02017D0253 — SV — 26.07.2021 — 002.001
Den här texten är endast avsedd som ett dokumentationshjälpmedel och har ingen rättslig verkan. EU-institutionerna tar inget ansvar för innehållet. De autentiska versionerna av motsvarande rättsakter, inklusive ingresserna, publiceras i Europeiska unionens officiella tidning och finns i EUR-Lex. De officiella texterna är direkt tillgängliga via länkarna i det här dokumentet
|
KOMMISSIONENS GENOMFÖRANDEBESLUT (EU) 2017/253 av den 13 februari 2017 om förfaranden för utfärdande av varningar inom ramen för det system för tidig varning och reaktion som inrättats för allvarliga gränsöverskridande hot mot människors hälsa och förfaranden för informationsutbyte, samråd och samordning av insatserna vid sådana hot i enlighet med Europaparlamentets och rådets beslut nr 1082/2013/EU (EGT L 037 14.2.2017, s. 23) |
Ändrat genom:
|
|
|
Officiella tidningen |
||
|
nr |
sida |
datum |
||
|
KOMMISSIONENS GENOMFÖRANDEBESLUT (EU) 2021/858 av den 27 maj 2021 |
L 188 |
106 |
28.5.2021 |
|
|
KOMMISSIONENS GENOMFÖRANDEBESLUT (EU) 2021/1212 av den 22 juli 2021 |
L 263 |
32 |
23.7.2021 |
|
KOMMISSIONENS GENOMFÖRANDEBESLUT (EU) 2017/253
av den 13 februari 2017
om förfaranden för utfärdande av varningar inom ramen för det system för tidig varning och reaktion som inrättats för allvarliga gränsöverskridande hot mot människors hälsa och förfaranden för informationsutbyte, samråd och samordning av insatserna vid sådana hot i enlighet med Europaparlamentets och rådets beslut nr 1082/2013/EU
(Text av betydelse för EES)
Artikel 1
Behöriga myndigheter för systemet för tidig varning och reaktion
Artikel 1a
Definitioner
I detta beslut avses med
formulär för lokalisering av passagerare (PLF): ett formulär som fylls i på begäran av folkhälsomyndigheter och som samlar in åtminstone de passageraruppgifter som anges i bilaga I och som hjälper dessa myndigheter att hantera ett hot mot människors hälsa genom att göra det möjligt för dem att spåra passagerare som reser över gränserna och som kan ha exponerats för en person smittad med SARS-CoV-2.
passagerarlokaliseringsuppgifter (PLF-uppgifter): personuppgifter som samlas in genom ett PLF.
digital ingång: en gemensam digital plats till vilken de behöriga myndigheterna för systemet för tidig varning och reaktion på ett säkert sätt kan ansluta sina nationella digitala PLF-system till PLF-utbytesplattformen.
resa: en persons gränsöverskridande resa, med kollektiva transportmedel och på förhand tilldelade platser, med beaktande av den plats som personen ursprungligen reser ifrån och slutdestinationen, inklusive en eller flera etapper.
etapp: en passagerares gränsöverskridande enkelresa utan ytterligare anslutande förbindelser eller byte av flyg, tåg, fartyg eller fordon.
smittad passagerare: passagerare som uppfyller de kliniska kriterierna för SARS-CoV-2-infektion.
exponerad person: passagerare eller annan person som har varit i nära kontakt med en smittad passagerare.
varning: ett meddelande med hjälp av systemet för tidig varning och reaktion (EWRS) i enlighet med artikel 9 i beslut 1082/2013/EU.
Artikel 2
Utfärdande av varningar i systemet för tidig varning och reaktion
Artikel 2a
PLF-utbytesplattform
PLF-utbytesplattformen ska fungera som en digital ingång för de behöriga EWRS-myndigheterna för att på ett säkert sätt ansluta sina nationella digitala PLF-system eller ansluta sig via det gemensamma EU-systemet för digitalt lokaliseringsformulär för passagerare (EUdPLF), för att möjliggöra utbyte av uppgifter som samlats in genom PLF.
De behöriga EWRS-myndigheterna ska kunna använda PLF-utbytesplattformen för utbyte av ytterligare uppgifter, dvs. epidemiologiska uppgifter uteslutande för kontaktspårning av personer som exponerats för SARS-CoV-2, i enlighet med artikel 2b.5.
Artikel 2b
Uppgifter som ska utbytas
När de behöriga EWRS-myndigheterna i den medlemsstat där den smittade passageraren identifieras utfärdar en varning via PLF-utbytesplattformen ska de översända följande PLF-uppgifter till de behöriga EWRS-myndigheterna i den medlemsstat som den smittade passageraren ursprungligen avreser från eller är bosatt i, om bosättningsorten är en annan än den ursprungliga avreseorten, eller till den medlemsstat från vilken den smittade passageraren senast avreser, om medlemsstaten endast kräver ifyllande av ett PLF för den sista etappen av en resa:
Förnamn.
Efternamn.
Födelsedatum.
Telefonnummer (fast och/eller mobil).
E-postadress.
Hemadress.
►M2 Om det behövs för att identifiera exponerade personer ska de behöriga EWRS-myndigheterna i den medlemsstat där den smittade passageraren identifieras när de utfärdar en varning via PLF-utbytesplattformen översända följande PLF-uppgifter för varje tillgänglig etapp av resan till de behöriga EWRS-myndigheterna i alla medlemsstater: ◄
Avreseort för varje berörd transport, om orten inte kan identifieras genom de uppgifter som avses i led e.
Ankomstort för varje berörd transport, om orten inte kan identifieras genom de uppgifter som avses i led e.
Avresedatum för varje berörd transport.
Varje berörd transporttyp (t.ex. flyg, tåg, buss, färja, fartyg).
Identifieringsnummer för varje berörd transport (t.ex. flightnummer, tågnummer, bussregistreringsnummer, färje- eller fartygsnamn).
Plats-/hyttnummer för varje berörd transport.
Avgångstid för varje berörd transport, om tiden inte kan identifieras genom de uppgifter som avses i led e.
De behöriga EWRS-myndigheterna ska kunna tillhandahålla följande epidemiologiska uppgifter, om detta är nödvändigt för en effektiv kontaktspårning:
Vilken typ av test som utförts.
Variant av SARS-CoV-2-viruset.
Provtagningsdatum.
Datum för när symtomen uppträdde.
Artikel 2c
Ansvarsområden för de behöriga myndigheterna för systemet för tidig varning och reaktion och Europeiska centrumet för förebyggande och kontroll av sjukdomar när det gäller behandling av PLF-uppgifter
Artikel 3
Andra system för snabb varning och information på unionsnivå
Artikel 4
Samordning av nationella insatser vid allvarliga gränsöverskridande hot mot människors hälsa
Artikel 5
Risk- och kriskommunikation
Artikel 6
Deaktivering av utfärdade varningar
Om de omständigheter som låg till grund för varningen enligt artikel 9.1 i beslut nr 1082/2013/EU inte längre föreligger ska varningen deaktiveras av den medlemsstat som utfärdade den, eller av kommissionen om varningen utfärdades av kommissionen. Deaktivering av en varning ska endast ske efter det att alla de medlemsstater som berörs av varningen har samtyckt till denna deaktivering.
Artikel 7
Upphävande av beslut 2000/57/EG
Artikel 8
Ikraftträdande
Detta beslut träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.
BILAGA I
MINIMIUPPSÄTTNING PLF-UPPGIFTER SOM SKA SAMLAS IN VIA DET NATIONELLA FORMULÄRET FÖR LOKALISERING AV PASSAGERARE (PLF)
PLF ska innehålla minst följande PLF-uppgifter:
Förnamn.
Efternamn.
Födelsedatum.
Telefonnummer (fast och/eller mobiltelefon).
E-postadress.
Bostadsadress.
▼M2 —————
►M2 Följande information för varje etapp av en resa för vilken medlemsstaten kräver att ett PLF ska fyllas i: ◄
Avgångsplats, om platsen inte kan identifieras genom de uppgifter som avses i led f.
Ankomstplats, om platsen inte kan identifieras genom de uppgifter som avses i led f.
Datum för avresa.
Typ av transport (t.ex. flyg, tåg, buss, färja, fartyg).
Tidpunkt för avresa, om tidpunkten inte kan identifieras genom de uppgifter som avses i led f.
Transportens identifieringsnummer (t.ex. flightnummer, tågnummer, bussregistreringsnummer, färje- eller fartygsnamn).
Plats-/hyttnummer.
BILAGA II
DE DELTAGANDE MEDLEMSSTATERNAS ANSVAR SOM GEMENSAMT PERSONUPPGIFTSANSVARIGA FÖR PLF-UTBYTESPLATTFORMEN
AVSNITT 1
Ansvarsfördelning
1. Varje behörig EWRS-myndighet ska se till att behandlingen av PLF-uppgifter och de ytterligare epidemiologiska uppgifter som utbyts via PLF-utbytesplattformen utförs i enlighet med Europaparlamentets och rådets förordning (EU) 2016/679 ( 1 ). Den ska särskilt se till att de uppgifter som den matar in och överför via PLF-utbytesplattformen är korrekta och begränsade till de uppgifter som anges i artikel 2b i detta beslut.
2. Varje behörig EWRS-myndighet förblir den enda personuppgiftsansvariga för insamling, användning, utlämnande och annan behandling av PLF-uppgifter och ytterligare epidemiologiska uppgifter som utförs utanför PLF-utbytesplattformen. Varje behörig EWRS-myndighet ska se till att överföringen av uppgifterna sker i enlighet med de tekniska specifikationer som fastställts för PLF-utbytesplattformen.
3. Instruktioner till personuppgiftsbiträdet ska skickas genom någon av de gemensamt personuppgiftsansvarigas kontaktpunkt, i samförstånd med övriga gemensamt personuppgiftsansvariga.
4. Endast personer som godkänts av de behöriga EWRS-myndigheterna får ha tillgång till PLF-uppgifter och ytterligare epidemiologiska uppgifter som utbyts via PLF-utbytesplattformen.
5. Varje behörig EWRS-myndighet ska inrätta en kontaktpunkt med en funktionsbrevlåda för kommunikationen mellan de gemensamt personuppgiftsansvariga och mellan de gemensamt personuppgiftsansvariga och personuppgiftsbiträdet. De gemensamt personuppgiftsansvarigas beslutsprocess styrs av EWRS hälsosäkerhetskommittés arbetsgrupp.
6. Varje behörig EWRS-myndighet ska upphöra att vara gemensam personuppgiftsansvarig från och med den dag då den inte längre deltar i PLF-utbytesplattformen. Den ska dock förbli ansvarig för all insamling och överföring av PLF-uppgifter och ytterligare epidemiologiska uppgifter via PLF-utbytesplattformen som ägde rum innan den avslutade sitt deltagande.
7. Varje behörig EWRS-myndighet ska föra ett register över all behandling som utförts under dess ansvar. Gemensamt personuppgiftsansvar får anges i registret.
AVSNITT 2
Ansvarsområden och roller vid hantering av förfrågningar från och information till registrerade
1. Varje behörig EWRS-myndighet som kräver ett PLF ska förse de gränsöverskridande passagerarna (nedan kallade de registrerade) med information om omständigheterna kring utbytet av deras PLF och epidemiologiska uppgifter via PLF-utbytesplattformen för kontaktspårning, i enlighet med artiklarna 13 och 14 i förordning (EU) 2016/679.
2. Varje behörig EWRS-myndighet ska fungera som kontaktpunkt för de registrerade och ska behandla förfrågningar som rör utövandet av deras rättigheter i enlighet med förordning (EU) 2016/679 och som lämnas in av dem eller deras företrädare. Varje behörig EWRS-myndighet ska utse en särskild kontaktpunkt för förfrågningar från registrerade. Om en behörig EWRS-myndighet får en förfrågan från en registrerad som inte omfattas av dess ansvar, ska den omedelbart vidarebefordra denna förfrågan till den berörda behöriga EWRS-myndigheten och informera Europeiska centrumet för förebyggande och kontroll av sjukdomar. De behöriga EWRS-myndigheterna ska på begäran bistå varandra i hanteringen av registrerades förfrågningar om det gemensamma personuppgiftsansvaret och ska svara varandra utan onödigt dröjsmål, senast inom 15 dagar från mottagandet av en begäran om bistånd.
3. Varje behörig EWRS-myndighet ska ge de registrerade tillgång till innehållet i denna bilaga, inbegripet de arrangemang som fastställs i punkterna 1 och 2.
AVSNITT 3
Hantering av säkerhetsincidenter, inbegripet personuppgiftsincidenter
1. De behöriga EWRS-myndigheterna ska, i egenskap av gemensamt personuppgiftsansvariga, bistå varandra vid identifiering och hantering av säkerhetsincidenter, inbegripet personuppgiftsincidenter, i samband med behandlingen av PLF och epidemiologiska uppgifter som utbyts via PLF-utbytesplattformen.
2. De ska särskilt underrätta varandra och Europeiska centrumet för förebyggande och kontroll av sjukdomar om följande:
Varje potentiell eller faktisk risk för tillgängligheten till samt sekretessen och/eller integriteten hos de PLF-uppgifter och epidemiologiska uppgifter som behandlas via PLF-utbytesplattformen.
Varje personuppgiftsincident, de sannolika konsekvenserna av personuppgiftsincidenten och bedömningen av risken för fysiska personers fri- och rättigheter samt alla åtgärder som vidtagits för att åtgärda personuppgiftsincidenten och minska risken för fysiska personers rättigheter och friheter.
Varje överträdelse av tekniska och/eller organisatoriska skyddsåtgärder avseende behandlingen via PLF-utbytesplattformen.
3. De behöriga EWRS-myndigheterna ska anmäla alla personuppgiftsincidenter vad gäller behandlingen via PLF-utbytesplattformen till Europeiska centrumet för förebyggande och kontroll av sjukdomar, till behöriga tillsynsmyndigheter och, där så krävs, till de registrerade, i enlighet med artiklarna 33 och 34 i förordning (EU) 2016/679 eller efter anmälan av Europeiska centrumet för förebyggande och kontroll av sjukdomar.
4. Varje behörig EWRS-myndighet ska genomföra lämpliga tekniska och organisatoriska åtgärder för att
säkerställa och skydda säkerheten, integriteten och sekretessen hos de personuppgifter som behandlas gemensamt,
skydda mot obehörig eller olaglig behandling, förlust, användning, röjande eller förvärv av eller tillgång till personuppgifter som den innehar,
säkerställa att tillgången till personuppgifterna inte röjs eller tillåts för någon annan än mottagaren eller personuppgiftsbiträdet.
AVSNITT 4
Konsekvensbedömning avseende dataskydd
Om en personuppgiftsansvarig behöver information från en annan personuppgiftsansvarig, för att kunna uppfylla sina skyldigheter enligt artiklarna 35 och 36 i förordning (EU) 2016/679, ska en särskild begäran skickas till den funktionsbrevlåda som avses i avsnitt 1 underavsnitt 1.5. Den andra personuppgiftsansvariga ska göra sitt yttersta för att tillhandahålla sådan information.
BILAGA III
ANSVAR SOM ÅLIGGER EUROPEISKA CENTRUMET FÖR FÖREBYGGANDE OCH KONTROLL AV SJUKDOMAR SOM PERSONUPPGIFTSBITRÄDE FÖR PLF-UTBYTESPLATTFORMEN
1. Europeiska centrumet för förebyggande och kontroll av sjukdomar ska inrätta och säkerställa en säker och tillförlitlig kommunikationsinfrastruktur som kopplar samman de behöriga EWRS-myndigheterna i de medlemsstater som deltar i PLF-utbytesplattformen.
Att Europeiska centrumet för förebyggande och kontroll av sjukdomar svarar för PLF-utbytesplattformen innebär följande:
Fastställande av en minimiuppsättning tekniska krav för att möjliggöra en smidig och säker till- och frånkoppling av nationella PLF-databaser.
Säkerställande av interoperabilitet mellan nationella PLF-databaser på ett säkert och automatiserat sätt.
2. För att uppfylla sina skyldigheter som personuppgiftsbiträde för PLF-utbytesplattformen ska Europeiska centrumet för förebyggande och kontroll av sjukdomar anlita kommissionen som delegerat personuppgiftsbiträde och se till att samma dataskyddsskyldigheter som anges i detta beslut gäller för kommissionen.
Europeiska centrumet för förebyggande och kontroll av sjukdomar får bemyndiga kommissionen att anlita tredje parter som delegerade personuppgiftsbiträden.
Om kommissionen delegerar behandlingen ska Europeiska centrumet för förebyggande och kontroll av sjukdomar
säkerställa att dataskyddsskyldigheterna i detta beslut även tillämpas på dessa delegerade personuppgiftsbiträden,
informera de personuppgiftsansvariga om alla planerade ändringar som rör tillägg eller ersättning av andra delegerade personuppgiftsbiträden, och därigenom ge de personuppgiftsansvariga möjlighet att med enkel majoritet invända mot sådana ändringar.
3. Europeiska centrumet för förebyggande och kontroll av sjukdomar har i uppgift att
inrätta och säkerställa en säker och tillförlitlig kommunikationsinfrastruktur som kopplar samman de behöriga EWRS-myndigheterna i de medlemsstater som deltar i PLF-utbytesplattformen,
behandla PLF och ytterligare epidemiologiska uppgifter endast på grundval av dokumenterade instruktioner från de personuppgiftsansvariga, såvida detta inte krävs enligt unionsrätten; i sådant fall ska Europeiska centrumet för förebyggande och kontroll av sjukdomar informera de personuppgiftsansvariga om det rättsliga kravet innan uppgifterna behandlas, såvida det inte är förbjudet att lämna sådana uppgifter med hänvisning till ett viktigt allmänintresse enligt denna rätt,
införa en säkerhetsplan, en driftskontinuitetsplan och en katastrofplan,
vidta nödvändiga åtgärder för att bevara integriteten hos de PLF-uppgifter och ytterligare epidemiologiska uppgifter som behandlas,
vidta alla organisatoriska, fysiska och logiska säkerhetsåtgärder enligt teknikens nuvarande ståndpunkt som krävs för att upprätthålla PLF-utbytesplattformen. Europeiska centrumet för förebyggande och kontroll av sjukdomar ska i detta syfte göra följande:
Utse en enhet som ansvarar för PLF-utbytesplattformens säkerhetsförvaltning, meddela de personuppgiftsansvariga enhetens kontaktuppgifter och säkerställa att den kan hantera säkerhetshot.
Ta på sig ansvaret för säkerheten inom PLF-utbytesplattformen.
Säkerställa att alla personer som beviljas tillgång till PLF-utbytesplattformen omfattas av avtalsenlig, yrkesmässig eller lagstadgad tystnadsplikt.
Vidta alla nödvändiga säkerhetsåtgärder så att PLF-utbytesplattformen fungerar smidigt. I detta syfte ska Europeiska centrumet för förebyggande och kontroll av sjukdomar införa särskilda förfaranden för hur PLF-utbytesplattformen och anslutningen från backend-servrarna till PLF-utbytesplattformen ska fungera. Häri ingår:
Ett riskbedömningsförfarande, för att identifiera och utvärdera potentiella hot mot systemet.
Ett revisions- och granskningsförfarande för att
kontrollera sambandet mellan de genomförda säkerhetsåtgärderna och den tillämpliga säkerhetspolicyn,
regelbundet kontrollera systemfilernas, säkerhetsparametrarnas och de beviljade tillståndens integritet,
upptäcka och övervaka säkerhetsöverträdelser och intrång,
implementera ändringar för att minska befintliga säkerhetsbrister,
möjliggöra, även på begäran av personuppgiftsansvariga, och bidra till oberoende revisioner, inbegripet inspektioner, och översyner av säkerhetsåtgärder, på villkor som följer protokoll nr 7 till EUF-fördraget om Europeiska unionens immunitet och privilegier (2).
Ändring av kontrollförfarandet för att dokumentera och mäta effekten av en ändring innan den genomförs och hålla de personuppgiftsansvariga informerade om samtliga ändringar som kan påverka kommunikationen med och/eller säkerheten i deras infrastrukturer.
Inrättande av ett underhålls- och reparationsförfarande för att fastställa de regler och villkor som ska följas vid underhåll och/eller reparation av utrustning.
Inrättande av ett förfarande för it-incidenter för att fastställa ett rapporterings- och eskaleringssystem, omedelbart informera de personuppgiftsansvariga samt Europeiska datatillsynsmannen om personuppgiftsincidenter och fastställa ett disciplinärt förfarande för att åtgärda dessa.
Vidta fysiska och/eller elektroniska säkerhetsåtgärder enligt teknikens nuvarande ståndpunkt för de anläggningar där utrustningen för PLF-utbytesplattformen finns och för kontroller av tillgången till data och säkerhet. I detta syfte ska Europeiska centrumet för förebyggande och kontroll av sjukdomar göra följande:
Införa fysiska säkerhetsåtgärder för att upprätta tydliga säkerhetsperimetrar och möjliggöra att överträdelser upptäcks.
Kontrollera tillträdet till anläggningar och upprätthålla ett besöksregister för spårning.
Säkerställa att externa personer som beviljas tillträde till lokaler åtföljs av vederbörligen bemyndigad personal.
Säkerställa att utrustning inte kan läggas till, ersättas eller avlägsnas utan förhandstillstånd från utsedda ansvariga organ.
Kontrollera tillgången mellan de nationella PLF-systemen och PLF-utbytesplattformen.
Säkerställa att personer som får tillgång till PLF-utbytesplattformen identifieras och autentiseras.
Se över de tillståndsrättigheter som gäller tillgång till PLF-utbytesplattformen vid säkerhetsöverträdelser som påverkar denna infrastruktur.
Vidta tekniska och organisatoriska säkerhetsåtgärder för att förhindra obehörigt tillträde till PLF-uppgifter och epidemiologiska uppgifter.
Vid behov vidta åtgärder för att blockera obehörig tillgång till PLF-utbytesplattformen från de nationella myndigheternas domän (dvs. blockera en plats/en IP-adress).
Vidta åtgärder för att skydda sin domän, inklusive genom frånkoppling, vid betydande avvikelser från principerna och koncepten för kvalitet eller säkerhet.
Upprätthålla en riskhanteringsplan för sitt ansvarsområde.
Övervaka – i realtid – prestanda för alla tjänstekomponenter i sina tjänster i PLF-utbytesplattformen, ta fram regelbunden statistik och upprätthålla register.
Se till att tjänsten är tillgänglig dygnet runt och året runt, med godtagbara driftstopp i underhållssyfte.
Ge stöd för alla tjänster i PLF-utbytesplattformen på engelska via telefon, e-post eller webbportalen och godta samtal från godkända personer som ringer upp: Samordnare vid PLF-utbytesplattformen och deras respektive hjälptjänster, projektledare och utsedda personer från Europeiska centrumet för förebyggande och kontroll av sjukdomar.
Bistå de personuppgiftsansvariga med lämpliga tekniska och organisatoriska åtgärder, när detta är möjligt, i syfte att fullgöra den personuppgiftsansvarigas skyldigheter att besvara begäran om utövande av den registrerades rättigheter enligt kapitel III i förordning (EU) 2016/679.
Stödja de personuppgiftsansvariga genom att tillhandahålla information om PLF-utbytesplattformen, i syfte att genomföra skyldigheterna enligt artiklarna 32, 35 och 36 i förordning (EU) 2016/679.
Säkerställa att PLF och epidemiologiska uppgifter som överförs via PLF-utbytesplattformen är obegripliga för alla personer som inte är behöriga att få tillgång till dem, särskilt genom användning av stark kryptering.
Vidta alla relevanta åtgärder för att förhindra att de som administrerar PLF-utbytesplattformen har obehörigt tillträde till överförda PLF-uppgifter och epidemiologiska uppgifter.
Vidta åtgärder för att underlätta interoperabiliteten och kommunikationen mellan PLF-utbytesplattformens utsedda personuppgiftsansvariga.
Föra ett register över behandling som utförts för de personuppgiftsansvarigas räkning i enlighet med artikel 31.2 i Europaparlamentets och rådets förordning (EU) 2018/1725.
BILAGA IV
Icke-uttömmande förteckning över varnings- och informationssystem på unionsnivå som successivt ska kopplas till systemet för tidig varning och reaktion
I denna bilaga förtecknas de system för snabb varning och information som för närvarande införts på unionsnivå eller enligt Euratomfördraget och som kan vara relevanta för mottagande av varningar och information om händelser som utgör eller kan utgöra en allvarlig gränsöverskridande risk för människors hälsa:
( 1 ) Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (EUT L 119, 4.5.2016, s. 1).