diritto.io

Decisione di esecuzione (UE) 2021/1073 della Commissione del 28 giugno 2021 che stabilisce specifiche tecniche e norme per l’attuazione del quadro di fiducia per il certificato COVID digitale dell’UE istituito dal regolamento (UE) 2021/953 del Parlamento europeo e del Consiglio (Testo rilevante ai fini del SEE)

Testo vigente

LA COMMISSIONE EUROPEA,

visto il regolamento (UE) 2021/953 del Parlamento europeo e del Consiglio su un quadro per il rilascio, la verifica e l’accettazione di certificati interoperabili di vaccinazione, di test e di guarigione in relazione alla COVID-19 (certificato COVID digitale dell’UE) per agevolare la libera circolazione delle persone durante la pandemia di COVID-191, in particolare l’articolo 9, paragrafi 1 e 3,

Il regolamento (UE) 2021/953 stabilisce il certificato COVID digitale dell’UE, il cui scopo è fungere da prova del fatto che una persona ha ricevuto un vaccino contro la COVID-19, un risultato negativo a un test o è guarita dall’infezione.

Affinché il certificato COVID digitale dell’UE sia operativo in tutta l’Unione, è necessario stabilire specifiche tecniche e norme per compilare, rilasciare in modo sicuro e verificare i certificati COVID digitali, garantire la protezione dei dati personali, stabilire la struttura comune dell’identificativo univoco del certificato e creare un codice a barre valido, sicuro e interoperabile. Tale quadro di fiducia getta inoltre le basi per cercare di garantire l’interoperabilità con le norme e i sistemi tecnologici internazionali e in quanto tale potrebbe fornire il modello per la cooperazione a livello mondiale.

La capacità di leggere e interpretare il certificato COVID digitale dell’UE richiede una struttura di dati comune e un accordo sul significato voluto di ciascun campo di dati del carico utile e sui suoi possibili valori. Al fine di agevolare tale interoperabilità, è necessario definire una struttura comune coordinata dei dati per il quadro del certificato COVID digitale dell’UE. Gli orientamenti per tale quadro sono stati elaborati dalla rete eHealth istituita sulla base della direttiva 2011/24/UE del Parlamento europeo e del Consiglio2. Tali orientamenti dovrebbero essere presi in considerazione nel definire le specifiche tecniche che stabiliscono il formato e la gestione della fiducia per il certificato COVID digitale dell’UE. Dovrebbero essere specificati meccanismi di codifica e una specifica della struttura dei dati, nonché un meccanismo di codifica di trasporto in un formato ottico leggibile meccanicamente (QR), che possa essere visualizzato sullo schermo di un dispositivo mobile o stampato su carta.

Oltre alle specifiche tecniche per il formato e la gestione della fiducia del certificato COVID digitale dell’UE, dovrebbero essere stabilite norme generali per la compilazione dei certificati da utilizzare per i valori codificati nel contenuto del certificato COVID digitale dell’UE. Le serie di valori che attuano tali norme dovrebbero essere regolarmente aggiornate e pubblicate dalla Commissione, sulla base dei pertinenti lavori della rete eHealth.

A norma del regolamento (UE) 2021/953, i certificati autentici che costituiscono il certificato COVID digitale dell’UE devono essere identificabili singolarmente mediante un identificativo univoco del certificato, tenendo conto del fatto che ai cittadini può essere rilasciato più di un certificato nel periodo in cui il regolamento (UE) 2021/953 rimane in vigore. L’identificativo univoco del certificato dev’essere costituito da una stringa alfanumerica e gli Stati membri dovrebbero garantire che non contenga dati che lo colleghino ad altri documenti o identificativi, come i numeri del passaporto o della carta d’identità, al fine di impedire che il titolare possa essere identificato. Per garantire che l’identificativo del certificato sia univoco, è opportuno stabilire specifiche tecniche e norme per la struttura comune dello stesso.

La sicurezza, l’autenticità, la validità e l’integrità dei certificati che costituiscono il certificato COVID digitale dell’UE e la loro conformità con il diritto dell’Unione in materia di protezione dei dati sono essenziali perché tutti gli Stati membri li accettino. Tali obiettivi sono conseguiti mediante il quadro di fiducia che stabilisce le norme riguardanti il rilascio e la verifica affidabili e sicuri dei certificati COVID digitali dell’UE, e le relative infrastrutture. Il quadro di fiducia dovrebbe essere basato, tra l’altro, su un’infrastruttura a chiave pubblica con una catena di fiducia che va dalle autorità sanitarie o dalle altre autorità designate degli Stati membri alle singole entità che rilasciano i certificati COVID digitali dell’UE. Pertanto, al fine di garantire un sistema di interoperabilità a livello dell’UE, la Commissione ha creato un sistema centrale, il gateway per i certificati COVID digitali dell’UE (il «gateway»), che memorizza le chiavi pubbliche utilizzate per la verifica. Quando il certificato con codice QR è scansionato, la firma digitale è verificata utilizzando la chiave pubblica pertinente, precedentemente memorizzata nel gateway centrale. Le firme digitali possono essere utilizzate per garantire l’integrità e l’autenticità dei dati. Le infrastrutture a chiave pubblica creano fiducia legando le chiavi pubbliche ai soggetti che hanno rilasciato i certificati. Per l’autenticità, nel gateway sono utilizzati diversi certificati a chiave pubblica. Per garantire uno scambio sicuro di dati per il materiale a chiave pubblica tra gli Stati membri e consentire un’ampia interoperabilità, è necessario stabilire i certificati a chiave pubblica che possono essere utilizzati e indicare come dovrebbero essere generati.

La presente decisione consente di rendere operativi i requisiti del regolamento (UE) 2021/953 in modo da ridurre il trattamento dei dati personali al minimo necessario per rendere operativo il certificato COVID digitale dell’UE e contribuisce a un’attuazione da parte dei titolari del trattamento finali che rispetti la protezione dei dati fin dalla progettazione.

Conformemente al regolamento (UE) 2021/953, le autorità competenti o altri organismi designati per il rilascio dei certificati sono titolari del trattamento ai sensi dell’articolo 4, punto 7, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio3 nel loro ruolo di trattamento dei dati personali nel corso della procedura di rilascio. A seconda del modo in cui gli Stati membri organizzano la procedura di rilascio, possono esserci una o più autorità o organismi designati, ad esempio i servizi sanitari regionali. Conformemente al principio di sussidiarietà, tale scelta spetta agli Stati membri. Pertanto gli Stati membri si trovano nella posizione migliore per garantire, in presenza di più autorità o altri organismi designati, che le rispettive responsabilità siano chiaramente ripartite, indipendentemente dal fatto che si tratti di titolari distinti o di contitolari del trattamento (compresi i servizi sanitari regionali che istituiscono un portale comune per i pazienti per il rilascio dei certificati). Analogamente, per quanto riguarda la verifica dei certificati da parte delle autorità competenti dello Stato membro di destinazione o di transito, o da parte degli operatori di servizi di trasporto passeggeri transfrontalieri tenuti, a norma del diritto nazionale, ad attuare determinate misure di sanità pubblica durante la pandemia di COVID-19, tali verificatori devono rispettare i loro obblighi ai sensi delle norme sulla protezione dei dati.

Non avviene alcun trattamento dei dati personali attraverso il gateway per i certificati COVID digitali dell’UE, in quanto il gateway contiene solo le chiavi pubbliche delle autorità firmatarie. Tali chiavi si riferiscono alle autorità firmatarie e non consentono la reidentificazione diretta o indiretta di una persona fisica cui è stato rilasciato un certificato. Nel suo ruolo di gestore del gateway, la Commissione non dovrebbe pertanto essere né titolare del trattamento né responsabile del trattamento dei dati personali.

Il Garante europeo della protezione dei dati è stato consultato conformemente all’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio4 e ha espresso un parere il 22 giugno 2021.

Considerando che le specifiche tecniche e le norme sono necessarie per l’applicazione del regolamento (UE) 2021/953 a decorrere dal 1o luglio 2021, l’applicazione immediata della presente decisione è giustificata.

Pertanto, alla luce della necessità di una rapida attuazione del certificato COVID digitale dell’UE, è opportuno che la presente decisione entri in vigore il giorno della sua pubblicazione,

HA ADOTTATO LA PRESENTE DECISIONE:

Art. 1

Le specifiche tecniche del certificato COVID digitale dell’UE che stabiliscono la struttura dei dati generici, i meccanismi di codifica e il meccanismo di codifica di trasporto in un formato ottico leggibile meccanicamente sono stabilite nell’allegato I.

Art. 3

I requisiti che stabiliscono la struttura comune dell’identificativo univoco del certificato sono stabiliti nell’allegato III.

Art. 4

Le norme di governance applicabili ai certificati a chiave pubblica in relazione al gateway per i certificati COVID digitali dell’UE a sostegno degli aspetti di interoperabilità del quadro di fiducia sono stabilite nell’allegato IV.

Art. 5 bis Scambio degli elenchi dei certificati revocati

1. Il quadro di fiducia per il certificato COVID digitale dell’UE consente lo scambio degli elenchi dei certificati revocati tramite il gateway centrale per i certificati COVID digitali dell’UE (il «gateway»), conformemente alle specifiche tecniche di cui all’allegato I.

2. Qualora revochino certificati COVID digitali dell’UE, gli Stati membri possono presentare al gateway gli elenchi dei certificati revocati.

3. Qualora gli Stati membri presentino elenchi dei certificati revocati, le autorità di rilascio tengono un elenco dei certificati revocati.

4. Qualora siano scambiati dati personali tramite il gateway, il trattamento è limitato alla finalità di sostenere lo scambio di informazioni sulla revoca. Tali dati personali sono utilizzati unicamente al fine di verificare lo stato di revoca dei certificati COVID digitali dell’UE rilasciati nell’ambito del regolamento (UE) 2021/953.

5. Le informazioni presentate al gateway comprendono i seguenti dati, conformemente alle specifiche tecniche di cui all’allegato I:

  1. a) gli identificativi univoci pseudonimizzati dei certificati revocati;

  2. b) una data di scadenza per l’elenco dei certificati revocati presentato.

6. Qualora revochi certificati COVID digitali dell’UE da essa rilasciati a norma del regolamento (UE) 2021/953 o del regolamento (UE) 2021/954 e intenda scambiare le pertinenti informazioni tramite il gateway, un’autorità di rilascio trasmette al gateway, in un formato sicuro, le informazioni di cui al paragrafo 5 sotto forma di elenchi dei certificati revocati, conformemente alle specifiche tecniche di cui all’allegato I.

7. Le autorità di rilascio forniscono, nella misura del possibile, una soluzione per informare i titolari dei certificati revocati in merito allo stato di revoca dei loro certificati e al motivo della revoca al momento della revoca stessa.

8. Il gateway raccoglie gli elenchi dei certificati revocati ricevuti. Esso fornisce strumenti per la distribuzione degli elenchi agli Stati membri. Cancella automaticamente gli elenchi in base alle date di scadenza indicate per ciascun elenco dall’autorità che lo ha presentato.

9. Le autorità nazionali o gli organismi ufficiali designati degli Stati membri che effettuano il trattamento dei dati personali nel gateway sono contitolari del trattamento dei dati. Le rispettive responsabilità dei contitolari del trattamento sono ripartite conformemente all’allegato VI.

10. La Commissione è responsabile del trattamento dei dati personali trattati all’interno del gateway. In qualità di responsabile del trattamento per conto degli Stati membri, la Commissione garantisce la sicurezza della trasmissione e dell’hosting dei dati personali all’interno del gateway e rispetta gli obblighi incombenti al responsabile del trattamento di cui all’allegato VII.

11. L’efficacia delle misure tecniche e organizzative volte a garantire la sicurezza del trattamento dei dati personali all’interno del gateway è periodicamente verificata, esaminata e valutata dalla Commissione e dai contitolari del trattamento.

Art. 5 ter Presentazione degli elenchi dei certificati revocati da parte di paesi terzi

I paesi terzi che rilasciano certificati COVID-19 per i quali la Commissione ha adottato un atto di esecuzione a norma dell’articolo 3, paragrafo 10, o dell’articolo 8, paragrafo 2, del regolamento (UE) 2021/953 possono presentare elenchi dei certificati COVID-19 revocati contemplati da tale atto di esecuzione, affinché siano trattati dalla Commissione per conto dei contitolari del trattamento nel gateway di cui all’articolo 5 bis, conformemente alle specifiche tecniche di cui all’allegato I.

Art. 5 quater Governance del trattamento dei dati personali nel gateway centrale per i certificati COVID digitali dell’UE

1. Il processo decisionale dei contitolari del trattamento è gestito da un gruppo di lavoro istituito nell’ambito del comitato di cui all’articolo 14 del regolamento (UE) 2021/953.

2. Le autorità nazionali o gli organismi ufficiali designati degli Stati membri che effettuano il trattamento dei dati personali nel gateway in qualità di contitolari del trattamento designano i rappresentanti presso tale gruppo.

Art. 6

La presente decisione entra in vigore il giorno della pubblicazione nella Gazzetta ufficiale dell'Unione europea.

La presente decisione entra in vigore il giorno della pubblicazione nella Gazzetta ufficiale dell’Unione europea. Fatto a Bruxelles, il 28 giugno 2021 Per la Commissione La presidente Ursula von der Leyen

Fonti e licenze