SECTION 1
Sous-section 1
Répartition des responsabilités
1. Les responsables conjoints du traitement traitent les données à caractère personnel par l’intermédiaire de la plateforme de fédération conformément aux spécifications techniques définies par le réseau «Santé en ligne».
2. Il incombe à chaque responsable du traitement de traiter les données à caractère personnel dans le cadre de la plateforme de fédération conformément au règlement général sur la protection des données et à la directive 2002/58/CE.
3. Chaque responsable du traitement met en place un point de contact doté d’une boîte aux lettres fonctionnelle qui servira à la communication entre les responsables conjoints du traitement, ainsi qu’entre ces derniers et le sous-traitant.
4. Un sous-groupe temporaire mis en place par le réseau «Santé en ligne» conformément à l’article 5, paragraphe 4, est chargé d’examiner toute question relative à l’interopérabilité des applications mobiles nationales de suivi de contacts et d’alerte et à la responsabilité conjointe du traitement de données à caractère personnel correspondant, ainsi que de faciliter la communication d’instructions coordonnées à la Commission en tant que sous-traitant. Dans le cadre du sous-groupe temporaire, les responsables du traitement peuvent notamment œuvrer à une approche commune en matière de conservation des données dans leurs serveurs d’arrière-plan nationaux, compte tenu de la période de conservation fixée dans le portail de fédération.
5. Les instructions à l’intention du sous-traitant sont envoyées par le point de contact de l’un des responsables conjoints du traitement, en accord avec les autres responsables conjoints du traitement faisant partie du sous-groupe mentionné ci-dessus.
6. Seules les personnes autorisées par les autorités nationales ou les organismes officiels désigné(e)s peuvent accéder aux données à caractère personnel des utilisateurs échangées dans le cadre de la plateforme de fédération.
7. Chaque autorité nationale ou organisme officiel désigné(e) perd sa qualité de responsable conjoint du traitement à compter de la date de son renoncement à participer à la plateforme de fédération. L’entité concernée reste toutefois responsable des traitements de données effectués dans le cadre de la plateforme de fédération avant qu’elle ne s’en retire.
Sous-section 2
Responsabilités et rôles en matière de traitement des demandes et d’information des personnes concernées
1. Chaque responsable du traitement fournit aux utilisateurs de son application mobile nationale de suivi de contacts et d’alerte (ci-après les «personnes concernées») des informations sur le traitement de leurs données à caractère personnel dans le cadre de la plateforme de fédération aux fins de l’interopérabilité transfrontière des applications mobiles nationales de suivi de contacts et d’alerte, conformément aux articles 13 et 14 du règlement général sur la protection des données.
2. Chaque responsable du traitement fait office de point de contact pour les utilisateurs de son application mobile nationale de suivi de contacts et d’alerte et traite les demandes présentées par ces utilisateurs ou par leurs représentants relatives à l’exercice des droits des personnes concernées conformément au règlement général sur la protection des données. Chaque responsable du traitement désigne un point de contact spécifique pour les demandes reçues des personnes concernées. Si un responsable conjoint du traitement reçoit une demande d’une personne concernée qui ne relève pas de sa responsabilité, il la transmet rapidement au responsable conjoint du traitement compétent. Sur demande, les responsables conjoints du traitement se prêtent mutuellement assistance pour le traitement des demandes des personnes concernées et se répondent dans les meilleurs délais, et au plus tard dans les 15 jours qui suivent la réception d’une demande d’assistance.
3. Chaque responsable du traitement porte à la connaissance des personnes concernées le contenu de la présente annexe, notamment les modalités prévues aux points 1) et 2).
SECTION 2
Gestion des incidents de sécurité, notamment des violations de données à caractère personnel
1. Les responsables conjoints du traitement se prêtent mutuellement assistance pour la détection et la gestion des incidents de sécurité, notamment des violations de données à caractère personnel, en lien avec le traitement de données dans le cadre de la plateforme de fédération.
2. En particulier, les responsables conjoints du traitement s’informent mutuellement des éléments suivants:
a) tout risque potentiel ou avéré pour la disponibilité, la confidentialité et/ou l’intégrité des données à caractère personnel faisant l’objet d’un traitement dans le cadre de la plateforme de fédération;
b) tout incident de sécurité lié au processus de traitement dans le cadre de la plateforme de fédération;
c) toute violation de données à caractère personnel, les conséquences probables de ladite violation et l’évaluation du risque pour les droits et libertés des personnes physiques, ainsi que toute mesure prise visant à remédier à la violation de données à caractère personnel et à atténuer le risque pour les droits et libertés des personnes physiques;
d) toute atteinte aux garanties techniques et/ou organisationnelles du processus de traitement dans le cadre de la plateforme de fédération.
3. Les responsables conjoints du traitement communiquent toute violation de données à caractère personnel liée au processus de traitement dans le cadre de la plateforme de fédération à la Commission, aux autorités de contrôle compétentes et, lorsqu’ils sont tenus de le faire, aux personnes concernées, conformément aux articles 33 et 34 du règlement (UE) 2016/679 ou à la suite d’une notification par la Commission.
SECTION 3
Analyse d’impact relative à la protection des données
1. Si, afin de s’acquitter des obligations qui lui incombent en vertu des articles 35 et 36 du règlement général sur la protection des données, un responsable du traitement a besoin de s’informer auprès d’un autre responsable du traitement, il adresse une demande spécifique à la boîte aux lettres fonctionnelle visée à la section 1, sous-section 1, point 3). L’autre responsable du traitement met tout en œuvre pour fournir les informations demandées.