Agencia Estatal Boletín Oficial del Estado

(1)

La detección de un caso positivo de COVID-19 tras un determinado viaje transfronterizo cumple los criterios establecidos en el artículo 9, apartado 1, de la Decisión n.o 1082/2013/UE, ya que puede seguir causando una mortalidad humana significativa, puede aumentar rápidamente en magnitud, afecta a más de un Estado miembro y puede exigir una respuesta coordinada a nivel de la Unión. De conformidad con el punto 23 de la Recomendación (UE) 2020/1475, de 13 de octubre de 2020, sobre un enfoque coordinado de la restricción de la libre circulación en respuesta a la pandemia de COVID-19 (2), la información sobre un caso de COVID-19 detectado a la llegada de la persona al territorio de un Estado miembro debe compartirse inmediatamente con las autoridades sanitarias públicas de los países en los que la persona en cuestión haya permanecido durante los catorce días anteriores con fines de rastreo de contactos, utilizando el Sistema de Alerta Precoz y Respuesta (SAPR) establecido por el artículo 8 de la Decisión n.o 1082/2013/UE y gestionado por el Centro Europeo para la Prevención y el Control de las Enfermedades (ECDC).

(2)

De conformidad con la Recomendación (UE) 2020/1475, los Estados miembros pueden exigir a las personas que entren en su territorio que presenten formularios de localización de pasajeros (PLF), de conformidad con los requisitos de protección de datos.

(3)

Al imponer la cumplimentación de PLF nacionales con diversos formatos, los Estados miembros recogen los datos de los PLF de los pasajeros transfronterizos que entran en su territorio. Si entre las personas que han cumplimentado un PLF se detecta un caso de COVID-19, los datos recogidos en dicho PLF se pueden utilizar, entre otras cosas, para determinar el viaje de esa persona y transmitir la información pertinente a los Estados miembros que necesiten efectuar procedimientos de rastreo de contactos de las personas que podrían haber estado expuestas al pasajero infectado.

(4)

Con el fin de efectuar el rastreo de contactos en el contexto de la pandemia de COVID-19, las autoridades sanitarias públicas de algunos Estados miembros ya han intercambiado datos personales recogidos a través de los PLF nacionales. Este intercambio se ha llevado a cabo concretamente mediante la actual infraestructura técnica que se encuentra disponible a través del SAPR.

(5)

Esta infraestructura técnica disponible actualmente a través del SAPR todavía no está diseñada para gestionar el volumen de datos de los PLF generado por el uso sistemático y a gran escala de estos últimos. Por ejemplo, no traduce entre diferentes formatos nacionales y requiere una introducción manual, lo que afecta negativamente a la prontitud y la eficacia del rastreo de contactos. Este es el caso, en particular, cuando es necesario efectuar un rastreo de contactos de los pasajeros transfronterizos que han viajado por medios de transporte colectivo con asientos preasignados, como aeronaves, determinados trenes, transbordadores y cruceros, donde el número de pasajeros expuestos y la duración de la exposición a un pasajero infectado podrían ser relevantes.

(6)

Por tanto, debe crearse una infraestructura técnica, denominada «plataforma de intercambio de PLF», que posibilite un intercambio de datos seguro, rápido y eficaz entre las autoridades competentes del SAPR de los Estados miembros, que les permita transmitir a otras autoridades competentes del SAPR de manera interoperable y automática la información de sus sistemas nacionales de PLF digital ya existentes. Dicha infraestructura debe basarse en la plataforma de intercambio ya desarrollada por la Agencia de la Unión Europea para la Seguridad Aérea (AESA), sin que la AESA tenga ninguna función en relación con el tratamiento de datos personales a través de la plataforma de intercambio de PLF, tal como se establece en la presente Decisión de Ejecución. La plataforma de intercambio de PLF también debe permitir el intercambio de datos epidemiológicos limitados, necesarios para el rastreo de contactos, de conformidad con el artículo 9, apartado 3, de la Decisión n.o 1082/2013/UE. Con el fin de evitar un solapamiento de actividades o un conflicto de actuaciones con las estructuras y mecanismos existentes de seguimiento, alerta precoz y lucha contra las amenazas transfronterizas graves para la salud, la plataforma de intercambio de PLF debe desarrollarse en el marco del SAPR, como complemento de la funcionalidad de mensajería selectiva integrada en ese sistema.

(7)

(8)

La plataforma de intercambio de PLF debe ser gestionada por el ECDC, de conformidad con el artículo 8 del Reglamento (CE) n.o 851/2004 del Parlamento Europeo y del Consejo (3).

La plataforma de intercambio de PLF no debe almacenar los datos de los PLF ni los datos epidemiológicos que vayan a intercambiarse.

(9)

Si un Estado miembro no dispone de un sistema de PLF digital desarrollado a nivel nacional, puede utilizar el sistema de formulario de localización de pasajeros digital común de la Unión Europea (EUdPLF), que la Comisión encomendó para su desarrollo a la acción conjunta «Healthy Gateways» (subvención n.o 801493) (4). El objetivo del EUdPLF es crear un punto de entrada y una base de datos únicos para recoger los PLF. En el futuro, el EUdPLF deberá estar conectado a la plataforma de intercambio de PLF con el único fin de permitir el intercambio de datos entre los Estados miembros que posean sus propios sistemas nacionales de PLF digital, por una parte, y aquellos que utilicen el EUdPLF, por otra. La presente Decisión no cubre el establecimiento del EUdPLF ni regula el tratamiento de datos personales en relación con él.

(10)

La presente Decisión no regula el establecimiento de PLF nacionales, ya que la determinación de esta cuestión corresponde a los Estados miembros. Los Estados miembros pueden optar por recoger PLF de todos los pasajeros que lleguen a su territorio, o solo de aquellos cuyo destino final sea el Estado miembro de que se trate. Un rastreo de contactos transfronterizo eficaz basado en los datos de los PLF requiere que los Estados miembros recojan un conjunto mínimo común de datos de los PLF a través de sus PLF nacionales. Por lo tanto, deben establecerse esos datos mínimos de los PLF. Además, en aras de la rentabilidad, la sostenibilidad y una mayor seguridad de la solución, los Estados miembros deben considerar la posibilidad de adoptar un enfoque común a la hora de exigir PLF a todos los pasajeros, incluidos los pasajeros en tránsito, o solo a aquellos cuyo destino final sea el Estado miembro de que se trate.

(11)

El uso de la plataforma de intercambio de PLF debe ser voluntario y los Estados miembros deben tener libertad para notificar las alertas a través de la actual infraestructura técnica del SAPR, con carácter temporal y siempre que no comprometan la finalidad del rastreo de contactos.

(12)

Las autoridades competentes del SAPR solo deben intercambiar conjuntos bien definidos de datos recogidos a través de sus PLF y otros datos epidemiológicos limitados necesarios para el rastreo de contactos, en consonancia con el principio de minimización del tratamiento de datos personales. Si, sobre la base de los datos de los PLF de que dispone, el Estado miembro que notifica la alerta sobre un pasajero infectado es capaz de identificar a todos los Estados miembros afectados debe transmitir los datos únicamente a las autoridades competentes del SAPR de dichos Estados miembros. Este es el caso, por ejemplo, cuando el Estado miembro que detecta al pasajero infectado recoge PLF para todos los pasajeros, incluidos los pasajeros en tránsito, que llegan a su territorio con una conexión directa desde el lugar de salida inicial.

(13)

Cuando se detecte que un pasajero está infectado por SARS-CoV-2 en un Estado miembro, las autoridades competentes del SAPR de dicho Estado miembro deben poder compartir con las del Estado miembro de salida un conjunto limitado de datos extraídos de los PLF, que deben definirse de forma estricta como aquello que es necesario para efectuar el rastreo de contactos de las personas expuestas en el Estado miembro de salida y en el de residencia, si son distintos —en particular, la identidad y la información de contacto del pasajero infectado—.

(14)

Además, cuando se detecte que un pasajero está infectado por el SARS-CoV-2 en un Estado miembro, las autoridades competentes del SAPR de dicho Estado miembro también deben poder compartir un conjunto limitado de datos con las autoridades competentes del SAPR de todos los Estados miembros, o de los Estados miembros afectados si dichas autoridades disponen de información que les permita identificarlos. Los datos deben limitarse al lugar de salida, el lugar de llegada, la fecha de salida, el tipo de transporte utilizado (por ejemplo, avión, tren, autocar, transbordador, barco), el número de identificación del servicio de transporte (es decir, el número de vuelo, el número de tren, la matrícula del autocar o el nombre del transbordador o del barco), el número de asiento o de cabina del pasajero infectado, así como la hora de salida si los datos anteriores no son suficientes para identificar el transporte. Esto debería permitir a las autoridades competentes del SAPR receptoras determinar si los pasajeros expuestos han llegado a su territorio y, en caso afirmativo, efectuar el rastreo de contactos.

(15)

Al compartir datos con otras autoridades competentes del SAPR a través de la plataforma de intercambio de PLF, la autoridad competente del SAPR pertinente debe poder añadir información epidemiológica, limitada a lo necesario para efectuar el rastreo de contactos, a saber, el tipo de prueba diagnóstica de la COVID-19 realizada, la variante del virus SARS-CoV-2, la fecha de la toma de muestras y la fecha de aparición de los síntomas.

(16)

El tratamiento de los datos personales de los pasajeros infectados, intercambiados a través de la plataforma de intercambio de PLF, debe ser llevado a cabo por las autoridades competentes del SAPR de conformidad con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (5). El tratamiento de datos personales bajo la responsabilidad del ECDC como operador de la plataforma de intercambio de PLF con el fin de efectuar el rastreo de contactos, y de la Comisión como subencargada del tratamiento, debe cumplir lo dispuesto en el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (6).

(17)

El fundamento jurídico para el intercambio de datos personales de los pasajeros infectados, incluidos los relativos a la salud, entre las autoridades competentes del SAPR con el fin de efectuar el rastreo de contactos se establece en el artículo 9, apartado 1, y apartado 3, letra i), de la Decisión n.o 1082/2013/UE, de conformidad con el artículo 6, apartado 1, letra c), y el artículo 9, apartado 2, letra i), del Reglamento (UE) 2016/679. La presente Decisión debe establecer medidas adecuadas y concretas para salvaguardar los derechos y libertades del interesado. Entre ellas deben figurar medidas relativas a la definición de los conjuntos de datos necesarios que deben intercambiarse, las autoridades competentes del SAPR con las que deben intercambiarse los datos en los distintos casos, las medidas de seguridad apropiadas, incluido el cifrado, y las modalidades de tratamiento de los datos entre las autoridades nacionales competentes a través de la plataforma de intercambio de PLF dentro de la Unión Europea.

(18)

Las autoridades competentes del SAPR que participan en la plataforma de intercambio de PLF determinan conjuntamente el objetivo y los medios de tratamiento de los datos personales en dicha plataforma, por lo que son corresponsables del tratamiento. El artículo 26 del Reglamento (UE) 2016/679 impone a los corresponsables del tratamiento la obligación de determinar, de modo transparente, sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por dicho Reglamento. También contempla la posibilidad de que tales responsabilidades se rijan por el Derecho de la Unión o de los Estados miembros que se les aplique a ellos. Por consiguiente, la presente Decisión debe determinar las funciones y responsabilidades respectivas de los corresponsables del tratamiento.

(19)

El ECDC, en su calidad de proveedor de soluciones técnicas y organizativas para la plataforma de intercambio de PLF, trata los datos de los PLF y los datos epidemiológicos por cuenta de los Estados miembros que participan en la plataforma de intercambio de PLF como corresponsables del tratamiento, por lo que es un encargado del tratamiento en el sentido del artículo 3, punto 12, del Reglamento (UE) 2018/1725. Según el artículo 28 del Reglamento (UE) 2016/679 y el artículo 29 del Reglamento (UE) 2018/1725, el tratamiento por el encargado debe regirse por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros que vincule al encargado respecto del responsable del tratamiento y que especifique el tratamiento. Por lo tanto, es necesario establecer normas sobre el tratamiento por parte del ECDC como encargado del tratamiento.

(20)

El artículo 3, apartado 3, del Reglamento (CE) n.o 851/2004 establece que el ECDC, la Comisión y los Estados miembros cooperarán con vistas a promover la coherencia efectiva entre sus actividades respectivas. Por consiguiente, deben celebrarse acuerdos de nivel de servicio entre la Comisión y el ECDC para cooperar durante el desarrollo técnico y el funcionamiento de la plataforma de intercambio de PLF. En ellos se especificará el reparto de responsabilidades (organizativas, financieras y tecnológicas) entre las partes para facilitar la puesta en marcha de la plataforma de intercambio de PLF y las medidas técnicas relativas a su funcionamiento, mantenimiento y desarrollo ulterior.

(21)

(22)

Procede, por tanto, modificar la Decisión de Ejecución (UE) 2017/253 en consecuencia.

La plataforma de intercambio de PLF se financiará en 2021 a través del Instrumento de Asistencia Urgente, que se ha puesto en marcha para ayudar a los Estados miembros a responder a la pandemia de coronavirus abordando las necesidades de manera estratégica y coordinada a nivel europeo, y a través de las «Actividades de apoyo a la política europea de transporte, a la seguridad del transporte y a los derechos de los pasajeros, incluidas las actividades de comunicación». En el año 2022 se financiará con cargo al programa Europa Digital.

(23)

Teniendo en cuenta la fecha prevista para que la plataforma de intercambio de PLF esté en funcionamiento, la presente Decisión debe aplicarse a partir del 1 de junio de 2021. El intercambio de datos debe cesar tras doce meses o una vez que el director general de la Organización Mundial de la Salud haya declarado, de conformidad con el Reglamento Sanitario Internacional, que la emergencia de salud pública de importancia internacional causada por SARS-CoV-2 ha finalizado, si dicha declaración se hace antes.

(24)

El funcionamiento de la plataforma de intercambio de PLF debe limitarse al control de la pandemia de COVID-19. No obstante, podría ampliarse en el futuro mediante una decisión de ejecución modificativa a aquellas epidemias que puedan requerir que los Estados miembros intercambien datos de los PLF con el fin de efectuar el rastreo de contactos, de conformidad con los criterios del artículo 9, apartado 1, y las condiciones del artículo 9, apartado 3, de la Decisión n.o 1082/2013/UE.

(25)

El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725, emitió su dictamen el 6 de mayo de 2021.

(26)

Las medidas previstas en la presente Decisión se ajustan al dictamen del Comité de Amenazas Transfronterizas Graves para la Salud establecido en el artículo 18 de la Decisión n.o 1082/2013/UE.

1)

nombre;

2)

apellidos;

3)

fecha de nacimiento;

4)

número de teléfono (fijo o móvil);

5)

dirección de correo electrónico;

6)

dirección de residencia;

7)

el destino final o el último destino en la UE de todo el viaje;

8)

la siguiente información para cada trayecto del viaje hasta el Estado miembro que haya solicitado el PLF:

a) lugar de salida;

b) lugar de llegada;

c) fecha de salida;

d) medio de transporte (por ejemplo, avión, tren, autocar, transbordador, barco);

e) hora de salida;

f) número de identificación del medio de transporte (por ejemplo, número de vuelo, número de tren, matrícula del autocar, nombre del transbordador o del barco);

g) número de asiento o de cabina.

1)

2)

3)

4)

5)

6)

7)

1)

2)

3)

1)

2)

a) todo riesgo potencial o real para la disponibilidad, confidencialidad o integridad de los datos de los PLF o los datos epidemiológicos que sean objeto de tratamiento en la plataforma de intercambio de PLF;

b) toda violación de la seguridad de los datos, sus consecuencias probables y la evaluación del riesgo con respecto a los derechos y libertades de las personas físicas, así como toda medida adoptada para resolver dicha violación y mitigar dicho riesgo;

c) todo incumplimiento de las salvaguardas técnicas u organizativas de la operación de tratamiento en la plataforma de intercambio de PLF.

3)

4)

a) garantizar y proteger la seguridad, integridad y confidencialidad de los datos personales tratados conjuntamente;

b) proteger los datos personales que obren en su poder contra todo tratamiento, pérdida, utilización, divulgación, adquisición o acceso no autorizados o ilícitos;

c) garantizar que el acceso a los datos personales no se comunique ni se permita a ninguna persona distinta de los destinatarios o encargados del tratamiento.

a)

crear y garantizar una infraestructura de comunicación segura y fiable que interconecte a las autoridades competentes del SAPR de los Estados miembros que participan en la plataforma de intercambio de PLF;

b)

tratar los datos de los PLF y los datos epidemiológicos adicionales, basándose exclusivamente en las instrucciones documentadas dadas por los responsables del tratamiento, salvo que se le exija otra cosa en virtud del Derecho de la Unión; en tal caso, el ECDC informará a los responsables del tratamiento de ese requisito jurídico antes del tratamiento, salvo que el citado Derecho prohíba enviar esa información por motivos importantes de interés público;

c)

establecer un plan de seguridad, una continuidad de la actividad y un plan de recuperación en caso de catástrofe;

d)

adoptar las medidas necesarias para preservar la integridad de los datos de los PLF y los datos epidemiológicos adicionales tratados;

e)

tomar todas las medidas de seguridad organizativa, física y electrónica más avanzadas que sean necesarias para el mantenimiento de la plataforma de intercambio de PLF; a tal fin, el ECDC deberá:

i) designar una entidad responsable de la gestión de la seguridad en la plataforma de intercambio de PLF, comunicar a los responsables del tratamiento sus datos de contacto y garantizar su disponibilidad para reaccionar ante las amenazas para la seguridad,

ii) asumir la responsabilidad respecto a la seguridad de la plataforma de intercambio de PLF,

iii) velar por que todas las personas a las que se conceda acceso a la plataforma de intercambio de PLF estén sujetas a una obligación contractual, profesional o legal de confidencialidad;

f)

adoptar todas las medidas de seguridad necesarias para evitar poner en peligro el correcto funcionamiento operativo de la plataforma de intercambio de PLF; a tal fin, el ECDC instaurará procedimientos específicos relativos al funcionamiento de la plataforma de intercambio de PLF y a la conexión de los servidores finales con dicha plataforma; esto incluye:

i) un procedimiento de evaluación de riesgos a fin de detectar y estimar las amenazas potenciales para el sistema,

ii) un procedimiento de auditoría y verificación a fin de:

  1) comprobar la correspondencia entre las medidas de seguridad implementadas y la política de seguridad aplicable;

  2) controlar periódicamente la integridad de los ficheros del sistema, los parámetros de seguridad y las autorizaciones concedidas;

  3) detectar y vigilar las violaciones de la seguridad y las intrusiones;

  4) introducir cambios para mitigar las deficiencias existentes en materia de seguridad;

  5) permitir, también a petición de los responsables del tratamiento, la realización de auditorías independientes, en particular inspecciones, y de verificaciones de las medidas de seguridad, en condiciones que respeten lo dispuesto en el Protocolo n.o  7 del TFUE, sobre los privilegios y las inmunidades de la Unión Europea (2), y contribuir a ellas,

iii) la modificación del procedimiento de control para documentar y medir el impacto de un cambio antes de aplicarlo y la información continua a los responsables del tratamiento sobre los cambios que puedan afectar a la comunicación con sus infraestructuras o a la seguridad de estas,

iv) el establecimiento de un procedimiento de mantenimiento y reparación para especificar las normas y condiciones que han de respetarse cuando deba procederse al mantenimiento o la reparación de equipos,

v) el establecimiento de un procedimiento en caso de incidentes de seguridad para definir el régimen de notificación y remisión a instancia superior, informar sin demora a los responsables del tratamiento para que notifiquen a las autoridades nacionales de supervisión de la protección de datos cualquier violación de la seguridad de los datos personales y definir un procedimiento disciplinario para las violaciones de la seguridad;

g)

adoptar las medidas de seguridad física o electrónica más avanzadas para las instalaciones que alojen los equipos de la plataforma de intercambio de PLF y para los controles de los datos y el acceso de seguridad; a tal fin, el ECDC deberá:

i) poner en ejecución medidas de seguridad física a fin de establecer perímetros de seguridad nítidos y permitir que se detecten las violaciones,

ii) controlar el acceso a las instalaciones y mantener un registro de visitantes a efectos de seguimiento,

iii) velar por que las personas externas a las que se haya concedido acceso a los locales sean acompañadas por personal debidamente autorizado,

iv) velar por que no puedan añadirse, sustituirse ni retirarse equipos sin la autorización previa de los organismos responsables designados,

v) controlar el acceso desde y hacia los sistemas nacionales de PLF en la plataforma de intercambio de PLF,

vi) velar por que las personas que accedan a la plataforma de intercambio de PLF estén identificadas y autenticadas,

vii) verificar los derechos de autorización relacionados con el acceso a la plataforma de intercambio de PLF en caso de que se produzca una violación de la seguridad que afecte a esta infraestructura,

viii) aplicar medidas de seguridad técnica y organizativa para evitar el acceso no autorizado a los datos de los PLF y los datos epidemiológicos,

ix) instaurar, cuando sea necesario, medidas para bloquear el acceso no autorizado a la plataforma de intercambio de PLF desde el dominio de las autoridades nacionales (es decir, bloquear una ubicación o una dirección IP);

h)

tomar medidas para proteger su dominio, incluida la desconexión, en caso de que se produzca una desviación sustancial con respecto a los principios y conceptos de calidad o seguridad;

i)

mantener un plan de gestión de riesgos relacionado con su ámbito de responsabilidad;

j)

monitorizar, en tiempo real, el funcionamiento de todos los componentes de servicio de la plataforma de intercambio de PLF, elaborar estadísticas regulares y llevar registros;

k)

garantizar que el servicio esté disponible las veinticuatro horas del día, siete días a la semana, con un tiempo de inactividad razonable para fines de mantenimiento;

l)

prestar apoyo con respecto a todos los servicios de la plataforma de intercambio de PLF en inglés, por teléfono, correo electrónico o portal web, y aceptar las llamadas de los usuarios autorizados: los coordinadores de la plataforma de intercambio de PLF y sus respectivos servicios de asistencia, los responsables de proyectos y las personas designadas del ECDC;

m)

ayudar en la medida de lo posible a los responsables del tratamiento con medidas técnicas y organizativas apropiadas, para que cumplan su obligación de responder a las solicitudes de ejercicio de los derechos de los interesados establecidos en el capítulo III del Reglamento (UE) 2016/679;

n)

ayudar a los responsables del tratamiento proporcionándoles información sobre la plataforma de intercambio de PLF, a fin de dar cumplimiento a las obligaciones derivadas de los artículos 32, 35 y 36 del Reglamento (UE) 2016/679;

o)

garantizar que los datos de los PLF y los datos epidemiológicos transmitidos a través de la plataforma de intercambio de PLF sean ininteligibles para cualquier persona que no esté autorizada a acceder a ellos, en particular mediante la aplicación de un cifrado fuerte;

p)

adoptar todas las medidas pertinentes para impedir que los operadores de la plataforma de intercambio de PLF accedan sin autorización a los datos de los PLF y los datos epidemiológicos transmitidos;

q)

adoptar medidas para facilitar la interoperabilidad y la comunicación entre los responsables del tratamiento designados de la plataforma de intercambio de PLF;

r)

llevar un registro de las actividades de tratamiento realizadas por cuenta de los responsables del tratamiento de conformidad con el artículo 31, apartado 2, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo.