Annexe | Responsabilités de la Commission en tant que sous-traitant pour les activités de traitement des données menées dans le cadre du portail pour l’accès aux données en vertu du DSA

La Commission met en place et garantit, au nom des coordinateurs pour les services numériques, une infrastructure informatique sécurisée et fiable, le portail pour l’accès aux données en vertu du DSA, qui soutient et rationalise la gestion du processus d’accès aux données pour les chercheurs, les organismes de recherche, les fournisseurs de données et les coordinateurs pour les services numériques.
Afin de remplir ses obligations en qualité de sous-traitant des coordinateurs pour les services numériques, la Commission peut faire appel à des tiers en tant que sous-traitants ultérieurs. En pareil cas, les responsables du traitement autorisent la Commission à faire appel à des sous-traitants ultérieurs ou à remplacer ces derniers si nécessaire. La Commission informe les responsables du traitement du recours à des sous-traitants ultérieurs ou du remplacement de ces derniers, pour donner ainsi aux responsables du traitement la possibilité de s’opposer à toute modification de ce type. La Commission veille à ce que les mêmes obligations en matière de protection des données que celles énoncées dans le présent règlement s’appliquent à ces sous-traitants ultérieurs.
La Commission ne procède au traitement de données à caractère personnel que dans la mesure où cela est nécessaire pour:
1. l’authentification et le contrôle d’accès à l’égard de tous les utilisateurs du portail pour l’accès aux données en vertu du DSA;
2. l’autorisation de la mise en œuvre des demandes des utilisateurs du portail pour l’accès aux données en vertu du DSA relatives à la création, la mise à jour et la suppression de toute information contenue dans la demande sur le portail pour l’accès aux données en vertu du DSA;
3. la réception des données à caractère personnel visées à l’article 5, paragraphe 3, du présent règlement, téléchargées par les utilisateurs du portail pour l’accès aux données en vertu du DSA;
4. le stockage des données à caractère personnel sur le portail pour l’accès aux données en vertu du DSA;
5. la suppression des données à caractère personnel à leur date d’expiration ou sur instruction du responsable du traitement;
6. après la fin de la prestation des services fournis par le portail pour l’accès aux données en vertu du DSA, la suppression de toutes les données à caractère personnel restantes, sauf si le droit de l’Union ou le droit d’un État membre en impose le stockage.
La Commission prend toutes les mesures de sécurité à la pointe de la technique nécessaires sur les plans organisationnel, physique et logique pour assurer le fonctionnement du portail pour l’accès aux données en vertu du DSA. À cette fin, la Commission:
1. désigne une entité responsable de la gestion de la sécurité du portail pour l’accès aux données en vertu du DSA, communique ses coordonnées aux responsables du traitement et veille à sa disponibilité pour répondre aux menaces pour la sécurité;
2. est chargée d’assurer la sécurité du portail pour l’accès aux données en vertu du DSA, notamment en procédant régulièrement à des essais, des analyses et des évaluations des mesures de sécurité.
La Commission prend toutes les mesures de sécurité nécessaires pour éviter de compromettre le bon fonctionnement opérationnel du portail pour l’accès aux données en vertu du DSA. Il s’agit notamment:
1. de procédures d’évaluation des risques, afin d’identifier et d’estimer les menaces potentielles pour le portail pour l’accès aux données en vertu du DSA;
2. d’une procédure d’audit et de contrôle destinée:
  à vérifier la correspondance entre les mesures de sécurité mises en œuvre et la politique de sécurité applicable;
  à contrôler régulièrement l’intégrité du portail pour l’accès aux données en vertu du DSA, les paramètres de sécurité et les autorisations accordées;
  à détecter les atteintes à la sécurité et les intrusions sur le portail pour l’accès aux données en vertu du DSA;
  à appliquer des modifications afin de pallier les failles existantes en matière de sécurité sur le portail pour l’accès aux données en vertu du DSA;
  à définir les conditions dans lesquelles il convient d’autoriser, notamment à la demande des responsables du traitement, la réalisation d’audits indépendants, y compris des inspections, et d’examens des mesures de sécurité, ainsi que de contribuer à ces opérations, sous réserve de conditions qui respectent le protocole n^o 7 du traité sur le fonctionnement de l’Union européenne relatif aux privilèges et immunités de l’Union européenne;
3. d’une modification de la procédure de contrôle afin de documenter et de mesurer l’incidence des modifications avant leur mise en œuvre et de tenir les responsables du traitement informés de toute modification susceptible d’affecter la communication avec leurs infrastructures et/ou la sécurité du portail pour l’accès aux données en vertu du DSA;
4. d’établir une procédure de maintenance et de réparation, afin de préciser les règles et les conditions à respecter lors de la maintenance et/ou de la réparation du portail pour l’accès aux données en vertu du DSA;
5. d’établir une procédure relative aux incidents de sécurité, afin de définir le système de signalement et d’escalade, d’informer sans délai les responsables du traitement concernés, d’informer sans délai les responsables du traitement pour qu’ils avertissent les autorités nationales de contrôle de la protection des données de toute violation de données à caractère personnel, et de définir une procédure disciplinaire pour les atteintes à la sécurité du portail pour l’accès aux données en vertu du DSA.
La Commission prend des mesures de sécurité physiques et logiques à la pointe de la technique pour les installations hébergeant le portail pour l’accès aux données en vertu du DSA ainsi que pour les contrôles des données et les contrôles d’accès de sécurité s’y rapportant. À cette fin, la Commission:
1. assure la sécurité physique, afin de mettre en place des périmètres de sécurité distincts et de permettre la détection des atteintes dans le portail pour l’accès aux données en vertu du DSA;
2. contrôle l’accès aux installations du portail pour l’accès aux données en vertu du DSA;
3. veille à ce qu’aucun équipement ne puisse être ajouté, remplacé ou retiré sans l’autorisation préalable des organismes compétents désignés;
4. contrôle l’accès depuis et vers le portail pour l’accès aux données en vertu du DSA;
5. veille à ce que les utilisateurs du portail pour l’accès aux données en vertu du DSA qui accèdent à ce portail soient authentifiés;
6. réexamine les droits d’autorisation relatifs à l’accès au portail pour l’accès aux données en vertu du DSA en cas d’atteinte à la sécurité touchant ce portail;
7. préserve l’intégrité des informations transmises par l’intermédiaire du portail pour l’accès aux données en vertu du DSA;
8. met en œuvre des mesures de sécurité d’ordre technique et organisationnel afin d’empêcher l’accès non autorisé aux données à caractère personnel dans le portail pour l’accès aux données en vertu du DSA;
9. met en œuvre, en tant que de besoin, des mesures visant à empêcher tout accès non autorisé au portail pour l’accès aux données en vertu du DSA (blocage d’une localisation/d’une adresse IP).
La Commission:
1. prend des mesures pour protéger son domaine, y compris la rupture des connexions, en cas d’écart important par rapport aux principes et concepts de qualité ou de sécurité;
2. maintient un plan de gestion des risques lié à son domaine de compétence;
3. surveille — en temps réel — la performance de tous les éléments de service du portail pour l’accès aux données en vertu du DSA, produit des statistiques régulières et tient des registres;
4. fournit aux utilisateurs du portail pour l’accès aux données en vertu du DSA une assistance en anglais;
5. aide les responsables du traitement, au moyen de mesures techniques et organisationnelles appropriées, à s’acquitter de leur obligation de répondre aux demandes d’exercice des droits de la personne concernée prévus au chapitre III du règlement (UE) 2016/679;
6. soutient les responsables du traitement en fournissant des informations sur le portail pour l’accès aux données en vertu du DSA, dans le but de mettre en application les obligations énoncées aux articles 32, 33, 34, 35 et 36 du règlement (UE) 2016/679;
7. veille à ce que les données traitées dans le cadre du portail pour l’accès aux données en vertu du DSA soient inintelligibles pour toute personne non autorisée à y accéder;
8. prend toutes les mesures utiles pour empêcher l’accès non autorisé aux données à caractère personnel transmises via le portail pour l’accès aux données en vertu du DSA;
9. prend des mesures pour faciliter la communication entre les responsables du traitement;
10. tient un registre des activités de traitement effectuées pour le compte des responsables du traitement conformément à l’article 31, paragraphe 2, du règlement (UE) 2018/1725.