Helsetrusler over landegrensene: endringer til gjennomføringsbestemmelser om varslingsprosedyrer
Kommisjonens gjennomføringsbeslutning (EU) 2021/858 av 27. mai 2021 om endring av gjennomføringsbeslutning (EU) 2017/253 med hensyn til varslinger som følge av alvorlige helsetrusler over landegrensene og for kontaktoppsporing av passasjerer identifisert via kontaktoppsporingsskjemaer
Commission Implementing Decision (EU) 2021/858 of 27 May 2021 amending Implementing Decision (EU) 2017/253 as regards alerts triggered by serious cross-border threats to health and for the contact tracing of passengers identified through Passenger Locator Forms
Kommisjonsbeslutning publisert i EU-tidende 28.5.2021
Nærmere omtale
BAKGRUNN (fra kommisjonsbeslutningen, dansk utgave)
(1) Konstatering af et positivt tilfælde af covid-19 som følge af en grænseoverskridende rejse opfylder kriterierne i artikel 9, stk. 1, i afgørelse nr. 1082/2013/EU, da det stadig kan forårsage betydelig dødelighed hos mennesker, da det vil kunne vokse hurtigt, da det berører mere end én medlemsstat, og da det vil kunne nødvendiggøre en koordineret indsats på EU-plan. I overensstemmelse med punkt 23 i henstilling (EU) 2020/1475 af 13. oktober 2020 om en koordineret tilgang til restriktioner for den frie bevægelighed som reaktion på covid-19-pandemien bør oplysninger om påviste covid-19-tilfælde ved en persons ankomst til en medlemsstats område af hensyn til kontaktopsporing straks deles med de offentlige sundhedsmyndigheder i de lande, den pågældende person har opholdt sig i inden for de seneste 14 dage, ved hjælp af systemet for tidlig varsling og reaktion, som blev oprettet ved artikel 8 i afgørelse nr. 1082/2013/EU, og som drives af Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme (ECDC).
(2) I henhold til henstilling (EU) 2020/1475 kan medlemsstaterne kræve, at personer, der rejser ind på deres område, skal udfylde en kontaktopsporingsformular i overensstemmelse med databeskyttelseskravene.
(3) Ved at indføre obligatorisk udfyldelse af nationale kontaktopsporingsformularer i forskellige formater indsamler medlemsstaterne kontaktopsporingsformulardata om passagerer, som krydser grænser og rejser ind på deres område. Én anvendelse af disse oplysninger er, hvis en person, som har udfyldt en kontaktopsporingsformular, er testet positiv for covid-19, så kan de oplysninger, som er indsamlet via kontaktopsporingsformularen, anvendes til at fastslå personens rejserute og overføre relevante oplysninger til de medlemsstater, som skal fortage kontaktopsporingsprocedurer for personer, som kan have været eksponeret for den smittede passager.
(4) Offentlige sundhedsmyndigheder i visse medlemsstater har allerede udvekslet personoplysninger, som er indsamlet via nationale kontaktopsporingsformularer, med henblik på kontaktopsporing i forbindelse med covid-19-pandemien. Denne udveksling har navnlig fundet sted via den nuværende tekniske infrastruktur under systemet for tidlig varsling og reaktion.
(5) Den nuværende tekniske infrastruktur under systemet for tidlig varsling og reaktion er endnu ikke konstrueret til at håndtere den mængde af kontaktopsporingsformulardata, der genereres ved systematisk og massiv anvendelse af kontaktopsporingsformularer. Den kan f.eks. ikke oversætte mellem forskellige nationale formater og kræver manuel indtastning, hvilket har en negativ indvirkning på kontaktopsporingens rettidighed og effektivitet. Dette er navnlig tilfældet, når kontaktopsporing skal udføres i forbindelse med passagerer, som krydser grænser og har rejst med kollektive transportmidler med på forhånd tildelte pladsnumre, såsom fly, visse tog, færger og krydstogter, hvor antallet af eksponerede passagerer og eksponeringstiden for en smittet passager kan være betydelig.
(6) Der bør derfor oprettes en teknisk infrastruktur – kaldet »platformen til udveksling af kontaktopsporingsformularer« – for at muliggøre sikker, rettidig og effektiv udveksling af oplysninger mellem medlemsstaternes kompetente myndigheder for systemet for tidlig varsling og reaktion ved at muliggøre overførsel af oplysninger fra deres eksisterende nationale digitale kontaktopsporingssystemer til andre kompetente myndigheder inden for systemet for tidlig varsling og reaktion på en interoperabel og automatisk måde. Infrastrukturen bør bygge på den udvekslingsplatform, som Det Europæiske Luftfartssikkerhedsagentur (»EASA«) allerede har udviklet, selv om EASA ikke spiller en rolle i forbindelse med behandlingen af personoplysninger via platformen til udveksling af kontaktopsporingsformularer som fastsat i denne gennemførelsesafgørelse. Platformen til udveksling af kontaktopsporingsformularer bør også muliggøre udveksling af begrænsede epidemiologiske data, som er nødvendige for kontaktopsporing, jf. artikel 9, stk. 3, i afgørelse nr. 1082/2013/EU. For at undgå overlapning af aktiviteter eller aktioner, der strider mod eksisterende strukturer og mekanismer til overvågning, tidlig varsling og bekæmpelse af alvorlige grænseoverskridende sundhedstrusler, bør platformen til udveksling af kontaktopsporingsformularer udvikles under systemet for tidlig varsling og reaktion som et supplement til den selektive meddelelsesfunktionalitet, som findes i det system.
(7) Platformen til udveksling af kontaktopsporingsformularer bør drives af Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme, jf. artikel 8 i Europa-Parlamentets og Rådets forordning (EF) nr. 851/2004.
(8) De kontaktopsporingsformulardata og epidemiologiske data, der skal udveksles, bør ikke lagres på platformen til udveksling af kontaktopsporingsformularer.
(9) Hvis en medlemsstat ikke har et nationalt udviklet digitalt kontaktopsporingssystem, kan den anvende det fælles europæiske digitale system for kontaktopsporingsformularer, som konsortiet »EU Healthy Gateways« af Kommissionen fik til opgave at udvikle (tilskudsaftale nr. 801493). Formålet med det fælles europæiske digitale system for kontaktopsporingsformularer er at skabe et centralt indgangssted og en database for indsamling af kontaktopsporingsformularer. I fremtiden bør det fælles europæiske digitale system for kontaktopsporingsformularer forbindes med platformen til udveksling af kontaktopsporingsformularer udelukkende med henblik på at muliggøre udveksling af oplysninger mellem medlemsstaterne med deres egne nationale digitale kontaktopsporingsformularsystemer på den ene side og de medlemsstater, som anvender det fælles europæiske digitale system for kontaktopsporingsformularer på den anden side. Denne afgørelse vedrører ikke oprettelsen af det fælles europæiske digitale system for kontaktopsporingsformularer og regulerer ikke behandlingen af personoplysninger i forbindelse med den.
(10) Denne afgørelse regulerer ikke oprettelsen af nationale kontaktopsporingsformularer, da dette er et anliggende for de enkelte medlemsstater. Medlemsstaterne kan selv vælge, om de indsamler kontaktopsporingsformularer fra alle passagerer, der ankommer til deres område, eller kun fra passagerer, der har den pågældende medlemsstat som deres endelige bestemmelsessted. Effektiv grænseoverskridende kontaktopsporing på baggrund af kontaktopsporingsformulardata kræver, at medlemsstaterne indsamler et fælles minimumssæt af kontaktopsporingsformulardata gennem deres nationale kontaktopsporingsformularer. Disse minimumssæt af kontaktopsporingsformulardata bør derfor fastsættes. Desuden bør medlemsstaterne af hensyn til omkostningseffektivitet, bæredygtighed og skærpet sikkerhed for løsningen overveje at vedtage en fælles tilgang med hensyn til krav om kontaktopsporingsformularer fra alle passagerer, herunder transitpassager, eller kun fra de passagerer, som har den pågældende medlemsstat som deres endelige bestemmelsessted.
(11) Anvendelsen af platformen til udveksling af kontaktopsporingsformularer bør være frivillig, og medlemsstaterne bør frit kunne meddele varslinger under den nuværende eksisterende tekniske infrastruktur for systemet for tidlig varsling og reaktion, på et midlertidigt grundlag, og hvis de ikke er til skade for kontaktopsporingen.
(12) De kompetente myndigheder for systemet for tidlig varsling og reaktion bør kun udveksle veldefinerede sæt af data indsamlet via deres kontaktopsporingsformularer og andre begrænsede epidemiologiske data, der er nødvendige for kontaktopsporingen, i overensstemmelse med minimeringsprincippet for behandling af personoplysninger. Hvis den medlemsstat, som meddeler varsling om en smittet passager, på baggrund af de kontaktopsporingsformulardata, den har til rådighed, kan identificere alle berørte medlemsstater, bør den kun overføre data til de pågældende medlemsstaters kompetente myndigheder for systemet for tidlig varsling og reaktion. Dette er f.eks. tilfældet, når den medlemsstat, som har identificeret den smittede passager, indsamler kontaktopsporingsformularer for alle passagerer, herunder transitpassagerer, som ankommer til dens område med en direkte forbindelse fra det oprindelige afrejsested.
(13) Hvis det påvises, at en passager er smittet med SARS-CoV-2 i en medlemsstat, bør medlemsstatens kompetente myndigheder for systemet for tidlig varsling og reaktion med afgangsmedlemsstatens kompetente myndigheder for systemet for tidlig varsling og reaktion kunne dele et begrænset sæt data fra kontaktopsporingsformularerne, som bør være defineret præcist i forhold til, hvad der er nødvendigt for at kunne udføre kontaktopsporingen af eksponerede personer i afgangsmedlemsstaten og bopælsmedlemsstaten, hvis denne er en anden end afgangsmedlemsstaten – nemlig den smittede passagers identitet og kontaktoplysninger.
(14) Hvis det påvises, at en person er smittet med SARS-CoV-2 i en medlemsstat, bør den pågældende medlemsstats kompetente myndigheder for systemet for tidlig varsling og reaktion også være i stand til at dele et begrænset sæt data med alle medlemsstaternes eller de berørte medlemsstaters kompetente myndigheder for systemet for tidlig varsling og reaktion, hvis disse myndigheder råder over oplysninger, som gør det muligt for dem at identificere disse medlemsstater. Oplysningerne bør begrænses til afgangsstedet, ankomststedet, afgangsdatoen, transportmidlets art (dvs. fly, tog, bus, færge, skib), transporttjenestens identifikationsnummer – dvs. rutenummer, tognummer, bussens nummerplade, færgens eller skibets navn – den smittede persons plads- eller kahytnummer og afgangstidspunktet, hvis ovenstående oplysninger ikke er tilstrækkelige til at identificere transporten. Dette bør gøre det muligt for de modtagende kompetente myndigheder for systemet for tidlig varsling og reaktion at fastslå, om eksponerede passagerer ankom til deres område, og i givet fald udføre kontaktopsporing.
(15) Når den relevante kompetente myndighed for systemet for tidlig varsling og reaktion deler oplysninger med andre kompetente myndigheder for systemet for tidlig varsling og reaktion via platformen til udveksling af kontaktopsporingsformularer, bør myndigheden kunne tilføje epidemiologiske oplysninger, alt efter hvad der er nødvendigt for at udføre kontaktopsporingen, dvs. typen af den udførte covid-19-test, varianten af SARS-CoV-2-virusset og datoen for test og for symptomernes indtræden.
(16) Behandlingen af personoplysninger på smittede passagerer, der er udvekslet via platformen til udveksling af kontaktopsporingsformularer, skal foretages af de kompetente myndigheder for systemet for tidlig varsling, jf. Europa-Parlamentets og Rådets forordning (EU) 2016/679. Behandlingen af personoplysninger på Det Europæiske Center for Forebyggelse af og Kontrol med Sygdommes ansvar som operatør af platformen til udveksling af kontaktopsporingsformularer med henblik på kontaktopsporing og Kommissionen som dets underdatabehandler skal ske i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) 2018/1725.
(17) Retsgrundlaget for udvekslingen af de smittede personers personoplysninger, herunder sundhedsdata, mellem de kompetente myndigheder for systemet for tidlig varsling og reaktion med henblik på kontaktopsporing er fastsat i artikel 9, stk. 1, og stk. 3, litra i), i afgørelse nr. 1082/2013/EU, i overensstemmelse med artikel 6, stk. 1, litra c), og artikel 9, stk. 2, litra i), i forordning (EU) 2016/679. Ved denne afgørelse bør der fastsættes passende og specifikke foranstaltninger til beskyttelse af den registreredes rettigheder og frihedsrettigheder. Disse bør omfatte foranstaltninger i forbindelse med fastlæggelsen af de nødvendige datasæt, som skal udveksles, de kompetente myndigheder for systemet for tidlig varsling og reaktion, med hvilke oplysninger bør udveksles i de forskellige sager, passende sikkerhedsforanstaltninger, herunder kryptering, og metoder til behandling af oplysninger mellem de nationale kompetente myndigheder via platformen til udveksling af kontaktopsporingsformularer i Unionen.
(18) De kompetente myndigheder for systemet for tidlig varsling og reaktion, som deltager i platformen til udveksling af kontaktopsporingsformularer, fastlægger sammen formålet med og midlerne til behandlingen af personoplysninger på platformen til udveksling af kontaktopsporingsformularer og er derfor fælles dataansvarlige. Med artikel 26 i forordning (EU) 2016/679 pålægges de fælles dataansvarlige på en gennemsigtig måde at fastlægge deres respektive ansvar for overholdelse af forpligtelserne i henhold til nævnte forordning. Ved nævnte artikel fastsættes også muligheden for, at disse ansvar kan fastlægges i EU-retten eller medlemsstaternes nationale ret, som de dataansvarlige er underlagt. Denne afgørelse bør derfor fastlægge roller og ansvar for de fælles dataansvarlige.
(19) Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme behandler som leverandør af tekniske og organisatoriske løsninger til platformen til udveksling af kontaktopsporingsformularer kontaktopsporingsformulardata og epidemiologiske data på vegne af de medlemsstater, som deltager i platformen til udveksling af kontaktopsporingsformularer som fælles dataansvarlige, og er derfor en databehandler som defineret i artikel 3, nr. 12), i forordning (EU) 2018/1725. I henhold til artikel 28 i forordning (EU) 2016/679 og artikel 29 i forordning (EU) 2018/1725 skal en databehandlers behandling være reguleret af en kontrakt eller et andet retligt dokument i henhold til EU-retten eller medlemsstaternes nationale ret, der er bindende for databehandleren med hensyn til den dataansvarlige, og som præciserer, hvad behandlingen omfatter. Det er derfor nødvendigt at fastsætte regler for behandling ved Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme som behandler.
(20) I henhold til artikel 3, stk. 3, i forordning (EF) nr. 851/2004 skal Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme, Kommissionen og medlemsstaterne samarbejde for at sikre, at der er sammenhæng mellem deres respektive aktiviteter. Der bør derfor indgås serviceleveranceaftaler mellem Kommissionen og Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme om samarbejde under den tekniske udvikling og driften af platformen til udveksling af kontaktopsporingsformularer. Aftalerne skal præcisere fordelingen af ansvarsområder (organisatoriske, økonomiske og teknologiske) mellem parterne for at lette iværksættelsen af platformen til udveksling af kontaktopsporingsformularer og de tekniske foranstaltninger i forbindelse med drift, vedligeholdelse og yderligere udvikling heraf.
(21) Gennemførelsesafgørelse (EU) 2017/253 bør derfor ændres.
(22) Platformen til udveksling af kontaktopsporingsformularer skal i 2021 finansieres af nødhjælpsinstrumentet, der er oprettet for at hjælpe medlemsstaterne med at reagere på coronaviruspandemien ved at håndtere behovene på en strategisk og koordineret måde på europæisk plan og gennem »aktiviteter til støtte for den europæiske transportpolitik, transportsikkerhed og passagerers rettigheder, herunder kommunikationsaktiviteter«. Den skal i 2022 finansieres af programmet for et digitalt Europa.
(23) I betragtning af den påtænkte dato for iværksættelse af platformen til udveksling af kontaktopsporingsformularer bør denne afgørelse anvendes fra den 1. juni 2021. Udvekslingen af oplysninger bør ophøre efter 12 måneder, eller når generaldirektøren for Verdenssundhedsorganisationen i overensstemmelse med det internationale sundhedsregulativ har erklæret, at den folkesundhedsmæssige nødsituation af international betydning forårsaget af SARS-CoV-2 er ophørt, hvis en sådan erklæring afgives tidligere.
(24) Driften af platformen til udveksling af kontaktopsporingsformularer bør begrænses til bekæmpelse af covid-19-pandemien. Den kunne dog i fremtiden ved en ændringsgennemførelsesafgørelse udvides til at omfatte epidemier, hvor medlemsstaterne til bekæmpelse heraf udveksler kontaktopsporingsformulardata med henblik på kontaktopsporing, jf. kriterierne i artikel 9, stk. 1, og betingelserne i artikel 9, stk. 3, i afgørelse nr. 1082/2013/EU.
(25) Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i forordning (EU) 2018/1725 og afgav en udtalelse den 6. maj 2021.
(26) Foranstaltningerne i denne afgørelse er i overensstemmelse med udtalelse fra Udvalget for Alvorlige Grænseoverskridende Sundhedstrusler, der er nedsat ved artikel 18 i afgørelse nr. 1082/2013/EU —
(1) Konstatering af et positivt tilfælde af covid-19 som følge af en grænseoverskridende rejse opfylder kriterierne i artikel 9, stk. 1, i afgørelse nr. 1082/2013/EU, da det stadig kan forårsage betydelig dødelighed hos mennesker, da det vil kunne vokse hurtigt, da det berører mere end én medlemsstat, og da det vil kunne nødvendiggøre en koordineret indsats på EU-plan. I overensstemmelse med punkt 23 i henstilling (EU) 2020/1475 af 13. oktober 2020 om en koordineret tilgang til restriktioner for den frie bevægelighed som reaktion på covid-19-pandemien bør oplysninger om påviste covid-19-tilfælde ved en persons ankomst til en medlemsstats område af hensyn til kontaktopsporing straks deles med de offentlige sundhedsmyndigheder i de lande, den pågældende person har opholdt sig i inden for de seneste 14 dage, ved hjælp af systemet for tidlig varsling og reaktion, som blev oprettet ved artikel 8 i afgørelse nr. 1082/2013/EU, og som drives af Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme (ECDC).
(2) I henhold til henstilling (EU) 2020/1475 kan medlemsstaterne kræve, at personer, der rejser ind på deres område, skal udfylde en kontaktopsporingsformular i overensstemmelse med databeskyttelseskravene.
(3) Ved at indføre obligatorisk udfyldelse af nationale kontaktopsporingsformularer i forskellige formater indsamler medlemsstaterne kontaktopsporingsformulardata om passagerer, som krydser grænser og rejser ind på deres område. Én anvendelse af disse oplysninger er, hvis en person, som har udfyldt en kontaktopsporingsformular, er testet positiv for covid-19, så kan de oplysninger, som er indsamlet via kontaktopsporingsformularen, anvendes til at fastslå personens rejserute og overføre relevante oplysninger til de medlemsstater, som skal fortage kontaktopsporingsprocedurer for personer, som kan have været eksponeret for den smittede passager.
(4) Offentlige sundhedsmyndigheder i visse medlemsstater har allerede udvekslet personoplysninger, som er indsamlet via nationale kontaktopsporingsformularer, med henblik på kontaktopsporing i forbindelse med covid-19-pandemien. Denne udveksling har navnlig fundet sted via den nuværende tekniske infrastruktur under systemet for tidlig varsling og reaktion.
(5) Den nuværende tekniske infrastruktur under systemet for tidlig varsling og reaktion er endnu ikke konstrueret til at håndtere den mængde af kontaktopsporingsformulardata, der genereres ved systematisk og massiv anvendelse af kontaktopsporingsformularer. Den kan f.eks. ikke oversætte mellem forskellige nationale formater og kræver manuel indtastning, hvilket har en negativ indvirkning på kontaktopsporingens rettidighed og effektivitet. Dette er navnlig tilfældet, når kontaktopsporing skal udføres i forbindelse med passagerer, som krydser grænser og har rejst med kollektive transportmidler med på forhånd tildelte pladsnumre, såsom fly, visse tog, færger og krydstogter, hvor antallet af eksponerede passagerer og eksponeringstiden for en smittet passager kan være betydelig.
(6) Der bør derfor oprettes en teknisk infrastruktur – kaldet »platformen til udveksling af kontaktopsporingsformularer« – for at muliggøre sikker, rettidig og effektiv udveksling af oplysninger mellem medlemsstaternes kompetente myndigheder for systemet for tidlig varsling og reaktion ved at muliggøre overførsel af oplysninger fra deres eksisterende nationale digitale kontaktopsporingssystemer til andre kompetente myndigheder inden for systemet for tidlig varsling og reaktion på en interoperabel og automatisk måde. Infrastrukturen bør bygge på den udvekslingsplatform, som Det Europæiske Luftfartssikkerhedsagentur (»EASA«) allerede har udviklet, selv om EASA ikke spiller en rolle i forbindelse med behandlingen af personoplysninger via platformen til udveksling af kontaktopsporingsformularer som fastsat i denne gennemførelsesafgørelse. Platformen til udveksling af kontaktopsporingsformularer bør også muliggøre udveksling af begrænsede epidemiologiske data, som er nødvendige for kontaktopsporing, jf. artikel 9, stk. 3, i afgørelse nr. 1082/2013/EU. For at undgå overlapning af aktiviteter eller aktioner, der strider mod eksisterende strukturer og mekanismer til overvågning, tidlig varsling og bekæmpelse af alvorlige grænseoverskridende sundhedstrusler, bør platformen til udveksling af kontaktopsporingsformularer udvikles under systemet for tidlig varsling og reaktion som et supplement til den selektive meddelelsesfunktionalitet, som findes i det system.
(7) Platformen til udveksling af kontaktopsporingsformularer bør drives af Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme, jf. artikel 8 i Europa-Parlamentets og Rådets forordning (EF) nr. 851/2004.
(8) De kontaktopsporingsformulardata og epidemiologiske data, der skal udveksles, bør ikke lagres på platformen til udveksling af kontaktopsporingsformularer.
(9) Hvis en medlemsstat ikke har et nationalt udviklet digitalt kontaktopsporingssystem, kan den anvende det fælles europæiske digitale system for kontaktopsporingsformularer, som konsortiet »EU Healthy Gateways« af Kommissionen fik til opgave at udvikle (tilskudsaftale nr. 801493). Formålet med det fælles europæiske digitale system for kontaktopsporingsformularer er at skabe et centralt indgangssted og en database for indsamling af kontaktopsporingsformularer. I fremtiden bør det fælles europæiske digitale system for kontaktopsporingsformularer forbindes med platformen til udveksling af kontaktopsporingsformularer udelukkende med henblik på at muliggøre udveksling af oplysninger mellem medlemsstaterne med deres egne nationale digitale kontaktopsporingsformularsystemer på den ene side og de medlemsstater, som anvender det fælles europæiske digitale system for kontaktopsporingsformularer på den anden side. Denne afgørelse vedrører ikke oprettelsen af det fælles europæiske digitale system for kontaktopsporingsformularer og regulerer ikke behandlingen af personoplysninger i forbindelse med den.
(10) Denne afgørelse regulerer ikke oprettelsen af nationale kontaktopsporingsformularer, da dette er et anliggende for de enkelte medlemsstater. Medlemsstaterne kan selv vælge, om de indsamler kontaktopsporingsformularer fra alle passagerer, der ankommer til deres område, eller kun fra passagerer, der har den pågældende medlemsstat som deres endelige bestemmelsessted. Effektiv grænseoverskridende kontaktopsporing på baggrund af kontaktopsporingsformulardata kræver, at medlemsstaterne indsamler et fælles minimumssæt af kontaktopsporingsformulardata gennem deres nationale kontaktopsporingsformularer. Disse minimumssæt af kontaktopsporingsformulardata bør derfor fastsættes. Desuden bør medlemsstaterne af hensyn til omkostningseffektivitet, bæredygtighed og skærpet sikkerhed for løsningen overveje at vedtage en fælles tilgang med hensyn til krav om kontaktopsporingsformularer fra alle passagerer, herunder transitpassager, eller kun fra de passagerer, som har den pågældende medlemsstat som deres endelige bestemmelsessted.
(11) Anvendelsen af platformen til udveksling af kontaktopsporingsformularer bør være frivillig, og medlemsstaterne bør frit kunne meddele varslinger under den nuværende eksisterende tekniske infrastruktur for systemet for tidlig varsling og reaktion, på et midlertidigt grundlag, og hvis de ikke er til skade for kontaktopsporingen.
(12) De kompetente myndigheder for systemet for tidlig varsling og reaktion bør kun udveksle veldefinerede sæt af data indsamlet via deres kontaktopsporingsformularer og andre begrænsede epidemiologiske data, der er nødvendige for kontaktopsporingen, i overensstemmelse med minimeringsprincippet for behandling af personoplysninger. Hvis den medlemsstat, som meddeler varsling om en smittet passager, på baggrund af de kontaktopsporingsformulardata, den har til rådighed, kan identificere alle berørte medlemsstater, bør den kun overføre data til de pågældende medlemsstaters kompetente myndigheder for systemet for tidlig varsling og reaktion. Dette er f.eks. tilfældet, når den medlemsstat, som har identificeret den smittede passager, indsamler kontaktopsporingsformularer for alle passagerer, herunder transitpassagerer, som ankommer til dens område med en direkte forbindelse fra det oprindelige afrejsested.
(13) Hvis det påvises, at en passager er smittet med SARS-CoV-2 i en medlemsstat, bør medlemsstatens kompetente myndigheder for systemet for tidlig varsling og reaktion med afgangsmedlemsstatens kompetente myndigheder for systemet for tidlig varsling og reaktion kunne dele et begrænset sæt data fra kontaktopsporingsformularerne, som bør være defineret præcist i forhold til, hvad der er nødvendigt for at kunne udføre kontaktopsporingen af eksponerede personer i afgangsmedlemsstaten og bopælsmedlemsstaten, hvis denne er en anden end afgangsmedlemsstaten – nemlig den smittede passagers identitet og kontaktoplysninger.
(14) Hvis det påvises, at en person er smittet med SARS-CoV-2 i en medlemsstat, bør den pågældende medlemsstats kompetente myndigheder for systemet for tidlig varsling og reaktion også være i stand til at dele et begrænset sæt data med alle medlemsstaternes eller de berørte medlemsstaters kompetente myndigheder for systemet for tidlig varsling og reaktion, hvis disse myndigheder råder over oplysninger, som gør det muligt for dem at identificere disse medlemsstater. Oplysningerne bør begrænses til afgangsstedet, ankomststedet, afgangsdatoen, transportmidlets art (dvs. fly, tog, bus, færge, skib), transporttjenestens identifikationsnummer – dvs. rutenummer, tognummer, bussens nummerplade, færgens eller skibets navn – den smittede persons plads- eller kahytnummer og afgangstidspunktet, hvis ovenstående oplysninger ikke er tilstrækkelige til at identificere transporten. Dette bør gøre det muligt for de modtagende kompetente myndigheder for systemet for tidlig varsling og reaktion at fastslå, om eksponerede passagerer ankom til deres område, og i givet fald udføre kontaktopsporing.
(15) Når den relevante kompetente myndighed for systemet for tidlig varsling og reaktion deler oplysninger med andre kompetente myndigheder for systemet for tidlig varsling og reaktion via platformen til udveksling af kontaktopsporingsformularer, bør myndigheden kunne tilføje epidemiologiske oplysninger, alt efter hvad der er nødvendigt for at udføre kontaktopsporingen, dvs. typen af den udførte covid-19-test, varianten af SARS-CoV-2-virusset og datoen for test og for symptomernes indtræden.
(16) Behandlingen af personoplysninger på smittede passagerer, der er udvekslet via platformen til udveksling af kontaktopsporingsformularer, skal foretages af de kompetente myndigheder for systemet for tidlig varsling, jf. Europa-Parlamentets og Rådets forordning (EU) 2016/679. Behandlingen af personoplysninger på Det Europæiske Center for Forebyggelse af og Kontrol med Sygdommes ansvar som operatør af platformen til udveksling af kontaktopsporingsformularer med henblik på kontaktopsporing og Kommissionen som dets underdatabehandler skal ske i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) 2018/1725.
(17) Retsgrundlaget for udvekslingen af de smittede personers personoplysninger, herunder sundhedsdata, mellem de kompetente myndigheder for systemet for tidlig varsling og reaktion med henblik på kontaktopsporing er fastsat i artikel 9, stk. 1, og stk. 3, litra i), i afgørelse nr. 1082/2013/EU, i overensstemmelse med artikel 6, stk. 1, litra c), og artikel 9, stk. 2, litra i), i forordning (EU) 2016/679. Ved denne afgørelse bør der fastsættes passende og specifikke foranstaltninger til beskyttelse af den registreredes rettigheder og frihedsrettigheder. Disse bør omfatte foranstaltninger i forbindelse med fastlæggelsen af de nødvendige datasæt, som skal udveksles, de kompetente myndigheder for systemet for tidlig varsling og reaktion, med hvilke oplysninger bør udveksles i de forskellige sager, passende sikkerhedsforanstaltninger, herunder kryptering, og metoder til behandling af oplysninger mellem de nationale kompetente myndigheder via platformen til udveksling af kontaktopsporingsformularer i Unionen.
(18) De kompetente myndigheder for systemet for tidlig varsling og reaktion, som deltager i platformen til udveksling af kontaktopsporingsformularer, fastlægger sammen formålet med og midlerne til behandlingen af personoplysninger på platformen til udveksling af kontaktopsporingsformularer og er derfor fælles dataansvarlige. Med artikel 26 i forordning (EU) 2016/679 pålægges de fælles dataansvarlige på en gennemsigtig måde at fastlægge deres respektive ansvar for overholdelse af forpligtelserne i henhold til nævnte forordning. Ved nævnte artikel fastsættes også muligheden for, at disse ansvar kan fastlægges i EU-retten eller medlemsstaternes nationale ret, som de dataansvarlige er underlagt. Denne afgørelse bør derfor fastlægge roller og ansvar for de fælles dataansvarlige.
(19) Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme behandler som leverandør af tekniske og organisatoriske løsninger til platformen til udveksling af kontaktopsporingsformularer kontaktopsporingsformulardata og epidemiologiske data på vegne af de medlemsstater, som deltager i platformen til udveksling af kontaktopsporingsformularer som fælles dataansvarlige, og er derfor en databehandler som defineret i artikel 3, nr. 12), i forordning (EU) 2018/1725. I henhold til artikel 28 i forordning (EU) 2016/679 og artikel 29 i forordning (EU) 2018/1725 skal en databehandlers behandling være reguleret af en kontrakt eller et andet retligt dokument i henhold til EU-retten eller medlemsstaternes nationale ret, der er bindende for databehandleren med hensyn til den dataansvarlige, og som præciserer, hvad behandlingen omfatter. Det er derfor nødvendigt at fastsætte regler for behandling ved Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme som behandler.
(20) I henhold til artikel 3, stk. 3, i forordning (EF) nr. 851/2004 skal Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme, Kommissionen og medlemsstaterne samarbejde for at sikre, at der er sammenhæng mellem deres respektive aktiviteter. Der bør derfor indgås serviceleveranceaftaler mellem Kommissionen og Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme om samarbejde under den tekniske udvikling og driften af platformen til udveksling af kontaktopsporingsformularer. Aftalerne skal præcisere fordelingen af ansvarsområder (organisatoriske, økonomiske og teknologiske) mellem parterne for at lette iværksættelsen af platformen til udveksling af kontaktopsporingsformularer og de tekniske foranstaltninger i forbindelse med drift, vedligeholdelse og yderligere udvikling heraf.
(21) Gennemførelsesafgørelse (EU) 2017/253 bør derfor ændres.
(22) Platformen til udveksling af kontaktopsporingsformularer skal i 2021 finansieres af nødhjælpsinstrumentet, der er oprettet for at hjælpe medlemsstaterne med at reagere på coronaviruspandemien ved at håndtere behovene på en strategisk og koordineret måde på europæisk plan og gennem »aktiviteter til støtte for den europæiske transportpolitik, transportsikkerhed og passagerers rettigheder, herunder kommunikationsaktiviteter«. Den skal i 2022 finansieres af programmet for et digitalt Europa.
(23) I betragtning af den påtænkte dato for iværksættelse af platformen til udveksling af kontaktopsporingsformularer bør denne afgørelse anvendes fra den 1. juni 2021. Udvekslingen af oplysninger bør ophøre efter 12 måneder, eller når generaldirektøren for Verdenssundhedsorganisationen i overensstemmelse med det internationale sundhedsregulativ har erklæret, at den folkesundhedsmæssige nødsituation af international betydning forårsaget af SARS-CoV-2 er ophørt, hvis en sådan erklæring afgives tidligere.
(24) Driften af platformen til udveksling af kontaktopsporingsformularer bør begrænses til bekæmpelse af covid-19-pandemien. Den kunne dog i fremtiden ved en ændringsgennemførelsesafgørelse udvides til at omfatte epidemier, hvor medlemsstaterne til bekæmpelse heraf udveksler kontaktopsporingsformulardata med henblik på kontaktopsporing, jf. kriterierne i artikel 9, stk. 1, og betingelserne i artikel 9, stk. 3, i afgørelse nr. 1082/2013/EU.
(25) Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i forordning (EU) 2018/1725 og afgav en udtalelse den 6. maj 2021.
(26) Foranstaltningerne i denne afgørelse er i overensstemmelse med udtalelse fra Udvalget for Alvorlige Grænseoverskridende Sundhedstrusler, der er nedsat ved artikel 18 i afgørelse nr. 1082/2013/EU —