(1)

Uredba (EU) 2021/953 določa digitalno COVID potrdilo EU, ki je dokaz, da je bila oseba cepljena proti COVID-19, da je bil njen rezultat testa negativen ali da je prebolela okužbo, da se imetnikom olajša uveljavljanje pravice do prostega gibanja med pandemijo COVID-19.

(2)

Uredba (EU) 2021/954 Evropskega parlamenta in Sveta (2) določa, da države članice uporabljajo pravila iz Uredbe (EU) 2021/953 za državljane tretjih držav, ki ne spadajo na področje uporabe navedene uredbe, vendar se zakonito zadržujejo ali prebivajo na njihovem ozemlju in so upravičeni do potovanja v druge države članice v skladu s pravom Unije.

(3)

Priporočilo Sveta (EU) 2022/290 o spremembi Priporočila (EU) 2020/912 o začasni omejitvi nenujnih potovanj v EU in morebitni odpravi te omejitve (3) določa, da bi morali imeti državljani tretjih držav, ki želijo opraviti nenujna potovanja iz tretjih držav v Unijo, veljavno dokazilo o cepljenju ali preboleli bolezni, kot sta digitalno COVID potrdilo EU ali COVID-19 potrdilo, ki ga izda tretja država in je zajeto v izvedbenem aktu, sprejetem v skladu s členom 8(2) Uredbe (EU) 2021/953.

(4)

Za delovanje digitalnega COVID potrdila EU po vsej Uniji je Komisija sprejela Izvedbeni sklep Komisije (EU) 2021/1073 (4) o določitvi tehničnih specifikacij in pravil za izpolnjevanje, varno izdajanje in preverjanje digitalnih COVID potrdil EU, zagotavljanje varstva osebnih podatkov, določitev skupne strukture edinstvene identifikacijske oznake potrdila ter izdajo veljavne, varne in interoperabilne črtne kode.

(5)

V skladu s členom 4 Uredbe (EU) 2021/953 morajo Komisija in države članice vzpostaviti in vzdrževati okvir zaupanja za digitalno COVID potrdilo EU. Ta okvir zaupanja lahko podpira dvostransko izmenjavo seznamov preklicanih potrdil, ki vsebujejo edinstvene identifikatorje preklicanih potrdil.

(6)

Dne 1. julija 2021 je začel delovati prehod EU za digitalno COVID potrdilo (v nadaljnjem besedilu: prehod), ki je osrednji del okvira zaupanja in omogoča varno in zaupanja vredno izmenjavo javnih ključev, ki se uporabljajo za preverjanje digitalnih COVID potrdil EU, med državami članicami.

(7)

Digitalna COVID potrdila EU so zaradi svoje uspešne in obsežne uvedbe postala tarča goljufov, ki iščejo načine za izdajanje lažnih potrdil. Ta lažna potrdila je zato treba preklicati. Poleg tega lahko države članice na nacionalni ravni prekličejo nekatera digitalna COVID potrdila EU iz zdravstvenih in javnozdravstvenih razlogov, na primer zato, ker je bilo pozneje ugotovljeno, da ima serija cepiv napako.

(8)

Čeprav lahko sistem digitalnih COVID potrdil EU takoj razkrije ponarejena potrdila, pristnih potrdil, ki so bila nezakonito izdana na podlagi lažne dokumentacije, nepooblaščenega dostopa ali z goljufivim namenom, v drugih državah članicah ni mogoče odkriti, razen če si države članice izmenjujejo sezname preklicanih potrdil, pripravljene na nacionalni ravni. Enako velja za potrdila, ki so bila preklicana iz zdravstvenih in javnozdravstvenih razlogov. Če aplikacije držav članic za preverjanje ne odkrijejo potrdil, ki so jih druge države članice preklicale, to ogroža javno zdravje ter spodkopava zaupanje državljanov v sistem digitalnega COVID potrdila EU.

(9)

Kot je navedeno v uvodni izjavi 19 Uredbe (EU) 2021/953, bi moralo biti državam članicam iz zdravstvenih in javnozdravstvenih razlogov ter v primeru goljufivo izdanih ali pridobljenih potrdil omogočeno, da za namene navedene uredbe vzpostavijo sezname preklicanih potrdil in jih izmenjajo z drugimi državami članicami v omejenih primerih, zlasti v zvezi s potrdili, ki so bila izdana napačno, zaradi goljufije ali po preklicu serije cepiva proti COVID-19, za katero je bilo ugotovljeno, da ima napako. Države članice ne bi smele imeti možnosti preklicati potrdil, ki so jih izdale druge države članice. Izmenjani seznami preklicanih potrdil ne bi smeli vsebovati nobenih osebnih podatkov, razen edinstvenih identifikacijskih oznak potrdil. Zlasti ne bi smeli vsebovati razloga, zaradi katerega je bilo potrdilo preklicano.

(10)

Poleg splošnih informacij o možnosti preklica potrdil in možnih razlogih zanj bi moral pristojni organ izdajatelj imetnike preklicanih potrdil nemudoma obvestiti o preklicu njihovih potrdil in razlogih za preklic. Vendar se lahko v nekaterih primerih, zlasti v primeru digitalnih COVID potrdil EU, izdanih v papirni obliki, izsleditev in obveščanje imetnika o preklicu izkaže za nemogoče ali bi lahko zahtevalo nesorazmerno veliko truda. Države članice ne bi smele zbirati dodatnih osebnih podatkov, ki niso potrebni za postopek izdaje, samo zato, da bi imetnike potrdil lahko obvestile v primeru preklica njihovih potrdil.

(11)

Zato je treba okrepiti okvir zaupanja za digitalno COVID potrdilo EU s podpiranjem dvostranske izmenjave seznamov preklicanih potrdil med državami članicami.

(12)

Ta sklep ne zajema začasnega preklica potrdil za primere nacionalne uporabe zunaj področja uporabe uredbe EU o digitalnih COVID potrdilih EU, na primer, ker je bil imetnik potrdila o cepljenju pri testiranju pozitiven na SARS-CoV-2. To ne posega v uveljavljene postopke za preverjanje pravil poslovanja za veljavnost potrdil.

(13)

Čeprav so s tehničnega vidika izvedljive različne arhitekture za izmenjavo seznamov preklicev, je njihova izmenjava preko prehoda najprimernejša, saj omejuje izmenjavo podatkov na že vzpostavljeni okvir zaupanja in zmanjšuje število možnih šibkih točk in izmenjav med državami članicami v primerjavi z alternativnim sistemom vzajemne izmenjave.

(14)

V skladu s tem bi bilo treba prehod za digitalno COVID potrdilo EU okrepiti, da se podpre varna izmenjava preklicanih digitalnih COVID potrdil EU za namene njihovega varnega preverjanja preko prehoda. V zvezi s tem bi bilo treba uvesti ustrezne varnostne ukrepe za varstvo osebnih podatkov, ki se obdelujejo v prehodu. Za zagotovitev visoke ravni zaščite bi morale države članice psevdonimizirati atribute potrdila z nepovratno zgoščeno vrednostjo (hash), ki se vključi na sezname za preklic. Enotno identifikacijsko oznako bi bilo treba za postopke obdelave, ki se izvajajo v okviru prehoda, dejansko šteti za psevdonimizirane podatke.

(15)

Poleg tega bi bilo treba določiti določbe o vlogi držav članic in Komisije pri izmenjavi seznamov preklicanih potrdil.

(16)

Obdelava osebnih podatkov imetnikov potrdil, za katero so odgovorne države članice ali druge javne organizacije ali uradni organi v državah članicah, bi morala potekati v skladu z Uredbo (EU) 2016/679 Evropskega parlamenta in Sveta (5). Obdelava osebnih podatkov v pristojnosti Komisije za namen upravljanja in zagotavljanja varnosti prehoda za digitalna COVID potrdila EU bi morala biti v skladu z Uredbo (EU) 2018/1725 Evropskega parlamenta in Sveta (6).

(17)

Države članice, ki jih zastopajo imenovani nacionalni organi ali uradni organi, skupaj določijo namen in sredstva obdelave osebnih podatkov prek prehoda za digitalno COVID potrdilo EU in so zato skupni upravljavci. V členu 26 Uredbe (EU) 2016/679 je določena obveznost skupnih upravljavcev dejanj obdelave osebnih podatkov, da na pregleden način določijo dolžnosti vsakega od njih z namenom izpolnjevanja obveznosti v skladu z navedeno uredbo. Dopušča tudi možnost, da se navedene odgovornosti določijo s pravom Unije ali pravom države članice, ki velja za upravljavce. Dogovor iz člena 26 bi bilo treba vključiti v Prilogo III k temu sklepu.

(18)

Z Uredbo (EU) 2021/953 je bila Komisiji dodeljena naloga, da podpre take izmenjave. Najprimernejši način za izpolnitev te naloge je, da v imenu držav članic primerja predložene sezname preklicanih potrdil. Zato bi bilo treba Komisiji dodeliti vlogo obdelovalca podatkov, da bi podprla te izmenjave tako, da bi v imenu držav članic omogočala lažjo izmenjavo seznamov prek prehoda EU za digitalno COVID potrdilo.

(19)

Komisija kot ponudnik tehničnih in organizacijskih rešitev za prehod EU za digitalno COVID potrdilo EU v imenu držav članic kot skupnih upravljavcev obdeluje osebne podatke s seznamov preklicanih potrdil v prehodu. Zato deluje kot njihov obdelovalec. V skladu s členom 28 Uredbe (EU) 2016/679 in členom 29 Uredbe (EU) 2018/1725 obdelavo s strani obdelovalca ureja pogodba ali pravni akt v skladu s pravom Unije ali pravom države članice, ki določa obveznosti obdelovalca do upravljavca in v katerem je določena obdelava. Zato je treba določiti pravila za obdelavo s strani Komisije kot obdelovalca podatkov.

(20)

Podporna naloga Komisije ne vključuje vzpostavitve osrednje podatkovne zbirke iz uvodne izjave 52 Uredbe (EU) 2021/953. Namen te prepovedi je preprečiti nastanek centralne zbirke vseh izdanih digitalnih COVID potrdil EU in državam članicam ne preprečuje izmenjave seznamov preklicev, kar je izrecno določeno v členu 4(2) Uredbe (EU) 2021/953.

(21)

Komisijo pri obdelavi osebnih podatkov v prehodu digitalnega COVID potrdila EU zavezuje Sklep Komisije (EU, Euratom) 2017/46 (7).

(22)

Člen 3(10) Uredbe (EU) 2021/953 Komisiji omogoča, da sprejme izvedbene akte, s katerimi določi, da so COVID-19 potrdila, ki jih izda tretja država, s katero so Unija in države članice sklenile sporazum o prostem gibanju oseb, ki pogodbenicam omogoča nediskriminatorno omejitev takega prostega gibanja iz javnozdravstvenih razlogov in ki ne vsebuje mehanizma za vključitev pravnih aktov Unije, enakovredna tistim, izdanim v skladu s to uredbo. Na podlagi tega je Komisija 8. julija 2021 sprejela Izvedbeni sklep (EU) 2021/1126 (8) o enakovrednosti potrdil o COVID-19, ki jih izdaja Švica.

(23)

Člen 8(2) Uredbe (EU) 2021/953 Komisiji omogoča, da sprejme izvedbene akte, v katerih določi, da so potrdila v zvezi s COVID-19, ki jih izda tretja država v skladu s standardi in tehnološkimi sistemi, ki so interoperabilni z okvirom zaupanja za digitalno COVID potrdilo EU in ki omogočajo preverjanje verodostojnosti, veljavnosti in celovitosti potrdila ter vsebujejo podatke iz Priloge k Uredbi, enakovredna digitalnim COVID potrdilom EU, da bi se imetnikom olajšalo uveljavljanje njihove pravice do prostega gibanja v Uniji. Kot je navedeno v uvodni izjavi 28 Uredbe (EU) 2021/953, se člen 8(2) navedene uredbe nanaša na priznavanje potrdil, ki jih tretje države izdajo državljanom Unije in njihovim družinskim članom. Komisija je že sprejela več takih izvedbenih aktov.

(24)

Da bi se izognili vrzelim pri odkrivanju preklicanih potrdil, zajetih v takih izvedbenih aktih, bi moralo biti tudi tretjim državam, katerih COVID-19 potrdila se štejejo za enakovredna v skladu s členom 3(10) in členom 8(2) Uredbe (EU) 2021/953, omogočeno, da v prehodu digitalnega COVID potrdila EU predložijo ustrezne sezname preklicanih potrdil.

(25)

Nekateri državljani tretjih držav, ki imajo preklicana COVID-19 potrdila, izdana s strani tretje države, katere COVID-19 potrdila se štejejo za enakovredna v skladu z Uredbo (EU) 2021/953, lahko v trenutku, ko zadevna tretja država ustvari seznam preklicev, na katerem je njihovo potrdilo, ne spadajo na področje uporabe navedene uredbe ali Uredbe (EU) 2021/954. Toda v trenutku, ko zadevna tretja država ustvari seznam preklicanih potrdil, ni mogoče vedeti, ali vsi državljani tretjih držav, ki so imetniki preklicanih potrdil, spadajo na področje uporabe ene od navedenih dveh uredb. Prizadevanje za izključitev oseb, ki ne spadajo na področje uporabe ene od navedenih dveh uredb, s seznamov preklicanih potrdil teh držav torej ni izvedljivo, če pa bi to skušali storiti, države članice ne bi mogle odkriti preklicanih potrdil državljanov tretjih držav, ki prvič potujejo v Unijo. Države članice pa bi preverile tudi preklicana potrdila teh državljanov tretjih držav, ko bi njihovi imetniki potovali v Unijo, in pozneje, ko bi potovali znotraj Unije. Tretje države, katerih certifikati se štejejo za enakovredne v skladu z Uredbo (EU) 2021/953, niso vključene v upravljanje prehoda in se zato ne štejejo za skupne upravljavce.

(26)

Poleg tega se je sistem digitalnega COVID potrdila EU izkazal za edini sistem digitalnih COVID-19 potrdil, ki v velikem obsegu deluje na mednarodni ravni. Zato postaja digitalno COVID potrdilo EU vse pomembnejše v svetovnem merilu in je prispevalo k reševanju pandemije na mednarodni ravni, saj omogoča varno mednarodno potovanje in okrevanje po vsem svetu. Pri sprejemanju dodatnih izvedbenih aktov v skladu s členom 8(2) Uredbe (EU) 2021/953 se pojavljajo nove potrebe glede izpolnjevanja digitalnega COVID potrdila EU. V skladu s pravili iz Izvedbenega sklepa (EU) 2021/1073 je priimek obvezno polje v tehnični vsebini potrdila. Glede na to, da v nekaterih tretjih državah obstajajo osebe brez priimka, je treba to zahtevo spremeniti, da se spodbudita vključevanje in interoperabilnost z drugimi sistemi. Če imena imetnika potrdila ni mogoče razdeliti na dva dela, je treba ime vpisati v isto polje (priimek ali ime) digitalnega COVID potrdila EU, kot je vpisano v imetnikovi potni listini ali osebnem dokumentu. S to spremembo bi se tudi tehnična vsebina potrdil bolje uskladila s trenutno veljavnimi specifikacijami za strojno berljive potne listine, ki jih je objavila Mednarodna organizacija civilnega letalstva.

(27)

Izvedbeni sklep (EU) 2021/1073 bi bilo zato treba ustrezno spremeniti.

(28)

V skladu s členom 42(1) Uredbe (EU) 2018/1725 je bilo opravljeno posvetovanje z Evropskim nadzornikom za varstvo podatkov, ki je mnenje podal 11. marca 2022.

(29)

Da bi imele države članice in Komisija dovolj časa za izvedbo sprememb, ki so potrebne za omogočitev izmenjave seznamov preklicanih potrdil preko prehoda za digitalno COVID potrdilo EU, bi se moral ta sklep začeti uporabljati štiri tedne po začetku veljavnosti.

(30)

Ukrepi, predvideni v tem sklepu, so v skladu z mnenjem odbora, ustanovljenega v skladu s členom 14 Uredbe (EU) 2021/953 –