Bilaga | Kommissionens ansvar som personuppgiftsbiträde för databehandling som utförs i samband med portalen för dataåtkomst inom ramen för förordningen om digitala tjänster (DSA-dataåtkomstportalen)

Kommissionen ska på uppdrag av samordnarna för digitala tjänster inrätta och sörja för en säker och tillförlitlig it-infrastruktur, portalen för dataåtkomst inom ramen för förordningen om digitala tjänster (DSA-dataåtkomstportalen), som stöder och effektiviserar förvaltningen av processen för dataåtkomst för forskare, forskningsorganisationer, dataleverantörer och samordnare för digitala tjänster.
För att fullgöra sina skyldigheter som personuppgiftsbiträde för samordnarna för digitala tjänster får kommissionen anlita tredje parter som underentreprenörer. Om detta är fallet ska de personuppgiftsansvariga ge kommissionen tillstånd att anlita underentreprenörer eller vid behov byta ut underentreprenörerna. Kommissionen ska informera de personuppgiftsansvariga om sådant anlitande eller utbyte av underentreprenörer, och därigenom ge de personuppgiftsansvariga möjlighet att invända mot sådana ändringar. Kommissionen ska säkerställa att dataskyddsskyldigheterna i denna förordning även tillämpas på dessa underentreprenörer.
Kommissionens behandling av personuppgifter ska endast ske i den mån det är nödvändigt för
1. autentisering och åtkomstkontroll med avseende på alla användare av DSA-dataåtkomstportalen,
2. tillståndsimplementering av begäranden från användare av DSA-dataåtkomstportalen om att all information som finns i applikationen i DSA-dataåtkomstportalen ska skapas, uppdateras eller raderas,
3. mottagande av de personuppgifter som avses i artikel 5.3 i denna förordning och som laddas upp av användare av DSA-dataåtkomstportalen,
4. lagring av personuppgifter i DSA-dataåtkomstportalen,
5. radering av personuppgifterna efter föreskriven tid eller efter instruktion från den personuppgiftsansvariga,
6. när tillhandahållandet av tjänster som tillhandahålls av DSA-dataåtkomstportalen har avslutats, radering av eventuella kvarvarande personuppgifter, såvida inte lagring av personuppgifterna krävs enligt unionslagstiftningen eller en medlemsstats lagstiftning.
Kommissionen ska vidta alla aktuella organisatoriska, fysiska och logiska säkerhetsåtgärder för att säkerställa att DSA-dataåtkomstportalen fungerar. Kommissionen ska i detta syfte göra följande:
1. Utse en enhet som ansvarar för säkerhetsförvaltningen av DSA-dataåtkomstportalen, meddela den personuppgiftsansvariga enhetens kontaktuppgifter och säkerställa att den är tillgänglig för att hantera säkerhetshot.
2. Ta ansvaret för säkerheten på DSA-dataåtkomstportalen, bland annat genom att regelbundet utföra tester, utvärderingar och bedömningar av säkerhetsåtgärderna.
Kommissionens ska vidta alla säkerhetsåtgärder som krävs för att DSA-dataåtkomstportalen ska fungera smidigt. Detta ska innefatta följande:
1. Riskbedömningsförfaranden för att identifiera och utvärdera potentiella hot mot DSA-dataåtkomstportalen.
2. Ett revisions- och granskningsförfarande för att
  kontrollera hur väl de införda säkerhetsåtgärderna motsvarar den tillämpliga säkerhetspolicyn,
  regelbundet kontrollera integriteten hos DSA-dataåtkomstportalen, säkerhetsparametrarna och de beviljade tillstånden,
  upptäcka säkerhetsöverträdelser och intrång i DSA-dataåtkomstportalen,
  genomföra ändringar för att minska befintliga säkerhetsbrister i DSA-dataåkomstportalen,
  fastställa villkoren för att tillåta, även på begäran av personuppgiftsansvariga, och bidra till oberoende revisioner, inbegripet inspektioner och översyner av säkerhetsåtgärder, på villkor som är förenliga med protokoll nr 7 till fördraget om Europeiska unionens funktionssätt om Europeiska unionens immunitet och privilegier.
3. Ändrande av kontrollförfarandet för att dokumentera och mäta effekten av en ändring innan den genomförs och hålla de personuppgiftsansvariga informerade om samtliga ändringar som kan påverka kommunikationen med och/eller säkerheten i DSA-dataåtkomstportalen.
4. Inrättande av ett underhålls- och reparationsförfarande för att fastställa de regler och villkor som ska följas vid underhåll och/eller reparation av DSA-dataåtkomstportalen.
5. Inrättande av ett förfarande för säkerhetsincidenter för att fastställa ett rapporterings- och eskaleringssystem, utan dröjsmål informera de personuppgiftsansvariga som berörs och utan dröjsmål informera de personuppgiftsansvariga så att de kan underrätta de nationella dataskyddstillsynsmyndigheterna om personuppgiftsincidenter samt för att fastställa ett disciplinärt förfarande för hantering av säkerhetsöverträdelser i DSA-dataåtkomstportalen.
Kommissionen ska vidta aktuella fysiska och logiska säkerhetsåtgärder för de anläggningar som hyser DSA-dataåtkomstportalen och för kontroller av åtkomst till uppgifter och säkert tillträde till anläggningarna. Kommissionen ska i detta syfte göra följande:
1. Införa fysiska säkerhetsåtgärder för att upprätta tydliga säkerhetsperimetrar och möjliggöra att överträdelser i DSA-dataåtkomstportalen upptäcks.
2. Kontrollera tillträdet till anläggningar som hyser DSA-dataåtkomstportalen.
3. Säkerställa att utrustning inte kan läggas till, ersättas eller avlägsnas utan förhandstillstånd från utsedda ansvariga organ.
4. Kontrollera åtkomst från och till DSA-dataåtkomstportalen.
5. Säkerställa att de användare av DSA-dataåtkomstportalen som har åtkomst till DSA-dataåtkomstportalen
6. Se över de tillståndsrättigheter som gäller åtkomst till DSA-dataåtkomstportalen vid säkerhetsöverträdelser som påverkar DSA-dataåtkomstportalen.
7. Bevara integriteten för den information som överförs via DSA-dataåtkomstportalen.
8. Vidta tekniska och organisatoriska säkerhetsåtgärder för att förhindra obehörig åtkomst till personuppgifter i DSA-dataåtkomstportalen.
9. Vid behov vidta åtgärder för att förhindra obehörig åtkomst till DSA-dataåtkomstportalen (dvs. blockera en plats/IP-adress).
Kommissionen ska göra följande:
1. Vidta åtgärder för att skydda sin domän, inklusive genom frånkoppling, vid betydande avvikelser från principerna och koncepten för kvalitet och säkerhet.
2. Upprätthålla en riskhanteringsplan för sitt ansvarsområde.
3. I realtid övervaka prestandan hos alla tjänstekomponenter i DSA-dataåtkomstportalen, ta fram regelbunden statistik och upprätthålla register.
4. Ge användare av DSA-dataåtkomstportalen stöd på engelska avseende portalen för dataåtkomst inom ramen för förordningen om digitala tjänster.
5. Bistå de personuppgiftsansvariga med lämpliga tekniska och organisatoriska åtgärder så att de kan fullgöra de personuppgiftsansvarigas skyldigheter att besvara begäranden om utövande av den registrerades rättigheter enligt kapitel III i förordning (EU) 2016/679.
6. Stödja de personuppgiftsansvariga genom att tillhandahålla information om DSA-dataåtkomstportalen för att genomföra skyldigheterna enligt artiklarna 32, 33, 34, 35 och 36 i förordning (EU) 2016/679.
7. Säkerställa att de uppgifter som behandlas i DSA-dataåtkomstportalen är oläsliga för personer som inte är behöriga att få åtkomst till dem.
8. Vidta alla relevanta åtgärder för att förhindra obehörig åtkomst till överförda personuppgifter via DSA-dataåtkomstportalen.
9. Vidta åtgärder för att underlätta kommunikationen mellan de personuppgiftsansvariga.
10. Föra ett register över behandling som utförts för de personuppgiftsansvarigas räkning i enlighet med artikel 31.2 i förordning (EU) 2018/1725.