(1)

O Regulamento (UE) 2021/953 estabelece o Certificado Digital COVID da UE, que comprova que uma pessoa recebeu uma vacina contra a COVID-19, um resultado negativo no teste ou recuperou da infeção, para o efeito de facilitar o exercício do direito de livre circulação do titular do certificado durante a pandemia de COVID-19.

(2)

O Regulamento (UE) 2021/954 do Parlamento Europeu e do Conselho (2) obriga os Estados-Membros a aplicar as regras estabelecidas no Regulamento (UE) 2021/953 aos nacionais de países terceiros não abrangidos pelo âmbito deste último regulamento, mas que permaneçam ou residam legalmente no seu território e tenham direito a viajar para outros Estados-Membros em conformidade com o direito da União.

(3)

A Recomendação (UE) 2022/290 do Conselho, que altera a Recomendação (UE) 2020/912 relativa à restrição temporária das viagens não indispensáveis para a UE e ao eventual levantamento de tal restrição (3), prevê que os nacionais de países terceiros que pretendam efetuar viagens não indispensáveis de países terceiros para a UE devem estar na posse de um comprovativo válido de vacinação ou recuperação, como um Certificado Digital COVID da UE ou um certificado COVID-19 emitido por um país terceiro abrangido por um ato de execução adotado nos termos do artigo 8.o, n.o 2, do Regulamento (UE) 2021/953.

(4)

Para que o Certificado Digital COVID da UE esteja operacional em toda a União, a Comissão adotou a Decisão de Execução (UE) 2021/1073 (4) que estabelece as especificações técnicas e regras para preencher, emitir e verificar com segurança os Certificados Digitais COVID da UE, assegurar a proteção dos dados pessoais, definir a estrutura comum do identificador único do certificado e emitir um código de barras válido, seguro e interoperável.

(5)

O artigo 4.o do Regulamento (UE) 2021/953 incumbe a Comissão e os Estados-Membros de criar e manter um regime de confiança para o Certificado Digital COVID da UE. Este regime de confiança pode apoiar o intercâmbio bilateral de listas de revogação de certificados que contenham os identificadores únicos dos certificados revogados.

(6)

Em 1 de julho de 2021, entrou em funcionamento o portal do Certificado Digital COVID da UE (a seguir designado por «portal»), que é o elemento central do regime de confiança e permite a troca segura e fiável entre os Estados-Membros de chaves públicas utilizadas para verificar Certificados Digitais COVID da UE.

(7)

O êxito da implantação em grande escala dos Certificados Digitais COVID da UE chamou a atenção dos autores de fraudes, que procuram encontrar formas de emitir certificados fraudulentos. Urge, por isso, revogar tais certificados fraudulentos. Além disso, os Estados-Membros podem revogar, a nível nacional, certos Certificados Digitais COVID da UE por razões médicas e de saúde pública; por exemplo, após constatação de que um lote de vacinas administradas era defeituoso.

(8)

Embora o sistema do Certificado Digital COVID da UE permita revelar imediatamente certificados falsificados, não é possível detetar certificados autênticos emitidos ilegalmente, com base em documentação falsa ou acesso não autorizado, ou com intenção fraudulenta noutros Estados-Membros, a menos que as listas de certificados revogados geradas a nível nacional sejam trocadas entre os Estados-Membros. O mesmo se aplica aos certificados revogados por razões médicas e de saúde pública. A incapacidade das aplicações de verificação dos Estados-Membros para detetar certificados revogados por outros Estados-Membros constitui uma ameaça para a saúde pública e põe em causa a confiança dos cidadãos no sistema do Certificado Digital COVID da UE.

(9)

Tal como referido no considerando 19 do Regulamento (UE) 2021/953, por razões médicas e de saúde pública e em caso de certificados emitidos ou obtidos de forma fraudulenta, os Estados-Membros deverão poder estabelecer e trocar com outros Estados-Membros, para efeitos do referido regulamento, listas de revogação de certificados em casos limitados, em especial no atinente a certificados que tenham sido emitidos erradamente, devido a fraude ou na sequência da suspensão de um lote de vacina contra a COVID-19 considerado defeituoso. Os Estados-Membros não poderão revogar certificados emitidos por outros Estados-Membros. As listas de revogação de certificados partilhadas não podem conter quaisquer dados pessoais, com exceção dos identificadores únicos dos certificados. Em especial, não podem incluir os motivos da revogação dos certificados.

(10)

Além de informações gerais sobre a possibilidade de revogação de certificados e dos eventuais motivos para tal, a autoridade emitente competente deve informar de imediato os titulares de certificados revogados dessa revogação efetiva e dos motivos da mesma. No entanto, em alguns casos, e em especial no dos Certificados Digitais COVID da UE emitidos em papel, localizar o titular do certificado e informá-lo da revogação pode revelar-se impossível ou implicar um esforço desproporcionado. Os Estados-Membros não podem recolher dados pessoais, além dos necessários para o processo de emissão, com o único propósito de conseguirem informar os titulares de certificados caso estes sejam revogados.

(11)

Assim, é necessário reforçar o regime de confiança do Certificado Digital COVID da UE, apoiando o intercâmbio bilateral de listas de revogação de certificados entre os Estados-Membros.

(12)

A presente decisão não abrange a suspensão temporária de certificados para casos de utilização nacionais fora do âmbito do Regulamento Certificado Digital COVID da UE, por exemplo, em virtude de o titular de um certificado de vacinação testar positivo ao SARS-CoV-2. Não prejudica os procedimentos estabelecidos quanto à verificação das regras operacionais relativas à validade dos certificados.

(13)

Embora haja diferentes arquiteturas viáveis, do ponto de vista técnico, para o intercâmbio de listas de revogação, o portal é a solução mais adequada, uma vez que limita as trocas de dados ao regime de confiança já estabelecido e minimiza simultaneamente o número de possíveis pontos de falha e de trocas entre Estados-Membros, em comparação com um sistema posto-a-posto alternativo.

(14)

Assim, afigura-se oportuno reforçar o portal do Certificado Digital COVID da UE de maneira que facilite o intercâmbio seguro de Certificados Digitais COVID da UE revogados, para efeitos da verificação segura dos mesmos por via do portal. A este respeito, é necessário aplicar medidas de segurança adequadas para proteger os dados pessoais tratados no portal. Os Estados-Membros devem pseudonimizar os atributos dos certificados por intermédio de um valor de dispersão (hash) irreversível, a incluir nas listas de revogação de certificados, o que permitirá assegurar um elevado nível de proteção. Com efeito, deve considerar-se que os identificadores únicos são dados pseudonimizados para fins das operações de tratamento realizadas no âmbito do portal.

(15)

Além disso, é necessário estabelecer disposições relativas ao papel dos Estados-Membros e da Comissão no respeitante ao intercâmbio de listas de revogação de certificados.

(16)

O tratamento de dados pessoais dos titulares de certificados, efetuado sob a responsabilidade dos Estados-Membros ou de outras organizações públicas ou organismos oficiais dos Estados-Membros, deve cumprir o disposto no Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (5). O tratamento de dados pessoais efetuado sob a responsabilidade da Comissão para efeitos de gestão e garantia da segurança do portal do Certificado Digital COVID da UE deve cumprir o disposto no Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (6).

(17)

Os Estados-Membros, representados pelas autoridades nacionais ou organismos oficiais designados, determinam em conjunto a finalidade e os meios de tratamento de dados pessoais através do portal do Certificado Digital COVID da UE e constituem, por conseguinte, responsáveis conjuntos pelo tratamento. O artigo 26.o do Regulamento (UE) 2016/679 impõe uma obrigação aos responsáveis conjuntos por operações de tratamento de dados no sentido de que determinem, de modo transparente, as respetivas responsabilidades pelo cumprimento do regulamento. O referido artigo prevê igualmente a possibilidade de essas responsabilidades serem determinadas pela legislação da União ou do Estado-Membro à qual os responsáveis pelo tratamento estão sujeitos. O acordo a que se refere o artigo 26.o deve ser incluído como anexo III da presente decisão.

(18)

O Regulamento (UE) 2021/953 atribui à Comissão a tarefa de prestar apoio aos referidos intercâmbios. A forma mais adequada de cumprir esse mandato consiste em coligir, em nome dos Estados-Membros, as listas de revogação de certificados enviadas. Por conseguinte, deve ser atribuído à Comissão um papel de subcontratante, para que apoie estes intercâmbios, facilitando a troca de listas por intermédio do portal do Certificado Digital COVID da UE em nome dos Estados-Membros.

(19)

A Comissão, enquanto fornecedor de soluções técnicas e organizativas para o portal do Certificado Digital COVID da UE, trata os dados pessoais constantes das listas de revogação enviadas para o portal em nome dos Estados-Membros, que são responsáveis conjuntos pelo tratamento. Atua, portanto, como subcontratante destes. Nos termos do artigo 28.o do Regulamento (UE) 2016/679 e do artigo 29.o do Regulamento (UE) 2018/1725, o tratamento por um subcontratante é regulado por um contrato ou ato normativo ao abrigo do direito da União ou dos Estados-Membros, que vincula o subcontratante ao responsável pelo tratamento e especifica o tratamento. Assim, afigura-se necessário definir regras aplicáveis ao tratamento de dados por parte da Comissão enquanto subcontratante.

(20)

Tal como referido no considerando 52 do Regulamento (UE) 2021/953, a tarefa de apoio atribuída à Comissão não implica a criação de uma base de dados central. Esta proibição visa evitar a criação de um repositório central de todos os Certificados Digitais COVID da UE emitidos e não impede os Estados-Membros de trocarem listas de revogação de certificados, algo que está expressamente previsto no artigo 4.o, n.o 2, do Regulamento (UE) 2021/953.

(21)

Ao proceder ao tratamento de dados pessoais no âmbito do portal do Certificado Digital COVID da UE, a Comissão encontra-se vinculada pela Decisão (UE, Euratom) 2017/46 da Comissão (7).

(22)

O artigo 3.o, n.o 10, do Regulamento (UE) 2021/953 habilita a Comissão a adotar um ato de execução que estabeleça que os certificados de COVID-19 emitidos por um país terceiro com o qual a União e os seus Estados-Membros tenham celebrado um acordo sobre a livre circulação de pessoas que permita às partes contratantes restringir essa livre circulação por motivos de saúde pública, de forma não discriminatória, e que não inclua um mecanismo de incorporação de atos jurídicos da União, sejam equivalentes aos certificados de COVID-19 emitidos nos termos do referido regulamento. Com base nessa disposição, a Comissão adotou, em 8 de julho de 2021, a Decisão de Execução (UE) 2021/1126 (8) que estabelece a equivalência dos certificados COVID-19 emitidos pela Suíça.

(23)

O artigo 8.o, n.o 2, do Regulamento (UE) 2021/953 habilita a Comissão a adotar um ato de execução que estabeleça que os certificados de COVID-19 emitidos por um país terceiro de acordo com normas e sistemas tecnológicos que sejam interoperáveis com o regime de confiança do Certificado Digital COVID da UE e que permitam verificar a autenticidade, a validade e a integridade dos certificados, e que contenham os dados indicados no anexo do referido regulamento, devem ser considerados equivalentes aos Certificados Digitais COVID da UE, para efeitos de facilitar o exercício do direito de livre circulação na União por parte dos titulares. Como referido no considerando 28 do Regulamento (UE) 2021/953, o artigo 8.o, n.o 2, desse regulamento diz respeito à aceitação de certificados emitidos por países terceiros a cidadãos da União e a membros das suas famílias. A Comissão já adotou vários atos de execução desse teor.

(24)

A fim de evitar falhas na deteção de certificados revogados abrangidos por esses atos de execução, os países terceiros cujos certificados COVID-19 tenham sido considerados equivalentes ao abrigo do artigo 3.o, n.o 10, e do artigo 8.o, n.o 2, do Regulamento (UE) 2021/953 devem poder enviar, igualmente, listas de revogação de certificados pertinentes para o portal do Certificado Digital COVID da UE.

(25)

Alguns nacionais de países terceiros, titulares de certificados COVID-19 revogados emitidos por um país terceiro cujos certificados COVID-19 tenham sido considerados equivalentes nos termos do Regulamento (UE) 2021/953, podem não estar abrangidos pelo âmbito desse regulamento ou do Regulamento (UE) 2021/954 no momento em que o país terceiro em causa gerar uma lista de revogação que inclua os seus certificados. No entanto, é impossível saber, no momento em que um país terceiro gera uma lista de revogação de certificados, se todos os nacionais de países terceiros titulares de certificados revogados estão abrangidos pelo âmbito de algum dos referidos regulamentos. Assim, não é viável excluir pessoas não abrangidas pelo âmbito de qualquer dos regulamentos no momento em que esses países geram listas de revogação de certificados, e os esforços nesse sentido fariam com que os Estados-Membros não conseguissem detetar certificados revogados detidos por nacionais de países terceiros que viajassem pela primeira vez para a União. Porém, os Estados-Membros continuariam a verificar igualmente os certificados revogados desses nacionais de países terceiros que viajassem para a União e, subsequentemente, no interior da União. Os países terceiros cujos certificados tenham sido considerados equivalentes nos termos do Regulamento (UE) 2021/953 não estão envolvidos na governação do portal, pelo que não são considerados responsáveis conjuntos pelo tratamento.

(26)

Além disso, o sistema do Certificado Digital COVID da UE demonstrou ser o único sistema de certificados COVID-19 operacional em grande escala a nível internacional. Consequentemente, o Certificado Digital COVID da UE adquiriu uma importância crescente a nível mundial e contribuiu para combater a pandemia a nível internacional, facilitando as viagens internacionais seguras e a recuperação global. Durante o processo de adoção de novos atos de execução ao abrigo do artigo 8.o, n.o 2, do Regulamento (UE) 2021/953, emergiram outras questões relacionadas com o preenchimento do Certificado Digital COVID da UE. De acordo com as regras estabelecidas na Decisão de Execução (UE) 2021/1073, o apelido é um campo de preenchimento obrigatório no conteúdo técnico do certificado. É necessário alterar este requisito para promover a inclusão e a interoperabilidade com outros sistemas, uma vez que, em alguns países terceiros, há pessoas sem apelido. Se não for possível dividir o nome do titular do certificado em duas partes, aquele deve ser inserido no campo (apelido ou nome próprio) do Certificado Digital COVID da UE equivalente ao que seria preenchido no documento de viagem ou de identidade do titular. Esta alteração permitiria também alinhar melhor o conteúdo técnico dos certificados com as especificações da Organização da Aviação Civil Internacional atualmente em vigor relativas aos documentos de viagem de leitura ótica.

(27)

A Decisão de Execução (UE) 2021/1073 deve, por conseguinte, ser alterada em conformidade.

(28)

A Autoridade Europeia para a Proteção de Dados foi consultada nos termos do artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 e emitiu parecer em 11 de março de 2022.

(29)

Para que os Estados-Membros e a Comissão disponham de tempo suficiente para introduzirem as alterações necessárias para permitir o intercâmbio de listas de revogação de certificados por intermédio do portal do Certificado Digital COVID da UE, a presente decisão deve começar a ser aplicada quatro semanas após a sua entrada em vigor.

(30)

As medidas estabelecidas na presente decisão estão em conformidade com o parecer do comité criado nos termos do artigo 14.o do Regulamento (UE) 2021/953,