Agencia Estatal Boletín Oficial del Estado

(1)

De acuerdo con el artículo 14 de la Directiva 2011/24/UE, la Unión debe apoyar y facilitar la cooperación y el intercambio de información entre los Estados miembros dentro de una red voluntaria que conecte a las autoridades nacionales encargadas de la sanidad electrónica («la red de sanidad electrónica») designadas por los Estados miembros.

(2)

La Decisión de Ejecución (UE) 2019/1765 de la Comisión (2) establece las normas del establecimiento, la gestión y el funcionamiento de la red de autoridades nacionales encargadas de la sanidad electrónica. El artículo 4 de dicha Decisión confía a la red de sanidad electrónica la tarea de facilitar una mayor interoperabilidad de los sistemas nacionales de tecnologías de la información y de las comunicaciones y la transferibilidad transfronteriza de los datos sanitarios electrónicos en la asistencia sanitaria transfronteriza;

(3)

A la luz de la crisis de salud pública provocada por la pandemia de COVID-19, varios Estados miembros han desarrollado aplicaciones móviles que facilitan el rastreo de contactos y permiten advertir a sus usuarios para que tomen las medidas adecuadas, tales como someterse a pruebas o autoaislamiento, si han estado potencialmente expuestos al virus por haberse encontrado cerca de otro usuario de esas aplicaciones que ha informado de su diagnóstico positivo. Estas aplicaciones se basan en la tecnología Bluetooth para detectar la proximidad entre dispositivos. Dado que desde junio de 2020 se han ido suprimiendo las restricciones a los viajes entre Estados miembros, debe lograrse una mayor interoperabilidad de los sistemas nacionales de tecnologías de la información y de las comunicaciones entre los Estados miembros dentro de la red de sanidad electrónica, mediante la implantación de una infraestructura digital que permita la interoperabilidad entre las aplicaciones móviles nacionales que facilitan el rastreo de contactos y la advertencia.

(4)

La Comisión ha estado prestando apoyo a los Estados miembros en relación con las aplicaciones móviles mencionadas. El 8 de abril de 2020, la Comisión adoptó una Recomendación relativa a un conjunto de instrumentos comunes de la Unión para la utilización de la tecnología y los datos a fin de combatir y superar la crisis de la COVID-19, en particular por lo que respecta a las aplicaciones móviles y a la utilización de datos de movilidad anonimizados («la Recomendación de la Comisión») (3). Los Estados miembros de la red de sanidad electrónica adoptaron, con el apoyo de la Comisión, un conjunto de instrumentos comunes de la UE para los Estados miembros en relación con las aplicaciones móviles que facilitan el rastreo de contactos (4), así como directrices de interoperabilidad para las aplicaciones móviles de rastreo de contactos aprobadas en la UE (5). El conjunto de instrumentos explica los requisitos nacionales que han de cumplir las aplicaciones móviles nacionales de rastreo de contactos y advertencia, en particular que han de ser voluntarias, estar aprobadas por la autoridad sanitaria nacional correspondiente, preservar la privacidad y desmantelarse tan pronto como dejen de ser necesarias. Tras los últimos acontecimientos relacionados con la crisis de la COVID-19, tanto la Comisión (6) como el Comité Europeo de Protección de Datos (7) han publicado una serie de orientaciones sobre las aplicaciones móviles y las herramientas de rastreo de contactos, en lo referente a la protección de datos. El diseño de las aplicaciones móviles de los Estados miembros y de la infraestructura digital que permita su interoperabilidad se basa en el conjunto de instrumentos comunes de la UE, en las orientaciones mencionadas y en las especificaciones técnicas acordadas en el seno de la red de sanidad electrónica.

(5)

Para facilitar la interoperabilidad de las aplicaciones móviles nacionales de rastreo de contactos y advertencia, los Estados miembros participantes en la red de sanidad electrónica que han decidido avanzar voluntariamente en su cooperación en este ámbito han desarrollado, con el apoyo de la Comisión, una infraestructura digital como herramienta informática para el intercambio de datos. Esta infraestructura digital se denomina «pasarela federativa» (federation gateway).

(6)

La presente Decisión establece disposiciones sobre el papel de los Estados miembros participantes y de la Comisión en relación con el funcionamiento de la pasarela federativa para la interoperabilidad transfronteriza de las aplicaciones móviles nacionales de rastreo de contactos y advertencia.

(7)

El tratamiento de los datos personales de los usuarios de las aplicaciones de rastreo de contactos y advertencia efectuado bajo la responsabilidad de los Estados miembros o de otras organizaciones públicas u organismos oficiales de los Estados miembros debe llevarse a cabo de conformidad con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (8) («el Reglamento general de protección de datos») y la Directiva 2002/58/CE del Parlamento Europeo y del Consejo (9). El tratamiento de datos personales bajo la responsabilidad de la Comisión con el fin de gestionar y garantizar la seguridad de la pasarela federativa debe cumplir lo dispuesto en el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (10).

(8)

La pasarela federativa debe consistir en una infraestructura informática segura que proporcione una interfaz común, en la que las autoridades nacionales designadas o los organismos oficiales designados puedan intercambiar un conjunto mínimo de datos en relación con los contactos con personas infectadas por el SARS-CoV-2, a fin de informar a otras personas sobre su posible exposición a dicha infección y de promover una cooperación eficaz entre los Estados miembros en materia de asistencia sanitaria, facilitando el intercambio de la información pertinente.

(9)

Por consiguiente, la presente Decisión debe establecer modalidades para el intercambio transfronterizo de datos dentro de la UE, a través de la pasarela federativa, entre las autoridades nacionales designadas o los organismos oficiales designados.

(10)

Los Estados miembros participantes, representados por las autoridades nacionales designadas o los organismos oficiales designados, determinan conjuntamente el propósito y los medios de tratamiento de los datos personales a través de la pasarela federativa, por lo que son corresponsables del tratamiento. El artículo 26 del Reglamento general de protección de datos impone a los corresponsables de las operaciones de tratamiento de datos personales la obligación de determinar de manera transparente sus responsabilidades respectivas en el cumplimiento de las obligaciones establecidas en dicho Reglamento. También contempla la posibilidad de que tales responsabilidades sean determinadas por el Derecho de la Unión o del Estado miembro a que estén sujetos los responsables del tratamiento. Cada uno de los responsables del tratamiento debe garantizar que tiene una base jurídica a nivel nacional para efectuar el tratamiento en la pasarela federativa.

(11)

La Comisión, como proveedora de soluciones técnicas y organizativas de la pasarela federativa, trata los datos personales seudonimizados en nombre de los Estados miembros participantes como corresponsables en la pasarela federativa y es, por lo tanto, una encargada del tratamiento. Según el artículo 28 del Reglamento general de protección de datos y el artículo 29 del Reglamento (UE) 2018/1725, el tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros que vincule al encargado respecto del responsable del tratamiento y que especifique el tratamiento. La presente Decisión expone las normas que rigen el tratamiento efectuado por la Comisión como encargada del tratamiento.

(12)

Al tratar datos personales en el marco de la pasarela federativa, la Comisión debe atenerse a lo dispuesto en su Decisión (UE, Euratom) 2017/46 (11).

(13)

Teniendo en cuenta que los fines para los que los responsables del tratamiento tratan los datos personales en las aplicaciones móviles de rastreo de contactos y advertencia no requieren necesariamente la identificación de un interesado, los responsables pueden no estar siempre en condiciones de garantizar la aplicación de los derechos de los interesados. En consecuencia, los derechos a los que se refieren los artículos 15 a 20 del Reglamento general de protección de datos pueden no ser de aplicación cuando se cumplan las condiciones establecidas en el artículo 11 de dicho Reglamento.

(14)

El actual anexo de la Decisión de Ejecución (UE) 2019/1765 debe volver a numerarse, debido a la adición de dos nuevos anexos.

(15)

Procede, por tanto, modificar la Decisión de Ejecución (UE) 2019/1765 en consecuencia.

(16)

Considerando la urgencia de la situación provocada por la pandemia de COVID-19, la presente Decisión debe ser aplicable a partir del día siguiente al de su publicación en el Diario Oficial de la Unión Europea.

(17)

El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725, emitió su dictamen el 9 de julio de 2020.

(18)

Las medidas previstas en la presente Decisión se ajustan al dictamen del Comité creado conforme al artículo 16 de la Directiva 2011/24/UE.

1)

2)

3)

4)

5)

6)

7)

1)

2)

3)

1)

2)

3)

1)

Deberá crear y garantizar una infraestructura de comunicación segura y fiable que interconecte las aplicaciones móviles nacionales de rastreo de contactos y advertencia de los Estados miembros que participen en la pasarela federativa. Para cumplir sus obligaciones como encargada del tratamiento de la pasarela federativa, la Comisión podrá recurrir a terceros como subencargados del tratamiento; deberá informar a los corresponsables del tratamiento de todo cambio previsto que implique la adición o sustitución de otros subencargados, dando así a los responsables del tratamiento la posibilidad de oponerse conjuntamente a tales cambios conforme a la sección 1, subsección 1, punto 4, del anexo II. Asimismo, deberá velar por que se apliquen a estos subencargados del tratamiento las mismas obligaciones de protección de datos que contiene la presente Decisión.

2)

Deberá tratar los datos personales basándose exclusivamente en las instrucciones documentadas dadas por los responsables del tratamiento, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros; en tal caso, la Comisión informará a los responsables del tratamiento de ese requisito jurídico antes del tratamiento, a menos que el citado Derecho prohíba enviar esa información por motivos importantes de interés público.

3)

El tratamiento por la Comisión conlleva lo siguiente:

El encargado del tratamiento deberá tomar las medidas necesarias para preservar la integridad de los datos tratados.

4)

Deberá tomar todas las medidas de seguridad organizativa, física y lógica más avanzadas que sean necesarias para el mantenimiento de la pasarela federativa. Para ello deberá:

5)

Deberá adoptar todas las medidas de seguridad necesarias para evitar comprometer el correcto funcionamiento operativo de los servidores finales nacionales. A tal fin, instaurará procedimientos específicos relativos a la conexión de los servidores finales con la pasarela federativa. Esto incluye:

6)

Deberá adoptar las medidas de seguridad física o lógica más avanzadas para las instalaciones que alojen el equipo de la pasarela federativa y para los controles de los datos lógicos y el acceso de seguridad. Para ello deberá:

7)

Deberá tomar medidas para proteger su dominio, incluida la desconexión, en caso de que se produzca una desviación sustancial con respecto a los principios y conceptos de calidad o seguridad.

8)

Deberá mantener un plan de gestión de riesgos relacionado con su ámbito de responsabilidad.

9)

Deberá monitorizar, en tiempo real, el funcionamiento de todos los componentes de servicio de sus servicios de la pasarela federativa, elaborar estadísticas regulares y llevar registros.

10)

Deberá prestar apoyo con respecto a todos los servicios de la pasarela federativa en inglés, las veinticuatro horas del día, siete días a la semana, por teléfono, correo electrónico o portal web, y aceptar las llamadas de los usuarios autorizados: los coordinadores de la pasarela federativa y sus respectivos servicios de asistencia, los responsables de proyectos y las personas designadas de la Comisión.

11)

Deberá ayudar en la medida de lo posible a los responsables del tratamiento con medidas técnicas y organizativas apropiadas, para que cumplan su obligación de responder a las solicitudes de ejercicio de los derechos de los interesados establecidas en el capítulo III del Reglamento general de protección de datos.

12)

Deberá ayudar a los responsables del tratamiento proporcionándoles información sobre la pasarela federativa, a fin de dar cumplimiento a las obligaciones derivadas de los artículos 32, 35 y 36 del Reglamento general de protección de datos.

13)

Deberá garantizar que los datos tratados en la pasarela federativa sean ininteligibles para cualquier persona que no esté autorizada a acceder a ella.

14)

Deberá adoptar todas las medidas pertinentes para impedir que los operadores de la pasarela federativa accedan sin autorización a los datos transmitidos.

15)

Deberá adoptar medidas para facilitar la interoperabilidad y la comunicación entre los responsables del tratamiento designados de la pasarela federativa.

16)

Deberá llevar un registro de las actividades de tratamiento realizadas en nombre de los responsables del tratamiento de conformidad con el artículo 31, apartado 2, del Reglamento (UE) 2018/1725..