(1)

Stwierdzenie zakażenia COVID-19 po odbyciu podróży transgranicznej spełnia kryteria określone w art. 9 ust. 1 decyzji 1082/2013/UE, ponieważ zakażenie to może nadal powodować znaczną umieralność u ludzi, może rozwijać się szybko, oddziałuje na więcej niż jedno państwo członkowskie i może wymagać skoordynowanych działań na szczeblu Unii. Zgodnie z pkt 23 zalecenia (UE) 2020/1475 z dnia 13 października 2020 r. w sprawie skoordynowanego podejścia do ograniczenia swobodnego przepływu w odpowiedzi na pandemię COVID-19 (2) informacje o przypadkach zakażenia COVID-19 wykrytych w momencie przybycia danej osoby na terytorium państwa członkowskiego należy niezwłocznie przekazywać organom ds. zdrowia publicznego państw, w których dana osoba przebywała w ciągu ostatnich 14 dni, na potrzeby ustalania kontaktów zakaźnych, przy użyciu systemu wczesnego ostrzegania i reagowania ("EWRS") ustanowionego na mocy art. 8 decyzji 1082/2013/UE i obsługiwanego przez Europejskie Centrum ds. Zapobiegania i Kontroli Chorób ("ECDC").

(2)

Zgodnie z zaleceniem (UE) 2020/1475 państwa członkowskie mogą wymagać od osób przybywających na ich terytorium przedłożenia kart lokalizacji pasażera ("PLF") zgodnie z wymogami ochrony danych osobowych.

(3)

Nakładając obowiązek wypełniania krajowych PLF w różnych formatach, państwa członkowskie zbierają dane PLF od pasażerów transgranicznych przybywających na ich terytorium. Dane te są wykorzystywane między innymi w przypadku gdy u osoby, która wypełniła PLF, wykryto zakażenie COVID-19; dane zebrane w PLF są wówczas wykorzystywane do ustalenia trasy podróży tej osoby i przekazania odpowiednich informacji państwom członkowskim, które muszą przeprowadzić procedury ustalania kontaktów zakaźnych w odniesieniu do osób, które mogły być narażone na kontakt z zakażonym pasażerem.

(4)

Organy ds. zdrowia publicznego w niektórych państwach członkowskich prowadziły już wymianę danych osobowych zebranych za pośrednictwem krajowych PLF do celów ustalania kontaktów zakaźnych w kontekście pandemii COVID-19. Wymiana ta odbywała się w szczególności za pośrednictwem obecnej infrastruktury technicznej dostępnej w ramach EWRS.

(5)

Infrastruktura techniczna dostępna obecnie w ramach EWRS nie jest jeszcze przygotowana do obsługi wolumenu danych PLF generowanych w wyniku systematycznego stosowania PLF na szeroką skalę. Na przykład nie umożliwia ona przenoszenia danych między różnymi formatami krajowymi i wymaga ich ręcznego wprowadzania, co niekorzystnie wpływa na terminowość i skuteczność ustalania kontaktów zakaźnych. Dotyczy to w szczególności sytuacji, w której ustalanie kontaktów zakaźnych należy przeprowadzić w odniesieniu do pasażerów transgranicznych, którzy podróżowali środkami transportu zbiorowego z przydzielonymi miejscami siedzącymi (samoloty, niektóre pociągi, promy i rejsy wycieczkowe), gdzie liczba narażonych pasażerów i czas narażenia na kontakt z zakażonym pasażerem mogą być znaczne.

(6)

Aby umożliwić bezpieczną, terminową i skuteczną wymianę danych między właściwymi organami EWRS w państwach członkowskich, należy zatem stworzyć infrastrukturę techniczną, zwaną "platformą wymiany PLF", która pozwoli na przekazywanie informacji z istniejących krajowych systemów cyfrowych PLF pozostałym właściwym organom EWRS w sposób interoperacyjny i automatyczny. Infrastruktura ta powinna bazować na platformie wymiany stworzonej przez Agencję Unii Europejskiej ds. Bezpieczeństwa Lotniczego ("EASA"), przy czym EASA nie powinna odgrywać żadnej roli w kontekście przetwarzania danych osobowych za pośrednictwem platformy wymiany PLF, jak określono w niniejszej decyzji wykonawczej. Platforma wymiany PLF powinna również umożliwiać wymianę ograniczonych danych epidemiologicznych niezbędnych do ustalania kontaktów zakaźnych zgodnie z art. 9 ust. 3 decyzji 1082/2013/UE. Aby uniknąć podejmowania sprzecznych działań lub ich powielania w ramach istniejących struktur i mechanizmów monitorowania poważnych transgranicznych zagrożeń zdrowia, wczesnego ostrzegania o nich i ich zwalczania, platforma wymiany PLF powinna zostać opracowana w ramach EWRS jako uzupełnienie modułu selektywnego przekazywania wiadomości istniejącego w ramach tego systemu.

(7)

Platforma wymiany PLF powinna być obsługiwana przez ECDC zgodnie z art. 8 rozporządzenia (WE) nr 851/2004 Parlamentu Europejskiego i Rady (3).

(8)

Na platformie wymiany PLF nie należy przechowywać danych PLF ani danych epidemiologicznych podlegających wymianie.

(9)

Jeżeli państwo członkowskie nie posiada opracowanego na szczeblu krajowym systemu cyfrowych PLF, może ono korzystać ze wspólnego unijnego systemu cyfrowych kart lokalizacji pasażera ("system EUdPLF"), którego opracowanie zleciła Komisja w ramach wspólnego działania "EU Healthy Gateways" (grant nr 801493) (4). Celem systemu EUdPLF jest utworzenie pojedynczego punktu wejścia i bazy danych na potrzeby zbierania danych PLF. W przyszłości system EUdPLF powinien zostać połączony z platformą wymiany PLF wyłącznie w celu umożliwiania wymiany danych między państwami członkowskimi posiadającymi własne krajowe systemy cyfrowych PLF a państwami członkowskimi korzystającymi z systemu EUdPLF. Niniejsza decyzja nie obejmuje utworzenia systemu EUdPLF ani nie reguluje związanej z tym kwestii przetwarzania danych osobowych.

(10)

Niniejsza decyzja nie reguluje kwestii tworzenia krajowych PLF - decyzję w tym zakresie podejmują państwa członkowskie. Państwa członkowskie mogą swobodnie zdecydować, czy PLF są zbierane od wszystkich pasażerów przybywających na ich terytorium, czy tylko od pasażerów, w przypadku których to państwo członkowskie jest miejscem zakończenia podróży. Aby transgraniczne ustalanie kontaktów zakaźnych w oparciu o dane PLF było skuteczne, państwa członkowskie powinny gromadzić przy pomocy krajowych PLF wspólny minimalny zbiór danych PLF. Należy zatem określić ten minimalny zbiór danych PLF. Ponadto ze względu na oszczędność kosztową, trwałość i większe bezpieczeństwo rozwiązania państwa członkowskie powinny rozważyć przyjęcie wspólnego podejścia w odniesieniu do żądania wypełnienia PLF przez wszystkich pasażerów, w tym pasażerów tranzytowych, lub jedynie przez tych pasażerów, w przypadku których dane państwo członkowskie jest miejscem zakończenia podróży.

(11)

Korzystanie z platformy wymiany PLF powinno być dobrowolne, a państwa członkowskie powinny mieć możliwość podjęcia decyzji o zgłaszaniu ostrzeżeń w ramach obecnej infrastruktury technicznej EWRS, tymczasowo i pod warunkiem, że nie zagraża to celowi ustalania kontaktów zakaźnych.

(12)

Zgodnie z zasadą minimalizacji danych w ramach przetwarzania danych osobowych właściwe organy EWRS powinny wymieniać się jedynie ściśle określonymi zbiorami danych zbieranych przy pomocy PLF i innymi ograniczonymi zbiorami danych epidemiologicznych niezbędnych do ustalania kontaktów zakaźnych. W przypadku gdy państwo członkowskie zgłaszające ostrzeżenie w związku z zakażonym pasażerem jest w stanie - na podstawie dostępnych mu danych PLF - określić wszystkie zainteresowane państwa członkowskie, powinno ono przekazać dane wyłącznie właściwym organom EWRS w tych państwach członkowskich. Ma to np. miejsce, gdy państwo członkowskie, które zidentyfikowało zakażonego pasażera, zbiera PLF od wszystkich pasażerów, w tym pasażerów tranzytowych, przybywających na jego terytorium bezpośrednim połączeniem z pierwotnego miejsca rozpoczęcia podróży.

(13)

W przypadku stwierdzenia zakażenia SARS-CoV-2 u pasażera w danym państwie członkowskim właściwe organy EWRS w tym państwie członkowskim powinny mieć możliwość przekazania właściwym organom EWRS w państwie członkowskim, w którym pasażer rozpoczął podróż, ograniczonego zbioru danych wyekstrahowanych z PLF, które powinny być ściśle określone w odniesieniu do tego, co jest konieczne do ustalania kontaktów zakaźnych osób narażonych w państwie członkowskim, w którym pasażer rozpoczął podróż, i w państwie, w którym znajduje się jego miejsce zamieszkania - jeżeli państwo to różni się od państwa członkowskiego, w którym rozpoczął podróż - a mianowicie tożsamości i danych kontaktowych zakażonego pasażera.

(14)

Ponadto w przypadku stwierdzenia zakażenia SARS-CoV-2 u pasażera w danym państwie członkowskim właściwe organy EWRS w tym państwie członkowskim powinny mieć również możliwość wymiany ograniczonego zbioru danych z właściwymi organami EWRS we wszystkich państwach członkowskich lub w zainteresowanych państwach członkowskich, jeżeli organy te posiadają informacje umożliwiające im określenie takich państw członkowskich. Dane te powinny ograniczać się do: miejsca rozpoczęcia podróży, miejsca zakończenia podróży, daty rozpoczęcia podróży, rodzaju wykorzystanego środka transportu (np. samolot, pociąg, autokar, prom, statek), numeru identyfikacyjnego usługi transportowej - tj. numeru lotu, numeru pociągu, tablicy rejestracyjnej autokaru, nazwy promu lub statku, numeru miejsca zakażonego pasażera lub numeru kabiny przez niego zajmowanej oraz godziny rozpoczęcia podróży w przypadku, gdy powyższe dane nie są wystarczające do identyfikacji środka transportu. Powinno to umożliwić właściwym organom EWRS, które otrzymują dane, ustalenie, czy na ich terytorium przybyli narażeni pasażerowie, i jeżeli tak jest - ustalenie ich kontaktów zakaźnych.

(15)

Udostępniając dane innym właściwym organom EWRS za pośrednictwem platformy wymiany PLF, odpowiedni właściwy organ EWRS powinien mieć możliwość dodania informacji epidemiologicznych, ograniczających się do informacji, które są konieczne do ustalania kontaktów zakaźnych, tj. informacji o rodzaju przeprowadzonego testu na COVID-19, wariancie wirusa wywołującego SARS-CoV-2 oraz dacie pobrania próbki i dacie pojawienia się objawów.

(16)

Przetwarzanie danych osobowych zakażonych pasażerów, wymienianych za pośrednictwem platformy wymiany PLF, powinno być prowadzone przez właściwe organy EWRS zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (5). Przetwarzanie danych osobowych, za które odpowiadają: ECDC jako operator platformy wymiany PLF do celów ustalania kontaktów zakaźnych oraz Komisja jako jego podwykonawca, musi odbywać się zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2018/1725 (6).

(17)

Podstawę prawną wymiany danych osobowych zakażonych pasażerów, w tym danych dotyczących zdrowia, między właściwymi organami EWRS do celów ustalania kontaktów zakaźnych określono w art. 9 ust. 1 i art. 9 ust. 3 lit. i) decyzji 1082/2013/UE zgodnie z art. 6 ust. 1 lit. c) i art. 9 ust. 2 lit. i) rozporządzenia (UE) 2016/679. Niniejsza decyzja powinna określać odpowiednie i konkretne środki ochrony praw i wolności osoby, której dane dotyczą. Powinny one obejmować środki dotyczące określania niezbędnych zbiorów danych podlegających wymianie, właściwych organów EWRS uczestniczących w wymianie danych w różnych przypadkach, odpowiednich środków bezpieczeństwa, w tym szyfrowania, oraz sposobów przetwarzania danych, w którym uczestniczą właściwe organy krajowe w ramach platformy wymiany PLF w Unii Europejskiej.

(18)

Właściwe organy EWRS uczestniczące w platformie wymiany PLF wspólnie określają cel i sposoby przetwarzania danych osobowych w ramach platformy wymiany PLF, a zatem są współadministratorami danych. Art. 26 rozporządzenia (UE) 2016/679 nakłada na współadministratorów obowiązek określenia w przejrzysty sposób odpowiednich zakresów swojej odpowiedzialności dotyczącej wypełniania obowiązków wynikających z tego rozporządzenia. W artykule tym przewidziano również, że spoczywające na współadministratorach obowiązki i ich zakres mogą być określone przez prawo Unii lub prawo państwa członkowskiego, któremu administratorzy ci podlegają. Niniejsza decyzja powinna zatem określać odpowiednie role i zakresy odpowiedzialności współadministratorów.

(19)

ECDC, jako dostawca rozwiązań technicznych i organizacyjnych na potrzeby platformy wymiany PLF, przetwarza dane PLF i dane epidemiologiczne w imieniu państw członkowskich uczestniczących w platformie wymiany PLF jako współadministratorzy, a zatem jest podmiotem przetwarzającym w rozumieniu art. 3 pkt 12 rozporządzenia (UE) 2018/1725. Zgodnie z art. 28 rozporządzenia (UE) 2016/679 i art. 29 rozporządzenia (UE) 2018/1725 przetwarzanie przez podmiot przetwarzający powinno odbywać się na podstawie umowy lub instrumentu prawnego, które podlegają prawu Unii lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora oraz określają przetwarzanie danych. Konieczne jest zatem określenie zasad dotyczących przetwarzania przez ECDC jako podmiot przetwarzający.

(20)

Art. 3 ust. 3 rozporządzenia (WE) nr 851/2004 stanowi, że ECDC, Komisja i państwa członkowskie współpracują w celu promowania skutecznej spójności ich odpowiednich działań. W związku z tym Komisja i ECDC powinny zawierać umowy o gwarantowanym poziomie usług, aby współpracować w trakcie rozwoju technicznego i eksploatacji platformy wymiany PLF. Umowy te muszą określać podział obowiązków (organizacyjnych, finansowych i natury technologicznej) między stronami, aby ułatwiać wdrażanie platformy wymiany PLF oraz środków technicznych związanych z jej eksploatacją, utrzymaniem i dalszym rozwojem.

(21)

Należy zatem odpowiednio zmienić decyzję wykonawczą (UE) 2017/253.

(22)

Platforma wymiany PLF ma być finansowana w 2021 r. z instrumentu wsparcia w sytuacjach nadzwyczajnych, który wprowadzono, aby pomóc państwom członkowskim w reagowaniu na pandemię koronawirusa poprzez strategiczne i skoordynowane zaspokajanie potrzeb na szczeblu europejskim, a także poprzez "Działania wspierające wspólną politykę transportową, bezpieczeństwo transportu i ochronę praw pasażerów, w tym działania komunikacyjne". W 2022 r. wspomniana platforma ma być finansowana w ramach programu "Cyfrowa Europa".

(23)

Biorąc pod uwagę przewidywaną datę rozpoczęcia eksploatacji platformy wymiany PLF, niniejsza decyzja powinna mieć zastosowanie od dnia 1 czerwca 2021 r. Wymiany danych należy zaprzestać po upływie 12 miesięcy lub po ogłoszeniu przez Dyrektora Generalnego Światowej Organizacji Zdrowia, zgodnie z Międzynarodowymi przepisami zdrowotnymi, końca stanu zagrożenia zdrowia publicznego o zasięgu międzynarodowym spowodowanego przez SARS-CoV-2, jeżeli takiego ogłoszenia dokonano wcześniej.

(24)

Eksploatacja platformy wymiany PLF powinna ograniczać się do celu, jakim jest kontrola pandemii COVID-19. Zakres działania platformy mógłby jednak w przyszłości zostać rozszerzony w drodze zmieniającej decyzji wykonawczej i objąć takie epidemie, które mogą wymagać od państw członkowskich wymiany danych PLF do celów ustalania kontaktów zakaźnych, zgodnie z kryteriami określonymi w art. 9 ust. 1 i warunkami określonymi w art. 9 ust. 3 decyzji 1082/2013/UE.

(25)

Zgodnie z art. 42 ust. 1 rozporządzenia (UE) 2018/1725 skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię w dniu 6 maja 2021 r.

(26)

Środki przewidziane w niniejszej decyzji są zgodne z opinią Komitetu ds. Poważnych Transgranicznych Zagrożeń Zdrowia ustanowionego na mocy art. 18 decyzji nr 1082/2013/UE,