Annexe II

Responsabilités de la Commission en tant que sous-traitant pour les activités de traitement des données menées dans le cadre d’agora par les coordinateurs pour les services numériques, par d’autres autorités nationales et par le comité

1. 1. La Commission:

      1. met en place et garantit une infrastructure de communication sûre et fiable, l’AGORA, pour le compte des coordinateurs pour les services numériques, des autres autorités nationales et du comité, qui permet l’échange d’informations pour les enquêtes coordonnées, les mécanismes de contrôle de la cohérence et les activités du comité, et

      2. ne traite les données à caractère personnel que sur instruction documentée des responsables du traitement et des responsables conjoints du traitement, à moins d’être tenue d’y procéder en application du droit de l’Union ou du droit d’un État membre; dans ce cas, la Commission informe les responsables du traitement et les responsables conjoints du traitement de cette obligation légale avant de poursuivre l’activité de traitement, sauf si le droit concerné interdit la communication d’une telle information pour des motifs importants d’intérêt public.

   2. Afin de remplir ses obligations en qualité de sous-traitant des coordinateurs pour les services numériques, des autres autorités nationales et du comité, la Commission peut faire appel à des tiers en tant que sous-traitants ultérieurs. En pareil cas, les responsables du traitement et les responsables conjoints du traitement autorisent la Commission à faire appel à des sous-traitants ultérieurs ou à remplacer ces derniers si nécessaire. La Commission informe les responsables du traitement et les responsables conjoints du traitement du recours à des sous-traitants ultérieurs ou du remplacement de ces derniers, pour donner ainsi aux responsables du traitement et aux responsables conjoints du traitement la possibilité de s’opposer à toute modification de ce type. La Commission veille à ce que les mêmes obligations en matière de protection des données que celles énoncées dans le présent règlement s’appliquent à ces sous-traitants ultérieurs.

   3. Le traitement par la Commission comporte:

      1. l’authentification et le contrôle d’accès à l’égard de tous les administrateurs et utilisateurs d’AGORA;

      2. l’autorisation donnée aux administrateurs et utilisateurs d’AGORA de créer, de mettre à jour et de supprimer tout enregistrement et toute information contenus dans AGORA;

      3. la réception des données à caractère personnel visées à l’article 12, paragraphe 3, du présent règlement, chargées par les utilisateurs nationaux d’AGORA et les administrateurs d’AGORA, en fournissant une interface de programmation d’applications permettant à ces utilisateurs et administrateurs de charger les données pertinentes;

      4. le stockage des données à caractère personnel dans AGORA;

      5. la mise à disposition des données à caractère personnel pour accès et téléchargement par les administrateurs et utilisateurs d’AGORA et toute autre activité de traitement de données nécessaire;

      6. la suppression des données à caractère personnel à leur date d’expiration ou sur instruction du responsable du traitement qui les a communiquées;

      7. après la fin de la prestation de service, la suppression de toutes les données à caractère personnel restantes, sauf si le droit de l’Union ou le droit d’un État membre en impose le stockage.

   4. La Commission prend toutes les mesures de sécurité à la pointe de la technique nécessaires sur les plans organisationnel, physique et logique pour assurer le fonctionnement d’AGORA. À cette fin, elle:

      1. désigne une entité responsable de la gestion de la sécurité d’AGORA, communique ses coordonnées aux responsables conjoints du traitement et veille à sa disponibilité pour réagir aux menaces pour la sécurité;

      2. est chargée d’assurer la sécurité d’AGORA, notamment en procédant régulièrement à des tests, des analyses et des évaluations des mesures de sécurité;

      3. veille à ce que les administrateurs d’AGORA et les utilisateurs d’AGORA auxquels est octroyé un accès au système soient soumis à une obligation de confidentialité contractuelle, professionnelle ou légale.

   5. La Commission prend toutes les mesures de sécurité nécessaires pour éviter de compromettre le bon fonctionnement opérationnel d’AGORA. Il s’agit notamment des mesures suivantes:

      1. des procédures d’évaluation des risques, afin d’identifier et d’estimer les menaces potentielles pour AGORA;

      2. une procédure d’audit et de contrôle destinée:

         1. à vérifier la correspondance entre les mesures de sécurité mises en œuvre et la politique de sécurité applicable;

         2. à contrôler régulièrement l’intégrité des fichiers AGORA, les paramètres de sécurité et les autorisations accordées;

         3. à détecter les atteintes à la sécurité et les intrusions dans AGORA;

         4. à appliquer des modifications afin de corriger les failles existantes en matière de sécurité dans AGORA;

         5. à définir les conditions dans lesquelles il convient d’autoriser, notamment à la demande des responsables du traitement, la réalisation d’audits indépendants, y compris des inspections, et d’examens des mesures de sécurité, ainsi que de contribuer à ces opérations, sous réserve de conditions qui respectent le protocole n^o 7 du traité sur le fonctionnement de l’Union européenne relatif aux privilèges et immunités de l’Union européenne;

      3. une modification de la procédure de contrôle, afin de documenter et de mesurer l’incidence des modifications avant leur mise en œuvre, et de tenir les responsables du traitement et les responsables conjoints du traitement informés de toute modification susceptible d’affecter la communication avec AGORA et/ou la sécurité de ce système;

      4. une procédure de maintenance et de réparation, afin de préciser les règles et les conditions à respecter lors de la maintenance et/ou de la réparation des équipements d’AGORA;

      5. une procédure relative aux incidents de sécurité, afin de définir le système de signalement et d’escalade, d’informer sans délai les responsables du traitement concernés, d’informer sans délai les responsables du traitement pour qu’ils avertissent les autorités nationales de contrôle de la protection des données de toute violation de données à caractère personnel, et de définir une procédure disciplinaire pour les atteintes à la sécurité dans AGORA.

   6. La Commission prend des mesures de sécurité physiques et logiques à la pointe de la technique pour les installations hébergeant AGORA ainsi que pour les contrôles des données et les contrôles d’accès de sécurité s’y rapportant. À cette fin, elle:

      1. assure la sécurité physique, afin de mettre en place des périmètres de sécurité distincts et de permettre la détection des atteintes dans AGORA;

      2. contrôle l’accès aux installations d’AGORA et tient un registre des visiteurs d’AGORA à des fins de suivi;

      3. veille à ce que les personnes extérieures auxquelles l’accès aux locaux est accordé soient accompagnées par du personnel dûment autorisé;

      4. veille à ce qu’aucun équipement ne puisse être ajouté, remplacé ou retiré sans l’autorisation préalable des organismes compétents désignés;

      5. contrôle l’accès depuis et vers AGORA;

      6. veille à ce que les administrateurs et utilisateurs d’AGORA qui accèdent à ce dernier soient identifiés et authentifiés;

      7. réexamine les droits d’autorisation relatifs à l’accès à AGORA, en cas d’atteinte à la sécurité touchant le système;

      8. préserve l’intégrité des informations transmises par l’intermédiaire d’AGORA;

      9. met en œuvre des mesures de sécurité d’ordre technique et organisationnel afin d’empêcher l’accès non autorisé aux données à caractère personnel dans AGORA;

      10. met en œuvre, en tant que de besoin, des mesures visant à empêcher tout accès non autorisé à AGORA (blocage d’une localisation/d’une adresse IP).

   7. La Commission:

      1. prend des mesures pour protéger son domaine, y compris la rupture des connexions, en cas d’écart important par rapport aux principes et concepts de qualité ou de sécurité;

      2. maintient un plan de gestion des risques lié à son domaine de compétence;

      3. surveille, en temps réel, la performance de tous les éléments de service d’AGORA, produit des statistiques régulières et tient des registres;

      4. fournit une assistance en anglais pour AGORA aux administrateurs et utilisateurs de ce dernier;

      5. aide les responsables du traitement et les responsables conjoints du traitement, au moyen de mesures techniques et organisationnelles appropriées, à s’acquitter de leur obligation de répondre aux demandes d’exercice des droits de la personne concernée prévus au chapitre III du règlement (UE) 2016/679;

      6. aide les responsables du traitement et les responsables conjoints du traitement, en fournissant des informations sur AGORA, à remplir les obligations prévues aux articles 32, 33, 34, 35 et 36 du règlement (UE) 2016/679;

      7. veille à ce que les données traitées au sein d’AGORA soient inintelligibles pour toute personne non autorisée à y accéder;

      8. prend toutes les mesures utiles pour empêcher l’accès non autorisé aux données à caractère personnel transmises via AGORA;

      9. prendre des mesures pour faciliter la communication entre les responsables du traitement et les responsables conjoints du traitement;

      10. tient, conformément à l’article 31, paragraphe 2, du règlement (UE) 2018/1725, un registre des activités de traitement effectuées pour le compte des responsables du traitement et des responsables conjoints du traitement.