(1)

Zgodnie z art. 14 dyrektywy 2011/24/UE do zadań Unii należy wspieranie i ułatwianie współpracy oraz wymiany informacji między państwami członkowskimi działającymi w ramach dobrowolnej sieci skupiającej wyznaczone przez państwa członkowskie organy krajowe odpowiedzialne za e-zdrowie („sieć e-zdrowie”).

(2)

W decyzji wykonawczej Komisji (UE) 2019/1765 (2) ustanowiono zasady niezbędne do utworzenia sieci e-zdrowie skupiającej organy krajowe odpowiedzialne za e-zdrowie, zarządzania tą siecią i jej funkcjonowania. W art. 4 tej decyzji sieci e-zdrowie powierzono zadanie ułatwiania większej interoperacyjności krajowych systemów ICT oraz transgranicznej przenoszalności elektronicznych danych dotyczących zdrowia w transgranicznej opiece zdrowotnej.

(3)

W świetle kryzysu w dziedzinie zdrowia publicznego spowodowanego pandemią COVID-19 kilka państw członkowskich opracowało aplikacje mobilne wspomagające ustalanie kontaktów zakaźnych i umożliwiające użytkownikom takich aplikacji otrzymywanie powiadomień o konieczności podjęcia odpowiednich działań, takich jak zgłoszenie się na badanie lub samoizolacja, jeżeli mogli mieć styczność z wirusem w związku z bliskim kontaktem z innym użytkownikiem takiej aplikacji, u którego zdiagnozowano zakażenie wirusem. Aplikacje te działają w oparciu o technologię Bluetooth i wykrywają inne urządzenia znajdujące się w pobliżu. W miarę znoszenia – począwszy od czerwca 2020 r. – ograniczeń podróży między państwami członkowskimi należy zapewnić większą interoperacyjność krajowych systemów ICT między państwami członkowskimi w ramach sieci e-zdrowie poprzez wdrażanie cyfrowej infrastruktury umożliwiającej interoperacyjność między krajowymi aplikacjami mobilnymi wspomagającymi ustalanie kontaktów zakaźnych i ostrzeganie.

(4)

Komisja wspiera państwa członkowskie w zakresie wspomnianych aplikacji mobilnych. W dniu 8 kwietnia 2020 r. Komisja przyjęła zalecenie w sprawie wspólnego unijnego zestawu instrumentów ułatwiającego wykorzystanie technologii i danych w celu zwalczania kryzysu wywołanego przez COVID-19 i wyjścia z niego, w szczególności w odniesieniu do aplikacji mobilnych i wykorzystywania zanonimizowanych danych dotyczących mobilności („zalecenie Komisji”) (3). Przy wsparciu ze strony Komisji państwa członkowskie w ramach sieci e-zdrowie przyjęły – z myślą o państwach członkowskich – wspólny unijny zestaw instrumentów na potrzeby aplikacji mobilnych mający na celu wspieranie ustalania kontaktów zakaźnych (4) oraz wytyczne dotyczące interoperacyjności zatwierdzonych aplikacji mobilnych służących do ustalania kontaktów zakaźnych w UE (5). Zestaw instrumentów obejmuje wyjaśnienie krajowych wymogów dotyczących krajowych aplikacji mobilnych służących do ustalania kontaktów zakaźnych i ostrzegania – w szczególności wskazanie, że powinny one być dobrowolne, zatwierdzone przez właściwy krajowy organ ds. zdrowia, powinny chronić prywatność oraz zostać zdezaktywowane, gdy nie będą już dłużej potrzebne. W świetle rozwoju sytuacji związanej z kryzysem spowodowanym przez COVID-19 Komisja (6) oraz Europejska Rada Ochrony Danych (7) wydały wytyczne dotyczące aplikacji mobilnych i narzędzi do ustalania kontaktów zakaźnych w kontekście ochrony danych osobowych. Tworzenie aplikacji mobilnych państw członkowskich i budowa infrastruktury cyfrowej umożliwiającej ich interoperacyjność przebiegają w oparciu o wspólny unijny zestaw instrumentów, wspomniane powyżej wytyczne oraz specyfikacje techniczne uzgodnione w ramach sieci e-zdrowie.

(5)

Aby umożliwić interoperacyjność krajowych aplikacji mobilnych służących do ustalania kontaktów zakaźnych i ostrzegania, przy wsparciu ze strony Komisji państwa członkowskie uczestniczące w sieci e-zdrowie, które dobrowolnie zdecydowały się na zacieśnianie współpracy w tym obszarze, opracowały infrastrukturę cyfrową jako narzędzie IT służące do wymiany danych. Wspomniana infrastruktura cyfrowa jest dalej zwana „bramą federacyjną” (ang. federation gateway).

(6)

W niniejszej decyzji ustanowiono przepisy regulujące rolę uczestniczących państw członkowskich oraz Komisji w funkcjonowaniu bramy federacyjnej wykorzystywanej do zapewnienia transgranicznej interoperacyjności krajowych aplikacji mobilnych służących do ustalania kontaktów zakaźnych i ostrzegania.

(7)

Przetwarzanie danych osobowych użytkowników aplikacji mobilnych służących do ustalania kontaktów zakaźnych i ostrzegania, za który to proces odpowiadają państwa członkowskie lub inne organizacje publiczne bądź organy urzędowe w państwach członkowskich, należy prowadzić zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (8) („ogólne rozporządzenie o ochronie danych”) oraz dyrektywą 2002/58/WE Parlamentu Europejskiego i Rady (9). Przetwarzanie danych osobowych, za które odpowiada Komisja, w celu zarządzania bramą federacyjną oraz zapewnienia jej bezpieczeństwa powinno przebiegać zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2018/1725 (10).

(8)

Brama federacyjna powinna obejmować bezpieczną infrastrukturę IT zapewniającą wspólny interfejs, za pośrednictwem którego wyznaczone organy krajowe lub organy urzędowe mogą wymieniać między sobą minimalne zbiory danych na temat kontaktów użytkowników aplikacji z osobami zakażonymi SARS-CoV-2 w celu informowania tych użytkowników o potencjalnym narażeniu na zakażenie i w celu promowania skutecznej współpracy w zakresie opieki zdrowotnej między państwami członkowskimi poprzez ułatwianie wymiany odpowiednich informacji.

(9)

W niniejszej decyzji należy zatem określić tryb transgranicznej wymiany danych między wyznaczonymi organami krajowymi lub organami urzędowymi w UE za pośrednictwem bramy federacyjnej.

(10)

Uczestniczące państwa członkowskie, reprezentowane przez wyznaczone organy krajowe lub organy urzędowe, wspólnie wyznaczają cel i określają sposoby przetwarzania danych osobowych za pośrednictwem bramy federacyjnej, a zatem są współadministratorami. W art. 26 ogólnego rozporządzenia o ochronie danych na współadministratorów prowadzących operacje przetwarzania danych osobowych nałożono wymóg określenia w przejrzysty sposób odpowiednich zakresów ich odpowiedzialności za wypełnianie obowiązków wynikających z tego rozporządzenia. W artykule tym przewidziano również, że spoczywające na współadministratorach obowiązki i ich zakres mogą być określone przez prawo Unii lub prawo państwa członkowskiego, któremu administratorzy ci podlegają. Każdy z administratorów powinien zapewnić, aby na szczeblu krajowym dysponował podstawą prawną przetwarzania za pośrednictwem bramy federacyjnej.

(11)

Komisja, zapewniając rozwiązania techniczne i organizacyjne na potrzeby bramy federacyjnej, przetwarza za jej pośrednictwem pseudonimiczne dane osobowe w imieniu uczestniczących państw członkowskich jako współadministratorów, a zatem jest ona podmiotem przetwarzającym. Zgodnie z art. 28 ogólnego rozporządzenia o ochronie danych i art. 29 rozporządzenia (UE) 2018/1725 przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy lub instrumentu prawnego, które podlegają prawu Unii lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora oraz określają przetwarzanie danych. W niniejszej decyzji ustanowiono zasady przetwarzania danych przez Komisję w roli podmiotu przetwarzającego.

(12)

Podczas przetwarzania danych osobowych w ramach bramy federacyjnej Komisję obowiązuje decyzja Komisji (UE, Euratom) 2017/46 (11).

(13)

Biorąc pod uwagę fakt, że cele, dla których administratorzy przetwarzają dane osobowe w krajowych aplikacjach mobilnych służących do ustalania kontaktów zakaźnych i ostrzegania, niekoniecznie wymagają identyfikacji osoby, której dane dotyczą, administratorzy mogą nie zawsze być w stanie zapewnić, by osoba, której dane dotyczą, mogła korzystać z przysługujących jej praw. Prawa, o których mowa w art. 15–20 ogólnego rozporządzenia o ochronie danych, mogą zatem nie mieć zastosowania, gdy spełnione są warunki określone w art. 11 tego rozporządzenia.

(14)

Należy zmienić numer obecnego załącznika do decyzji wykonawczej (UE) 2019/1765, ponieważ dodano dwa nowe załączniki.

(15)

Należy zatem odpowiednio zmienić decyzję wykonawczą (UE) 2019/1765.

(16)

Ze względu na pilny charakter sytuacji spowodowanej pandemią COVID-19 niniejsza decyzja powinna mieć zastosowanie od następnego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

(17)

Zgodnie z art. 42 ust. 1 rozporządzenia (UE) 2018/1725 skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię w dniu 9 lipca 2020 r.

(18)

Środki przewidziane w niniejszej decyzji są zgodne z opinią Komitetu ustanowionego na mocy art. 16 dyrektywy 2011/24/UE,

1)

w art. 2 ust. 1 dodaje się litery g), h), i), j), k), l), m), n) i o) w brzmieniu:

(*1)  Decyzja Parlamentu Europejskiego i Rady nr 1082/2013/UE z dnia 22 października 2013 r. w sprawie poważnych transgranicznych zagrożeń zdrowia oraz uchylająca decyzję nr 2119/98/WE (Dz.U. L 293 z 5.11.2013, s. 1).”;"

2)

w art. 4 ust. 1 dodaje się literę h) w brzmieniu:

3)

w art. 6 ust. 1 dodaje się lit. f) i g) w brzmieniu:

4)

w art. 7 wprowadza się następujące zmiany:

5)

dodaje się art. 7a w brzmieniu:

6)

załącznik staje się załącznikiem I;

7)

dodaje się załączniki II i III w brzmieniu określonym w załączniku do niniejszej decyzji.