(1)

I forordning (EU) 2021/953 fastsættes EU's digitale covidcertifikat, der dokumenterer, at en person har modtaget en covid-19-vaccine, har et negativt testresultat eller er kommet sig over sygdommen, med det formål at lette indehaverens mulighed for at udøve sin ret til fri bevægelighed under covid-19-pandemien.

(2)

I henhold til Europa-Parlamentets og Rådets forordning (EU) 2021/954 (2) skal medlemsstaterne anvende de regler, der er fastsat i forordning (EU) 2021/953, på tredjelandsstatsborgere, der ikke er omfattet af nævnte forordnings anvendelsesområde, men som lovligt opholder sig eller har bopæl på deres område, og som har ret til at rejse til andre medlemsstater i overensstemmelse med EU-retten.

(3)

I Rådets henstilling (EU) 2022/290 om ændring af Rådets henstilling (EU) 2020/912 om de midlertidige restriktioner for ikkevæsentlige rejser til EU og eventuel ophævelse af disse restriktioner (3) fastsættes det, at tredjelandsstatsborgere, der ønsker at foretage ikkevæsentlige rejser fra et tredjeland til Unionen, bør være i besiddelse af gyldigt bevis for vaccination eller restitution, såsom EU's digitale covidcertifikat eller covid-19-certifikater udstedt af tredjelande, der er omfattet af en gennemførelsesretsakt vedtaget i henhold til artikel 8, stk. 2, i forordning (EU) 2021/953.

(4)

For at EU's digitale covidcertifikat kan blive operationelt i hele Unionen, har Kommissionen vedtaget gennemførelsesafgørelse (EU) 2021/1073 (4) for at fastsætte de tekniske specifikationer og regler for udfyldelse, sikker udstedelse og kontrol af de digitale covidcertifikater, sikring af beskyttelsen af personoplysninger samt fastsættelsen af den fælles struktur for den unikke certifikatidentifikator og udstedelsen af en gyldig, sikker og interoperabel stregkode.

(5)

Kommissionen og medlemsstaterne skulle i henhold til artikel 4 i forordning (EU) 2021/953 oprette og vedligeholde en tillidsramme for EU's digitale covidcertifikat. Denne tillidsramme kan endvidere støtte bilateral udveksling af lister over tilbagekaldte certifikater, der indeholder de unikke certifikatidentifikatorer for tilbagekaldte certifikater.

(6)

Den 1. juli 2021 blev portalen for EU's digitale covidcertifikat (»portalen«), som er den centrale del af tillidsrammen og giver mulighed for sikker og pålidelig udveksling mellem medlemsstaterne af de offentlige nøgler, der anvendes til kontrol af EU's digitale covidcertifikater, taget i brug.

(7)

Som følge af den vellykkede og omfattende udrulning af EU's digitale covidcertifikater er certifikaterne blevet et mål for svindlere, der forsøger at finde metoder til at udstede svigagtige certifikater. Disse svigagtige certifikater skal derfor tilbagekaldes. Desuden kan visse af EU's digitale covidcertifikater tilbagekaldes af medlemsstaterne på nationalt plan af medicinske og folkesundhedsmæssige årsager, f.eks. hvis det senere konstateres, at et parti allerede givne vacciner var defekt.

(8)

Selv om systemet med EU's digitale covidcertifikater er i stand til straks at afsløre forfalskede certifikater, kan ægte certifikater, der er ulovligt udstedt på grundlag af falsk dokumentation, uautoriseret adgang eller med svigagtig hensigt, ikke opdages i andre medlemsstater, medmindre listerne over tilbagekaldte certifikater, der genereres på nationalt plan, udveksles mellem medlemsstaterne. Det samme gælder for certifikater, der er blevet tilbagekaldt af medicinske og folkesundhedsmæssige årsager. Hvis medlemsstaternes kontrolapplikationer ikke opdager certifikater, der er tilbagekaldt af andre medlemsstater, udgør det en trussel mod folkesundheden og underminerer borgernes tillid til systemet med EU's digitale covidcertifikater.

(9)

Som anført i betragtning 19 i forordning (EU) 2021/953 bør medlemsstaterne af medicinske og folkesundhedsmæssige årsager og i tilfælde af certifikater, som er uretmæssigt udstedt eller opnået, med henblik på den nævnte forordning være i stand til at oprette og udveksle lister over tilbagekaldte certifikater med andre medlemsstater i begrænsede tilfælde, navnlig i forbindelse med certifikater, der er udstedt fejlagtigt, som følge af svig eller efter suspension af et covid-19-vaccineparti, der har vist sig at være defekt. Medlemsstaterne bør ikke kunne tilbagekalde certifikater, der er udstedt af andre medlemsstater. De udvekslede lister over tilbagekaldte certifikater bør ikke indeholde andre personoplysninger end de unikke certifikatidentifikatorer. De bør navnlig ikke indeholde en begrundelse for, hvorfor et certifikat er blevet tilbagekaldt.

(10)

Ud over de generelle oplysninger om muligheden for tilbagekaldelse af certifikater og de mulige årsager hertil bør indehavere af tilbagekaldte certifikater straks underrettes af den ansvarlige udstedelsesmyndighed om tilbagekaldelsen af deres certifikater og begrundelsen for tilbagekaldelsen. Det kan imidlertid i visse tilfælde, og navnlig for så vidt angår de af EU's digitale covidcertifikater, der udstedes på papir, være umuligt eller indebære en uforholdsmæssig stor indsats at spore og underrette indehaveren om tilbagekaldelsen. Medlemsstaterne bør ikke indsamle yderligere personoplysninger, der ikke er nødvendige for udstedelsesprocessen, blot for at kunne underrette certifikatindehavere, hvis deres certifikater tilbagekaldes.

(11)

Det er derfor nødvendigt at styrke tillidsrammen for EU's digitale covidcertifikat ved at støtte den bilaterale udveksling af lister over tilbagekaldte certifikater mellem medlemsstaterne.

(12)

Denne afgørelse omfatter ikke midlertidig suspension af certifikater til nationale anvendelsestilfælde uden for anvendelsesområdet for forordningen om EU's digitale covidcertifikat, f.eks. hvis indehaveren af et vaccinationscertifikat er testet positiv for sars-CoV-2. Det berører ikke de fastlagte procedurer for kontrol af de forretningsregler, der gælder for certifikaters gyldighed.

(13)

Selv om det ud fra et teknisk synspunkt er muligt at anvende forskellige arkitekturer til udveksling af lister over tilbagekaldte certifikater, er det mest hensigtsmæssigt at udveksle dem via portalen, da dataudvekslingen dermed er begrænset til den tillidsramme, der allerede er etableret, og da det minimerer antallet både af mulige fejlpunkter og af udvekslinger mellem medlemsstaterne sammenlignet med et alternativt peer-to-peer-system.

(14)

Portalen for EU's digitale covidcertifikat bør derfor styrkes for at støtte sikker udveksling af tilbagekaldte digitale covidcertifikater og sikker kontrol af dem via portalen. I den forbindelse bør der gennemføres passende sikkerhedsforanstaltninger til beskyttelse af de personoplysninger, der behandles i portalen. For at sikre et højt beskyttelsesniveau bør medlemsstaterne pseudonymisere certifikaternes attributter ved hjælp af en irreversibel hash, der skal medtages i listerne over tilbagekaldte certifikater. Den unikke identifikator bør betragtes som pseudonymiserede oplysninger for de behandlingsaktiviteter, der udføres inden for rammerne af portalen.

(15)

Desuden bør der fastsættes bestemmelser om medlemsstaternes og Kommissionens rolle med hensyn til udveksling af lister over tilbagekaldte certifikater.

(16)

Behandlingen af certifikatindehaveres personoplysninger, som foretages under ansvar af medlemsstaterne eller andre offentlige organisationer eller officielle organer i medlemsstaterne, bør foretages i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) 2016/679 (5). Behandling af personoplysninger under Kommissionens ansvar med henblik på forvaltning og sikring af sikkerheden i portalen for EU's digitale covidcertifikat bør ske i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (6).

(17)

Medlemsstaterne, der er repræsenteret ved de udpegede nationale myndigheder eller officielle organer, fastlægger i fællesskab formålet med og midlerne til behandling af personoplysninger via portalen for EU's digitale covidcertifikat og er derfor fælles dataansvarlige. Ved artikel 26 i forordning (EU) 2016/679 pålægges de fælles dataansvarlige for behandling af personoplysninger en forpligtelse til på en gennemsigtig måde at fastlægge deres respektive ansvar for overholdelse af forpligtelserne i henhold til samme forordning. Ved nævnte artikel fastsættes også muligheden for, at disse ansvar kan fastlægges i EU-retten eller medlemsstaternes nationale ret, som de dataansvarlige er underlagt. Den ordning, der er omhandlet i artikel 26, bør opføres i bilag III til denne afgørelse.

(18)

I henhold til forordning (EU) 2021/953 har Kommissionen til opgave at støtte sådanne udvekslinger. Den mest hensigtsmæssige måde at opfylde dette mandat på er at samle de indsendte lister over tilbagekaldte certifikater på medlemsstaternes vegne. Kommissionen bør derfor tildeles en rolle som databehandler og dermed støtte disse udvekslinger ved at lette udvekslingen af lister via portalen for EU's digitale covidcertifikat på medlemsstaternes vegne.

(19)

Som udbyder af tekniske og organisatoriske løsninger til portalen for EU's digitale covidcertifikat behandler Kommissionen personoplysningerne i listerne over tilbagekaldte certifikater i portalen på vegne af medlemsstaterne som fælles dataansvarlige. Den fungerer derfor som databehandler for dem. I henhold til artikel 28 i forordning (EU) 2016/679 og artikel 29 i forordning (EU) 2018/1725 skal en databehandlers behandling være reguleret af en kontrakt eller et andet retligt dokument i henhold til EU-retten eller medlemsstaternes nationale ret, der er bindende for databehandleren med hensyn til den dataansvarlige, og som præciserer, hvad behandlingen omfatter. Det er derfor nødvendigt at fastsætte regler for den behandling, som Kommissionen foretager som databehandler.

(20)

Kommissionens støtteopgave indebærer ikke oprettelse af en central database som omhandlet i betragtning 52 i forordning (EU) 2021/953. Dette forbud har til formål at undgå et centralt register over alle EU's udstedte digitale covidcertifikater og forhindrer ikke medlemsstaterne i at udveksle lister over tilbagekaldte certifikater, hvilket der er fastsat bestemmelser for i artikel 4, stk. 2, i forordning (EU) 2021/953.

(21)

Når Kommissionen behandler personoplysninger i portalen for EU's digitale covidcertifikat, er den bundet af Kommissionens afgørelse (EU, Euratom) 2017/46 (7).

(22)

I henhold til artikel 3, stk. 10, i forordning (EU) 2021/953 kan Kommissionen vedtage gennemførelsesretsakter, der fastlægger, at covid-19-certifikater udstedt af et tredjeland, med hvilket Unionen og medlemsstaterne har indgået en aftale om fri bevægelighed for personer, som giver de kontraherende parter mulighed for at begrænse en sådan fri bevægelighed af hensyn til folkesundheden på en ikkeforskelsbehandlende måde, og som ikke indeholder en mekanisme for indarbejdelse af EU-retsakter, svarer til dem, der er udstedt i overensstemmelse med denne forordning. På dette grundlag vedtog Kommissionen den 8. juli 2021 gennemførelsesafgørelse (EU) 2021/1126 (8) om ligestilling af covid-19-certifikater, der udstedes af Schweiz.

(23)

I henhold til artikel 8, stk. 2, i forordning (EU) 2021/953 kan Kommissionen vedtage gennemførelsesretsakter, der foreskriver, at covid-19-certifikater udstedt af et tredjeland i overensstemmelse med standarder og teknologiske systemer, der er interoperable med tillidsrammen for EU's digitale covidcertifikat, og som gør det muligt at kontrollere certifikatets ægthed, gyldighed og integritet, og som indeholder de data, der er anført i bilaget til forordningen, skal anses som at svare til EU's digitale covidcertifikater med henblik på at lette indehavernes udøvelse af deres ret til fri bevægelighed inden for Unionen. Som anført i betragtning 28 i forordning (EU) 2021/953 vedrører artikel 8, stk. 2, i nævnte forordning accept af certifikater udstedt af tredjelande til unionsborgere og deres familiemedlemmer. Kommissionen har allerede vedtaget flere sådanne gennemførelsesretsakter.

(24)

For at undgå mangler i afsløringen af tilbagekaldte certifikater, der er omfattet af sådanne gennemførelsesretsakter, bør det også være muligt for tredjelande, hvis covid-19-certifikater anses for at være tilsvarende i henhold til artikel 3, stk. 10, og artikel 8, stk. 2, i forordning (EU) 2021/953, at indsende relevante lister over tilbagekaldte certifikater til portalen for EU's digitale covidcertifikat.

(25)

Nogle tredjelandsstatsborgere, der er i besiddelse af et tilbagekaldt covid-19-certifikat udstedt af et tredjeland, hvis covid-19-certifikater er blevet anset for at være ækvivalente i henhold til forordning (EU) 2021/953, kan falde uden for anvendelsesområdet for enten nævnte forordning eller forordning (EU) 2021/954 på det tidspunkt, hvor en liste over tilbagekaldte certifikater, hvori deres certifikat optræder, genereres af det pågældende tredjeland. Om alle de tredjelandsstatsborgere, der er indehavere af tilbagekaldte certifikater, er omfattet af nogen af disse forordninger, kan imidlertid ikke vides på det tidspunkt, hvor et tredjeland genererer en liste over tilbagekaldte certifikater. Det er således ikke muligt at søge at udelukke personer, der ikke er omfattet af anvendelsesområdet for nogen af disse forordninger, på det tidspunkt, hvor disse landes lister over tilbagekaldte certifikater oprettes, og forsøg på at gøre dette vil medføre, at medlemsstaterne ikke vil være i stand til at opdage tilbagekaldte certifikater, som indehaves af tredjelandsstatsborgere, der rejser til Unionen for første gang. Selv de tilbagekaldte certifikater for disse tredjelandsstatsborgere vil dog blive kontrolleret af medlemsstaterne, når deres indehavere rejser til Unionen, og efterfølgende, når de rejser inden for Unionen. De tredjelande, hvis certifikater er blevet anset for at være tilsvarende i henhold til forordning (EU) 2021/953, er ikke involveret i forvaltningen af portalen og kan derfor ikke betragtes som fælles dataansvarlige.

(26)

Derudover har EU's digitale covidcertifikatsystem vist sig at være det eneste covid-19-certifikatsystem, der fungerer i stor skala på internationalt plan. Som følge heraf har EU's digitale covidcertifikat fået stadig større global betydning og har bidraget til at håndtere pandemien på internationalt plan ved at fremme sikker international rejseaktivitet og den globale genopretning. I forbindelse med vedtagelsen af yderligere gennemførelsesretsakter i henhold til artikel 8, stk. 2, i forordning (EU) 2021/953 opstår der nye behov i forbindelse med udfyldelsen af EU's digitale covidcertifikat. I henhold til reglerne i gennemførelsesafgørelse (EU) 2021/1073 er efternavn et obligatorisk felt i certifikatets tekniske indhold. Det er nødvendigt at ændre dette krav for at fremme inklusion og interoperabilitet med andre systemer, da der i nogle tredjelande er personer uden efternavn. I tilfælde, hvor certifikatindehaverens navn ikke kan opdeles i to dele, bør navnet anføres i samme felt (efternavn eller fornavn) i EU's digitale covidcertifikat, som det ville være tilfældet med indehaverens rejse- eller identitetsdokument. Denne ændring vil også i højere grad bringe certifikaternes tekniske indhold i overensstemmelse med de gældende specifikationer for maskinlæsbare rejsedokumenter, som Organisationen for International Civil Luftfart har offentliggjort.

(27)

Gennemførelsesafgørelse (EU) 2021/1073 bør derfor ændres.

(28)

Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i forordning (EU) 2018/1725 og afgav en udtalelse den 11. marts 2022.

(29)

For at give medlemsstaterne og Kommissionen tilstrækkelig tid til at gennemføre de ændringer, der er nødvendige for at muliggøre udveksling af lister over tilbagekaldte certifikater via portalen for EU's digitale covidcertifikat, bør denne afgørelse begynde at finde anvendelse fire uger efter ikrafttrædelsen.

(30)

De i denne afgørelse fastsatte foranstaltninger er i overensstemmelse med udtalelsen fra det udvalg, der er nedsat i henhold til artikel 14 i forordning (EU) 2021/953 —

1)

Som artikel 5a, 5b og 5c indsættes:

2)

Bilag I ændres som anført i bilag I til nærværende afgørelse

3)

Bilag V ændres som anført i bilag II til nærværende afgørelse

4)

Teksten i bilag III til nærværende afgørelse indsættes som bilag VI

5)

Teksten i bilag IV til nærværende beslutning indsættes som bilag VII.