Responsabilités de la commission en tant que sous-traitant des données dans le cadre de l’infrastructure de services numériques dans le domaine de la santé en ligne pour les services transfrontaliers d’information sur la santé en ligne
La Commission:
1. Met en place et garantit une infrastructure de communication sécurisée et fiable qui assure l’interconnexion entre les réseaux des membres du réseau «Santé en ligne» participant à l’infrastructure de services numériques dans le domaine de la santé en ligne pour les services transfrontaliers d’information sur la santé en ligne (l’«infrastructure de communication sécurisée centrale»). Afin de remplir ces obligations, la Commission peut engager des tiers. La Commission veille à ce que les mêmes obligations en matière de protection des données que celles énoncées dans la présente décision s’appliquent à ces tiers.
2. Configure une partie de l’infrastructure de communication sécurisée centrale de telle sorte que les points de contact nationaux pour la santé en ligne puissent échanger des informations de manière sécurisée, fiable et efficace.
3. Traite les données personnelles selon des instructions documentées fournies par les responsables du traitement des données.
4. Prend toutes les mesures de sécurité nécessaires sur les plans organisationnel, physique et logique pour maintenir l’infrastructure de communication sécurisée centrale. À cette fin, la Commission:
a) désigne une entité responsable de la gestion de la sécurité au niveau de l’infrastructure de communication sécurisée centrale, communique ses coordonnées aux responsables du traitement des données et veille à sa disponibilité pour répondre aux menaces pour la sécurité;
b) assume la responsabilité de la sécurité de l’infrastructure de communication sécurisée centrale;
c) veille à ce que toutes les personnes qui se voient accorder l’accès à l’infrastructure de communication sécurisée centrale soient soumises à une obligation contractuelle, professionnelle ou statutaire de confidentialité;
d) veille à ce que le personnel ayant accès aux informations classifiées réponde aux critères correspondants en matière d’habilitation et de confidentialité.
5. Prend toutes les mesures de sécurité nécessaires pour éviter de compromettre le bon fonctionnement opérationnel du domaine des autres. À cette fin, la Commission met en place les procédures spécifiques relatives à la connexion à l’infrastructure de communication sécurisée centrale. Ces procédures comprennent:
a) une procédure d’évaluation des risques, afin d’identifier et d’estimer les menaces potentielles pour le système;
b) une procédure d’audit et de contrôle destinée à:
i) vérifier la correspondance entre les mesures de sécurité mises en œuvre et la politique de sécurité appliquée;
ii) contrôler régulièrement l’intégrité des fichiers système, les paramètres de sécurité et les autorisations accordées;
iii) assurer une surveillance afin de détecter les atteintes à la sécurité et les intrusions;
iv) appliquer des modifications afin d’éviter les failles existantes en matière de sécurité;
v) définir les conditions d’autorisation, y compris à la demande des responsables du traitement, et contribuer à la réalisation d’audits indépendants, y compris des inspections, et d’examens des mesures de sécurité;
c) une procédure de contrôle des modifications afin de documenter et de mesurer l’incidence des modifications avant leur mise en œuvre et de tenir les points de contact nationaux pour la santé en ligne informés de toute modification susceptible d’affecter la communication avec les autres infrastructures nationales et/ou leur sécurité;
d) une procédure de maintenance et de réparation afin de préciser les règles et les conditions à respecter lors de la maintenance et/ou de la réparation des équipements;
e) une procédure relative aux incidents de sécurité afin de définir le système de signalement et d’escalade, d’informer sans délai l’administration nationale responsable, ainsi que le contrôleur européen de la protection des données de toute atteinte à la sécurité et de définir une procédure disciplinaire pour traiter les atteintes à la sécurité.
6. Prend des mesures de sécurité physiques et/ou logiques pour les installations hébergeant l’équipement de l’infrastructure de communication sécurisée centrale ainsi que pour les contrôles d’accès de sécurité et les contrôles d’accès aux données logiques. À cette fin, la Commission:
a) assure la sécurité physique afin de mettre en place des périmètres de sécurité caractéristiques et de permettre la détection des atteintes;
b) contrôle l’accès aux installations et tient un registre des visiteurs à des fins de traçage;
c) veille à ce que les personnes extérieures auxquelles l’accès est accordé soient accompagnées par du personnel dûment autorisé de leur organisation;
d) veille à ce que des équipements ne puissent être ajoutés, remplacés ou retirés sans autorisation préalable des organismes compétents désignés;
e) contrôle l’accès depuis et vers d’autres réseaux interconnectés avec l’infrastructure de communication sécurisée centrale;
f) veille à ce que les personnes qui accèdent à l’infrastructure de communication sécurisée centrale soient identifiées et authentifiées;
g) réexamine les droits d’autorisation liés à l’accès à l’infrastructure de communication sécurisée centrale en cas d’atteinte à la sécurité touchant cette infrastructure;
h) préserve l’intégrité des informations transmises dans le cadre de l’infrastructure de communication sécurisée centrale;
i) met en œuvre des mesures de sécurité d’ordre technique et organisationnel afin d’empêcher l’accès non autorisé aux données à caractère personnel;
j) met en œuvre, en tant que de besoin, des mesures visant à empêcher tout accès non autorisé à l’infrastructure de communication sécurisée centrale depuis le domaine des points de contact nationaux pour la santé en ligne (c’est-à-dire: blocage d’une localisation/d’une adresse IP).
7. Prend des mesures pour protéger son domaine, y compris la rupture des connexions, en cas d’écart important par rapport aux principes et concepts de qualité ou de sécurité.
8. Maintient un plan de gestion des risques lié à son domaine de compétence.
9. Surveille — en temps réel — la performance de tous les éléments de service des services de son infrastructure de communication sécurisée centrale, produit des statistiques régulières et tient des registres.
10. Fournit un soutien à tous les services de l’infrastructure de communication sécurisée centrale en anglais, 24 h sur 24 et 7 j sur 7, par téléphone, courrier ou portail web et accepte les appels émanant d’appelants autorisés: les coordonnateurs de l’infrastructure de communication sécurisée centrale et leurs services d’assistance respectifs, les responsables de projets et les personnes désignées de la Commission.
11. Soutient les responsables du traitement des données en fournissant des informations sur l’infrastructure de communication sécurisée centrale de l’infrastructure de services numériques dans le domaine de la santé en ligne pour les services transfrontaliers d’information sur la santé en ligne, dans le but de mettre en application les obligations énoncées aux articles 35 et 36 du règlement (UE) 2016/679.
12. Veille à ce que les données transportées au sein de l’infrastructure de communication sécurisée centrale soient chiffrées.
13. Prend toutes les mesures appropriées pour empêcher que les opérateurs de l’infrastructure de communication sécurisée centrale disposent d’un accès non autorisé aux données transportées.
14. Prend des mesures pour faciliter l’interopérabilité et la communication entre les administrations nationales compétentes désignées de l’infrastructure de communication sécurisée centrale.