RESPONSABILITÉS DES ÉTATS MEMBRES PARTICIPANTS EN TANT QUE RESPONSABLES CONJOINTS DU TRAITEMENT DANS LE CADRE DE LA PLATEFORME D’ÉCHANGE DE FORMULAIRES DE LOCALISATION DES PASSAGERS
SECTION 1
Répartition des responsabilités
1) Chaque autorité compétente du SAPR veille à ce que le traitement des données des formulaires de localisation des passagers et des données épidémiologiques supplémentaires échangées au moyen de la plateforme d’échange de formulaires de localisation des passagers soit conforme au règlement (UE) 2016/679 du Parlement européen et du Conseil. Elle s’assure notamment que les données qu’elle saisit et transmet au moyen de la plateforme sont exactes et limitées aux données prévues à l’article 2 ter de la présente décision.
2) Chaque autorité compétente du SAPR reste l’unique responsable de la collecte, de l’utilisation, de la divulgation et de tout autre traitement des données des formulaires de localisation des passagers et des données épidémiologiques supplémentaires ayant lieu hors du cadre de la plateforme. Chacune d’entre elles veille à ce que la transmission des données soit effectuée dans le respect des spécifications techniques prévues pour la plateforme d’échange de formulaires de localisation des passagers.
3) Les instructions à l’intention du sous-traitant sont envoyées par le point de contact de l’un des responsables conjoints du traitement, en accord avec les autres responsables conjoints du traitement.
4) Seules les personnes ayant reçu l’autorisation des autorités compétentes du SAPR peuvent accéder aux données des formulaires de localisation des passagers et aux données épidémiologiques supplémentaires échangées au moyen de la plateforme.
5) Chaque autorité compétente du SAPR met en place un point de contact doté d’une boîte fonctionnelle qui servira à la communication entre les responsables conjoints du traitement ainsi qu’entre ces derniers et le sous-traitant. Le processus décisionnel des responsables conjoints du traitement est régi par le groupe de travail du comité de sécurité sanitaire du SAPR.
6) Chaque autorité compétente du SAPR perd sa qualité de responsable conjointe du traitement à compter de la date de son renoncement à participer à la plateforme d’échange de formulaires de localisation des passagers. Elle reste néanmoins responsable de la collecte et de la transmission, au moyen de la plateforme, des données des formulaires de localisation des passagers et des données épidémiologiques supplémentaires datant d’avant son renoncement.
7) Chaque autorité compétente du SAPR tient un registre des activités de traitement effectuées sous sa responsabilité. La responsabilité conjointe peut être indiquée dans le registre.
SECTION 2
Responsabilités et rôles en matière de traitement des demandes et d’information des personnes concernées
1) Chaque autorité compétente du SAPR imposant le remplissage de formulaires de localisation des passagers informe les passagers transfrontières (ci-après les «personnes concernées») des circonstances de l’échange de leurs données de formulaires de localisation des passagers et de leurs données épidémiologiques effectué au moyen de la plateforme d’échange de formulaires de localisation des passagers à des fins de recherche des contacts, conformément aux articles 13 et 14 du règlement (UE) 2016/679.
2) Chaque autorité compétente du SAPR agit en tant que point de contact pour les personnes concernées et traite les demandes que celles-ci ou leurs représentants soumettent au sujet de leurs droits, conformément au règlement (UE) 2016/679. Chaque autorité compétente du SAPR désigne un point de contact spécifique pour les demandes reçues des personnes concernées. Si l’une d’entre elles reçoit une demande d’une personne concernée qui ne relève pas de sa responsabilité, elle la transmet rapidement à l’autorité compétente du SAPR responsable et en informe l’ECDC. Sur demande, les autorités compétentes du SAPR se prêtent mutuellement assistance pour le traitement des demandes des personnes concernées ayant trait à la responsabilité conjointe et se répondent dans les meilleurs délais, et au plus tard dans les 15 jours qui suivent la réception d’une demande d’assistance.
3) Chaque autorité compétente du SAPR porte à la connaissance des personnes concernées le contenu de la présente annexe, notamment les modalités prévues aux points 1) et 2).
SECTION 3
Gestion des incidents de sécurité, notamment des violations de données à caractère personnel
1) Les autorités compétentes du SAPR, en tant que responsables conjointes du traitement, se prêtent mutuellement assistance pour la détection et la gestion de tout incident de sécurité, notamment des violations de données à caractère personnel, en lien avec le traitement de données des formulaires de localisation des passagers et de données épidémiologiques au moyen de la plateforme d’échange de formulaires de localisation des passagers.
2) En particulier, elles s’informent mutuellement et notifient l’ECDC des éléments suivants:
a) tout risque potentiel ou avéré pour la disponibilité, la confidentialité et/ou l’intégrité des données des formulaires de localisation des passagers et des données épidémiologiques faisant l’objet d’un traitement dans le cadre de la plateforme d’échange de formulaires de localisation des passagers;
b) toute violation de données à caractère personnel, les conséquences probables de ladite violation et l’évaluation du risque pour les droits et libertés des personnes physiques ainsi que toute mesure prise visant à remédier à la violation de données à caractère personnel et à atténuer le risque pour les droits et libertés des personnes physiques;
c) toute atteinte aux garanties techniques et/ou organisationnelles du processus de traitement dans le cadre de la plateforme d’échange de formulaires de localisation des passagers.
3) Les autorités compétentes du SAPR communiquent toute violation de données liée au processus de traitement dans le cadre de la plateforme d’échange de formulaires de localisation des passagers à l’ECDC, aux autorités de contrôle compétentes et, lorsqu’ils sont tenus de le faire, aux personnes concernées, conformément aux articles 33 et 34 du règlement (UE) 2016/679 ou à la suite d’une notification par l’ECDC.
4) Chaque autorité compétente du SAPR met en œuvre des mesures techniques et organisationnelles adéquates, destinées à:
a) garantir et préserver la sécurité, l’intégrité et la confidentialité des données à caractère personnel traitées de manière conjointe;
b) se prémunir contre le traitement, la perte, l’utilisation, la divulgation, l’acquisition non autorisés ou illégaux de toute donnée à caractère personnel en sa possession ou l’accès non autorisé ou illégal à ces données;
c) garantir que les données à caractère personnel ne sont ni divulguées ni rendues accessibles à d’autres personnes que les destinataires ou les sous-traitants.
SECTION 4
Analyse d’impact relative à la protection des données
Si, afin de s’acquitter des obligations qui lui incombent en vertu des articles 35 et 36 du règlement (UE) 2016/679, un responsable du traitement a besoin de s’informer auprès d’un autre responsable du traitement, il adresse une demande spécifique à la boîte fonctionnelle visée à la section 1, point 5). L’autre responsable du traitement met tout en œuvre pour fournir les informations demandées.