(1)

Enligt artikel 14 i direktiv 2011/24/EU ska unionen stödja och främja samarbete om och utbyte av information mellan medlemsstaterna inom ramen för ett frivilligt nätverk som kopplar ihop nationella myndigheter som är ansvariga för e-hälsa (nedan kallat nätverket för e-hälsa), utsedda av medlemsstaterna.

(2)

I kommissionens genomförandebeslut (EU) 2019/1765 (2) fastslås regler för inrättande, förvaltning och drift av ett nätverk av nationella myndigheter med ansvar för e-hälsa. Genom artikel 4 i beslutet ges nätverket för e-hälsa i uppdrag att främja större interoperabilitet mellan de nationella informations- och kommunikationstekniksystemen och gränsöverskridande överförbarhet för elektroniska hälsouppgifter vid gränsöverskridande hälso- och sjukvård.

(3)

Till följd av den folkhälsokris som orsakats av covid-19-pandemin har flera medlemsstater utvecklat mobilapplikationer för kontaktspårning, som innebär att användare av dessa applikationer kan få varningar och vidta lämpliga åtgärder, t.ex. testning eller självisolering, om de potentiellt har exponerats för viruset genom att de har varit i närheten av en annan användare av sådana applikationer, som har rapporterat att vederbörande har infekterats med sars-cov-2. I dessa applikationer används bluetooth-teknik för att upptäcka enheter i närheten. Sedan juni 2020 har man lättat på reserestriktionerna mellan medlemsstaterna och därför bör bättre interoperabilitet mellan nationella informations- och kommunikationstekniksystem uppnås mellan medlemsstaterna i nätverket för e-hälsa, genom införandet av en digital infrastruktur som möjliggör interoperabilitet mellan nationella mobilapplikationer som stöder kontaktspårning och varningar.

(4)

Kommissionen stöder medlemsstaterna vad gäller de ovan nämnda mobilapplikationerna. Den 8 april 2020 antog kommissionen en rekommendation om en unionsgemensam verktygslåda för användningen av teknik och data för att bekämpa och komma ut ur covid-19-krisen, särskilt när det gäller mobilapplikationer och användning av anonymiserade rörlighetsdata (3). Med stöd av kommissionen antog medlemsstaterna i nätverket för e-hälsa en unionsgemensam verktygslåda för medlemsstaterna avseende mobilapplikationer som stöd vid kontaktspårning (4) och interoperabilitetsriktlinjer för godkända mobilapplikationer för kontaktspårning i EU (5). I verktygslådan förklaras de nationella kraven på nationella mobilapplikationer för kontaktspårning och varning, särskilt att applikationerna bör vara frivilliga, godkända av behörig hälsomyndighet, integritetsbevarande och avvecklas så snart de inte längre behövs. Mot bakgrund av hur covid-19-krisen har utvecklats på senare tid har både kommissionen (6) och Europeiska dataskyddsstyrelsen (7) utfärdat vägledning om mobilapplikationer och kontaktspårningsverktyg med avseende på dataskydd. Utformningen av medlemsstaternas mobilapplikationer och av den digitala infrastruktur som möjliggör interoperabiliteten mellan dem utgår från den unionsgemensamma verktygslådan, ovan nämnda vägledning och de tekniska specifikationer som man enats om i nätverket för e-hälsa.

(5)

De medlemsstater som ingår i nätverket för e-hälsa har beslutat att på frivillig grund öka samarbetet på detta område och har med stöd av kommissionen utvecklat en digital infrastruktur i form av ett it-verktyg för utbyte av uppgifter, i syfte att underlätta interoperabiliteten mellan nationella mobilapplikationer för kontaktspårning och varningar. Denna digitala infrastruktur kallas för den samordnade nätslussen.

(6)

I detta beslut fastställs bestämmelser för de roller som de deltagande medlemsstaterna och kommissionen har vad gäller driften av den samordnade nätslussen för gränsöverskridande interoperabilitet mellan nationella mobilapplikationer för kontaktspårning och varning.

(7)

Behandling av personuppgifter för användare av mobilapplikationer för kontaktspårning och varning, som utförs under ansvar av medlemsstaterna eller andra offentliga organisationer eller organ i medlemsstaterna, bör genomföras i enlighet med Europaparlamentets och rådets förordning (EU) 2016/679 (8) (nedan kallad den allmänna dataskyddsförordningen) och Europaparlamentets och rådets direktiv 2002/58/EG (9). Behandling av personuppgifter under kommissionens ansvar för förvaltning och säkerställande av den samordnade nätslussens säkerhet bör följa Europaparlamentets och rådets förordning (EU) 2018/1725 (10).

(8)

Den samordnade nätslussen bör bestå av en säker it-infrastruktur som tillhandahåller ett gemensamt gränssnitt, där utsedda nationella myndigheter eller offentliga organ kan utbyta en minimiuppsättning uppgifter avseende kontakter med personer som har infekterats med sars-cov-2, i syfte att informera andra om att de potentiellt blivit exponerade för detta virus, samt främjar ett ändamålsenligt hälso- och sjukvårdssamarbete mellan medlemsstaterna genom att underlätta utbytet av relevant information.

(9)

I detta beslut bör det därför fastställas villkor för det gränsöverskridande utbytet av uppgifter mellan utsedda nationella myndigheter eller offentliga organ genom den samordnade nätslussen inom EU.

(10)

De deltagande medlemsstaterna, företrädda av de utsedda nationella myndigheterna eller offentliga organen, fastställer tillsammans syftet med och metoderna för behandling av personuppgifter genom den samordnade nätslussen och är därför gemensamt personuppgiftsansvariga. Enligt artikel 26 i den allmänna dataskyddsförordningen ska gemensamt personuppgiftsansvariga för behandling av personuppgifter under öppna former fastställa sitt respektive ansvar för att fullgöra skyldigheterna enligt den förordningen. Genom artikeln ges också möjlighet att få detta ansvar fastställt genom unionsrätten eller i medlemsstaternas nationella rätt som de personuppgiftsansvariga omfattas av. Var och en av de personuppgiftsansvariga bör säkerställa att det finns rättslig grund på nationell nivå för behandling i den samordnade nätslussen.

(11)

I egenskap av tillhandahållare av tekniska och organisatoriska lösningar för den samordnade nätslussen behandlar kommissionen pseudonymiserade personuppgifter för de deltagande medlemsstaternas räkning i den samordnade nätslussen i deras egenskap av gemensamt personuppgiftsansvariga, och är därför ett personuppgiftsbiträde. I artikel 28 i den allmänna dataskyddsförordningen och i artikel 29 i förordning (EU) 2018/1725 fastställs att när uppgifter behandlas av ett personuppgiftsbiträde ska behandlingen regleras genom ett avtal eller en rättsakt enligt unionsrätten eller enligt medlemsstaternas nationella rätt som är bindande för personuppgiftsbiträdet med avseende på den personuppgiftsansvarige och som specificerar behandlingen. I detta beslut fastställs regler för kommissionens behandling i egenskap av personuppgiftsbiträde.

(12)

Vid behandling av personuppgifter inom ramen för den samordnade nätslussen måste kommissionen följa kommissionens beslut (EU, Euratom) 2017/46 (11).

(13)

Eftersom de syften för vilka personuppgiftsansvariga behandlar personuppgifter i de nationella mobilapplikationerna för kontaktspårning och varning inte nödvändigtvis kräver att den registrerade identifieras har de personuppgiftsansvariga kanske inte alltid möjlighet att säkerställa tillämpningen av de registrerades rättigheter. De rättigheter som avses i artiklarna 15–20 i den allmänna dataskyddsförordningen är därför möjligen inte tillämpliga när villkoren enligt artikel 11 i den förordningen är uppfyllda.

(14)

Den nuvarande bilagan till genomförandebeslut (EU) 2019/1765 behöver numreras om på grund av att två nya bilagor har lagts till.

(15)

Genomförandebeslut (EU) 2019/1765 bör därför ändras i enlighet med detta.

(16)

Med tanke på den akuta situation som uppstått på grund av covid-19-pandemin bör detta beslut träda i kraft dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.

(17)

Europeiska datatillsynsmannen har hörts i enlighet med artikel 42.1 i förordning (EU) 2018/1725 och avgav ett yttrande den 9 juli 2020.

(18)

De åtgärder som föreskrivs i detta beslut är förenliga med yttrandet från den kommitté som inrättats genom artikel 16 i direktiv 2011/24/EU.