SECTION 1
Sous-section 1
Répartition des responsabilités
(1) Les responsables conjoints du traitement traitent les données à caractère personnel par l’intermédiaire du service passerelle du cadre de confiance conformément aux spécifications techniques décrites à l’annexe I.
(2) Les autorités de délivrance des États membres demeurent l’unique responsable de la collecte, de l’utilisation, de la divulgation et de tout autre traitement d’informations relatives à la révocation qui ont lieu en dehors du service passerelle, y compris en ce qui concerne la procédure conduisant à la révocation d’un certificat.
(3) Il incombe à chaque responsable du traitement de traiter les données à caractère personnel au sein du service passerelle du cadre de confiance conformément aux articles 5, 24 et 26 du règlement général sur la protection des données.
(4) Chaque responsable du traitement met en place un point de contact doté d’une boîte aux lettres fonctionnelle qui servira à la communication entre les responsables conjoints du traitement, ainsi qu’entre ces derniers et le sous-traitant.
(5) Un groupe de travail institué par le comité visé à l’article 14 du règlement (UE) 2021/953 est mandaté pour trancher toute question relative à l’échange de listes de révocation et à la responsabilité conjointe du traitement de données à caractère personnel correspondant, ainsi que pour faciliter la communication d’instructions coordonnées à la Commission en qualité de sous-traitant. Le processus décisionnel des responsables conjoints du traitement est encadré par ce groupe de travail et régi par le règlement intérieur que ledit groupe doit adopter. À titre de règle de base, la non-participation de l’un des responsables conjoints du traitement à une réunion de ce groupe de travail qui a été annoncée au moins sept (7) jours avant sa convocation par écrit emporte approbation tacite des conclusions de cette réunion du groupe de travail. Tout responsable conjoint du traitement peut convoquer une réunion de ce groupe de travail.
(6) Les instructions à l’intention du sous-traitant sont envoyées par le point de contact de l’un des responsables conjoints du traitement, en accord avec les autres responsables conjoints du traitement, conformément au processus décisionnel du groupe de travail exposé au point 5 ci-dessus. Le responsable conjoint du traitement qui transmet les instructions devrait les communiquer par écrit au sous-traitant et en informer tous les autres responsables conjoints du traitement. Si la question en cause est urgente au point de ne pas permettre la tenue d’une réunion du groupe de travail visé au point (5) ci-dessus, une instruction peut néanmoins être fournie, mais peut être annulée par le groupe de travail. Il conviendrait de communiquer cette instruction par écrit, et tous les autres responsables conjoints du traitement devraient en être informés au moment de sa communication.
(7) The working group as set up per (5) above does not preclude any of the joint controllers’ individual competence to inform their competent supervisory authority in accordance with article 33 and 24 of the General Data Protection Regulation. Une telle notification ne nécessite le consentement d’aucun des autres responsables conjoints du traitement.
(8) Dans le service passerelle du cadre de confiance, seules les personnes autorisées par les autorités nationales ou les organismes officiels désigné(e)s peuvent avoir accès aux données à caractère personnel échangées.
(9) Chaque autorité de délivrance tient un registre des activités de traitement effectuées sous sa responsabilité. La responsabilité conjointe du traitement peut être indiquée dans le registre.
Sous-section 2
Responsabilités et rôles en matière de traitement des demandes et d’information des personnes concernées
(1) Chaque responsable du traitement, en sa qualité d’autorité de délivrance, fournit aux personnes physiques dont il a révoqué le ou les certificats (les «personnes concernées») des informations sur ladite révocation et sur le traitement de leurs données à caractère personnel dans le service passerelle pour le certificat COVID numérique de l’UE aux fins de permettre l’échange de listes de révocation, conformément à l’article 14 du règlement général sur la protection des données, sauf si la fourniture de ces informations se révèle impossible ou exige des efforts disproportionnés.
(2) Chaque responsable du traitement fait office de point de contact pour les personnes physiques dont il a révoqué le certificat, et traite les demandes présentées par les personnes concernées, ou par leurs représentants respectifs, dans l’exercice de leurs droits conformément au règlement général sur la protection des données. Si un responsable conjoint du traitement reçoit une demande d’une personne concernée qui se rapporte à un certificat délivré par un autre responsable conjoint du traitement, il informe la personne concernée de l’identité et des coordonnées de ce dernier. Sur demande d’un autre responsable conjoint du traitement, les responsables conjoints du traitement se prêtent mutuellement assistance pour le traitement des demandes des personnes concernées et se répondent dans les meilleurs délais, et au plus tard dans un délai d’un mois à compter de la réception d’une demande d’assistance. Si une demande se rapporte à des données communiquées par un pays tiers, le responsable du traitement qui reçoit la demande la traite et informe la personne concernée de l’identité et des coordonnées de l’autorité de délivrance dans le pays tiers.
(3) Chaque responsable du traitement porte à la connaissance des personnes concernées le contenu de la présente annexe, notamment les modalités prévues aux points 1) et 2).
SECTION 2
Gestion des incidents de sécurité, notamment des violations de données à caractère personnel
(1) Les responsables conjoints du traitement se prêtent mutuellement assistance pour la détection et la gestion des incidents de sécurité, notamment des violations de données à caractère personnel, en lien avec le traitement de données dans le service passerelle pour le certificat COVID numérique de l’UE.
(2) En particulier, les responsables conjoints du traitement s’informent mutuellement des éléments suivants:
a) tout risque potentiel ou avéré pour la disponibilité, la confidentialité et/ou l’intégrité des données à caractère personnel faisant l’objet d’un traitement dans le service passerelle du cadre de confiance;
b) toute violation de données à caractère personnel, les conséquences probables de ladite violation et l’évaluation du risque pour les droits et libertés des personnes physiques, ainsi que toute mesure prise pour remédier à la violation de données à caractère personnel et pour atténuer le risque pour les droits et libertés des personnes physiques;
c) toute atteinte aux garanties techniques et/ou organisationnelles du processus de traitement au sein du service passerelle du cadre de confiance.
(3) Les responsables conjoints du traitement communiquent toute violation de données à caractère personnel relative au processus de traitement au sein du service passerelle du cadre de confiance à la Commission, aux autorités de contrôle compétentes et, lorsqu’ils y sont tenus, aux personnes concernées, conformément aux articles 33 et 34 du règlement général sur la protection des données, ou à la suite d’une notification par la Commission.
(4) Chaque autorité de délivrance met en œuvre des mesures techniques et organisationnelles appropriées, destinées à:
a) garantir et préserver la sécurité, l’intégrité et la confidentialité des données à caractère personnel traitées de manière conjointe;
b) se prémunir contre le traitement, la perte, l’utilisation, la divulgation, l’acquisition non autorisés ou illégaux de toute donnée à caractère personnel en sa possession ou contre l’accès non autorisé ou illégal à ces données;
c) garantir que les données à caractère personnel ne sont ni divulguées ni rendues accessibles à des personnes autres que les destinataires ou les sous-traitants.
SECTION 3
Analyse d’impact relative à la protection des données
(1) Si, afin de s’acquitter des obligations qui lui incombent en application des articles 35 et 36 du règlement (UE) 2016/679, un responsable du traitement a besoin de s’informer auprès d’un autre responsable du traitement, il adresse une demande spécifique à la boîte fonctionnelle visée à la section 1, sous-section 1, point 4). L’autre responsable du traitement met tout en œuvre pour fournir les informations demandées.