(1)

O artigo 14.o da Diretiva 2011/24/UE prevê que a União apoie e promova a cooperação e o intercâmbio de informações entre os Estados-Membros no âmbito de uma rede voluntária composta pelas autoridades nacionais responsáveis pela saúde em linha («rede de saúde em linha») designadas pelos Estados-Membros.

(2)

A Decisão de Execução (UE) 2019/1765 da Comissão (2) estabelece as normas para a criação, a gestão e o funcionamento da rede de autoridades nacionais responsáveis pela saúde em linha. No seu artigo 4.o, a decisão confia à rede de saúde em linha a tarefa de facilitar uma maior interoperabilidade dos sistemas nacionais de tecnologias da informação e da comunicação e a transferibilidade transfronteiras dos dados de saúde eletrónicos no âmbito dos cuidados de saúde transfronteiras.

(3)

À luz da crise de saúde pública causada pela pandemia de COVID-19, vários Estados-Membros desenvolveram aplicações móveis que suportam o rastreio de contactos e permitem que os utilizadores dessas aplicações sejam alertados para que tomem as medidas adequadas, como a realização de testes ou o autoisolamento, caso tenham sido potencialmente expostos ao vírus através da proximidade de outro utilizador de tais aplicações, que tenha comunicado um diagnóstico positivo. Essas aplicações dependem da tecnologia Bluetooth para detetar a proximidade entre dispositivos. Como as restrições de viagem entre foram levantadas em junho de 2020, dever-se-á alcançar uma maior interoperabilidade dos sistemas nacionais de tecnologias da informação e comunicação entre os no âmbito da rede de saúde em linha através da implementação de uma infraestrutura digital que permita a interoperabilidade entre aplicações móveis nacionais de apoio ao rastreio de contactos e aos alertas.

(4)

A Comissão tem apoiado os Estados-Membros no que respeita às aplicações móveis supramencionadas. Em 8 de abril de 2020, a Comissão adotou uma recomendação relativa a um conjunto de instrumentos comuns a nível da União com vista à utilização de tecnologias e dados para combater a COVID-19 e sair da crise, nomeadamente no respeitante às aplicações móveis e à utilização de dados de mobilidade anonimizados (a «recomendação da Comissão») (3). Os Estados-Membros da rede de saúde em linha adotaram, com o apoio da Comissão, um conjunto de instrumentos comuns da UE para os Estados-Membros relativos a aplicações móveis de rastreio de contactos (4), assim como diretrizes de interoperabilidade aplicáveis às aplicações móveis aprovadas de rastreio de contactos na UE (5). O conjunto de instrumentos define as exigências nacionais que devem ser cumpridas pelas aplicações móveis nacionais de rastreio de contactos e de alerta, em particular que devem ser voluntárias, aprovadas pelas respetivas autoridades sanitárias nacionais, respeitadoras da privacidade e descontinuadas assim que já não forem necessárias. Dada a evolução mais recente da crise de COVID-19, a Comissão (6) e o Comité Europeu para a Proteção de Dados (7) emitiram cada um orientações sobre as aplicações móveis e as ferramentas de rastreio de contactos relativamente à proteção de dados. A conceção das aplicações móveis dos Estados-Membros e da infraestrutura digital que permite a sua interoperabilidade baseia-se no conjunto de instrumentos comuns da UE, nas orientações acima referidas e nas especificações técnicas acordadas na rede de saúde em linha.

(5)

A fim de facilitar a interoperabilidade das aplicações móveis nacionais de rastreio de contactos e de alerta, foi desenvolvida uma infraestrutura digital com o apoio da Comissão pelos Estados-Membros que participam na rede de saúde em linha, que decidiram avançar com a sua cooperação neste domínio numa base voluntária, como ferramenta informática para o intercâmbio de dados. Esta infraestrutura digital é referida como o «portal federativo».

(6)

A presente decisão estabelece disposições relativas ao papel dos Estados-Membros participantes e da Comissão no funcionamento do portal federativo para a interoperabilidade transfronteiras das aplicações móveis nacionais de rastreio de contactos e de alerta.

(7)

O tratamento de dados pessoais de utilizadores de aplicações móveis de rastreio de contactos e de alerta, que é efetuado sob a responsabilidade dos Estados-Membros ou de outras organizações públicas ou organismos oficiais dos Estados-Membros, deve ser efetuado em conformidade com o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (8) («Regulamento Geral sobre a Proteção de Dados») e a Diretiva 2002/58/CE do Parlamento Europeu e do Conselho (9). O tratamento de dados pessoais efetuado sob a responsabilidade da Comissão para efeitos de gestão e garantia da segurança do portal federativo deve cumprir o disposto no Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (10).

(8)

O portal federativo deve ser constituído por uma infraestrutura de TI segura que ofereça uma interface comum, onde as autoridades nacionais ou os organismos oficiais designados possam trocar um conjunto mínimo de dados relativos a contactos com pessoas infetadas pelo SARS-CoV-2, a fim de informar outras sobre a sua potencial exposição a essa infeção e promover uma cooperação eficaz em matéria de cuidados de saúde entre os Estados-Membros ao facilitar o intercâmbio de informações pertinentes.

(9)

A presente decisão deve, portanto, estabelecer modalidades para o intercâmbio transfronteiras de dados entre as autoridades nacionais ou os organismos oficiais designados através do portal federativo dentro da UE.

(10)

Os Estados-Membros participantes, representados pelas autoridades nacionais ou organismos oficiais designados, determinam em conjunto a finalidade e os meios de tratamento de dados pessoais através do portal federativo e constituem, por conseguinte, responsáveis conjuntos pelo tratamento. O artigo 26.o do Regulamento Geral sobre a Proteção de Dados impõe uma obrigação aos responsáveis conjuntos por operações de tratamento de dados no sentido de determinar, de modo transparente, as respetivas responsabilidades pelo cumprimento do regulamento. O referido artigo prevê igualmente a possibilidade de essas responsabilidades serem determinadas pela legislação da União ou do Estado-Membro à qual os responsáveis pelo tratamento estão sujeitos. Cada um dos responsáveis pelo tratamento deve assegurar que dispõe de uma base jurídica a nível nacional para o tratamento no âmbito do portal federativo.

(11)

A Comissão, enquanto prestador de soluções técnicas e organizativas para o portal federativo, procede ao tratamento dos dados pessoais sob pseudónimo em nome dos Estados-Membros participantes no portal federativo enquanto responsáveis conjuntos pelo tratamento e é, por conseguinte, um subcontratante. Nos termos do artigo 28.o do Regulamento Geral sobre a Proteção de Dados e do artigo 29.o do Regulamento (UE) 2018/1725, o tratamento por um subcontratante é regulado por um contrato ou ato normativo ao abrigo do direito da União ou dos Estados-Membros, que vincula o subcontratante ao responsável pelo tratamento e especifica o tratamento. A presente decisão define regras que regulam o tratamento por parte da Comissão enquanto subcontratante.

(12)

Ao proceder ao tratamento dos dados pessoais no âmbito do portal federativo, a Comissão encontra-se vinculada pela Decisão (UE, Euratom) 2017/46 da Comissão (11).

(13)

Tendo em conta que os fins para os quais os responsáveis pelo tratamento de dados pessoais tratam os dados no âmbito das aplicações móveis nacionais de rastreio de contactos e de alerta não exigem necessariamente a identificação de um titular dos dados, os responsáveis pelo tratamento poderão nem sempre estar em condições de assegurar a aplicação dos direitos desses titulares. Os direitos referidos nos artigos 15.o a 20.o do Regulamento Geral sobre a Proteção de Dados podem, por conseguinte, não se aplicar sempre que estejam preenchidas as condições previstas no artigo 11.o desse regulamento.

(14)

O anexo em vigor da Decisão de Execução (EU) 2019/1765 deve ser renumerado devido ao aditamento de dois novos anexos.

(15)

A Decisão de Execução (EU) 2019/1765 deve, por conseguinte, ser alterada em conformidade.

(16)

Dada a urgência da situação relacionada com a pandemia de COVID-19, a presente decisão deve ser aplicável a partir do dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

(17)

A Autoridade Europeia para a Proteção de Dados foi consultada nos termos do artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 e emitiu parecer em 9 de julho de 2020.

(18)

As medidas previstas na presente decisão estão em conformidade com o parecer do comité instituído pelo artigo 16.o da Diretiva 2011/24/UE,