houden met de institutionele rol van de Commissie op het gebied van de coördinatie van het beheer van risico’s en gebeurtenissen en die van het ECDC met betrekking tot de uitvoering van risicobeoordelingstaken.

(30)  Volgens het beginsel „privacy by design” moeten informatie- en communicatietechnologieën zodanig worden ontworpen en ontwikkeld dat reeds op de tekentafel en in alle ontwikkelingsfasen rekening wordt gehouden met privacy- en gegevensbeschermingsvoorschriften.

(31)  De informatieplicht van de Commissie is gebaseerd op de artikelen 11 en 12 van Verordening (EG) nr. 45/2001.

(32)  De te verstrekken informatie is de informatie die wordt vermeld in artikel 10 van Richtlijn 95/46/EG, plus de betrokken categorieën van gegevens. Deze informatie hoeft uiteraard niet te worden verstrekt in geval van verkrijging van de betrokkene zelf, die over de betrokken categorieën van gegevens wordt geïnformeerd op het moment dat ze worden verkregen.

(33)  Artikel 13, lid 1, van Richtlijn 95/46/EG over uitzonderingen en beperkingen bepaalt het volgende: „De lidstaten kunnen wettelijke maatregelen treffen ter beperking van de reikwijdte van de in artikel 6, lid 1, artikel 10, artikel 11, lid 1, artikel 12 en artikel 21 bedoelde rechten en plichten indien dit noodzakelijk is ter vrijwaring van: a) de veiligheid van de staat; b) de landsverdediging; c) de openbare veiligheid; d) het voorkomen, het onderzoeken, opsporen en vervolgen van strafbare feiten of schendingen van de beroepscodes voor gereglementeerde beroepen; e) een belangrijk economisch en financieel belang van een lidstaat of van de Europese Unie, met inbegrip van monetaire, budgettaire en fiscale aangelegenheden; f) een taak op het gebied van controle, inspectie of regelgeving, verbonden, ook al is dit incidenteel, met de uitoefening van het openbaar gezag in de onder c), d) en e), bedoelde gevallen; g) de bescherming van de betrokkene of van de rechten en vrijheden van anderen”.

(34)  Artikel 12 van Richtlijn 95/46/EG en de artikelen 13 tot en met 18 van Verordening (EG) nr. 45/2001.

(35)  De privacyverklaring is voor alle EWRS-gebruikers ook te vinden in het beveiligde gedeelte van de EWRS-applicatie.

(36)  Artikel 13, lid 1, van Richtlijn 95/46/EG.