RÉPARTITION DES RESPONSABILITÉS ENTRE LES RESPONSABLES CONJOINTS DU TRAITEMENT
1. La Commission est chargée:
i) de la mise en place, du fonctionnement et de l'administration du CPMS;
ii) de fournir aux prestataires de soins de santé, lorsqu'il y a lieu, les moyens techniques permettant aux patients d'exercer leurs droits par l'intermédiaire du CPMS, conformément au règlement (UE) 2018/1725, de répondre aux demandes des personnes concernées et d'en assurer le suivi lorsque la législation applicable l'exige;
iii) de veiller à ce que le CPMS soit conforme aux exigences applicables aux systèmes d'information et de communication de la Commission;
iv) de définir et de mettre en œuvre les moyens techniques permettant aux patients d'exercer leurs droits conformément au règlement (UE) 2018/1725;
v) de communiquer aux prestataires de soins de santé toute violation de données à caractère personnel dans le CPMS;
vi) d'exporter les ensembles de données à caractère personnel du CPMS en cas de changement de sous-traitant des données à caractère personnel;
vii) d'identifier les catégories de personnel et les autres personnes, affiliées aux prestataires de soins de santé autorisés à accéder au CPMS, auxquelles l'accès au CPMS peut être accordé;
viii) de s'assurer que le nom et le lieu de naissance des patients (à moins que cette information ne soit nécessaire pour le diagnostic et le traitement), ainsi que sa date de naissance exacte, soient cryptés et pseudonymisés et que les autres données à caractère personnel nécessaires aux fins du diagnostic et du traitement soient pseudonymisées dans le CPMS;
ix) de mettre en place des garanties suffisantes pour assurer la sécurité et la confidentialité des données à caractère personnel des patients traitées par l'intermédiaire du CPMS.
2. Chaque prestataire de soins de santé autorisé à accéder au CPMS est chargé:
i) de sélectionner les patients dont les données à caractère personnel sont traitées par l'intermédiaire du CPMS;
ii) de recueillir et de conserver le(s) consentement(s) spécifique(s), libre(s), éclairé(s) et explicite(s) des patients dont les données sont traitées par l'intermédiaire du CPMS dans le respect des exigences minimales obligatoires relatives aux formulaires de consentement précisées à l'annexe IV;
iii) d'agir en tant que point de contact pour ses patients, notamment lorsqu'ils exercent leurs droits, de répondre aux demandes des patients ou de leurs représentants et de veiller à ce que les patients dont les données sont traitées par l'intermédiaire du CPMS soient en mesure d'exercer leurs droits dans le respect de la législation sur la protection des données, en utilisant, au besoin, les moyens techniques fournis par la Commission conformément au point 1 ii);
iv) de réexaminer, au moins tous les quinze ans, la nécessité de traiter certaines données à caractère personnel des patients par l'intermédiaire du CPMS;
v) de veiller à la sécurité et à la confidentialité de tout traitement de données à caractère personnel de patients qu'il effectue en dehors du CPMS, lorsque ces données sont traitées aux fins ou dans le cadre du traitement de données à caractère personnel de patients par l'intermédiaire du CPMS;
vi) de communiquer toute violation des données à caractère personnel en ce qui concerne les données de patients traitées par l'intermédiaire du CPMS à la Commission, aux autorités de contrôle compétentes et, lorsque c'est exigé, aux patients, conformément aux articles 33 et 34 du règlement (UE) 2016/679 ou à la demande de la Commission;
vii) de désigner, conformément aux critères d'accès visés au point 1) vii), de la présente annexe, les membres de son personnel et les autres personnes qui lui sont affiliés qui doivent avoir accès aux données à caractère personnel des patients dans le CPMS, et de les communiquer à la Commission;
viii) de s'assurer que les membres de son personnel et les autres personnes qui lui sont affiliés qui ont accès aux données à caractère personnel des patients dans le CPMS soient suffisamment formés pour garantir qu'ils exécutent leurs tâches conformément aux règles applicables en matière de protection des données à caractère personnel et soient soumis à l'obligation de secret professionnel conformément à l'article 9, paragraphe 3, du règlement (UE) 2016/679.