Les responsabilités de la Commission sont définies ci-dessous.
1) La Commission met en place et garantit une infrastructure de communication sécurisée et fiable qui assure l’interconnexion des applications mobiles nationales de suivi de contacts et d’alerte des États membres participant à la plateforme de fédération. Afin de s’acquitter de ses obligations en tant que sous-traitant des données de la plateforme de fédération, la Commission peut faire appel à des tiers comme sous-traitants ultérieurs; la Commission informe les responsables conjoints du traitement de tout changement prévu concernant l’ajout ou le remplacement d’autres sous-traitants ultérieurs, donnant ainsi aux responsables du traitement la possibilité d’émettre conjointement des objections à l’encontre de ces changements conformément à l’annexe II, section 1, sous-section 1, point 4). La Commission veille à ce que les mêmes obligations en matière de protection des données que celles énoncées dans la présente décision s’appliquent à ces sous-traitants ultérieurs.
2) La Commission ne traite les données à caractère personnel que sur instruction documentée des responsables du traitement, à moins qu’elle ne soit tenue d’y procéder en vertu du droit de l’Union ou du droit d’un État membre; dans ce cas, la Commission informe les responsables du traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit la communication d’une telle information pour des motifs importants d’intérêt public.
3) Le traitement par la Commission comporte les éléments suivants:
a) l’authentification des serveurs d’arrière-plan nationaux, fondée sur les certificats des serveurs d’arrière-plan nationaux;
b) la réception des données visées à l’article 7 bis, paragraphe 3, de la décision d’exécution téléchargées par les serveurs d’arrière-plan nationaux à l’aide d’une interface de programmation d’application mise à disposition, qui permet aux serveurs d’arrière-plan nationaux de télécharger les données pertinentes;
c) le stockage des données dans la plateforme de fédération dès leur réception à partir des serveurs d’arrière-plan nationaux;
d) la mise à disposition des données aux fins de leur téléchargement par les serveurs d’arrière-plan nationaux;
e) la suppression des données une fois téléchargées par tous les serveurs d’arrière-plan participants ou 14 jours après leur réception, selon ce qui se produit en premier;
f) après la fin de la prestation de service, la suppression de toutes les données restantes, à moins que le stockage des données à caractère personnel ne soit exigé au titre du droit de l’Union ou du droit d’un État membre.
Le sous-traitant prend les mesures nécessaires pour préserver l’intégrité des données traitées.
4) La Commission prend toutes les mesures de sécurité à la pointe de la technique nécessaires sur les plans organisationnel, physique et logique pour maintenir la plateforme de fédération. À cette fin, la Commission:
a) désigne une entité responsable de la gestion de la sécurité au niveau de la plateforme de fédération, communique ses coordonnées aux responsables du traitement et veille à sa disponibilité pour répondre aux menaces pour la sécurité;
b) assume la responsabilité de la sécurité de la plateforme de fédération;
c) veille à ce que toutes les personnes qui se voient accorder l’accès à la plateforme de fédération soient soumises à une obligation contractuelle, professionnelle ou statutaire de confidentialité.
5) La Commission prend toutes les mesures de sécurité nécessaires pour éviter de compromettre le bon fonctionnement opérationnel des serveurs d’arrière-plan nationaux. À cette fin, la Commission met en place des procédures spécifiques relatives à la connexion à partir des serveurs d’arrière-plan à la plateforme de fédération. Ces procédures comprennent:
a) une procédure d’évaluation des risques, afin d’identifier et d’estimer les menaces potentielles pour le système;
b) une procédure d’audit et de contrôle destinée à:
i) vérifier la correspondance entre les mesures de sécurité mises en œuvre et la politique de sécurité applicable,
ii) contrôler régulièrement l’intégrité des fichiers système, les paramètres de sécurité et les autorisations accordées,
iii) assurer une surveillance afin de détecter les atteintes à la sécurité et les intrusions,
iv) appliquer des modifications afin de corriger les failles existantes en matière de sécurité,
v) permettre, y compris à la demande des responsables du traitement, la réalisation d’audits indépendants, y compris des inspections, et d’examens des mesures de sécurité, et y contribuer, sous réserve de conditions qui respectent le protocole no 7 du traité sur le fonctionnement de l’Union européenne sur les privilèges et immunités de l’Union européenne;
c) une modification de la procédure de contrôle afin de documenter et de mesurer l’incidence des modifications avant leur mise en œuvre et de tenir les responsables du traitement informés de toute modification susceptible d’affecter la communication avec leurs infrastructures et/ou la sécurité de celles-ci;
d) une procédure de maintenance et de réparation afin de préciser les règles et les conditions à respecter lors de la maintenance et/ou de la réparation des équipements;
e) une procédure relative aux incidents de sécurité afin de définir le système de signalement et d’escalade, d’informer sans délai les responsables du traitement, ainsi que le Contrôleur européen de la protection des données, de toute violation des données à caractère personnel et de définir une procédure disciplinaire pour traiter les atteintes à la sécurité.
6) La Commission prend des mesures de sécurité physiques et/ou logiques à la pointe de la technique pour les installations hébergeant l’équipement de la plateforme de fédération ainsi que pour les contrôles d’accès de sécurité et les contrôles d’accès aux données logiques. À cette fin, la Commission:
a) assure la sécurité physique afin de mettre en place des périmètres de sécurité distincts et de permettre la détection des atteintes;
b) contrôle l’accès aux installations et tient un registre des visiteurs à des fins de suivi;
c) veille à ce que les personnes extérieures auxquelles l’accès est accordé soient accompagnées par du personnel dûment autorisé;
d) veille à ce que des équipements ne puissent être ajoutés, remplacés ou retirés sans autorisation préalable des organismes compétents désignés;
e) contrôle l’accès à la plateforme de fédération depuis les serveurs d’arrière-plan nationaux et l’accès depuis la plateforme de fédération vers ceux-ci;
f) veille à ce que les personnes qui accèdent à la plateforme de fédération soient identifiées et authentifiées;
g) réexamine les droits d’autorisation liés à l’accès à la plateforme de fédération en cas d’atteinte à la sécurité touchant cette infrastructure;
h) préserve l’intégrité des informations transmises par l’intermédiaire de la plateforme de fédération;
i) met en œuvre des mesures de sécurité d’ordre technique et organisationnel afin d’empêcher l’accès non autorisé aux données à caractère personnel;
j) met en œuvre, en tant que de besoin, des mesures visant à empêcher tout accès non autorisé à la plateforme de fédération depuis le domaine des autorités nationales (c’est-à-dire: blocage d’une localisation/d’une adresse IP).
7) La Commission prend des mesures pour protéger son domaine, y compris la rupture des connexions, en cas d’écart important par rapport aux principes et concepts de qualité ou de sécurité.
8) La Commission maintient un plan de gestion des risques lié à son domaine de compétence.
9) La Commission surveille — en temps réel — la performance de tous les éléments de service des services de sa plateforme de fédération, produit des statistiques régulières et tient des registres.
10) La Commission fournit un soutien à tous les services de la plateforme de fédération en anglais, 24 heures sur 24 et 7 jours sur 7, par téléphone, courrier ou portail web, et accepte les appels émanant d’appelants autorisés: les coordonnateurs de la plateforme de fédération et leurs services d’assistance respectifs, les responsables de projets et les personnes désignées de la Commission.
11) La Commission aide les responsables du traitement au moyen de mesures techniques et organisationnelles appropriées, dans la mesure du possible, à s’acquitter de l’obligation qui leur incombe de répondre aux demandes d’exercice des droits de la personne concernée prévus au chapitre III du règlement général sur la protection des données.
12) La Commission soutient les responsables du traitement des données en fournissant des informations sur la plateforme de fédération, dans le but de mettre en application les obligations énoncées aux articles 32, 35 et 36 du règlement général sur la protection des données.
13) La Commission veille à ce que les données traitées dans le cadre de la plateforme de fédération soient inintelligibles pour toute personne non autorisée à y accéder.
14) La Commission prend toutes les mesures appropriées pour empêcher que les opérateurs de la plateforme de fédération disposent d’un accès non autorisé aux données transmises.
15) La Commission prend des mesures pour faciliter l’interopérabilité et la communication entre les responsables du traitement désignés de la plateforme de fédération.
16) La Commission tient un registre des activités de traitement effectuées pour le compte des responsables du traitement conformément à l’article 31, paragraphe 2, du règlement (UE) 2018/1725.