1. Les données à caractère personnel requises aux fins de l’application de l’article 5, paragraphe 5, de l’article 9, paragraphe 4, des articles 33 et 34, de l’article 35, paragraphe 3, points a) et b), de l’article 36, paragraphe 3, de l’article 39, paragraphe 2, point a), de l’article 46, paragraphe 2, de l’article 64 et de l’article 68, paragraphe 3, sont collectées aux fins de l’identification des personnes de contact concernées au sein des entités SoHO, des autorités compétentes en matière de SoHO ou des organismes délégataires concernés, et ne font l’objet d’un traitement supplémentaire que pour assurer la gestion et la transparence des activités de surveillance des SoHO et des activités SoHO concernées.
2. Les données à caractère personnel, y compris les données relatives à la santé, échangées au moyen de la plateforme SoHO de l’UE et requises aux fins de l’application des articles 73 et 74 sont traitées, le cas échéant, dans l’intérêt de la santé publique et dans le but de:
a) contribuer à l’identification et à l’évaluation des risques associés à un don ou à un donneur particulier de SoHO;
b) traiter les informations pertinentes relatives au suivi des résultats cliniques.
3. Les données à caractère personnel, y compris les données relatives à la santé, requises aux fins de l’application des articles 33, 34, 39, 42 et 44, de l’article 53, paragraphe 1, points e) et f), de l’article 53, paragraphe 3, et de l’article 58, paragraphes 13, 14 et 15, ne sont traitées que pour garantir la qualité et la sécurité des SoHO et pour protéger les personnes concernées, à savoir les donneurs et les receveurs de telles substances ainsi que la progéniture issue d’une procréation médicalement assistée. Ces données sont directement liées à la réalisation des activités de surveillance et des activités SoHO concernées et sont limitées dans la mesure nécessaire et proportionnée à cette fin.
4. Toutes les informations sont traitées par la Commission, les États membres, les autorités compétentes en matière de SoHO, y compris les autorités nationales SoHO, les organismes délégataires, les entités SoHO et toute partie tierce contractante d’une entité SoHO, selon le cas, de telle manière que les données à caractère personnel des personnes concernées demeurent protégées conformément à la législation applicable en matière de données à caractère personnel. Ces acteurs réduisent notamment au minimum le risque que des personnes puissent être identifiées et limitent les informations traitées aux éléments nécessaires et appropriés à l’exécution de leurs tâches et au respect des obligations qui leur incombent en vertu du présent règlement.
5. La Commission, les États membres, les autorités compétentes en matière de SoHO, y compris les autorités nationales SoHO, les organismes délégataires, les entités SoHO et toute partie tierce contractante d’une entité SoHO, mettent en œuvre les mesures techniques et organisationnelles appropriées afin de protéger les informations et les données à caractère personnel traitées, y compris les données de santé, contre l’accès non autorisé ou illicite, la divulgation, la diffusion, la modification, la destruction ou la perte accidentelle, en particulier lorsque le traitement implique une transmission par l’intermédiaire d’un réseau.
6. S’agissant de leurs responsabilités en matière de traitement des données à caractère personnel aux fins du respect des obligations du présent règlement, les entités SoHO et les autorités compétentes en matière de SoHO des États membres sont considérées comme les responsables du traitement au sens de l’article 4, point 7), du règlement (UE) 2016/679.
7. Étant donné qu’elle est responsable de l’établissement et de la gestion de la plateforme SoHO de l’UE, telle que prévue à l’article 73 du présent règlement, ainsi que du traitement des données à caractère personnel, y compris des données de santé, qui pourrait résulter de cette activité, la Commission est considérée comme responsable du traitement au sens de l’article 3, point 8), du règlement (UE) 2018/1725.
8. Aux fins du présent article, la Commission est habilitée à adopter des actes délégués conformément à l’article 77 afin de compléter le présent règlement en fixant les durées de conservation des données à caractère personnel, y compris des données de santé, en fonction de leur finalité, ainsi que des critères spécifiques qui permettraient d’identifier les données pertinentes pour la protection de la santé publique visées au paragraphe 2 du présent article.