diritto.io

Decisione di esecuzione (UE) 2020/1023 della Commissione del 15 luglio 2020 che modifica la decisione di esecuzione (UE) 2019/1765 per quanto riguarda lo scambio transfrontaliero di dati tra applicazioni mobili nazionali di tracciamento dei contatti e di allerta nell’ambito della lotta alla pandemia di COVID-19 (Testo rilevante ai fini del SEE)

Testo vigente

LA COMMISSIONE EUROPEA,

vista la direttiva 2011/24/UE del Parlamento europeo e del Consiglio, del 9 marzo 2011, concernente l’applicazione dei diritti dei pazienti relativi all’assistenza sanitaria transfrontaliera1, in particolare l’articolo 14, paragrafo 3,

L’articolo 14 della direttiva 2011/24/UE attribuisce all’Unione il compito di sostenere e facilitare la cooperazione e lo scambio di informazioni tra gli Stati membri operanti nell’ambito di una rete volontaria che collega le autorità nazionali responsabili dell’assistenza sanitaria online designate dagli Stati membri (la «rete eHealth»).

La decisione di esecuzione (UE) 2019/1765 della Commissione2 stabilisce le norme per l’istituzione, la gestione e il funzionamento della rete di autorità nazionali responsabili dell’assistenza sanitaria online. L’articolo 4 della decisione conferisce alla rete eHealth il compito di facilitare una maggiore interoperabilità dei sistemi nazionali delle tecnologie di informazione e di comunicazione e la trasferibilità transfrontaliera dei dati sanitari elettronici nell’assistenza sanitaria transfrontaliera.

A seguito della crisi sanitaria pubblica causata dalla pandemia di COVID-19, diversi Stati membri hanno sviluppato applicazioni mobili che sostengono il tracciamento dei contatti e permettono di allertare gli utenti affinché adottino misure adeguate, quali l’esecuzione di test o l’autoisolamento, qualora siano stati potenzialmente esposti al virus a causa della prossimità con un altro utente di tali applicazioni che è risultato positivo. Queste applicazioni si avvalgono della tecnologia Bluetooth per rilevare la prossimità tra i dispositivi. Con la revoca delle restrizioni ai viaggi tra gli Stati membri a partire da giugno 2020, è opportuno migliorare l’interoperabilità dei sistemi nazionali delle tecnologie di informazione e di comunicazione tra gli Stati membri partecipanti alla rete eHealth, attuando un’infrastruttura digitale che renda possibile l’interoperabilità tra le applicazioni mobili nazionali a sostegno delle attività di tracciamento dei contatti e di allerta.

La Commissione sostiene gli Stati membri in relazione alle applicazioni mobili summenzionate. L’8 aprile 2020 la Commissione ha adottato una raccomandazione relativa a un pacchetto di strumenti comuni dell’Unione per l’uso della tecnologia e dei dati al fine di contrastare la crisi COVID-19 e uscirne, in particolare per quanto riguarda le applicazioni mobili e l’uso di dati anonimizzati sulla mobilità (la «raccomandazione della Commissione»)3. Gli Stati membri che partecipano alla rete eHealth hanno adottato, con il supporto della Commissione, un pacchetto di strumenti comuni dell’UE per gli Stati membri sulle applicazioni mobili a sostegno del tracciamento dei contatti4, nonché orientamenti sull’interoperabilità per le applicazioni mobili di tracciamento dei contatti autorizzate nell’UE5. Il pacchetto di strumenti illustra i requisiti nazionali per le applicazioni mobili nazionali di tracciamento dei contatti e di allerta, che in particolare dovrebbero essere utilizzate su base volontaria, essere approvate dalle rispettive autorità sanitarie nazionali, tutelare la vita privata ed essere prontamente rimosse quando non più necessarie. A seguito degli sviluppi più recenti della crisi COVID-19, la Commissione6 e il comitato europeo per la protezione dei dati (EDPB)7 hanno entrambi pubblicato orientamenti sulle applicazioni mobili e sugli strumenti di tracciamento dei contatti relativamente alla protezione dei dati. La progettazione delle applicazioni mobili degli Stati membri e dell’infrastruttura digitale che ne consente l’interoperabilità si basa sul pacchetto di strumenti comuni dell’UE, sugli orientamenti summenzionati e sulle specifiche tecniche concordate nell’ambito della rete eHealth.

Al fine di facilitare l’interoperabilità delle applicazioni mobili nazionali di tracciamento dei contatti e di allerta, gli Stati membri partecipanti alla rete eHealth che hanno deciso di far progredire la loro collaborazione in questo settore su base volontaria hanno sviluppato, con il sostegno della Commissione, un’infrastruttura digitale quale strumento informatico per lo scambio di dati. Tale infrastruttura digitale è denominata «gateway federativo».

La presente decisione stabilisce disposizioni relative al ruolo degli Stati membri partecipanti e della Commissione per il funzionamento del gateway federativo ai fini dell’interoperabilità transfrontaliera delle applicazioni mobili nazionali di tracciamento dei contatti e di allerta.

Il trattamento dei dati personali degli utenti delle applicazioni mobili di tracciamento dei contatti e di allerta, effettuato sotto la responsabilità degli Stati membri o di altre organizzazioni o organismi ufficiali pubblici degli Stati membri, dovrebbe essere realizzato conformemente al regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio8 («il regolamento generale sulla protezione dei dati») e alla direttiva 2002/58/CE del Parlamento europeo e del Consiglio9. Il trattamento dei dati personali effettuato sotto la responsabilità della Commissione allo scopo di gestire e garantire la sicurezza del gateway federativo dovrebbe ottemperare alle disposizioni del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio10.

Il gateway federativo dovrebbe consistere in un’infrastruttura informatica sicura che fornisca un’interfaccia comune in cui le autorità nazionali o gli organismi ufficiali designati possano scambiare un insieme minimo di dati in riferimento ai contatti con persone infette da SARS-CoV-2, al fine di informare altri soggetti della potenziale esposizione all’infezione, e che promuova una cooperazione efficace nel campo dell’assistenza sanitaria tra gli Stati membri facilitando lo scambio di informazioni rilevanti.

La presente decisione dovrebbe pertanto stabilire le modalità per lo scambio transfrontaliero di dati tramite il gateway federativo all’interno dell’UE tra le autorità nazionali o gli organismi ufficiali designati.

Gli Stati membri partecipanti, rappresentati dalle autorità nazionali o dagli organismi ufficiali designati, determinano congiuntamente le finalità e i mezzi del trattamento dei dati personali tramite il gateway federativo e sono pertanto contitolari del trattamento. L’articolo 26 del regolamento generale sulla protezione dei dati prevede l’obbligo per i contitolari del trattamento dei dati personali di determinare in modo trasparente le rispettive responsabilità in merito all’osservanza degli obblighi derivanti da detto regolamento. Esso prevede inoltre la possibilità che tali responsabilità siano determinate dal diritto dell’Unione o dello Stato membro cui i titolari del trattamento sono soggetti. Ciascun titolare del trattamento dovrebbe assicurarsi di disporre di una base giuridica a livello nazionale per il trattamento nel gateway federativo.

La Commissione, in quanto fornitrice di soluzioni tecniche e organizzative per il gateway federativo, procede al trattamento dei dati personali pseudonimizzati per conto degli Stati membri partecipanti al gateway federativo quali contitolari del trattamento ed è pertanto responsabile del trattamento. A norma dell’articolo 28 del regolamento generale sulla protezione dei dati e dell’articolo 29 del regolamento (UE) 2018/1725, i trattamenti da parte di un responsabile del trattamento sono disciplinati da un contratto o da un atto giuridico a norma del diritto dell’Unione o degli Stati membri che vincola il responsabile del trattamento al titolare del trattamento e che specifica i trattamenti. La presente decisione stabilisce norme relative ai trattamenti da parte della Commissione in qualità di responsabile del trattamento.

Nell’effettuare il trattamento dei dati personali nel quadro del gateway federativo, la Commissione è vincolata dalla sua decisione (UE, Euratom) 2017/46 della Commissione11.

Considerando che le finalità per cui i titolari del trattamento trattano i dati personali nelle applicazioni mobili nazionali di tracciamento dei contatti e di allerta non richiedono necessariamente l’identificazione dell’interessato, i titolari del trattamento possono non essere sempre in grado di garantire l’applicazione dei diritti degli interessati. I diritti di cui agli articoli da 15 a 20 del regolamento generale sulla protezione dei dati possono pertanto non applicarsi quando sono soddisfatte le condizioni di cui all’articolo 11 di tale regolamento.

A seguito dell’aggiunta di due nuovi allegati occorre numerare l’allegato attuale della decisione di esecuzione (UE) 2019/1765.

È pertanto opportuno modificare di conseguenza la decisione di esecuzione (UE) 2019/1765.

Tenuto conto della situazione di emergenza causata dalla pandemia di COVID-19, è opportuno che la presente decisione si applichi a decorrere dal giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.

Il Garante europeo della protezione dei dati è stato consultato a norma dell’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725 e ha espresso un parere il 9 luglio 2020.

Le misure di cui alla presente decisione sono conformi al parere del comitato istituito a norma dell’articolo 16 della direttiva 2011/24/UE,

HA ADOTTATO LA PRESENTE DECISIONE:

Art. 1

La decisione di esecuzione (UE) 2019/1765 è così modificata:

  1. 1) all’articolo 2, paragrafo 1, sono aggiunte le seguenti lettere g), h), i), j), k), l), m), n) e o): «g) «utente dell’applicazione»: una persona in possesso di un dispositivo intelligente che ha scaricato e utilizza un’applicazione mobile di tracciamento dei contatti e di allerta approvata; h) «tracciamento dei contatti»: le misure attuate al fine di tracciare le persone che sono state esposte a una fonte di una grave minaccia per la salute a carattere transfrontaliero ai sensi dell’articolo 3, lettera c), della decisione n. 1082/2013/UE del Parlamento europeo e del Consiglio12; i) «applicazione mobile nazionale di tracciamento dei contatti e di allerta»: un’applicazione software approvata a livello nazionale che funziona su dispositivi intelligenti, in particolare smartphone, di norma progettata per un’interazione ampia e mirata con risorse web, e che elabora dati di prossimità e altre informazioni contestuali raccolte da molti sensori presenti nei dispositivi intelligenti allo scopo di tracciare i contatti con le persone infette da SARS-CoV-2 e di allertare le persone che potrebbero essere state esposte a SARS-CoV-2; queste applicazioni mobili sono in grado di rilevare la presenza di altri dispositivi che utilizzano il Bluetooth e di scambiare informazioni con server back-end avvalendosi di Internet; j) «gateway federativo»: un gateway di rete gestito dalla Commissione mediante uno strumento informatico sicuro che riceve, conserva e mette a disposizione un insieme minimo di dati personali tra i server back-end degli Stati membri allo scopo di garantire l’interoperabilità delle applicazioni mobili nazionali di tracciamento dei contatti e di allerta; k) «chiave»: un identificativo temporaneo unico relativo a un utente dell’applicazione che segnala di essere stato contagiato da SARS-CoV-2 o che potrebbe essere stato esposto a SARS-CoV-2; l) «verifica dell’infezione»: il metodo applicato per confermare un’infezione da SARS-CoV-2, che indica in particolare se l’infezione è stata segnalata dall’utente dell’applicazione o se risulta dalla conferma di un’autorità sanitaria nazionale o mediante test di laboratorio; m) «paesi di interesse»: lo Stato membro o gli Stati membri in cui un utente dell’applicazione ha soggiornato durante i 14 giorni precedenti la data di caricamento delle chiavi e in cui ha scaricato l’applicazione mobile nazionale di tracciamento dei contatti e di allerta approvata e/o ha viaggiato; n) «paese di origine delle chiavi»: lo Stato membro in cui è situato il server back-end che ha caricato le chiavi nel gateway federativo; o) «dati di log»: una registrazione automatica di un’attività in relazione allo scambio di dati trattati tramite il gateway federativo e all’accesso agli stessi, che indica in particolare il tipo di attività di trattamento, la data e l’ora dell’attività di trattamento e l’identificativo della persona che effettua il trattamento dei dati.»;

  2. 2) all’articolo 4, paragrafo 1, è aggiunta la seguente lettera h): «h) fornire orientamenti agli Stati membri sullo scambio transfrontaliero di dati personali tramite il gateway federativo tra applicazioni mobili nazionali di tracciamento dei contatti e di allerta.»;

  3. 3) all’articolo 6, paragrafo 1, sono aggiunte le seguenti lettere f) e g): «f) sviluppa, applica e mantiene misure tecniche e organizzative adeguate relative alla sicurezza della trasmissione e dell’hosting dei dati personali nel gateway federativo allo scopo di garantire l’interoperabilità delle applicazioni mobili nazionali di tracciamento dei contatti e di allerta; g) sostiene la rete eHealth nella verifica della conformità tecnica e organizzativa delle autorità nazionali ai requisiti per lo scambio transfrontaliero di dati personali nel gateway federativo eseguendo i test e conducendo gli audit necessari. Esperti degli Stati membri possono assistere gli auditor della Commissione.»;

  4. 4) l’articolo 7 è così modificato:

    1. a) il titolo è sostituito da «Protezione dei dati personali trattati tramite l’infrastruttura di servizi digitali di eHealth»;

    2. b) al paragrafo 2, il termine «allegato» è sostituito dal termine «allegato I»;

  5. 5) è inserito il seguente articolo 7 bis: «Articolo 7 bis Scambio transfrontaliero di dati tramite il gateway federativo tra applicazioni mobili nazionali di tracciamento dei contatti e di allerta 1. Laddove sono scambiati dati personali tramite il gateway federativo, il trattamento è limitato alla finalità di facilitare l’interoperabilità delle applicazioni mobili nazionali di tracciamento dei contatti e di allerta all’interno del gateway federativo e la continuità del tracciamento dei contatti in un contesto transfrontaliero. 2. I dati personali di cui al paragrafo 3 sono trasmessi al gateway federativo in forma pseudonimizzata. 3. I dati personali pseudonimizzati scambiati tramite il gateway federativo e trattati al suo interno comprendono soltanto le seguenti informazioni: a) le chiavi trasmesse dalle applicazioni mobili nazionali di tracciamento dei contatti e di allerta fino a 14 giorni prima della data di caricamento delle chiavi; b) i dati di log associati alle chiavi in linea con il protocollo di specifiche tecniche utilizzato nel paese di origine delle chiavi; c) la verifica dell’infezione; d) i paesi di interesse e il paese di origine delle chiavi. 4. Le autorità nazionali o gli organismi ufficiali designati che effettuano il trattamento dei dati personali nel gateway federativo sono contitolari del trattamento dei dati elaborati nel gateway federativo. Le rispettive responsabilità dei contitolari del trattamento sono attribuite in conformità dell’allegato II. Gli Stati membri che desiderano partecipare allo scambio transfrontaliero di dati tra applicazioni mobili nazionali di tracciamento dei contatti e di allerta notificano alla Commissione la propria intenzione prima di aderirvi, indicando l’autorità nazionale o l’organismo ufficiale che è stato designato come titolare del trattamento competente. 5. La Commissione è responsabile del trattamento dei dati personali elaborati all’interno del gateway federativo. In qualità di responsabile del trattamento, la Commissione garantisce la sicurezza del trattamento dei dati personali all’interno del gateway federativo, ivi compresi trasmissione e hosting, e rispetta gli obblighi incombenti al responsabile del trattamento di cui all’allegato III. 6. L’efficacia delle misure tecniche e organizzative volte a garantire la sicurezza del trattamento dei dati personali all’interno del gateway federativo è periodicamente verificata, esaminata e valutata dalla Commissione e dalle autorità nazionali autorizzate ad accedere al gateway federativo. 7. Fatta salva la decisione dei contitolari del trattamento di terminare il trattamento nel gateway federativo, il funzionamento del gateway federativo è disattivato al più tardi 14 giorni dopo che tutte le applicazioni mobili nazionali di tracciamento dei contatti e di allerta connesse hanno cessato di trasmettere chiavi tramite il gateway federativo.»;

  6. 6) l’allegato diventa l’allegato I;

  7. 7) sono aggiunti gli allegati II e III, il cui testo figura nell’allegato della presente decisione.

Art. 2

La presente decisione entra in vigore il giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.

Fatto a Bruxelles, il 15 luglio 2020 Per la Commissione La presidente Ursula von der Leyen

Fonti e licenze