1. En leur qualité de responsables conjoints du traitement, les points de contact nationaux pour la santé numérique assument les responsabilités énumérées ci-dessous.
a) Ils mettent en place un point de contact doté d’une boîte aux lettres fonctionnelle aux fins de la communication entre les responsables conjoints du traitement, ainsi qu’entre ces derniers et le sous-traitant.
b) Ils se coordonnent au sein du groupe de pilotage afin de fournir des instructions coordonnées à la Commission en tant que sous-traitant.
c) Ils envoient toutes les instructions nécessaires à la Commission, en tant que sous-traitant, par l’intermédiaire du groupe de pilotage, comme convenu avec les autres responsables conjoints du traitement au sein du groupe.
d) Ils sont chargés d’informer les personnes concernées du traitement des données à caractère personnel dans MaSanté@UE, conformément aux articles 13 et 14 du règlement (UE) 2016/679.
e) Ils répondent aux demandes des personnes concernées visant à exercer leurs droits prévus par le règlement (UE) 2016/679. Lorsqu’un responsable conjoint du traitement reçoit une demande qui ne relève pas de ses responsabilités en ce qui concerne MaSanté@UE, il transmet la demande au responsable conjoint du traitement concerné et en informe la personne concernée.
f) Ils prennent toutes les mesures de sécurité organisationnelles, physiques et logiques appropriées pour garantir que chaque point de contact national pour la santé numérique fonctionne de manière sécurisée et documente ces mesures. Ces mesures garantissent que:
i) les personnes autorisées à traiter les données à caractère personnel échangées par l’intermédiaire de MaSanté@UE sont soumises à une obligation légale appropriée de confidentialité ou se sont engagées à respecter la confidentialité;
ii) les échanges de données à caractère personnel par l’intermédiaire de MaSanté@UE sont consignés systématiquement afin de tenir un registre des échanges de données à caractère personnel, y compris l’identité des acteurs concernés, les catégories de données à caractère personnel et les finalités pour lesquelles elles ont été échangées.
g) Ils se prêtent mutuellement assistance pour détecter et traiter tout incident, y compris les violations de données à caractère personnel, lié au traitement dans MaSanté@UE. En particulier, les responsables conjoints du traitement s’informent mutuellement des éléments suivants, et en informent la Commission:
i) tout risque pour la sécurité des données à caractère personnel traitées dans MaSanté@UE;
ii) tout incident de sécurité lié aux opérations de traitement des données à caractère personnel dans MaSanté@UE;
iii) toute violation de données à caractère personnel, les conséquences probables de ladite violation et l’évaluation du risque pour les droits et libertés des personnes physiques, ainsi que toute mesure prise visant à remédier à la violation de données et à atténuer le risque pour ces droits et libertés;
iv) toute atteinte aux garanties techniques et/ou organisationnelles du processus de traitement dans MaSanté@UE.
h) Ils communiquent toute violation de données à caractère personnel liée au processus de traitement dans MaSanté@UE aux autorités de contrôle de la protection des données compétentes et, lorsqu’ils sont tenus de le faire, aux personnes concernées, conformément aux articles 33 et 34 du règlement (UE) 2016/679.
i) Ils participent aux analyses d’impact des opérations de traitement envisagées, conformément à l’article 35 du règlement (UE) 2016/679, le cas échéant.
2. Si, afin de s’acquitter des obligations qui lui incombent en vertu des articles 33 et 34 du règlement (UE) 2016/679, un responsable conjoint du traitement a besoin de s’informer auprès d’un autre responsable conjoint du traitement, il adresse une demande spécifique à la boîte fonctionnelle visée au paragraphe 1, point a). L’autre responsable conjoint du traitement met tout en œuvre pour fournir les informations demandées.