(1)

I förordning (EU) 2021/953 fastställs EU:s digitala covidintyg, som bevisar att en person har fått ett covid-19-vaccin eller ett negativt testresultat eller har tillfrisknat från infektion, för att underlätta innehavarens utövande av sin rätt till fri rörlighet under covid-19-pandemin.

(2)

Enligt Europaparlamentets och rådets förordning (EU) 2021/954 (2) ska medlemsstaterna tillämpa bestämmelserna i förordning (EU) 2021/953 på tredjelandsmedborgare som inte omfattas av den förordningens tillämpningsområde men som lagligen vistas eller är bosatta på deras territorium och som har rätt att resa till andra medlemsstater i enlighet med unionsrätten.

(3)

I rådets rekommendation (EU) 2022/290 om ändring av rådets rekommendation (EU) 2020/912 om de tillfälliga restriktionerna för icke nödvändiga resor till EU och ett eventuellt avskaffande av dessa restriktioner (3) föreskrivs att tredjelandsmedborgare som vill göra icke nödvändiga resor från ett tredjeland till unionen bör ha giltiga bevis på vaccination eller tillfrisknande, t.ex. EU:s digitala covidintyg eller ett covid-19-intyg som utfärdats av ett tredjeland som omfattas av en genomförandeakt antagen i enlighet med artikel 8.2 i förordning (EU) 2021/953.

(4)

För att EU:s digitala covidintyg skulle kunna användas i hela unionen antog kommissionen genomförandebeslut (EU) 2021/1073 (4), för att fastställa tekniska specifikationer och regler för ifyllande, säkert utfärdande och kontroll av EU:s digitala covidintyg och för att säkerställa skyddet av personuppgifter, fastställa den gemensamma strukturen för den unika identifieraren för intyg och utfärda en giltig, säker och interoperabel streckkod.

(5)

Enligt artikel 4 i förordning (EU) 2021/953 ska kommissionen och medlemsstaterna inrätta och upprätthålla ett tillitsramverk för EU:s digitala covidintyg. Tillitsramverket kan stödja det bilaterala utbytet av förteckningar över återkallade intyg som innehåller de återkallade intygens unika identifierare för intyg.

(6)

Den 1 juli 2021 driftsattes nätslussen för EU:s digitala covidintyg (nätslussen), som är den centrala delen av tillitsramverket och som möjliggör ett säkert och tillförlitligt utbyte mellan medlemsstaterna av öppna nycklar som används för att verifiera EU:s digitala covidintyg.

(7)

Tack vare ett framgångsrikt och storskaligt införande har EU:s digitala covidintyg blivit ett mål för bedragare som försöker hitta sätt att utfärda falska intyg. Sådana falska intyg måste därför återkallas. Dessutom kan vissa av EU:s digitala covidintyg återkallas av medlemsstaterna på nationell nivå av medicinska skäl och folkhälsoskäl, till exempel på grund av att en leverans med vacciner som administrerats senare visat sig vara defekt.

(8)

EU:s system för digitala covidintyg kan visserligen omedelbart upptäcka förfalskade intyg, men äkta intyg som utfärdats olagligt på grundval av falsk dokumentation, obehörig åtkomst eller med bedrägligt uppsåt kan inte upptäckas i andra medlemsstater såvida inte de förteckningar över återkallade intyg som genereras på nationell nivå blir föremål för utbyte mellan medlemsstaterna. Detsamma gäller för intyg som har återkallats av medicinska skäl och folkhälsoskäl. Om medlemsstaternas kontrollfunktioner inte upptäcker intyg som återkallats av andra medlemsstater utgör detta ett hot mot folkhälsan och undergräver medborgarnas förtroende för EU:s system för digitala covidintyg.

(9)

Såsom anges i skäl 19 i förordning (EU) 2021/953 bör medlemsstaterna, av medicinska skäl och folkhälsoskäl och vid förekomst av intyg som utfärdats eller erhållits på olaglig väg samt för de syften som anges i denna förordning, i begränsade fall kunna upprätta och utbyta förteckningar över återkallade intyg, särskilt för intyg som har utfärdats felaktigt, som ett resultat av bedrägeri eller till följd av att en leverans av covid-19-vaccin har visat sig vara defekt. Medlemsstaterna bör inte kunna återkalla intyg som utfärdats av andra medlemsstater. Förteckningar över återkallade intyg som utbyts bör inte innehålla några andra personuppgifter än de unika identifierarna för intyg. De bör framför allt inte ange skälet till att ett intyg har återkallats.

(10)

Utöver den allmänna informationen om möjligheten att återkalla intyg och de möjliga skälen till detta bör innehavare av återkallade intyg omgående informeras av den ansvariga utfärdande myndigheten om återkallandet av deras intyg och om skälen till återkallandet. Det kan dock i vissa fall, särskilt när det gäller EU:s digitala covidintyg i pappersform, visa sig vara omöjligt eller innebära en oproportionell ansträngning att spåra och informera innehavaren om återkallandet. Medlemsstaterna bör inte samla in ytterligare personuppgifter som inte behövs för utfärdandeprocessen bara för att kunna informera innehavare av intyg om att deras intyg har återkallats.

(11)

Det är därför nödvändigt att stärka tillitsramverket för EU:s digitala covidintyg genom att stödja det bilaterala utbytet av förteckningar över återkallade intyg mellan medlemsstaterna.

(12)

Detta beslut omfattar inte tillfälligt upphävande av intyg för nationella användningsfall som inte omfattas av förordningen om EU:s digitala covidintyg, till exempel på grund av att innehavaren av ett vaccinationsintyg har testat positivt för SARS-CoV-2. Det påverkar inte etablerade förfaranden för att kontrollera verksamhetsreglerna för intygens giltighet.

(13)

Även om olika strukturer för utbyte av förteckningar över återkallade intyg är möjliga ur teknisk synvinkel är det lämpligast att utbyta dem via nätslussen, eftersom det begränsar datautbytet till det tillitsramverk som redan inrättats och minimerar antalet felpunkter och utbyten mellan medlemsstaterna jämfört med ett alternativt peer-to-peer-system.

(14)

I enlighet med detta bör nätslussen för EU:s digitala covidintyg stärkas för att stödja ett säkert utbyte av återkallade digitala covidintyg och säker verifiering av dessa via nätslussen. I detta avseende bör lämpliga säkerhetsåtgärder vidtas för att skydda de personuppgifter som behandlas i nätslussen. För att säkerställa en hög skyddsnivå bör medlemsstaterna pseudonymisera intygens attribut med hjälp av ett oåterkallelig hashvärde som ska föras in i förteckningarna över återkallade intyg. Den unika identifieraren bör betraktas som en pseudonymiserad uppgift för den behandling som utförs inom ramen för nätslussen.

(15)

Dessutom bör det fastställas bestämmelser om medlemsstaternas och kommissionens roll när det gäller utbytet av förteckningar över återkallade intyg.

(16)

Det är medlemsstaterna eller andra offentliga organisationer eller officiella organ i medlemsstaterna som ansvarar för behandlingen av personuppgifter för innehavare av intyg, och denna behandling bör ske i enlighet med Europaparlamentets och rådets förordning (EU) 2016/679 (5). Behandlingen av personuppgifter inom ramen för kommissionens ansvar att förvalta och säkerställa säkerheten för nätslussen för EU:s digitala covidintyg bör ske i enlighet med Europaparlamentets och rådets förordning (EU) 2018/1725 (6).

(17)

Medlemsstaterna, företrädda av de utsedda nationella myndigheterna eller offentliga organen, fastställer tillsammans syftet med och metoderna för behandling av personuppgifter genom nätslussen för EU:s digitala covidintyg, och de är därför gemensamt personuppgiftsansvariga. Enligt artikel 26 i förordning (EU) 2016/679 ska gemensamt personuppgiftsansvariga för behandling av personuppgifter under öppna former fastställa sitt respektive ansvar för att fullgöra skyldigheterna enligt den förordningen. Genom artikeln ges också möjlighet att få detta ansvar fastställt genom unionsrätten eller genom medlemsstaternas nationella rätt som de personuppgiftsansvariga omfattas av. Det arrangemang som avses i artikel 26 bör införas i bilaga III till detta beslut.

(18)

Enligt förordning (EU) 2021/953 ska kommissionen stödja sådana utbyten. Det lämpligaste sättet att fullgöra detta mandat är att sammanställa de inlämnade förteckningarna över återkallade intyg på medlemsstaternas vägnar. Därför bör kommissionen tilldelas rollen som personuppgiftsbiträde för att stödja dessa utbyten genom att underlätta utbytet av förteckningar via nätslussen för EU:s digitala covidintyg på medlemsstaternas vägnar.

(19)

Som tillhandahållare av tekniska och organisatoriska lösningar för nätslussen för EU:s digitala covidintyg behandlar kommissionen personuppgifterna i förteckningarna över återkallade intyg i nätslussen på medlemsstaternas vägnar, i deras egenskap av gemensamt personuppgiftsansvariga. Den agerar därför som deras personuppgiftsbiträde. I artikel 28 i förordning (EU) 2016/679 och i artikel 29 i förordning (EU) 2018/1725 fastställs att när uppgifter behandlas av ett personuppgiftsbiträde ska behandlingen regleras genom ett avtal eller en rättsakt enligt unionsrätten eller enligt medlemsstaternas nationella rätt som är bindande för personuppgiftsbiträdet med avseende på den personuppgiftsansvarige och som specificerar behandlingen. Det är därför nödvändigt att fastställa regler för kommissionens behandling av uppgifter i egenskap av personuppgiftsbiträde.

(20)

Kommissionens stöduppgift omfattar inte inrättandet av en sådan centraliserad databas som avses i skäl 52 i förordning (EU) 2021/953. Detta förbud syftar till att undvika en centraliserad databas över alla EU:s digitala covidintyg som utfärdats och hindrar inte medlemsstaterna från att utbyta förteckningar över återkallade intyg, vilket uttryckligen föreskrivs i artikel 4.2 i förordning (EU) 2021/953.

(21)

När kommissionen behandlar personuppgifter i nätslussen för EU:s digitala covidintyg är den bunden av kommissionens beslut (EU, Euratom) 2017/46 (7).

(22)

Enligt artikel 3.10 i förordning (EU) 2021/953 får kommissionen anta genomförandeakter som fastställer att covid-19-intyg som utfärdats av ett tredjeland med vilket unionen och medlemsstaterna har ingått ett avtal om fri rörlighet för personer som medger att de avtalsslutande parterna på ett icke-diskriminerande sätt inskränker sådan fri rörlighet av folkhälsoskäl och som inte innehåller någon mekanism för införlivande av unionsrättsakter är likvärdiga med dem som utfärdas i enlighet med denna förordning. På grundval av detta antog kommissionen den 8 juli 2021 genomförandebeslut (EU) 2021/1126 (8) om fastställande av likvärdigheten av covid-19-intyg som har utfärdats av Schweiz.

(23)

Enligt artikel 8.2 i förordning (EU) 2021/953 får kommissionen anta genomförandeakter som fastställer att covid-19-intyg som utfärdats av ett tredjeland i enlighet med standarder och tekniska system som är driftskompatibla med tillitsramverket för EU:s digitala covidintyg och som möjliggör kontroll av intygens äkthet, giltighet och integritet, och som innehåller de uppgifter som anges i bilagan till förordningen ska betraktas som likvärdiga med EU:s digitala covidintyg, i syfte att underlätta innehavarnas utövande av sin rätt till fri rörlighet inom unionen. Såsom anges i skäl 28 i förordning (EU) 2021/953 gäller artikel 8.2 i den förordningen godtagande av intyg som utfärdats av tredjeländer till unionsmedborgare och deras familjemedlemmar. Kommissionen har redan antagit flera sådana genomförandeakter.

(24)

För att undvika luckor i upptäckten av återkallade intyg som omfattas av sådana genomförandeakter bör det också vara möjligt för tredjeländer vars covid-19-intyg har bedömts vara likvärdiga i enlighet med artiklarna 3.10 och 8.2 i förordning (EU) 2021/953 att lämna in relevanta förteckningar över återkallade intyg till nätslussen för EU:s digitala covidintyg.

(25)

Vissa tredjelandsmedborgare som innehar återkallade covid-19-intyg utfärdade av ett tredjeland vars covid-19-intyg har bedömts vara likvärdiga i enlighet med förordning (EU) 2021/953 kan falla utanför tillämpningsområdet för antingen den förordningen eller förordning (EU) 2021/954 vid den tidpunkt då en förteckning över återkallade intyg som inkluderar deras intyg genereras av det berörda tredjelandet. Vid den tidpunkt då en förteckning över återkallade intyg genereras av ett berört tredjeland går det dock inte att veta om alla tredjelandsmedborgare som innehar återkallade intyg omfattas av tillämpningsområdet för någon av förordningarna. Att försöka utesluta personer som inte omfattas av någon av förordningarna vid den tidpunkt då dessa länders förteckningar över återkallade intyg skapas är därför inte genomförbart, och om man försökte göra detta skulle det leda till att medlemsstaterna inte kan upptäcka återkallade intyg som innehas av tredjelandsmedborgare som reser till unionen för första gången. Även de återkallade intygen för dessa tredjelandsmedborgare skulle dock kontrolleras av medlemsstaterna när deras innehavare reser till unionen, och därefter när de reser inom unionen. De tredjeländer vars intyg har bedömts vara likvärdiga i enlighet med förordning (EU) 2021/953 deltar inte i styrningen av nätslussen och är därför inte gemensamt personuppgiftsansvariga.

(26)

Dessutom har EU:s system för digitala covidintyg visat sig vara det enda systemet för covid-19-intyg som fungerar på internationell nivå i stor skala. Till följd av detta har EU:s digitala covidintyg fått allt större global betydelse och bidragit till att hantera pandemin på internationell nivå genom att underlätta säkra internationella resor och global återhämtning. I samband med antagandet av ytterligare genomförandeakter i enlighet med artikel 8.2 i förordning (EU) 2021/953 uppstår nya behov beträffande ifyllandet av EU:s digitala covidintyg. Enligt reglerna i genomförandebeslut (EU) 2021/1073 är efternamn ett obligatoriskt fält i intygets tekniska del. Det är nödvändigt att ändra detta krav för att främja inkludering och driftskompatibilitet med andra system, eftersom det i vissa tredjeländer finns personer utan efternamn. Om namnet på innehavaren av intyget inte kan delas upp i två delar bör namnet placeras i samma fält (efternamn eller förnamn) i EU:s digitala covidintyg, på det sätt som skulle ha gjorts i innehavarens rese- eller identitetshandling. Denna ändring skulle också bättre anpassa det tekniska innehållet i intygen till de nu gällande specifikationerna för maskinläsbara resehandlingar som offentliggjorts av Internationella civila luftfartsorganisationen.

(27)

Genomförandebeslut (EU) 2021/1073 bör därför ändras i enlighet med detta.

(28)

Europeiska datatillsynsmannen har hörts i enlighet med artikel 42.1 i förordning (EU) 2018/1725 och avgav ett yttrande den 11 mars 2022.

(29)

För att ge medlemsstaterna och kommissionen tillräckligt med tid för att genomföra de ändringar som krävs för att möjliggöra utbytet av förteckningar över återkallade intyg via nätslussen för EU:s digitala covidintyg bör detta beslut börja tillämpas fyra veckor efter att det trätt i kraft.

(30)

De åtgärder som föreskrivs i detta beslut är förenliga med yttrandet från den kommitté som inrättats genom artikel 14 i förordning (EU) 2021/953.

(1)

Följande artiklar ska införas som artiklarna 5a, 5b och 5c:

(2)

Bilaga I ska ändras i enlighet med bilaga I till det här beslutet.

(3)

Bilaga V ska ändras i enlighet med bilaga II till det här beslutet.

(4)

Texten i bilaga III till det här beslutet ska läggas till som bilaga VI.

(5)

Texten i bilaga IV till det här beslutet ska läggas till som bilaga VII.