02017D0253 — NL — 26.07.2021 — 002.001

Onderstaande tekst dient louter ter informatie en is juridisch niet bindend. De EU-instellingen zijn niet aansprakelijk voor de inhoud. Alleen de besluiten die zijn gepubliceerd in het Publicatieblad van de Europese Unie (te raadplegen in EUR-Lex) zijn authentiek. Deze officiële versies zijn rechtstreeks toegankelijk via de links in dit document

►B

UITVOERINGSBESLUIT (EU) 2017/253 VAN DE COMMISSIE

van 13 februari 2017

tot vaststelling van procedures voor alarmmeldingen in het kader van het met betrekking tot ernstige grensoverschrijdende bedreigingen van de gezondheid ingestelde systeem voor vroegtijdige waarschuwing en reactie en voor de informatie-uitwisseling, onderlinge raadpleging en coördinatie van de reacties op dergelijke bedreigingen overeenkomstig Besluit nr. 1082/2013/EU van het Europees Parlement en de Raad

(Voor de EER relevante tekst)

(PB L 037 van 14.2.2017, blz. 23)

Gewijzigd bij:

 

 

Publicatieblad

  nr.

blz.

datum

►M1

UITVOERINGSBESLUIT (EU) 2021/858 VAN DE COMMISSIE van 27 mei 2021

  L 188

106

28.5.2021

►M2

UITVOERINGSBESLUIT (EU) 2021/1212 VAN DE COMMISSIE van 22 juli 2021

  L 263

32

23.7.2021



▼B

UITVOERINGSBESLUIT (EU) 2017/253 VAN DE COMMISSIE

van 13 februari 2017

tot vaststelling van procedures voor alarmmeldingen in het kader van het met betrekking tot ernstige grensoverschrijdende bedreigingen van de gezondheid ingestelde systeem voor vroegtijdige waarschuwing en reactie en voor de informatie-uitwisseling, onderlinge raadpleging en coördinatie van de reacties op dergelijke bedreigingen overeenkomstig Besluit nr. 1082/2013/EU van het Europees Parlement en de Raad

(Voor de EER relevante tekst)



Artikel 1

De voor het EWRS bevoegde autoriteiten

1.  
De Commissie verleent de overeenkomstig artikel 15, lid 1, onder b), van Besluit nr. 1082/2013/EU aangewezen voor het EWRS bevoegde autoriteiten toegang tot het overeenkomstig artikel 8 van Besluit nr. 1082/2013/EU ingestelde systeem voor vroegtijdige waarschuwing en reactie.
2.  
De lidstaten waarborgen dat doeltreffende communicatiekanalen tot stand worden gebracht tussen de voor het EWRS bevoegde autoriteiten en eventuele andere relevante autoriteiten die onder hun rechtsmacht vallen, met het oog op het onverwijld constateren van ernstige grensoverschrijdende bedreigingen van de gezondheid die voldoen aan de criteria van artikel 9, leden 1 en 2, van Besluit nr. 1082/2013/EU.

▼M1

Artikel 1 bis

Definities

Voor de toepassing van dit besluit wordt verstaan onder:

a) 

„traceringsformulier voor passagiers” (PLF): een formulier dat op verzoek van de volksgezondheidsinstanties wordt ingevuld, waarin ten minste de in bijlage I vermelde passagiersgegevens worden verzameld en dat deze instanties ondersteunt bij het beheer van een gebeurtenis op het gebied van de volksgezondheid door hen in staat te stellen passagiers die nationale grenzen overschrijden en mogelijk aan SARS-CoV-2 zijn blootgesteld of in contact met een besmet persoon zijn gekomen, op te sporen;

b) 

„gegevens van het traceringsformulier voor passagiers” (PLF-gegevens): persoonsgegevens die via een PLF zijn verzameld;

c) 

„digitaal toegangspunt”: één digitale locatie waar de voor het EWRS bevoegde autoriteiten hun nationale digitale PLF-systemen veilig met het PLF-uitwisselingsplatform kunnen verbinden;

d) 

„reis”: de grensoverschrijdende reis van een persoon, door middel van collectief vervoer met vooraf toegewezen zitplaatsen, rekening houdend met het oorspronkelijke vertrekpunt en eindbestemming van die persoon, met een of meer deeltrajecten;

e) 

„deeltraject”: één grensoverschrijdende reis van een passagier zonder overstap of wijziging van vliegtuig, trein, vaartuig of voertuig;

f) 

„besmette passagier”: een passagier die voldoet aan het laboratoriumcriterium voor besmetting met SARS-CoV-2;

g) 

„blootgestelde persoon”: een passagier of een andere persoon die in nauw contact is geweest met een besmette passagier;

h) 

„alarm”: een kennisgeving via het systeem voor vroegtijdige waarschuwing en reactie (EWRS) overeenkomstig artikel 9 van Besluit nr. 1082/2013/EU.

▼B

Artikel 2

Alarmmeldingen in het EWRS

1.  
Indien een lidstaat of de Commissie kennis krijgt van de opkomst of ontwikkeling van een ernstige grensoverschrijdende bedreiging van de gezondheid in de zin van artikel 9, lid 1, van Besluit nr. 1082/2013/EU meldt deze onverwijld en in elk geval uiterlijk 24 uur nadat hij of zij kennis heeft gekregen van de bedreiging het in dat artikel bedoelde alarm.
2.  
De lidstaat of de Commissie kan het Gezondheidsbeveiligingscomité (HSC, Health Security Committee) in kennis stellen van de melding van een alarm.
3.  
De in lid 1 bedoelde meldingsplicht laat de meldingsplicht van artikel 9, lid 2, van Besluit nr. 1082/2013/EU onverlet.
4.  
Het feit dat niet alle in artikel 9, lid 3, van dat besluit bedoelde relevante informatie beschikbaar is, is geen geldige reden voor het uitstellen van een alarmmelding.
5.  
In de in lid 1 bedoelde alarmmelding wordt gespecificeerd hoe aan de criteria van artikel 9, lid 1, van Besluit nr. 1082/2013/EU wordt voldaan.
6.  
Indien een lidstaat of de Commissie met het oog op coördinatie naar aanleiding van een alarmmelding beschikbare relevante informatie overeenkomstig artikel 9, lid 3, van Besluit nr. 1082/2013/EU wenst mede te delen, maakt hij of zij gebruik van de ad-hocfunctie van het EWRS om een „opmerking” te posten in antwoord op de oorspronkelijke melding.

▼M1

Artikel 2 bis

Platform voor de uitwisseling van PLF-gegevens

1.  
►M2  In het kader van het EWRS wordt een platform (PLF-uitwisselingsplatform) opgericht voor de veilige uitwisseling van PLF-gegevens van besmette passagiers en blootgestelde personen, dat uitsluitend bedoeld is voor de opsporing van aan SARS-CoV-2 blootgestelde personen door de voor het EWRS bevoegde autoriteiten, als aanvulling op de selectieve berichtenfunctie van dat systeem. ◄

Het PLF-uitwisselingsplatform biedt een digitaal toegangspunt waarop de voor het EWRS bevoegde autoriteiten hun nationale digitale PLF-systemen veilig kunnen aansluiten of waartoe ze via het gemeenschappelijke digitale systeem van traceringsformulieren voor passagiers van de Europese Unie (EUdPLF) toegang kunnen krijgen, teneinde de uitwisseling van via PLF’s verzamelde gegevens mogelijk te maken.

De voor het EWRS bevoegde autoriteiten kunnen gebruikmaken van het PLF-uitwisselingsplatform voor de uitwisseling van aanvullende gegevens, dat wil zeggen epidemiologische gegevens die uitsluitend bedoeld zijn voor de opsporing van aan SARS-CoV-2 blootgestelde personen, overeenkomstig artikel 2 ter, lid 5.

2.  
Het PLF-uitwisselingsplatform wordt geëxploiteerd door het ECDC.
3.  
Ten einde aan hun verplichtingen uit hoofde van artikel 2 te voldoen en melding te maken van ernstige grensoverschrijdende bedreigingen van de gezondheid die in het kader van de verzameling van PLF-gegevens zijn vastgesteld, wisselen de voor het EWRS bevoegde autoriteiten van de lidstaten die ingevulde PLF’s vereisen, een reeks PLF-gegevens via het PLF-uitwisselingsplatform uit, zoals beschreven in artikel 2 ter.
4.  
De voor het EWRS bevoegde autoriteiten kunnen tijdelijk blijven voldoen aan hun verplichtingen uit hoofde van artikel 9, leden 1 en 3, van Besluit nr. 1082/2013/EU om melding te maken van ernstige grensoverschrijdende bedreigingen van de gezondheid die zijn vastgesteld in het kader van de verzameling van PLF-gegevens via de andere bestaande communicatiekanalen als bedoeld in artikel 1, lid 2, van dit besluit, op voorwaarde dat die keuze het doel van opsporing van contacten niet in gevaar brengt.
5.  
De PLF- en aanvullende epidemiologische gegevens worden niet op het PLF-uitwisselingsplatform opgeslagen. Het PLF-uitwisselingsplatform zorgt er alleen voor dat de voor het EWRS bevoegde autoriteiten gegevens kunnen ontvangen die hun door andere voor het EWRS bevoegde autoriteiten zijn toegezonden en die uitsluitend bedoeld zijn voor de opsporing van SARS-CoV-2-contacten. Het ECDC consulteert de gegevens uitsluitend om de goede werking van het PLF-uitwisselingsplatform te waarborgen.
6.  
De voor het EWRS bevoegde autoriteiten bewaren de via het PLF-uitwisselingsplatform ontvangen PLF- en epidemiologische gegevens niet langer dan de bewaringstermijn die van toepassing is in het kader van hun nationale contactopsporingsactiviteiten vanwege SARS-CoV-2.
7.  
De Commissie werkt samen met het ECDC bij de uitvoering van de taken waarmee het krachtens dit besluit is belast, met name wat betreft technische en organisatorische maatregelen met betrekking tot de uitrol, de uitvoering, de exploitatie, het onderhoud en de verdere ontwikkeling van het PLF-uitwisselingsplatform.
8.  
De verwerking via het PLF-uitwisselingsplatform van persoonsgegevens die uitsluitend bedoeld zijn voor de opsporing van SARS-CoV-2-contacten, wordt uitgevoerd tot en met 31 mei 2022 of tot de directeur-generaal van de Wereldgezondheidsorganisatie overeenkomstig de Internationale Gezondheidsregeling het einde van de door SARS-CoV-2 veroorzaakte noodsituatie op het gebied van de volksgezondheid van internationaal belang heeft afgekondigd, al naar gelang welke datum eerder valt.

Artikel 2 ter

Uit te wisselen gegevens

▼M2

1.  

Bij melding van een alarm op het PLF-uitwisselingsplatform sturen de voor het EWRS bevoegde autoriteiten van de lidstaat waar de besmette passagier is geïdentificeerd de volgende PLF-gegevens toe aan de voor het EWRS bevoegde autoriteiten van de lidstaat van oorspronkelijk vertrek, of van de lidstaat van verblijf van de besmette passagier indien de verblijfplaats verschilt van de plaats van oorspronkelijk vertrek, of van de lidstaat van het laatste vertrek van de besmette passagier indien het invullen van een PLF in die lidstaat alleen verplicht is voor het laatste deeltraject van de reis:

▼M1

a) 

voornaam;

b) 

achternaam;

c) 

geboortedatum;

d) 

telefoonnummer (vast en/of mobiel);

e) 

e-mailadres;

f) 

woonadres.

▼M2

1 bis.  
De voor het EWRS bevoegde autoriteiten sturen ook de in lid 1 bedoelde PLF-gegevens van blootgestelde personen via het PLF-uitwisselingsplatform door aan de voor het EWRS bevoegde autoriteiten van de lidstaten van oorspronkelijk vertrek of verblijf van die personen, of, indien het invullen van een PLF in die lidstaat alleen verplicht is voor het laatste deeltraject van de reis, aan de lidstaat van laatste vertrek van de besmette passagier, mits die gegevens in het kader van maatregelen voor de opsporing van contacten naar aanleiding van de identificatie van een besmette passagier zijn verzameld en het versturen ervan nodig is voor de opsporing van contacten.
1 ter.  
De voor het EWRS bevoegde autoriteiten die de in de leden 1 en 1 bis bedoelde gegevens verzenden, geven aan of die gegevens betrekking hebben op een besmette passagier of op een blootgestelde persoon.

▼M2

2.  
De voor het EWRS bevoegde autoriteiten van de lidstaat van het oorspronkelijke of laatste vertrek van de besmette passagier of de blootgestelde persoon kunnen de ontvangen PLF-gegevens doorsturen aan een andere lidstaat van vertrek dan die welke in het PLF als lidstaat van vertrek is opgegeven, indien zij beschikken over aanvullende informatie die wijst op de lidstaat die de contacten moet opsporen.

▼M1

3.  

►M2  Indien dat nodig is om blootgestelde personen te identificeren, sturen de voor het EWRS bevoegde autoriteiten van de lidstaat waar de besmette passagier is geïdentificeerd bij melding van een alarm op het PLF-uitwisselingsplatform voor elk beschikbaar deeltraject van de reis van die passagier de volgende PLF-gegevens aan de voor het EWRS bevoegde autoriteiten van alle lidstaten toe: ◄

▼M2

a) 

de plaats van vertrek van elk betrokken vervoermiddel, tenzij die plaats kan worden afgeleid uit de in punt e) bedoelde informatie;

b) 

de plaats van aankomst van elk betrokken vervoermiddel, tenzij die plaats kan worden afgeleid uit de in punt e) bedoelde informatie;

▼M1

c) 

de datum van vertrek van elk betrokken vervoersmiddel;

d) 

type betrokken vervoersmiddel (bv. vliegtuig, trein, touringcar, veerboot, schip);

e) 

het identificatienummer van elke betrokken vervoersdienst (bv. vluchtnummer, treinnummer, kentekenplaat van de touringcar, naam van veerboot of schip);

f) 

het zitplaats- of hutnummer in elk betrokken vervoersmiddel;

▼M2

g) 

het tijdstip van vertrek van elk betrokken vervoermiddel, tenzij dat tijdstip kan worden afgeleid uit de in punt e) bedoelde informatie.

▼M1

4.  
Indien de voor het EWRS bevoegde autoriteiten van de lidstaat die het alarm meldt, op basis van de informatie waarover zij beschikken de betrokken lidstaten kunnen identificeren, sturen zij de in lid 3 bedoelde gegevens uitsluitend toe aan de voor het EWRS bevoegde autoriteiten van die lidstaten.
5.  

De voor het EWRS bevoegde autoriteiten moeten de volgende epidemiologische gegevens kunnen verstrekken, indien dit nodig is voor een doeltreffende opsporing van contacten:

a) 

type van de uitgevoerde test;

b) 

variant van het SARS-CoV-2-virus;

c) 

bemonsteringsdatum;

d) 

datum waarop de symptomen zijn opgetreden.

▼M2

6.  
Indien het nationale PLF-systeem van een lidstaat tijdelijk niet beschikbaar is, kunnen de voor het EWRS bevoegde autoriteiten van de lidstaat die de in de leden 1, 3 en 5 bedoelde persoonsgegevens op grond van nationaal recht van de vervoerders, de besmette passagier of de blootgestelde persoon hebben verzameld, die gegevens gedurende de periode van tijdelijke onbeschikbaarheid via het PLF-uitwisselingsplatform verzenden ten behoeve van de opsporing van contacten.

▼M1

Artikel 2 quater

Verantwoordelijkheden van de voor het EWRS bevoegde autoriteiten en van het ECDC bij de verwerking van PLF-gegevens

1.  
De voor het EWRS bevoegde autoriteiten die PLF-gegevens en de in artikel 2 ter, lid 5, bedoelde gegevens uitwisselen, zijn gezamenlijke verwerkingsverantwoordelijken voor het invoeren en doorgeven van die gegevens via het PLF-uitwisselingsplatform tot de ontvangst ervan. De respectieve verantwoordelijkheden van de gezamenlijke verwerkingsverantwoordelijken worden toegewezen overeenkomstig bijlage II. Elke lidstaat die wil deelnemen aan de grensoverschrijdende uitwisseling van PLF-gegevens via het PLF-platform, stelt voorafgaand aan deelname het ECDC in kennis van zijn intentie en vermeldt zijn voor het EWRS bevoegde autoriteit die als verwerkingsverantwoordelijke is aangewezen.
2.  
Het ECDC is de verwerker van gegevens die via het PLF-uitwisselingsplatform worden uitgewisseld. Het voorziet in het PLF-uitwisselingsplatform en waarborgt de beveiliging van de verwerking, met inbegrip van de doorgifte, van gegevens die via het PLF-uitwisselingsplatform worden uitgewisseld, en voldoet aan de in bijlage III vastgestelde verplichtingen van een verwerker.
3.  
De doeltreffendheid van de technische en organisatorische maatregelen om de beveiliging van de verwerking van PLF-gegevens via het PLF-uitwisselingsplatform te waarborgen, wordt regelmatig getest, beoordeeld en geëvalueerd door het ECDC en door de voor het EWRS bevoegde autoriteiten die tot het PLF-uitwisselingsplatform toegang hebben.
4.  
Het ECDC betrekt de Commissie als subverwerker en zorgt ervoor dat voor de Commissie dezelfde gegevensbeschermingsverplichtingen gelden als die welke in dit besluit zijn vastgesteld.

▼B

Artikel 3

Andere systemen voor snelle waarschuwing en informatie van de Unie

1.  
In de in artikel 2, lid 1, bedoelde alarmmelding wordt gespecificeerd of de geconstateerde bedreiging eerder is gemeld via een ander waarschuwings- of informatiesysteem op het niveau van de Unie of uit hoofde van het Euratom-Verdrag.
2.  
Indien een ernstige grensoverschrijdende bedreiging van de gezondheid wordt gemeld via meer dan één waarschuwings- of informatiesysteem van de Unie wijst de Commissie via het EWRS het prioritaire systeem voor de desbetreffende soort van informatie-uitwisseling aan.
3.  
Voor de toepassing van dit artikel behoren de in ►M1  bijlage IV ◄ beschreven systemen tot de andere waarschuwings- en informatiesystemen op het niveau van de Unie of uit hoofde van het Euratom-Verdrag.

Artikel 4

Coördinatie van nationale reacties op ernstige grensoverschrijdende bedreigingen van de gezondheid

1.  
Indien overeenkomstig artikel 11, lid 1, onder a), van Besluit nr. 1082/2013/EU wordt verzocht om onderling overleg met het oog op het coördineren van de reactie op een ernstige grensoverschrijdende bedreiging van de gezondheid zorgt de Commissie ervoor dat het in het HSC te plegen overleg binnen twee werkdagen na het verzoek plaatsvindt, waarbij de urgentie afhangt van de ernst van die bedreiging.
2.  
De Commissie stelt het HSC in kennis van het verzoek en verstrekt het HSC alle relevante informatie over de bedreiging die nog niet via het EWRS werd verspreid.
3.  
Ook de lidstaten verstrekken schriftelijk alle beschikbare informatie met betrekking tot de bedreiging die nog niet via het EWRS werd verspreid, inclusief volksgezondheidsmaatregelen of andere maatregelen die zijn genomen of zullen worden genomen.
4.  
Het HSC onderzoekt alle beschikbare informatie met betrekking tot de desbetreffende bedreiging, inclusief alarmmeldingen, risicobeoordelingen en andere informatie die de lidstaten of de Commissie via het EWRS of het HSC hebben verspreid, met inbegrip van informatie over volksgezondheidsmaatregelen die zijn genomen of zullen worden genomen. Dat onderzoek vindt onverwijld plaats.
5.  
Lidstaten die volksgezondheidsmaatregelen ter bestrijding van ernstige grensoverschrijdende bedreigingen van de gezondheid overwegen of nemen, moeten rekening houden met het resultaat van het in het kader van het overleg met het HSC uitgevoerde onderzoek.

Artikel 5

Risico- en crisiscommunicatie

1.  
Naar aanleiding van een verzoek om overleg overeenkomstig artikel 11, lid 1, onder b), van Besluit nr. 1082/2013/EU plegen de lidstaten onderling overleg in het HSC en stellen zij de inhoud en de vorm voor van de risico- en crisiscommunicatie van de lidstaten met het grote publiek en/of beroepsbeoefenaren in de gezondheidszorg. De lidstaten kunnen die communicatie aanpassen aan hun behoeften en omstandigheden.
2.  
Lidstaten die al waren begonnen met risico- en crisiscommunicatie in verband met een ernstige grensoverschrijdende bedreiging van de gezondheid stellen het HSC en de Commissie schriftelijk in kennis van de inhoud daarvan.

Artikel 6

Deactivering van de alarmmelding

Wanneer de omstandigheden die de melding van een alarm overeenkomstig artikel 9, lid 1, van Besluit nr. 1082/2013/EU rechtvaardigden, ophouden te bestaan, wordt het alarm gedeactiveerd door de lidstaat die het alarm had gemeld, of door de Commissie indien zij het alarm had gemeld. Het alarm wordt pas gedeactiveerd nadat alle bij het alarm betrokken lidstaten daarmee hebben ingestemd.

Artikel 7

Intrekking van Beschikking 2000/57/EG

1.  
Beschikking 2000/57/EG wordt ingetrokken.
2.  
Verwijzingen naar de ingetrokken beschikking gelden als verwijzingen naar dit besluit.

Artikel 8

Inwerkingtreding

Dit besluit treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

▼M1



BIJLAGE I

VIA HET NATIONALE PLF TE VERZAMELEN MINIMUMPAKKET PLF-GEGEVENS

Het PLF bevat ten minste de volgende PLF-gegevens:

1) 

voornaam;

2) 

achternaam;

3) 

geboortedatum;

4) 

telefoonnummer (vast en/of mobiel);

5) 

e-mailadres;

6) 

woonadres;

▼M2 —————

▼M1

8) 

►M2  de volgende informatie voor elk deeltraject van een reis waarvoor het invullen van een PLF in de lidstaat verplicht is: ◄

▼M2

a) 

de plaats van vertrek, tenzij die plaats kan worden afgeleid uit de in punt f) bedoelde informatie;

b) 

de plaats van aankomst, tenzij die plaats kan worden afgeleid uit de in punt f) bedoelde informatie;

▼M1

c) 

de datum van vertrek;

d) 

type vervoersmiddel (bv. vliegtuig, trein, touringcar, veerboot, schip);

▼M2

e) 

het tijdstip van vertrek, tenzij dat tijdstip kan worden afgeleid uit de in punt f) bedoelde informatie;

▼M1

f) 

identificatienummer van de vervoersdienst (bv. vluchtnummer, treinnummer, kentekenplaat van touringcar, naam van veerboot of schip);

g) 

zitplaats-/hutnummer.



BIJLAGE II

VERANTWOORDELIJKHEDEN VAN DE DEELNEMENDE LIDSTATEN ALS GEZAMENLIJKE VERWERKINGSVERANTWOORDELIJKEN VOOR HET PLF-UITWISSELINGSPLATFORM

AFDELING 1

Verdeling van verantwoordelijkheden

1) Elke voor het EWRS bevoegde autoriteit zorgt ervoor dat de PLF-gegevens en de aanvullende epidemiologische gegevens die via het PLF-uitwisselingsplatform worden uitgewisseld, overeenkomstig Verordening (EU) 2016/679 van het Europees Parlement en de Raad ( 1 ) worden verwerkt. Zij ziet er met name op toe dat de gegevens die zij via het PLF-uitwisselingsplatform invoert en doorstuurt, nauwkeurig zijn, en beperkt blijven tot de in artikel 2 ter van dit besluit vastgestelde gegevens.

2) Elke voor het EWRS bevoegde autoriteit blijft de enige verwerkingsverantwoordelijke voor het verzamelen, gebruiken, openbaar maken en elke andere verwerking van PLF-gegevens en aanvullende epidemiologische gegevens die buiten het PLF-uitwisselingsplatform plaatsvindt. Elke voor het EWRS bevoegde autoriteit zorgt ervoor dat de gegevens overeenkomstig de voor het PLF-uitwisselingsplatform vastgestelde technische specificaties worden doorgegeven.

3) Instructies aan de verwerker worden door een van de contactpunten van de gezamenlijke verwerkingsverantwoordelijken in overeenstemming met de andere gezamenlijke verwerkingsverantwoordelijken toegezonden.

4) Alleen personen die door voor het EWRS bevoegde autoriteiten zijn gemachtigd, mogen PLF-gegevens en aanvullende epidemiologische gegevens die via het PLF-uitwisselingsplatform zijn uitgewisseld, raadplegen.

5) Elke voor het EWRS bevoegde autoriteit richt een contactpunt met een functionele mailbox in voor communicatie tussen de gezamenlijke verwerkingsverantwoordelijken en tussen de gezamenlijke verwerkingsverantwoordelijken en de verwerker. Het besluitvormingsproces van de gezamenlijke verwerkingsverantwoordelijken wordt geregeld door de werkgroep van het Gezondheidsbeveiligingscomité van het EWRS.

6) Elke voor het EWRS bevoegde autoriteit is geen gezamenlijk verwerkingsverantwoordelijke meer vanaf de datum waarop haar deelname aan het PLF-uitwisselingsplatform wordt ingetrokken. Zij blijft echter verantwoordelijk voor de PLF-gegevens en aanvullende epidemiologische gegevens die voor de intrekking van haar deelname via het PLF-uitwisselingsplatform zijn verzameld en doorgegeven.

7) Elke voor het EWRS bevoegde autoriteit houdt een register bij van de verwerkingsactiviteiten die onder haar verantwoordelijkheid plaatsvinden. De gezamenlijke verwerkingsverantwoordelijkheid mag in het register worden vermeld.

AFDELING 2

Verantwoordelijkheden en rollen voor het behandelen van verzoeken en voor het informeren van betrokkenen

1) Elke voor het EWRS bevoegde autoriteit die een PLF vereist, verstrekt overeenkomstig de artikelen 13 en 14 van Verordening (EU) 2016/679 de passagiers die een grens overschrijden (de betrokkenen), informatie over de omstandigheden waaronder hun PLF- en epidemiologische gegevens met het oog op het opsporen van contacten via het PLF-uitwisselingsplatform worden uitgewisseld.

2) Elke voor het EWRS bevoegde autoriteit fungeert als contactpunt voor de betrokkenen en behandelt de door hen of hun vertegenwoordigers in verband met de uitoefening van hun rechten overeenkomstig Verordening (EU) 2016/679 ingediende verzoeken. Elke voor het EWRS bevoegde autoriteit wijst een specifiek contactpunt aan voor de verzoeken van betrokkenen. Indien een voor het EWRS bevoegde autoriteit een verzoek van een betrokkene ontvangt dat niet onder haar verantwoordelijkheid valt, stuurt zij het onverwijld door aan de verantwoordelijke voor het EWRS bevoegde autoriteit en stelt zij het ECDC daarvan in kennis. De voor het EWRS bevoegde autoriteiten verlenen elkaar op verzoek bijstand bij het behandelen van de verzoeken van de betrokkenen met betrekking tot de gezamenlijke verwerkingsverantwoordelijkheid en beantwoorden elkaars verzoek onverwijld, en uiterlijk binnen 15 dagen, na ontvangst van een verzoek om bijstand.

3) Elke voor het EWRS bevoegde autoriteit stelt de inhoud van deze bijlage, met inbegrip van de in de punten 1 en 2 vastgestelde regelingen, ter beschikking van de betrokkenen.

AFDELING 3

Beheer van beveiligingsincidenten, met inbegrip van inbreuken in verband met persoonsgegevens

1) De voor het EWRS bevoegde autoriteiten verlenen elkaar als gezamenlijke verwerkingsverantwoordelijken bijstand bij de identificatie en behandeling van beveiligingsincidenten, met inbegrip van inbreuken in verband met persoonsgegevens, die verband houden met de verwerking van PLF- en epidemiologische gegevens die via het PLF-uitwisselingsplatform zijn uitgewisseld.

2) Zij stellen elkaar en het ECDC met name in kennis van:

a) 

alle potentiële of feitelijke risico’s voor de beschikbaarheid, de vertrouwelijkheid en/of de integriteit van de PLF- en epidemiologische gegevens die in het PLF-uitwisselingsplatform zijn verwerkt;

b) 

alle inbreuken in verband met persoonsgegevens, de waarschijnlijke gevolgen van de inbreuken en de beoordeling van het risico voor de rechten en vrijheden van natuurlijke personen, alsmede alle maatregelen die zijn genomen om de inbreuken in verband met persoonsgegevens aan te pakken en het risico voor de rechten en vrijheden van natuurlijke personen te beperken;

c) 

alle inbreuken op de technische en/of organisatorische waarborgen van de verwerking in het PLF-uitwisselingsplatform.

3) De voor het EWRS bevoegde autoriteiten melden, overeenkomstig de artikelen 33 en 34 van Verordening (EU) 2016/679 of na kennisgeving door het ECDC, alle inbreuken in verband met de verwerking in het PLF-uitwisselingsplatform aan het ECDC, aan de bevoegde toezichthoudende autoriteiten en, in voorkomend geval, aan de betrokkenen.

4) Elke voor het EWRS bevoegde autoriteit neemt passende technische en organisatorische maatregelen om:

a) 

de veiligheid, integriteit en vertrouwelijkheid van de gezamenlijk verwerkte persoonsgegevens te waarborgen en te beschermen;

b) 

persoonsgegevens in haar bezit te beschermen tegen ongeoorloofde of onrechtmatige verwerking, verlies, gebruik, openbaarmaking, verkrijging of toegang;

c) 

te waarborgen dat de persoonsgegevens niet algemeen toegankelijk zijn of toegankelijk zijn voor anderen dan de ontvangers of verwerkers.

AFDELING 4

Gegevensbeschermingseffectbeoordeling

Indien een verwerkingsverantwoordelijke, om te voldoen aan zijn verplichtingen uit hoofde van de artikelen 35 en 36 van Verordening (EU) 2016/679, informatie van een andere verwerkingsverantwoordelijke nodig heeft, zendt hij een specifiek verzoek naar de in afdeling 1, onderafdeling 1, punt 5, bedoelde functionele mailbox. De laatstgenoemde zal alles in het werk stellen om deze informatie te verstrekken.



BIJLAGE III

VERANTWOORDELIJKHEDEN VAN HET ECDC ALS GEGEVENSVERWERKER VOOR HET PLF-UITWISSELINGSPLATFORM

1) Het ECDC is verantwoordelijk voor het opzetten en waarborgen van een veilige en betrouwbare communicatie-infrastructuur die de voor het EWRS bevoegde autoriteiten van de lidstaten die aan het PLF-uitwisselingsplatform deelnemen, met elkaar verbindt.

De verwerking van het PLF-uitwisselingsplatform door het ECDC omvat het volgende:

a) 

vaststellen van de minimale technische voorschriften om een vlotte en veilige on- en offboarding van nationale PLF-databanken mogelijk te maken;

b) 

zorgen voor een veilige en geautomatiseerde interoperabiliteit van nationale PLF-databanken.

2) Het ECDC vervult zijn verplichtingen als gegevensverwerker van het PLF-uitwisselingsplatform en betrekt met dit doel de Commissie als subverwerker en zorgt ervoor dat dezelfde gegevensbeschermingsverplichtingen, als vastgesteld in dit besluit, van toepassing zijn op de Commissie.

Het ECDC kan de Commissie toestemming verlenen om een beroep te doen op derden als verdere subverwerkers.

Indien de Commissie een beroep doet op subverwerkers, zal het ECDC:

a) 

ervoor zorgen dat dezelfde verplichtingen inzake gegevensbescherming als uiteengezet in dit besluit van toepassing zijn op deze subverwerkers;

b) 

de verwerkingsverantwoordelijken over beoogde veranderingen inzake de toevoeging of vervanging van andere subverwerkers inlichten, en zo de verwerkingsverantwoordelijken de mogelijkheid bieden met gewone meerderheid tegen deze veranderingen bezwaar te maken.

3) Het ECDC:

a) 

is verantwoordelijk voor het opzetten en waarborgen van een veilige en betrouwbare communicatie-infrastructuur die de voor het EWRS bevoegde autoriteiten van de lidstaten die aan het PLF-uitwisselingsplatform deelnemen, met elkaar verbindt;

b) 

verwerkt de PLF- en aanvullende epidemiologische gegevens uitsluitend op basis van gedocumenteerde instructies van de verwerkingsverantwoordelijken, tenzij een Unierechtelijke bepaling het ECDC tot verwerking verplicht. in dat geval stelt het ECDC de verwerkingsverantwoordelijken, voorafgaand aan de verwerking, in kennis van dat wettelijk voorschrift, tenzij die wetgeving kennisgeving van dergelijke informatie om gewichtige redenen van algemeen belang verbiedt;

c) 

stelt een veiligheidsplan en een bedrijfscontinuïteits- en noodherstelplan op;

d) 

neemt de noodzakelijke maatregelen om de integriteit van de verwerkte PLF- en aanvullende epidemiologische gegevens te bewaren;

e) 

neemt alle geavanceerde organisatorische, fysieke en elektronische beveiligingsmaatregelen om het PLF-uitwisselingsplatform in stand te houden. Hiertoe zal het ECDC:

i) 

een verantwoordelijke entiteit aanwijzen voor het beveiligingsbeheer op het niveau van het PLF-uitwisselingsplatform, de verwerkingsverantwoordelijken in kennis stellen van de contactgegevens van de entiteit en ervoor zorgen dat deze beschikbaar is om te reageren op bedreigingen voor de beveiliging;

ii) 

de verantwoordelijkheid voor de beveiliging van het PLF-uitwisselingsplatform op zich nemen;

iii) 

ervoor zorgen dat alle personen aan wie toegang tot het PLF-uitwisselingsplatform is verleend, onderworpen zijn aan een contractuele, professionele of wettelijke geheimhoudingsplicht;

f) 

neemt alle nodige veiligheidsmaatregelen om te voorkomen dat de goede werking van het PLF-uitwisselingsplatform in het gedrang komt. Hiertoe voert het ECDC specifieke procedures in met betrekking tot de werking van het PLF-uitwisselingsplatform en de aansluiting van backendservers op het PLF-uitwisselingsplatform. Hieronder vallen:

i) 

een risicobeoordelingsprocedure om potentiële bedreigingen van het systeem te identificeren en in te schatten;

ii) 

een audit- en evaluatieprocedure om:

1) 

de overeenstemming tussen de uitgevoerde beveiligingsmaatregelen en het toepasselijke beveiligingsbeleid te controleren;

2) 

regelmatig de integriteit van de systeembestanden, de beveiligingsparameters en de verleende machtigingen te controleren;

3) 

inbreuken op de beveiliging op te sporen en te monitoren;

4) 

wijzigingen door te voeren om bestaande zwakke punten in de beveiliging te remediëren;

5) 

het mogelijk te maken van, onder meer op verzoek van verwerkingsverantwoordelijken, en het leveren van een bijdrage aan de uitvoering van onafhankelijke audits, met inbegrip van inspecties, en evaluaties van de beveiligingsmaatregelen, onder voorwaarden die in overeenstemming zijn met het Protocol (nr. 7) bij het VWEU betreffende de voorrechten en immuniteiten van de Europese Unie (2);

iii) 

wijziging van de beheersprocedure om de gevolgen van een wijziging vóór de uitvoering ervan te documenteren en te meten, en de verwerkingsverantwoordelijken op de hoogte houden van wijzigingen die van invloed kunnen zijn op de communicatie met en/of de beveiliging van hun infrastructuren;

iv) 

vaststelling van een onderhouds- en reparatieprocedure om de na te leven regels en voorwaarden voor het onderhoud en/of het repareren van apparatuur te specificeren;

v) 

vaststelling van een procedure voor beveiligingsincidenten om het meldings- en escalatiesysteem vast te stellen, de verwerkingsverantwoordelijken onverwijld in kennis te stellen zodat zij de nationale toezichthoudende autoriteiten voor gegevensbescherming op de hoogte kunnen brengen van eventuele inbreuken in verband met persoonsgegevens, en een disciplinair proces vast te stellen om inbreuken op de beveiliging aan te pakken;

g) 

neemt geavanceerde materiële en/of elektronische veiligheidsmaatregelen voor de installaties waar de apparatuur van het PLF-uitwisselingsplatform is ondergebracht en voor controles met betrekking tot de toegang tot gegevens en beveiliging. Hiertoe zal het ECDC:

i) 

fysieke beveiliging handhaven om afzonderlijke veiligheidszones op te stellen en de opsporing van inbreuken mogelijk te maken;

ii) 

de toegang tot de faciliteiten controleren en met het oog op de traceerbaarheid een register van bezoekers bijhouden;

iii) 

ervoor zorgen dat externe personen die toegang krijgen tot gebouwen, worden begeleid door naar behoren gemachtigd personeel;

iv) 

ervoor zorgen dat apparatuur niet kan worden toegevoegd, vervangen of verwijderd zonder voorafgaande machtiging van de aangewezen verantwoordelijke instanties;

v) 

de wederzijdse toegang van en tot de nationale PLF-systemen en het PLF-uitwisselingsplatform controleren;

vi) 

ervoor zorgen dat personen die toegang hebben tot het PLF-uitwisselingsplatform, geïdentificeerd en geauthenticeerd worden;

vii) 

de machtiging met betrekking tot de toegang tot het PLF-uitwisselingsplatform herzien in geval van een inbreuk op de beveiliging die gevolgen heeft voor deze infrastructuur;

viii) 

technische en organisatorische veiligheidsmaatregelen uitvoeren om ongeoorloofde toegang tot PLF- en epidemiologische gegevens te voorkomen;

ix) 

waar nodig maatregelen treffen om ongeoorloofde toegang tot het PLF-uitwisselingsplatform vanaf het domein van de nationale autoriteiten te blokkeren (dat wil zeggen: een locatie/IP-adres blokkeren);

h) 

onderneemt stappen om zijn domein te beschermen, met inbegrip van het verbreken van verbindingen, in geval van een aanzienlijke afwijking van de kwaliteits- of beveiligingsbeginselen en -concepten;

i) 

houdt een risicobeheerplan in stand dat betrekking heeft op het gebied waarvoor het verantwoordelijk is;

j) 

monitort — in real time — de prestaties van alle dienstencomponenten van zijn PLF-uitwisselingsplatform, produceert regelmatig statistieken en registreert gegevens;

k) 

waarborgt dat de dienst 24/7 beschikbaar is, met een aanvaardbare onderbreking voor onderhoudsdoeleinden;

l) 

ondersteunt alle diensten van het PLF-uitwisselingsplatform in het Engels via telefoon, mail of webportal en accepteert oproepen van geautoriseerde oproepers: de coördinatoren van het PLF-uitwisselingsplatform en hun respectieve helpdesks, projectmedewerkers en aangewezen personen van het ECDC;

m) 

staat, voor zover mogelijk, de verwerkingsverantwoordelijken bij door middel van passende technische en organisatorische maatregelen in de naleving van hun verplichting om te antwoorden op verzoeken tot uitoefening van de rechten van betrokkenen, zoals vastgesteld in hoofdstuk III van Verordening (EU) 2016/679;

n) 

ondersteunt de verwerkingsverantwoordelijken door informatie te verstrekken over het PLF-uitwisselingsplatform, teneinde de verplichtingen uit hoofde van de artikelen 32, 35 en 36 van Verordening (EU) 2016/679 na te komen;

o) 

zorgt ervoor dat de PLF- en epidemiologische gegevens die via het PLF-uitwisselingsplatform worden doorgegeven, onbegrijpelijk zijn voor onbevoegden, met name door krachtige versleuteling toe te passen;

p) 

neemt alle nodige maatregelen om te voorkomen dat de exploitanten van het PLF-uitwisselingsplatform ongeoorloofde toegang hebben tot doorgestuurde PLF- en epidemiologische gegevens;

q) 

neemt maatregelen om de interoperabiliteit en de communicatie tussen de verwerkingsverantwoordelijken voor het PLF-uitwisselingsplatform te bevorderen;

r) 

houdt overeenkomstig artikel 31, lid 2, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad een register bij van de verwerkingsactiviteiten die ten behoeve van de verwerkingsverantwoordelijken zijn verricht.



▼M1

BIJLAGE IV

▼B

Niet-uitputtende lijst van geleidelijk aan het EWRS te koppelen waarschuwings- en informatiesystemen op het niveau van de Unie

Deze bijlage bevat een lijst van bestaande systemen voor snelle waarschuwing en informatie op het niveau van de Unie of krachtens het Euratom-Verdrag die relevant kunnen zijn voor het ontvangen van alarmen en informatie over gebeurtenissen die een ernstige grensoverschrijdende bedreiging van de gezondheid vormen of kunnen vormen:

— 
het systeem voor de melding van dierziekten (ADNS, Animal Disease Notification System), om de situatie van belangrijke besmettelijke dierziekten te registreren en te documenteren;
— 
het sectoroverschrijdende waarschuwingssysteem van de Commissie Argus, een intern systeem voor snelle waarschuwing van de Commissie dat in noodgevallen of crisissituaties uitwisseling van essentiële informatie en interne coördinatie mogelijk maakt tussen alle directoraten-generaal van de Commissie;
— 
het gemeenschappelijke noodcommunicatie- en informatiesysteem (CECIS, Common Emergency Communication and Information System), voor civiele bescherming en bij ongevallen met verontreiniging van het mariene milieu tot gevolg;
— 
de communautaire regelingen voor snelle uitwisseling van informatie in geval van stralingsgevaar (ECURIE, European Community Urgent Radiological Information Exchange), voor het melden van tegenmaatregelen ter bescherming tegen de gevolgen van een nucleair of stralingsongeval;
— 
het systeem voor het rapporteren van zware ongevallen (eMARS, Major Accident Reporting System), ter bevordering van de uitwisseling van uit ongevallen en bijna-ongevallen met gevaarlijke stoffen geleerde lessen, om de preventie van chemische ongevallen en de beperking van de mogelijke gevolgen daarvan te verbeteren;
— 
het EU-systeem voor de melding van onderscheppingen op fytosanitair gebied (EUROPHYT, European Union Notification System for Plant Health Interceptions), met betrekking tot in de Unie ingevoerde of verhandelde zendingen die planten en plantaardige producten bevatten die om fytosanitaire redenen worden onderschept;
— 
het systeem voor snelle waarschuwingen over bloed en bloedbestanddelen (RAB, Rapid Alert for Blood and Blood Components), voor de uitwisseling van informatie met het oog op het voorkomen of beheersen van grensoverschrijdende incidenten in verband met bloedtransfusies;
— 
het systeem voor snelle waarschuwingen over gevaarlijke non-foodproducten (RAPEX, Rapid Alert System for Non-food Dangerous Products), voor de uitwisseling van informatie over producten die een risico voor de gezondheid en veiligheid van de consumenten inhouden;
— 
het systeem voor snelle waarschuwingen over levensmiddelen en diervoeders (RASFF, Rapid Alert System for Food and Feed), voor de melding van risico's voor de gezondheid van de mens als gevolg van levensmiddelen of diervoeders;
— 
het systeem voor snelle waarschuwingen over weefsels en cellen (RATC, Rapid Alert System for Tissues and Cells), voor de uitwisseling van informatie en maatregelen met betrekking tot menselijke weefsels of cellen die ten behoeve van patiënten over de grens worden gebracht;
— 
het Europees Netwerk voor informatie over drugs en drugsverslaving (Reitox, European Information Network on Drugs and Drug Addiction), voor het verzamelen en verstrekken van informatie over het verschijnsel drugs in Europa.


( 1 ) Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (PB L 119 van 4.5.2016, blz. 1).