Recitale
(1) Regulamentul (UE) 2021/953 instituie certificatul digital al UE privind COVID, al cărui scop este să servească drept dovadă a faptului că o persoană a fost vaccinată împotriva COVID-19, a obținut un rezultat negativ la testul pentru depistarea bolii sau s-a vindecat de COVID-19.
(2) Pentru ca certificatul digital al UE privind COVID să fie operațional în întreaga Uniune, trebuie stabilite specificații tehnice și reguli care să asigure completarea, eliberarea în condiții de siguranță și verificarea certificatelor digitale privind COVID, garantarea protecției datelor cu caracter personal, stabilirea structurii comune a identificatorului unic al certificatului și emiterea unui cod de bare valabil, securizat și interoperabil. Acest cadru de încredere stabilește, de asemenea, premisele pentru eforturile de asigurare a interoperabilității cu standardele și sistemele tehnologice internaționale și, ca atare, ar putea servi drept model de cooperare la nivel mondial.
(3) Capacitatea de a citi și interpreta certificatul digital al UE privind COVID presupune o structură de date comună și un consens asupra semnificației preconizate a fiecărui câmp de date al sarcinii utile și asupra valorilor pe care le poate lua. Pentru a facilita această interoperabilitate, trebuie definită o structură comună coordonată a datelor pentru cadrul de funcționare a certificatului digital al UE privind COVID. Orientările pentru acest cadru au fost elaborate de rețeaua de e-sănătate instituită pe baza Directivei 2011/24/UE a Parlamentului European și a Consiliului (2). La elaborarea specificațiilor tehnice care stabilesc formatul și gestionarea cadrului de încredere pentru certificatul digital al UE privind COVID ar trebui să se țină cont de orientările respective. Ar trebui prevăzute o specificație privind structura datelor și mecanisme de codare, precum și un mecanism de codare pentru transport într-un format optic care poate fi citit automat (QR), afișabil pe ecranul unui dispozitiv mobil sau imprimabil pe hârtie.
(4) În plus față de specificațiile tehnice pentru formatul și gestionarea cadrului de încredere ale certificatului digital al UE privind COVID, ar trebui stabilite reguli generale privind completarea certificatelor, care să fie utilizate pentru valorile codate din conținutul certificatului digital al UE privind COVID. Seturile de valori prin care sunt puse în aplicare regulile în cauză ar trebui să fie actualizate și publicate periodic de către Comisie, pe baza activității relevante a rețelei de e-sănătate.
(5) În conformitate cu Regulamentul (UE) 2021/953, certificatele autentice care alcătuiesc certificatul digital al UE privind COVID ar trebui să poată fi identificate individual prin intermediul unui identificator unic al certificatului, ținând seama de faptul că cetățenilor li se pot elibera mai multe certificate în perioada în care este în vigoare Regulamentul (UE) 2021/953. Identificatorul unic al certificatului va fi alcătuit dintr-o serie alfanumerică, iar statele membre ar trebui să garanteze că acesta nu conține date care să îl raporteze la alte documente sau la alți identificatori, cum ar fi numărul pașaportului sau al cărții de identitate, pentru a se evita identificarea titularului. Pentru a se asigura că identificatorul certificatului este unic, ar trebui stabilite specificații tehnice și reguli pentru structura comună a acestuia.
(6) Securitatea, autenticitatea, valabilitatea și integritatea certificatelor care alcătuiesc certificatul digital al UE privind COVID și conformitatea acestora cu legislația Uniunii privind protecția datelor sunt esențiale pentru ca aceste certificate să fie acceptate în toate statele membre. Obiectivele menționate sunt realizate prin intermediul cadrului de încredere, care stabilește regulile și infrastructura pentru emiterea și verificarea fiabilă și sigură a certificatelor digitale ale UE privind COVID. Printre altele, cadrul de încredere ar trebui să se bazeze pe o infrastructură de chei publice cu un lanț de încredere mergând de la autoritățile din domeniul sănătății sau alte autorități de încredere din statele membre până la entitățile individuale care eliberează certificatele digitale ale UE privind COVID. Prin urmare, pentru a se asigura un sistem de interoperabilitate la nivelul întregii UE, Comisia a constituit un sistem central – gateway-ul pentru certificatele digitale ale UE privind COVID („gateway-ul”) – care stochează cheile publice utilizate pentru verificare. Atunci când se scanează codul QR al certificatului, se verifică semnătura digitală cu ajutorul cheii publice relevante, stocată în prealabil pe acest gateway central. Pentru a se asigura integritatea și autenticitatea datelor, se pot utiliza semnăturile digitale. Infrastructurile de chei publice creează relații de încredere prin asocierea anumitor chei publice cu anumiți emitenți de certificate. În cadrul gateway-ului se utilizează, pentru autenticitate, mai multe certificate de cheie publică. Pentru a se asigura un schimb securizat de date având ca obiect materialul-cheie pentru cheile publice între statele membre și pentru a permite o interoperabilitate largă, este necesar să se stabilească certificatele de cheie publică ce pot fi utilizate și să se prevadă modul în care ar trebui generate acestea.
(7) Prezenta decizie permite operaționalizarea cerințelor Regulamentului (UE) 2021/953 într-un mod care să reducă la minimum prelucrarea datelor cu caracter personal, limitând-o la ceea ce este necesar pentru ca certificatul digital al UE privind COVID să devină operațional și să contribuie la punerea în aplicare de către operatorii finali astfel încât să se respecte protecția datelor încă din faza de proiectare.
(8) În conformitate cu Regulamentul (UE) 2021/953, autoritățile sau alte organisme desemnate responsabile cu eliberarea certificatelor sunt operatorii menționați la articolul 4 alineatul (7) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului (3), în rolul lor de prelucrare a datelor cu caracter personal în cursul procesului de eliberare a certificatelor. În funcție de modul în care statele membre organizează acest proces de eliberare a certificatelor, pot exista una sau mai multe autorități sau organisme desemnate, de exemplu serviciile de sănătate regionale. În conformitate cu principiul subsidiarității, această decizie este la latitudinea statelor membre. Prin urmare, în cazul în care există mai multe autorități sau alte organisme desemnate, statele membre sunt cele mai în măsură să se asigure că responsabilitățile fiecăreia sunt clar alocate, indiferent dacă este vorba de operatori separați sau asociați (inclusiv serviciile de sănătate regionale care instituie un portal comun al pacienților pentru eliberarea certificatelor). În mod similar, în ceea ce privește verificarea certificatelor de către autoritățile competente din statul membru de destinație sau de tranzit ori de către operatorii de servicii de transport transfrontalier de călători obligați prin legislația națională să pună în aplicare anumite măsuri de sănătate publică în timpul pandemiei de COVID-19, acești verificatori trebuie să își respecte obligațiile care le revin în temeiul normelor privind protecția datelor.
(9) Prin intermediul gateway-ului pentru certificatele digitale ale UE privind COVID nu se realizează nicio prelucrare a datelor cu caracter personal, întrucât acest gateway conține doar cheile publice ale autorităților semnatare. Aceste chei sunt legate de autoritățile semnatare și nu permit reidentificarea, directă sau indirectă, a unei persoane fizice căreia i s-a eliberat un certificat. Prin urmare, în calitatea sa de administrator al gateway-ului, Comisia nu ar trebui să fie nici operator, nici operator de date cu caracter personal.
(10) Autoritatea Europeană pentru Protecția Datelor, care a fost consultată în conformitate cu articolul 42 alineatul (1) din Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului (4), a emis un aviz la data de 22 iunie 2021.
(11) Având în vedere că, pentru aplicarea Regulamentului (UE) 2021/953 începând de la 1 iulie 2021, sunt necesare specificații tehnice și reguli, se justifică aplicarea imediată a prezentei decizii.
(12) Prin urmare, având în vedere necesitatea punerii rapide în aplicare a certificatului digital al UE privind COVID, prezenta decizie ar trebui să intre în vigoare la data publicării sale,