(1)

W rozporządzeniu (UE) 2021/953 ustanowiono unijne cyfrowe zaświadczenia COVID - które stanowią dowód na to, że dana osoba otrzymała szczepionkę przeciwko COVID-19, uzyskała ujemny wynik testu lub powróciła do zdrowia po zakażeniu - w celu ułatwienia ich posiadaczom korzystania z prawa do swobodnego przemieszczania się w czasie pandemii COVID-19.

(2)

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2021/954 (2) stanowi, że państwa członkowskie mają stosować przepisy określone w rozporządzeniu (UE) 2021/953 do obywateli państw trzecich, którzy nie są objęci zakresem stosowania tego rozporządzenia, ale którzy legalnie przebywają lub zamieszkują na ich terytorium i są uprawnieni do podróżowania do innych państw członkowskich zgodnie z prawem Unii.

(3)

Zalecenie Rady (UE) 2022/290 zmieniające zalecenie (UE) 2020/912 w sprawie tymczasowego ograniczenia innych niż niezbędne podróży do UE oraz ewentualnego zniesienia takiego ograniczenia (3) stanowi, że obywatele państw trzecich, którzy chcą odbyć inne niż niezbędne podróże z państw trzecich do Unii, powinni posiadać ważny dowód szczepienia lub powrotu do zdrowia, taki jak unijne cyfrowe zaświadczenie COVID lub zaświadczenie COVID-19 wydane przez państwo trzecie objęte aktem wykonawczym przyjętym na podstawie art. 8 ust. 2 rozporządzenia (UE) 2021/953.

(4)

Aby unijne cyfrowe zaświadczenie COVID mogło funkcjonować w całej Unii, Komisja przyjęła decyzję wykonawczą (UE) 2021/1073 (4), w której określono specyfikację techniczną i zasady na potrzeby wypełniania, bezpiecznego wydawania i weryfikacji unijnych cyfrowych zaświadczeń COVID, zapewnienia ochrony danych osobowych, określenia wspólnej struktury niepowtarzalnego identyfikatora zaświadczenia oraz wydawania ważnego, bezpiecznego i interoperacyjnego kodu kreskowego.

(5)

Zgodnie z art. 4 rozporządzenia (UE) 2021/953 Komisja i państwa członkowskie miały ustanowić i utrzymać ramy zaufania dla unijnego cyfrowego zaświadczenia COVID. Ramy zaufania mogą wspierać dwustronną wymianę list unieważnionych certyfikatów, które to listy zawierają niepowtarzalne identyfikatory unieważnionych zaświadczeń.

(6)

1 lipca 2021 r. uruchomiono bramę sieciową unijnych cyfrowych zaświadczeń COVID ("brama sieciowa"), która jest centralnym elementem ram zaufania i umożliwia bezpieczną i godną zaufania wymianę między państwami członkowskimi kluczy publicznych wykorzystywanych do weryfikacji unijnych cyfrowych zaświadczeń COVID.

(7)

Ze względu na ich pomyślne wdrożenie na dużą skalę unijne cyfrowe zaświadczenia COVID stały się celem oszustów, którzy starają się znaleźć sposoby wydawania fałszywych zaświadczeń. Te fałszywe zaświadczenia muszą zatem zostać unieważnione. Ponadto państwa członkowskie na szczeblu krajowym mogą unieważniać niektóre unijne cyfrowe zaświadczenia COVID ze względów medycznych i związanych ze zdrowiem publicznym, na przykład dlatego, że partię podanych szczepionek uznano później za wadliwą.

(8)

Chociaż system unijnych cyfrowych zaświadczeń COVID jest w stanie natychmiast ujawnić przerobione zaświadczenia, nie można wykryć w innych państwach członkowskich autentycznych zaświadczeń, które zostały wydane niezgodnie z prawem na podstawie fałszywych dokumentów, nieuprawnionego dostępu lub z zamiarem oszustwa, chyba że państwa członkowskie wymienią się listami unieważnionych certyfikatów sporządzonymi na szczeblu krajowym. To samo dotyczy zaświadczeń, które unieważniono ze względów medycznych i związanych ze zdrowiem publicznym. Niewykrycie przez państwa członkowskie wniosków o weryfikację zaświadczeń unieważnionych przez inne państwa członkowskie stanowi zagrożenie dla zdrowia publicznego i podważa zaufanie obywateli do systemu unijnych cyfrowych zaświadczeń COVID.

(9)

Jak zauważono w motywie 19 rozporządzenia (UE) 2021/953, ze względów medycznych oraz z powodów związanych ze zdrowiem publicznym jak również w przypadku zaświadczeń wydanych lub uzyskanych w sposób oszukańczy, państwa członkowskie powinny mieć możliwość - w ograniczonych przypadkach - ustanowienia list unieważnionych certyfikatów i ich wymiany z innymi państwami członkowskimi do celów tego rozporządzenia, w szczególności w odniesieniu do zaświadczeń, które zostały wydane w sposób błędny, w wyniku oszustwa lub w następstwie zawieszenia partii szczepionki przeciwko COVID-19 uznanej za wadliwą. Państwa członkowskie nie powinny mieć możliwości unieważnienia zaświadczeń wydawanych przez inne państwa członkowskie. Wymieniane listy unieważnionych certyfikatów nie powinny zawierać żadnych danych osobowych innych niż niepowtarzalne identyfikatory zaświadczeń. W szczególności nie powinny one zawierać powodu, dla którego unieważniono zaświadczenie.

(10)

Oprócz ogólnych informacji na temat możliwości unieważnienia zaświadczeń i możliwych powodów takiego unieważnienia, odpowiedzialny organ wydający zaświadczenia powinien niezwłocznie poinformować posiadaczy unieważnionych zaświadczeń o unieważnieniu i jego powodach. Jednak w niektórych przypadkach, w szczególności w przypadku unijnych cyfrowych zaświadczeń COVID wydanych w formie papierowej, zidentyfikowanie i poinformowanie posiadacza o unieważnieniu zaświadczenia może okazać się niemożliwe lub może wymagać niewspółmiernie dużego wysiłku. Państwa członkowskie nie powinny gromadzić dodatkowych danych osobowych - niepotrzebnych w procesie wydawania - wyłącznie w celu poinformowania posiadaczy w przypadku unieważnienia ich zaświadczeń.

(11)

Konieczne jest zatem wzmocnienie ram zaufania unijnych cyfrowych zaświadczeń COVID poprzez wspieranie dwustronnej wymiany list unieważnionych certyfikatów między państwami członkowskimi.

(12)

Niniejsza decyzja nie obejmuje tymczasowego zawieszenia zaświadczeń w przypadkach zastosowań krajowych nieobjętych zakresem rozporządzenia w sprawie unijnego cyfrowego zaświadczenia COVID, na przykład ze względu na to, że posiadacz zaświadczenia o szczepieniu uzyskał wynik dodatni testu na SARS-CoV-2. Pozostaje to bez uszczerbku dla ustalonych procedur kontroli zasad działania w zakresie ważności zaświadczeń.

(13)

Chociaż z technicznego punktu widzenia możliwe są różne architektury wymiany list unieważnionych certyfikatów, wymiana za pośrednictwem bramy sieciowej jest najbardziej odpowiednia, ponieważ ogranicza wymianę danych do już ustanowionych ram zaufania i minimalizuje zarówno liczbę możliwych punktów awarii, jak i wymiany między państwami członkowskimi w porównaniu z alternatywnym systemem peer-to-peer.

(14)

W związku z tym należy wzmocnić bramę sieciową unijnych cyfrowych zaświadczeń COVID, aby wspierać bezpieczną wymianę unieważnionych unijnych cyfrowych zaświadczeń COVID do celów ich bezpiecznej weryfikacji za pośrednictwem bramy sieciowej. W tym względzie należy wdrożyć odpowiednie środki bezpieczeństwa w celu ochrony danych osobowych przetwarzanych w bramie sieciowej. Aby zapewnić wysoki poziom ochrony, państwa członkowskie powinny pseudonimizować atrybuty zaświadczenia za pomocą nieodwracalnego skrótu (ang. hash) umieszczanego na listach unieważnionych certyfikatów. W rzeczywistości niepowtarzalny identyfikator należy uznać za dane pseudonimiczne na potrzeby operacji przetwarzania przeprowadzanych w bramie.

(15)

Dodatkowo należy ustanowić przepisy dotyczące roli państw członkowskich i Komisji w odniesieniu do wymiany list unieważnionych certyfikatów.

(16)

Przetwarzanie danych osobowych posiadaczy zaświadczeń, za które odpowiadają państwa członkowskie, inne organizacje publiczne lub organy urzędowe w państwach członkowskich, powinno odbywać się zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (5). Przetwarzanie danych osobowych, za które odpowiada Komisja, w celu zarządzania bramą sieciową unijnego cyfrowego zaświadczenia COVID oraz zapewnienia jej bezpieczeństwa powinno przebiegać zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2018/1725 (6).

(17)

Państwa członkowskie, reprezentowane przez wyznaczone organy krajowe lub organy urzędowe, wspólnie wyznaczają cel i określają sposoby przetwarzania danych osobowych za pośrednictwem bramy sieciowej unijnego cyfrowego zaświadczenia COVID, a zatem są współadministratorami. W art. 26 rozporządzenia (UE) 2016/679 na współadministratorów prowadzących operacje przetwarzania danych osobowych nałożono wymóg określenia w przejrzysty sposób odpowiednich zakresów ich odpowiedzialności dotyczącej wypełniania obowiązków wynikających z tego rozporządzenia. W artykule tym przewidziano również, że spoczywające na współadministratorach obowiązki i ich zakres mogą być określone przez prawo Unii lub prawo państwa członkowskiego, któremu administratorzy ci podlegają. Uzgodnienie, o którym mowa w art. 26, należy włączyć do załącznika III do niniejszej decyzji.

(18)

Rozporządzenie (UE) 2021/953 powierza Komisji zadanie wspierania takiej wymiany. Najwłaściwszym sposobem wypełnienia tego zadania jest zestawienie przedłożonych list unieważnionych certyfikatów w imieniu państw członkowskich. W związku z tym Komisji należy powierzyć rolę podmiotu przetwarzającego dane, aby w imieniu państw członkowskich wspierać tę wymianę przez ułatwianie wymiany list za pośrednictwem bramy sieciowej unijnych cyfrowych zaświadczeń COVID.

(19)

Komisja, jako dostawca rozwiązań technicznych i organizacyjnych na potrzeby bramy sieciowej unijnych cyfrowych zaświadczeń COVID, przetwarza dane osobowe na listach unieważnionych certyfikatów w bramie sieciowej w imieniu państw członkowskich jako współadministratorów. W związku z tym Komisja pełni rolę podmiotu przetwarzającego dane. Zgodnie z art. 28 rozporządzenia (UE) 2016/679 i art. 29 rozporządzenia (UE) 2018/1725 przetwarzanie przez podmiot przetwarzający powinno odbywać się na podstawie umowy lub instrumentu prawnego, które podlegają prawu Unii lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora oraz określają przetwarzanie danych. Należy zatem ustanowić zasady przetwarzania danych przez Komisję w roli podmiotu przetwarzającego dane.

(20)

Zadanie Komisji polegające na wsparciu nie obejmuje ustanowienia centralnej bazy danych, o której mowa w motywie 52 rozporządzenia (UE) 2021/953. Zakaz ten ma na celu uniknięcie tworzenia centralnego repozytorium wszystkich wydanych unijnych cyfrowych zaświadczeń COVID i nie uniemożliwia państwom członkowskim wymiany list unieważnionych certyfikatów, co wyraźnie przewidziano w art. 4 ust. 2 rozporządzenia (UE) 2021/953.

(21)

Podczas przetwarzania danych osobowych w ramach bramy sieciowej unijnego cyfrowego zaświadczenia COVID Komisję obowiązuje decyzja Komisji (UE, Euratom) 2017/46 (7).

(22)

Art. 3 ust. 10 rozporządzenia (UE) 2021/953 umożliwia Komisji przyjmowanie aktów wykonawczych przewidujących, że zaświadczenia COVID-19 wydane przez państwo trzecie, z którym Unia i państwa członkowskie zawarły umowę w sprawie swobodnego przemieszczania się osób umożliwiającą umawiającym się stronom ograniczenie takiego swobodnego przemieszczania się ze względu na zdrowie publiczne w sposób niedyskryminujący i niezawierającą mechanizmu włączania aktów prawnych Unii, są równoważne zaświadczeniom wydawanym zgodnie z niniejszym rozporządzeniem. Na tej podstawie w dniu 8 lipca 2021 r. Komisja przyjęła decyzję wykonawczą (UE) 2021/1126 (8) ustanawiającą równoważność zaświadczeń COVID-19 wydawanych przez Szwajcarię.

(23)

Art. 8 ust. 2 rozporządzenia (UE) 2021/953 umożliwia Komisji przyjmowanie aktów wykonawczych przewidujących, że zaświadczenia COVID-19 wydawane przez państwa trzecie zgodnie z normami i systemami technologicznymi, które są interoperacyjne z ramami zaufania unijnego cyfrowego zaświadczenia COVID i umożliwiają weryfikację autentyczności, ważności i integralności zaświadczenia, a także zawierają dane określone w załączniku do rozporządzenia, mają być uznawane za równoważne unijnym cyfrowym zaświadczeniom COVID w celu ułatwienia posiadaczom korzystania z prawa do swobodnego przemieszczania się w obrębie Unii. Jak zauważono w motywie 28 rozporządzenia (UE) 2021/953, art. 8 ust. 2 tego rozporządzenia dotyczy uznawania zaświadczeń wydawanych przez państwa trzecie obywatelom Unii i członkom ich rodzin. Komisja przyjęła już kilka takich aktów wykonawczych.

(24)

Aby uniknąć luk w wykrywaniu unieważnionych zaświadczeń objętych takimi aktami wykonawczymi, państwa trzecie, których zaświadczenia COVID-19 uznano za równoważne zgodnie z art. 3 ust. 10 i art. 8 ust. 2 rozporządzenia (UE) 2021/953, powinny mieć również możliwość przedkładania odpowiednich list unieważnionych certyfikatów w bramie sieciowej unijnego cyfrowego zaświadczenia COVID.

(25)

Niektórzy obywatele państw trzecich, którzy posiadają unieważnione zaświadczenia COVID-19 wydane przez państwo trzecie, których zaświadczenia COVID-19 uznano za równoważne zgodnie z rozporządzeniem (UE) 2021/953, mogą nie być objęci zakresem tego rozporządzenia lub rozporządzenia (UE) 2021/954 w chwili wygenerowania przez dane państwo trzecie listy unieważnionych certyfikatów zawierającej ich zaświadczenia. W momencie wygenerowania listy unieważnionych certyfikatów przez przedmiotowe państwo trzecie nie można jednak wiedzieć, czy wszyscy obywatele państwa trzeciego posiadający unieważnione zaświadczenia są objęci zakresem stosowania któregokolwiek z rozporządzeń. Dążenie do wykluczenia osób nieobjętych zakresem stosowania któregokolwiek z tych rozporządzeń w momencie generowania list unieważnionych certyfikatów tych państw nie jest zatem wykonalne, a próba taka skutkowałaby tym, że państwa członkowskie nie byłyby w stanie wykryć unieważnionych zaświadczeń będących w posiadaniu obywateli państw trzecich podróżujących do Unii po raz pierwszy. Jednak nawet unieważnione zaświadczenia wydane tym obywatelom państw trzecich byłyby weryfikowane przez państwa członkowskie, gdy ich posiadacze podróżują do Unii, a następnie gdy podróżują po terytorium Unii. Państwa trzecie, których zaświadczenia uznano za równoważne zgodnie z rozporządzeniem (UE) 2021/953, nie uczestniczą w zarządzaniu bramą sieciową, a zatem nie są uznawane za współadministratorów.

(26)

Ponadto unijne cyfrowe zaświadczenie COVID okazało się jedynym funkcjonującym na szeroką skalę i na szczeblu międzynarodowym systemem zaświadczeń COVID-19. W rezultacie unijne cyfrowe zaświadczenie COVID stało się narzędziem o rosnącym znaczeniu globalnym i przyczynia się do walki z pandemią na szczeblu międzynarodowym, bowiem ułatwia bezpieczne podróże międzynarodowe i odbudowę światowej gospodarki. W procesie przyjmowania dodatkowych aktów wykonawczych na podstawie art. 8 ust. 2 rozporządzenia (UE) 2021/953 pojawiają się nowe potrzeby dotyczące wypełniania unijnego cyfrowego zaświadczenia COVID. Zgodnie z zasadami określonymi w decyzji wykonawczej (UE) 2021/1073 pole nazwiska jest obowiązkowe w treści technicznej zaświadczenia. Konieczna jest zmiana tego wymogu w celu promowania włączenia i interoperacyjności z innymi systemami, zważywszy że w niektórych państwach trzecich istnieją osoby bez nazwiska. W przypadku gdy imię posiadacza zaświadczenia nie może zostać podzielone na dwie części, należy je umieścić w tym samym polu (nazwiska albo imienia) unijnego cyfrowego zaświadczenia COVID, jak miałoby to miejsce w przypadku dokumentu podróży lub dokumentu tożsamości posiadacza zaświadczenia. Zmiana ta pozwoliłaby również lepiej dostosować treść techniczną zaświadczeń do obecnie obowiązujących specyfikacji dotyczących dokumentów podróży nadających się do odczytu maszynowego, publikowanych przez Organizację Międzynarodowego Lotnictwa Cywilnego.

(27)

Należy zatem odpowiednio zmienić decyzję wykonawczą (UE) 2021/1073.

(28)

Zgodnie z art. 42 ust. 1 rozporządzenia (UE) 2018/1725 skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię dnia 11 marca 2022 r.

(29)

Aby dać państwom członkowskim i Komisji wystarczająco dużo czasu na wdrożenie zmian niezbędnych do umożliwienia wymiany list unieważnionych certyfikatów za pośrednictwem bramy sieciowej unijnych cyfrowych zaświadczeń COVID, niniejsza decyzja powinna zacząć obowiązywać cztery tygodnie po jej wejściu w życie.

(30)

Środki przewidziane w niniejszej decyzji są zgodne z opinią komitetu powołanego na mocy art. 14 rozporządzenia (UE) 2021/953,