La Commission:
(1) met en place et garantit une infrastructure de communication sécurisée et fiable pour le compte des États membres, qui prend en charge l’échange de listes de révocation communiquées au service passerelle pour le certificat COVID numérique.
(2) Afin de s’acquitter de ses obligations en qualité de sous-traitant des données du service passerelle du cadre de confiance pour les États membres, la Commission peut faire appel à des tiers comme sous-traitants ultérieurs; la Commission informe les responsables conjoints du traitement de toute modification envisagée concernant l’ajout ou le remplacement d’autres sous-traitants ultérieurs, donnant ainsi aux responsables du traitement la possibilité de s’opposer conjointement aux modifications de cette nature. La Commission veille à ce que les mêmes obligations en matière de protection des données que celles énoncées dans la présente décision s’appliquent à ces sous-traitants ultérieurs.
(3) La Commission ne traite les données à caractère personnel que sur instruction documentée des responsables du traitement, à moins qu’elle ne soit tenue d’y procéder en application du droit de l’Union ou du droit d’un État membre; dans ce cas, la Commission informe les responsables conjoints du traitement de cette obligation juridique avant de poursuivre l’activité de traitement, sauf si le droit concerné interdit la communication d’une telle information pour des motifs importants d’intérêt public.
Le traitement par la Commission comporte les éléments suivants:
a) l’authentification des serveurs d’arrière-plan nationaux, fondée sur les certificats des serveurs d’arrière-plan nationaux;
b) la réception des données visées à l’article 5 bis, paragraphe 3, de la décision téléchargées par les serveurs d’arrière-plan nationaux à l’aide d’une interface de programmation d’application mise à disposition, qui permet aux serveurs d’arrière-plan nationaux de télécharger les données pertinentes;
c) le stockage des données dans le service passerelle pour le certificat COVID numérique de l’UE;
d) la mise à disposition des données aux fins de leur téléchargement par les serveurs d’arrière-plan nationaux;
e) la suppression des données à leur date d’expiration ou sur instruction du responsable du traitement qui les a communiquées;
f) après la fin de la prestation de service, la suppression de toutes les données restantes, à moins que le stockage des données à caractère personnel ne soit exigé au titre du droit de l’Union ou du droit d’un État membre.
(4) La Commission prend toutes les mesures de sécurité à la pointe de la technique nécessaires sur les plans organisationnel, physique et logique pour préserver le service passerelle pour le certificat COVID numérique de l’UE. À cette fin, elle:
a) désigne une entité responsable de la gestion de la sécurité au niveau du service passerelle pour le certificat COVID numérique de l’UE, communique ses coordonnées aux responsables conjoints du traitement et veille à sa disponibilité pour réagir aux menaces pour la sécurité;
b) est chargée d’assurer la sécurité du service passerelle pour le certificat COVID numérique de l’UE, notamment en procédant régulièrement à des essais, des analyses et des évaluations des mesures de sécurité;
c) veille à ce que toutes les personnes auxquelles est accordé l’accès au service passerelle pour le certificat COVID numérique de l’UE soient soumises à une obligation contractuelle, professionnelle ou légale de confidentialité.
(5) La Commission prend toutes les mesures de sécurité nécessaires pour éviter de compromettre le bon fonctionnement opérationnel des serveurs d’arrière-plan nationaux. À cette fin, elle met en place des procédures particulières relatives à la connexion à partir des serveurs d’arrière-plan au service passerelle pour le certificat COVID numérique de l’UE. Il s’agit notamment:
a) d’une procédure d’évaluation des risques, afin d’identifier et d’estimer les menaces potentielles pour le système;
b) d’une procédure d’audit et de contrôle destinée:
i. à vérifier la correspondance entre les mesures de sécurité mises en œuvre et la politique de sécurité applicable;
ii. à contrôler régulièrement l’intégrité des fichiers système, les paramètres de sécurité et les autorisations accordées;
iii. à assurer une surveillance afin de détecter les atteintes à la sécurité et les intrusions;
iv. à appliquer des modifications afin de corriger les failles existantes en matière de sécurité;
v. à définir les conditions dans lesquelles il convient d’autoriser, notamment à la demande des responsables du traitement, la réalisation d’audits indépendants, y compris des inspections, et d’examens des mesures de sécurité, ainsi que de contribuer à ces opérations, sous réserve de conditions qui respectent le protocole no 7 du TFUE sur les privilèges et immunités de l’Union européenne;
c) d’une modification de la procédure de contrôle afin de documenter et de mesurer l’incidence des modifications avant leur mise en œuvre et de tenir les responsables conjoints du traitement informés de toute modification susceptible d’affecter la communication avec leurs infrastructures et/ou la sécurité de celles-ci;
d) d’une procédure de maintenance et de réparation afin de préciser les règles et les conditions à respecter lors de la maintenance et/ou de la réparation des équipements;
e) d’une procédure relative aux incidents de sécurité afin de définir le système de signalement et d’escalade, d’informer sans délai les responsables du traitement concernés, d’informer sans délai les responsables du traitement afin qu’ils avertissent les autorités nationales de contrôle de la protection des données, de toute violation de données à caractère personnel et de définir une procédure disciplinaire pour traiter les atteintes à la sécurité.
(6) La Commission prend des mesures de sécurité physiques et/ou logiques à la pointe de la technique pour les installations hébergeant l’équipement du service passerelle pour le certificat COVID numérique de l’UE ainsi que pour les contrôles d’accès de sécurité et les contrôles d’accès aux données logiques. À cette fin, la Commission:
a) assure la sécurité physique, afin de mettre en place des périmètres de sécurité distincts et de permettre la détection des atteintes;
b) contrôle l’accès aux installations et tient un registre des visiteurs à des fins de suivi;
c) veille à ce que les personnes extérieures auxquelles l’accès est accordé soient accompagnées par du personnel dûment autorisé;
d) veille à ce que des équipements ne puissent être ajoutés, remplacés ou retirés sans autorisation préalable des organismes compétents désignés;
e) contrôle l’accès au service passerelle du cadre de confiance depuis les serveurs d’arrière-plan nationaux et l’accès depuis ledit service à ces derniers;
f) veille à ce que les personnes qui ont accès au service passerelle pour le certificat COVID numérique de l’UE soient identifiées et authentifiées;
g) réexamine les droits d’autorisation liés à l’accès au service passerelle pour le certificat COVID numérique de l’UE en cas d’atteinte à la sécurité touchant cette infrastructure;
h) préserve l’intégrité des informations transmises par l’intermédiaire du service passerelle pour le certificat COVID numérique de l’UE;
i) met en œuvre des mesures de sécurité d’ordre technique et organisationnel afin d’empêcher l’accès non autorisé aux données à caractère personnel;
j) met en œuvre, en tant que de besoin, des mesures visant à empêcher tout accès non autorisé au service passerelle pour le certificat COVID numérique de l’UE depuis le domaine des autorités de délivrance (c’est-à-dire: blocage d’une localisation/d’une adresse IP).
(7) La Commission prend des mesures pour protéger son domaine, y compris la rupture des connexions, en cas d’écart important par rapport aux principes et concepts de qualité ou de sécurité.
(8) La Commission tient à jour un plan de gestion des risques relatif à son domaine de compétence.
(9) La Commission surveille – en temps réel – la performance de tous les composants de service des prestations au sein du service passerelle du cadre de confiance, produit régulièrement des statistiques et tient des registres.
(10) Pour toutes les prestations du service passerelle du cadre de confiance, la Commission fournit un soutien en anglais, 24 heures sur 24 et 7 jours sur 7, par téléphone, courrier électronique ou portail web, et accepte les appels émanant des appelants autorisés: les coordonnateurs du service passerelle pour le certificat COVID numérique de l’UE et leurs services d’assistance respectifs, les responsables de projets et les personnes désignées de la Commission.
(11) La Commission aide les responsables conjoints du traitement au moyen de mesures techniques et organisationnelles appropriées, dans la mesure du possible, conformément à l’article 12 du règlement (UE) 2018/1725, à s’acquitter de l’obligation qui leur incombe de répondre aux demandes d’exercice des droits de la personne concernée prévus au chapitre III du règlement général sur la protection des données.
(12) La Commission soutient les responsables conjoints du traitement en fournissant des informations relatives au service passerelle pour le certificat COVID numérique de l’UE, dans le but de mettre en application les obligations énoncées aux articles 32, 33, 34, 35 et 36 du règlement général sur la protection des données.
(13) La Commission veille à ce que les données traitées au sein du service passerelle pour le certificat COVID numérique de l’UE soient incompréhensibles pour toute personne qui n’est pas autorisée à y avoir accès.
(14) La Commission prend toutes les mesures appropriées pour empêcher que les opérateurs du service passerelle pour le certificat COVID numérique de l’UE disposent d’un accès non autorisé aux données transmises.
(15) La Commission prend des mesures pour faciliter l’interopérabilité et la communication entre les responsables du traitement désignés du service passerelle pour le certificat COVID numérique de l’UE.
(16) La Commission tient, conformément à l’article 31, paragraphe 2, du règlement (UE) 2018/1725, un registre des activités de traitement effectuées pour le compte des responsables conjoints du traitement.