(1)

Bij Verordening (EU) 2021/953 is het digitaal EU-covidcertificaat vastgesteld, dat bewijst dat een persoon gevaccineerd is tegen COVID-19, negatief is getest of van COVID-19 is hersteld, teneinde de uitoefening van het recht op vrij verkeer door de houders tijdens de COVID-19-pandemie te vergemakkelijken.

(2)

Verordening (EU) 2021/954 van het Europees Parlement en de Raad (2) bepaalt dat de lidstaten de regels van Verordening (EU) 2021/953 toepassen op onderdanen van derde landen die niet binnen het toepassingsgebied van die verordening vallen, maar die legaal op hun grondgebied verblijven of wonen en overeenkomstig het Unierecht het recht hebben naar andere lidstaten te reizen.

(3)

In Aanbeveling (EU) 2022/290 van de Raad tot wijziging van Aanbeveling (EU) 2020/912 over de tijdelijke beperking van niet-essentiële reizen naar de EU en de mogelijke opheffing van die beperking (3) is bepaald dat onderdanen van derde landen die niet-essentiële reizen vanuit een derde land naar de Unie wensen te ondernemen, in het bezit moeten zijn van een geldig bewijs van vaccinatie of herstel, zoals een digitaal EU-covidcertificaat of een COVID-19-certificaat afgegeven door een derde land dat onder een krachtens artikel 8, lid 2, van Verordening (EU) 2021/953 vastgestelde uitvoeringshandeling valt.

(4)

Om ervoor te zorgen dat het digitale EU-covidcertificaat in de hele Unie kan worden gebruikt, heeft de Commissie Uitvoeringsbesluit (EU) 2021/1073 (4) vastgesteld waarin technische specificaties en regels zijn opgenomen voor het invullen, beveiligd afgeven en verifiëren van de digitale EU-covidcertificaten, de beveiliging van de persoonsgegevens, het vaststellen van de gemeenschappelijke structuur van de unieke certificaatidentificatiecode en de afgifte van een geldige, beveiligde en interoperabele barcode.

(5)

Overeenkomstig artikel 4 van Verordening (EU) 2021/953 moesten de Commissie en de lidstaten een vertrouwenskader voor het digitaal EU-covidcertificaat opzetten en in stand houden. Dat vertrouwenskader kan steun verlenen aan de bilaterale uitwisseling van lijsten van ingetrokken certificaten met de unieke certificaatidentificatiecodes van ingetrokken certificaten.

(6)

De gateway voor digitale EU-covidcertificaten (de “gateway”), die het centrale onderdeel is van het vertrouwenskader en die de veilige en betrouwbare uitwisseling tussen de lidstaten van openbare sleutels voor de verificatie van digitale EU-covidcertificaten mogelijk maakt, is op 1 juli 2021 operationeel geworden.

(7)

Dankzij de succesvolle en grootschalige uitrol ervan zijn digitale EU-covidcertificaten een doelwit geworden voor fraudeurs die zoeken naar manieren om frauduleuze certificaten af te geven. Die frauduleuze certificaten moeten daarom worden ingetrokken. Daarnaast kunnen bepaalde digitale EU-covidcertificaten door de lidstaten op nationaal niveau worden ingetrokken om medische en volksgezondheidsredenen, bijvoorbeeld omdat een partij toegediende vaccins later ondeugdelijk is gebleken.

(8)

Hoewel het systeem van digitale EU-covidcertificaten vervalste certificaten onmiddellijk kan opsporen, kunnen op basis van valse documenten, ongeoorloofde toegang of met frauduleuze bedoelingen onrechtmatig afgegeven authentieke certificaten in andere lidstaten niet worden ontdekt, tenzij op nationaal niveau gegenereerde lijsten van ingetrokken certificaten tussen de lidstaten worden uitgewisseld. Hetzelfde geldt voor certificaten die om medische en volksgezondheidsredenen zijn ingetrokken. Wanneer de certificaten die door lidstaten zijn ingetrokken niet door de verificatietoepassingen van de andere lidstaten kunnen worden opgespoord, komt de volksgezondheid in gevaar en wordt het vertrouwen van de burgers in het systeem van digitale EU-covidcertificaten ondermijnd.

(9)

Zoals in overweging 19 van Verordening (EU) 2021/953 wordt aangegeven, moeten de lidstaten, om medische en volksgezondheidsredenen en in geval van op frauduleuze wijze afgegeven of verkregen certificaten voor de toepassing van deze verordening in beperkte gevallen lijsten van ingetrokken certificaten kunnen opstellen en die uitwisselen met andere lidstaten, met name om certificaten in te trekken die ten onrechte of als gevolg van fraude zijn afgegeven, of na het stopzetten van vaccinatie met een partij COVID-19-vaccins die ondeugdelijk is gebleken. De lidstaten mogen door andere lidstaten afgegeven certificaten niet kunnen intrekken. De uitgewisselde lijsten van ingetrokken certificaten mogen behalve de unieke certificaatidentificatiecodes geen persoonsgegevens bevatten. Met name mogen zij niet vermelden waarom een certificaat is ingetrokken.

(10)

Naast de algemene informatie over de mogelijke intrekking van certificaten en de mogelijke redenen daarvoor, moeten houders van ingetrokken certificaten onverwijld door de verantwoordelijke autoriteit van afgifte in kennis worden gesteld van de intrekking van hun certificaten en de redenen voor de intrekking. In sommige gevallen, en met name in het geval van digitale EU-covidcertificaten die op papier worden afgegeven, kan het echter onmogelijk blijken of een onevenredige inspanning vergen om de houder op te sporen en van de intrekking in kennis te stellen. De lidstaten mogen geen aanvullende persoonsgegevens verzamelen die niet nodig zijn voor het afgifteproces, alleen om certificaathouders te kunnen informeren wanneer hun certificaten worden ingetrokken.

(11)

Daarom moet het vertrouwenskader voor digitale EU-covidcertificaten worden versterkt door de bilaterale uitwisseling van lijsten van ingetrokken certificaten tussen de lidstaten te ondersteunen.

(12)

Dit besluit heeft geen betrekking op de tijdelijke schorsing van certificaten voor gevallen van nationaal gebruik die buiten het toepassingsgebied van de verordening inzake het digitaal EU-covidcertificaat vallen, bijvoorbeeld omdat de houder van een vaccinatiecertificaat positief heeft getest op SARS-CoV-2. Dit besluit doet geen afbreuk aan vastgestelde procedures voor de controle van de bedrijfsregels voor de geldigheid van certificaten.

(13)

Hoewel uit technisch oogpunt verschillende architecturen voor de uitwisseling van intrekkingslijsten haalbaar zijn, is de uitwisseling ervan via de gateway het meest geschikt, aangezien dit de uitwisseling van gegevens beperkt tot het reeds vastgestelde vertrouwenskader en het zowel het aantal zwakken punten als het aantal uitwisselingen tussen de lidstaten tot een minimum beperkt in vergelijking met een alternatief peer-to-peersysteem.

(14)

De gateway voor digitale EU-covidcertificaten moet dan ook worden versterkt om de veilige uitwisseling van ingetrokken digitale EU-covidcertificaten te ondersteunen met het oog op de veilige verificatie ervan via de gateway. In dit verband moeten passende beveiligingsmaatregelen worden genomen ter bescherming van de persoonsgegevens die in de gateway worden verwerkt. Om een hoog beschermingsniveau te waarborgen, moeten de lidstaten de attributen van certificaten pseudonimiseren door middel van een onomkeerbare hash die in de intrekkingslijsten moet worden opgenomen. De unieke identificatiecode moet worden beschouwd als gepseudonimiseerde data voor de verwerkingshandelingen binnen het kader van de gateway.

(15)

Voorts moeten bepalingen worden vastgesteld over de rol van de lidstaten en de Commissie bij de uitwisseling van lijsten van ingetrokken certificaten.

(16)

De verwerking van persoonsgegevens van certificaathouders, die plaatsvindt onder de verantwoordelijkheid van de lidstaten of andere overheidsorganisaties of officiële instanties in de lidstaten, moet worden uitgevoerd in overeenstemming met Verordening (EU) 2016/679 van het Europees Parlement en de Raad (5). De verwerking van persoonsgegevens onder de verantwoordelijkheid van de Commissie met het oog op het beheer en de waarborging van de beveiliging van de gateway voor digitale EU-covidcertificaten moet geschieden conform Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (6).

(17)

De lidstaten, vertegenwoordigd door de aangewezen nationale autoriteiten of officiële instanties, bepalen gezamenlijk de doeleinden van en de middelen voor de verwerking van persoonsgegevens via de gateway voor digitale EU-covidcertificaten en zijn derhalve gezamenlijke verwerkingsverantwoordelijken. Op grond van artikel 26 van Verordening (EU) 2016/679 zijn gezamenlijke verwerkingsverantwoordelijken op het gebied van de verwerking van persoonsgegevens verplicht om op transparante wijze hun respectieve verantwoordelijkheden voor de nakoming van de verplichtingen uit hoofde van die verordening vast te stellen. Dat artikel voorziet ook in de mogelijkheid om die verantwoordelijkheden te laten vaststellen bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de gezamenlijke verwerkingsverantwoordelijken van toepassing is. De in artikel 26 bedoelde regelingen moeten worden opgenomen in bijlage III bij dit besluit.

(18)

Bij Verordening (EU) 2021/953 is de Commissie belast met de ondersteuning van dergelijke uitwisselingen. De meest geschikte manier om dat mandaat te vervullen is het verzamelen van de namens de lidstaten ingediende lijsten van ingetrokken certificaten. Daarom moet de Commissie een rol van gegevensverwerker krijgen om deze uitwisselingen te ondersteunen door de uitwisseling van lijsten via de gateway voor digitale EU-covidcertificaten namens de lidstaten te vergemakkelijken.

(19)

Als aanbieder van technische en organisatorische oplossingen voor de gateway voor digitale EU-covidcertificaten verwerkt de Commissie de persoonsgegevens in de intrekkingslijsten in de gateway namens de lidstaten als gezamenlijke verwerkingsverantwoordelijken. Daarom treedt zij op als verwerker. Krachtens artikel 28 van Verordening (EU) 2016/679 en artikel 29 van Verordening (EU) 2018/1725 moet de verwerking door een verwerker worden geregeld in een overeenkomst of een rechtshandeling naar het recht van de Unie of van de lidstaten die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt en de verwerking specificeert. Daarom moeten regels worden vastgesteld voor de verwerking door de Commissie als gegevensverwerker.

(20)

De ondersteunende taken van de Commissie omvatten niet de oprichting van een gecentraliseerde databank als bedoeld in overweging 52 van Verordening (EU) 2021/953. Dat verbod is bedoeld om een centraal register van alle afgegeven digitale EU-covidcertificaten te voorkomen en belet de lidstaten niet om intrekkingslijsten uit te wisselen, zoals uitdrukkelijk is bepaald in artikel 4, lid 2, van Verordening (EU) 2021/953.

(21)

Bij de verwerking van persoonsgegevens in de gateway voor het digitale EU-covidcertificaat is de Commissie gebonden door Besluit (EU, Euratom) 2017/46 van de Commissie (7).

(22)

Op grond van artikel 3, lid 10, van Verordening (EU) 2021/953 kan de Commissie uitvoeringshandelingen vaststellen waarbij wordt vastgesteld dat COVID-19-certificaten die zijn afgegeven door een derde land waarmee de Unie en de lidstaten een overeenkomst inzake het vrije verkeer van personen hebben gesloten die de overeenkomstsluitende partijen de gelegenheid biedt het vrije verkeer omwille van de volksgezondheid op niet-discriminerende wijze te beperken en die geen mechanisme voor de opneming van rechtshandelingen van de Unie bevat, gelijkwaardig zijn aan die welke overeenkomstig deze verordening zijn afgegeven. Op basis daarvan heeft de Commissie op 8 juli 2021 Uitvoeringsbesluit (EU) 2021/1126 (8) tot vaststelling van de gelijkwaardigheid van de door Zwitserland afgegeven COVID-19-certificaten vastgesteld.

(23)

Op grond van artikel 8, lid 2, van Verordening (EU) 2021/953 kan de Commissie uitvoeringshandelingen vaststellen waarin wordt vastgesteld dat COVID-19-certificaten die de in de bijlage bij de verordening bedoelde gegevens bevatten en die door een derde land zijn afgegeven overeenkomstig normen en technologische systemen die interoperabel zijn met het vertrouwenskader voor het digitaal EU-covidcertificaat en die het mogelijk maken de echtheid, geldigheid en integriteit van het certificaat te verifiëren, moeten worden beschouwd als gelijkwaardig aan digitale EU-covidcertificaten, teneinde de uitoefening van het recht van vrij verkeer binnen de Unie door de houders ervan te faciliteren. Zoals opgemerkt in overweging 28 van Verordening (EU) 2021/953 heeft artikel 8, lid 2, van die verordening betrekking op de aanvaarding van door derde landen aan burgers van de Unie en hun familieleden afgegeven certificaten. De Commissie heeft reeds een aantal zodanige uitvoeringshandelingen vastgesteld.

(24)

Ter voorkoming van lacunes in de opsporing van ingetrokken certificaten die onder dergelijke uitvoeringshandelingen vallen, moet het voor derde landen waarvan de COVID-19-certificaten op grond van artikel 3, lid 10, en artikel 8, lid 2, van Verordening (EU) 2021/953 gelijkwaardig worden geacht, ook mogelijk zijn om bij de gateway voor digitale EU-covidcertificaten relevante lijsten van ingetrokken certificaten in te dienen.

(25)

Sommige onderdanen van derde landen die houder zijn van ingetrokken COVID-19-certificaten die door derde landen werden afgegeven en op grond van Verordening (EU) 2021/953 gelijkwaardig worden geacht, kunnen buiten het toepassingsgebied vallen van die verordening of van Verordening (EU) 2021/954 wanneer door het betrokken derde land een intrekkingslijst wordt gegenereerd waarin hun certificaten zijn opgenomen. Wanneer een betrokken derde land een lijsten van ingetrokken certificaten genereert, is evenwel niet bekend of alle onderdanen van derde landen die houder zijn van ingetrokken certificaten binnen het toepassingsgebied van een van beide verordeningen vallen. Het is dus niet haalbaar om personen die op het tijdstip waarop de lijsten worden gegenereerd niet onder het toepassingsgebied van een van deze verordeningen vallen, uit te sluiten van de lijsten van ingetrokken certificaten van die landen, en een poging daartoe zou ertoe leiden dat de lidstaten de ingetrokken certificaten van onderdanen van derde landen die voor het eerst naar de Unie reizen, niet kunnen herkennen. Maar zelfs de ingetrokken certificaten van die onderdanen van derde landen zouden worden geverifieerd door de lidstaten wanneer de houders ervan naar de Unie reizen, en als zij vervolgens binnen de Unie reizen. De derde landen waarvan de certificaten niet overeenkomstig Verordening (EU) 2021/953 als gelijkwaardig worden beschouwd, zijn niet betrokken bij het beheer van de gateway en kunnen dus niet als gezamenlijke verwerkingsverantwoordelijken worden aangemerkt.

(26)

Bovendien blijkt het systeem van het digitaal EU-covidcertificaat het enige COVID-19-certificaatsysteem te zijn dat internationaal op grote schaal wordt gebruikt. Daardoor is het digitaal EU-covidcertificaat wereldwijd steeds belangrijker geworden en heeft het bijgedragen aan de aanpak van de pandemie op internationaal niveau, door veilig internationaal reizen en het wereldwijde herstel te vergemakkelijken. Bij de vaststelling van nieuwe uitvoeringshandelingen krachtens artikel 8, lid 2, van Verordening (EU) 2021/953 ontstaan nieuwe behoeften met betrekking tot het invullen van het digitaal EU-covidcertificaat. Volgens de regels van Uitvoeringsbesluit (EU) 2021/1073 is de achternaam een verplicht veld in de technische inhoud van het certificaat. Dat vereiste moet worden gewijzigd om inclusie en interoperabiliteit met andere systemen te bevorderen, aangezien er in sommige derde landen personen zijn zonder achternaam. Wanneer de naam van de certificaathouder niet in twee delen kan worden opgesplitst, moet de naam in hetzelfde veld (naam of voornaam) van het digitaal EU-covidcertificaat worden vermeld als in het reis- of identiteitsdocument van de houder. Deze wijziging zou ook de technische inhoud van de certificaten beter afstemmen op de momenteel geldige specificaties inzake machineleesbare reisdocumenten die door de Internationale Burgerluchtvaartorganisatie zijn gepubliceerd.

(27)

Uitvoeringsbesluit (EU) 2021/1073 moet daarom dienovereenkomstig worden gewijzigd.

(28)

Overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 is de Europese Toezichthouder voor gegevensbescherming geraadpleegd, en op 11 maart 2022 heeft hij een advies uitgebracht.

(29)

Om de lidstaten en de Commissie voldoende tijd te geven om de wijzigingen door te voeren die nodig zijn om de uitwisseling van lijsten van ingetrokken certificaten via de gateway voor digitale EU-covidcertificaten mogelijk te maken, moet dit besluit vier weken na zijn inwerkingtreding van toepassing worden.

(30)

De maatregelen waarin dit besluit voorziet, zijn in overeenstemming met het advies van het bij artikel 14 van Verordening (EU) 2021/953 opgerichte comité,