Décision d’exécution (UE) 2020/1023 de la Commission du 15 juillet 2020 modifiant la décision d’exécution (UE) 2019/1765 en ce qui concerne l’échange transfrontière de données entre les applications mobiles nationales de suivi de contacts et d’alerte dans le cadre de la lutte contre la pandémie de COVID-19 (Texte présentant de l’intérêt pour l’EEE)

1 Lorsque des données à caractère personnel sont échangées au moyen de la plateforme de fédération, leur traitement est limité aux finalités consistant à faciliter l’interopérabilité des applications mobiles nationales de suivi de contacts et d’alerte dans le cadre de la plateforme de fédération ainsi qu’à assurer la continuité du suivi des contacts dans un contexte transfrontière.

2 Les données à caractère personnel visées au paragraphe 3 sont transmises à la plateforme de fédération sous une forme pseudonymisée.

3 Les données à caractère personnel pseudonymisées échangées via la plateforme de fédération et traitées dans ce cadre renferment uniquement les informations suivantes: a) les clés transmises par les applications mobiles nationales de suivi de contacts et d’alerte au maximum 14 jours avant la date de téléchargement des clés; b) les données de journal associées aux clés conformément au protocole de spécifications techniques utilisé dans le pays d’origine de ces clés; c) la vérification de l’infection; d) les pays concernés et le pays d’origine des clés.

4 Les autorités nationales ou organismes officiels désigné(e)s qui traitent les données à caractère personnel sur la plateforme de fédération sont responsables conjoints du traitement des données effectué dans ce cadre. Les responsabilités respectives des responsables conjoints du traitement sont réparties conformément à l’annexe II. Tout État membre qui souhaite participer à l’échange transfrontière de données entre les applications mobiles nationales de suivi de contacts et d’alerte en informe la Commission avant de se joindre à cette initiative et indique l’autorité nationale ou l’organisme officiel qui a été désigné(e) comme responsable du traitement.

5 La Commission endosse le rôle de sous-traitant des données à caractère personnel traitées dans le cadre de la plateforme de fédération. En sa qualité de sous-traitant, la Commission veille à la sécurité du traitement, y compris la transmission et l’hébergement, des données à caractère personnel dans le cadre de la plateforme de fédération et s’acquitte des obligations incombant aux sous-traitants énoncées à l’annexe III.

6 L’efficacité des mesures techniques et organisationnelles visant à garantir la sécurité du traitement des données à caractère personnel sur la plateforme de fédération est régulièrement testée, analysée et évaluée par la Commission et les autorités nationales autorisées à avoir accès à cette plateforme.

7 Sans préjudice de la décision des responsables conjoints du traitement de mettre un terme au traitement dans le cadre de la plateforme de fédération, cette dernière est désactivée au plus tard 14 jours après que toutes les applications mobiles nationales de suivi de contacts et d’alerte connectées ont cessé de transmettre des clés par l’intermédiaire de cette plateforme.»

La présente décision entre en vigueur le jour suivant celui de sa publication au Journal officiel de l’Union européenne.