Article 9 Modalités d’accès

Le coordinateur pour les services numériques de l’État membre d’établissement détermine les modalités, y compris les mesures techniques, juridiques et organisationnelles, que le fournisseur de données doit utiliser pour octroyer aux chercheurs agréés l’accès aux données.

Les coordinateurs pour les services numériques sont autorisés à consulter les autorités de contrôle concernées instituées en vertu de l’article 51 du règlement (UE) 2016/679.

Lorsqu’il détermine les modalités d’accès, le coordinateur pour les services numériques de l’État membre d’établissement tient compte des informations fournies dans la demande d’accès aux données, en particulier les informations mentionnées à l’article 8, point e), en tenant également compte des droits et des intérêts des fournisseurs de données et des bénéficiaires du service concerné, y compris la protection des informations confidentielles et des secrets d’affaires, et en préservant la sécurité de leur service et des informations mises à disposition par les fournisseurs de données conformément à l’article 6, paragraphe 4, point d).

1. lorsque l’accès implique le traitement de données à caractère personnel:

   1. l’évaluation des risques concernant le traitement des données à caractère personnel telle que décrite à l’article 8, point e), y compris, le cas échéant, les analyses d’impact relatives à la protection des données au sens de l’article 35 du règlement (UE) 2016/679;

   2. les mesures techniques et organisationnelles envisagées, telles que présentées conformément à l’article 8, point e);

2. les mesures de sécurité du réseau pertinentes, le chiffrement, les mécanismes de contrôle d’accès, les politiques de sauvegarde, les mécanismes d’intégrité des données, les plans de réaction en cas d’incident;

3. le cas échéant, des informations sur la période de conservation prévue et les plans de destruction des données pertinents;

4. toute mesure organisationnelle telle que les procédures d’examen en interne, les restrictions des droits d’accès et le partage d’informations;

5. toute clause contractuelle proposée, telle que des accords de non-divulgation, des accords concernant les données et tout autre type de déclarations écrites, pour convenir d’éventuelles conditions d’accès et de traitement entre le chercheur principal et le fournisseur de données;

6. l’existence d’une formation sur la sécurité des données et la protection des données à caractère personnel reçue par les chercheurs demandeurs;

7. la nécessité éventuelle d’environnements de traitement sécurisés pour traiter les données.

1. précise les conditions d’accès à l’environnement de traitement sécurisé afin de réduire au minimum le risque de lecture, de copie, de modification ou de suppression non autorisées des données hébergées dans l’environnement de traitement sécurisé;

2. veille à ce que les chercheurs agréés n’aient accès qu’aux données couvertes par la demande motivée, au moyen d’identités d’utilisateur individuelles et uniques et de modes d’accès confidentiels;

3. tient des registres identifiables de l’accès à l’environnement de traitement sécurisé pendant la période nécessaire pour vérifier et contrôler toutes les opérations de traitement dans cet environnement;

4. veille à ce que la puissance de calcul dont disposent les chercheurs agréés soit appropriée et suffisante aux fins du projet de recherche;

5. contrôle l’efficacité des mesures énumérées aux points a) à d).