(1)

В Регламент (ЕС) 2021/953 се определя Цифровият COVID сертификат на ЕС, който служи като доказателство, че дадено лице е ваксинирано срещу COVID-19, получило е отрицателен резултат от направено изследване или се е възстановило след преболедуване, с цел притежателите на сертификата да упражняват по-лесно правото си на свободно движение по време на пандемията от COVID-19.

(2)

В Регламент (ЕС) 2021/954 на Европейския парламент и на Съвета (2) е предвидено, че държавите членки прилагат правилата, установени в Регламент (ЕС) 2021/953, по отношение на граждани на трети държави, които не са обхванати от посочения регламент, но са в законен престой или пребивават законно на тяхна територия, и които имат право да пътуват до други държави членки в съответствие с правото на Съюза.

(3)

В Препоръка (ЕС) 2022/290 на Съвета за изменение на Препоръка (ЕС) 2020/912 относно временното ограничение на неналожителните пътувания в ЕС и възможното премахване на това ограничение (3) е предвидено, че гражданите на трети държави, които желаят да предприемат неналожителни пътувания от трети държави до Съюза, следва да притежават валидно доказателство за ваксинация или преболедуване, като например Цифров COVID сертификат на ЕС или сертификат за COVID-19, издаден от трета държава и обхванат от акт за изпълнение, приет съгласно член 8, параграф 2 от Регламент (ЕС) 2021/953.

(4)

За да може Цифровият COVID сертификат на ЕС да функционира в целия Съюз, Комисията прие Решение за изпълнение (ЕС) 2021/1073 (4), с което се установиха технически спецификации и правила за попълване, сигурно издаване и проверка на цифровите COVID сертификати на ЕС, гарантиране на защитата на личните данни, определяне на общата структура на уникалния идентификатор на сертификата и издаване на валиден, сигурен и оперативно съвместим баркод.

(5)

Съгласно член 4 от Регламент (ЕС) 2021/953 Комисията и държавите членки трябваше да създадат и поддържат рамка за доверие за Цифровия COVID сертификат на ЕС. Тази рамка за доверие е способна да подпомага двустранния обмен на списъци на отменените сертификати, съдържащи уникалните идентификатори на отменените сертификати.

(6)

На 1 юли 2021 г. беше пуснат в експлоатация порталът за Цифровия COVID сертификат на ЕС („порталът“), който е централната част от рамката за доверие и който дава възможност за сигурен и надежден обмен между държавите членки на публичните ключове, издадени с цел проверка на цифровите COVID сертификати на ЕС.

(7)

Поради успешното им и широкомащабно въвеждане цифровите COVID сертификати на ЕС станаха мишена за измамници, които търсят начини за издаване на сертификати чрез измама. Следователно такива издадени чрез измама сертификати трябва да бъдат отменени. Освен това определени цифрови COVID сертификати на ЕС може да се отменят от държавите членки на национално равнище по медицински причини и по причини, свързани с общественото здраве, например поради партида поставени ваксини, за която впоследствие е установено, че е дефектна.

(8)

Макар че системата на Цифровия COVID сертификат на ЕС е в състояние веднага да открива подправени сертификати, автентичните сертификати, издадени незаконно на базата на фалшива документация, неупълномощен достъп или с измамни намерения, не могат да бъдат открити в други държави членки, освен когато между държавите членки бъдат обменени генерираните на национално равнище списъци на отменените сертификати. Същото се отнася и за сертификатите, които са отменени по медицински причини или по причини, свързани с общественото здраве. Ако приложенията на държавите членки за проверка не откриват сертификатите, отменени от други държави членки, това поражда заплаха за общественото здраве и подкопава доверието на гражданите в системата на Цифровия COVID сертификат на ЕС.

(9)

Както е отбелязано в съображение 19 от Регламент (ЕС) 2021/953, по медицински причини и по причини, свързани с общественото здраве, и в случай на сертификати, издадени или получени чрез измама, държавите членки следва да могат да изготвят и обменят с други държави членки за целите на настоящия регламент списъци на отменените сертификати в ограничени случаи, по-специално с цел отмяна на сертификати, които са били издадени по погрешка, в резултат на измама или след спиране на партида ваксини срещу COVID-19, за която е установено, че е дефектна. Държавите членки не следва да могат да отменят сертификати, издадени от други държави членки. Обменените списъци на отменените сертификати следва да не съдържат лични данни, освен уникалните идентификатори на сертификата. По-специално те не следва да включват причината, поради която сертификатът е отменен.

(10)

В допълнение към общата информация относно възможността за отмяна на сертификати и възможните причини за това, отговорният издаващ орган следва своевременно да информира притежателите на отменени сертификати за отмяната на техните сертификати и причините за това. Понякога и по-специално в случая на издадените на хартия цифрови COVID сертификати на ЕС обаче проследяването и информирането на притежателя за отмяната може да се окаже невъзможно или да налага непропорционално усилие. Държавите членки не следва да събират допълнителни лични данни, които не са необходими за процеса на издаване, само за да могат да информират притежателите на сертификати в случай на отмяна на техните сертификати.

(11)

Следователно е необходимо рамката за доверие за Цифровия COVID сертификат на ЕС да се насърчи чрез подпомагане на двустранния обмен на списъци на отменените сертификати между държавите членки.

(12)

Настоящото решение не обхваща временното спиране на действието на сертификати за национални случаи на използване извън обхвата на Регламента относно Цифровия COVID сертификат на ЕС, например понеже притежателят на сертификат за ваксинация е дал положителен резултат от изследване за SARS-CoV-2. То не накърнява установените процедури за проверка на бизнес правилата относно валидността на сертификатите.

(13)

Макар че от техническа гледна точка са възможни различни архитектури за обмен на списъци на отменените сертификати, обменът им посредством портала е най-подходящ, тъй като с него се ограничава обменът на данни до вече въведената рамка за доверие и се свежда до минимум броят както на възможните слаби звена, така и на обмена между държавите членки в сравнение с алтернативна децентрализирана система.

(14)

Съответно порталът за Цифровия COVID сертификат на ЕС следва да се подсили, за да поддържа сигурния обмен на отменените цифрови COVID сертификати на ЕС за целите на сигурната им проверка чрез портала. В тази връзка следва да се приложат подходящи мерки за сигурност с цел защита на личните данни, обработвани в портала. За да се гарантира високо ниво на защита, държавите членки следва да псевдонимизират данните от сертификата посредством необратим хеш (hash), който се включва в списъците на отменените сертификати. В действителност уникалният идентификатор следва да се счита за псевдонимизирани данни за операциите по обработване, извършвани в рамките на портала.

(15)

Освен това следва да се определят разпоредби относно ролята на държавите членки и на Комисията по отношение на обмена на списъците на отменените сертификати.

(16)

Обработването на личните данни на притежателите на сертификати, което се извършва под отговорността на държавите членки или на други публични организации или официални органи в държавите членки, следва да се извършва в съответствие с Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (5). Обработката на личните данни, за която носи отговорност Комисията, за целите на управлението и гарантирането на сигурността на портала за Цифровия COVID сертификат на ЕС, следва да се извършва в съответствие с Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета (6).

(17)

Държавите членки, представлявани от определените национални или официални органи, заедно определят целта и средствата за обработване на лични данни посредством портала за Цифровия COVID сертификат на ЕС и поради това изпълняват ролята на съвместни администратори. В член 26 от Регламент (ЕС) 2016/679 относно защитата на данните се предвижда задължение за съвместните администратори на операции по обработване на лични данни да определят по прозрачен начин съответните си отговорности за изпълнение на задълженията по посочения регламент. Там също се предвижда и възможността тези отговорности да са определени от правото на Съюза или правото на държава членка, което се прилага спрямо администраторите. Разпоредбата по член 26 следва да бъде включена в приложение III към настоящото решение.

(18)

В Регламент (ЕС) 2021/953 на Комисията е възложена задача да подкрепя този обмен. Най-подходящият начин за изпълнение на този мандат е да се съпоставят подадените списъци на отменените сертификати от името на държавите членки. Следователно на Комисията следва да се възложи роля на обработващ лични данни, за да подпомага този обмен, като улеснява обмена на списъците чрез портала за Цифровия COVID сертификат на ЕС от името на държавите членки.

(19)

Комисията, като доставчик на технически и организационни решения за портала за Цифровия COVID сертификат на ЕС, обработва личните данни в списъците на отменените сертификати в портала от името на държавите членки като съвместни администратори на данни. Следователно тя изпълнява ролята на обработващ данни за тях. По силата на член 28 от Регламент (ЕС) 2016/679 и член 29 от Регламент (ЕС) 2018/1725 обработването от страна на обработващия лични данни се урежда с договор или с правен акт съгласно правото на Съюза или правото на държава членка, който е задължителен за обработващия лични данни спрямо администратора и в който се уточнява начинът на обработване. Следователно е необходимо да се определят правилата за обработка от Комисията в качеството ѝ на обработващ лични данни.

(20)

Поддържащата задача на Комисията не включва създаването на централна база данни, както е посочено в съображение 52 от Регламент (ЕС) 2021/953. Тази забрана има за цел да се избегне централно хранилище на всички издадени цифрови COVID сертификати на ЕС и не изключва обмена между държавите членки на списъци на отменени сертификати, което е изрично предвидено в член 4, параграф 2 от Регламент (ЕС) 2021/953.

(21)

При обработването на лични данни в портала за Цифровия COVID сертификат на ЕС Комисията е обвързана от Решение (ЕС, Евратом) 2017/46 на Комисията (7).

(22)

Съгласно член 3, параграф 10 от Регламент (ЕС) 2021/953 Комисията може да приема актове за изпълнение, с които да установява, че сертификати за COVID-19, издадени в трета държава, с която Съюзът и държавите членки са сключили споразумение за свободно движение на хора, което позволява на договарящите се страни да ограничават по недискриминационен начин това свободно движение на основания, свързани с общественото здраве, и което не съдържа механизъм за включване на правни актове на Съюза, са равностойни на сертификатите, издавани в съответствие с посочения регламент. Въз основа на това на 8 юли 2021 г. Комисията прие Решение за изпълнение (ЕС) 2021/1126 (8) за установяване на еквивалентност на сертификатите за COVID-19, издадени от Швейцария.

(23)

Съгласно член 8, параграф 2 от Регламент (ЕС) 2021/953 Комисията може да приеме акт за изпълнение, с който да установи, че сертификати за COVID-19, издадени от трета държава в съответствие със стандарти и технологични системи, които са оперативно съвместими с рамката за доверие за Цифровия COVID сертификат на ЕС и дават възможност да бъде проверена автентичността, валидността и целостта на сертификата, и които сертификати съдържат данните, посочени в приложението към регламента, трябва да се считат за равностойни на цифровите COVID сертификати на ЕС с цел да се улесни упражняването от притежателите на такива сертификати на правото им на свободно движение в Съюза. Както е отбелязано в съображение 28 от Регламент (ЕС) 2021/953, член 8, параграф 2 от посочения регламент се отнася до приемането на сертификатите, издадени от трети държави на граждани на Съюза и членовете на техните семейства. Комисията вече прие няколко такива актове за изпълнение.

(24)

За да се избегнат пропуските при откриването на отменени сертификати, обхванати от такива актове за изпълнение, следва да е възможно трети държави, чиито сертификати за COVID-19 са счетени за равностойни съгласно член 3, параграф 10 и член 8, параграф 2 от Регламент (ЕС) 2021/953, да подават съответните списъци на отменени сертификати в портала за Цифровия COVID сертификат на ЕС.

(25)

Някои граждани на трети държави, които притежават отменени сертификати за COVID-19, издадени от трета държава, чиито сертификати за COVID-19 са счетени за равностойни съгласно Регламент (ЕС) 2021/953, могат да попаднат извън обхвата на посочения регламент или на Регламент (ЕС) 2021/954 в момента, в който съответната трета държава генерира списък на отменени сертификати, включващ техните сертификати. Дали обаче всички граждани на трети държави, които притежават отменени сертификати, попадат в обхвата на който и да е от двата регламента, не може да бъде известно към момента, в който съответната трета държава генерира списък на отменени сертификати. Следователно не е възможно да се цели изключването на лица, които не попадат в обхвата на нито един от двата регламента, когато се генерират списъците на отменени сертификати на тези държави и опитът за това би довел до невъзможност за държавите членки да откриват отменените сертификати, притежавани от граждани на трети държави, които пътуват до Съюза за първи път. Въпреки това дори отменените сертификати на тези граждани на трети държави ще бъдат проверявани от държавите членки, когато техните притежатели пътуват до Съюза и впоследствие, когато пътуват в рамките на Съюза. Третите държави, чиито сертификати са счетени за равностойни съгласно Регламент (ЕС) 2021/953, не участват в управлението на портала и следователно не се определят като съвместни администратори.

(26)

Освен това системата на Цифровия COVID сертификат на ЕС се доказа като единствената система за сертификати за COVID-19, която се използва в широк мащаб на международно равнище. В резултат на това Цифровият COVID сертификат на ЕС придобива все по-голямо значение в световен мащаб и допринася за справяне с пандемията на международно равнище чрез улесняване на безопасното международно пътуване и възстановяването в глобален мащаб. В процеса на приемане на допълнителни актове за изпълнение съгласно член 8, параграф 2 от Регламент (ЕС) 2021/953 възникнаха нови нужди във връзка с попълването на Цифровия COVID сертификат на ЕС. Съгласно правилата, определени в Решение за изпълнение (ЕС) 2021/1073, фамилното име е задължително поле в техническото съдържание на сертификата. Необходимо е това изискване да се измени, за да се насърчи приобщаването и оперативната съвместимост с други системи, като се има предвид, че в някои трети държави има лица без фамилни имена. В случаите, в които името на притежателя на сертификата не може да се раздели на две части, името следва да се постави в същото поле (фамилно или собствено име) на Цифровия COVID сертификат на ЕС, както е в документа за пътуване или в документа за самоличност на притежателя. Тази промяна също така би спомогнала да се приведе по-добре техническото съдържание на сертификатите в съответствие с валидните понастоящем спецификации относно машинночетимите документи за пътуване, публикувани от Международната организация за гражданско въздухоплаване.

(27)

Поради това Решение за изпълнение (ЕС) 2021/1073 следва да бъде съответно изменено.

(28)

Беше проведена консултация с Европейския надзорен орган по защита на данните в съответствие с член 42, параграф 1 от Регламент (ЕС) 2018/1725, който даде становище на 11 март 2022 г.

(29)

С цел да се осигури на държавите членки и на Комисията достатъчно време, за да въведат промените, необходими за обмена на списъците на отменените сертификати чрез портала за Цифровия COVID сертификат на ЕС, настоящото решение следва да започне да се прилага четири седмици след влизането му в сила.

(30)

Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, създаден съгласно член 14 от Регламент (ЕС) 2021/953,

1)

вмъкват се следните членове 5а, 5б и 5в:

2)

приложение I се изменя в съответствие с приложение I към настоящото решение;

3)

приложение V се изменя в съответствие с приложение II към настоящото решение;

4)

текстът в приложение III към настоящото решение се добавя като приложение VI;

5)

Текстът в приложение IV към настоящото решение се добавя като приложение VII.