Recitale
(1) Regulamentul (UE) 2021/953 instituie certificatul digital al UE privind COVID care asigură dovada că o persoană a primit un vaccin împotriva COVID-19, un rezultat negativ la testul de depistare a infecției cu virusul SARS-CoV-2 sau s-a vindecat de COVID-19, cu scopul de a facilita exercitarea de către titulari a dreptului lor la liberă circulație în timpul pandemiei de COVID-19.
(2) Regulamentul (UE) 2021/954 al Parlamentului European și al Consiliului (2) prevede că statele membre trebuie să aplice normele prevăzute în Regulamentul (UE) 2021/953 resortisanților țărilor terțe care nu intră sub incidența regulamentului respectiv, dar care se află în situație de ședere legală sau au reședință legală pe teritoriul lor și care au dreptul de a călători în alte state membre în conformitate cu dreptul Uniunii.
(3) Recomandarea (UE) 2022/290 a Consiliului de modificare a Recomandării (UE) 2020/912 privind restricția temporară asupra călătoriilor neesențiale către UE și posibila eliminare a acestei restricții (3) prevede că resortisanții țărilor terțe care doresc să efectueze călătorii neesențiale dintr-o țară terță către Uniune ar trebui să dețină o dovadă valabilă a vaccinării sau a vindecării, cum ar fi un certificat digital al UE privind COVID sau un certificat privind COVID-19 eliberat de o țară terță care face obiectul unui act de punere în aplicare adoptat în temeiul articolului 8 alineatul (2) din Regulamentul (UE) 2021/953.
(4) Pentru ca certificatul digital al UE privind COVID să fie operațional în întreaga Uniune, Comisia a adoptat Decizia de punere în aplicare (UE) 2021/1073 (4), care stabilește specificații tehnice și reguli care să asigure completarea, eliberarea în condiții de siguranță și verificarea certificatelor digitale ale UE privind COVID, garantarea protecției datelor cu caracter personal, stabilirea structurii comune a identificatorului unic al certificatului și emiterea unui cod de bare valabil, securizat și interoperabil.
(5) În conformitate cu articolul 4 din Regulamentul (UE) 2021/953, Comisia și statele membre trebuie să instituie și să mențină un cadru de încredere pentru certificatul digital al UE privind COVID. Acest cadru de încredere poate sprijini schimbul bilateral de liste cu certificate revocate, care conțin identificatorii unici ai certificatelor revocate.
(6) La 1 iulie 2021, a devenit operațional gateway-ul pentru certificatele digitale ale UE privind COVID („gateway-ul”), care reprezintă partea centrală a cadrului de încredere și care permite schimbul fiabil și în condiții de siguranță între statele membre de chei publice utilizate pentru verificarea certificatelor digitale ale UE privind COVID.
(7) Datorită implementării lor cu succes și pe scară largă, certificatele digitale ale UE privind COVID au devenit o țintă pentru autorii fraudelor care încearcă să găsească modalități de a elibera certificate frauduloase. Prin urmare, aceste certificate frauduloase trebuie revocate. În plus, anumite certificate digitale ale UE privind COVID pot fi revocate de statele membre la nivel național din motive medicale și de sănătate publică, de exemplu deoarece un lot de vaccinuri administrate s-a dovedit ulterior a fi defectuos.
(8) Deși sistemul de certificate digitale ale UE privind COVID este capabil să depisteze imediat certificatele falsificate, certificatele autentice care sunt eliberate ilegal pe baza unor documente false, accesul neautorizat sau cu intenție frauduloasă nu pot fi detectate în alte state membre, cu excepția cazului în care listele cu certificatele revocate generate la nivel național fac obiectul unui schimb între statele membre. Același lucru este valabil și pentru certificatele care au fost revocate din motive medicale și de sănătate publică. Faptul că aplicațiile de verificare ale statelor membre nu detectează certificatele revocate de alte state membre reprezintă o amenințare pentru sănătatea publică și subminează încrederea cetățenilor în sistemul de certificate digitale ale UE privind COVID.
(9) Astfel cum se menționează în considerentul 19 din Regulamentul (UE) 2021/953, statele membre, din motive medicale și de sănătate publică și în cazul certificatelor eliberate sau obținute în mod fraudulos, ar trebui să poată întocmi și transmite altor state membre, în scopul respectivului regulament și în anumite cazuri, liste cu certificatele revocate, în special în ceea ce privește certificatele eliberate în mod greșit, ca rezultat al fraudei sau în urma suspendării unui lot de vaccinuri împotriva COVID-19 defectuoase. Statele membre nu ar trebui să poată revoca certificatele eliberate de alte state membre. Listele cu certificatele revocate care fac obiectul schimburilor ar trebui să nu conțină alte date cu caracter personal decât identificatorii unici ai certificatelor. În special, acestea nu ar trebui să includă motivul pentru care a fost revocat un certificat.
(10) În plus față de informațiile generale privind posibilitatea revocării unor certificate și posibilele motive pentru aceasta, titularii certificatelor revocate ar trebui să fie informați prompt de către autoritatea emitentă responsabilă cu privire la revocarea certificatelor lor și la motivele revocării. Cu toate acestea, în unele cazuri, în special în cazul certificatelor digitale ale UE privind COVID eliberate pe suport de hârtie, urmărirea și informarea titularului cu privire la revocare s-ar putea dovedi imposibile sau ar putea implica un efort disproporționat. Statele membre nu ar trebui să colecteze date cu caracter personal suplimentare care nu sunt necesare pentru procesul de eliberare doar pentru a putea informa titularii certificatelor în cazul în care certificatele lor sunt revocate.
(11) Prin urmare, este necesar să se consolideze cadrul de încredere pentru certificatul digital al UE privind COVID prin sprijinirea schimbului bilateral de liste cu certificatele revocate între statele membre.
(12) Prezenta decizie nu se referă la suspendarea temporară a certificatelor pentru cazurile de utilizare la nivel național care nu intră în domeniul de aplicare al regulamentului referitor la certificatul digital al UE privind COVID, de exemplu situațiile în care titularul unui certificat de vaccinare a obținut un rezultat pozitiv la testul de depistare a SARS-CoV-2. Aceasta nu aduce atingere procedurilor stabilite de verificare a normelor operaționale privind valabilitatea certificatelor.
(13) Deși, din punct de vedere tehnic, sunt fezabile diferite arhitecturi pentru schimbul de liste de revocare, schimbul acestora prin intermediul gateway-ului este cel mai adecvat, deoarece limitează schimburile de date la cadrul de încredere deja instituit și reduce la minimum atât numărul punctelor posibile de eșec, cât și al schimburilor dintre statele membre în comparație cu un sistem alternativ peer-to-peer.
(14) În consecință, gateway-ul pentru certificatul digital al UE privind COVID ar trebui consolidat pentru a sprijini schimbul securizat de certificate digitale ale UE privind COVID revocate în scopul verificării lor în condiții de siguranță prin intermediul gateway-ului. În acest sens, ar trebui puse în aplicare măsuri de securitate adecvate pentru a proteja datele cu caracter personal prelucrate în cadrul gateway-ului. Pentru a asigura un nivel ridicat de protecție, statele membre ar trebui să pseudonimizeze atributele certificatelor prin intermediul unui hash ireversibil care să fie inclus pe listele de revocare. Într-adevăr, identificatorul unic ar trebui să fie considerat drept date pseudonimizate pentru operațiunile de prelucrare efectuate în cadrul gateway-ului.
(15) Totodată ar trebui să fie stabilite dispoziții privind rolul statelor membre și al Comisiei în ceea ce privește schimbul de liste cu certificatele revocate.
(16) Prelucrarea datelor cu caracter personal ale titularilor de certificate, care se efectuează sub responsabilitatea statelor membre sau a altor organizații publice sau organisme oficiale din statele membre, ar trebui să se efectueze în conformitate cu Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului (5). Prelucrarea datelor cu caracter personal sub responsabilitatea Comisiei în scopul gestionării și al asigurării securității gateway-ului pentru certificatul digital al UE privind COVID ar trebui să respecte Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului (6).
(17) Statele membre, reprezentate de organismele oficiale sau autoritățile naționale desemnate, stabilesc împreună scopul și mijloacele de prelucrare a datelor cu caracter personal prin gateway-ul pentru certificatul digital al UE privind COVID și, prin urmare, sunt operatori asociați. Articolul 26 din Regulamentul (UE) 2016/679 prevede obligația operatorilor asociați care efectuează operațiuni de prelucrare a datelor cu caracter personal de a stabili, în mod transparent, responsabilitățile fiecăruia în ceea ce privește respectarea obligațiilor care le revin în temeiul regulamentului respectiv. Articolul menționat prevede, de asemenea, posibilitatea ca aceste responsabilități să fie stabilite în dreptul Uniunii sau al statului membru care li se aplică operatorilor. Modalitatea menționată la articolul 26 ar trebui să fie inclusă în anexa III la prezenta decizie.
(18) Regulamentul (UE) 2021/953 atribuie Comisiei sarcina de a sprijini astfel de schimburi. Cea mai adecvată modalitate de a îndeplini acest mandat este de a reuni, în numele statelor membre, listele cu certificatele revocate. Prin urmare, Comisiei ar trebui să i se atribuie rolul de persoană împuternicită de operator pentru a sprijini aceste schimburi prin facilitarea schimbului de liste prin intermediul gateway-ului pentru certificatul digital al UE privind COVID, în numele statelor membre.
(19) Comisia, în calitate de furnizor de soluții tehnice și organizaționale pentru gateway-ul pentru certificatele digitale ale UE privind COVID, prelucrează datele cu caracter personal din listele de revocare din gateway în numele statelor membre care au calitatea de operatori asociați. Prin urmare, Comisia acționează în calitate de persoană împuternicită de acestea. În temeiul articolului 28 din Regulamentul (UE) 2016/679 și al articolului 29 din Regulamentul (UE) 2018/1725, prelucrarea de către o persoană împuternicită de operator trebuie reglementată printr-un contract sau un act juridic în temeiul dreptului Uniunii sau al dreptului statului membru, care are caracter obligatoriu pentru persoana împuternicită de operator în raport cu operatorul și care precizează aspecte referitoare la prelucrare. Prin urmare, este necesar să se prevadă norme privind prelucrarea datelor de către Comisie în calitate de persoană împuternicită de operator.
(20) Sarcina Comisiei de a acorda sprijin nu implică instituirea unei baze de date centrale, astfel cum se menționează în considerentul 52 din Regulamentul (UE) 2021/953. Această interdicție este menită să evite crearea unui registru central al tuturor certificatelor digitale ale UE privind COVID care au fost eliberate și nu împiedică statele membre să facă schimb de liste de revocare, astfel cum se prevede în mod expres la articolul 4 alineatul (2) din Regulamentul (UE) 2021/953.
(21) Atunci când prelucrează date cu caracter personal în cadrul gateway-ului pentru certificatele digitale ale UE privind COVID, Comisia trebuie să respecte Decizia (UE, Euratom) 2017/46 (7).
(22) Articolul 3 alineatul (10) din Regulamentul (UE) 2021/953 permite Comisiei să adopte acte de punere în aplicare prin care să stabilească echivalența cu certificatele privind COVID-19 eliberate în temeiul prezentului regulament a certificatelor privind COVID-19 eliberate de o țară terță cu care Uniunea și statele membre au încheiat un acord privind libera circulație a persoanelor care permite părților contractante să restricționeze libera circulație din motive de sănătate publică într-un mod nediscriminatoriu și care nu conține un mecanism de încorporare a actelor juridice ale Uniunii. Pe această bază, Comisia a adoptat, la 8 iulie 2021, Decizia de punere în aplicare (UE) 2021/1126 a Comisiei (8) de stabilire a echivalenței certificatelor COVID-19 eliberate de Elveția.
(23) Articolul 8 alineatul (2) din Regulamentul (UE) 2021/953 permite Comisiei să adopte un act de punere în aplicare prin care să stabilească faptul că certificatele privind COVID-19 eliberate de către o țară terțe în conformitate cu standardele și sistemele tehnologice interoperabile cu cadrul de încredere pentru certificatul digital al UE privind COVID, care permit verificarea autenticității, a valabilității și a integrității certificatului și care cuprind datele prevăzute în anexa la regulament, trebuie considerate echivalente cu certificatele digitale ale UE privind COVID cu scopul de a facilita exercitarea de către titulari a dreptului lor la liberă circulație pe teritoriul Uniunii. Astfel cum se menționează în considerentul 28 din Regulamentul (UE) 2021/953, articolul 8 alineatul (2) din regulamentul respectiv se referă la acceptarea certificatelor eliberate de țări terțe cetățenilor Uniunii și membrilor familiilor acestora. Comisia a adoptat deja mai multe astfel de acte de punere în aplicare.
(24) Pentru a se evita lacunele în ceea ce privește detectarea certificatelor revocate care fac obiectul unor astfel de acte de punere în aplicare, ar trebui să fie posibil, de asemenea, ca țările terțe ale căror certificate privind COVID-19 au fost considerate echivalente în temeiul articolului 3 alineatul (10) și al articolului 8 alineatul (2) din Regulamentul (UE) 2021/953 să poată transmite listele relevante cu certificatele revocate pe gateway-ul pentru certificatele digitale ale UE privind COVID.
(25) Resortisanți ai țărilor terțe care dețin certificate privind COVID-19 revocate eliberate de o țară terță ale cărei certificate privind COVID-19 au fost considerate echivalente în temeiul Regulamentului (UE) 2021/953 pot să nu intre în domeniul de aplicare al regulamentului menționat anterior sau al Regulamentului (UE) 2021/954 în momentul în care țara terță respectivă generează o listă de revocare ce include certificatele acestora. Cu toate acestea, în momentul în care țara terță respectivă generează o listă cu certificatele revocate nu se poate ști dacă toți resortisanții țărilor terțe care dețin certificate revocate intră în domeniul de aplicare al unuia dintre cele două regulamente. Prin urmare, încercarea de a exclude persoanele care nu intră în domeniul de aplicare al niciunuia dintre aceste regulamente de pe listele cu certificatele revocate ale țărilor respective nu este fezabilă, iar încercarea de a face acest lucru ar conduce la imposibilitatea statelor membre de a detecta certificatele revocate deținute de resortisanții țărilor terțe care călătoresc în Uniune pentru prima dată. Cu toate acestea, chiar și certificatele revocate ale resortisanților respectivei țări terțe ar fi verificate de statele membre atunci când titularii acestora intră pe teritoriul Uniunii și, ulterior, când călătoresc pe teritoriul Uniunii. Țările terțe ale căror certificate au fost considerate echivalente în temeiul Regulamentului (UE) 2021/953 nu sunt implicate în guvernanța gateway-ului și, prin urmare, nu se califică drept operatori asociați.
(26) În plus, sistemul de certificate digitale ale UE privind COVID s-a dovedit a fi singurul sistem de certificate privind COVID-19 operațional la nivel internațional pe scară largă. Prin urmare, certificatul digital al UE privind COVID a dobândit o importanță tot mai mare la nivel mondial și contribuie la combaterea pandemiei la nivel internațional, prin facilitarea călătoriilor internaționale în condiții de siguranță și a redresării globale. În procesul de adoptare a unor acte de punere în aplicare suplimentare în temeiul articolului 8 alineatul (2) din Regulamentul (UE) 2021/953, apar noi nevoi în ceea ce privește completarea certificatului digital al UE privind COVID. În conformitate cu normele prevăzute în Decizia de punere în aplicare (UE) 2021/1073, numele de familie este un câmp obligatoriu în conținutul tehnic al certificatului. Este necesar să se modifice această cerință pentru a promova incluziunea și interoperabilitatea cu alte sisteme, având în vedere că, în unele țări terțe, există persoane fără nume de familie. În cazurile în care numele titularului certificatului nu poate fi împărțit în două părți, numele ar trebui introdus în același câmp (nume sau prenume) din certificatul digital al UE privind COVID, ca și în cazul documentului de călătorie sau de identitate al titularului. De asemenea, această modificare ar alinia mai bine conținutul tehnic al certificatelor cu specificațiile valabile în prezent privind documentele de călătorie care pot fi citite automat, publicate de Organizația Aviației Civile Internaționale.
(27) Prin urmare, Decizia de punere în aplicare (UE) 2021/1073 ar trebui modificată în consecință.
(28) Autoritatea Europeană pentru Protecția Datelor a fost consultată în conformitate cu articolul 42 alineatul (1) din Regulamentul (UE) 2018/1725 și a emis un aviz la vineri, 11 martie 2022.
(29) Pentru a acorda statelor membre și Comisiei suficient timp pentru a pune în aplicare modificările necesare care să permită schimbul de liste cu certificatele revocate prin intermediul gateway-ului pentru certificatul digital al UE privind COVID, prezenta decizie ar trebui să înceapă să se aplice la patru săptămâni de la intrarea în vigoare.
(30) Măsurile prevăzute în prezenta decizie sunt conforme cu avizul comitetului instituit în temeiul articolului 14 din Regulamentul (UE) 2021/953,