Art. 1
Échange transfrontière de données entre les applications mobiles nationales de suivi de contacts et d’alerte par l’intermédiaire de la plateforme de fédération
En vigueur depuis le 15 juil. 2020
Article premier
La décision d’exécution (UE) 2019/1765 est modifiée comme suit:
1)
À l’article 2, paragraphe 1, les points g), h), i), j), k), l), m), n) et o) suivants sont ajoutés:
«g)
“utilisateur d’application”, toute personne qui possède un appareil intelligent sur lequel elle a téléchargé et utilise une application mobile autorisée de suivi de contacts et d’alerte;
h)
“suivi de contacts”, les mesures appliquées en vue de rechercher les personnes qui ont été exposées à une source de menace transfrontière grave sur la santé au sens de l’article 3, point c), de la décision no 1082/2013/UE du Parlement européen et du Conseil (*1);
i)
“application mobile nationale de suivi de contacts et d’alerte”, une application informatique autorisée à l’échelle nationale et fonctionnant sur des appareils intelligents, en particulier sur des smartphones, destinée généralement à des interactions variées et ciblées avec des ressources web et qui traite des données de proximité et d’autres informations contextuelles recueillies par de nombreux capteurs installés dans les appareils intelligents afin d’assurer le suivi des contacts avec les personnes infectées par le SARS-CoV-2 et d’avertir les personnes susceptibles d’avoir été exposées à ce virus. Ces applications mobiles peuvent détecter la présence d’autres appareils utilisant la technologie Bluetooth et échanger des informations avec les serveurs d’arrière-plan au moyen de l’internet;
j)
“plateforme de fédération”, une passerelle de réseau gérée par la Commission par l’intermédiaire d’un outil informatique sécurisé qui reçoit, enregistre et met à disposition un ensemble minimal de données à caractère personnel entre les serveurs d’arrière-plan des États membres dans le but d’assurer l’interopérabilité des applications mobiles nationales de suivi de contacts et d’alerte;
k)
“clé”, un identifiant éphémère unique lié à un utilisateur d’application qui déclare avoir été infecté par le SARS-CoV-2 ou qui est susceptible d’avoir été exposé à ce virus;
l)
“vérification de l’infection”, la méthode employée pour confirmer une infection par le SARS-CoV-2, selon que cette infection a été déclarée par l’utilisateur d’application concerné ou qu’elle a été confirmée par une autorité sanitaire nationale ou un test en laboratoire;
m)
“pays concerné(s)”, le ou les État(s) membre(s) dans le(s)quel(s) un utilisateur d’application se trouvait au cours des 14 jours précédant la date de téléchargement des clés et dans le(s)quel(s) cet utilisateur a téléchargé l’application mobile nationale autorisée de suivi de contacts et d’alerte et/ou a voyagé;
n)
“pays d’origine des clés”, l’État membre dans lequel se trouve le serveur d’arrière-plan qui a téléchargé les clés sur la plateforme de fédération;
o)
“données de journal”, l’enregistrement automatique d’une activité liée à l’échange de données traitées par l’intermédiaire du portail de fédération ainsi qu’à l’accès à de telles données, qui indique notamment le type de l’activité de traitement effectuée, la date et l’heure de cette activité, ainsi que l’identifiant de la personne qui a procédé au traitement des données.
(*1) Décision no 1082/2013/UE du Parlement européen et du Conseil du 22 octobre 2013 relative aux menaces transfrontières graves sur la santé et abrogeant la décision no 2119/98/CE (JO L 293 du 5.11.2013, p. 1).»
"
2)
À l’article 4, paragraphe 1, le point h) suivant est ajouté:
«h)
fournir des orientations aux États membres en ce qui concerne l’échange transfrontière de données à caractère personnel entre les applications mobiles nationales de suivi de contacts et d’alerte par l’intermédiaire de la plateforme de fédération.»
3)
À l’article 6, paragraphe 1, les points f) et g) suivants sont ajoutés:
«f)
élabore, met en œuvre et tient à jour des mesures techniques et organisationnelles appropriées liées à la sécurité de la transmission et de l’hébergement de données à caractère personnel sur la plateforme de fédération en vue d’assurer l’interopérabilité des applications mobiles nationales de suivi de contacts et d’alerte;
g)
aide le réseau «Santé en ligne» à s’accorder sur la conformité technique et organisationnelle des autorités nationales avec les exigences en matière d’échange transfrontière de données à caractère personnel sur la plateforme de fédération, en fournissant et en réalisant les essais et les audits nécessaires. Des experts des États membres peuvent assister les auditeurs de la Commission.»
4)
L’article 7 est modifié comme suit:
a)
le titre est remplacé par «Protection des données à caractère personnel traitées par l’intermédiaire de l’infrastructure de services numériques dans le domaine de la santé en ligne»;
b)
au paragraphe 2, le terme «annexe» est remplacé par «annexe I».
5)
L’article 7 bis suivant est inséré:
«Article 7 bis
Échange transfrontière de données entre les applications mobiles nationales de suivi de contacts et d’alerte par l’intermédiaire de la plateforme de fédération
1. Lorsque des données à caractère personnel sont échangées au moyen de la plateforme de fédération, leur traitement est limité aux finalités consistant à faciliter l’interopérabilité des applications mobiles nationales de suivi de contacts et d’alerte dans le cadre de la plateforme de fédération ainsi qu’à assurer la continuité du suivi des contacts dans un contexte transfrontière.
2. Les données à caractère personnel visées au paragraphe 3 sont transmises à la plateforme de fédération sous une forme pseudonymisée.
3. Les données à caractère personnel pseudonymisées échangées via la plateforme de fédération et traitées dans ce cadre renferment uniquement les informations suivantes:
a)
les clés transmises par les applications mobiles nationales de suivi de contacts et d’alerte au maximum 14 jours avant la date de téléchargement des clés;
b)
les données de journal associées aux clés conformément au protocole de spécifications techniques utilisé dans le pays d’origine de ces clés;
c)
la vérification de l’infection;
d)
les pays concernés et le pays d’origine des clés.
4. Les autorités nationales ou organismes officiels désigné(e)s qui traitent les données à caractère personnel sur la plateforme de fédération sont responsables conjoints du traitement des données effectué dans ce cadre. Les responsabilités respectives des responsables conjoints du traitement sont réparties conformément à l’annexe II. Tout État membre qui souhaite participer à l’échange transfrontière de données entre les applications mobiles nationales de suivi de contacts et d’alerte en informe la Commission avant de se joindre à cette initiative et indique l’autorité nationale ou l’organisme officiel qui a été désigné(e) comme responsable du traitement.
5. La Commission endosse le rôle de sous-traitant des données à caractère personnel traitées dans le cadre de la plateforme de fédération. En sa qualité de sous-traitant, la Commission veille à la sécurité du traitement, y compris la transmission et l’hébergement, des données à caractère personnel dans le cadre de la plateforme de fédération et s’acquitte des obligations incombant aux sous-traitants énoncées à l’annexe III.
6. L’efficacité des mesures techniques et organisationnelles visant à garantir la sécurité du traitement des données à caractère personnel sur la plateforme de fédération est régulièrement testée, analysée et évaluée par la Commission et les autorités nationales autorisées à avoir accès à cette plateforme.
7. Sans préjudice de la décision des responsables conjoints du traitement de mettre un terme au traitement dans le cadre de la plateforme de fédération, cette dernière est désactivée au plus tard 14 jours après que toutes les applications mobiles nationales de suivi de contacts et d’alerte connectées ont cessé de transmettre des clés par l’intermédiaire de cette plateforme.»
6)
L’annexe devient l’annexe I.
7)
Une annexe II et une annexe III, dont le texte figure en annexe de la présente décision, sont ajoutées.
Historique des versions
Cet article n'a jamais été modifié depuis sa publication.
Vos annotations
Proeli:dec_impl:2020:1023:oj#art-1