EUのCOVID-19感染拡大防止アプリケーションガイダンス（Common EU Toolbox）におけるトレーシング・アプリケーションへの要求事項の概要（トレーシング・アプリのガバナンスと承認）

こんにちは、丸山満彦です。

EUがデータ保護に関連したCOVID-19パンデミック対策を支援するアプリケーションのガイダンス（Common EU Toolbox）を公表していますが、まず、

• III A COMMON APPROACH TO MOBILE CONTACT TRACING AND WARNING APPLICATIONS
• ANNEX I: RECOMMENDATIONS FOR A COMMON APPROACH TO MOBILE TRACING APPS Security testing and independent review

をざっと見ておこうと思います。

● EU

・2020.04.16 Coronavirus: An EU approach for efficient contact tracing apps to support gradual lifting of confinement measures

・2020.04.15 [PDF] eHealth Network - Mobile applications to support contact tracing in the EU’s fight against COVID-19 - Common EU Toolbox for Member States 

III A COMMON APPROACH TO MOBILE CONTACT TRACING AND WARNING APPLICATIONS
III 携帯電話コンタクト・トレーシング・アプリと警告アプリへの共通のアプローチ 

アプリケーションが満たすべき要件の4つのカテゴリーは次の通りです。

1) (a) 疫学的枠組み、(b) 技術的機能性、(c) 国境を越えた相互運用性の要求事項、(d) サイバーセキュリティ対策、(e) セーフガードに関する必須要件
2) アクセシビリティと包括性の確保を目的とした施策
3) トレーシング・アプリの承認とトレーシング・アプリで生成されたデータへのアクセスをカバーする公衆衛生当局のガバナンス/役割
4）(a) 疫学情報の共有やECDCとの連携、(b) 有害アプリの拡散防止対策、(c) アプリの有効性のモニタリング、などの支援活動

目次項目でいうと次のようになっています。

-----

1. Essential requirements for national apps and cross-border interoperability
 a. Epidemiologic framework
 b. Technical functionalities
 c. Cross-border interoperability requirements
 d. Cybersecurity
 e. Safeguards

2. Accessibility and inclusiveness.

3. Governance and approval of tracing apps

4. Supporting Actions
 a. Sharing of epidemiological information between national public health authorities and cooperation with ECDC
 b. Prevent proliferation of harmful apps
 c. Monitoring the effectiveness of the apps
-----

全体の枠組みを理解するために、

3. Governance and approval of tracing apps
3. トレーシング・アプリのガバナンスと承認

を見てみたいと思います。

推奨事項となっていますが、実質は要求事項的なものなのでしょうね。

• トレーシング・アプリケーションの承認は、国のパンデミック管轄当局がアプリの最終的な説明責任を負う
• 国の保健当局が個人データの処理の管理者となるべきである
• さまざまなタイプのアプリ（およびその基礎となる感染伝播連鎖情報システム）を受け入れ、それらが疫学的調査目的を達成するためには、国の保健当局によって基礎となる方針、要件、および管理が調整され、実施されなければならない

となっているようですね。

原文と仮訳

-----

3. GOVERNANCE AND APPROVAL OF TRACING APPS

In doing their assessment, the authorities in Member States should take into account this toolbox with focus on interoperability, privacy and security elements. As regard the endorsement of contact tracing apps by Member States, the preferable arrangement should be that the national competent authorities in charge of the health crisis is ultimately accountable for the app. Preferably, the health authority of the Member State should be controller for the processing of personal data (either the national competent authority designated under article 9 of the Decision 1082/2013 or another health authority decided by the Member States).

For the acceptance of different types of apps (and underlying infection transmission chains information systems) and for ensuring that they fulfil the aimed purpose of epidemiological surveillance, the underlying policies, requirements and controls must be aligned and implemented in a coordinated way by the responsible national health authorities.

-----

3. トレーシング・アプリのガバナンスと承認

評価を行う際には、加盟国当局は、相互運用性、プライバシー、セキュリティの要素に焦点を当てて、このツールボックスを考慮すべきである。加盟国によるコンタクト・トレーシング・アプリの承認は、保健危機を担当する国の管轄当局がアプリの最終的な説明責任を負うことが好ましい取り決めであるべきである。好ましくは、加盟国の保健当局が個人データの処理の管理者となるべきである（決定1082/2013の第9条に基づき指定された国の管轄当局、または加盟国が決定した別の保健当局のいずれか）。

さまざまなタイプのアプリ（およびその基礎となる感染伝播連鎖情報システム）を受け入れ、それらが疫学的サーベイランスの目的を確実に達成するためには、各国の保健当局が基礎となる方針、要件、および管理を調整、実施しなければならない。

-----

Annex

Public health authorities’ governance mechanisms

Id	Functionality/ type of app	Description and Recommendation	Relevant actors Related measure(s)
GA01	Overall coordination	The underlying policies, requirements and controls must be aligned and implemented in a coordinated way by the responsible national health authorities	Depending on the national setting: Overall coordination: authorities in: charge of the crisis (usually government or ministry of health); digital health authorities; epidemiological institutions; national research institutions
GA02	Cooperation within MS	Integrated strategy to develop the apps, involving cooperation with other authorities, as well as private sector, experts, academics, data protection authorities	Other relevant ministries (e.g. digital ministry, ministry of state administration, ministry of internal affairs etc) Involvement of other authorities (eg data protection authorities)
GA04	Endorsement of the app	Health authorities are accountable for the app and use the tool-box when evaluating/endorsing it As regards the quality and reliability assessment of the apps, the member states should take on the principles of the ongoing CEN TC251 work that provides a common integrated framework for all EU Member States	Depending on the national setting: Institutions coordinating the crisis response; digital health authorities, in cooperation with epidemiological institutions; digital ministries or other settings
GA05	Cooperation within EU	The Member States supported by the Commission, should cooperate in order to define the criteria that would allow for cross-border interoperability; these criteria will be listed in the toolbox that can be updated within an iterative process. Cooperation across border to exchange information concerning infected patients and their contacts, complementing the work carried in the framework of Decision 1082/2013 of the EU Parliament and of the Council	Member States, represented in the eHealth Network, collaboration with Health Security Committee Support of the European Commission Cooperation between the institutions cooperating in the framework of the Early warning and response system and Health Security Committee

公衆衛生関連当局のガバナンスメカニズム

Id	機能/アプリの種類	説明と推奨事項	関連する担当者 関連する手段
GA01	全体的な調整	基礎となる方針、要件、管理は、責任ある国の保健当局によって調整され、実施されなければならない。	国の機関設定に応じて： 全体的な調整：関係当局：危機の責任者（通常は政府または保健省）。 デジタル保健当局; 疫学機関; 国立研究機関
GA02	MS内の協力	他の当局、民間企業、専門家、学者、データ保護当局との協力を含むアプリ開発のための統合戦略	その他関連省庁（デジタル省、国務省、総務省等） 他の機関（例：データ保護機関）の関与
GA04	アプリの推奨	保健当局はアプリの説明責任があり、アプリを評価/提供する際にツールボックスを使用する。 アプリの品質・信頼性評価に関して、加盟国は、すべてのEU加盟国に共通の統合された枠組みを提供する現在進行中のCEN TC251作業の原則に従うべきである。	国の機関設定に応じて： 危機対応を調整する機関 疫学機関と協力したデジタル保健当局 デジタル省庁またはその他の設定
GA05	EU内での協力	欧州委員会の支援を受けた加盟国は、国境を越えた相互運用性を可能にする基準を定義するために協力すべきである。 EU議会と理事会の決定1082/2013の枠組みで行われた作業を補完するための、感染患者とその連絡先に関する情報交換のための国境を越えた協力。	eHealthネットワークに代表される加盟国、保健安全保障委員会との連携 欧州委員会の支援 早期警戒・対応体制の枠組みで協力する機関と保健安全委員会との連携