1) L’ECDC met en place et garantit une infrastructure de communication sécurisée et fiable qui assure l’interconnexion des autorités compétentes du SAPR des États membres participant à la plateforme d’échange de formulaires de localisation des passagers.
Le traitement de la plateforme d’échange de formulaires de localisation des passagers par l’ECDC comprend les éléments suivants:
a) la définition de l’ensemble minimal d’exigences techniques permettant la connexion et la déconnexion sans heurts et sécurisées des bases de données nationales de formulaires de localisation des passagers;
b) la garantie de l’interopérabilité sécurisée et automatisée des bases de données nationales de formulaires de localisation des passagers.
2) Afin de s’acquitter de ses obligations en tant que sous-traitant des données de la plateforme d’échange de formulaires de localisation des passagers, l’ECDC engage la Commission comme sous-traitant ultérieur et veille à ce que les mêmes obligations en matière de protection des données que celles énoncées dans la présente décision s’appliquent à la Commission.
L’ECDC peut autoriser la Commission à engager des tiers en tant que sous-traitants ultérieurs.
Si la Commission engage des sous-traitants ultérieurs, l’ECDC:
a) veille à ce que les mêmes obligations en matière de protection des données que celles énoncées dans la présente décision s’appliquent à ces sous-traitants ultérieurs;
b) informe les responsables du traitement de toute modification envisagée concernant l’ajout ou le remplacement d’autres sous-traitants ultérieurs, donnant ainsi aux responsables du traitement la possibilité de s’opposer à la majorité simple aux modifications de cette nature.
3) L’ECDC:
a) met en place et garantit une infrastructure de communication sécurisée et fiable qui assure l’interconnexion des autorités compétentes du SAPR des États membres participant à la plateforme d’échange de formulaires de localisation des passagers;
b) ne traite les données des formulaires de localisation des passagers et les données épidémiologiques supplémentaires que sur instruction documentée des responsables du traitement, à moins qu’il ne soit tenu d’y procéder en vertu du droit de l’Union; le cas échéant, l’ECDC informe les responsables du traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit la communication d’une telle information pour des motifs importants d’intérêt public;
c) met en place un plan de sécurité, un plan de continuité des activités et un plan de reprise des activités;
d) prend les mesures nécessaires pour préserver l’intégrité des données des formulaires de localisation des passagers et des données épidémiologiques supplémentaires traitées;
e) prend toutes les mesures de sécurité à la pointe de la technique nécessaires sur les plans organisationnel, physique et électronique pour maintenir la plateforme d’échange de formulaires de localisation des passagers; à cette fin, l’ECDC:
i) désigne une entité responsable de la gestion de la sécurité au niveau de la plateforme, communique ses coordonnées aux responsables du traitement et veille à sa disponibilité pour répondre aux menaces pour la sécurité;
ii) assume la responsabilité de la sécurité de la plateforme d’échange de formulaires de localisation des passagers;
iii) veille à ce que toutes les personnes qui se voient accorder l’accès à la plateforme d’échange de formulaires de localisation des passagers soient soumises à une obligation contractuelle, professionnelle ou statutaire de confidentialité;
f) prend toutes les mesures de sécurité nécessaires pour éviter de compromettre le bon fonctionnement opérationnel de la plateforme d’échange de formulaires de localisation des passagers; à cette fin, l’ECDC met en place des procédures spécifiques relatives au fonctionnement de la plateforme et à la connexion à celle-ci à partir des serveurs d’arrière-plan. Il s’agit notamment:
i) d’une procédure d’évaluation des risques, afin de détecter et d’estimer les menaces potentielles pour le système;
ii) d’une procédure d’audit et de contrôle destinée:
1) à vérifier la correspondance entre les mesures de sécurité mises en œuvre et la politique de sécurité applicable;
2) à contrôler régulièrement l’intégrité des fichiers système, les paramètres de sécurité et les autorisations accordées;
3) à détecter et à contrôler les atteintes à la sécurité et les intrusions;
4) à appliquer des modifications afin de corriger les failles existantes en matière de sécurité;
5) à permettre, y compris à la demande des responsables du traitement, la réalisation d’audits indépendants, y compris des inspections, et d’examens des mesures de sécurité, et à y contribuer, sous réserve de conditions qui respectent le protocole no 7 du traité sur le fonctionnement de l’Union européenne sur les privilèges et immunités de l’Union européenne (2);
iii) d’une modification de la procédure de contrôle afin de documenter et de mesurer l’incidence des modifications avant leur mise en œuvre et de tenir les responsables du traitement informés de toute modification susceptible d’affecter la communication avec leurs infrastructures et/ou la sécurité de celles-ci;
iv) d’une procédure de maintenance et de réparation afin de préciser les règles et les conditions à respecter lors de la maintenance et/ou de la réparation des équipements;
v) d’une procédure relative aux incidents de sécurité afin de définir le système de signalement et d’escalade, d’informer sans délai les responsables du traitement afin qu’ils notifient les autorités nationales de contrôle de la protection des données de toute violation des données à caractère personnel et de définir une procédure disciplinaire pour traiter les atteintes à la sécurité;
g) prend des mesures de sécurité physiques et/ou électroniques à la pointe de la technique pour les installations hébergeant l’équipement de la plateforme d’échange de formulaires de localisation des passagers ainsi que pour les contrôles d’accès de sécurité et les contrôles d’accès aux données; à cette fin, l’ECDC:
i) assure la sécurité physique afin de mettre en place des périmètres de sécurité distincts et de permettre la détection des atteintes;
ii) contrôle l’accès aux installations et tient un registre des visiteurs à des fins de suivi;
iii) veille à ce que les personnes extérieures auxquelles l’accès est accordé soient accompagnées par du personnel dûment autorisé;
iv) veille à ce que des équipements ne puissent être ajoutés, remplacés ou retirés sans autorisation préalable des organismes compétents désignés;
v) contrôle l’accès à la plateforme d’échange de formulaires de localisation des passagers depuis les systèmes nationaux de formulaires de localisation des passagers et l’accès depuis la plateforme vers ceux-ci;
vi) veille à ce que les personnes qui accèdent à la plateforme d’échange de formulaires de localisation des passagers soient identifiées et authentifiées;
vii) réexamine les droits d’autorisation liés à l’accès à la plateforme d’échange de formulaires de localisation des passagers en cas d’atteinte à la sécurité touchant cette infrastructure;
viii) met en œuvre des mesures de sécurité d’ordre technique et organisationnel afin d’empêcher l’accès non autorisé aux données des formulaires de localisation des passagers et aux données épidémiologiques;
ix) met en œuvre, en tant que de besoin, des mesures visant à empêcher tout accès non autorisé à la plateforme d’échange de formulaires de localisation des passagers depuis le domaine des autorités nationales (par exemple: blocage d’une localisation/d’une adresse IP);
h) prend des mesures pour protéger son domaine, y compris la rupture des connexions, en cas d’écart important par rapport aux principes et concepts de qualité ou de sécurité;
i) maintient un plan de gestion des risques lié à son domaine de compétence;
j) surveille – en temps réel – la performance de tous les éléments de service de la plateforme d’échange de formulaires de localisation des passagers, produit des statistiques régulières et tient des registres;
k) veille à ce que le service soit disponible 24 heures sur 24 et 7 jours sur 7, avec un temps d’arrêt acceptable à des fins de maintenance;
l) fournit un soutien à tous les services de la plateforme d’échange de formulaires de localisation des passagers en anglais, par téléphone, courrier ou portail web, et accepte les appels émanant d’appelants autorisés: les coordonnateurs de la plateforme et leurs services d’assistance respectifs, les responsables de projets et les personnes désignées de l’ECDC;
m) aide les responsables du traitement au moyen de mesures techniques et organisationnelles appropriées, dans la mesure du possible, à s’acquitter de l’obligation qui leur incombe de répondre aux demandes d’exercice des droits de la personne concernée prévus au chapitre III du règlement (UE) 2016/679;
n) soutient les responsables du traitement en fournissant des informations sur la plateforme d’échange de formulaires de localisation des passagers, dans le but de mettre en application les obligations énoncées aux articles 32, 35 et 36 du règlement (UE) 2016/679;
o) veille à ce que les données des formulaires de localisation des passagers et les données épidémiologiques transmises au moyen de la plateforme d’échange de formulaires de localisation des passagers soient inintelligibles pour toute personne non autorisée à y accéder, notamment en appliquant un cryptage renforcé;
p) prend toutes les mesures appropriées pour empêcher que les opérateurs de la plateforme d’échange de formulaires de localisation des passagers disposent d’un accès non autorisé aux données de formulaires de localisation des passagers et aux données épidémiologiques transmises;
q) prend des mesures pour faciliter l’interopérabilité et la communication entre les responsables du traitement désignés de la plateforme d’échange de formulaires de localisation des passagers;
r) tient un registre des activités de traitement effectuées pour le compte des responsables du traitement conformément à l’article 31, paragraphe 2, du règlement (UE) 2018/1725 du Parlement européen et du Conseil.