(1)

Vid identifieringen av ett positivt fall av covid-19 efter en viss gränsöverskridande resa uppfylls kriterierna i artikel 9.1 i beslut 1082/2013/EU, eftersom det fortfarande kan komma att orsaka betydande dödlighet bland människor och dess omfattning kan komma att växa snabbt, eftersom det påverkar fler än en medlemsstat och kan komma att kräva samordnade insatser på unionsnivå. I enlighet med punkt 23 i rekommendation (EU) 2020/1475 av den 13 oktober 2020 om en samordnad strategi för inskränkningar i den fria rörligheten med anledning av covid-19-pandemin (2) bör information om fall av covid-19 som upptäcks vid en persons ankomst till en medlemsstats territorium omedelbart vidarebefordras till folkhälsomyndigheterna i de länder där den berörda personen har vistats under de närmast föregående 14 dagarna för kontaktspårningsändamål, via det system för tidig varning och reaktion (nedan kallat EWRS) som inrättats genom artikel 8 i beslut 1082/2013/EU och administreras av Europeiska centrumet för förebyggande och kontroll av sjukdomar (ECDC).

(2)

I enlighet med rekommendation (EU) 2020/1475 kan medlemsstaterna kräva att personer som reser in på deras territorium lämnar in formulär för passagerarlokalisering (nedan kallat PLF) under iakttagande av dataskyddskraven.

(3)

Genom att kräva att nationella PLF i olika format fylls i samlar medlemsstaterna in PLF-uppgifter från gränsöverskridande passagerare som reser in på deras territorium. Ett användningsändamål för dessa uppgifter är att om en person som har fyllt i ett PLF identifieras som ett fall av covid-19, används de uppgifter som samlats in via detta formulär för att fastställa personens resa och överföra relevant information till de medlemsstater som behöver kontaktspåra personer som kan ha exponerats för den smittade passageraren.

(4)

Folkhälsomyndigheterna i vissa medlemsstater har redan utbytt personuppgifter som samlats in genom nationella PLF sinsemellan för kontaktspårning i samband med covid-19-pandemin. Detta utbyte har framför allt skett genom den nuvarande tekniska infrastruktur som tillhandahålls inom ramen för systemet för tidig varning och reaktion (EWRS).

(5)

Den tekniska infrastruktur som för närvarande tillhandahålls genom systemet för tidig varning och reaktion är ännu inte utformad för att hantera mängden PLF-uppgifter som genereras genom systematisk och storskalig användning av PLF. Den översätter till exempel inte mellan olika nationella format och kräver manuell inmatning, vilket inverkar negativt på kontaktspårningens aktualitet och effektivitet. Detta är särskilt fallet när kontaktspårning måste utföras i samband med gränsöverskridande passagerare som har rest med kollektivtransportmedel försedda med på förhand tilldelade platser, såsom flygplan, vissa tåg, färjor och kryssningsfartyg, där antalet exponerade passagerare och exponeringstiden för en smittad passagerare kan vara betydande.

(6)

En teknisk infrastruktur – som kallas PLF-utbytesplattformen – bör därför inrättas för att möjliggöra ett säkert, snabbt och effektivt utbyte av uppgifter mellan de behöriga myndigheterna inom systemet för tidig varning och reaktion (nedan kallade behöriga EWRS-myndigheter) i medlemsstaterna, genom att göra det möjligt att överföra information från deras befintliga nationella digitala PLF-system till andra behöriga EWRS-myndigheter på ett interoperabelt och automatiskt sätt. Den bör bygga på den plattform för utbyte som redan utvecklats av Europeiska unionens byrå för luftfartssäkerhet (Easa), men Easa kommer inte att ha någon roll i samband med behandlingen av personuppgifter via PLF-utbytesplattformen i enlighet med detta genomförandebeslut. PLF-utbytesplattformen bör också möjliggöra utbyte av begränsade epidemiologiska uppgifter som är nödvändiga för kontaktspårning, i enlighet med artikel 9.3 i beslut 1082/2013/EU. För att undvika överlappningar av verksamheter eller åtgärder som strider mot befintliga strukturer och mekanismer för övervakning, tidig varning och bekämpning av allvarliga gränsöverskridande hot mot människors hälsa, bör PLF-utbytesplattformen utvecklas inom ramen för systemet för tidig varning och reaktion som ett komplement till den funktion för selektiva meddelanden som finns inom det systemet.

(7)

PLF-utbytesplattformen ska administreras av Europeiska centrumet för förebyggande och kontroll av sjukdomar i enlighet med artikel 8 i Europaparlamentets och rådets förordning (EG) nr 851/2004 (3).

(8)

PLF-utbytesplattformen bör inte lagra de PLF-uppgifter och epidemiologiska data som ska utbytas.

(9)

Om en medlemsstat inte har ett nationellt utvecklat digitalt PLF-system skulle denna medlemsstat kunna använda det gemensamma EU-systemet för digitalt lokaliseringsformulär för passagerare (nedan kallat EUdPLF), som EU:s gemensamma åtgärd Healthy Gateways fick i uppdrag av kommissionen att utveckla (bidrag nr 801493) (4). Syftet med EUdPLF är att skapa en gemensam kontaktpunkt och databas för insamling av PLF. I framtiden bör EUdPLF kopplas samman med PLF-utbytesplattformen endast i syfte att möjliggöra utbyte av uppgifter mellan medlemsstater som har egna nationella digitala PLF-system å ena sidan och medlemsstater som använder EUdPLF å andra sidan. Detta beslut omfattar inte inrättandet av EUdPLF och reglerar inte heller behandlingen av personuppgifter i samband med detta.

(10)

Detta beslut reglerar inte inrättandet av nationella PLF, vilket ankommer på medlemsstaterna att besluta om. Det står medlemsstaterna fritt att välja om de samlar in PLF från alla passagerare som anländer till deras territorium, eller endast från passagerare som har den medlemsstaten som slutdestination. Effektiv gränsöverskridande kontaktspårning baserad på PLF-uppgifter kräver att medlemsstaterna samlar in en gemensam minimiuppsättning PLF-uppgifter genom sina nationella PLF-system. Denna minimiuppsättning av PLF-uppgifter bör därför fastställas. Med tanke på lösningens kostnadseffektivitet och hållbarhet och för att öka säkerheten bör medlemsstaterna överväga att anta en gemensam strategi när det gäller att kräva PLF från alla passagerare, inklusive transitpassagerare, eller endast från de passagerare som har den berörda medlemsstaten som slutdestination.

(11)

Användningen av PLF-utbytesplattformen bör vara frivillig och medlemsstaterna bör ha rätt att anmäla varningar inom ramen för den nuvarande tekniska infrastrukturen i systemet för tidig varning och reaktion, under förutsättning att de inte äventyrar syftet med kontaktspårningen.

(12)

De behöriga EWRS-myndigheterna bör endast utbyta väldefinierade uppgifter som samlats in genom deras PLF och andra begränsade epidemiologiska uppgifter som är nödvändiga för kontaktspårning, i enlighet med principen om minimering av behandling av personuppgifter. Om den medlemsstat som utfärdar varningen om en smittad passagerare kan identifiera alla berörda medlemsstater, på grundval av de PLF-uppgifter som den har tillgång till, bör den endast överföra uppgifter till de behöriga EWRS-myndigheterna i dessa medlemsstater. Detta är till exempel fallet när den medlemsstat som identifierar den smittade passageraren samlar in PLF för alla passagerare, inklusive transitpassagerare, som anländer till dess territorium med en direkt förbindelse från den ursprungliga avgångsorten.

(13)

Om en passagerare upptäcks vara smittad med SARS-CoV-2 i en medlemsstat bör de behöriga EWRS-myndigheterna i den medlemsstaten kunna dela med sig av en begränsad uppsättning uppgifter som hämtats från PLF till de behöriga EWRS-myndigheterna i avresemedlemsstaten; urvalet bör definieras strikt i fråga om vad som är nödvändigt för att utföra kontaktspårning av exponerade personer i avgångs- och bosättningsmedlemsstaten, om denna är en annan än avgångsmedlemsstaten – nämligen den smittade passagerarens identitet och kontaktuppgifter.

(14)

Om en passagerare upptäcks vara smittad med SARS-CoV-2 i en medlemsstat bör de behöriga EWRS-myndigheterna i den medlemsstaten också kunna dela med sig av en begränsad uppsättning uppgifter till de behöriga EWRS-myndigheterna i alla medlemsstater eller i de berörda medlemsstaterna, om dessa myndigheter har den information som gör det möjligt för dem att identifiera sådana medlemsstater. Uppgifterna bör begränsas till avreseort, ankomstplats, avresedatum, transportmedel (t.ex. flyg, tåg, buss, färja eller fartyg), transporttjänstens identifieringsnummer – dvs. flightnummer, tågnummer, bussregistreringsnummer, färjans eller fartygets namn – den smittade passagerarens plats- eller hyttnummer och avgångstid om ovanstående uppgifter inte är tillräckliga för att identifiera transporten. Detta bör göra det möjligt för de mottagande behöriga EWRS-myndigheterna att avgöra om exponerade passagerare anlänt till deras territorium och, i så fall, att utföra kontaktspårning.

(15)

Vid utbyte av uppgifter med andra behöriga EWRS-myndigheter via PLF-utbytesplattformen bör den berörda behöriga EWRS-myndigheten kunna lägga till epidemiologisk information, begränsad till vad som är nödvändigt för att utföra kontaktspårningen, dvs. vilken typ av covid-19-test som utförts, varianten av SARS-CoV-2-viruset, provtagningsdatum och datum för när symtomen uppträdde.

(16)

Behandling av sådana personuppgifter om smittade passagerare som utbytts via PLF-utbytesplattformen, ska utföras av de behöriga EWRS-myndigheterna i enlighet med Europaparlamentets och rådets förordning (EU) 2016/679 (5). Eftersom det europeiska centrumet för förebyggande och kontroll av sjukdomar och kommissionen som dess underentreprenör har ansvaret för att administrera PLF-utbytesplattformen för kontaktspårning måste behandlingen av personuppgifter uppfylla kraven i Europaparlamentets och rådets förordning (EU) 2018/1725 (6).

(17)

Den rättsliga grunden för utbyte av personuppgifter om smittade passagerare, inbegripet hälsouppgifter, mellan de behöriga EWRS-myndigheterna för kontaktspårning fastställs i artikel 9.1 och 9.3 i i beslut 1082/2013/EU, i enlighet med artikel 6.1 c och artikel 9.2 i i förordning (EU) 2016/679. I detta beslut bör det fastställas lämpliga och specifika åtgärder för att skydda den registrerades fri- och rättigheter. Dessa bör omfatta åtgärder som rör definitionen av de nödvändiga datauppsättningar som ska utbytas, de behöriga EWRS-myndigheter med vilka uppgifterna bör utbytas i de olika fallen, lämpliga säkerhetsåtgärder, inbegripet kryptering, och formerna för behandling av uppgifter mellan de nationella behöriga EWRS-myndigheterna via PLF-utbytesplattformen inom Europeiska unionen.

(18)

De behöriga EWRS-myndigheter som deltar i PLF-utbytesplattformen fastställer tillsammans syftet med och metoderna för behandling av personuppgifter i PLF-utbytesplattformen, och är därför gemensamt personuppgiftsansvariga. Enligt artikel 26 i förordning (EU) 2016/679 är gemensamma personuppgiftsansvariga skyldiga att på ett öppet sätt fastställa hur deras respektive skyldigheter enligt den förordningen fullgörs. Genom artikeln ges också möjlighet att få detta ansvar fastställt genom unionsrätten eller i medlemsstaternas nationella rätt som de personuppgiftsansvariga omfattas av. Detta beslut bör därför fastställa de gemensamma personuppgiftsansvarigas respektive roller och ansvarsområden.

(19)

Europeiska centrumet för förebyggande och kontroll av sjukdomar, som tillhandahåller tekniska och organisatoriska lösningar för PLF-utbytesplattformen, behandlar PLF och epidemiologiska uppgifter på uppdrag av de medlemsstater som deltar i PLF-utbytesplattformen som gemensamt personuppgiftsansvariga och är därför ett personuppgiftsbiträde i den mening som avses i artikel 3.12 i förordning (EU) 2018/1725. I artikel 28 i förordning (EU) 2016/679 och i artikel 29 i förordning (EU) 2018/1725 fastställs att när uppgifter behandlas av ett personuppgiftsbiträde ska behandlingen regleras genom ett avtal eller en rättsakt enligt unionsrätten eller enligt medlemsstaternas nationella rätt som är bindande för personuppgiftsbiträdet med avseende på den personuppgiftsansvarige och som specificerar behandlingen. Det är därför nödvändigt att fastställa regler för hur Europeiska centrumet för förebyggande och kontroll av sjukdomar behandlar uppgifter i egenskap av personuppgiftsbiträde.

(20)

Enligt artikel 3.3 i förordning (EG) nr 851/2004 ska Europeiska centrumet för förebyggande och kontroll av sjukdomar, kommissionen och medlemsstaterna samarbeta för att främja en effektiv samstämmighet mellan deras respektive verksamheter. I enlighet med detta bör servicenivåavtal ingås mellan kommissionen och Europeiska centrumet för förebyggande och kontroll av sjukdomar för att samarbeta i samband med den tekniska utvecklingen och driften av PLF-utbytesplattformen. De ska ange ansvarsfördelningen (organisatoriskt, finansiellt och tekniskt) mellan parterna för att underlätta genomförandet av PLF-utbytesplattformen och de tekniska bestämmelserna avseende plattformens drift, underhåll och vidareutveckling.

(21)

Genomförandebeslut (EU) 2017/253 bör därför ändras i enlighet med detta.

(22)

PLF-utbytesplattformen ska under 2021 finansieras av instrumentet för krisstöd, som har inrättats för att hjälpa medlemsstaterna under coronapandemin genom att tillgodose de behov som bäst hanteras på ett strategiskt och samordnat sätt på EU-nivå, och genom ”Stödverksamhet till EU:s transportpolitik, transportskydd och passagerarnas rättigheter, inklusive kommunikationsarbete”. Under 2022 ska den finansieras genom programmet för ett digitalt Europa.

(23)

Med tanke på det datum då PLF-utbytesplattformen planeras vara i bruk, bör detta beslut tillämpas från och med den 1 juni 2021. Utbytet av uppgifter bör upphöra efter 12 månader eller när WHO:s generaldirektör, i enlighet med det internationella hälsoreglementet, har tillkännagett att det internationella hot mot människors hälsa som orsakas av SARS-CoV-2 har upphört, om det tillkännagivandet görs tidigare.

(24)

Driften av PLF-utbytesplattformen bör begränsas till kontroll av covid-19-pandemin. Den skulle dock i framtiden kunna utvidgas genom ett genomförandebeslut till sådana epidemier som kan kräva att medlemsstaterna utbyter PLF-uppgifter för kontaktspårningsändamål, i enlighet med kriterierna i artikel 9.1 och villkoren i artikel 9.3 i beslut 1082/2013/EU.

(25)

Europeiska datatillsynsmannen har hörts i enlighet med artikel 42.1 i förordning (EU) 2018/1725 och avgav ett yttrande den 6 maj 2021.

(26)

De åtgärder som föreskrivs i detta beslut är förenliga med yttrandet från den kommitté för allvarliga gränsöverskridande hot mot människors hälsa som inrättats genom artikel 18 i beslut nr 1082/2013/EU.