ΕΚΤΕΛΕΣΤΙΚΗ ΑΠΟΦΑΣΗ (ΕΕ) 2022/483 ΤΗΣ ΕΠΙΤΡΟΠΗΣ

της 21ης Μαρτίου 2022

για την τροποποίηση της εκτελεστικής απόφασης (ΕΕ) 2021/1073 σχετικά με τον καθορισμό τεχνικών προδιαγραφών και κανόνων για την εφαρμογή του πλαισίου εμπιστοσύνης για το Ψηφιακό Πιστοποιητικό COVID της ΕΕ που θεσπίστηκε με τον κανονισμό (ΕΕ) 2021/953 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου

(Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ)

Η ΕΥΡΩΠΑΪΚΗ ΕΠΙΤΡΟΠΗ,

Έχοντας υπόψη τη Συνθήκη για τη λειτουργία της Ευρωπαϊκής Ένωσης,

Έχοντας υπόψη τον κανονισμό (ΕΕ) 2021/953 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 14ης Ιουνίου 2021, σχετικά με πλαίσιο για την έκδοση, την επαλήθευση και την αποδοχή διαλειτουργικών πιστοποιητικών εμβολιασμού κατά της COVID-19, διαγνωστικού της ελέγχου και ανάρρωσης από αυτή (Ψηφιακό Πιστοποιητικό COVID της ΕΕ) με σκοπό να διευκολυνθεί η ελεύθερη κυκλοφορία κατά τη διάρκεια της πανδημίας της COVID-19 (1), και ιδίως το άρθρο 9 παράγραφος 1,

Εκτιμώντας τα ακόλουθα:

(1)

Ο κανονισμός (ΕΕ) 2021/953 προβλέπει τη δημιουργία του Ψηφιακού Πιστοποιητικού COVID της ΕΕ, το οποίο αποδεικνύει ότι ένα άτομο έχει εμβολιαστεί κατά της COVID-19 ή έχει υποβληθεί πρόσφατα σε έλεγχο με αρνητικό αποτέλεσμα ή έχει αναρρώσει από τη λοίμωξη με σκοπό να διευκολυνθεί η άσκηση του δικαιώματος ελεύθερης κυκλοφορίας του κατόχου κατά τη διάρκεια της πανδημίας της COVID-19.

(2)

Ο κανονισμός (ΕΕ) 2021/954 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (2) ορίζει ότι τα κράτη μέλη εφαρμόζουν τους κανόνες που προβλέπονται στον κανονισμό (ΕΕ) 2021/953 στους υπηκόους τρίτων χωρών που δεν εμπίπτουν στο πεδίο εφαρμογής του εν λόγω κανονισμού αλλά παραμένουν ή διαμένουν νόμιμα στην επικράτειά τους και δικαιούνται να ταξιδεύουν σε άλλα κράτη μέλη σύμφωνα με το δίκαιο της Ένωσης.

(3)

Η σύσταση (ΕΕ) 2022/290 του Συμβουλίου για την τροποποίηση της σύστασης (ΕΕ) 2020/912 σχετικά με τον προσωρινό περιορισμό των μη αναγκαίων ταξιδιών προς την ΕΕ και την πιθανή άρση του εν λόγω περιορισμού (3) προβλέπει ότι οι υπήκοοι τρίτων χωρών που επιθυμούν να πραγματοποιήσουν μη αναγκαία ταξίδια από τρίτες χώρες προς την ΕΕ θα πρέπει να έχουν στην κατοχή τους έγκυρο αποδεικτικό εμβολιασμού ή ανάρρωσης, όπως το Ψηφιακό Πιστοποιητικό COVID της ΕΕ ή πιστοποιητικό COVID-19 το οποίο έχει εκδοθεί από τρίτη χώρα που καλύπτεται από εκτελεστική πράξη η οποία έχει εκδοθεί σύμφωνα με το άρθρο 8 παράγραφος 2 του κανονισμού (ΕΕ) 2021/953.

(4)

Προκειμένου η επιχειρησιακή εφαρμογή του Ψηφιακού Πιστοποιητικού COVID της ΕΕ να είναι εφικτή σε ολόκληρη την Ένωση, η Επιτροπή εξέδωσε την εκτελεστική απόφαση (ΕΕ) 2021/1073 (4), για τον καθορισμό τεχνικών προδιαγραφών και κανόνων για τη συμπλήρωση, την ασφαλή έκδοση και επαλήθευση των ψηφιακών πιστοποιητικών COVID της ΕΕ, τη διασφάλιση της προστασίας δεδομένων προσωπικού χαρακτήρα, τον καθορισμό της κοινής δομής του μοναδικού αναγνωριστικού κωδικού πιστοποιητικού, και την έκδοση έγκυρου, ασφαλούς και διαλειτουργικού ραβδοκώδικα.

(5)

Στο άρθρο 4 του κανονισμού (ΕΕ) 2021/953 ορίζεται ότι η Επιτροπή και τα κράτη μέλη θεσπίζουν και διατηρούν πλαίσιο εμπιστοσύνης για το Ψηφιακό Πιστοποιητικό COVID της ΕΕ. Το πλαίσιο εμπιστοσύνης μπορεί να υποστηρίζει τη διμερή ανταλλαγή καταλόγων ανάκλησης πιστοποιητικών που περιέχουν τους μοναδικούς αναγνωριστικούς κωδικούς πιστοποιητικού των ανακληθέντων πιστοποιητικών.

(6)

Την 1η Ιουλίου 2021 άρχισε να λειτουργεί η πύλη του Ψηφιακού Πιστοποιητικού COVID της ΕΕ («πύλη»), η οποία αποτελεί τον πυρήνα του πλαισίου εμπιστοσύνης και επιτρέπει την ασφαλή και αξιόπιστη ανταλλαγή, μεταξύ των κρατών μελών, των δημόσιων κλειδιών που χρησιμοποιούνται για την επαλήθευση των Ψηφιακών Πιστοποιητικών COVID της ΕΕ.

(7)

Λόγω της επιτυχούς και μεγάλης κλίμακας ανάπτυξής τους, τα Ψηφιακά Πιστοποιητικά COVID της ΕΕ έχουν καταστεί στόχος απατεώνων που επιδιώκουν να βρουν τρόπους έκδοσης πλαστών πιστοποιητικών. Επομένως, τα εν λόγω πλαστά πιστοποιητικά πρέπει να ανακαλούνται. Επιπλέον, ορισμένα Ψηφιακά Πιστοποιητικά COVID της ΕΕ μπορεί να ανακαλούνται από τα κράτη μέλη, σε εθνικό επίπεδο, για ιατρικούς λόγους και λόγους δημόσιας υγείας, για παράδειγμα επειδή μια παρτίδα εμβολίων που χορηγήθηκε αποδείχθηκε εκ των υστέρων ελαττωματική.

(8)

Ενώ το σύστημα του Ψηφιακού Πιστοποιητικού COVID της ΕΕ είναι σε θέση να αποκαλύπτει αμέσως τα πλαστά πιστοποιητικά, τα αυθεντικά πιστοποιητικά που εκδίδονται παράνομα βάσει πλαστών εγγράφων, μη εξουσιοδοτημένης πρόσβασης ή με πρόθεση απάτης δεν μπορούν να ανιχνευτούν σε άλλα κράτη μέλη παρά μόνον εάν οι κατάλογοι των ανακληθέντων πιστοποιητικών που καταρτίζονται σε εθνικό επίπεδο ανταλλάσσονται μεταξύ των κρατών μελών. Το ίδιο ισχύει για τα πιστοποιητικά που έχουν ανακληθεί για ιατρικούς λόγους και για λόγους δημόσιας υγείας. Η αδυναμία των εφαρμογών επαλήθευσης των κρατών μελών να ανιχνεύουν πιστοποιητικά που ανακλήθηκαν από άλλα κράτη μέλη συνιστά απειλή για τη δημόσια υγεία και υπονομεύει την εμπιστοσύνη των πολιτών στο σύστημα του Ψηφιακού Πιστοποιητικού COVID της ΕΕ.

(9)

Όπως αναφέρεται και στην αιτιολογική σκέψη 19 του κανονισμού (ΕΕ) 2021/953, για ιατρικούς λόγους και για λόγους δημόσιας υγείας, καθώς και σε περίπτωση πιστοποιητικών που έχουν εκδοθεί ή αποκτηθεί με απάτη, τα κράτη μέλη θα πρέπει να μπορούν να καταρτίζουν και να ανταλλάσσουν με άλλα κράτη μέλη για τους σκοπούς του εν λόγω κανονισμού καταλόγους ανάκλησης πιστοποιητικών σε περιορισμένες περιπτώσεις, ιδίως δε όσον αφορά πιστοποιητικά που έχουν εκδοθεί εσφαλμένα, κατόπιν απάτης ή μετά την αναστολή της χρήσης παρτίδας εμβολίων κατά της COVID-19 που διαπιστώθηκε ότι ήταν ελαττωματική. Τα κράτη μέλη δεν θα πρέπει να μπορούν να ανακαλούν πιστοποιητικά που έχουν εκδοθεί από άλλα κράτη μέλη. Οι κατάλογοι ανάκλησης πιστοποιητικών που ανταλλάσσονται δεν θα πρέπει να περιλαμβάνουν κανένα άλλο δεδομένο προσωπικού χαρακτήρα πέραν των μοναδικών αναγνωριστικών κωδικών πιστοποιητικού. Ειδικότερα, δεν θα πρέπει να περιλαμβάνουν τον λόγο για τον οποίο ανακλήθηκε ένα πιστοποιητικό.

(10)

Εκτός από τις γενικές πληροφορίες σχετικά με τη δυνατότητα ανάκλησης των πιστοποιητικών και τους πιθανούς λόγους ανάκλησης, οι κάτοχοι ανακληθέντων πιστοποιητικών θα πρέπει να ενημερώνονται αμέσως από την αρμόδια αρχή έκδοσης σχετικά με την ανάκληση των πιστοποιητικών τους και τους λόγους της ανάκλησης. Ωστόσο, ενίοτε, ιδίως στην περίπτωση των Ψηφιακών Πιστοποιητικών COVID της ΕΕ που εκδίδονται σε έντυπη μορφή, μπορεί να αποδειχθεί αδύνατον να εντοπιστεί ο κάτοχος του πιστοποιητικού και να ενημερωθεί για την ανάκληση ή μπορεί να απαιτείται δυσανάλογη προσπάθεια για να επιτευχθεί αυτό. Τα κράτη μέλη δεν θα πρέπει να συλλέγουν πρόσθετα δεδομένα προσωπικού χαρακτήρα που δεν απαιτούνται για τη διαδικασία έκδοσης μόνο και μόνο για να είναι σε θέση να ενημερώνουν τους κατόχους πιστοποιητικών σε περίπτωση ανάκλησης.

(11)	Ως εκ τούτου, είναι αναγκαίο να ενισχυθεί το πλαίσιο εμπιστοσύνης για το Ψηφιακό Πιστοποιητικό COVID της ΕΕ με την υποστήριξη της διμερούς ανταλλαγής καταλόγων ανάκλησης πιστοποιητικών μεταξύ των κρατών μελών.

(12)

Η παρούσα απόφαση δεν καλύπτει την προσωρινή αναστολή πιστοποιητικών για περιπτώσεις εθνικής χρήσης που δεν εμπίπτουν στο πεδίο εφαρμογής του κανονισμού για το Ψηφιακό Πιστοποιητικό COVID της ΕΕ, για παράδειγμα επειδή ο κάτοχος πιστοποιητικού εμβολιασμού βρέθηκε θετικός στον ιό SARS-CoV-2. Δεν θίγει τις καθιερωμένες διαδικασίες για τον έλεγχο των επιχειρησιακών κανόνων όσον αφορά την εγκυρότητα των πιστοποιητικών.

(13)

Ενώ, από τεχνική άποψη, είναι εφικτές διάφορες αρχιτεκτονικές για την ανταλλαγή καταλόγων ανάκλησης, η ανταλλαγή τους μέσω της πύλης είναι η πλέον ενδεδειγμένη, καθώς περιορίζει τις ανταλλαγές δεδομένων στο πλαίσιο εμπιστοσύνης που ήδη έχει θεσπιστεί, ενώ ελαχιστοποιεί τον αριθμό τόσο των πιθανών σημείων αστοχίας όσο και των ανταλλαγών μεταξύ των κρατών μελών σε σύγκριση με ένα εναλλακτικό σύστημα μεταξύ ομοτίμων.

(14)

Ως εκ τούτου, η πύλη του Ψηφιακού Πιστοποιητικού COVID της ΕΕ θα πρέπει να ενισχυθεί ώστε να στηρίζει την ασφαλή ανταλλαγή ανακληθέντων Ψηφιακών Πιστοποιητικών COVID της ΕΕ για την ασφαλή επαλήθευσή τους μέσω της πύλης. Στο πλαίσιο αυτό, θα πρέπει να εφαρμόζονται κατάλληλα μέτρα ασφαλείας για την προστασία των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία στην πύλη. Για να εξασφαλιστεί υψηλό επίπεδο προστασίας, τα κράτη μέλη θα πρέπει να ψευδωνυμοποιούν τα χαρακτηριστικά των πιστοποιητικών μέσω μη αναστρέψιμου κατακερματισμού που θα περιλαμβάνεται στους καταλόγους ανάκλησης. Πράγματι, ο μοναδικός αναγνωριστικός κωδικός θα πρέπει να θεωρείται ψευδωνυμοποιημένα δεδομένο για τις πράξεις επεξεργασίας που διενεργούνται στο πλαίσιο της πύλης.

(15)	Επιπλέον, θα πρέπει να θεσπιστούν διατάξεις σχετικά με τον ρόλο των κρατών μελών και της Επιτροπής όσον αφορά την ανταλλαγή καταλόγων ανάκλησης πιστοποιητικών.

(16)

Η επεξεργασία δεδομένων προσωπικού χαρακτήρα των κατόχων πιστοποιητικών, η οποία πραγματοποιείται υπό την ευθύνη των κρατών μελών ή άλλων δημόσιων οργανισμών ή επίσημων φορέων στα κράτη μέλη, θα πρέπει να διενεργείται σύμφωνα με τον κανονισμό (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (5). Η επεξεργασία δεδομένων προσωπικού χαρακτήρα υπό την ευθύνη της Επιτροπής με σκοπό τη διαχείριση και την εγγύηση της ασφάλειας της πύλης του Ψηφιακού Πιστοποιητικού COVID της ΕΕ θα πρέπει να είναι σύμφωνη με τον κανονισμό (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (6).

(17)

Τα κράτη μέλη, τα οποία εκπροσωπούνται από τις ορισθείσες εθνικές αρχές ή τους ορισθέντες επίσημους φορείς, καθορίζουν από κοινού τον σκοπό και τα μέσα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα μέσω της πύλης του Ψηφιακού Πιστοποιητικού COVID της ΕΕ και, συνεπώς, θα είναι από κοινού υπεύθυνοι επεξεργασίας. Το άρθρο 26 του κανονισμού (ΕΕ) 2016/679 επιβάλλει στους από κοινού υπευθύνους επεξεργασίας για πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα την υποχρέωση να καθορίζουν με διαφάνεια τις αντίστοιχες αρμοδιότητες συμμόρφωσης προς τις υποχρεώσεις που απορρέουν από τον εν λόγω κανονισμό. Προβλέπει επίσης τη δυνατότητα να καθορίζονται οι αρμοδιότητες αυτές από το δίκαιο της Ένωσης ή το δίκαιο του κράτους μέλους στο οποίο υπόκεινται οι υπεύθυνοι επεξεργασίας. Η ρύθμιση που αναφέρεται στο άρθρο 26 θα πρέπει να περιληφθεί στο παράρτημα III της παρούσας απόφασης.

(18)

Ο κανονισμός (ΕΕ) 2021/953 αναθέτει στην Επιτροπή καθήκον στήριξης των εν λόγω ανταλλαγών. Ο καταλληλότερος τρόπος για την εκπλήρωση της εν λόγω εντολής είναι η συγκέντρωση των υποβληθέντων καταλόγων ανάκλησης πιστοποιητικών εξ ονόματος των κρατών μελών. Ως εκ τούτου, θα πρέπει να ανατεθεί στην Επιτροπή ο ρόλος του εκτελούντος την επεξεργασία δεδομένων ώστε να στηρίζει τις εν λόγω ανταλλαγές, διευκολύνοντας την ανταλλαγή καταλόγων μέσω της πύλης του Ψηφιακού Πιστοποιητικού COVID της ΕΕ εξ ονόματος των κρατών μελών.

(19)

Η Επιτροπή, ως πάροχος τεχνικών και οργανωτικών λύσεων για την πύλη του Ψηφιακού Πιστοποιητικού COVID της ΕΕ, επεξεργάζεται, στην πύλη, τα δεδομένα προσωπικού χαρακτήρα που περιλαμβάνονται στους καταλόγους ανάκλησης, εξ ονόματος των κρατών μελών, των από κοινού δηλαδή υπευθύνων επεξεργασίας. Ως εκ τούτου, ενεργεί ως εκτελών την επεξεργασία. Σύμφωνα με το άρθρο 28 του κανονισμού (ΕΕ) 2016/679 και το άρθρο 29 του κανονισμού (ΕΕ) 2018/1725, η επεξεργασία από τον εκτελούντα την επεξεργασία διέπεται από σύμβαση ή νομική πράξη υπαγόμενη στο δίκαιο της Ένωσης ή κράτους μέλους, που δεσμεύει τον εκτελούντα την επεξεργασία σε σχέση με τον υπεύθυνο επεξεργασίας και καθορίζει την επεξεργασία. Ως εκ τούτου, είναι αναγκαίο να θεσπιστούν κανόνες σχετικά με την επεξεργασία από την Επιτροπή ως εκτελούντος την επεξεργασία.

(20)

Το υποστηρικτικό καθήκον της Επιτροπής δεν περιλαμβάνει τη δημιουργία κεντρικής βάσης δεδομένων, όπως αναφέρεται στην αιτιολογική σκέψη 52 του κανονισμού (ΕΕ) 2021/953. Η απαγόρευση αυτή αποσκοπεί στην αποφυγή ενός κεντρικού αποθετηρίου όλων των εκδιδόμενων Ψηφιακών Πιστοποιητικών COVID της ΕΕ και δεν εμποδίζει τα κράτη μέλη να ανταλλάσσουν καταλόγους ανάκλησης, κάτι που προβλέπεται ρητώς στο άρθρο 4 παράγραφος 2 του κανονισμού (ΕΕ) 2021/953.

(21)	Κατά την επεξεργασία δεδομένων προσωπικού χαρακτήρα στην πύλη του Ψηφιακού Πιστοποιητικού COVID της ΕΕ, η Επιτροπή δεσμεύεται από την απόφαση (ΕΕ, Ευρατόμ) 2017/46 της Επιτροπής (7).

(22)

Δυνάμει του άρθρου 3 παράγραφος 10 του κανονισμού (ΕΕ) 2021/953, η Επιτροπή μπορεί να εκδίδει εκτελεστικές πράξεις που καθορίζουν ότι πιστοποιητικά COVID-19 που έχουν εκδοθεί από τρίτη χώρα με την οποία η Ένωση και τα κράτη μέλη έχουν συνάψει συμφωνία για την ελεύθερη κυκλοφορία των προσώπων που επιτρέπει στα συμβαλλόμενα μέρη να περιορίζουν την εν λόγω ελεύθερη κυκλοφορία για λόγους δημόσιας υγείας κατά τρόπο που δεν εισάγει διακρίσεις και δεν περιλαμβάνει μηχανισμό ενσωμάτωσης των νομικών πράξεων της Ένωσης είναι ισοδύναμα με εκείνα που εκδίδονται σύμφωνα με τον εν λόγω κανονισμό. Σε αυτή τη βάση, η Επιτροπή εξέδωσε, στις 8 Ιουλίου 2021, την εκτελεστική απόφαση (ΕΕ) 2021/1126 (8) για τη θέσπιση της ισοδυναμίας των πιστοποιητικών COVID-19 που εκδίδονται από την Ελβετία.

(23)

Δυνάμει του άρθρου 8 παράγραφος 2 του κανονισμού (ΕΕ) 2021/953, η Επιτροπή μπορεί να εκδίδει εκτελεστική πράξη η οποία να ορίζει ότι τα πιστοποιητικά COVID-19 τα οποία έχουν εκδοθεί από τρίτη χώρα σύμφωνα με διεθνές πρότυπο και τεχνολογικό σύστημα, είναι διαλειτουργικά με το πλαίσιο εμπιστοσύνης για το Ψηφιακό Πιστοποιητικό COVID της ΕΕ και επιτρέπουν την επαλήθευση της γνησιότητας, της εγκυρότητας και της ακεραιότητας του πιστοποιητικού και τα οποία πιστοποιητικά περιέχουν τα δεδομένα που παρατίθενται στο παράρτημα του εν λόγω κανονισμού θεωρούνται αντίστοιχα με τα Ψηφιακά Πιστοποιητικά COVID της ΕΕ, για τον σκοπό της διευκόλυνσης της άσκησης του δικαιώματος ελεύθερης κυκλοφορίας εντός της Ένωσης από τους κατόχους τους. Όπως επισημαίνεται στην αιτιολογική σκέψη 28 του κανονισμού (ΕΕ) 2021/953, το άρθρο 8 παράγραφος 2 του εν λόγω κανονισμού αφορά την αποδοχή πιστοποιητικών που εκδίδονται από τρίτες χώρες για πολίτες της Ένωσης και μέλη των οικογενειών τους. Η Επιτροπή έχει ήδη εκδώσει αρκετές τέτοιες εκτελεστικές πράξεις.

(24)

Για να αποφευχθούν κενά στον εντοπισμό ανακληθέντων πιστοποιητικών που καλύπτονται από τις εν λόγω εκτελεστικές πράξεις, θα πρέπει επίσης οι τρίτες χώρες των οποίων τα πιστοποιητικά COVID-19 έχουν κριθεί ισοδύναμα, σύμφωνα με το άρθρο 3 παράγραφος 10 και το άρθρο 8 παράγραφος 2 του κανονισμού (ΕΕ) 2021/953, να μπορούν να υποβάλλουν τους σχετικούς καταλόγους ανάκλησης πιστοποιητικών στην πύλη του Ψηφιακού Πιστοποιητικού COVID της ΕΕ.

(25)

Ορισμένοι υπήκοοι τρίτων χωρών που είναι κάτοχοι ανακληθέντων πιστοποιητικών COVID-19 τα οποία έχουν εκδοθεί από τρίτη χώρα της οποίας τα πιστοποιητικά COVID-19 έχουν θεωρηθεί ισοδύναμα σύμφωνα με τον κανονισμό (ΕΕ) 2021/953 ενδέχεται να μην εμπίπτουν στο πεδίο εφαρμογής του εν λόγω κανονισμού ή του κανονισμού (ΕΕ) 2021/954 κατά τη χρονική στιγμή που η οικεία τρίτη χώρα δημιουργεί κατάλογο ανάκλησης ο οποίος συμπεριλαμβάνει τα πιστοποιητικά τους. Ωστόσο, όταν δημιουργείται κατάλογος ανάκλησης πιστοποιητικών από την οικεία τρίτη χώρα, δεν μπορεί να είναι γνωστό αν όλοι οι υπήκοοι τρίτων χωρών που είναι κάτοχοι ανακληθέντων πιστοποιητικών εμπίπτουν στο πεδίο εφαρμογής κάποιου από τους δύο κανονισμούς. Επομένως, η επιδίωξη αποκλεισμού προσώπων που δεν καλύπτονται από το πεδίο εφαρμογής κάποιου από τους εν δύο κανονισμούς κατά τη χρονική στιγμή δημιουργίας των καταλόγων ανάκλησης πιστοποιητικών των εν λόγω χωρών δεν είναι εφικτή, η δε απόπειρα αποκλεισμού θα είχε ως αποτέλεσμα τα κράτη μέλη να μην είναι σε θέση να εντοπίσουν ανακληθέντα πιστοποιητικά που κατέχουν υπήκοοι τρίτων χωρών που ταξιδεύουν στην Ένωση για πρώτη φορά. Ωστόσο, ακόμη και τα ανακληθέντα πιστοποιητικά των εν λόγω υπηκόων τρίτων χωρών θα ελέγχονται από τα κράτη μέλη όταν οι κάτοχοι τους ταξιδεύουν με προορισμό την Ένωση και, στη συνέχεια, όταν ταξιδεύουν εντός της Ένωσης. Οι τρίτες χώρες των οποίων τα πιστοποιητικά έχουν κριθεί ισοδύναμα σύμφωνα με τον κανονισμό (ΕΕ) 2021/953 δεν συμμετέχουν στη διακυβέρνηση της πύλης και, ως εκ τούτου, δεν θεωρούνται από κοινού υπεύθυνοι επεξεργασίας.

(26)

Επιπλέον, το σύστημα ψηφιακού πιστοποιητικού COVID της ΕΕ έχει αποδειχθεί ότι είναι το μόνο σύστημα πιστοποιητικού COVID-19 που είναι λειτουργικό σε διεθνές επίπεδο και σε μεγάλη κλίμακα. Ως εκ τούτου, το Ψηφιακό Πιστοποιητικό COVID της ΕΕ έχει αποκτήσει ολοένα και μεγαλύτερη παγκόσμια σημασία και έχει συμβάλει στην αντιμετώπιση της πανδημίας σε διεθνές επίπεδο, διευκολύνοντας τα ασφαλή διεθνή ταξίδια και την παγκόσμια ανάκαμψη. Κατά τη διαδικασία έκδοσης πρόσθετων εκτελεστικών πράξεων σύμφωνα με το άρθρο 8 παράγραφος 2 του κανονισμού (ΕΕ) 2021/953, προκύπτουν νέες ανάγκες όσον αφορά τη συμπλήρωση του Ψηφιακού Πιστοποιητικού COVID της ΕΕ. Σύμφωνα με τους κανόνες που καθορίζονται στην εκτελεστική απόφαση (ΕΕ) 2021/1073, το επώνυμο είναι υποχρεωτικό πεδίο στα τεχνικά περιεχόμενα του πιστοποιητικού. Είναι αναγκαίο να τροποποιηθεί η απαίτηση αυτή για να προωθηθεί η ένταξη και η διαλειτουργικότητα με άλλα συστήματα, δεδομένου ότι σε ορισμένες τρίτες χώρες υπάρχουν άτομα χωρίς επώνυμο. Στις περιπτώσεις που το όνομα του κατόχου του πιστοποιητικού δεν μπορεί να διαιρεθεί σε δύο μέρη, το όνομα θα πρέπει να αναγράφεται στο πεδίο (επώνυμο ή όνομα) του Ψηφιακού Πιστοποιητικού COVID της ΕΕ που αντιστοιχεί στο πεδίο του ταξιδιωτικού εγγράφου ή του εγγράφου ταυτότητας του κατόχου στο οποίο θα αναγραφόταν. Η αλλαγή αυτή θα ευθυγραμμίσει επίσης περισσότερο τα τεχνικά περιεχόμενα των πιστοποιητικών με τις ισχύουσες προδιαγραφές για τα μηχανικώς αναγνώσιμα ταξιδιωτικά έγγραφα που δημοσιεύονται από τον Διεθνή Οργανισμό Πολιτικής Αεροπορίας.

(27)	Ως εκ τούτου, η εκτελεστική απόφαση (ΕΕ) 2021/1073 θα πρέπει να τροποποιηθεί αναλόγως.

(28)	Ζητήθηκε, σύμφωνα με το άρθρο 42 παράγραφος 1 του κανονισμού (ΕΕ) 2018/1725, η γνώμη του Ευρωπαίου Επόπτη Προστασίας Δεδομένων, ο οποίος γνωμοδότησε στις 11 Μαρτίου 2022.

(29)

Για να δοθεί στα κράτη μέλη και στην Επιτροπή επαρκής χρόνος για να εφαρμόσουν τις αλλαγές που απαιτούνται για να καταστεί δυνατή η ανταλλαγή των καταλόγων ανάκλησης πιστοποιητικών μέσω της πύλης για το Ψηφιακό Πιστοποιητικό COVID της ΕΕ, η παρούσα απόφαση θα πρέπει να αρχίσει να εφαρμόζεται τέσσερις εβδομάδες μετά την έναρξη ισχύος της.

(30)	Τα μέτρα που προβλέπονται στην παρούσα απόφαση είναι σύμφωνα με τη γνώμη της επιτροπής που συστάθηκε δυνάμει του άρθρου 14 του κανονισμού (ΕΕ) 2021/953,

ΕΞΕΔΩΣΕ ΤΗΝ ΠΑΡΟΥΣΑ ΑΠΟΦΑΣΗ:

Άρθρο 1

Η εκτελεστική απόφαση (ΕΕ) 2021/1073 τροποποιείται ως εξής:

Προστίθενται τα ακόλουθα άρθρα 5α, 5β και 5γ:

«Άρθρο 5 a

Ανταλλαγή καταλόγων ανάκλησης πιστοποιητικών

1. Το πλαίσιο εμπιστοσύνης για το Ψηφιακό Πιστοποιητικό COVID της ΕΕ καθιστά δυνατή την ανταλλαγή καταλόγων ανάκλησης πιστοποιητικών μέσω της κεντρικής πύλης για το Ψηφιακό Πιστοποιητικό COVID της ΕΕ (“πύλη”) σύμφωνα με τις τεχνικές προδιαγραφές του παραρτήματος I.

2. Όταν τα κράτη μέλη ανακαλούν τα ψηφιακά πιστοποιητικά COVID της ΕΕ, μπορεί να υποβάλλουν στην πύλη καταλόγους ανάκλησης πιστοποιητικών.

3. Όταν τα κράτη μέλη υποβάλλουν καταλόγους ανάκλησης πιστοποιητικών, οι αρχές έκδοσης τηρούν κατάλογο των ανακληθέντων πιστοποιητικών.

4. Όταν ανταλλάσσονται μέσω της πύλης δεδομένα προσωπικού χαρακτήρα, η επεξεργασία περιορίζεται στον σκοπό της υποστήριξης της ανταλλαγής πληροφοριών σχετικά με την ανάκληση. Τα εν λόγω δεδομένα προσωπικού χαρακτήρα χρησιμοποιούνται μόνο για να επαληθευτεί εάν τελούν σε ανάκληση τα Ψηφιακά Πιστοποιητικά COVID της ΕΕ που έχουν εκδοθεί στο πλαίσιο του πεδίου εφαρμογής του κανονισμού (ΕΕ) 2021/953.

5. Στις πληροφορίες που υποβάλλονται στην πύλη περιλαμβάνονται οι ακόλουθες, σύμφωνα με τις τεχνικές προδιαγραφές του παραρτήματος I:

α)	οι ψευδωνυμοποιημένοι μοναδικοί αναγνωριστικοί κωδικοί πιστοποιητικών των ανακληθέντων πιστοποιητικών,

β)	η ημερομηνία λήξης του υποβληθέντος καταλόγου ανάκλησης πιστοποιητικών·

6. Όταν μια αρχή έκδοσης ανακαλεί τα Ψηφιακά Πιστοποιητικά COVID της ΕΕ που έχει εκδώσει σύμφωνα με τον κανονισμό (ΕΕ) 2021/953 ή τον κανονισμό (ΕΕ) 2021/954 και προτίθεται να ανταλλάξει σχετικές πληροφορίες μέσω της πύλης, διαβιβάζει τις πληροφορίες που αναφέρονται στην παράγραφο 5 με τη μορφή καταλόγων ανάκλησης πιστοποιητικών στην πύλη, σε ασφαλή μορφότυπο σύμφωνα με τις τεχνικές προδιαγραφές του παραρτήματος I.

7. Οι αρχές έκδοσης παρέχουν, στο μέτρο του δυνατού, λύση για να ενημερώνονται οι κάτοχοι ανακληθέντων πιστοποιητικών, κατά τη χρονική στιγμή της ανάκλησης, ότι τα πιστοποιητικά τους τελούν υπό ανάκληση, καθώς και για τον λόγο της ανάκλησης.

8. Η πύλη συλλέγει τους καταλόγους ανάκλησης πιστοποιητικών που λαμβάνει. Παρέχει εργαλεία για τη διανομή των καταλόγων στα κράτη μέλη. Διαγράφει αυτόματα τους καταλόγους σύμφωνα με τις ημερομηνίες λήξης που ορίζονται για κάθε κατάλογο που υποβάλλεται από μία αρχή.

9. Οι ορισθείσες εθνικές αρχές ή οι ορισθέντες επίσημοι φορείς των κρατών μελών που επεξεργάζονται δεδομένα προσωπικού χαρακτήρα στην πύλη είναι από κοινού υπεύθυνοι επεξεργασίας των δεδομένων που υποβάλλονται σε επεξεργασία. Οι αντίστοιχες αρμοδιότητες των από κοινού υπευθύνων επεξεργασίας κατανέμονται σύμφωνα με το παράρτημα VI.

10. Η Επιτροπή είναι ο εκτελών την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία εντός της πύλης. Υπό την ιδιότητά της ως εκτελούντος την επεξεργασία εξ ονόματος των κρατών μελών, η Επιτροπή διασφαλίζει την ασφάλεια της διαβίβασης και της φιλοξενίας των δεδομένων προσωπικού χαρακτήρα εντός της πύλης, συμμορφώνεται δε με τις υποχρεώσεις του εκτελούντος την επεξεργασία που ορίζονται στο παράρτημα VII.

11. Η αποτελεσματικότητα των τεχνικών και οργανωτικών μέτρων για τη διασφάλιση της ασφάλειας της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα εντός της πύλης ελέγχεται και αξιολογείται τακτικά από την Επιτροπή και από τους από κοινού υπεύθυνους επεξεργασίας.

Άρθρο 5β

Υποβολή καταλόγων ανάκλησης πιστοποιητικών από τρίτες χώρες

Οι τρίτες χώρες που εκδίδουν πιστοποιητικά COVID-19 για τα οποία η Επιτροπή έχει εκδώσει εκτελεστική πράξη σύμφωνα με το άρθρο 3 παράγραφος 10 ή το άρθρο 8 παράγραφος 2 του κανονισμού (ΕΕ) 2021/953 μπορούν να υποβάλλουν καταλόγους ανακληθέντων πιστοποιητικών COVID-19 που καλύπτονται από την εν λόγω εκτελεστική πράξη προς επεξεργασία από την Επιτροπή, εξ ονόματος των από κοινού υπευθύνων επεξεργασίας, στην πύλη, όπως περιγράφεται στο άρθρο 5α, σύμφωνα με τις τεχνικές προδιαγραφές που καθορίζονται στο παράρτημα I.

Άρθρο 5γ

Διακυβέρνηση της επεξεργασίας δεδομένων προσωπικού χαρακτήρα στην κεντρική πύλη του Ψηφιακού Πιστοποιητικού COVID της ΕΕ

1. Η διαδικασία λήψης αποφάσεων των από κοινού υπευθύνων επεξεργασίας ρυθμίζεται από ομάδα εργασίας που συγκροτείται στο πλαίσιο της επιτροπής που αναφέρεται στο άρθρο 14 του κανονισμού (ΕΕ) 2021/953.

2. Οι ορισθείσες εθνικές αρχές ή οι ορισθέντες επίσημοι φορείς των κρατών μελών που επεξεργάζονται δεδομένα προσωπικού χαρακτήρα στην πύλη ως από κοινού υπεύθυνοι επεξεργασίας ορίζουν εκπροσώπους στην εν λόγω ομάδα.».

2)	Το παράρτημα I τροποποιείται σύμφωνα με το παράρτημα I της παρούσας απόφασης·

3)	το παράρτημα V τροποποιείται σύμφωνα με το παράρτημα II της παρούσας απόφασης·

4)	το κείμενο του παραρτήματος III της παρούσας απόφασης προστίθεται ως παράρτημα VI·

5)	το κείμενο του παραρτήματος IV της παρούσας απόφασης προστίθεται ως παράρτημα VII.

Άρθρο 2

Η παρούσα απόφαση αρχίζει να ισχύει την τρίτη μέρα από τη δημοσίευσή της στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης.

Αρχίζει να εφαρμόζεται τέσσερις εβδομάδες μετά την έναρξη ισχύος της.

Βρυξέλλες, 21 Μαρτίου 2022.

Για την Επιτροπή

Η Πρόεδρος

Ursula VON DER LEYEN

(1) ΕΕ L 211 της 15.6.2021, σ. 1.

(2) Κανονισμός (ΕΕ) 2021/954 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 14ης Ιουνίου 2021, σχετικά με πλαίσιο για την έκδοση, την επαλήθευση και την αποδοχή διαλειτουργικών πιστοποιητικών εμβολιασμού κατά της COVID-19, διαγνωστικού της ελέγχου και ανάρρωσης από αυτή (Ψηφιακό Πιστοποιητικό COVID της ΕΕ) όσον αφορά υπηκόους τρίτων χωρών που παραμένουν ή διαμένουν νόμιμα στις επικράτειες κρατών μελών κατά τη διάρκεια της πανδημίας της COVID-19 (ΕΕ L 211 της 15.6.2021, σ. 24).

(3) Σύσταση (ΕΕ) 2022/290 του Συμβουλίου, της 22ας Φεβρουαρίου 2022, για την τροποποίηση της σύστασης (ΕΕ) 2020/912 σχετικά με τον προσωρινό περιορισμό των μη αναγκαίων ταξιδιών προς την ΕΕ και την πιθανή άρση του εν λόγω περιορισμού (ΕΕ L 43 της 24.2.2022, σ. 79).

(4) Εκτελεστική απόφαση (ΕΕ) 2021/1073 της Επιτροπής, της 28ης Ιουνίου 2021, σχετικά με τον καθορισμό τεχνικών προδιαγραφών και κανόνων για την εφαρμογή του πλαισίου εμπιστοσύνης για το Ψηφιακό Πιστοποιητικό COVID της ΕΕ που θεσπίστηκε με τον κανονισμό (ΕΕ) 2021/953 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (ΕΕ L 230 της 30.6.2021, σ. 32).

(5) Κανονισμός (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός κανονισμός για την Προστασία Δεδομένων) (ΕΕ L 119 της 4.5.2016, σ. 1).

(6) Κανονισμός (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 23ης Οκτωβρίου 2018, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα θεσμικά και λοιπά όργανα και τους οργανισμούς της Ένωσης και την ελεύθερη κυκλοφορία των δεδομένων αυτών, και για την κατάργηση του κανονισμού (ΕΚ) αριθ. 45/2001 και της απόφασης αριθ. 1247/2002/ΕΚ (ΕΕ L 295 της 21.11.2018, σ. 39).

(7) Η Επιτροπή δημοσιεύει περαιτέρω πληροφορίες σχετικά με τα πρότυπα ασφάλειας που εφαρμόζονται σε όλα τα συστήματα πληροφοριών της Ευρωπαϊκής Επιτροπής στην ακόλουθη διεύθυνση: https://ec.europa.eu/info/publications/security-standards-applying-all-european-commission-information-systems_en.

(8) Εκτελεστική απόφαση (ΕΕ) 2021/1126 της Επιτροπής, της 8ης Ιουλίου 2021, για τη θέσπιση της ισοδυναμίας των πιστοποιητικών COVID-19 που εκδίδονται από την Ελβετία με τα πιστοποιητικά που εκδίδονται σύμφωνα με τον κανονισμό (ΕΕ) 2021/953 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (ΕΕ L 243 της 9.7.2021, σ. 49).

ΠΑΡΑΡΤΗΜΑ I

Στο παράρτημα I της εκτελεστικής απόφασης (ΕΕ) 2021/1073 προστίθεται η ακόλουθη ενότητα 9:

«9. ΛΥΣΗ ΑΝΑΚΛΗΣΗΣ

9.1. Παροχή κατάστασης [καταλόγου] ανάκλησης πιστοποιητικών DCC (DRL)

Η πύλη παρέχει καταληκτικά σημεία και δυνατότητα τήρησης και διαχείρισης των καταλόγων ανάκλησης:

9.2. Μοντέλο εμπιστοσύνης

Όλες οι συνδέσεις πραγματοποιούνται μέσω του πρότυπου μοντέλου εμπιστοσύνης της DCCG με τα πιστοποιητικά NBTLS και NBUP (βλέπε διαχείριση πιστοποιητικών). Όλες οι πληροφορίες συσκευάζονται και μεταφορτώνονται με μηνύματα CMS ώστε να διασφαλίζεται η ακεραιότητα.

9.3. Κατασκευή παρτίδων

9.3.1. Παρτίδα

Κάθε κατάλογος ανάκλησης περιέχει μία ή περισσότερες καταχωρίσεις και ομαδοποιείται σε παρτίδες που περιέχουν ένα σύνολο κατακερματισμών (hashes) και τα μεταδεδομένα τους. Μια παρτίδα είναι αμετάβλητη (immutable) και ορίζει μια ημερομηνία λήξης που υποδεικνύει πότε μπορεί να διαγραφεί η παρτίδα. Η ημερομηνία λήξης όλων των τεμαχίων της παρτίδας πρέπει να είναι ακριβώς η ίδια — πράγμα που σημαίνει ότι οι παρτίδες πρέπει να ομαδοποιούνται με βάση την ημερομηνία λήξης και με την υπογραφή DSC. Κάθε παρτίδα περιλαμβάνει 1 000 καταχωρίσεις κατ’ ανώτατο όριο. Εάν ο κατάλογος ανάκλησης αποτελείται από περισσότερες από 1 000 καταχωρίσεις, δημιουργούνται πολλές παρτίδες. Οποιαδήποτε καταχώριση μπορεί να γίνει το πολύ σε μία παρτίδα. Η παρτίδα συσκευάζεται σε δομή CMS και υπογράφεται από το πιστοποιητικό NBUP της χώρας μεταφόρτωσης.

9.3.2. Ευρετήριο παρτίδων

Όταν δημιουργείται μια παρτίδα, της αποδίδεται μοναδικό ID από την πύλη και προστίθεται αυτόματα στο ευρετήριο. Το ευρετήριο των παρτίδων διατάσσεται με βάση την τροποποιημένη ημερομηνία, κατά αύξουσα χρονολογική σειρά.

9.3.3. Συμπεριφορά της πύλης

Η πύλη επεξεργάζεται τις παρτίδες ανάκλησης χωρίς αλλαγές: δεν μπορεί ούτε να επικαιροποιεί ούτε να αφαιρεί ούτε να προσθέτει πληροφορίες στις παρτίδες. Οι παρτίδες διαβιβάζονται σε όλες τις εγκεκριμένες χώρες (βλέπε κεφάλαιο 9.6).

Η πύλη παρακολουθεί ενεργά τις ημερομηνίες λήξης των παρτίδων και αφαιρεί τις παρτίδες που έχουν λήξει. Μετά τη διαγραφή μιας παρτίδας, η πύλη δίνει απάντηση “HTTP 410 Gone” για τη διεύθυνση URL της παρτίδας που έχει διαγραφεί. Ως εκ τούτου, η παρτίδα εμφανίζεται στο ευρετήριο παρτίδων ως “έχει διαγραφεί”.

9.4. Τύποι κατακερματισμού (Hash types)

Ο κατάλογος ανάκλησης περιέχει κατακερματισμούς που μπορούν να αντιπροσωπεύουν διαφορετικούς τύπους/χαρακτηριστικά ανάκλησης. Στην παροχή των καταλόγων ανάκλησης γίνεται μνεία των εν λόγω τύπων ή χαρακτηριστικών. Οι ισχύοντες τύποι είναι:

Τύπος	Χαρακτηριστικό	Υπολογισμός κατακερματισμού
SIGNATURE	DCC Signature	SHA256 of DCC Signature
UCI	UCI (Unique Certificate Identifier)	SHA256 of UCI
COUNTRYCODEUCI	Issuing Country Code + UCI	SHA256 of Issuing CountryCode + UCI

Μόνο τα πρώτα 128 δυφία (bits) των κατακερματισμών που κωδικοποιούνται ως συμβολοσειρές base64 τοποθετούνται στις παρτίδες και χρησιμοποιούνται για την ταυτοποίηση του ανακληθέντος DCC (1).

9.4.1. Τύπος κατακερματισμού: SHA256(DCC Signature)

Στην περίπτωση αυτή, ο κατακερματισμός υπολογίζεται επί των οκταδυφίων (bytes) της υπογραφής COSE_SIGN1 από το CWT. Για τις υπογραφές RSA, ως είσοδος χρησιμοποιείται το σύνολο της υπογραφής. Ο τύπος για τα υπογεγραμμένα πιστοποιητικά EC-DSA χρησιμοποιεί την τιμή r ως είσοδο:

SHA256(r)

[απαιτείται για όλες τις νέες υλοποιήσεις]

9.4.2. Τύπος κατακερματισμού: SHA256(UCI)

Στην περίπτωση αυτή, ο κατακερματισμός υπολογίζεται επί της συμβολοσειράς UCI που είναι κωδικοποιημένη σε UTF-8 και μετατρέπεται σε μονοδιάστατο πίνακα οκταδυφίων (byte).

[καταργημένο (2), αλλά υποστηρίζεται για λόγους αναδρομικής συμβατότητας]

9.4.3. Τύπος κατακερματισμού: SHA256(Issuing CountryCode+UCI)

Στην περίπτωση αυτή, ο CountryCode κωδικοποιείται ως συμβολοσειρά UTF-8 σε συνδυασμό με τον UCI, κωδικοποιημένο ως συμβολοσειρά UTF-8. Στη συνέχεια, μετατρέπεται σε μονοδιάστατο πίνακα οκταδυφίων και χρησιμοποιείται ως είσοδος στη συνάρτηση κατακερματισμού.

[καταργημένο2, αλλά υποστηρίζεται για λόγους αναδρομικής συμβατότητας]

9.5. Δομή API

9.5.1. API που παρέχει δυνατότητα ανάκλησης καταχώρισης

9.5.1.1. Σκοπός

Η API παραδίδει τις καταχωρίσεις του καταλόγου ανακλήσεων σε παρτίδες, συμπεριλαμβανομένου ενός ευρετηρίου παρτίδων.

9.5.1.2. Καταληκτικά σημεία (Endpoints)

9.5.1.2.1. Καταληκτικό σημείο τηλεφόρτωσης (download) καταλόγου παρτίδων

Τα καταληκτικά σημεία έχουν ένα απλό σχέδιο, επιστρέφοντας κατάλογο παρτίδων με ένα μικρό περιτύλιγμα που παρέχει μεταδεδομένα. Οι παρτίδες ταξινομούνται με βάση την ημερομηνία κατά αύξουσα (χρονολογική) σειρά:

/revocation-list

Verb: GET

Content-Type: application/json

Response: JSON Array

{

‘more’:true|false,

‘batches’:

[{

‘batchId’: ‘{uuid}’,

‘country’: ‘XY’,

‘date’: ‘2021-11-01T00:00:00Z’

‘deleted’: true | false

}, ..

]

}

Σημείωση: Τα αποτελέσματα περιορίζονται εκ προεπιλογής σε 1 000. Εάν η τιμή της ένδειξης “more” ορίζεται ως “true”, στην απάντηση εμφαίνεται ότι είναι διαθέσιμες περισσότερες παρτίδες προς τηλεφόρτωση. Για να τηλεφορτώσει περισσότερα στοιχεία, ο πελάτης πρέπει να ορίσει την κεφαλίδα (header) If-Modified-Since σε ημερομηνία που δεν είναι προγενέστερη από την τελευταία ληφθείσα καταχώριση.

Η απόκριση περιέχει μονοδιάστατο πίνακα JSON με την ακόλουθη δομή:

Πεδίο	Ορισμός
more	Σημαία Boolean που δείχνει ότι υπάρχουν περισσότερες παρτίδες.
batches	Μονοδιάστατος πίνακας με τις υφιστάμενες παρτίδες.
batchId	https://en.wikipedia.org/wiki/Universally_unique_identifier
country	Κωδικός χώρας ISO 3166
date	ISO 8601 Date UTC. Ημερομηνία προσθήκης ή διαγραφής της παρτίδας.
deleted	boolean. True εάν έχει διαγραφεί. Όταν οριστεί η διαγραφόμενη σημαία, η καταχώριση μπορεί τελικά να αφαιρεθεί από τα αποτελέσματα του ερωτήματος μετά από 7 ημέρες.

9.5.1.2.1.1. Κωδικοί απόκρισης

Κωδικός	Περιγραφή
200	Όλα ok.
204	Χωρίς περιεχόμενο, αν το περιεχόμενο της κεφαλίδας “If-Modified-Since” δεν έχει αντιστοιχία.

Κεφαλίδα αίτησης

Κεφαλίδα	Υποχρεωτική	Περιγραφή
If-Modified-Since	Ναι	Αυτή η κεφαλίδα περιέχει την τελευταία ημερομηνία τηλεφόρτωσης για να ληφθούν τα πιο πρόσφατα αποτελέσματα. Στην αρχική κλήση, η κεφαλίδα θα πρέπει να τεθεί στην τιμή ‘2021-06-01T00:00:00Z’

9.5.1.2.2. Καταληκτικό σημείο τηλεφόρτωσης (download) παρτίδας

Οι παρτίδες περιέχουν κατάλογο των αναγνωριστικών των πιστοποιητικών:

/revocation-list/{batchId}

Verb: GET

Accepts: application/cms

Response:CMS with Content

{

‘country’: ‘XY’,

‘expires’: ‘2022-11-01T00:00:00Z’,

‘kid’:‘23S+33f=’,

‘hashType’: ‘SIGNATURE’,

‘entries’:[{

‘hash’:‘e2e2e2e2e2e2e2e2’

}, ..]

}

Η απάντηση περιέχει CMS που περιλαμβάνει υπογραφή η οποία πρέπει να αντιστοιχεί στο πιστοποιητικό NBUP της χώρας. Όλα τα στοιχεία του μονοδιάστατου πίνακα JSON έχουν την ακόλουθη δομή:

Πεδίο	Υποχρεωτικό	Τύπος	Ορισμός
expires	Ναι	String	Ημερομηνία κατά την οποία το τεμάχιο μπορεί να αφαιρεθεί. ISO8601 Ημερομηνία/ώρα UTC
country	Ναι	String	Κωδικός χώρας ISO 3166
hashType	Ναι	String	Τύπος κατακερματισμού των παρεχόμενων καταχωρίσεων (βλέπε τύπους κατακερματισμού)
entries	Ναι	JSON Object Array	Βλέπε πίνακα Καταχωρίσεις
kid	Ναι	String	Για την υπογραφή του DCC χρησιμοποιείται το KID του DSC σε κωδικοποίηση base64. Αν δεν είναι γνωστό το KID, τότε μπορεί να χρησιμοποιηθεί η συμβολοσειρά `UNKNOWN_KID` (χωρίς τα `).
Σημειώσεις:

—	Οι παρτίδες ομαδοποιούνται με βάση την ημερομηνία λήξης και το DSC — όλα τα τεμάχια λήγουν ταυτόχρονα και έχουν υπογραφεί από το ίδιο κλειδί.

—	Η ώρα λήξης είναι μια ημερομηνία/ώρα σε UTC, διότι το ΕΕ-DCC είναι ένα παγκόσμιο σύστημα και πρέπει να χρησιμοποιήσουμε μη αμφίσημη ώρα.

—	Η ημερομηνία λήξης ενός μόνιμα ανακληθέντος DCC ορίζεται ως ημερομηνία λήξης του αντίστοιχου DSC που χρησιμοποιείται για την υπογραφή του DCC ή ως η ώρα λήξης του ανακληθέντος DCC (οπότε οι χρησιμοποιούμενες ώρες NumericDate/epoch θα θεωρούνται ότι βρίσκονται στη ζώνη ώρας UTC).

—	National Backend (Σημείωση: εθνικό σύστημα λειτουργιών παρασκηνίου) αφαιρεί τεμάχια από τον κατάλογο ανάκλησής τους κατά την ημερομηνία λήξης.

—	Το Σημείωση μπορεί να αφαιρέσει στοιχεία από τον κατάλογο ανάκλησης σε περίπτωση ανάκλησης του kid που χρησιμοποιήθηκε για την υπογραφή του DCC.

9.5.1.2.2.1. Καταχωρίσεις

Πεδίο	Υποχρεωτικό	Τύπος	Ορισμός
hash	Ναι	String	Τα πρώτα 128 bits του κατακερματισμού SHA256 κωδικοποιημένου ως συμβολοσειρά base64

Σημείωση: Το αντικείμενο καταχώρισης περιέχει επί του παρόντος απλώς έναν κατακερματισμό, αλλά για να είναι συμβατό με μελλοντικές αλλαγές επιλέχθηκε ένα αντικείμενο, αντί ενός μονοδιάταστου πίνακα json.

9.5.1.2.2.2. Κωδικοί απόκρισης

Κωδικός	Περιγραφή
200	Όλα ok.
410	Η παρτίδα αφαιρέθηκε. Η παρτίδα μπορεί να διαγραφεί στο εθνικό σύστημα λειτουργιών παρασκηνίου.

9.5.1.2.2.3. Κεφαλίδες της απόκρισης

Κεφαλίδα	Περιγραφή
ETag	ID παρτίδας.

9.5.1.2.3. Καταληκτικό σημείο μεταφόρτωσης (upload) της παρτίδας

Η μεταφόρτωση πραγματοποιείται στο ίδιο καταληκτικό σημείο μέσω του ρήματος POST:

/revocation-list

Verb: POST

Accepts: application/cms

Request: CMS with Content

ContentType: application/cms

Content:

{

‘country’: ‘XY’,

‘expires’: ‘2022-11-01T00:00:00Z’,

‘kid’:‘23S+33f=’,

‘hashType’:‘SIGNATURE’,

‘entries’:[{

‘hash’:‘e2e2e2e2e2e2e2e2’

}, ..]

}

Η παρτίδα υπογράφεται χρησιμοποιώντας το πιστοποιητικό NBUP. Η πύλη επαληθεύει ότι η υπογραφή έχει τεθεί από την NBUP για τη δεδομένη χώρα. Εάν ο έλεγχος υπογραφής αποτύχει, τότε η μεταφόρτωση αποτυγχάνει.

ΣΗΜΕΙΩΣΗ: Κάθε παρτίδα είναι αμετάβλητη και δεν μπορεί να αλλάξει μετά τη μεταφόρτωση. Ωστόσο, μπορεί να διαγραφεί. Αποθηκεύεται το αναγνωριστικό κάθε διαγραμμένης παρτίδας και απορρίπτεται κάθε μεταφόρτωση νέας παρτίδας με το ίδιο αναγνωριστικό.

9.5.1.2.4. Καταληκτικό σημείο διαγραφής παρτίδας

Μια παρτίδα μπορεί να διαγραφεί στο ίδιο καταληκτικό σημείο μέσω του ρήματος DELETE:

/revocation-list

Verb: DELETE

Accepts: application/cms

ContentType: application/cms

Request: CMS with Content

Content:

{

‘batchId’: ‘...’

}

ή, για λόγους συμβατότητας, στο ακόλουθο καταληκτικό σημείο με το ρήμα POST:

/revocation-list/delete

Verb: POST

Accepts: application/cms

ContentType: application/cms

Request: CMS with Content

Content:

{

‘batchId’: ‘...’

}

9.6. Προστασία API/ΓΚΠΔ

Στην παρούσα ενότητα προσδιορίζονται μέτρα για την υλοποίηση με σκοπό τη συμμόρφωση με τις διατάξεις του κανονισμού 2021/953 όσον αφορά την επεξεργασία δεδομένων προσωπικού χαρακτήρα.

9.6.1. Υφιστάμενη επαλήθευση ταυτότητας

Η πύλη χρησιμοποιεί επί του παρόντος το πιστοποιητικό NBTLS για την επαλήθευση της ταυτότητας των χωρών που συνδέονται με την πύλη. Η εν λόγω επαλήθευση ταυτότητας μπορεί να χρησιμοποιηθεί για τον προσδιορισμό της ταυτότητας της χώρας που συνδέεται με την πύλη. Η ταυτότητα αυτή μπορεί στη συνέχεια να χρησιμοποιηθεί για την υλοποίηση ελέγχου πρόσβασης.

9.6.2. Έλεγχος πρόσβασης

Για να είναι σε θέση να επεξεργάζεται νομίμως δεδομένα προσωπικού χαρακτήρα, η πύλη υλοποιεί μηχανισμό ελέγχου της πρόσβασης.

Η πύλη υλοποιεί κατάλογο ελέγχου πρόσβασης σε συνδυασμό με ασφάλεια βάσει Ρόλων. Στο σύστημα αυτό, πρέπει να τηρούνται δύο πίνακες — ο ένας πίνακας περιγράφει ποιοι Ρόλοι μπορούν να εφαρμόσουν ποιες Πράξεις σε ποιους Πόρους, ενώ ο άλλος πίνακας περιγράφει τους Ρόλους που αποδίδονται στους Χρήστες.

Για την υλοποίηση των ελέγχων που απαιτούνται από το παρόν έγγραφο, απαιτούνται τρεις Ρόλοι, οι ακόλουθοι:

RevocationListReader

RevocationUploader

RevocationDeleter

Τα ακόλουθα καταληκτικά σημεία ελέγχουν αν ο Χρήστης έχει τον Ρόλο RevocationListReader· εάν τον έχει, χορηγείται πρόσβαση, διαφορετικά επιστρέφεται το μήνυμα HTTP 403 Forbidden:

GET/revocation-list/

GET/revocation-list/{batchId}

Τα ακόλουθα καταληκτικά σημεία ελέγχουν αν ο Χρήστης έχει τον Ρόλο RevocationUploader· εάν τον έχει, χορηγείται πρόσβαση, διαφορετικά επιστρέφεται το μήνυμα HTTP 403 Forbidden:

POST/revocation-list

Τα ακόλουθα καταληκτικά σημεία ελέγχουν αν ο Χρήστης έχει τον Ρόλο RevocationDeleter· εάν τον έχει, χορηγείται πρόσβαση, διαφορετικά επιστρέφεται το μήνυμα HTTP 403 Forbidden:

DELETE/revocation-list

POST/revocation-list/delete

Η πύλη παρέχει επίσης μια αξιόπιστη μέθοδο με την οποία οι διαχειριστές μπορούν να διαχειρίζονται τους Ρόλους που συνδέονται με τους Χρήστες με τρόπο που μειώνει την πιθανότητα ανθρώπινων σφαλμάτων και ταυτόχρονα δεν επιβαρύνει τους λειτουργικούς διαχειριστές.»

(1) Παρακαλείστε επίσης να εξετάσετε το σημείο 9.5.1.2 για τις λεπτομερείς περιγραφές API

(2) Καταργημένο σημαίνει ότι το χαρακτηριστικό αυτό δεν λαμβάνεται υπόψη για νέες υλοποιήσεις, αλλά υποστηρίζεται για υφιστάμενες υλοποιήσεις για σαφώς καθορισμένο χρονικό διάστημα.

ΠΑΡΑΡΤΗΜΑ II

Η ενότητα 3 του παραρτήματος V της εκτελεστικής απόφασης 2021/1073 αντικαθίσταται από το ακόλουθο κείμενο:

«3. Κοινές δομές και γενικές απαιτήσεις

Το Ψηφιακό Πιστοποιητικό COVID της ΕΕ δεν εκδίδεται εάν δεν έχουν συμπληρωθεί ορθώς όλα τα πεδία δεδομένων σύμφωνα με την παρούσα προδιαγραφή, λόγω ελλιπών πληροφοριών. Αυτό δεν επηρεάζει την υποχρέωση των κρατών μελών να εκδίδουν Ψηφιακά Πιστοποιητικά COVID της ΕΕ.

Οι πληροφορίες σε όλα τα πεδία μπορούν να παρέχονται χρησιμοποιώντας το πλήρες σύνολο χαρακτήρων UNICODE 13.0 με κωδικοποίηση UTF-8, εκτός εάν περιορίζονται συγκεκριμένα στα σύνολα τιμών ή σε σύνολα χαρακτήρων μικρότερου μήκους.

Η κοινή δομή έχει ως εξής:

"JSON":{

"ver":<στοιχεία έκδοσης>,

"nam":{

<ονοματεπώνυμο>

"dob":<ημερομηνία γέννησης>,

«v» ή «t» ή "r":[

{<Στοιχεία δόσης εμβολιασμού ή διαγνωστικού ελέγχου ή ανάρρωσης, μία καταχώριση>}

]

}

Αναλυτικές πληροφορίες για κάθε ομάδα και κάθε πεδίο παρέχονται στις επόμενες παραγράφους.

Σε περίπτωση που οι κανόνες ορίζουν ότι ένα πεδίο παραλείπεται, αυτό σημαίνει ότι το περιεχόμενό του πρέπει να είναι κενό και ότι ούτε το όνομα ούτε η τιμή του πεδίου επιτρέπονται στο περιεχόμενο.

3.1. Έκδοση

Παρέχονται πληροφορίες σχετικά με την έκδοση. Η χρήση διαφορετικών εκδόσεων ακολουθεί την προδιαγραφή Semantic Versioning (semver: https://semver.org). Σε επίπεδο χορήγησης, είναι μία από τις εκδόσεις που κυκλοφορούν επισήμως (τρέχουσα έκδοση ή μία από τις προηγούμενες εκδόσεις). Βλέπε ενότητα JSON Schema location για περισσότερες λεπτομέρειες.

Αναγνωριστικό πεδίου

Ονομασία πεδίου

Οδηγίες

ver

Έκδοση σχήματος

Αντιστοιχεί στο αναγνωριστικό της έκδοσης σχήματος που χρησιμοποιείται για τη χορήγηση του EUDCC.

Παράδειγμα:

"ver":"1.3.0"

3.2. Ονοματεπώνυμο και ημερομηνία γέννησης

Το ονοματεπώνυμο είναι το επίσημο πλήρες ονοματεπώνυμο του προσώπου, και ταυτίζεται με το ονοματεπώνυμο που εμφανίζεται στα ταξιδιωτικά έγγραφα. Το αναγνωριστικό της δομής είναι nam. Συμπληρώνεται ακριβώς 1 (ένα) ονοματεπώνυμο.

Αναγνωριστικό πεδίου	Ονομασία πεδίου	Οδηγίες
nam/fn	Επώνυμο/-α	Επώνυμο/-α του/της κατόχου. Αν ο/η κάτοχος δεν διαθέτει επώνυμα και διαθέτει όνομα, το πεδίο παραλείπεται. Σε όλες τις άλλες περιπτώσεις, συμπληρώνεται ακριβώς 1 (ένα) μη κενό πεδίο, στο οποίο περιλαμβάνονται όλα τα επώνυμα. Εάν υπάρχουν περισσότερα του ενός επώνυμα, χωρίζονται με κενό διάστημα. Ωστόσο, τα σύνθετα ονόματα που περιλαμβάνουν ενωτικό (-) ή παρεμφερείς χαρακτήρες πρέπει να παραμένουν ως έχουν. Παραδείγματα: "fn":"Musterfrau-Gößinger" "fn":"Musterfrau-Gößinger Müller»
nam/fnt	Τυποποιημένο/-α επώνυμο/-α	Το/Τα επώνυμο/-α του/της κατόχου μεταγραμμένο/-α με χρήση των ίδιων συμφωνημένων κανόνων με εκείνους που χρησιμοποιούνται στα μηχανικώς αναγνώσιμα ταξιδιωτικά έγγραφα του/της κατόχου (όπως οι κανόνες που ορίζονται στην προδιαγραφή ICAO Doc 9303 Part 3). Αν ο/η κάτοχος δεν διαθέτει επώνυμα και διαθέτει όνομα, το πεδίο παραλείπεται. Σε όλες τις άλλες περιπτώσεις, συμπληρώνεται ακριβώς 1 (ένα) μη κενό πεδίο, χρησιμοποιώντας μόνο τους χαρακτήρες A-Z και <. Μέγιστο μήκος: 80 χαρακτήρες (σύμφωνα με την προδιαγραφή ICAO 9303). Παραδείγματα: "fnt":"MUSTERFRAU<GOESSINGER" "fnt":"MUSTERFRAU<GOESSINGER<MUELLER"
nam/gn	Όνομα/Ονόματα	Το/Τα όνομα/ονόματα, π.χ. το/τα βαφτιστικό/-ά όνομα/ονόματα, του/της κατόχου. Αν ο/η κάτοχος δεν διαθέτει ονόματα και διαθέτει επώνυμο, το πεδίο παραλείπεται. Σε όλες τις άλλες περιπτώσεις, συμπληρώνεται ακριβώς 1 (ένα) μη κενό πεδίο, στο οποίο περιλαμβάνονται όλα τα ονόματα. Εάν υπάρχουν περισσότερα του ενός ονόματα, χωρίζονται με κενό διάστημα. Παράδειγμα: "gn":"Isolde Erika "
nam/gnt	Τυποποιημένο/α όνομα/ονόματα	Το όνομα/ονόματα του/της κατόχου μεταγραμμένο/-α με χρήση των ίδιων συμφωνημένων κανόνων με εκείνους που χρησιμοποιούνται στα μηχανικώς αναγνώσιμα ταξιδιωτικά έγγραφα του/της κατόχου (όπως οι κανόνες που ορίζονται στην προδιαγραφή ICAO Doc 9303 Part 3). Αν ο/η κάτοχος δεν διαθέτει ονόματα και διαθέτει επώνυμο, το πεδίο παραλείπεται. Σε όλες τις άλλες περιπτώσεις, συμπληρώνεται ακριβώς 1 (ένα) μη κενό πεδίο, χρησιμοποιώντας μόνο τους χαρακτήρες A-Z και <. Μέγιστο μήκος: 80 χαρακτήρες. Παράδειγμα: "gnt":"ISOLDE<ERIKA"
dob	Ημερομηνία γέννησης	Η ημερομηνία γέννησης του/της κατόχου του ψηφιακού πιστοποιητικού COVID. Πλήρης ή μερική ημερομηνία χωρίς αναφορά ώρας εντός του χρονικού εύρους από 1900-01-01 έως 2099-12-31. Συμπληρώνεται ακριβώς 1 (ένα) μη κενό πεδίο εφόσον είναι γνωστή η πλήρης ή μερική ημερομηνία γέννησης. Εάν η ημερομηνία γέννησης δεν είναι γνωστή έστω εν μέρει, το πεδίο σημειώνεται ως κενή συμβολοσειρά "". Τα στοιχεία θα πρέπει να ταυτίζονται με τις πληροφορίες που περιλαμβάνονται στα ταξιδιωτικά έγγραφα. Εάν υπάρχουν διαθέσιμα στοιχεία για την ημερομηνία γέννησης, χρησιμοποιείται ένας από τους ακόλουθους μορφότυπους ISO 8601. Δεν υποστηρίζονται άλλες επιλογές μορφοτύπου. ΕΕΕΕ-ΜΜ-ΗΗ ΕΕΕΕ-ΜΜ ΕΕΕΕ [Η εφαρμογή (app) του ελεγκτή μπορεί να εμφανίζει τα ελλείποντα μέρη της ημερομηνίας γέννησης χρησιμοποιώντας τους συμφωνημένους κανόνες που χρησιμοποιούνται και στα μηχανικώς αναγνώσιμα ταξιδιωτικά έγγραφα, π.χ. 1990-XX-XX.] Παραδείγματα: "dob":"1979-04-14" "dob":"1901-08" "dob":"1939" "dob":""

3.3. Ομάδες για τις ειδικές πληροφορίες για κάθε τύπο πιστοποιητικού

Το σχήμα JSON υποστηρίζει τρεις ομάδες καταχωρίσεων οι οποίες περιλαμβάνουν τις ειδικές πληροφορίες για κάθε τύπο πιστοποιητικού. Κάθε EUDCC περιέχει ακριβώς 1 (μία) ομάδα. Δεν επιτρέπονται κενές ομάδες.

Αναγνωριστικό ομάδας	Ονομασία ομάδας	Καταχωρίσεις
v	Ομάδα για τον εμβολιασμό	Εάν υπάρχει, περιέχει ακριβώς 1 (μία) καταχώριση η οποία περιγράφει ακριβώς 1 (μία) δόση εμβολιασμού.
t	Ομάδα για τους διαγνωστικούς ελέγχους	Εάν υπάρχει, περιέχει ακριβώς 1 (μία) καταχώριση η οποία περιγράφει ακριβώς 1 (ένα) αποτέλεσμα διαγνωστικού ελέγχου.
r	Ομάδα για την ανάρρωση	Εάν υπάρχει, περιέχει ακριβώς 1 (μία) καταχώριση η οποία περιγράφει 1 (μία) δήλωση ανάρρωσης.»

ΠΑΡΑΡΤΗΜΑ III

«ΠΑΡΑΡΤΗΜΑ VI

ΑΡΜΟΔΙΟΤΗΤΕΣ ΤΩΝ ΚΡΑΤΩΝ ΜΕΛΩΝ ΩΣ ΑΠΟ ΚΟΙΝΟΥ ΥΠΕΥΘΥΝΩΝ ΕΠΕΞΕΡΓΑΣΙΑΣ ΓΙΑ ΤΗΝ ΨΗΦΙΑΚΗ ΠΥΛΗ ΠΙΣΤΟΠΟΙΗΤΙΚΩΝ COVID ΤΗΣ ΕΕ ΓΙΑ ΤΗΝ ΑΝΤΑΛΛΑΓΗ ΚΑΤΑΛΟΓΩΝ ΑΝΑΚΛΗΣΗΣ ΤΩΝ EUDCC

ΕΝΟΤΗΤΑ 1

Υποενότητα 1

Καταμερισμός αρμοδιοτήτων

Οι από κοινού υπεύθυνοι επεξεργασίας επεξεργάζονται δεδομένα προσωπικού χαρακτήρα μέσω της πύλης – πλαισίου εμπιστοσύνης σύμφωνα με τις τεχνικές προδιαγραφές στο παράρτημα I.

Οι εκδίδουσες αρχές των κρατών μελών παραμένουν ο μοναδικός υπεύθυνος επεξεργασίας για τη συλλογή, τη χρήση, την κοινολόγηση και κάθε άλλη επεξεργασία πληροφοριών ανάκλησης εκτός της πύλης, συμπεριλαμβανομένης της διαδικασίας που οδηγεί στην ανάκληση πιστοποιητικού.

Κάθε υπεύθυνος επεξεργασίας είναι υπεύθυνος για την επεξεργασία δεδομένων προσωπικού χαρακτήρα στην πύλη – πλαίσιο εμπιστοσύνης σύμφωνα με τα άρθρα 5, 24 και 26 του γενικού κανονισμού για την προστασία δεδομένων.

Κάθε υπεύθυνος επεξεργασίας συγκροτεί ένα σημείο επικοινωνίας με υπηρεσιακή ηλεκτρονική θυρίδα που θα χρησιμεύει για την επικοινωνία μεταξύ των ίδιων των από κοινού υπευθύνων επεξεργασίας, καθώς και μεταξύ των από κοινού υπευθύνων επεξεργασίας και του εκτελούντος την επεξεργασία.

Η ομάδα εργασίας που συγκροτείται από την επιτροπή που αναφέρεται στο άρθρο 14 του κανονισμού (ΕΕ) 2021/953 υποχρεούται να λαμβάνει αποφάσεις επί κάθε ζητήματος που προκύπτει από την ανταλλαγή καταλόγων ανάκλησης και από την κοινή ευθύνη επεξεργασίας για τη σχετική επεξεργασία δεδομένων προσωπικού χαρακτήρα, και να διευκολύνει τη συντονισμένη παροχή οδηγιών στην Επιτροπή ως εκτελούντα την επεξεργασία. Η διαδικασία λήψης αποφάσεων των από κοινού υπευθύνων επεξεργασίας ρυθμίζεται από την εν λόγω ομάδα εργασίας και από τον εσωτερικό κανονισμό που πρόκειται να εγκριθεί από αυτήν. Ως βασικός κανόνας, η μη συμμετοχή οποιουδήποτε από τους από κοινού υπευθύνους επεξεργασίας σε συνεδρίαση της εν λόγω ομάδας εργασίας η οποία έχει ανακοινωθεί εγγράφως τουλάχιστον επτά (7) ημέρες πριν συγκληθεί, οδηγεί σε σιωπηρή συμφωνία με τα αποτελέσματα της εν λόγω συνεδρίασης της ομάδας εργασίας. Οποιοσδήποτε από τους από κοινού υπευθύνους επεξεργασίας μπορεί να συγκαλέσει συνεδρίαση της εν λόγω ομάδας εργασίας.

Οι οδηγίες προς τον εκτελούντα την επεξεργασία αποστέλλονται από οποιοδήποτε από τα σημεία επαφής των από κοινού υπευθύνων επεξεργασίας, όπως ίσχυς για τη διαδικασία λήψης αποφάσεων της ομάδας εργασίας, που περιγράφεται στο σημείο 5) ανωτέρω. Ο από κοινού υπεύθυνος επεξεργασίας που παρέχει τις οδηγίες θα πρέπει να τις παρέχει εγγράφως στον εκτελούντα την επεξεργασία και να ενημερώνει σχετικά όλους τους άλλους από κοινού υπευθύνους επεξεργασίας. Εάν το υπό εξέταση θέμα είναι επαρκώς κρίσιμο από άποψη χρόνου ώστε να μην είναι δυνατή η συνεδρίαση της ομάδας εργασίας, όπως αναφέρεται στο σημείο 5) ανωτέρω, μπορεί παρ’ όλα αυτά να παρασχεθεί εντολή, η οποία όμως μπορεί να ανακληθεί από την ομάδα εργασίας. Η εντολή αυτή θα πρέπει να παρέχεται εγγράφως και όλοι οι άλλοι από κοινού υπεύθυνοι επεξεργασίας θα πρέπει να ενημερώνονται σχετικά κατά τον χρόνο παροχής της εντολής.

Η ομάδα εργασίας, όπως ορίζεται στο σημείο 5) ανωτέρω, δεν αποκλείει την ατομική αρμοδιότητα των από κοινού υπευθύνων επεξεργασίας να ενημερώνουν την αρμόδια εποπτική αρχή τους σύμφωνα με τα άρθρα 33 και 24 του γενικού κανονισμού για την προστασία δεδομένων. Για την κοινοποίηση αυτή δεν απαιτείται η συγκατάθεση κανενός από τους άλλους από κοινού υπευθύνους επεξεργασίας.

Στο πεδίο εφαρμογής της πύλης – πλαισίου εμπιστοσύνης, μόνο πρόσωπα εξουσιοδοτημένα από τις εθνικές αρχές ή τους επίσημους φορείς που έχουν οριστεί μπορούν να έχουν πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που ανταλλάσσονται.

Κάθε εκδίδουσα αρχή τηρεί αρχείο των δραστηριοτήτων επεξεργασίας για τις οποίες είναι υπεύθυνη. Η κοινή ευθύνη επεξεργασίας μπορεί να αναφέρεται στο αρχείο.

Υποενότητα 2

Αρμοδιότητες και ρόλοι ως προς τον χειρισμό των αιτημάτων των υποκειμένων των δεδομένων και την ενημέρωσή τους

Κάθε υπεύθυνος επεξεργασίας, υπό την ιδιότητά του ως εκδίδουσας αρχής, παρέχει στα φυσικά πρόσωπα των οποίων το/τα πιστοποιητικό/-ά έχει ανακαλέσει (στο εξής: υποκείμενα των δεδομένων) πληροφορίες σχετικά με την εν λόγω ανάκληση και την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που τα αφορούν στην πύλη ψηφιακών πιστοποιητικών COVID της ΕΕ για τους σκοπούς της υποστήριξης της ανταλλαγής καταλόγων ανάκλησης, σύμφωνα με το άρθρο 14 του γενικού κανονισμού για την προστασία δεδομένων, εκτός εάν αυτό αποδεικνύεται αδύνατο ή απαιτεί δυσανάλογη προσπάθεια.

Κάθε υπεύθυνος επεξεργασίας ενεργεί ως σημείο επικοινωνίας για τα φυσικά πρόσωπα των οποίων το πιστοποιητικό έχει ανακαλέσει και χειρίζεται τα αιτήματα που υποβάλλουν τα υποκείμενα των δεδομένων ή οι εκπρόσωποί τους κατά την άσκηση των δικαιωμάτων τους σύμφωνα με τον γενικό κανονισμό για την προστασία δεδομένων. Εάν ένας από κοινού υπεύθυνος επεξεργασίας παραλάβει αίτηση από υποκείμενο δεδομένων, η οποία αφορά πιστοποιητικό που έχει εκδοθεί από άλλον από κοινού υπεύθυνο επεξεργασίας, ενημερώνει το υποκείμενο των δεδομένων για την ταυτότητα και τα στοιχεία επικοινωνίας του εν λόγω αρμόδιου από κοινού υπευθύνου επεξεργασίας. Εφόσον τους ζητηθεί από άλλον από κοινού υπεύθυνο επεξεργασίας, οι από κοινού υπεύθυνοι επεξεργασίας παρέχουν ο ένας στον άλλον αμοιβαία συνδρομή για τη διεκπεραίωση των αιτήσεων των υποκειμένων των δεδομένων και απαντούν ο ένας στον άλλον χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο εντός 1 μηνός από την παραλαβή του αιτήματος συνδρομής. Εάν ένα αίτημα σχετίζεται με δεδομένα που υποβάλλονται από τρίτη χώρα, ο υπεύθυνος επεξεργασίας που λαμβάνει το αίτημα το χειρίζεται και ενημερώνει το υποκείμενο των δεδομένων σχετικά με την ταυτότητα και τα στοιχεία επικοινωνίας της εκδίδουσας αρχής στην τρίτη χώρα.

Κάθε υπεύθυνος επεξεργασίας θέτει στη διάθεση των υποκειμένων των δεδομένων το περιεχόμενο του παρόντος παραρτήματος, συμπεριλαμβανομένων των ρυθμίσεων που προβλέπονται στα σημεία 1) και 2).

ΕΝΟΤΗΤΑ 2

Διαχείριση περιστατικών ασφάλειας, συμπεριλαμβανομένων παραβιάσεων δεδομένων προσωπικού χαρακτήρα

Οι από κοινού υπεύθυνοι επεξεργασίας συνεργάζονται μεταξύ τους για τον εντοπισμό και τον χειρισμό τυχόν περιστατικών ασφάλειας, συμπεριλαμβανομένων παραβιάσεων δεδομένων προσωπικού χαρακτήρα, που συνδέονται με την επεξεργασία στην πύλη ψηφιακών πιστοποιητικών COVID της ΕΕ.

Ιδίως, οι από κοινού υπεύθυνοι επεξεργασίας κοινοποιούν ο ένας στον άλλον τα ακόλουθα:

α)	κάθε δυνητικό ή πραγματικό κίνδυνο για τη διαθεσιμότητα, την εμπιστευτικότητα και/ή την ακεραιότητα των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία στην πύλη – πλαίσιο εμπιστοσύνης·

β)

κάθε παραβίαση δεδομένων προσωπικού χαρακτήρα, τις πιθανές συνέπειες της παραβίασης των δεδομένων προσωπικού χαρακτήρα και την αξιολόγηση του κινδύνου για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, καθώς και κάθε μέτρο που λαμβάνεται για την αντιμετώπιση της παραβίασης των δεδομένων προσωπικού χαρακτήρα και τον μετριασμό του κινδύνου για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων·

γ)	κάθε παραβίαση των τεχνικών και/ή οργανωτικών διασφαλίσεων της πράξης επεξεργασίας στην πύλη – πλαίσιο εμπιστοσύνης.

Οι από κοινού υπεύθυνοι επεξεργασίας ανακοινώνουν στην Επιτροπή, στις αρμόδιες εποπτικές αρχές και, εφόσον απαιτείται, στα υποκείμενα των δεδομένων κάθε παραβίαση δεδομένων προσωπικού χαρακτήρα η οποία σχετίζεται με πράξη επεξεργασίας στην πύλη – πλαίσιο εμπιστοσύνης, σύμφωνα με τα άρθρα 33 και 34 του γενικού κανονισμού για την προστασία δεδομένων ή κατόπιν γνωστοποίησης από την Επιτροπή.

Κάθε εκδίδουσα αρχή εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα, με σκοπό:

α)	να διασφαλίζει και προστατεύει τη διαθεσιμότητα, την ακεραιότητα και την εμπιστευτικότητα των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε από κοινού επεξεργασία·

β)	την παροχή προστασίας από κάθε μη εξουσιοδοτημένη ή παράνομη επεξεργασία, απώλεια, χρήση, κοινολόγηση ή απόκτηση ή προσπέλαση δεδομένων προσωπικού χαρακτήρα που έχει στην κατοχή της·

γ)	τη διασφάλιση του ότι η πρόσβαση στα δεδομένα προσωπικού χαρακτήρα δεν κοινολογείται ούτε επιτρέπεται σε κανέναν άλλον εκτός από τους αποδέκτες ή τους εκτελούντες την επεξεργασία.

ΕΝΟΤΗΤΑ 3

Εκτίμηση αντικτύπου σχετικά με την προστασία των δεδομένων

Αν ένας υπεύθυνος επεξεργασίας, προκειμένου να συμμορφωθεί με τις υποχρεώσεις του που ορίζονται στα άρθρα 35 και 36 του κανονισμού (ΕΕ) 2016/679, χρειάζεται πληροφορίες από άλλον υπεύθυνο επεξεργασίας, αποστέλλει ειδικό αίτημα στην υπηρεσιακή ηλεκτρονική θυρίδα που αναφέρεται στην ενότητα 1 υποενότητα 1 σημείο 4). Ο τελευταίος καταβάλλει κάθε δυνατή προσπάθεια για την παροχή των εν λόγω πληροφοριών.

ΠΑΡΑΡΤΗΜΑ IV

«ΠΑΡΑΡΤΗΜΑ VII

ΑΡΜΟΔΙΟΤΗΤΕΣ ΤΗΣ ΕΠΙΤΡΟΠΗΣ ΩΣ ΕΚΤΕΛΟΥΝΤΟΣ ΤΗΝ ΕΠΕΞΕΡΓΑΣΙΑ ΓΙΑ ΤΗΝ ΠΥΛΗ ΨΗΦΙΑΚΩΝ ΠΙΣΤΟΠΟΙΗΤΙΚΩΝ COVID ΤΗΣ ΕΕ ΓΙΑ ΤΗΝ ΥΠΟΣΤΗΡΙΞΗ ΤΗΣ ΑΝΤΑΛΛΑΓΗΣ ΚΑΤΑΣΤΑΣΕΩΝ ΑΝΑΚΛΗΣΗΣ ΤΩΝ DCC ΤΗΣ ΕΕ

Η Επιτροπή:

1)	θεσπίζει και διασφαλίζει ασφαλή και αξιόπιστη υποδομή επικοινωνίας εξ ονόματος των κρατών μελών, η οποία θα υποστηρίζει την ανταλλαγή καταλόγων ανάκλησης που υποβάλλονται στην πύλη ψηφιακών πιστοποιητικών COVID.

Για την εκπλήρωση των υποχρεώσεών της ως εκτελούντος την επεξεργασία δεδομένων της πύλης – πλαισίου εμπιστοσύνης για τα κράτη μέλη, η Επιτροπή μπορεί να προσλαμβάνει τρίτα μέρη ως υπεργολάβους επεξεργασίας· η Επιτροπή ενημερώνει τους από κοινού υπευθύνους επεξεργασίας για τυχόν σκοπούμενες αλλαγές που αφορούν την προσθήκη ή την αντικατάσταση των άλλων υπεργολάβων επεξεργασίας, παρέχοντας με τον τρόπο αυτό τη δυνατότητα στους υπευθύνους επεξεργασίας να αντιταχθούν από κοινού σε αυτές τις αλλαγές. Η Επιτροπή μεριμνά ώστε να ισχύουν γι’ αυτούς τους υπεργολάβους επεξεργασίας οι ίδιες υποχρεώσεις προστασίας δεδομένων που ορίζονται στην παρούσα απόφαση.

Επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα μόνο βάσει καταγεγραμμένων εντολών των υπευθύνων επεξεργασίας, εκτός εάν υποχρεούται προς τούτο βάσει του δικαίου της Ένωσης ή του δικαίου του κράτους μέλους· σ’ αυτήν την περίπτωση, η Επιτροπή ενημερώνει τους από κοινού υπευθύνους επεξεργασίας για την εν λόγω νομική απαίτηση πριν από την πραγματοποίηση της δραστηριότητας επεξεργασίας, εκτός εάν το εν λόγω δίκαιο απαγορεύει αυτού του είδους την ενημέρωση για σοβαρούς λόγους δημόσιου συμφέροντος.

Η επεξεργασία από την Επιτροπή συνίσταται στα ακόλουθα:

α)	επαλήθευση της ταυτότητας των εθνικών διακομιστών παρασκηνίου βάσει των πιστοποιητικών των εθνικών διακομιστών παρασκηνίου·

β)	παραλαβή των δεδομένων του άρθρου 5α παράγραφος 3 της απόφασης, τα οποία μεταφορτώνονται από τους εθνικούς διακομιστές παρασκηνίου με την παροχή διεπαφής προγραμματισμού εφαρμογών που επιτρέπει στους εθνικούς διακομιστές παρασκηνίου τη μεταφόρτωση των σχετικών δεδομένων·

γ)	αποθήκευση των δεδομένων στην πύλη ψηφιακών πιστοποιητικών COVID της ΕΕ·

δ)	διάθεση των δεδομένων για τηλεφόρτωση από τους εθνικούς διακομιστές παρασκηνίου·

ε)	διαγραφή των δεδομένων κατά την ημερομηνία λήξης ή κατόπιν εντολής του υπεύθυνου επεξεργασίας που τα υπέβαλε·

στ)	μετά το πέρας της παροχής υπηρεσιών, διαγραφή τυχόν υπόλοιπων δεδομένων, εκτός εάν το δίκαιο της Ένωσης ή κράτους μέλους απαιτεί την αποθήκευση των δεδομένων προσωπικού χαρακτήρα.

Λαμβάνει όλα τα οργανωτικά, φυσικά και λογικά μέτρα ασφαλείας τελευταίας τεχνολογίας για τη συντήρηση της πύλης ψηφιακών πιστοποιητικών COVID της ΕΕ. Για τον σκοπό αυτό, η Επιτροπή:

α)

ορίζει μια υπεύθυνη οντότητα για τη διαχείριση της ασφάλειας στο επίπεδο της πύλης ψηφιακών πιστοποιητικών COVID της ΕΕ, κοινοποιεί στους από κοινού υπευθύνους επεξεργασίας τα στοιχεία επικοινωνίας μ’ αυτή και εξασφαλίζει ότι η οντότητα αυτή θα είναι διαθέσιμη να αντιδρά σε απειλές κατά της ασφάλειας·

β)	αναλαμβάνει την ευθύνη για την ασφάλεια της πύλης ψηφιακών πιστοποιητικών COVID της ΕΕ, συμπεριλαμβανομένης της τακτικής διενέργειας δοκιμών, αξιολογήσεων και εκτιμήσεων των μέτρων ασφάλειας·

γ)	μεριμνά ώστε όλα τα άτομα στα οποία έχει χορηγηθεί πρόσβαση στην πύλη ψηφιακών πιστοποιητικών COVID της ΕΕ να υπόκεινται σε συμβατική, επαγγελματική ή εκ του νόμου προβλεπόμενη υποχρέωση τήρησης εμπιστευτικότητας.

Λαμβάνει όλα τα αναγκαία μέτρα ασφάλειας ώστε να αποφεύγεται η διασάλευση της ομαλής λειτουργίας των εθνικών διακομιστών παρασκηνίου. Για τον σκοπό αυτό, η Επιτροπή θεσπίζει τις ειδικές διαδικασίες που αφορούν τη σύνδεση των διακομιστών παρασκηνίου με την πύλη ψηφιακών πιστοποιητικών COVID της ΕΕ. Οι εν λόγω διαδικασίες περιλαμβάνουν:

α)	διαδικασία αξιολόγησης κινδύνων για τον εντοπισμό και την εκτίμηση πιθανών απειλών κατά του συστήματος·

β)

διαδικασία ελέγχου και επιθεώρησης με σκοπό:

i.	να ελέγχεται η αντιστοιχία μεταξύ των εφαρμοζόμενων μέτρων ασφάλειας και της πολιτικής ασφάλειας που ακολουθείται·

ii.	να ελέγχονται σε τακτική βάση η ακεραιότητα των αρχείων του συστήματος, οι παράμετροι ασφαλείας και οι χορηγούμενες άδειες·

iii.	να υπάρχει παρακολούθηση προκειμένου να εντοπίζονται παραβιάσεις και παρεισφρήσεις στον τομέα της ασφάλειας·

iv.	να γίνονται αλλαγές για τον μετριασμό των υφιστάμενων αδυναμιών στον τομέα της ασφάλειας·

να ορίζονται οι προϋποθέσεις υπό τις οποίες επιτρέπεται η διενέργεια, μεταξύ άλλων κατόπιν αιτήματος των υπευθύνων επεξεργασίας, και η συμβολή στη διενέργεια ανεξάρτητων ελέγχων, συμπεριλαμβανομένων επιθεωρήσεων, και αξιολογήσεων των μέτρων ασφαλείας, και διευκολύνεται η διεξαγωγή τους, με την επιφύλαξη προϋποθέσεων που σέβονται το πρωτόκολλο (αριθ. 7) της ΣΛΕΕ περί των προνομίων και ασυλιών της Ευρωπαϊκής Ένωσης.

γ)	αλλαγή της διαδικασίας ελέγχου για την τεκμηρίωση και τη μέτρηση του αντικτύπου μιας αλλαγής πριν από την υλοποίησή της και ενημέρωση των από κοινού υπευθύνων επεξεργασίας σχετικά με τυχόν αλλαγές που μπορούν να επηρεάσουν την επικοινωνία με τις υποδομές τους και/ή την ασφάλεια των υποδομών αυτών·

δ)	πρόβλεψη διαδικασίας συντήρησης και επισκευής για τον καθορισμό των κανόνων και των όρων που πρέπει να τηρούνται κατά τη συντήρηση και/ή την επισκευή του εξοπλισμού·

ε)

πρόβλεψη διαδικασίας για τα περιστατικά ασφάλειας με σκοπό τον καθορισμό του συστήματος αναφοράς και κλιμάκωσης, τη χωρίς καθυστέρηση ενημέρωση των υπευθύνων επεξεργασίας που επηρεάζονται, τη χωρίς καθυστέρηση ενημέρωση των υπευθύνων επεξεργασίας προκειμένου με τη σειρά τους να ενημερώσουν τις εθνικές εποπτικές αρχές προστασίας δεδομένων σχετικά με κάθε τυχόν παραβίαση δεδομένων προσωπικού χαρακτήρα, και τον καθορισμό πειθαρχικής διαδικασίας για την αντιμετώπιση των παραβιάσεων της ασφάλειας.

Λαμβάνει μέτρα φυσικής και/ή λογικής ασφάλειας τελευταίας τεχνολογίας για τις εγκαταστάσεις που φιλοξενούν τον εξοπλισμό της πύλης ψηφιακών πιστοποιητικών COVID της ΕΕ και για τους ελέγχους των λογικών δεδομένων και της πρόσβασης ασφαλείας. Για τον σκοπό αυτό, η Επιτροπή:

α)	επιβάλλει φυσική ασφάλεια για να καθιερώσει διακριτικές περιμέτρους ασφαλείας και να καταστήσει εφικτό τον εντοπισμό παραβάσεων·

β)	ελέγχει την πρόσβαση στις εγκαταστάσεις και τηρεί μητρώο επισκεπτών για σκοπούς ιχνηλάτησης·

γ)	διασφαλίζει ότι τα άτομα που δεν είναι μέλη του προσωπικού και στα οποία έχει χορηγηθεί πρόσβαση στις εγκαταστάσεις συνοδεύονται από δεόντως εξουσιοδοτημένο προσωπικό·

δ)	διασφαλίζει ότι δεν μπορεί να προστεθεί, να αντικατασταθεί ή να αφαιρεθεί εξοπλισμός χωρίς προηγούμενη έγκριση των ορισθέντων αρμόδιων φορέων·

ε)	ελέγχει την πρόσβαση προς και από τους εθνικούς διακομιστές παρασκηνίου στην πύλη – πλαισίου εμπιστοσύνης·

στ)	διασφαλίζει ότι τα άτομα που προσπελαύνουν την πύλη ψηφιακών πιστοποιητικών COVID της ΕΕ ταυτοποιούνται και η ταυτότητά τους επαληθεύεται·

ζ)	επανεξετάζει τα δικαιώματα άδειας όσον αφορά την πρόσβαση στην πύλη ψηφιακών πιστοποιητικών COVID της ΕΕ σε περίπτωση παραβίασης της ασφάλειας που επηρεάζει την εν λόγω υποδομή·

η)	τηρεί την ακεραιότητα των πληροφοριών που διαβιβάζονται μέσω της πύλης ψηφιακών πιστοποιητικών COVID της ΕΕ·

θ)	εφαρμόζει τεχνικά και οργανωτικά μέτρα ασφαλείας για την πρόληψη μη εξουσιοδοτημένης πρόσβασης σε δεδομένα προσωπικού χαρακτήρα·

ι)	εφαρμόζει, όποτε είναι αναγκαίο, μέτρα για την παρεμπόδιση της μη εξουσιοδοτημένης πρόσβασης στην πύλη ψηφιακών πιστοποιητικών COVID της ΕΕ από τον τομέα των αρχών έκδοσης (δηλαδή: αποκλεισμός τοποθεσίας/διεύθυνσης IP).

7)	Λαμβάνει μέτρα για την προστασία του τομέα της, συμπεριλαμβανομένης της αποκοπής συνδέσεων, σε περίπτωση σημαντικής απόκλισης από τις αρχές και τις έννοιες της ποιότητας ή της ασφάλειας.

8)	Διατηρεί σχέδιο διαχείρισης κινδύνου που αφορά τον τομέα αρμοδιότητάς της.

9)	Παρακολουθεί —σε πραγματικό χρόνο— την απόδοση όλων των στοιχείων των υπηρεσιών της πύλης– πλαισίου εμπιστοσύνης, παράγει τακτικές στατιστικές και τηρεί αρχεία.

10)

Παρέχει υποστήριξη σε όλες τις υπηρεσίες της πύλης– πλαισίου εμπιστοσύνης, στα αγγλικά, καθ’ όλο το 24ωρο, 7 ημέρες την εβδομάδα, μέσω τηλεφώνου, ηλεκτρονικού ταχυδρομείου ή διαδικτυακής πύλης και αποδέχεται κλήσεις από εξουσιοδοτημένους επισκέπτες: τους συντονιστές της πύλης ψηφιακών πιστοποιητικών COVID της ΕΕ και τις αντίστοιχες υπηρεσίες υποστήριξης, τους υπευθύνους έργου και τα ορισθέντα άτομα από την Επιτροπή.

11)

Παρέχει συνδρομή στους από κοινού υπευθύνους επεξεργασίας με κατάλληλα τεχνικά και οργανωτικά μέτρα, στον βαθμό που είναι εφικτό, σύμφωνα με το άρθρο 12 του κανονισμού (ΕΕ) 2018/1725, για την εκπλήρωση της υποχρέωσης του υπευθύνου επεξεργασίας να απαντά σε αιτήματα που αφορούν την άσκηση των δικαιωμάτων του υποκειμένου των δεδομένων που προβλέπονται στο κεφάλαιο III του γενικού κανονισμού για την προστασία δεδομένων.

12)	Υποστηρίζει τους από κοινού υπευθύνους επεξεργασίας παρέχοντας πληροφορίες σχετικά με την πύλη ψηφιακών πιστοποιητικών COVID της ΕΕ, με σκοπό τη συμμόρφωση με τις υποχρεώσεις των άρθρων 32, 33, 34, 35 και 36 του γενικού κανονισμού για την προστασία δεδομένων.

13)	Διασφαλίζει ότι τα δεδομένα που υποβάλλονται σε επεξεργασία στο πλαίσιο της πύλης ψηφιακών πιστοποιητικών COVID της ΕΕ είναι ακατάληπτα για τα πρόσωπα που δεν επιτρέπεται να έχουν πρόσβαση σ’ αυτήν.

14)	Λαμβάνει όλα τα κατάλληλα μέτρα για να αποτρέψει τη μη εξουσιοδοτημένη πρόσβαση φορέων της πύλης ψηφιακών πιστοποιητικών COVID της ΕΕ σε διαβιβαζόμενα δεδομένα.

15)	Λαμβάνει μέτρα για να διευκολύνει τη διαλειτουργικότητα και την επικοινωνία μεταξύ των ορισθέντων υπευθύνων επεξεργασίας της πύλης ψηφιακών πιστοποιητικών COVID της ΕΕ.

16)	Τηρεί αρχείο των δραστηριοτήτων επεξεργασίας που διεξάγονται για λογαριασμό των από κοινού υπευθύνων επεξεργασίας, σύμφωνα με το άρθρο 31 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725.