(1)

V nariadení (EÚ) 2021/953 sa stanovuje digitálny COVID preukaz EÚ, ktorý slúži ako dôkaz, že osoba bola zaočkovaná proti ochoreniu COVID-19, má negatívny výsledok testu alebo prekonala infekciu, aby si držitelia takéhoto preukazu mohli počas pandémie COVID-19 ľahšie uplatňovať svoje právo na voľný pohyb.

(2)

V nariadení Európskeho parlamentu a Rady (EÚ) 2021/954 (2) sa stanovuje, že členské štáty majú uplatňovať pravidlá stanovené v nariadení (EÚ) 2021/953 na štátnych príslušníkov tretích krajín, ktorí nepatria do rozsahu pôsobnosti uvedeného nariadenia, ale ktorí sa oprávnene zdržiavajú na ich území alebo v nich majú oprávnený pobyt a ktorí sú oprávnení cestovať do iných členských štátov v súlade s právom Únie.

(3)

V odporúčaní Rady (EÚ) 2022/290, ktorým sa mení odporúčanie (EÚ) 2020/912 o dočasnom obmedzení ciest do EÚ, ktoré nie sú nevyhnutné, a o možnom zrušení tohto obmedzenia (3) sa stanovuje, že štátni príslušníci tretích krajín, ktorí majú v úmysle podniknúť cestu z tretích krajín do Únie, ktorá nie je nevyhnutná, by mali mať platný dôkaz o očkovaní alebo prekonaní ochorenia, ako je digitálny COVID preukaz EÚ alebo potvrdenie súvisiace s ochorením COVID-19 vydané treťou krajinou, na ktoré sa vzťahuje vykonávací akt prijatý podľa článku 8 ods. 2 nariadenia (EÚ) 2021/953.

(4)

Aby bolo možné používať digitálny COVID preukaz EÚ v celej Únii, Komisia prijala vykonávacie rozhodnutie (EÚ) 2021/1073 (4), ktorým sa stanovujú technické špecifikácie a pravidlá upravujúce vypĺňanie, bezpečné vystavovanie a overovanie digitálnych COVID preukazov EÚ, zabezpečenie ochrany osobných údajov, stanovenie spoločnej štruktúry jedinečného identifikátora potvrdenia a vystavovanie platného, zabezpečeného a interoperabilného čiarového kódu.

(5)

V súlade s článkom 4 nariadenia (EÚ) 2021/953 mali Komisia a členské štáty zriadiť a udržiavať rámec dôvery pre digitálny COVID preukaz EÚ. Tento rámec dôvery môže podporovať dvojstrannú výmenu zoznamov zrušených potvrdení obsahujúcich jedinečné identifikátory zrušených potvrdení.

(6)

Dňa 1. júla 2021 začala fungovať brána digitálneho COVID preukazu EÚ (ďalej len „brána“), ktorá je ústrednou súčasťou rámca dôvery a ktorá umožňuje bezpečnú a dôveryhodnú výmenu verejných kľúčov používaných na overovanie digitálnych COVID preukazov EÚ medzi členskými štátmi.

(7)

Digitálne COVID preukazy EÚ sa vzhľadom na ich úspešné a rozsiahle zavedenie stali cieľom podvodníkov, ktorí sa snažia nájsť spôsoby, ako vydávať podvodné potvrdenia. Tieto podvodné potvrdenia sa preto musia zrušiť. Okrem toho členské štáty môžu niektoré digitálne COVID preukazy EÚ zrušiť na vnútroštátnej úrovni zo zdravotných dôvodov a z dôvodov týkajúcich sa verejného zdravia, napríklad preto, lebo o šarži podaných vakcín sa neskôr zistilo, že vykazuje nedostatky.

(8)

Hoci systém digitálnych COVID preukazov EÚ dokáže okamžite odhaliť sfalšované potvrdenia, pravé potvrdenia vydané nezákonne na základe falošných dokladov, neoprávneného prístupu alebo s podvodným úmyslom nemožno v iných členských štátoch odhaliť, pokiaľ si členské štáty nevymieňajú zoznamy zrušených potvrdení vytvorené na vnútroštátnej úrovni. To isté platí pre potvrdenia, ktoré boli zrušené zo zdravotných dôvodov a z dôvodov verejného zdravia. Neschopnosť overovacích aplikácií členských štátov odhaliť potvrdenia zrušené inými členskými štátmi predstavuje ohrozenie verejného zdravia a oslabuje dôveru občanov v systém digitálnych COVID preukazov EÚ.

(9)

Ako sa uvádza v odôvodnení 19 nariadenia (EÚ) 2021/953, členské štáty by mali mať zo zdravotných dôvodov a z dôvodov verejného zdravia a v prípade výskytu podvodne vydaných alebo získaných potvrdení možnosť v obmedzených prípadoch na účely uvedeného nariadenia vytvárať zoznamy zrušených potvrdení a navzájom si ich vymieňať, najmä pokiaľ ide o potvrdenia, ktoré boli vydané chybne, v dôsledku podvodu alebo po pozastavení šarže očkovacej látky proti ochoreniu COVID-19, o ktorej sa zistí, že vykazuje nedostatky. Členské štáty by nemali mať možnosť zrušiť potvrdenia vydané inými členskými štátmi. Vymieňané zoznamy zrušených potvrdení by nemali obsahovať žiadne osobné údaje okrem jedinečných identifikátorov potvrdení. Predovšetkým by nemali obsahovať dôvod, prečo bolo potvrdenie zrušené.

(10)

Okrem všeobecných informácií o možnosti zrušenia potvrdení a jeho možných dôvodoch by mal zodpovedný vydávajúci orgán bezodkladne informovať držiteľov zrušených potvrdení aj o zrušení ich potvrdení a o dôvodoch tohto zrušenia. To sa však v niektorých prípadoch môže ukázať ako nemožné alebo by s tým mohlo byť spojené neprimerané úsilie na vysledovanie a informovanie držiteľa zrušeného potvrdenia, a to najmä v prípade digitálnych COVID preukazov EÚ vydaných v papierovej podobe. Členské štáty by nemali zbierať dodatočné osobné údaje, ktoré nie sú potrebné na proces vydávania, len na účely toho, aby mohli informovať držiteľov potvrdení v prípade ich zrušenia.

(11)

Je preto potrebné posilniť rámec dôvery pre digitálny COVID preukaz EÚ podporou dvojstrannej výmeny zoznamov zrušených potvrdení medzi členskými štátmi.

(12)

Toto rozhodnutie sa nevzťahuje na dočasné pozastavenie platnosti potvrdení v prípadoch vnútroštátneho použitia mimo rozsahu pôsobnosti nariadenia o digitálnom COVID preukaze EÚ, napríklad preto, lebo držiteľ potvrdenia o očkovaní má pozitívny test na prítomnosť vírusu SARS-CoV-2. Týmto nie sú dotknuté zavedené postupy kontroly obchodných pravidiel týkajúcich sa platnosti potvrdení.

(13)

Hoci z technického hľadiska sú uskutočniteľné rôzne architektúry na výmenu zoznamov zrušených potvrdení, ich výmena prostredníctvom brány je najvhodnejšia, pretože sa ňou obmedzuje výmena údajov na už vytvorený rámec dôvery a minimalizuje sa počet možných bodov zlyhania i výmen medzi členskými štátmi v porovnaní s alternatívnym partnerským systémom (peer-to-peer).

(14)

Brána digitálneho COVID preukazu EÚ by sa preto mala posilniť s cieľom podporiť bezpečnú výmenu zrušených digitálnych COVID preukazov EÚ na účely ich bezpečného overenia prostredníctvom brány. V tejto súvislosti by sa mali zaviesť primerané bezpečnostné opatrenia na ochranu osobných údajov spracúvaných v rámci brány. V záujme vysokej úrovne ochrany by členské štáty mali pseudonymizovať atribúty potvrdení prostredníctvom nezvratného hašu, ktorý sa má zahrnúť do zoznamov zrušených potvrdení. Za taký pseudonymizovaný údaj pre spracovateľské operácie vykonávané v rámci brány by sa mal považovať jedinečný identifikátor.

(15)

Navyše by sa mali zaviesť ustanovenia o úlohe členských štátov a Komisie, pokiaľ ide o výmenu zoznamov zrušených potvrdení.

(16)

Spracúvanie osobných údajov držiteľov potvrdení, za ktoré sú zodpovedné členské štáty alebo iné verejné organizácie, alebo verejné subjekty v členských štátoch, by sa malo vykonávať v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2016/679 (5). Spracúvanie osobných údajov na účely správy a zaistenia bezpečnosti brány digitálneho COVID preukazu EÚ, za ktoré je zodpovedná Komisia, by malo byť v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2018/1725 (6).

(17)

Členské štáty, ktoré sú zastúpené určenými vnútroštátnymi orgánmi alebo verejnými subjektmi, spoločne stanovia cieľ a spôsob spracúvania osobných údajov prostredníctvom brány digitálneho COVID preukazu EÚ, a preto sú spoločnými prevádzkovateľmi. V článku 26 nariadenia (EÚ) 2016/679 sa stanovuje povinnosť spoločných prevádzkovateľov operácií spracúvania osobných údajov transparentne určiť ich príslušné zodpovednosti za plnenie povinností podľa uvedeného nariadenia. Zároveň sa v ňom uvádza, že tieto zodpovednosti môžu byť stanovené v práve Únie alebo práve členského štátu, ktorému prevádzkovatelia podliehajú. Opatrenie uvedené v článku 26 by sa malo zahrnúť do prílohy III k tomuto rozhodnutiu.

(18)

Nariadením (EÚ) 2021/953 sa Komisii prideľuje úloha podporovať takéto výmeny. Najvhodnejším spôsobom na splnenie tohto mandátu je zhromažďovať odoslané zoznamy zrušených potvrdení v mene členských štátov. Komisii by sa preto mala zveriť úloha sprostredkovateľa, aby mohla podporovať tieto výmeny uľahčovaním výmeny zoznamov prostredníctvom brány digitálneho COVID preukazu EÚ v mene členských štátov.

(19)

Komisia ako poskytovateľ technických a organizačných riešení pre bránu digitálneho COVID preukazu EÚ spracúva osobné údaje v zoznamoch zrušených potvrdení v bráne v mene členských štátov ako spoločných prevádzkovateľov. Preto koná ako ich sprostredkovateľ. V súlade s článkom 28 nariadenia (EÚ) 2016/679 a článkom 29 nariadenia (EÚ) 2018/1725 sa spracúvanie sprostredkovateľom riadi zmluvou alebo iným právnym aktom podľa práva Únie alebo členského štátu, ktoré zaväzujú sprostredkovateľa voči prevádzkovateľovi a ktorými sa špecifikuje spracúvanie. Preto je nevyhnutné stanoviť pravidlá spracúvania, ktoré vykonáva Komisia ako sprostredkovateľ.

(20)

Podporná úloha Komisie nezahŕňa vytvorenie centrálnej databázy, ako sa uvádza v odôvodnení 52 nariadenia (EÚ) 2021/953. Cieľom tohto zákazu je zabrániť vzniku centrálneho úložiska všetkých vydaných digitálnych COVID preukazov EÚ, pričom členským štátom nebráni v tom, aby si vymieňali zoznamy zrušených potvrdení, čo je výslovne stanovené v článku 4 ods. 2 nariadenia (EÚ) 2021/953.

(21)

Pri spracúvaní osobných údajov v rámci brány digitálneho COVID preukazu EÚ je Komisia viazaná svojím rozhodnutím (EÚ, Euratom) 2017/46 (7).

(22)

Na základe článku 3 ods. 10 nariadenia (EÚ) 2021/953 môže Komisia prijímať vykonávacie akty, ktorými sa stanoví, že potvrdenia súvisiace s ochorením COVID-19 vydané treťou krajinou, s ktorou Únia a členské štáty uzavreli dohodu o voľnom pohybe osôb, ktorá zmluvným stranám umožňuje nediskriminačným spôsobom obmedziť takýto voľný pohyb z dôvodov verejného zdravia a ktorá neobsahuje mechanizmus zapracovania právnych aktov Únie, sú rovnocenné s potvrdeniami vydanými v súlade s uvedeným nariadením. Na základe toho Komisia 8. júla 2021 prijala vykonávacie rozhodnutie (EÚ) 2021/1126 (8), ktorým sa stanovuje rovnocennosť potvrdení súvisiacich s ochorením COVID-19 vydávaných Švajčiarskom.

(23)

Na základe článku 8 ods. 2 nariadenia (EÚ) 2021/953 môže Komisia prijímať vykonávacie akty, ktorými sa stanoví, že potvrdenia súvisiace s ochorením COVID-19 vydané treťou krajinou v súlade s normami a technologickými systémami, ktoré sú interoperabilné s rámcom dôvery pre digitálny COVID preukaz EÚ a ktoré umožňujú overiť pravosť, platnosť a integritu potvrdenia, a ktoré obsahujú údaje stanovené v prílohe k uvedenému nariadeniu, sa majú považovať za rovnocenné s digitálnymi COVID preukazmi EÚ na účely toho, aby sa ich držiteľom uľahčilo uplatňovanie ich práva na voľný pohyb v rámci Únie. Ako sa uvádza v odôvodnení 28 nariadenia (EÚ) 2021/953, článok 8 ods. 2 uvedeného nariadenia sa týka uznávania potvrdení vydaných tretími krajinami občanom Únie a ich rodinným príslušníkom. Komisia už prijala niekoľko takýchto vykonávacích aktov.

(24)

V snahe vyhnúť sa nedostatkom pri odhaľovaní zrušených potvrdení, na ktoré sa vzťahujú takéto vykonávacie akty, by tretie krajiny, ktorých potvrdenia súvisiace s ochorením COVID-19 sa považujú za rovnocenné podľa článku 3 ods. 10 a článku 8 ods. 2 nariadenia (EÚ) 2021/953, mali mať takisto možnosť odoslať príslušné zoznamy zrušených potvrdení do brány digitálneho COVID preukazu EÚ.

(25)

Niektorí štátni príslušníci tretích krajín, ktorí sú držiteľmi zrušených potvrdení súvisiacich s ochorením COVID-19 vydaných treťou krajinou, ktorých potvrdenia súvisiace s ochorením COVID-19 sa podľa nariadenia (EÚ) 2021/953 považujú za rovnocenné, nemusia patriť do rozsahu pôsobnosti uvedeného nariadenia ani nariadenia (EÚ) 2021/954 v čase, keď dotknutá tretia krajina vyhotoví zoznam zrušených potvrdení zahŕňajúci ich potvrdenia. V čase, keď dotknutá tretia krajina vyhotoví tento zoznam zrušených potvrdení, však nemôže byť známe, či všetci štátni príslušníci tretích krajín, ktorí sú držiteľmi zrušených potvrdení, patria do rozsahu pôsobnosti niektorého z uvedených nariadení. Snaha o vylúčenie osôb, ktoré nepatria do rozsahu pôsobnosti žiadneho z uvedených nariadení, v čase, keď uvedené krajiny vytvoria zoznamy zrušených potvrdení, preto nie je uskutočniteľná a pokus o takéto vylúčenie by viedol k tomu, že členské štáty by neboli schopné odhaliť zrušené potvrdenia, ktorých držiteľmi sú štátni príslušníci tretích krajín, ktorí cestujú do Únie po prvýkrát. Aj zrušené potvrdenia týchto štátnych príslušníkov tretích krajín by však členské štáty overili, keď ich držitelia cestujú do Únie a keď následne cestujú v rámci Únie. Tretie krajiny, ktorých potvrdenia sa považujú za rovnocenné podľa nariadenia (EÚ) 2021/953, nie sú zapojené do riadenia brány, a preto sa nepovažujú za spoločných prevádzkovateľov.

(26)

Navyše sa ukázalo, že systém digitálnych COVID preukazov EÚ je jediným systémom potvrdení súvisiacich s ochorením COVID-19, ktorý sa vo veľkom využíva aj na medzinárodnej scéne. Digitálny COVID preukaz EÚ má preto čoraz väčší globálny význam a prispieva k riešeniu pandémie na medzinárodnej úrovni, keďže uľahčuje bezpečné medzinárodné cestovanie a celosvetovú obnovu. V procese prijímania dodatočných vykonávacích aktov podľa článku 8 ods. 2 nariadenia (EÚ) 2021/953 vznikajú nové potreby v súvislosti s vypĺňaním digitálneho COVID preukazu EÚ. Podľa pravidiel stanovených vo vykonávacom rozhodnutí (EÚ) 2021/1073 je priezvisko v technickom obsahu potvrdenia povinným poľom. Túto požiadavku treba zmeniť v záujme podpory začlenenia a interoperability s inými systémami, keďže v niektorých tretích krajinách sú osoby bez priezviska. V prípadoch, keď meno držiteľa potvrdenia nemožno rozdeliť na dve časti, malo by sa uviesť v tom istom poli (priezvisko alebo rodné meno) digitálneho COVID preukazu EÚ, ako by to bolo v cestovnom doklade alebo v doklade totožnosti držiteľa. Touto zmenou by sa takisto lepšie zosúladil technický obsah potvrdení s aktuálne platnými špecifikáciami strojovo čitateľných cestovných dokladov uverejnenými Medzinárodnou organizáciou civilného letectva.

(27)

Vykonávacie rozhodnutie (EÚ) 2021/1073 by sa preto malo zodpovedajúcim spôsobom zmeniť.

(28)

V súlade s článkom 42 ods. 1 nariadenia (EÚ) 2018/1725 sa konzultovalo s európskym dozorným úradníkom pre ochranu údajov, ktorý vydal svoje stanovisko 11. marca 2022.

(29)

S cieľom poskytnúť členským štátom a Komisii dostatočný čas na vykonanie zmien potrebných na umožnenie výmeny zoznamov zrušených potvrdení prostredníctvom brány digitálneho COVID preukazu EÚ by sa toto rozhodnutie malo začať uplatňovať štyri týždne po nadobudnutí jeho účinnosti.

(30)

Opatrenia stanovené v tomto rozhodnutí sú v súlade so stanoviskom výboru zriadeného podľa článku 14 nariadenia (EÚ) 2021/953,